[发明专利]横向移动检测

权利要求书

1.一种计算机实现的用于在具有多个计算设备的计算机网络中执行网络入侵检测的方法，所述方法包括：

访问历史登录会话数据，所述历史登录会话数据与在所述计算机网络中的相应计算设备上的登录会话期间，结合多个授权帐户执行的活动有关，所述历史登录会话数据包括表示响应于相应的授权帐户访问所述计算机网络中的计算设备之一而在每个登录会话期间触发的安全事件的数据；并且

基于接收的历史登录会话数据而生成多个模型，每个模型被配置为输出概率值，所述概率值指示与结合所述多个授权帐户之一的新登录会话有关的一个或多个安全事件是否指示受损行为，生成的模型单独地包括在各个登录会话期间触发的安全事件的不同组合的历史发生值。

2.根据权利要求1所述的计算机实现的方法，其中，所述安全事件能够包括以下事件中的至少一些：帐户登录/注销、认证、帐户管理、进程创建、进程终止、目录服务、对象访问、应用发起、应用终止、文件共享、策略改变、特权使用、或系统事件。

3.根据权利要求1所述的计算机实现的方法，其中，安全事件变量的不同组合之一被配置为评估登录行为是否指示受损行为，所述安全事件变量的不同组合包括以下中的至少一些：帐户、帐户类型、机器角色、机器角色类型、登录时间、或登录类型。

4.根据权利要求1所述的计算机实现的方法，其中，安全事件变量的不同组合之一被配置为基于在先前登录会话期间观察到的安全事件序列的历史发生值，评估在所述登录会话期间观察到的相同安全事件序列是否指示受损行为。

5.根据权利要求4所述的计算机实现的方法，其中，在先前登录会话期间观察到的所述相同安全事件序列的历史发生值包括在先前登录会话期间观察到的所述相同安全事件序列的计数。

6.根据权利要求1所述的计算机实现的方法，其中，安全事件变量的不同组合之一被配置为评估安全事件之间的事件间时间是否指示受损行为，所述安全事件变量的不同组合包括：帐户或帐户类型、以及相关联的安全事件序列、以及序列中连续安全事件之间的相应事件间时间。

7.根据权利要求1所述的计算机实现的方法，其中，安全事件变量的不同组合之一被配置为评估在所述登录会话期间使用显式凭证登录的尝试是否指示受损行为，所述安全事件变量的不同组合包括以下中的至少一些：帐户、帐户类型、机器角色、机器角色类型、与使用显式凭证的登录尝试有关的尝试登录的时间。

8.根据权利要求1所述的计算机实现的方法，其中，安全事件变量的不同组合之一包括以下至少之一：以下中的至少一些的组合：帐户、帐户类型、机器角色、机器角色类型、登录时间、或登录类型；以下中的至少一些的组合：帐户、帐户类型、机器角色、或机器角色类型、以及安全事件序列；以下的组合：帐户或帐户类型、以及相关联的安全事件序列、以及序列中连续安全事件之间的相应事件间时间；或以下中的至少一些的组合：帐户、帐户类型、机器角色、机器角色类型、与使用显式凭证的登录尝试有关的尝试登录的时间。

9.一种包含多个其他计算设备的计算机网络中的计算设备，所述计算设备包括：

处理器，其用于执行计算机可执行指令；以及

存储器，其存储计算机可执行指令，所述计算机可执行指令能够由所述处理器执行以使所述处理器执行以下操作：

访问历史登录会话数据，所述历史登录会话数据与在所述计算机网络中的相应计算设备上的登录会话期间，结合多个授权帐户执行的活动有关，所述历史登录会话数据包括表示响应于相应的授权帐户访问所述计算机网络中的计算设备之一而在每个登录会话期间触发的安全事件的数据；以及

基于接收的历史登录会话数据而生成一个或多个模型，所述一个或多个模型单独地被配置为输出概率值，所述概率值指示与结合所述多个授权帐户之一的新登录会话有关的一个或多个安全事件是否指示受损行为，生成的一个或多个模型单独地包括在各个登录会话期间触发的安全事件的不同组合的历史发生值。