[发明专利]基于设备画像的终端异常行为发现方法和装置

权利要求书

1.一种基于设备画像的终端异常行为发现方法，其特征在于，包括：

根据采集的物联网业务专网中的网络流量数据，为所述物联网业务专网中的终端进行设备画像；

将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为。

2.根据权利要求1所述的方法，其特征在于，所述设备白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的设备白名单策略生成所述设备白名单中合法设备的IP地址。

3.根据权利要求2所述的方法，其特征在于，所述应用白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的应用白名单策略生成所述应用白名单中合法应用的标识。

4.根据权利要求3所述的方法，其特征在于，所述互连关系白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，将合法设备对合法设备的访问、合法设备对合法应用的访问、合法应用对合法应用的访问，列为所述互连关系白名单中的合法互连关系。

5.根据权利要求1-4任一所述的方法，其特征在于，所述将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为，具体包括：

若得到的终端数据中所述终端的IP地址不在所述设备白名单中所列IP地址之内，则判断发现非法设备IP异常；

若得到的终端数据中所述终端安装或访问的应用不在所述应用白名单所列应用之内，则判断发现非法应用异常；

若得到的终端数据中所述终端访问设备，或访问应用的互连关系，不在所述互连关系白名单所列合法互连关系之内，则判断发现非法互连异常。

6.根据权利要求1-4任一所述的方法，其特征在于，所述网络流量数据具体是采集于所述物联网业务专网中汇聚层或核心层中交换机或路由器的端口镜像。

7.一种基于设备画像的终端异常行为发现装置，其特征在于，包括：

网络流量数据采集模块，用于采集物联网业务专网中的网络流量数据；

设备画像模块，用于根据采集的网络流量数据，为所述物联网业务专网中的终端进行设备画像；

异常发现模块，用于将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为。

8.根据权利要求7所述的装置，其特征在于，还包括：

设备白名单生成模块，用于采集并分析所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的设备白名单策略生成所述设备白名单中合法设备的IP地址。

9.根据权利要求8所述的装置，其特征在于，还包括：

应用白名单生成模块，用于采集并分析所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的应用白名单策略生成所述应用白名单中合法应用的标识。

10.根据权利要求9所述的装置，其特征在于，还包括：

互连关系白名单生成模块，用于采集并分析所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，将合法设备对合法设备的访问、合法设备对合法应用的访问、合法应用对合法应用的访问，列为所述互连关系白名单中的合法互连关系。