[发明专利]嵌入式设备未知攻击入侵检测防御方法、系统及装置

说明书

本申请提供了嵌入式设备未知攻击入侵检测防御方法、系统及装置。本申请中，借助嵌入式设备比如IPC摄像头等的设备特性（即嵌入式设备的攻击基本都是集中在输入报文，嵌入式设备自身输出报文基本可以默认为可信报文无需进行检测），则在对嵌入式设备进行未知攻击入侵检测防御时有效区分出输入报文和输出报文，更加聚焦在输入报文（也即恶意报文来源端）的安全检测，实现了嵌入式设备的未知攻击的入侵检测和防御，有效屏蔽无效检测（尤其是针对如IPC摄像头等嵌入式设备的输出报文流量（视频流）远大于输入报文流量（控制信令）这种情况下），大大降低了设备CPU和内存资源的消耗。

技术领域

本申请涉及嵌入式设备安全技术领域，特别涉及嵌入式设备未知攻击入侵检测防御方法、系统及装置。

背景技术

由于嵌入式设备自身资源限制比如存储资源较低等，导致在嵌入式设备无法部署相对商业化的安全防护软件如传统防病毒产品等，进而嵌入式设备的安全防护力度相对较低。再加上嵌入式设备分布广且与用户单位网络存在一定的联通性，嵌入式设备常会被恶意利用并作为DDOS肉鸡搭建僵尸网络和入侵用户网络的跳板，因此，一种嵌入式设备未知攻击入侵检测和防御方法是当前亟待解决的技术问题。

发明内容

本申请提供了嵌入式设备未知攻击入侵检测防御方法、系统及装置，以实现嵌入式设备的未知攻击的入侵检测和防御。

本申请提供的技术方案包括：

一种嵌入式设备未知攻击入侵检测防御方法，该方法应用于嵌入式设备，包括：

接收来自终端的原始报文，对所述原始报文的访问IP地址进行检测，在检测到访问IP地址不满足设定IP地址要求时，拦截所述原始报文，在检测到访问IP地址满足设定IP地址要求时，基于已有的拦截策略检测所述原始报文是否为匹配拦截策略的攻击报文，如果检测出所述原始报文为攻击报文，则拦截所述原始报文，如果检测出所述原始报文为不匹配任一拦截策略的未知报文，则将所述原始报文上报至已部署的统一管理平台，并启用对应的业务进程对所述原始报文进行业务处理，并在业务处理过程中检测到业务进程运行异常时，向所述统一管理平台发送异常通知；

接收所述统一管理平台下发的所述原始报文对应的拦截策略；所述原始报文对应的拦截策略用于指示匹配目标报文特征的报文为攻击报文，所述目标报文特征是基于所述原始报文确定；所述原始报文对应的拦截策略是所述统一管理平台在接收到所述异常通知后或者是在检测到所述嵌入式设备被启动后发现所述原始报文满足指定条件后生成的，指定条件是指所述原始报文在所述嵌入式设备离线前的设定时间内还处于业务处理过程中。

一种嵌入式设备未知攻击入侵检测防御方法，该方法应用于统一管理平台，包括：

接收嵌入式设备上报的来自终端的原始报文；所述原始报文是由所述嵌入式设备在检测到所述原始报文的访问IP地址满足设定IP地址要求后且基于已有的拦截策略检测所述原始报文为不匹配任一拦截策略的未知报文的前提下上报至所述统一管理平台的；

向本平台管理的所有嵌入式设备下发所述原始报文对应的拦截策略；所述原始报文对应的拦截策略用于指示匹配目标报文特征的报文为攻击报文，所述目标报文特征是基于所述原始报文确定；所述原始报文对应的拦截策略是所述统一管理平台在接收到异常通知后或者是在检测到所述嵌入式设备被启动后发现所述原始报文满足指定条件后生成的，指定条件是指所述原始报文在所述嵌入式设备离线前设定时间内还处于业务处理过程中，所述异常通知是所述嵌入式设备在检测出所述原始报文为不匹配任一拦截策略的未知报文后，启用对应的业务进程对所述原始报文进行业务处理的过程中检测到所述业务进程运行异常时向所述统一管理平台上报的。

一种嵌入式设备未知攻击入侵检测防御系统，该系统包括：至少一个嵌入式设备和统一管理平台；

其中，任一嵌入式设备执行如上第一种方法中的步骤；

统一管理平台执行如上第二种方法中的步骤。