[发明专利]基于设备画像的终端异常行为发现方法和装置

说明书

本发明公开了一种基于设备画像的终端异常行为发现方法和装置，所述方法包括：根据采集的物联网业务专网中的网络流量数据，为所述物联网业务专网中的终端进行设备画像；将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为。应用本发明能够节省了人工整理规则、更新规则库的成本，并提高终端异常行为发现的效率。

技术领域

本发明涉及物联网业务专网领域，特别是指一种基于设备画像的终端异常行为发现方法和装置。

背景技术

物联网技术能够实现物与物、物与人以及所有的物品与网络的连接，并进行识别、管理和控制。物联网提供了无处不在的连接，可为各行各业提供广泛的应用。从终端侧来看，物联网行业的智能终端加载了多种类型的应用，这些不同类型的应用在网络连接上存在QoS(Quality of Service，服务质量)保证、内容差异计费、流量重定向、流量带宽保障与限制等流量流向控制的差异；从网络侧来看，无论是终端通过何种网络接入，物联网核心网络都要求终端流入的数据安全、可控、无垃圾数据。

目前，物联网业务专网中终端异常行为发现主要通过将被监测物联终端设备的实际行为模式与规则库中正常模式进行比较和匹配来检测入侵和异常行为，其特点是不需要过多的有关系统缺陷的知识，具有较强的适应性，并且能够检测出未知的入侵模式。虚警概率高是目前限制异常检测应用的主要因素。异常检测的关键问题在于正常行为模式的建立及如何利用正常行为模式对当前行为进行比较和判断。

然而，现有的终端异常行为发现方法需要人工整理规则、定期更新规则库中物联终端设备的正常行为模式，存在耗费人力、效率低的问题。

发明内容

本发明提出了一种基于设备画像的终端异常行为发现方法和装置，能够节省了人工整理规则、更新规则库的成本，并提高终端异常行为发现的效率。

基于上述目的，本发明提供一种基于设备画像的终端异常行为发现方法，包括：

根据采集的物联网业务专网中的网络流量数据，为所述物联网业务专网中的终端进行设备画像；

将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为。

其中，所述设备白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的设备白名单策略生成所述设备白名单中合法设备的IP地址。

其中，所述应用白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，根据预定义的应用白名单策略生成所述应用白名单中合法应用的标识。

其中，所述互连关系白名单具体根据如下方法自动生成：

基于采集的所述物联网业务专网中汇聚层或核心层的交换机或路由器的端口镜像的网络流量数据，将合法设备对合法设备的访问、合法设备对合法应用的访问、合法应用对合法应用的访问，列为所述互连关系白名单中的合法互连关系。

其中，所述将设备画像得到的终端数据，比较于预先生成的设备白名单、应用白名单、互连关系白名单，根据比较结果发现异常行为，具体包括：

若得到的终端数据中所述终端的IP地址不在所述设备白名单中所列IP地址之内，则判断发现非法设备IP异常；

若得到的终端数据中所述终端安装或访问的应用不在所述应用白名单所列应用之内，则判断发现非法应用异常；

若得到的终端数据中所述终端访问设备，或访问应用的互连关系，不在所述互连关系白名单所列合法互连关系之内，则判断发现非法互连异常。