[发明专利]威胁检测、模型生成方法、装置及电子设备和存储介质

权利要求书

1.一种威胁检测方法，其特征在于，包括：

获取目标主机的待检测数据；

基于所述待检测数据构建物源图；其中，所述物源图中的节点表示待检测项，节点与节点之间的边表示所述待检测项之间的交互关系；

在所述物源图中确定所有起点和所有终点，并从所述物源图中提取所述起点至所述终点的所有有效关系路径，其中，所述有效关系路径包括至少两个检测项及各检测项之间的交互关系；

对所述有效关系路径进行异常检测，得到所述目标主机的威胁检测结果；

其中，若所述待检测数据包括主机日志和流量信息，则所述基于所述待检测数据构建物源图，包括：

在物源图中为第一目标主机日志中的各进程分别创建对应的节点，并根据所述第一目标主机日志中各进程之间的交互关系在所述物源图中创建所述节点之间的边；其中，所述第一目标主机日志为包含两个进程的主机日志；

判断所述物源图中是否存在第二目标主机日志中的进程对应的节点；其中，所述第二目标主机日志为包含进程和附加项的主机日志，所述第二目标主机日志中包含的附加项包括文件、IP地址、注册表、管道中的任一项；

若是，则在所述物源图中为所述第二目标主机日志中的所述附加项创建对应的节点，并根据所述第二目标主机日志中进程与附加项之间的交互关系在所述物源图中创建所述进程对应的节点和所述附加项对应的节点之间的边；

判断所述物源图中是否存在所述流量信息中的IP地址对应的节点，若是，则根据所述流量信息中各IP地址之间的交互关系在所述物源图中创建各IP地址对应的节点之间的边；

若所述流量信息中包括附加项，则判断所述物源图中是否存在所述流量信息包含的附加项对应的节点；其中，所述流量信息中包含的附加项包括文件和/或域名；

若是，则根据所述流量信息中IP地址与附加项之间的交互关系在所述物源图中创建所述IP地址对应的节点和所述附加项对应的节点之间的边；

若否，则在所述物源图中为所述流量信息包含的附加项创建对应的节点，并根据所述流量信息中IP地址与附加项之间的交互关系在所述物源图中创建所述IP地址对应的节点和所述附加项对应的节点之间的边。

2.根据权利要求1所述威胁检测方法，其特征在于，所述主机日志包括进程类日志、文件类日志、网络类日志、注册表日志和管道日志中任一项或任几项的组合。

3.根据权利要求2所述威胁检测方法，其特征在于，所述主机日志包括进程，所述基于所述待检测数据构建物源图，包括：

在物源图中为所述主机日志中的各进程分别创建对应的节点，并根据各进程之间的交互关系在所述物源图中创建所述节点之间的边。

4.根据权利要求2所述威胁检测方法，其特征在于，若所述主机日志包括进程及附加项，则基于所述待检测数据构建物源图，包括：

判断所述物源图中是否存在所述主机日志中的进程对应的节点；

若是，则在所述物源图中为所述主机日志中的所述附加项创建对应的节点，并根据所述进程与所述附加项之间的交互关系在所述物源图中创建所述进程对应的节点和所述附加项对应的节点之间的边。

5.根据权利要求1所述威胁检测方法，其特征在于，所述流量信息包括IP地址，所述基于所述待检测数据构建物源图，包括：

在物源图中为所述流量信息中的IP地址分别创建对应的节点，并根据各IP地址之间的交互关系在所述物源图中创建所述节点之间的边。

6.根据权利要求5所述威胁检测方法，其特征在于，若所述流量信息包括IP地址和附加项，则所述基于所述待检测数据构建物源图，包括：

判断所述物源图中是否存在所述流量信息中的IP地址对应的节点；

若是，则在所述物源图中为所述流量信息中的所述附加项创建对应的节点，并根据所述IP地址与所述附加项之间的交互关系在所述物源图中创建所述IP地址对应的节点和所述附加项对应的节点之间的边。

7.根据权利要求1所述威胁检测方法，其特征在于，所述有效关系路径还包括节点的属性信息及边的属性信息。