CN108683652A

CN108683652A - 一种基于行为权限的处理网络攻击行为的方法及装置

Info

Publication number: CN108683652A
Application number: CN201810420369.6A
Authority: CN
Inventors: 徐贵斌
Original assignee: Beijing Qianxin Technology Co Ltd
Current assignee: Beijing Qianxin Technology Co Ltd
Priority date: 2018-05-04
Filing date: 2018-05-04
Publication date: 2018-10-19
Also published as: CN109743315A; CN109831420B; CN109714350B; CN109714350A; CN109831419A; CN109873803A; CN109831419B; CN109831420A; CN109873804B; CN109873804A; CN109818937A; CN109818935A; CN109873803B; CN109743315B

Abstract

本发明实施例提供一种基于行为权限的处理网络攻击行为的方法及装置，所述方法包括：若检测到对检测对象的操作行为，获取所述检测对象的类型；确定每种类型对应的目标检测对象的预设操作权限；若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。所述装置执行上述方法。本发明实施例提供的基于行为权限的处理网络攻击行为的方法及装置，能够有效识别网络攻击行为，并有效控制风险。

Description

一种基于行为权限的处理网络攻击行为的方法及装置

技术领域

本发明实施例涉及网络安全技术领域，具体涉及一种基于行为权限的处理网络攻击行为的方法及装置。

背景技术

随着互联网技术的发展，网络安全显得尤为重要。

现有技术通常根据确认为正常的程序特征建立白名单库，在白名单库中的“所有的行为”都被认为是安全的，不会被监控和拦截。但这样带来的安全隐患就是：一旦有恶意程序混入了白名单库，或白名单库中的程序功能被恶意利用时，网络安全如同虚设，即无法有效识别出网络攻击行为。另外，现有技术即使识别出了网络攻击行为，也无法有效控制风险，通常的应对措施是预先对数据等进行备份，待被网络攻击行为攻击后，能够自行恢复数据，但是，这些数据可能已经被窃取，甚至已经被泄露。

因此，如何避免上述缺陷，能够有效识别网络攻击行为，并有效控制风险，成为亟须解决的问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种基于行为权限的处理网络攻击行为的方法及装置。

第一方面，本发明实施例提供一种基于行为权限的处理网络攻击行为的方法，所述方法包括：

若检测到对检测对象的操作行为，获取所述检测对象的类型；

确定每种类型对应的目标检测对象的预设操作权限；

若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

第二方面，本发明实施例提供一种基于行为权限的处理网络攻击行为的装置，所述装置包括：

检测单元，用于若检测到对检测对象的操作行为，获取所述检测对象的类型；

确定单元，用于确定每种类型对应的目标检测对象的预设操作权限；

限制单元，用于若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

第三方面，本发明实施例提供一种电子设备，包括：处理器、存储器和总线，其中，

所述处理器和所述存储器通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如下方法：

确定每种类型对应的目标检测对象的预设操作权限；

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，包括：

所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如下方法：

确定每种类型对应的目标检测对象的预设操作权限；

本发明实施例提供的基于行为权限的处理网络攻击行为的方法及装置，确定每种类型的检测对象对应的目标检测对象的预设操作权限，如果对该检测对象的操作行为与该预设操作权限不相匹配，则确定该操作行为是网络攻击行为，并限制该网络攻击行为，能够有效识别网络攻击行为，并有效控制风险。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例基于行为权限的处理网络攻击行为的方法流程示意图；

图2为本发明实施例基于行为权限的处理网络攻击行为的装置结构示意图；

图3为本发明实施例提供的电子设备实体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明实施例基于行为权限的处理网络攻击行为的方法流程示意图，如图1所示，本发明实施例提供的一种基于行为权限的处理网络攻击行为的方法，包括以下步骤：

S101：若检测到对检测对象的操作行为，获取所述检测对象的类型。

具体的，装置若检测到对检测对象的操作行为，获取所述检测对象的类型。装置可以是网络安全管理服务器，但不作具体限定。操作行为可以理解为尚未确定是否为网络攻击行为的行为，即包括(正常行为或网络攻击行为)。检测对象的类型可以包括：用户类型、设备类型和可执行程序类型。

S102：确定每种类型对应的目标检测对象的预设操作权限。

具体的，装置确定每种类型对应的目标检测对象的预设操作权限。具体如下：确定与所述用户类型对应的第一目标检测对象的第一预设操作权限，第一目标检测对象可以理解为企业中的职员，对应的职务信息可以包括：系统管理员、系统维护员和系统操作员。具体说明如下：系统管理员通常是该企业中的行为权限最高的用户，通常可以建立、删除系统维护员、以及系统操作员等，对数据库中的数据进行管理等。系统维护员通常是企业中IT管理部门的工作人员，具备与各自职务对应的行为权限，例如系统出现错误，允许获取相应的错误日志，并允许对系统代码等做修改等，通过分析错误日志，并修改调试，从而解决系统出现的错误等(对应与所述系统维护员的职务相应的权限)。系统操作员通常是企业中使用系统的工作人员，例如使用企业内部的OA系统进行办公等，即使用系统过程中具有的权限(对应与所述系统操作员的职务相应的权限)。对于系统管理员，可以确定所述第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限，即不允许有任何可以做所有操作的超级权限、超级用户的存在，即使是系统管理员，同样要受到权限限制。系统管理员可以有远程连接主机并更改系统配置的权限，但其所有的操作仅限于对系统本身的操作，并都将被日志记录系统记录下来。系统管理员并不被允许清除安全日志、不允许直接操作数据库、不允许读写敏感数据(例如企业的财物数据等)的权限，不允许关停(关闭或暂停)安全软件的权限(如果确有必要关停安全软件时需要申请，待申请通过则可以关停安全软件)。所有对数据的操作可以通过人机接口，由具备相应数据权限的部门中的人员操作，而他们对数据的操作权限分配，则由相应专业软件来实现。比如：财务人员可通过财务管理软件操作财务数据、销售人员可通过客户关系管理软件来操作客户数据。在分权的管控下，即使中了木马或主机已经被控制，关键数据仍然不会损毁、泄露，甚至对内外勾结的作案，也可以有效防治。

确定与所述设备类型对应的第二目标检测对象的第二预设操作权限。第二目标检测对象可以理解为企业中的设备(例如：办公设备，如打印机、扫描仪等；监控设备，如摄像头等；网络设备，如交换机、路由器等)。本发明实施例中不同的设备应该给予其不同的行为权限，而同类设备因为不同的人在用、或在行使不同的职能，也会被赋予不同的行为权限。

一般的终端设备，通常都不应该给予访问其它终端的权限；而有打印需求的终端，则只应该具备单向访问打印机的权限；网络管理员的终端，才有访问主机的权限，对其它终端设备，则具备有限的访问权限，权限可以根据需要再度进行细分，比如：为保护隐私，设定为其不可以访问其它终端的数据类文档等。而像打印机、摄像头等终端，则只具备被动连接权限，不具备主动访问其它任何网络资源的权限。

确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限。可以理解为对运行在计算机上的程序进行分权，比如：winword.exe，是微软Office套件中的word文档操作程序，此程序的功能是在用户的主动使用下，对特定的word文档进行编辑。其功能定义决定了程序可以拥有什么权限。首先，它是被动程序，即：用户主动打开才可以执行，并不可以自动在后台运行(被感染后的行为)、也不可以自动读写用户打开文档之外的文档(勒索者病毒的行为)。其次，它是文档编辑类程序，并不可以去写可执行程序(感染可执行程序)、也不可以下载并执行另一个程序(漏洞攻击)。第三目标检测对象可以包括系统进程、下载程序、社交程序、文档程序和系统工具中的至少一个，所述系统进程、所述下载程序、所述社交程序、所述文档程序和所述系统工具各自对应功能分别可以是对系统进行有限操作的权限(例如只允许读、不允许写等)、只具有下载操作相关的权限(例如只允许读取下载端口数据等)、只具有社交程序调用相关的权限(例如只允许QQ、微信等特定应用程序调用特定接口等)、只具有文档操作相关的权限(例如允许在用户主动操作下可以读写任意位置的任意文档类文件，但在非用户主动操作的情况下，只能操作自己创建的文件(临时文件)、只具有系统工具功能权限相关的权限(例如，只允许磁盘读取工具读取硬盘中的数据，不允许磁盘读取工具开启终端设备的摄像头等)。

S103：若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

具体的，装置若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。参照上述举例，以第一目标检测对象中的系统管理员为例，如果该操作行为是窃用了系统管理员的行为权限，例如清除安全日志，而本发明上述说明中系统管理员对应的第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限，即该操作行为与系统管理员对应的第一预设操作权限并不匹配，因此该操作行为是网络攻击行为，并对该操作行为进行限制，限制的方式可以是终止该操作行为继续执行等，不作具体限定。需要说明的是：如果所述操作行为与所述预设操作权限相匹配，则确定所述操作行为是正常操作行为，无需作任何限制。对应其他类型的目标检测对象的说明，不再赘述。

对于权限设定的具体说明可以如下：

对于系统类权限：

程序自动运行、更改系统配置、访问其它进程、直接操作磁盘等等。

对于文件类权限：

读系统文件、写系统文件、读非系统文件、写非系统文件、在系统目录创建文件、在自己目录创建文件、在临时目录创建文件、在其它应用目录创建文件等等。

对于网络类权限：

访问内网同级终端、访问内网设备、访问内网主机的Web服务、远程连接主机、访问内网主机的其它端口、访问外网Web服务、访问外网的邮件服务、访问外网的文件服务、访问外网的其它端口等等。

权限分配的总则可以如下：

首先，基本权限分配，这是全部的程序都具备的基本权限，绝大多数程序被限制在这个基本权限下时都可以正常工作，而这一组基本权限分配就可以解决90％以上的程序分权问题。

其次，再根据不同的程序种类，赋予其更多的对应权限。

最后，权限分配是赋予“某一类”程序某一组权限，并不是针对单个程序作操作，单个特殊程序的设权，可以在部署阶段，作为处理误报的手段。

基本权限

不可以自动运行，只能由用户手动执行；只可以全权操作自己创建的或与自己一起由同一安装包直接或间接创建的文件(非用户主动操作)；对系统自身的文件仅有只读的权限；不可以读写非系统的文件(非用户主动操作)；不允许访问内外网络及网内节点(非用户主动操作)；不允许对其它进程进行操作；不允许绕过系统直接读写磁盘；不可以下载或执行另一个程序；不可以加载驱动。

分类权限

按程序、设备、人员的职责的不同，赋予以其特定的分类权限，比如：下载类程序要有连网权限、社交类程序要有监听端口的权限等。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，确定每种类型的检测对象对应的目标检测对象的预设操作权限，如果对该检测对象的操作行为与该预设操作权限不相匹配，则确定该操作行为是网络攻击行为，并限制该网络攻击行为，能够有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述检测对象的类型包括：用户类型、设备类型和可执行程序类型；相应的，所述确定每种类型对应的目标检测对象的预设操作权限，包括：

确定与所述用户类型对应的第一目标检测对象的第一预设操作权限。

具体的，装置确定与所述用户类型对应的第一目标检测对象的第一预设操作权限。可参照上述实施例，不再赘述。

确定与所述设备类型对应的第二目标检测对象的第二预设操作权限。

具体的，装置确定与所述设备类型对应的第二目标检测对象的第二预设操作权限。可参照上述实施例，不再赘述。

确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限。

具体的，装置确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限。可参照上述实施例，不再赘述。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，通过对不同的目标检测对象确定相应的预设操作权限，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述确定与所述用户类型对应的第一目标检测对象的第一预设操作权限，包括：

获取所述第一目标检测对象的职务信息；其中，所述职务信息包括：系统管理员、系统维护员和系统操作员。

具体的，装置获取所述第一目标检测对象的职务信息；其中，所述职务信息包括：系统管理员、系统维护员和系统操作员。可参照上述实施例，不再赘述。

若所述职务信息为所述系统管理员，确定所述第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限。

具体的，装置若判断获知所述职务信息为所述系统管理员，确定所述第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限。可参照上述实施例，不再赘述。

若所述职务信息为所述系统维护员，确定所述第一预设操作权限为与所述系统维护员的职务相应的权限。

具体的，装置若判断获知所述职务信息为所述系统维护员，确定所述第一预设操作权限为与所述系统维护员的职务相应的权限。可参照上述实施例，不再赘述。

若所述职务信息为所述系统操作员，确定所述第一预设操作权限为与所述系统操作员的职务相应的权限。

具体的，装置若判断获知所述职务信息为所述系统操作员，确定所述第一预设操作权限为与所述系统操作员的职务相应的权限。可参照上述实施例，不再赘述。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，针对第一目标检测对象确定具体的第一预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述确定与所述设备类型对应的第二目标检测对象的第二预设操作权限，包括：

获取所述第二目标检测对象的功能信息。

具体的，装置获取所述第二目标检测对象的功能信息。可参照上述实施例，不再赘述。

确定所述第二预设操作权限为与所述功能信息相应的权限。

具体的，装置确定所述第二预设操作权限为与所述功能信息相应的权限。可参照上述实施例，不再赘述。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，针对第二目标检测对象确定具体的第二预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述方法还包括：

获取与所述第二目标对象相关用户的职务信息。

具体的，装置获取与所述第二目标对象相关用户的职务信息。

根据所述职务信息，确定不同职务的相关用户操作所述第二目标对象的相应权限。

具体的，装置根据所述职务信息，确定不同职务的相关用户操作所述第二目标对象的相应权限。可参照上述实施例，不再赘述。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，进一步针对第二目标检测对象确定具体的第二预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述第三目标检测对象包括系统进程、下载程序、社交程序、文档程序和系统工具中的至少一个；相应的，所述确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限，包括：

确定所述第三预设操作权限为分别与所述系统进程、所述下载程序、所述社交程序、所述文档程序和所述系统工具各自对应功能相关的相应权限。

具体的，装置确定所述第三预设操作权限为分别与所述系统进程、所述下载程序、所述社交程序、所述文档程序和所述系统工具各自对应功能相关的相应权限。可参照上述实施例，不再赘述。

本发明实施例提供的基于行为权限的处理网络攻击行为的方法，针对第三目标检测对象确定具体的第三预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

图2为本发明实施例基于行为权限的处理网络攻击行为的装置结构示意图，如图2所示，本发明实施例提供了一种基于行为权限的处理网络攻击行为的装置，包括检测单元201、确定单元202和限制单元203，其中：

检测单元201用于若检测到对检测对象的操作行为，获取所述检测对象的类型；确定单元202用于确定每种类型对应的目标检测对象的预设操作权限；限制单元203用于若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

具体的，检测单元201用于若检测到对检测对象的操作行为，获取所述检测对象的类型；确定单元202用于确定每种类型对应的目标检测对象的预设操作权限；限制单元203用于若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，确定每种类型的检测对象对应的目标检测对象的预设操作权限，如果对该检测对象的操作行为与该预设操作权限不相匹配，则确定该操作行为是网络攻击行为，并限制该网络攻击行为，能够有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述检测对象的类型包括：用户类型、设备类型和可执行程序类型；相应的，所述确定单元202具体用于：

确定与所述用户类型对应的第一目标检测对象的第一预设操作权限；确定与所述设备类型对应的第二目标检测对象的第二预设操作权限；确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限。

具体的，所述确定单元202具体用于：

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，通过对不同的目标检测对象确定相应的预设操作权限，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述确定单元202具体用于：

获取所述第一目标检测对象的职务信息；其中，所述职务信息包括：系统管理员、系统维护员和系统操作员；若所述职务信息为所述系统管理员，确定所述第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限；若所述职务信息为所述系统维护员，确定所述第一预设操作权限为与所述系统维护员的职务相应的权限；若所述职务信息为所述系统操作员，确定所述第一预设操作权限为与所述系统操作员的职务相应的权限。

具体的，所述确定单元202具体用于：

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，针对第一目标检测对象确定具体的第一预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述确定单元202具体用于：

获取所述第二目标检测对象的功能信息；确定所述第二预设操作权限为与所述功能信息相应的权限。

具体的，所述确定单元202具体用于：

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，针对第二目标检测对象确定具体的第二预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述确定单元202还具体用于：

获取与所述第二目标对象相关用户的职务信息；根据所述职务信息，确定不同职务的相关用户操作所述第二目标对象的相应权限。

具体的，所述确定单元202还具体用于：

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，进一步针对第二目标检测对象确定具体的第二预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

在上述实施例的基础上，所述第三目标检测对象包括系统进程、下载程序、社交程序、文档程序和系统工具中的至少一个；相应的，所述确定单元202具体用于：

具体的，所述确定单元202具体用于：

本发明实施例提供的基于行为权限的处理网络攻击行为的装置，针对第三目标检测对象确定具体的第三预设操作权限对应的内容，能够进一步有效识别网络攻击行为，并有效控制风险。

本发明实施例提供的基于行为权限的处理网络攻击行为的装置具体可以用于执行上述各方法实施例的处理流程，其功能在此不再赘述，可以参照上述方法实施例的详细描述。

图3为本发明实施例提供的电子设备实体结构示意图，如图3所示，所述电子设备包括：处理器(processor)301、存储器(memory)302和总线303；

其中，所述处理器301、存储器302通过总线303完成相互间的通信；

所述处理器301用于调用所述存储器302中的程序指令，以执行上述各方法实施例所提供的方法，例如包括：若检测到对检测对象的操作行为，获取所述检测对象的类型；确定每种类型对应的目标检测对象的预设操作权限；若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

本实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：若检测到对检测对象的操作行为，获取所述检测对象的类型；确定每种类型对应的目标检测对象的预设操作权限；若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

本实施例提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述各方法实施例所提供的方法，例如包括：若检测到对检测对象的操作行为，获取所述检测对象的类型；确定每种类型对应的目标检测对象的预设操作权限；若判断获知所述操作行为与所述预设操作权限不相匹配，则确定所述操作行为是网络攻击行为，并限制所述网络攻击行为。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所描述的电子设备等实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上各实施例仅用以说明本发明的实施例的技术方案，而非对其限制；尽管参照前述各实施例对本发明的实施例进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明的实施例各实施例技术方案的范围。

Claims

1.一种基于行为权限的处理网络攻击行为的方法，其特征在于，包括：

确定每种类型对应的目标检测对象的预设操作权限；

2.根据权利要求1所述的方法，其特征在于，所述检测对象的类型包括：用户类型、设备类型和可执行程序类型；相应的，所述确定每种类型对应的目标检测对象的预设操作权限，包括：

确定与所述用户类型对应的第一目标检测对象的第一预设操作权限；

确定与所述设备类型对应的第二目标检测对象的第二预设操作权限；

3.根据权利要求2所述的方法，其特征在于，所述确定与所述用户类型对应的第一目标检测对象的第一预设操作权限，包括：

获取所述第一目标检测对象的职务信息；其中，所述职务信息包括：系统管理员、系统维护员和系统操作员；

若所述职务信息为所述系统管理员，确定所述第一预设操作权限为除清除安全日志的权限、直接操作数据库、读写敏感数据的权限，以及关停安全软件的权限之外的所有权限；

若所述职务信息为所述系统维护员，确定所述第一预设操作权限为与所述系统维护员的职务相应的权限；

4.根据权利要求2所述的方法，其特征在于，所述确定与所述设备类型对应的第二目标检测对象的第二预设操作权限，包括：

获取所述第二目标检测对象的功能信息；

确定所述第二预设操作权限为与所述功能信息相应的权限。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

获取与所述第二目标对象相关用户的职务信息；

6.根据权利要求2所述的方法，其特征在于，所述第三目标检测对象包括系统进程、下载程序、社交程序、文档程序和系统工具中的至少一个；相应的，所述确定与所述可执行程序类型对应的第三目标检测对象的第三预设操作权限，包括：

7.一种基于行为权限的处理网络攻击行为的装置，其特征在于，包括：

8.根据权利要求7所述的装置，其特征在于，所述检测对象的类型包括：用户类型、设备类型和可执行程序类型；相应的，所述确定单元具体用于：

9.根据权利要求8所述的装置，其特征在于，所述确定单元具体用于：

10.根据权利要求8所述的装置，其特征在于，所述确定单元具体用于：

获取所述第二目标检测对象的功能信息；

确定所述第二预设操作权限为与所述功能信息相应的权限。

11.根据权利要求10所述的装置，其特征在于，所述确定单元还具体用于：

获取与所述第二目标对象相关用户的职务信息；

12.根据权利要求8所述的装置，其特征在于，所述第三目标检测对象包括系统进程、下载程序、社交程序、文档程序和系统工具中的至少一个；相应的，所述确定单元具体用于：

13.一种电子设备，其特征在于，包括：处理器、存储器和总线，其中，

所述处理器和所述存储器通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1至6任一所述的方法。

14.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如权利要求1至6任一所述的方法。