[发明专利]基于ATTCK模型的安全防御方法、装置、电子设备及存储介质

权利要求书

1.一种基于ATTCK模型的安全防御方法，其特征在于，应用于终端设备，所述终端设备上预先安装有初始的规则库，所述规则库是对已有的ATTCK模型的规则按照预设方式进行提取得到的，该方法包括：

对所述终端设备上的进程启动情况进行监控，确定所述终端设备当前进行安全防御使用的规则库；

响应于监控到所述终端设备上进程的启动，确定所述进程开始启动后终端设备上的硬件资源消耗情况、以及所述进程与所述规则库中规则的匹配情况；

基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，以使所述终端设备使用更新后的目标规则库进行安全防御，返回确定所述终端设备当前进行安全防御使用的规则库的步骤。

2.根据权利要求1所述的方法，其特征在于，所述规则库中的规则存储在按照指定算法加密的XML文件中；

所述规则至少包括：进程名、启动参数和当前规则的默认操作，所述默认操作包括拦截和放行。

3.根据权利要求2所述的方法，其特征在于，所述规则还包括父进程和自定义参数，所述自定义参数包括数字签名的验证结果，和/或微软CAT签名的验证结果，和/或厂商信息。

4.根据权利要求2所述的方法，其特征在于，所述响应于监控到所述终端设备上进程的启动，确定所述进程开始启动后终端设备上的硬件资源消耗情况、以及所述进程与所述规则库中规则的匹配情况，包括：

响应于监控到所述终端设备上进程的启动，监控所述进程开始启动后所述终端设备上的总CPU占用率和总内存占用率，将所述总CPU占用率和所述总内存占用率作为所述终端设备上的硬件资源消耗情况；

和/或，

响应于监控到所述终端设备上进程的启动，监控所述进程开始启动后所述进程对应的CPU占用率和内存占用率，将所述进程对应的CPU占用率和内存占用率作为所述终端设备上的硬件资源消耗情况；

将所述进程的进程名和启动参数与所述规则库中的规则进行匹配，得到所述进程与所述规则库中规则的匹配情况。

5.根据权利要求4所述的方法，其特征在于，所述基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，包括：

在第一指定时间内所述总CPU占用率高于第一预设阈值和/或所述总内存占用率高于第二预设阈值的情况下；

或者，在第一指定时间内所述总CPU占用率不高于第一预设阈值且所述总内存占用率不高于第二预设阈值，但是在所述进程完全启动之后的第二指定时间内，所述进程对应的CPU占用率高于第三预设阈值和/或所述进程对应的内存占用率高于第四预设阈值的情况下；

若未在所述规则库匹配到与所述进程相对应的进程名和启动参数，则将与所述进程相对应的进程名和启动参数存储到所述XML文件中；其中，所述进程的默认操作设定为拦截；

若在所述规则库匹配到与所述进程相对应的进程名和启动参数，则将所述XML文件中与所述进程相匹配的规则的默认操作修改为拦截。

6.根据权利要求4所述的方法，其特征在于，所述基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，包括：

在所述进程未完全启动时，所述进程对应的CPU占用率高于第五预设阈值和/或所述进程对应的内存占用率高于第六预设阈值的情况下；

和/或，在所述进程未完全启动时，所述进程对应的CPU占用率升高的速率高于第七预设阈值和/或所述进程对应的内存占用率升高的速率高于第八预设阈值的情况下；

若未在所述规则库匹配到与所述进程相对应的进程名和启动参数，则将与所述进程相对应的进程名和启动参数存储到所述XML文件中；其中，所述进程的默认操作设定为拦截；

若在所述规则库匹配到与所述进程相对应的进程名和启动参数，则将所述XML文件中与所述进程相匹配的规则的默认操作修改为拦截。