[发明专利]一种失陷主机检测方法、装置、电子设备及存储介质

说明书

本申请实施例提供一种失陷主机检测方法、装置、电子设备及存储介质，其中，该方法包括：获取检测数据；根据检测数据构建主机静态画像，及根据检测数据构建主机动态画像；对主机静态画像和主机动态画像进行预处理，得到预处理后的主机静态画像和预处理后的主机动态画像；根据预处理后的主机静态画像和预处理后的主机动态画像获得样本训练数据集和样本测试数据集；将样本训练数据集输入机器学习模型进行训练，得到失陷检测模型；将样本测试数据集输入失陷检测模型中，得到检测结果。实施本申请实施例，失陷主机的检测效率，可以有效的识别未知威胁，并减少资源的耗费。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种失陷主机检测方法、装置、电子设备及计算机可读存储介质。

背景技术

随着大数据和人工智能技术的快速发展，网络攻击呈现出数量多、速度快、持续时间长等特性，为企业安全带来了巨大的挑战。失陷主机检测是企业应对威胁的有效检测手段之一，基于失陷主机检测构建主动防御体系的安全防护体系是下一代安全防护产品的核心要务，主机画像技术可以融合多元异构网络安全数据，采用数据挖掘技术进行数据分析、构建行为基准，融合机器学习方法进行风险评估，从更高层次全面、准确、动态的反映网络中发生的攻防行为。

基于行为的检测方法在特定攻击场景下可以有效的识别威胁，但仍然存在如下缺陷。例如，仅以主机上的日志作为检测数据源，数据来源单一，不能全面刻画主机行为；检测引擎需要制定大量的检测规则，只能检测已知的攻击行为，无法检测未知威胁 ，使企业安全防护处于被动状态；主机安全情况大量依赖人工分析，缺乏有效的主机失陷情况指标，由于告警日志误报和大数据量的原因，导致人工分析效率低下且耗费资源。

发明内容

本申请实施例的目的在于提供一种失陷主机检测方法、装置、电子设备及计算机可读存储介质，提高了失陷主机的检测效率，可以有效地识别未知威胁，并减少资源的耗费。

第一方面，本申请实施例提供了一种失陷主机检测方法，所述方法包括：

获取检测数据；

根据所述检测数据构建主机静态画像，及根据所述检测数据构建主机动态画像；

对所述主机静态画像和所述主机动态画像进行预处理，得到预处理后的主机静态画像和预处理后的主机动态画像；

根据所述预处理后的主机静态画像和所述预处理后的主机动态画像获得样本训练数据集和样本测试数据集；

将所述样本训练数据集输入机器学习模型进行训练，得到失陷检测模型；

将所述样本测试数据集输入所述失陷检测模型中，得到检测结果。

在上述实现过程中，通过多种检测数据的采集、融合，采用机器学习模型，基于主机画像实现了动态、准确的主机失陷检测，并且实现了自动化的主机失陷检测，提高了失陷主机的检测效率，可以有效的识别未知威胁，极大地降低了安全维护成本，并减少资源的耗费，有效地提升了企业的主动防御能力。

进一步地，所述根据所述检测数据构建主机静态画像的步骤，包括：

获取所述检测数据中的主机基础信息和资产数据；

根据所述主机基础信息和资产数据构建所述主机静态画像。

在上述实现过程中，主机静态画像根据主机基础信息和资产数据进行构建，可以反映出主机的基础信息、资产数据和静态行为等，并辅助主机进行失陷检测。

进一步地，所述根据所述检测数据构建主机动态画像的步骤，包括：

利用ATTCK技术（AdversarialTactics Techniques and Common Knowledge，对抗性策略、技术和通用知识）根据所述检测数据中的日志数据建立主机行为模型；