[发明专利]威胁检测方法、装置、电子设备及存储介质

权利要求书

1.一种威胁检测方法，其特征在于，所述方法包括：

获取待检测数据，所述待检测数据包括实时数据和/或离线数据；

选择与所述待检测数据的类型对应的分析引擎通过检测语法对所述待检测数据进行威胁检测，其中，所述检测语法支持离线检测和实时检测。

2.根据权利要求1所述的方法，其特征在于，所述检测语法通过以下方式获得：

对基础语法进行词法分析和语法分析，生成抽象语法树；

根据所述抽象语法树生成语法的逻辑执行计划；

根据所述逻辑执行计划转换为对应的检测语法。

3.根据权利要求2所述的方法，其特征在于，所述检测语法包括实时检测语法和离线检测语法，所述分析引擎包括实时分析引擎和离线分析引擎，所述实时分析引擎用于通过所述实时检测语法对所述实时数据进行威胁检测，所述离线分析引擎用于通过所述离线检测语法对所述离线数据进行威胁检测；

所述实时检测语法包括sabre语法，所述实时分析引擎为sabre引擎；

和/或，所述离线检测语法包括DSL语法和/或SQL语法，所述离线分析引擎包括ES引擎和/或SatrRocks引擎。

4.根据权利要求2所述的方法，其特征在于，所述对基础语法进行词法分析和语法分析，生成抽象语法树，包括：

基于golang语言，利用语法分析器对基础语法进行词法分析以及语法分析，生成抽象语法树。

5.根据权利要求2-4任一所述的方法，其特征在于，所述基础语法为在EQL语法的基础上扩展得到的语法。

6.根据权利要求5所述的方法，其特征在于，所述基础语法包括扩展的pipe语法，所述扩展的pipe语法用于描述在预设时间内目标数据满足设定条件的威胁检测规则。

7.根据权利要求5所述的方法，其特征在于，所述基础语法包括LookUp函数，所述LookUp函数用于描述匹配目标字段的数据的威胁检测规则。

8.根据权利要求5所述的方法，其特征在于，所述基础语法包括in函数，所述in函数用于描述匹配目标数据的位置的威胁检测规则。

9.根据权利要求5所述的方法，其特征在于，所述基础语法包括在sequence语法的基础上扩展的Join语法，所述扩展的Join语法用于描述匹配存在相同字段的两个数据源的威胁检测规则。

10.一种威胁检测装置，其特征在于，所述装置包括：

数据获取模块，用于获取待检测数据，所述待检测数据包括实时数据和/或离线数据；

检测模块，用于选择与所述待检测数据的类型对应的分析引擎通过检测语法对所述待检测数据进行威胁检测，其中，所述检测语法支持离线检测和实时检测。

11.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-9任一所述的方法。

12.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-9任一所述的方法。