[发明专利]一种检测方法和系统，及存储介质

权利要求书

1.一种检测方法，其特征在于，所述方法包括：

获取主机的日志信息；

基于威胁情报库和第一分析模型对所述日志信息进行分析处理，获得所述主机的初始失陷结果；其中，所述第一分析模型用于对未知风险进行检测；

基于第二分析模型对所述初始失陷结果进行分析处理，获得目标失陷结果；其中，所述第二分析模型用于对失陷结果进行验证。

2.根据权利要求1所述的方法，其特征在于，所述基于第二分析模型对所述初始失陷结果进行分析处理，获得目标失陷结果之前，所述方法还包括：

根据历史数据集获取失陷主机的行为特征数据；

基于所述行为特征数据确定所述失陷主机的行为决策表；

根据所述行为决策表获得所述第二分析模型。

3.根据权利要求2所述的方法，其特征在于，所述根据所述行为决策表获得所述第二分析模型，包括：

对所述行为决策表进行约简处理，获得约简后的行为决策表；

根据所述约简后的行为决策表和预设威胁分类确定失陷匹配规则表；其中，所述失陷匹配规则表用于确定每一个规则中的所述预设威胁分类的发生概率和所述每一个规则对应的失陷信任度；

基于所述失陷匹配规则表和预设计算模型获得所述第二分析模型。

4.根据权利要求3所述的方法，其特征在于，所述基于第二分析模型对所述初始失陷结果进行分析处理，获得目标失陷结果，包括：

获取所述初始失陷结果中的行为特征；

根据所述行为特征与所述第二分析模型进行匹配处理，获得所述目标失陷结果。

5.根据权利要求4所述的方法，其特征在于，若所述行为特征符合所述失陷匹配规则表中的至少两个规则，则所述根据所述行为特征与所述第二分析模型进行匹配处理，获得所述目标失陷结果，包括：

根据所述行为特征和所述失陷匹配规则表确定所述行为特征对应的规则匹配结果；

基于所述预设计算模型对所述规则匹配结果进行计算处理，获得所述目标失陷结果。

6.根据权利要求4所述的方法，其特征在于，若所述行为特征符合所述失陷匹配规则表中的一个规则，则所述根据所述行为特征与所述第二分析模型进行匹配处理，获得所述目标失陷结果，包括：

根据所述行为特征和所述失陷匹配规则表获得所述目标失陷结果。

7.根据权利要求1所述的方法，其特征在于，所述基于威胁情报库和第一分析模型对所述日志信息进行分析处理，获得所述主机的初始失陷结果，包括：

根据所述威胁情报库和所述日志信息进行对比处理，获得第一失陷结果；

利用所述第一分析模型对所述日志信息中的威胁信息进行识别，获得威胁识别结果，并根据所述威胁识别结果获得第二失陷结果；

根据所述第一失陷结果和所述第二失陷结果确定所述初始失陷结果。

8.一种检测系统，其特征在于，所述检测系统包括获取单元和分析单元，

所述获取单元，用于获取主机的日志信息；

所述分析单元，用于基于威胁情报库和第一分析模型对所述日志信息进行分析处理，获得所述主机的初始失陷结果；其中，所述第一分析模型用于对未知风险进行检测；以及基于第二分析模型对所述初始失陷结果进行分析处理，获得目标失陷结果；其中，所述第二分析模型用于对失陷结果进行验证。

9.一种检测系统，其特征在于，所述检测系统还包括处理器、存储有所述处理器可执行指令的存储器，当所述指令被所述处理器执行时，实现如权利要求1-7任一项所述的方法。

10.一种计算机可读存储介质，其上存储有程序，应用于检测系统中，所述程序被处理器执行时，实现如权利要求1-7任一项所述的方法。