[发明专利]渗透攻击的识别方法及装置、系统、存储介质、电子装置

权利要求书

1.一种渗透攻击的识别方法，应用在第一设备，其特征在于，包括：

监测所述第一设备向第二设备发起的远程管理行为；

获取所述远程管理行为的进程链信息，其中，所述进程链信息包括：进程链的成员信息、时序信息、上传设备和/或上传时间；

向服务器发送所述进程链信息，其中，所述进程链信息用于第二设备对所述第一设备发起的远程管理行为进行渗透攻击识别，所述第二设备对所述第一设备发起的远程管理行为进行渗透攻击识别，包括：

读取所述远程管理行为的可信进程链列表；

判断所述进程链信息是否与所述可信进程链列表匹配；

在所述进程链信息与所述可信进程链列表不匹配时，确定所述远程管理行为为渗透攻击行为；在所述进程链信息与所述可信进程链列表匹配时，确定所述远程管理行为为合法行为；

如果所述远程管理行为被判断为渗透攻击行为，则不被允许接入第二设备，否则允许接入第二设备。

2.根据权利要求1所述的方法，其特征在于，获取所述远程管理行为的进程链信息包括：

通过文件驱动识别所述远程管理行为的操作进程；

追溯所述操作进程的上级进程，直到所述操作进程根节点的父进程；

将所述根节点的父进程至所述操作进程的所有进程，确定为所述远程管理行为的进程链信息。

3.根据权利要求1所述的方法，其特征在于，监测所述第一设备向第二设备发起的远程管理行为包括：

监测所述第一设备执行的操作行为；

通过网络驱动识别所述操作行为为针对所述第二设备的Windows管理规范WMI远程管理行为。

4.一种渗透攻击的识别装置，应用在第一设备，其特征在于，包括：

监测模块，用于监测所述第一设备向第二设备发起的远程管理行为；

获取模块，用于获取所述远程管理行为的进程链信息，其中，所述进程链信息包括：进程链的成员信息、时序信息、上传设备和/或上传时间；

发送模块，用于向服务器发送所述进程链信息，其中，所述进程链信息用于第二设备对所述第一设备发起的远程管理行为进行渗透攻击识别，所述第二设备对所述第一设备发起的远程管理行为进行渗透攻击识别，包括：

读取所述远程管理行为的可信进程链列表；

判断所述进程链信息是否与所述可信进程链列表匹配；

在所述进程链信息与所述可信进程链列表不匹配时，确定所述远程管理行为为渗透攻击行为；在所述进程链信息与所述可信进程链列表匹配时，确定所述远程管理行为为合法行为；

如果所述远程管理行为被判断为渗透攻击行为，则不被允许接入第二设备，否则允许接入第二设备。

5.一种渗透攻击的识别系统，其特征在于，包括：第一设备，第二设备，与所述第一设备和所述第二设备连接的服务器，其中，

所述第一设备，包括如权利要求4所述的装置；

所述服务器，用于接收所述第一设备发送的进程链信息，以及向所述第二设备发送所述进程链信息。

6.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至3任一项中所述的方法。

7.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至3任一项中所述的方法。