[发明专利]恶意事件的检测方法、装置、计算机设备以及存储介质

说明书

本申请公开了一种恶意事件的检测方法、装置、计算机设备以及存储介质。该方法基于静态情报信息以及动态行为信息，确定知识信息，静态情报信息包括多个威胁情报信息，动态行为信息包括攻击行为的至少一个特征行为信息；根据知识信息对安全告警信息进行检测，以确定安全告警信息中存在的恶意事件。通过由静态情报信息与动态行为信息相结合得到的知识信息，能够直接准确的确定安全告警信息中存在的恶意事件，提高恶意事件的检测效率和准确性。

技术领域

本申请涉及终端安全技术领域，更具体地，涉及一种恶意事件的检测方法、装置、计算机设备以及存储介质。

背景技术

当前网络终端设备在运行过程中，会基于预设的规则产生各种类型的安全告警信息，以警示用户设备执行的动作可能存在危险。但这些安全告警信息是冗余且繁琐的，通常情况下安全运营人员会基于安全告警信息中的域名、IP地址或者哈希值等静态情报信息，综合判断历史的安全告警信息中是否存在某些攻击行为或恶意事件。但这种确定方式依赖于人工经验，效率较低并且准确性不高。

发明内容

鉴于上述问题，本申请提出了一种恶意事件的检测方法、装置、计算机设备以及存储介质，以提高在安全告警信息中确定恶意事件的效率和准确性。

第一方面，本申请实施例提供了一种恶意事件的检测方法，所述方法包括：基于静态情报信息以及动态行为信息，确定知识信息，所述静态情报信息包括多个威胁情报信息，所述动态行为信息包括攻击行为的至少一个特征行为信息；根据所述知识信息对安全告警进行检测，以确定所述安全告警信息中存在的恶意事件。

第二方面，本申请实施例提供了一种恶意事件的检测装置，所述装置包括：信息确定模块以及事件确定模块，其中，信息确定模块用于基于静态情报信息以及动态行为信息，确定知识信息，所述静态情报信息包括多个威胁情报信息，所述动态行为信息包括攻击行为的至少一个特征行为信息；事件确定模块用于根据所述知识信息对安全告警进行检测，以确定所述安全告警信息中存在的恶意事件。

第三方面，本申请实施例提供了一种计算机设备，包括：一个或多个处理器；存储器；一个或多个应用程序，其中所述一个或多个应用程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个程序配置用于执行上述第一方面提供的恶意事件的检测方法。

第四方面，本申请实施例提供了一种计算机可读取存储介质，所述计算机可读取存储介质中存储有程序代码，所述程序代码可被处理器调用执行上述第一方面提供的恶意事件的检测方法。

本申请提供的方案，基于静态情报信息以及动态行为信息，确定知识信息，所述静态情报信息包括多个威胁情报信息，所述动态行为信息包括攻击行为的至少一个特征行为信息；根据所述知识信息对安全告警进行检测，以确定所述安全告警信息中存在的恶意事件。通过由静态情报信息与动态行为信息相结合得到的知识信息，能够直接准确的确定安全告警信息中存在的恶意事件，提高恶意事件的检测效率和准确性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本申请一个实施例提供的恶意事件的检测方法的流程示意图。

图2示出了本申请另一个实施例提供的恶意事件的检测方法的流程示意图。

图3示出了本申请另一个实施例中步骤S240的一种流程示意图。

图4示出了本申请另一个实施例中步骤S240的另一种流程示意图。

图5示出了本申请另一个实施例中步骤S250的具体流程示意图。

图6示出了本申请实施例提供的恶意事件的检测装置的结构框图。