(19)中华 人民共和国 国家知识产权局 (12)发明 专利 (10)授权公告 号 (45)授权公告日 (21)申请 号 202111487998.9 (22)申请日 2021.12.08 (65)同一申请的已公布的文献号 申请公布号 CN 113886829 A (43)申请公布日 2022.01.04 (73)专利权人 北京微步在线科技有限公司 地址 100082 北京市海淀区苏州街 49-3号3 层301室 (72)发明人 周公延　陈杰　黄雅芳　童兆丰　 薛锋　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 蒋姗 (51)Int.Cl. G06F 21/56(2013.01)G06F 30/27(2020.01) G06K 9/62(2022.01) G06N 20/00(2019.01) (56)对比文件 CN 112966264 A,2021.0 6.15 司德睿 等.一种基 于机器学习的安全威胁 分析系统. 《信息技 术与网络安全》 .2019,第38卷 (第4期),37-41. Peng zhou et al.Detecti ng multi-sta ge attacks usi ng sequence-to-sequence model. 《Computer &Security》 .2021,第10 5卷1-15. 审查员 李思彤 (54)发明名称 一种失陷主机检测方法、 装置、 电子设备及 存储介质 (57)摘要 本申请实施例提供一种失陷主机检测方法、 装置、 电子设备及存储介质， 其中， 该方法包括： 获取检测数据； 根据检测数据构建主机静态画 像， 及根据检测数据构建主机动态画像； 对主机 静态画像和主机动态画像进行预处理， 得到预处 理后的主机静态画像和预处理后的主机动态画 像； 根据预处理后的主机 静态画像和预处理后的 主机动态画像获得样本训练数据集和样本测试 数据集； 将样本训练数据集输入机器学习模型进 行训练， 得到失陷检测模型； 将样本测试数据集 输入失陷检测模型中， 得到检测结果。 实施本申 请实施例， 失陷主机的检测 效率， 可以有效的识 别未知威胁， 并减少资源的耗费。 权利要求书2页 说明书8页 附图3页 CN 113886829 B 2022.03.18 CN 113886829 B 1.一种失陷主机检测方法， 其特 征在于， 所述方法包括： 获取检测数据； 根据所述检测数据构建主机静态 画像， 及根据所述检测数据构建主机动态 画像； 对所述主机静态画像和所述主机动态画像进行预处理， 得到预处理后的主机静态画像 和预处理后的主机动态 画像； 根据所述预处理后的主机静态画像和所述预处理后的主机动态画像获得样本训练数 据集和样本测试 数据集； 将所述样本训练数据集输入机器学习模型进行训练， 得到失陷检测模型； 将所述样本测试 数据集输入所述失陷检测模型中， 得到检测结果； 获取所述检测数据中的主机基础信息和资产数据； 根据所述主机基础信息和资产数据构建所述主机静态 画像。 2.根据权利要求1所述的失陷主机检测方法， 其特征在于， 所述根据所述检测数据构建 主机动态 画像的步骤， 包括： 利用ATT&CK技术根据所述检测数据中的日志数据建立主机行为模型； 根据所述检测数据中的威胁情 报信息和所述主机行为模型获得主机动态 画像； 并对所述主机动态 画像中的异常行为进行 标记， 获得异常行为数据。 3.根据权利要求2所述的失陷主机检测方法， 其特征在于， 所述根据所述预处理后的主 机静态画像和所述预处理后的主机动态画像获得样本训练数据集和样本测试数据集的步 骤， 包括： 提取所述预处 理后的主机静态 画像中的静态 画像特征； 提取所述预处 理后的主机动态 画像中的动态 画像特征； 根据所述静态画像特征、 所述动态画像特征和所述异常行为数据获得样本训练数据集 和样本测试 数据集。 4.根据权利要求3所述的失陷主机检测方法， 其特征在于， 所述根据所述静态画像特 征、 所述动态画像特征和所述异常行为数据获得样本训练数据集和样本测试数据集的步 骤， 包括： 根据所述静态画像特征、 所述动态画像特征和所述异常行为数据获得失陷检测样本数 据； 将所述失陷检测样本数据分为样本测试 数据集和样本训练数据集。 5.根据权利要求1所述的失陷主机检测方法， 其特征在于， 所述对所述主机静态画像和 所述主机动态画像进 行预处理， 得到预处理后的主机静态画像和预处理后的主机动态画像 的步骤， 包括： 对所述主机静态画像和所述主机动态画像分别进行连续值离散化处理、 缺失值处理和 文本数据向量 化处理， 得到预处 理后的主机静态 画像和预处 理后的主机动态 画像。 6.根据权利要求1所述的失陷主机检测方法， 其特征在于， 在所述将所述样本测试数据 集输入所述失陷检测模型中， 得到检测结果的步骤之后， 还 包括： 根据所述检测结果更新所述失陷检测模型中的模型参数。 7.一种失陷主机检测装置， 其特 征在于， 所述装置包括： 获取模块， 用于获取检测数据；权　利　要　求　书 1/2 页 2 CN 113886829 B 2构建模块， 用于根据所述检测数据构建主机静态画像， 及根据所述检测数据构建主机 动态画像； 预处理模块， 用于对所述主机静态画像和所述主机动态画像进行预处理， 得到预处理 后的主机静态 画像和预处 理后的主机动态 画像； 数据集获得模块， 用于根据 所述预处理后的主机静态画像和所述预处理后的主机动态 画像获得样本训练数据集和样本测试 数据集； 模型训练模块， 用于将所述样本训练数据集输入机器学习模型进行训练， 得到失陷检 测模型； 检测模块， 用于将所述样本测试 数据集输入所述失陷检测模型中， 得到检测结果； 构建模块， 还用于获取所述检测数据中的主机基础信息和资产数据； 根据所述主机基 础信息和资产数据构建所述主机静态 画像。 8.一种电子设备， 其特征在于， 包括存储器及处理器， 所述存储器用于存储计算机程 序， 所述处理器运行所述计算机程序以使 所述电子 设备执行根据权利要求 1至6中任一项 所 述的失陷主机检测方法。 9.一种计算机可读存储介质， 其特征在于， 其存储有计算机程序， 所述计算机程序被处 理器执行时实现如权利要求1至 6中任一项所述的失陷主机检测方法。权　利　要　求　书 2/2 页 3 CN 113886829 B 3