[发明专利]IOT安全中基于模式匹配的检测

权利要求书

1.一种检测物联网（IoT）设备的不合期望的行为的方法，所述方法包括：

将模式超集的第一模式子集与多个IoT设备简档中的第一IoT设备简档相关联；

将第一IoT设备简档归属于第一IoT设备；

检测第一IoT设备事件，第一IoT设备事件包括第一IoT设备的一个或多个网络会话；

从第一IoT设备事件和从其他事件生成活动数据结构；

基于活动数据结构确定第一IoT设备的活动；

将第一模式子集应用于第一IoT设备的活动；

当第一模式子集对第一IoT设备的活动的应用指示第一IoT设备简档所归属于的设备的不合期望的行为时，生成警报。

2.根据权利要求1所述的方法，其中，在部署第一IoT设备之前，将第一IoT设备简档归属于第一IoT设备。

3.根据权利要求1所述的方法，其中，在部署第一IoT设备之后，将第一IoT设备简档归属于第一IoT设备。

4.根据权利要求1所述的方法，其中，在部署第一IoT设备之后，将第一IoT设备简档归属于第一IoT设备，并且第一IoT设备简档是使用可用数据动态地修改的默认IoT设备简档。

5.根据权利要求1所述的方法，其中，使用被动监视来检测第一IoT设备事件。

6.根据权利要求1所述的方法，其中，使用发送到第一IoT设备或从第一IoT设备发送的消息中的分组报头来检测第一IoT设备事件。

7.根据权利要求1所述的方法，其中，使用机器学习来聚合第一IoT设备事件以形成一个或多个复合的第一IoT设备事件。

8.根据权利要求1所述的方法，其中，使用被实现为包括第一IoT设备的局域网（LAN）的一部分的设备来聚合第一IoT设备事件以形成一个或多个复合的第一IoT设备事件。

9.根据权利要求1所述的方法，其中第一IoT设备不具有先前展现出的不合期望的行为的历史，并且所述不合期望的行为包括第一IoT设备的异常行为。

10.根据权利要求1所述的方法，其中，第一IoT设备具有先前展现出的不合期望的行为的历史，并且所述不合期望的行为包括第一IoT设备的正常行为。

11.一种系统，包括：

IoT设备活动模式匹配引擎，被配置为将模式超集的第一模式子集与多个IoT设备简档中的第一IoT设备简档相关联；

IoT设备剖析引擎，被配置为将第一IoT设备简档归属于第一IoT设备；

IoT设备事件检测引擎，被配置为检测第一IoT设备事件，第一IoT设备事件包括第一IoT设备的一个或多个网络会话；

IoT设备活动生成引擎，被配置为从第一IoT设备事件和从其他事件生成活动数据结构；

其中IoT设备活动模式匹配引擎进一步被配置为：

基于活动数据结构确定第一IoT设备的活动；

将第一模式子集应用于第一IoT设备的活动；

当第一模式子集对第一IoT设备的活动的应用指示第一IoT设备简档所归属于的设备的不合期望的行为时，生成警报。

12.根据权利要求11所述的系统，其中，在部署第一IoT设备之前，将第一IoT设备简档归属于第一IoT设备。

13.根据权利要求11所述的系统，其中，在部署第一IoT设备之后，将第一IoT设备简档归属于第一IoT设备。

14.根据权利要求11所述的系统，其中，在部署第一IoT设备之后，将第一IoT设备简档归属于第一IoT设备，并且第一IoT设备简档是使用可用数据动态修改的默认IoT设备简档。