CN115686993A - 主机异常状态的检测方法、装置、电子设备和可读介质 - Google Patents

Abstract

本公开提供一种主机异常状态的检测方法、装置、电子设备和可读介质，其中，主机异常状态的检测方法包括：根据主机的进程特征数据确定进程树集合和进程家族集合；根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵；确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离；根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族；根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态。通过本公开实施例，提高了对异常进程检测的准确性、可靠性和及时性。

Description

主机异常状态的检测方法、装置、电子设备和可读介质

技术领域

本公开涉及计算机技术领域，具体而言，涉及一种主机异常状态的检测方法、装置、电子设备和可读介质。

背景技术

目前，主机异常行为检测分析方案主要包括基于网络侧的入侵检测和基于主机侧的入侵检测两类。

在相关技术中，对主机的异常进程检测通常基于统计或规则匹配技术，或通过协议分析和行为分析的方式实现对入侵主机行为的检测。

但是，现有的异常进程检测都是基于单进程实现的，因此，无法实现对加密流量的检测分析，且较依赖异常进程规则库，很难实现对未知威胁行为的检测与告警。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种主机异常状态的检测方法、装置、电子设备和可读介质，用于至少在一定程度上克服由于相关技术的限制和缺陷而导致的主机异常检测可靠性低的问题。

根据本公开实施例的第一方面，提供一种主机异常状态的检测方法，包括：根据主机的进程特征数据确定进程树集合和进程家族集合；根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵；确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离；根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族；根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态。

在本公开的一种示例性实施例中，根据主机的进程特征数据确定进程树集合和进程家族集合包括：解析进程特征数据中包含的进程名称、进程标识符、父进程标识符；根据进程标识符和父进程标识符确定进程之间的父子关系；以进程名称为节点，以父子关系为边，构建进程树；汇总进程树以生成进程树集合；按照预设条件将进程树集合中的进程树划分为进程家族，并将进程家族汇总为进程家族集合。

在本公开的一种示例性实施例中，按照预设条件将进程树集合中的进程树划分为进程家族，并将进程家族汇总为进程家族集合包括：将进程树集合中的一个进程树确定为第一进程树；将进程树集合中的另一个进程树确定为第二进程树；判断第一进程树和第二进程树是否满足一个预设条件；若判定第一进程树和第二进程树满足一个预设条件，则确定第一进程树和第二进程树属于同一个进程树家族，其中，预设条件中的第一预设条件为第一进程树的结构包括第二进程树的结构，预设条件中的第二预设条件为第二进程树的结构包括第一进程树的结构，预设条件中的第三预设条件为第一进程树的结构包括第二进程树减除最末端叶子节点后的子树结构，预设条件中的第四预设条件为第二进程树的结构包括第一进程树减除最末端叶子节点后的子树结构。

在本公开的一种示例性实施例中，根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵包括：将进程家族集合中的一个进程家族；确定进程家族中的任一个进程为另一进程的父进程的概率；按照进程家族中的进程次序和概率构建进程关系矩阵；遍历进程家族集合中的所有进程家族的进程关系矩阵以确定进程家族关系矩阵。

在本公开的一种示例性实施例中，确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离包括：确定一个关系矩阵的向量分量，记作第一向量分量；确定一个进程家族的向量分量，记作第二向量分量；确定第一向量分量与第二向量分量之间的欧氏距离；将欧氏距离确定为关系矩阵与进程家族之间的距离。

在本公开的一种示例性实施例中，根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族包括：确定全部欧氏距离中的最小值；将最小值对应的进程家族确定为进程树所属的进程家族。

在本公开的一种示例性实施例中，根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态包括：根据进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值；根据进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值；确定进程树的树结构特征数据与树结构特征向量平均值之间的绝对差值，记作第一差值；确定进程树的流量特征数据与的流量特征向量平均值之间的绝对差值，记作第二差值；判断第一差值与树结构特征向量距离基础值之间的第一大小关系，以及判断第二差值与流量特征向量距离基础值之间的第二大小关系；根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态。

在本公开的一种示例性实施例中，根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态包括：若判定第一差值大于树结构特征向量距离基础值，且判定第二差值小于流量特征向量距离基础值，则确定主机为异常进程启动状态；若判定第一差值小于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常网络连接状态；若判定第一差值大于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常未知进程状态。

在本公开的一种示例性实施例中，根据进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值包括：对进程家族中的进程树的树结构特征数据进行归一化；确定归一化后的树结构特征数据的平均值，并将树结构特征数据的平均值确定为树结构特征向量平均值；确定进程家族中的任两个进程树之间的欧氏距离；根据进程树之间的欧氏距离、第一预设基线调整因子、进程树的数量确定树结构特征向量距离基础值。

在本公开的一种示例性实施例中，根据进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值包括：确定进程家族中的进程树的流量特征向量；对流量特征向量对应的流量特征数据进行归一化；确定归一化后的流量特征数据的平均值，并将流量特征数据的平均值确定为流量特征向量平均值；确定进程家族中的任两个进程树的流量特征向量之间的欧氏距离；根据流量特征向量之间的欧氏距离、第二预设基线调整因子、进程树的数量确定流量特征向量距离基础值。

在本公开的一种示例性实施例中，确定进程家族中的进程树的流量特征向量包括：获取主机的网络流量数据与网络连接状态数据；将网络流量数据和网络连接状态数据按照本地通信属性信息进行关联，以得到主机的网络连接信息，通信属性信息包括本地IP、本地端口、外部IP、外部端口和协议中的至少一种；将网络连接信息按照连接方式划分为入向连接信息和出向连接信息；确定网络连接信息中的公网IP连接信息；根据网络连接信息确定流量特征向量。

在本公开的一种示例性实施例中，根据网络连接信息确定流量特征向量包括：根据网络连接信息确定进程树的未知端口的开放数量，且未知端口不属于预设端口白名单；根据入向连接信息和出向连接信息确定出向入向包数比和出向入向字节比；根据网络连接信息确定平均网络连接时长、平均包个数、包数方差、平均字节数和字节数方差；根据网络连接信息确定任一端口的公网IP连接占比；将未知端口的开放数量、出向入向包数比、出向入向字节比、平均网络连接时长、平均包个数、包数方差、平均字节数、字节数方差和公网IP连接占比确定为流量特征向量。

根据本公开实施例的第二方面，提供一种主机异常状态的检测装置，包括：确定模块，用于根据主机的进程特征数据确定进程树集合和进程家族集合；确定模块还用于，根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵；确定模块还用于，确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离；确定模块还用于，根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族；确定模块还用于，根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态。

根据本公开的第三方面，提供一种电子设备，包括：存储器；以及耦合到存储器的处理器，处理器被配置为基于存储在存储器中的指令，执行如上述任意一项的方法。

根据本公开的第四方面，提供一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现如上述任意一项的主机异常状态的检测方法。

本公开实施例，通过进程的父子关系构建进程家族，从进程家族的视角分析主机运行状态特征，提高了对主机异常状态的分析检测的可靠性、准确性和及时性。

进一步地，通过分析进程树关系构建进程家族，并且利用有向图描述家族内进程间关系，使用关系矩阵描述进程家族，并基于关系矩阵分析进程家族相似性，也即通过进程家族中的多个进程树和网络流量特征来确定主机的异常类型，提高了主机异常检测的精确度。

更进一步地，通过提取进程家族关系树的节点总数、进程类别数、进程树深度和宽度等树结构特征以及流量出入比、平均包个数和平均字节数等网络流量特征构建进程家族特征矩阵，可通过增加或修改特征维度，能够兼顾不同主机环境中安全特征的差异性，可实现对不同主机环境的适配，具有较强可扩展性与适配性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图2示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图3示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图4示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图5示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图6示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图7示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图8示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图9示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图10示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图11示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图12示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图13示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图14示出了本公开的一个示例性实施例中主机异常状态的检测方法的流程图；

图15是本公开示例性实施例中一种主机异常状态的检测装置的方框图；

图16是本公开示例性实施例中一种电子设备的方框图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。

此外，附图仅为本公开的示意性图解，图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

下面结合附图对本公开示例实施方式进行详细说明。

图1是本公开示例性实施例中主机异常状态的检测方法的流程图。

参考图1，主机异常状态的检测方法可以包括：

步骤S102，根据主机的进程特征数据确定进程树集合和进程家族集合。

在本公开的一种示例性实施例中，在对主机进行异常检测时，获取主机的netstat记录、进程记录、netflow数据、端口白名单和进程白名单等运行参数，但不限于此，通过上述运行参数中的几种数据确定进程特征数据，并且基于进程之间的父子关系来构建进程树。

在本公开的一种示例性实施例中，通过对进程树进行汇总得到进程树集合，并对进程树集合中的进程树进行分类划分，得到各种类别的进程家族，进而根据进程家族的记录来判断主机的进程是否异常，也可以通过进程家族来确定异常进程的具体类型、处理策略、异常流程之间的相关性等。

步骤S104，根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵。

在本公开的一种示例性实施例中，通过进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵，确定了进程家族之间的关联性，进程家族关系矩阵也确定了进程树的多个进程之间为父子关系的概率性，也即从概率的角度更准确地限定了进程之间的关联性。

步骤S106，确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离。

在本公开的一种示例性实施例中，进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离为欧氏距离，欧氏距离(euclidean metric，欧几里得度量)是一个通常采用的距离定义，指在m维空间中两个点之间的真实距离，或者向量的自然长度(即该点到原点的距离)，通过欧氏距离不仅能够体现进程家族之间的关联性，当多个进程家族均存在异常进程时，也能通过欧氏距离来确定相关的进程家族，进而根据进程家族的历史记录来确定主机进程的异常状态和异常类型。

步骤S108，根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族。

步骤S110，根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态。

在本公开的一种示例性实施例中，通过进程的父子关系构建进程家族，从进程家族的视角分析主机运行状态特征，提高了对主机异常状态的分析检测的可靠性、准确性和及时性。

具体地，通过分析进程树关系构建进程家族，并且利用有向图描述家族内进程间关系，使用关系矩阵描述进程家族，并基于关系矩阵分析进程家族相似性，也即通过进程家族中的多个进程树和网络流量特征来确定主机的异常类型，提高了主机异常检测的精确度。

下面结合图1至图14，对主机异常状态的检测方法的各步骤进行详细说明。

如图2所示，根据主机的进程特征数据确定进程树集合和进程家族集合包括：

步骤S202，解析进程特征数据中包含的进程名称、进程标识符、父进程标识符。

步骤S204，根据进程标识符和父进程标识符确定进程之间的父子关系。

步骤S206，以进程名称为节点，以父子关系为边，构建进程树。

步骤S208，汇总进程树以生成进程树集合。

步骤S210，按照预设条件将进程树集合中的进程树划分为进程家族，并将进程家族汇总为进程家族集合。

在本公开的一种示例性实施例中，获取历史样本中所有主机的进程名称，对进程名称去重后构建进程集合P{p₁，p₂，…p_x}，并构建进程树，具体包括以下步骤：

(1)输入进程白名单；

(2)输入历史样本的主机进程相关信息：名称/PID/PPID信息，并过滤掉在进程白名单中出现的进程；

(3)基于PID(process ID，进程标识)信息和PPID(parent process ID，程序的父进程标识)信息，以进程名称为节点，以进程父子关系为边，构建进程树；

(4)遍历每天的主机进程数据，形成历史进程树集合PT_all{pt₁，pt₂，…pt_n}。

如图3所示，按照预设条件将进程树集合中的进程树划分为进程家族，并将进程家族汇总为进程家族集合包括：

步骤S302，将进程树集合中的一个进程树确定为第一进程树。

步骤S304，将进程树集合中的另一个进程树确定为第二进程树。

步骤S306，判断第一进程树和第二进程树是否满足一个预设条件，若是，则执行步骤S308，若否，则执行步骤S310。

步骤S308，若判定第一进程树和第二进程树满足一个预设条件，则确定第一进程树和第二进程树属于同一个进程树家族。

步骤S310，若判定第一进程树和第二进程树满足一个预设条件，则确定第一进程树和第二进程树属于同一个进程树家族。

其中，预设条件中的第一预设条件为第一进程树的结构包括第二进程树的结构，预设条件中的第二预设条件为第二进程树的结构包括第一进程树的结构，预设条件中的第三预设条件为第一进程树的结构包括第二进程树减除最末端叶子节点后的子树结构，预设条件中的第四预设条件为第二进程树的结构包括第一进程树减除最末端叶子节点后的子树结构。

在本公开的一种示例性实施例中，构建进程家族集合具体包括以下步骤：

(1)输入进程树集合PT_all{pt₁，pt₂，…pt_n}；

(2)对PT_all中进程树结构完全一致的树进行去重；

(3)划分进程家族，遍历进程树集合PT_all，将满足以下条件之一的任意两个进程树pt_i和pt_j划为同一个进程家族：

(3.1)pt_i进程树结构包含pt_j进程树结构；

(3.1)pt_j进程树结构包含pt_i进程树结构；

(3.1)pt_i进程树结构包含pt_j进程树最末端叶子节点减除后得到的子树；

(3.1)pt_j进程树结构包含pt_i进程树最末端叶子节点减除后得到的子树。

基于上述步骤，得到进程家族集合PF{PF₁，PF₂，…PF_m}，其中每一类进程家族均包含若干个进程树，如PF₁{pt₁，pt₂，…pt_x}。

如图4所示，根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵包括：

步骤S402，将进程家族集合中的一个进程家族。

步骤S404，确定进程家族中的任一个进程为另一进程的父进程的概率。

步骤S406，按照进程家族中的进程次序和概率构建进程关系矩阵。

步骤S408，遍历进程家族集合中的所有进程家族的进程关系矩阵以确定进程家族关系矩阵。

在本公开的一种示例性实施例中，构建进程家族关系矩阵的具体步骤包括：

(1)输入进程家族集合PF{PF₁，PF₂，…PF_m}；

(2)提取家族内的所有进程树，如对PF₁家族提取PF₁{pt₁，pt₂，pt_k，…pt_x}；

(3)计算PF_k家族内每个进程作为其他进程作为父子进程的概率，如进程树pt_k按照公式计算

(p_i，p_j∈pt_k)，按照进程集合P的次序构建关系矩阵，得到进程家族PF_k关系矩阵E_k如下：

(4)遍历进程家族集合PF，计算每个进程家族的关系矩阵集合E{E₁，E₂，…E_m}。

如图5所示，确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离包括：

步骤S502，确定一个关系矩阵的向量分量，记作第一向量分量。

步骤S504，确定一个进程家族的向量分量，记作第二向量分量。

步骤S506，确定第一向量分量与第二向量分量之间的欧氏距离。

步骤S508，将欧氏距离确定为关系矩阵与进程家族之间的距离。

在本公开的一种示例性实施例中，依次计算关系矩阵E′中的每个关系矩阵与PF{PF₁，PF₂，…PF_m}中的每个家族关系矩阵的欧式距离，E_k′与

之间的欧氏距离的表达式如下：

其中，E_k′_ij和

分别表示关系矩阵E_k′和

的各个向量分量。

如图6所示，根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族包括：

步骤S602，确定全部欧氏距离中的最小值。

步骤S604，将最小值对应的进程家族确定为进程树所属的进程家族。

在本公开的一种示例性实施例中，

值最小所对应的进程家族PF_k即为进程树pt_k所属进程家族，也即通过欧氏距离来确定了进程树所属的进程家族，进而通过进程树的特征数据与进程家族的安全基线数据来确定主机的进程异常和异常类型等。

如图7所示，根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态包括：

步骤S702，根据进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值。

步骤S704，根据进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值。

步骤S706，确定进程树的树结构特征数据与树结构特征向量平均值之间的绝对差值，记作第一差值。

步骤S708，确定进程树的流量特征数据与的流量特征向量平均值之间的绝对差值，记作第二差值。

步骤S710，判断第一差值与树结构特征向量距离基础值之间的第一大小关系，以及判断第二差值与流量特征向量距离基础值之间的第二大小关系。

步骤S712，根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态。

在本公开的一种示例性实施例中，通过确定进程树所属的进程家族，查找进程家族PF_k的结构特征向量平均值

树结构特征向量距离基线ΔT、流量特征向量平均值

流量特征向量平均距离ΔN，根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态。

如图8所示，根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态包括：

步骤S802，若判定第一差值大于树结构特征向量距离基础值，且判定第二差值小于流量特征向量距离基础值，则确定主机为异常进程启动状态。

步骤S804，若判定第一差值小于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常网络连接状态。

步骤S806，若判定第一差值大于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常未知进程状态。

在本公开的一种示例性实施例中，通过确定进程树所属的进程家族，查找进程家族PF_k的结构特征向量平均值

树结构特征向量距离基线ΔT、流量特征向量平均值

流量特征向量平均距离ΔN，

为第一差值的表达式，

为第二差值的表达式，进而主机异常情况判断结果可以表示如下：

(1)如果

且

则主机存在异常进程启动的风险，输出级别A告警事件；

(2)如果

且

则主机存在进程网络连接异常的风险，输出级别B告警事件；

(3)如果

且

则主机存在未知进程，输出级别C告警事件。

其中，上述告警级别A、告警级别B和告警级别C可根据应用场景自行定义。

如图9所示，根据进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值包括：

步骤S902，对进程家族中的进程树的树结构特征数据进行归一化。

在本公开的一种示例性实施例中，首先，计算进程树pt_k的树结构特征值包括：

(1)进程树数规模T_S，计算pt_k中包含的进程总数量；

(2)进程树涉及进程种类T_P，计算pt_k中包含的不同进程名称总数量；

(3)进程树层数T_D，计算树pt_k的层数；

(4)进程树度数T_W，计算树pt_k中，节点拥有的子树数目的最大值。

其次，将树结构特征值归一化包括以下步骤：

(1)进程树数规模T_S＝T_S/T_S_MAX，其中T_S_MAX＝历史进程树集合PT_all中进程树数规模最大值×1.1；

(2)进程树涉及进程种类T_P＝T_P/T_P_MAX，其中T_P_MAX＝历史进程树集合PT_all中进程树数涉及进程种类最大值×1.1；

(3)进程树层数T_D＝T_D/T_D_MAX，其中T_D_MAX＝历史进程树集合PT_all中进程树数层数最大值×1.1；

(4)进程树度数T_W＝T_W/T_W_MAX，其中T_W_MAX＝历史进程树集合PT_all中进程树度数最大值×1.1；

最后，将树结构特征值归一化后构成树结构特征向量记作T[T_S，T_P，T_D，T_W]。

步骤S904，确定归一化后的树结构特征数据的平均值，并将树结构特征数据的平均值确定为树结构特征向量平均值。

在本公开的一种示例性实施例中，计算特征平均值：

步骤S906，确定进程家族中的任两个进程树之间的欧氏距离。

在本公开的一种示例性实施例中，计算各关系树按照树结构特征向量之间的欧式距离如下：

其中，T1_k和T2_k分别表示特征向量T1和特征向量T2的各向量分量。

步骤S908，根据进程树之间的欧氏距离、第一预设基线调整因子、进程树的数量确定树结构特征向量距离基础值。

在本公开的一种示例性实施例中，确定树结构特征向量距离基础值包括以下步骤：

(3)计算进程家族PF₁距离基线

如下：

(4)其中，第一预设基线调整因子α可以设置为1.1，可根据应用环境调整；

(5)遍历进程家族PF，计算每个进程家族的距离基线

即树结构特征向量距离基础值。

如图10所示，根据进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值包括：

步骤S1002，确定进程家族中的进程树的流量特征向量。

在本公开的一种示例性实施例中，获取主机的进程树流量特征包括：

(1)计算未知端口开放数N_U，计算进程树所包含的所有进程的开放端口中，不属于端口白名单的数量；

(2)计算进程端口流量出入比，包括出向与入向的包数比N_X1和出入字节数比N_X2；

(3)计算连接流量特征，包括平均网络连接时长N_C1、平均包个数N_C2、包数方差N_C3、平均字节数N_C4和字节数方差N_C5；

(4)计算对应端口所连接的IP中的公网IP连接占比，即公网连接比例N_P。

步骤S1004，对流量特征向量对应的流量特征数据进行归一化。

在本公开的一种示例性实施例中，归一化的具体步骤如下：

(1)未知端口开放数N_U＝N_U/N_U_MAX，其中N_U_MAX＝历史进程树集合PT_all中进程树未知端口开放数最大值×1.1；

(2)出入向包数比N_X1＝N_X1/N_X1_MAX，出入向字节数比N_X2＝N_X2/N_X2_MAX，其中，N_X1_MAX＝历史进程树集合PT_all中进程树出入向包数比最大值×1.1，N_X2_MAX＝历史进程树集合PT_all中进程树出入向字节数比最大值×1.1；

(3)计算连接流量特征包括以下：

(3.1)N_C1＝N_C1/N_C1_MAX；

(3.2)N_C2＝N_C2/N_C2_MAX；

(3.3)N_C3＝N_C3/N_C3_MAX；

(3.4)N_C4＝N_C4/N_C4_MAX；

(3.5)N_C5＝N_C5/N_C5_MAX，

其中，N_C1/N_C2/N_C3/N_C4/N_C5＝历史进程树集合PT_all中进程树N_C1/N_C2/N_C3/N_C4/N_C5取值的最大值×1.1；

(4)将进程家族流量特征值归一化后构成流量特征向量N[N_U，N_X1，N_X2，N_C1，N_C2，N_C3，N_C4，N_C5，N_P]。

步骤S1006，确定归一化后的流量特征数据的平均值，并将流量特征数据的平均值确定为流量特征向量平均值。

在本公开的一种示例性实施例中，计算进程家族流量特征向量平均值

的步骤包括：

(1)输入归一化后的进程家族的进程树PF₁{pt₁，pt₂，…pt_m}所对应的流量特征向量如下：

(2)计算特征平均值：

(3)遍历历史进程家族集合PF，参照上述公式计算每个进程家族流量特征向量平均值；

(4)计算进程家族流量特征向量平均距离ΔN。

步骤S1008，确定进程家族中的任两个进程树的流量特征向量之间的欧氏距离。

在本公开的一种示例性实施例中，输入进程家族PF₁的进程树PF₁{pt₁，pt₂，…pt_m}所对应的流量特征向量，如确定任意两个进程树的一个流量特征向量，分别记作流量特征向量N1和流量特征向量N2，按照以下公示计算其欧式距离：

其中，N1_k，N2_k表示特征向量N1和N2的各向量分量。

步骤S1010，根据流量特征向量之间的欧氏距离、第二预设基线调整因子、进程树的数量确定流量特征向量距离基础值。

在本公开的一种示例性实施例中，计算进程家族PF₁距离基线

如下：

其中，β为基线调整因子，默认设置为1.1，可根据应用环境调整；

(7)遍历进程家族PF的距离基线，以确定每个家族的距离基线

即流量特征向量距离基础值。

如图11所示，确定进程家族中的进程树的流量特征向量包括：

步骤S1102，获取主机的网络流量数据与网络连接状态数据。

步骤S1104，将网络流量数据和网络连接状态数据按照本地通信属性信息进行关联，以得到主机的网络连接信息，通信属性信息包括本地IP、本地端口、外部IP、外部端口和协议中的至少一种。

步骤S1106，将网络连接信息按照连接方式划分为入向连接信息和出向连接信息。

步骤S1108，确定网络连接信息中的公网IP连接信息。

步骤S1110，根据网络连接信息确定流量特征向量。

如图12所示，根据网络连接信息确定流量特征向量包括：

步骤S1202，根据网络连接信息确定进程树的未知端口的开放数量，且未知端口不属于预设端口白名单。

步骤S1204，根据入向连接信息和出向连接信息确定出向入向包数比和出向入向字节比。

步骤S1206，根据网络连接信息确定平均网络连接时长、平均包个数、包数方差、平均字节数和字节数方差。

步骤S1208，根据网络连接信息确定任一端口的公网IP连接占比。

步骤S1210，将未知端口的开放数量、出向入向包数比、出向入向字节比、平均网络连接时长、平均包个数、包数方差、平均字节数、字节数方差和公网IP连接占比确定为流量特征向量。

如图13所示，本公开还提供一种主机异常状态的检测方法还包括：

步骤S1302，输入样本数据。

在本公开的一种示例性实施例中，输入当天待分析的主机的进程数据包括：

(1)输入主机netstat(连接状态)记录，提取本地IP/本地端口/外部IP/外部端口/连接状态/PID；

(2)输入主机进程记录，提取主机进程名称/PID/PPID；

(3)输入网络Netflow(连接流量)数据，提取本地IP/本地端口/外部IP/外部端口/协议/包数/字节数等。

步骤S1304，特征抽取。

在本公开的一种示例性实施例中，建待分析主机的进程树集合PT_all′{pt₁，pt₂，…pt_n}。

在本公开的一种示例性实施例中，计算进程树集合PT_all′中每个进程树所属的进程家族PF_all′{PF₁，PF₂，…PF_n}。

在本公开的一种示例性实施例中，计算进程树集合PT_all′中每个进程树的树结构特征向量T′和流量特征向量N′。

步骤S1306，进程家族安全基线计算。

在本公开的一种示例性实施例中，计算进程树集合PT_all′{pt₁，pt₂，…pt_n}中每个进程树的关系矩阵E′{E′₁，E′₂…，E_n′}。

在本公开的一种示例性实施例中，依次计算E′中每个关系矩阵与PF{PF₁，PF₂，…PF_m}中的各家族关系矩阵支架的欧式距离，将E_k′与

之间的距离记作：

其中，E_k′_ij，

表示关系矩阵E_k′和

的各向量分量。

步骤S1308，输出模型结果，即确定主机的进程树的进程家族。

如图14所示，本公开还提供一种主机异常状态的检测方法还包括：

步骤S1402，输入待分析的主机进程数据。

步骤S1404，进行特征计算。

步骤S1406，进行异常主机识别。

在本公开的一种示例性实施例中，

值的最小值所对应的进程家族即为主机的进程树所属的进程家族，记作目标进程家族。

在本公开的一种示例性实施例中，确定目标进程家族PF_k的结构特征向量平均值

树结构特征向量距离基线ΔT、流量特征向量平均值

流量特征向量平均距离ΔN。

在本公开的一种示例性实施例中，主机异常情况判断结果包括但不限于以下几种：

如果

且

则主机存在异常进程启动的风险，输出级别A告警事件；

如果

且

则主机存在进程网络连接异常的风险，输出级别B告警事件；

如果

且

则主机存在未知进程，输出级别C告警事件；

其中，告警级别A、告警级别B、和告警级别/C可根据应用场景自行定义。

对应于上述方法实施例，本公开还提供一种主机异常状态的检测装置，可以用于执行上述方法实施例。

图15是本公开示例性实施例中一种主机异常状态的检测装置的方框图。

参考图15，主机异常状态的检测装置1500可以包括：

确定模块1502，用于根据主机的进程特征数据确定进程树集合和进程家族集合。

确定模块1502还用于，根据进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵。

确定模块1502还用于，确定进程家族关系矩阵中的任一关系矩阵与进程家族集合中的任一进程家族之间的距离。

确定模块1502还用于，根据距离确定进程树集合中的进程树所属的进程家族集合中的一个进程家族。

确定模块1502还用于，根据进程家族中的进程树的树结构特征数据与流量特征数据确定主机的异常状态。

在本公开的一种示例性实施例中，确定模块1502还用于：解析进程特征数据中包含的进程名称、进程标识符、父进程标识符；根据进程标识符和父进程标识符确定进程之间的父子关系；以进程名称为节点，以父子关系为边，构建进程树；汇总进程树以生成进程树集合；按照预设条件将进程树集合中的进程树划分为进程家族，并将进程家族汇总为进程家族集合。

在本公开的一种示例性实施例中，确定模块1502还用于：将进程树集合中的一个进程树确定为第一进程树；将进程树集合中的另一个进程树确定为第二进程树；判断第一进程树和第二进程树是否满足一个预设条件；若判定第一进程树和第二进程树满足一个预设条件，则确定第一进程树和第二进程树属于同一个进程树家族，其中，预设条件中的第一预设条件为第一进程树的结构包括第二进程树的结构，预设条件中的第二预设条件为第二进程树的结构包括第一进程树的结构，预设条件中的第三预设条件为第一进程树的结构包括第二进程树减除最末端叶子节点后的子树结构，预设条件中的第四预设条件为第二进程树的结构包括第一进程树减除最末端叶子节点后的子树结构。

在本公开的一种示例性实施例中，确定模块1502还用于：将进程家族集合中的一个进程家族；确定进程家族中的任一个进程为另一进程的父进程的概率；按照进程家族中的进程次序和概率构建进程关系矩阵；遍历进程家族集合中的所有进程家族的进程关系矩阵以确定进程家族关系矩阵。

在本公开的一种示例性实施例中，确定模块1502还用于：确定一个关系矩阵的向量分量，记作第一向量分量；确定一个进程家族的向量分量，记作第二向量分量；确定第一向量分量与第二向量分量之间的欧氏距离；将欧氏距离确定为关系矩阵与进程家族之间的距离。

在本公开的一种示例性实施例中，确定模块1502还用于：确定全部欧氏距离中的最小值；将最小值对应的进程家族确定为进程树所属的进程家族。

在本公开的一种示例性实施例中，确定模块1502还用于：根据进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值；根据进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值；确定进程树的树结构特征数据与树结构特征向量平均值之间的绝对差值，记作第一差值；确定进程树的流量特征数据与的流量特征向量平均值之间的绝对差值，记作第二差值；判断第一差值与树结构特征向量距离基础值之间的第一大小关系，以及判断第二差值与流量特征向量距离基础值之间的第二大小关系；根据第一大小关系和第二大小关系的判断结果，确定主机的异常状态。

在本公开的一种示例性实施例中，确定模块1502还用于：若判定第一差值大于树结构特征向量距离基础值，且判定第二差值小于流量特征向量距离基础值，则确定主机为异常进程启动状态；若判定第一差值小于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常网络连接状态；若判定第一差值大于树结构特征向量距离基础值，且判定第二差值大于流量特征向量距离基础值，则确定主机为异常未知进程状态。

在本公开的一种示例性实施例中，确定模块1502还用于：对进程家族中的进程树的树结构特征数据进行归一化；确定归一化后的树结构特征数据的平均值，并将树结构特征数据的平均值确定为树结构特征向量平均值；确定进程家族中的任两个进程树之间的欧氏距离；根据进程树之间的欧氏距离、第一预设基线调整因子、进程树的数量确定树结构特征向量距离基础值。

在本公开的一种示例性实施例中，确定模块1502还用于：确定进程家族中的进程树的流量特征向量；对流量特征向量对应的流量特征数据进行归一化；确定归一化后的流量特征数据的平均值，并将流量特征数据的平均值确定为流量特征向量平均值；确定进程家族中的任两个进程树的流量特征向量之间的欧氏距离；根据流量特征向量之间的欧氏距离、第二预设基线调整因子、进程树的数量确定流量特征向量距离基础值。

在本公开的一种示例性实施例中，确定模块1502还用于：获取主机的网络流量数据与网络连接状态数据；将网络流量数据和网络连接状态数据按照本地通信属性信息进行关联，以得到主机的网络连接信息，通信属性信息包括本地IP、本地端口、外部IP、外部端口和协议中的至少一种；将网络连接信息按照连接方式划分为入向连接信息和出向连接信息；确定网络连接信息中的公网IP连接信息；根据网络连接信息确定流量特征向量。

在本公开的一种示例性实施例中，确定模块1502还用于：根据网络连接信息确定进程树的未知端口的开放数量，且未知端口不属于预设端口白名单；根据入向连接信息和出向连接信息确定出向入向包数比和出向入向字节比；根据网络连接信息确定平均网络连接时长、平均包个数、包数方差、平均字节数和字节数方差；根据网络连接信息确定任一端口的公网IP连接占比；将未知端口的开放数量、出向入向包数比、出向入向字节比、平均网络连接时长、平均包个数、包数方差、平均字节数、字节数方差和公网IP连接占比确定为流量特征向量。

由于装置1500的各功能已在其对应的方法实施例中予以详细说明，本公开于此不再赘述。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图16来描述根据本发明的这种实施方式的电子设备1600。图16显示的电子设备1600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图16所示，电子设备1600以通用计算设备的形式表现。电子设备1600的组件可以包括但不限于：上述至少一个处理单元1610、上述至少一个存储单元1620、连接不同系统组件(包括存储单元1620和处理单元1610)的总线1630。

其中，存储单元存储有程序代码，程序代码可以被处理单元1610执行，使得处理单元1610执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元1610可以执行如本公开实施例所示的方法。

存储单元1620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)16201和/或高速缓存存储单元16202，还可以进一步包括只读存储单元(ROM)16203。

存储单元1620还可以包括具有一组(至少一个)程序模块16205的程序/实用工具16204，这样的程序模块16205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线1630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备1600也可以与一个或多个外部设备1640(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备1600交互的设备通信，和/或与使得该电子设备1600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口1650进行。并且，电子设备1600还可以通过网络适配器1660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器1660通过总线1630与电子设备1600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备1600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

根据本发明的实施方式的用于实现上述方法的程序产品可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和构思由权利要求指出。

Claims (15)

1.一种主机异常状态的检测方法，其特征在于，包括：

根据主机的进程特征数据确定进程树集合和所述进程家族集合；

根据所述进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵；

确定所述进程家族关系矩阵中的任一关系矩阵与所述进程家族集合中的任一进程家族之间的距离；

根据所述距离确定所述进程树集合中的进程树所属的所述进程家族集合中的一个进程家族；

根据所述进程家族中的进程树的树结构特征数据与流量特征数据确定所述主机的异常状态。

2.如权利要求1所述的主机异常状态的检测方法，其特征在于，根据主机的进程特征数据确定进程树集合和所述进程家族集合包括：

解析所述进程特征数据中包含的进程名称、进程标识符、父进程标识符；

根据所述进程标识符和所述父进程标识符确定进程之间的父子关系；

以所述进程名称为节点，以所述父子关系为边，构建进程树；

汇总所述进程树以生成进程树集合；

按照预设条件将所述进程树集合中的进程树划分为进程家族，并将所述进程家族汇总为所述进程家族集合。

3.如权利要求2所述的主机异常状态的检测方法，其特征在于，按照预设条件将所述进程树集合中的进程树划分为进程家族，并将所述进程家族汇总为所述进程家族集合包括：

将所述进程树集合中的一个进程树确定为第一进程树；

将所述进程树集合中的另一个进程树确定为第二进程树；

判断所述第一进程树和所述第二进程树是否满足一个所述预设条件；

若判定所述第一进程树和所述第二进程树满足一个所述预设条件，则确定所述第一进程树和所述第二进程树属于同一个进程树家族，

其中，所述预设条件中的第一预设条件为所述第一进程树的结构包括所述第二进程树的结构，所述预设条件中的第二预设条件为所述第二进程树的结构包括所述第一进程树的结构，所述预设条件中的第三预设条件为所述第一进程树的结构包括所述第二进程树减除最末端叶子节点后的子树结构，所述预设条件中的第四预设条件为所述第二进程树的结构包括所述第一进程树减除最末端叶子节点后的子树结构。

4.如权利要求1-3中任一项所述的主机异常状态的检测方法，其特征在于，根据所述进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵包括：

将所述进程家族集合中的一个进程家族；

确定所述进程家族中的任一个进程为另一进程的父进程的概率；

按照所述进程家族中的进程次序和概率构建进程关系矩阵；

遍历所述进程家族集合中的所有进程家族的进程关系矩阵以确定所述进程家族关系矩阵。

5.如权利要求1-3中任一项所述的主机异常状态的检测方法，其特征在于，确定所述进程家族关系矩阵中的任一关系矩阵与所述进程家族集合中的任一进程家族之间的距离包括：

确定一个所述关系矩阵的向量分量，记作第一向量分量；

确定一个所述进程家族的向量分量，记作第二向量分量；

确定所述第一向量分量与所述第二向量分量之间的欧氏距离；

将所述欧氏距离确定为所述关系矩阵与所述进程家族之间的距离。

6.如权利要求5所述的主机异常状态的检测方法，其特征在于，根据所述距离确定所述进程树集合中的进程树所属的所述进程家族集合中的一个进程家族包括：

确定全部所述欧氏距离中的最小值；

将所述最小值对应的进程家族确定为所述进程树所属的进程家族。

7.如权利要求1-3中任一项所述的主机异常状态的检测方法，其特征在于，根据所述进程家族中的进程树的树结构特征数据与流量特征数据确定所述主机的异常状态包括：

根据所述进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值；

根据所述进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值；

确定所述进程树的树结构特征数据与树结构特征向量平均值之间的绝对差值，记作第一差值；

确定所述进程树的流量特征数据与的流量特征向量平均值之间的绝对差值，记作第二差值；

判断所述第一差值与所述树结构特征向量距离基础值之间的第一大小关系，以及判断所述第二差值与流量特征向量距离基础值之间的第二大小关系；

根据所述第一大小关系和所述第二大小关系的判断结果，确定所述主机的异常状态。

8.如权利要求7所述的主机异常状态的检测方法，其特征在于，根据所述第一大小关系和所述第二大小关系的判断结果，确定所述主机的异常状态包括：

若判定所述第一差值大于所述树结构特征向量距离基础值，且判定所述第二差值小于流量特征向量距离基础值，则确定所述主机为异常进程启动状态；

若判定所述第一差值小于所述树结构特征向量距离基础值，且判定所述第二差值大于流量特征向量距离基础值，则确定所述主机为异常网络连接状态；

若判定所述第一差值大于所述树结构特征向量距离基础值，且判定所述第二差值大于流量特征向量距离基础值，则确定所述主机为异常未知进程状态。

9.如权利要求7所述的主机异常状态的检测方法，其特征在于，根据所述进程家族中的进程树的树结构特征数据确定树结构特征向量平均值和树结构特征向量距离基础值包括：

对所述进程家族中的进程树的树结构特征数据进行归一化；

确定归一化后的树结构特征数据的平均值，并将所述树结构特征数据的平均值确定为所述树结构特征向量平均值；

确定所述进程家族中的任两个进程树之间的欧氏距离；

根据所述进程树之间的欧氏距离、第一预设基线调整因子、进程树的数量确定所述树结构特征向量距离基础值。

10.如权利要求7所述的主机异常状态的检测方法，其特征在于，根据所述进程家族中的进程树的流量特征数据确定流量特征向量平均值和流量特征向量距离基础值包括：

确定所述进程家族中的进程树的流量特征向量；

对所述流量特征向量对应的流量特征数据进行归一化；

确定归一化后的流量特征数据的平均值，并将所述流量特征数据的平均值确定为所述流量特征向量平均值；

确定所述进程家族中的任两个进程树的流量特征向量之间的欧氏距离；

根据所述流量特征向量之间的欧氏距离、第二预设基线调整因子、进程树的数量确定所述流量特征向量距离基础值。

11.如权利要求10所述的主机异常状态的检测方法，其特征在于，确定所述进程家族中的进程树的流量特征向量包括：

获取所述主机的网络流量数据与网络连接状态数据；

将所述网络流量数据和所述网络连接状态数据按照本地通信属性信息进行关联，以得到所述主机的网络连接信息，所述通信属性信息包括本地IP、本地端口、外部IP、外部端口和协议中的至少一种；

将所述网络连接信息按照连接方式划分为入向连接信息和出向连接信息；

确定所述网络连接信息中的公网IP连接信息；

根据所述网络连接信息确定所述流量特征向量。

12.如权利要求11所述的主机异常状态的检测方法，其特征在于，根据所述网络连接信息确定所述流量特征向量包括：

根据所述网络连接信息确定所述进程树的未知端口的开放数量，且所述未知端口不属于预设端口白名单；

根据所述入向连接信息和所述出向连接信息确定出向入向包数比和出向入向字节比；

根据所述网络连接信息确定平均网络连接时长、平均包个数、包数方差、平均字节数和字节数方差；

根据所述网络连接信息确定任一端口的公网IP连接占比；

将所述未知端口的开放数量、所述出向入向包数比、所述出向入向字节比、所述平均网络连接时长、所述平均包个数、所述包数方差、所述平均字节数、所述字节数方差和所述公网IP连接占比确定为所述流量特征向量。

13.一种主机异常状态的检测装置，其特征在于，包括：

确定模块，用于根据主机的进程特征数据确定进程树集合和所述进程家族集合；根据主机的进程特征数据确定进程树集合和所述进程家族集合所述确定模块还用于，根据所述进程家族集合中的多个进程家族之间的距离确定进程家族关系矩阵；

所述确定模块还用于，确定所述进程家族关系矩阵中的任一关系矩阵与所述进程家族集合中的任一进程家族之间的距离；

所述确定模块还用于，根据所述距离确定所述进程树集合中的进程树所属的所述进程家族集合中的一个进程家族；

所述确定模块还用于，根据所述进程家族中的进程树的树结构特征数据与流量特征数据确定所述主机的异常状态。

14.一种电子设备，其特征在于，包括：

存储器；以及

耦合到所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如权利要求1-12中任一项所述的主机异常状态的检测方法。

15.一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现如权利要求1-12中任一项所述的主机异常状态的检测方法。

Images