[发明专利]一种网络安全异常检测方法、装置、存储介质及计算设备

说明书

本发明公开了一种网络安全异常检测方法、装置、存储介质及计算设备，该方法采用采集探针采集电力物联网边缘设备的软件静态指纹信息和进程动态行为信息构建可信软件基和行为基线；将进程的行为信息与本地的行为基线模型进行对比，计算行为偏离度，从而发现安全异常；将关键路径下的变化二进制文件和新进程对应的进程文件与可信软件基比对，将比对异常的二进制文件上传至服务端进行云查杀；用户对于异常告警进行人工研判，根据结果处置异常或更新可信软件基和行为基线。本发明通过构建可信软件基和行为基线，对超出标准的包括软件静态指纹信息和进程动态行为的变化进行监控，能够识别出及电力物联网边缘设备异常行为，保证设备的安全性。

技术领域

本发明涉及信息安全技术领域，具体涉及一种网络安全异常检测方法、装置、存储介质及计算设备。

背景技术

电力物联网边缘设备的安全影响到电力系统的安全，面对网络攻击的多样性、新颖性，检测难度大、成本高。

目前对于物联网设备的网络安全防护主要是将物联网设备置于隔离网或者加强口令复杂度等方法来提升联网设备的网络安全，但这些方法会影响用户的使用体验，并不能很好地满足用户需求。

发明内容

本发明的目的在于提供一种面向电力物联网边缘设备的网络安全异常检测方法、装置、存储介质及计算设备，对电力物联网边缘设备进行异常进程检测，保证设备的安全性。

为了实现上述目标，本发明采用如下技术方案：

本发明提供一种网络安全异常检测方法，包括：

监控电力物联网边缘设备系统关键路径下的静态二进制文件，并根据静态二进制文件的变化信息生成异常告警，以及监控设备进程的实时行为信息，并与本地行为基线集合进行比对，根据异常结果生成异常告警；

分别将监控的所述电力物联网边缘设备系统关键路径下的静态二进制文件和所述设备进程对应的进程文件与本地可信软件基进行比对，并将比对异常的静态二进制文件上传至服务端进行云查杀；以及根据云查杀结果生成不同等级的告警信息。

进一步的，还包括：

采集电力物联网边缘设备正常运行时的软件静态指纹信息和进程动态行为信息进行本地存储并上报至服务端；

根据所述软件静态指纹信息构建本地可信软件基，根据所述进程动态行为信息构建本地行为基线集合。

进一步的，采集电力物联网边缘设备正常运行时的软件静态指纹信息，包括：

采用采集探针通过获取电力物联网边缘设备操作系统的软件包列表采集软件静态指纹信息；所述软件静态指纹信息包括下述中的至少一种：名称、版本、软件HASH、操作系统。

进一步的，采集电力物联网边缘设备正常运行时的进程动态行为信息，包括：

采用采集探针通过/proc目录获取进程动态行为信息；所述进程动态行为信息包括下述中的至少一种：进程的创建；打开文件；绑定端口；建立连接的操作。

进一步的，本地和服务端同时保存所述根据软件静态指纹信息构建的本地可信软件基和所述根据进程动态行为信息构建的本地行为基线集合，服务端对本地可信软件基和本地行为基线集合的内容修改后同步至客户端。

进一步的，监控电力物联网边缘设备系统关键路径下的静态二进制文件和设备进程的实时行为信息，包括：

采用采集探针通过Linux inotify机制实时监控电力物联网边缘设备系统关键路径下的静态二进制文件和设备进程的实时行为信息；

所述关键路径预先配置。

进一步的，所述静态二进制文件的变化信息包括内容和权限的变化；

将关键路径下静态二进制文件的内容和权限的变化作为异常告警上报至服务端。

进一步的，将设备进程的实时行为信息与本地行为基线集合进行比对，对超出所述本地行为基线集合的行为，产生异常告警上报至服务端。