[发明专利]信息安全防御方法及系统、电子设备、存储介质

权利要求书

1.一种信息安全防御方法，其特征在于，包括：

监听并捕获待测业务系统进入主机的数据包；

将所述数据包中的数据与预先存储的历史数据进行对比，确定所述数据包是否存在未知威胁；

若确定出所述数据包存在未知威胁，则对所述数据包中的数据进行特征提取，得到多个特征信息；所述特征信息至少包括能够对信息网络造成攻击的字符、字段和特殊语句；

分别将每个所述特征信息与特征库中的危险特征信息进行匹配，得到匹配结果，包括：基于关联分析法、基线分析法以及数据建模，分别将各个所述特征信息与特征库中的危险特征信息进行匹配，确定每个所述特征信息是否属于安全异常行为数据或未知威胁数据；基于属于所述安全异常行为数据和属于所述未知威胁数据的所述特征信息生成匹配结果；

若所述匹配结果指示所述数据包为非正常请求数据，则将所述数据包输入机器学习模块中，通过所述机器学习模型进行计算，得到所述数据包对应的危险特征信息；其中，若存在任意一个所述特征信息与特征库中的危险特征信息匹配成功，则得到的所述匹配结果指示所述数据包为非正 常请求数据；

将所述数据包对应的危险特征信息更新至所述特征库中；

若所述匹配结果指示所述数据包为正常请求数据，则将所述数据包发送至所述主机。

2.根据权利要求1所述的方法，其特征在于，将所述数据包的危险特征信息更新至所述特征库中之后，还包括：

将所述数据包的危险特征信息进行展示，并将所述数据包的危险特征信息作为日志进行存储。

3.根据权利要求1所述的方法，其特征在于，所述监听并捕获待测业务系统进入主机的数据包，还包括：

将所述数据包中的数据调整为统一的指定格式。

4.根据权利要求1所述的方法，其特征在于，所述将所述数据包输入机器学习模块中，通过所述机器学习模型进行计算，得到所述数据包对应的危险特征信息之后，还包括：

将所述数据包中的数据与历史日志进行对比分析，确定各个数据维度与异常数据的关联关系；

当到达预设时间间隔时，将所述数据包删除。

5.一种信息安全防御系统，其特征在于，包括：

捕获模块，用于监听并捕获待测业务系统进入主机的数据包；

中央处理控制模块，用于将所述数据包中的数据与预先存储的历史数据进行对比，确定所述数据包是否存在未知威胁；

特征提取模块，用于在所述中央处理控制模块确定出所述数据包存在未知威胁时，对所述数据包中的数据进行特征提取，得到多个特征信息；所述特征信息至少包括能够对信息网络造成攻击的字符、字段和特殊语句；

特征匹配模块，用于分别将每个所述特征信息与特征库中的危险特征信息进行匹配，得到匹配结果；

所述特征匹配模块，包括：分析模块、生成模块；

所述分析模块，用于基于关联分析法、基线分析法以及数据建模，分别将各个所述特征信息与特征库中的危险特征信息进行匹配，确定每个所述特征信息是否属于安全异常行为数据或未知威胁数据；

所述生成模块，用于基于属于所述安全异常行为数据和属于所述未知威胁数据的所述特征信息生成匹配结果；

特征处理模块，用于在所述匹配结果指示所述数据包为非正常请求数据时，将所述数据包输入机器学习模块中，以及在所述匹配结果指示所述数据包为正常请求数据时，将所述数据包发送至所述主机；其中，若存在任意一个所述特征信息与特征库中的危险特征信息匹配成功，则得到的所述匹配结果指示所述数据包为非正 常请求数据；

机器学习模块，用于对输入的所述数据包进行计算，得到所述数据包对应的危险特征信息，并将所述数据包对应的危险特征信息更新至所述特征库中。

6.根据权利要求5所述的系统，其特征在于，还包括：

可视化展示模块，用于将所述数据包的危险特征信息进行展示；

日志存储模块，用于将所述数据包的危险特征信息作为日志进行存储。