[发明专利]基于入侵途径的APT威胁检测方法和系统

摘要

本发明涉及基于入侵途径的APT威胁检测方法和系统，基于入侵途径的APT威胁检测方法，其包括：S1：对入侵途径领域进行知识库建模；S2：采集行为数据，包括采集主机行为数据与采集网络行为数据；S3：对采集行为数据的结果进行关联分析；S4：证据的保全，还原出攻击风险行为证据保全；S5：呈现所述证据。基于入侵途径的APT威胁检测系统由证据呈现模块、行为证据关联分析模块、知识库模块、证据保全模块和证据收集模块组成。本发明的有益效果是：从源头上截断APT攻击发起者的入侵，实现针对入侵途径防患于未然，低成本、高效率的建设，采集过程隐蔽，完全透明，网络无负担，证据呈现易于使用，操作简单。

主权项

一种基于入侵途径的APT威胁检测方法，其特征在于，包括：S1：对入侵途径领域进行知识库建模；S2：采集行为数据，包括采集主机行为数据与采集网络行为数据，所述的采集主机行为数据包括采集进/线程信息记录、端口信息记录、磁盘数据的操作记录、系统注册表信息变更记录、终端系统基础信息更记录、外设设备连接及数据传输记录和第三方应用程序信息记录，所述的采集网络行为数据，首先将对网络行为进行分类标记，然后进行网络行为数据还原，并记录、跟踪网络系统的运维服务信息及外部连接信息，最后将数据保存在本地；S3：对采集行为数据的结果进行关联分析，首先重构攻击过程，将分别来源于主机和网络的行为数据以设定的逻辑条件进行关联分析；S4：证据的保全，还原出攻击风险行为证据保全，形成针对事故的完整证据；S5：呈现所述证据。