[发明专利]用于检测横向运动和数据泄漏的系统和方法

权利要求书

1.一种被配置为检测网络上的威胁活动的系统，包括：

数字设备，被配置为：

检测网络上的危害的一阶指示符；

检测所述网络上的危害的二阶指示符；

基于将所述网络上的所述危害的一阶指示符与所述网络上的所述危害的二阶指示符关联来生成风险得分；

基于将所述风险得分与阈值相比较来生成至少一个事件警告。

2.根据权利要求1所述的系统，还被配置为为至少一个网络设备生成行为简档。

3.根据权利要求2所述的系统，其中所述系统被配置为基于处于多个级别的一个或多个活动来生成所述行为简档。

4.根据权利要求2所述的系统，其中所述系统被配置为基于一个或多个试探法来生成所述行为简档。

5.根据权利要求2所述的系统，其中所述系统被配置为基于机器学习来生成所述行为简档。

6.根据权利要求3所述的系统，其中处于多个级别的所述一个或多个活动包括跨协议栈的网络流量模式。

7.根据权利要求3所述的系统，其中处于多个级别的所述一个或多个活动包括两个或更多个网络设备之间的网络流量模式。

8.根据权利要求3所述的系统，其中处于多个级别的所述一个或多个活动包括基于应用的网络流量模式。

9.根据权利要求2所述的系统，其中所述系统被配置为基于至少一个端点设备的一个或多个行为模式来生成所述行为简档。

10.根据权利要求2所述的系统，其中所述系统被配置为基于至少一个端点设备的一个或多个行为模式来生成所述行为简档。

11.根据权利要求2所述的系统，其中所述系统被配置为基于终端用户设备的一个或多个行为模式来生成所述行为简档。

12.根据权利要求2所述的系统，还包括被配置为进行以下操作的所述系统：

检测所述网络上的所述至少一个网络设备的实时观察，

将所述实时观察与所述网络上的所述至少一个网络设备的所述行为简档相比较，以及

基于所述实时观察与所述网络上的所述至少一个网络设备的所述行为简档的所述比较来生成一个或多个异常。

13.根据权利要求1所述的系统，还包括被配置为检测受危害设备的指示符的所述系统，并且其中被配置为生成所述风险得分的所述数字设备进一步基于将所述受危害设备的指示符与所述网络上的所述危害的一阶指示符和所述网络上的所述危害的二阶指示符关联。

14.一种被配置为检测威胁活动的系统，包括：

存储器；

一个或多个处理器；以及

被存储在存储器中并且被配置用于由所述一个或多个处理器执行的一个或多个模块，所述模块包括：

收集模块，被配置为：

检测网络上的危害的一阶指示符；

检测所述网络上的危害的二阶指示符；

数据标记模块，被配置为基于将所述网络上的所述危害的一阶指示符与所述网络上的所述危害的二阶指示符关联来生成风险得分；以及

报告模块，被配置为基于将所述风险得分与阈值相比较来生成至少一个事件警告。

15.根据权利要求14所述的系统，其中所述收集模块还被配置为为至少一个网络设备生成行为简档。

16.根据权利要求15所述的系统，其中所述收集模块被配置为基于处于多个级别的一个或多个活动来生成所述行为简档。

17.根据权利要求16所述的系统，其中处于多个级别的所述一个或多个活动包括跨协议栈的网络流量模式。