[发明专利]基于ATTCK模型的安全防御方法、装置、电子设备及存储介质

说明书

本说明书实施例涉及网络安全技术领域，特别涉及一种基于ATTCK模型的安全防御方法、装置、电子设备及存储介质。其中，基于ATTCK模型的安全防御方法包括：对所述终端设备上的进程启动情况进行监控，确定所述终端设备当前进行安全防御使用的规则库；响应于监控到所述终端设备上进程的启动，确定所述进程开始启动后终端设备上的硬件资源消耗情况、以及所述进程与所述规则库中规则的匹配情况；基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，以使所述终端设备使用更新后的目标规则库进行安全防御，返回确定所述终端设备当前进行安全防御使用的规则库的步骤。本说明书提供的技术方案解决ATTCK模型不能够适配不同终端设备的问题。

技术领域

本说明书实施例涉及网络安全技术领域，特别涉及一种基于ATTCK模型的安全防御方法、装置、电子设备及存储介质。

背景技术

ATTCK模型作为一种细颗粒度的攻防框架，提供了可被非法利用的进程及其对应的启动参数的防御规则信息。

虽然ATTCK模型的规则覆盖较广，但由于不同终端设备具有各自的使用场景，因此ATTCK模型的规则并不能适配不同终端设备(例如并非所有的疑似攻击行为都是非法并需要拦截的)。

发明内容

为了解决ATTCK模型不能够适配不同终端设备的问题，本说明书实施例提供了一种基于ATTCK模型的安全防御方法、装置、电子设备及存储介质。

第一方面，本说明书实施例提供了一种基于ATTCK模型的安全防御方法，应用于终端设备，所述终端设备上预先安装有初始的规则库，所述规则库是对已有的ATTCK模型的规则按照预设方式进行提取得到的，该方法包括：

对所述终端设备上的进程启动情况进行监控，确定所述终端设备当前进行安全防御使用的规则库；

响应于监控到所述终端设备上进程的启动，确定所述进程开始启动后终端设备上的硬件资源消耗情况、以及所述进程与所述规则库中规则的匹配情况；

基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，以使所述终端设备使用更新后的目标规则库进行安全防御，返回确定所述终端设备当前进行安全防御使用的规则库的步骤。

在一种可能的设计中，所述规则库中的规则存储在按照指定算法加密的XML文件中；

所述规则至少包括：进程名、启动参数和当前规则的默认操作，所述默认操作包括拦截和放行。

在一种可能的设计中，所述规则还包括父进程和自定义参数，所述自定义参数包括数字签名的验证结果，和/或微软CAT签名的验证结果，和/或厂商信息。

在一种可能的设计中，所述响应于监控到所述终端设备上进程的启动，确定所述进程开始启动后终端设备上的硬件资源消耗情况、以及所述进程与所述规则库中规则的匹配情况，包括：

响应于监控到所述终端设备上进程的启动，监控所述进程开始启动后所述终端设备上的总CPU占用率和总内存占用率，将所述总CPU占用率和所述总内存占用率作为所述终端设备上的硬件资源消耗情况；

和/或，

响应于监控到所述终端设备上进程的启动，监控所述进程开始启动后所述进程对应的CPU占用率和内存占用率，将所述进程对应的CPU占用率和内存占用率作为所述终端设备上的硬件资源消耗情况；

将所述进程的进程名和启动参数与所述规则库中的规则进行匹配，得到所述进程与所述规则库中规则的匹配情况。

在一种可能的设计中，所述基于所述硬件资源消耗情况和所述匹配情况，对所述规则库进行更新，包括：

在第一指定时间内所述总CPU占用率高于第一预设阈值和/或所述总内存占用率高于第二预设阈值的情况下；