[发明专利]一种失陷主机检测方法、装置、电子设备及存储介质

权利要求书

1.一种失陷主机检测方法，其特征在于，所述方法包括：

获取检测数据；

根据所述检测数据构建主机静态画像，及根据所述检测数据构建主机动态画像；

对所述主机静态画像和所述主机动态画像进行预处理，得到预处理后的主机静态画像和预处理后的主机动态画像；

根据所述预处理后的主机静态画像和所述预处理后的主机动态画像获得样本训练数据集和样本测试数据集；

将所述样本训练数据集输入机器学习模型进行训练，得到失陷检测模型；

将所述样本测试数据集输入所述失陷检测模型中，得到检测结果；

获取所述检测数据中的主机基础信息和资产数据；

根据所述主机基础信息和资产数据构建所述主机静态画像。

2.根据权利要求1所述的失陷主机检测方法，其特征在于，所述根据所述检测数据构建主机动态画像的步骤，包括：

利用ATTCK技术根据所述检测数据中的日志数据建立主机行为模型；

根据所述检测数据中的威胁情报信息和所述主机行为模型获得主机动态画像；

并对所述主机动态画像中的异常行为进行标记，获得异常行为数据。

3.根据权利要求2所述的失陷主机检测方法，其特征在于，所述根据所述预处理后的主机静态画像和所述预处理后的主机动态画像获得样本训练数据集和样本测试数据集的步骤，包括：

提取所述预处理后的主机静态画像中的静态画像特征；

提取所述预处理后的主机动态画像中的动态画像特征；

根据所述静态画像特征、所述动态画像特征和所述异常行为数据获得样本训练数据集和样本测试数据集。

4.根据权利要求3所述的失陷主机检测方法，其特征在于，所述根据所述静态画像特征、所述动态画像特征和所述异常行为数据获得样本训练数据集和样本测试数据集的步骤，包括：

根据所述静态画像特征、所述动态画像特征和所述异常行为数据获得失陷检测样本数据；

将所述失陷检测样本数据分为样本测试数据集和样本训练数据集。

5.根据权利要求1所述的失陷主机检测方法，其特征在于，所述对所述主机静态画像和所述主机动态画像进行预处理，得到预处理后的主机静态画像和预处理后的主机动态画像的步骤，包括：

对所述主机静态画像和所述主机动态画像分别进行连续值离散化处理、缺失值处理和文本数据向量化处理，得到预处理后的主机静态画像和预处理后的主机动态画像。

6.根据权利要求1所述的失陷主机检测方法，其特征在于，在所述将所述样本测试数据集输入所述失陷检测模型中，得到检测结果的步骤之后，还包括：

根据所述检测结果更新所述失陷检测模型中的模型参数。

7.一种失陷主机检测装置，其特征在于，所述装置包括：

获取模块，用于获取检测数据；

构建模块，用于根据所述检测数据构建主机静态画像，及根据所述检测数据构建主机动态画像；

预处理模块，用于对所述主机静态画像和所述主机动态画像进行预处理，得到预处理后的主机静态画像和预处理后的主机动态画像；

数据集获得模块，用于根据所述预处理后的主机静态画像和所述预处理后的主机动态画像获得样本训练数据集和样本测试数据集；

模型训练模块，用于将所述样本训练数据集输入机器学习模型进行训练，得到失陷检测模型；

检测模块，用于将所述样本测试数据集输入所述失陷检测模型中，得到检测结果；

构建模块，还用于获取所述检测数据中的主机基础信息和资产数据；根据所述主机基础信息和资产数据构建所述主机静态画像。

8.一种电子设备，其特征在于，包括存储器及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1至6中任一项所述的失陷主机检测方法。

9.一种计算机可读存储介质，其特征在于，其存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6中任一项所述的失陷主机检测方法。