(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111563674.9 (22)申请日 2021.12.20 (71)申请人 奇安信科技 集团股份有限公司 地址 100032 北京市西城区新 街口外大街 28号102号楼3层3 32号 申请人 网神信息技 术 （北京） 股份有限公司 (72)发明人 李云龙　谭学士　陈祚松　 (74)专利代理 机构 北京鼎佳达知识产权代理事 务所(普通 合伙) 11348 代理人 刘铁生　孟阿妮 (51)Int.Cl. H04L 9/40(2022.01) H04L 43/10(2022.01) (54)发明名称 一种可疑外连的检测方法及装置 (57)摘要 本发明公开了一种可疑外连的检测方法及 装置， 涉及网络安全检测技术领域， 主要目的在 于实现及时发现未知 的可疑外连并判断其可疑 程度， 以提升对可疑外连检测的准确率。 本发明 主要的技术方案为： 基于多维度检测对待检测流 量进行检测， 所述多维度检测中至少含有一个利 用历史数据进行特征流行度检测的维度， 且每个 维度具有多项的特征检测； 根据对 所述多维度检 测中各项特征的检测结果， 提取属于同一外连流 量的目标检测结果； 根据所述多维度检测中特征 检测的项数以及所述目标检测结果确定所述外 连流量的可疑程度。 本发明用于对 可疑外连的检 测。 权利要求书2页 说明书11页 附图4页 CN 114257444 A 2022.03.29 CN 114257444 A 1.一种可疑外连的检测方法， 其特 征在于， 所述方法包括： 基于多维度检测对待检测流量进行检测， 所述多维度检测中至少含有一个利用历史数 据进行特征流行度检测的维度， 且每 个维度具有 多项的特征检测； 根据对所述多维度检测中各项特征的检测结果， 提取属于同一外连流量的目标检测结 果； 根据所述多维度检测中特征检测的项数以及所述目标检测结果确定所述外连流量的 可疑程度。 2.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 根据所述待检测流 量获取对应的日志信息； 基于所述日志信息的类别确定所述多维度检测中的对应维度。 3.根据权利要求2所述的方法， 其特征在于， 所述日志信息的类别至少包括流量日志、 进程日志、 用户行为日志中的至少一种， 所述方法还 包括： 设置各维度对应的特征检测项， 其中， 对于流量日志维度的特征检测项至少包括源IP、 目的IP以及域名的流行度检测， 对于进程日志维度的特征检测项至少包括进程哈希值的流 行度检测， 对于用户行为日志维度的特 征检测项至少包括异常行为检测。 4.根据权利要求1所述的方法， 其特征在于， 在提取属于同一外连流量的目标检测结果 之后， 所述方法还 包括： 获取所述外连流量的检测特征， 所述检测特征为所述多维度检测含有的特征之外的特 征； 利用预设的专家规则对所述检测特征与目标检测结果进行匹配， 所述专家规则是基于 恶意外连样本所 具有的特 征而设置的匹配规则； 若匹配成功， 则确定所述外连流 量为恶意外连流 量， 生成报警信息 。 5.根据权利要求 4所述的方法， 其特 征在于， 在匹配失败时， 所述方法还 包括： 利用预设规则判断所述外连流量是否可疑， 所述预设规则用于确定非恶意外连流量为 正常的外连流 量； 若可疑， 则执行根据 所述多维度检测中特征检测的项数以及所述目标检测结果确定所 述外连流 量的可疑程度。 6.根据权利要求1所述的方法， 其特征在于， 根据 所述多维度检测中特征检测的项数以 及所述目标检测结果确定所述外连流 量的可疑程度， 包括： 获取所述多维度检测中各项特 征所对应的权 重值； 根据所述权 重值与所述目标检测结果确定所述外连流 量的可疑程度。 7.根据权利要求1 ‑6中任一项所述的方法， 其特 征在于， 所述方法还 包括： 基于所述多维度检测中各维度间的相关性设置所述多维度检测的检测逻辑。 8.一种可疑外连的检测装置， 其特 征在于， 所述装置包括： 检测单元， 用于基于多维度检测对待检测流量进行检测， 多维度检测中至少含有一个 利用历史数据进行 特征流行度检测的维度， 且每 个维度具有 多项的特征检测； 提取单元， 用于根据对所述检测单元多维度检测中各项特征的检测结果， 提取属于同 一外连流 量的目标检测结果； 第一确定单元， 根据 所述检测单元多维度检测中特征检测的项数以及所述提取单元获权　利　要　求　书 1/2 页 2 CN 114257444 A 2得的目标检测结果确定所述外连流 量的可疑程度。 9.一种存储介质， 其特征在于， 所述存储介质包括存储的程序， 其中， 在所述程序运行 时控制所述存储介质所在设备执行如权利要求1至权利要求7中任意一项所述的可疑外连 的检测方法。 10.一种处理器， 其特征在于， 所述处理器用于运行程序， 其中， 所述程序运行时执行如 权利要求1至 权利要求7中任意 一项所述的可疑外连的检测方法。权　利　要　求　书 2/2 页 3 CN 114257444 A 3