(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111626660.7 (22)申请日 2021.12.28 (71)申请人 奇安信科技 集团股份有限公司 地址 100088 北京市西城区新 街口外大街 28号102号楼3层3 32号 申请人 网神信息技 术 （北京） 股份有限公司 (72)发明人 史道轩　龙梦启　 (74)专利代理 机构 北京市浩天知识产权代理事 务所(普通 合伙) 11276 代理人 陈翠 (51)Int.Cl. G06F 16/903(2019.01) G06N 20/00(2019.01) (54)发明名称 终端行为分析方法、 装置、 计算设备及计算 机存储介质 (57)摘要 本发明公开了一种终端行为分析方法、 装 置、 计算设备及计算机存储介质。 该方法包括： 获 取待分析终端对应的终端行为数据， 其中， 终端 行为数据包含： 终端元数据及终端应用层操作指 令数据； 将终端行为数据与预先学习得到的终端 行为白名单模型中的白名单终端行为数据进行 匹配； 若未匹配上， 则确定待分析终端的终端行 为为异常终端行为。 本发明提供的方案， 基于预 先学习的终端行为白名单模型对终端的终端行 为进行分析， 实现了轻量级的行为分析， 有效提 升了终端行为分析效率， 从而有效降低了性能消 耗， 且无需存储大量数据， 解决了现有技术数据 存储量巨大的问题。 权利要求书2页 说明书7页 附图1页 CN 114297446 A 2022.04.08 CN 114297446 A 1.一种终端行为分析 方法， 包括： 获取待分析终端对应的终端行为数据， 其中， 所述终端行为数据包含： 终端元数据及终 端应用层操作指令数据； 将所述终端行为数据与预先学习得到的终端行为白名单模型中的白名单终端行为数 据进行匹配； 若未匹配上， 则确定所述待分析终端的终端行为 为异常终端行为。 2.根据权利要求1所述的方法， 其中， 所述终端行为白名单模型通过如下 方法得到： 在基线学习窗口内实时记录正常终端行为对应的终端行为数据， 得到包含白名单终端 行为数据的终端行为白名单模型。 3.根据权利要求2所述的方法， 其中， 所述基线学习窗口包括： 预设时长的基线学习时 间窗口或预设数量的基线学习数量窗口。 4.根据权利要求3所述的方法， 其中， 若所述基线学习窗口包括预设时长的基线学习时 间窗口， 在基线学习窗口内实时记录正常终端行为对应的终端行为数据， 得到包含白名单 终端行为数据的终端行为白名单模型进一 步包括： 实时判断基线学习时间窗口对应的学习时长是否大于或等于预设时长， 若是， 则终端 行为白名单模型学习结束， 将基线学习时间窗口内记录的正常终端行为对应的终端行为数 据确定为终端行为白名单模型的白名单终端行为数据。 5.根据权利要求3所述的方法， 其中， 若所述基线学习窗口包括预设数量的基线学习数 量窗口， 在基线学习窗口内实时记录正常终端行为对应的终端行为数据， 得到包含白名单 终端行为数据的终端行为白名单模型进一 步包括： 实时判断基线学习数量窗口中记录的正常终端行为对应的终端行为数据的数量是否 大于或等于预设数量， 若 是， 则终端 行为白名单模 型学习结束， 将预设数量的终端 行为数据 确定为终端行为白名单模型的白名单终端行为数据。 6.根据权利要求1 ‑5中任一项所述的方法， 其中， 将所述终端行为数据与 预先学习得到 的终端行为白名单模型中的白名单终端行为数据进行匹配进一 步包括： 将终端行为数据中的终端元数据与预先学习得到的终端行为白名单模型中的白名单 终端行为数据中的终端元数据进行匹配， 以及， 将终端行为数据中的终端应用层操作指令 数据与所述白名单终端行为数据中的终端应用层操作指令数据进行匹配； 若未匹配上， 则确定所述待分析终端的终端行为 为异常终端行为进一 步包括： 若终端元数据与白名单终端行为数据中的终端元数据未匹配上和/或终端应用层操作 指令数据与白名单终端行为数据中的终端 元数据及终端应用层操作指 令数据不匹配， 则确 定所述待分析终端的终端行为 为异常终端行为。 7.根据权利 要求1‑5中任一项所述的方法， 其中， 所述终端元数据包括： 源IP地址、 目的 IP地址、 源端口号、 目的端口号、 通信协议。 8.根据权利要求7所述的方法， 其中， 所述通信协议包括： S7Comm协议、 IEC104协议、 Modbus协议。 9.根据权利 要求8所述的方法， 其中， 所述S7Comm协议对应的白名单终端应用层操作指 令数据包括： 启动指令、 停止指令、 读取 预设寄存器区域、 写预设 寄存器区域； 所述IEC104协议对应的白名单终端应用层操作指令数据包括： 遥测 指令、 遥信指令、 事权　利　要　求　书 1/2 页 2 CN 114297446 A 2件顺序记录指令、 时钟同步指令； 所述Modbus协议对应的白名单终端应用层操作指令数据包括： 读文件记录指令、 写文 件记录指令、 读保持寄存器指令、 读输入寄存器指令、 写单个寄存器指令 。 10.一种终端行为分析装置， 包括： 获取模块， 适于获取待分析终端对应的终端行为数据， 其中， 所述终端行为数据包含： 终端元数据及终端应用层操作指令数据； 匹配模块， 适于将所述终端行为数据与 预先学习得到的终端行为白名单模型中的白名 单终端行为数据进行匹配； 确定模块， 适于若未匹配上， 则确定所述待分析终端的终端行为 为异常终端行为。 11.一种计算设备， 包括： 处理器、 存储器、 通信 接口和通信总线， 所述处理器、 所述存储 器和所述 通信接口通过 所述通信总线完成相互间的通信； 所述存储器用于存放至少一可执行指令， 所述可执行指令使所述处理器执行如权利要 求1‑9中任一项所述的终端行为分析 方法对应的操作。 12.一种计算机存储介质， 所述存储介质中存储有至少一可执行指令， 所述可执行指令 使处理器执行如权利要求1 ‑9中任一项所述的终端行为分析 方法对应的操作。权　利　要　求　书 2/2 页 3 CN 114297446 A 3