(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111452448.3 (22)申请日 2021.12.01 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 周强　范鸿雷　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 李飞 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种失陷主机的检测方法、 装置、 电子设备 及存储介质 (57)摘要 本申请实施例提供一种失陷主机的检测方 法、 装置、 电子设备及存储介质， 其中， 该方法包 括： 获取待检测主机多个网络行为； 根据所述多 个网络行为获取所述待检测主机的安全系数； 根 据所述安全系数， 判断所述待检测主机是否为失 陷主机。 实施本申请实施例， 能够提高对失陷主 机的检测准确率。 权利要求书1页 说明书7页 附图4页 CN 114124560 A 2022.03.01 CN 114124560 A 1.一种失陷主机的检测方法， 其特 征在于， 所述方法包括： 获取待检测主机多个网络行为； 根据所述多个网络行为获取 所述待检测主机的安全系数； 根据所述 安全系数确定所述待检测主机是否为失陷主机 。 2.根据权利要求1所述的失陷主机的检测方法， 其特征在于， 所述根据 所述多个网络行 为获取所述待检测主机的安全系数的步骤， 包括： 获取所述多个网络行为对应的异常操作状态的数量； 根据所述异常操作状态的数量获取 所述待检测主机的安全系数。 3.根据权利要求2所述的失陷主机的检测方法， 其特征在于， 所述根据 所述异常操作状 态的数量获取 所述待检测主机的安全系数的步骤， 包括： 获取所述异常操作状态的权 重； 根据所述异常操作状态的权重、 所述异常操作状态的数量获取所述待检测主机的安全 系数。 4.根据权利要求1 ‑3任一项所述的失陷主机的检测方法， 其特征在于， 所述根据 所述安 全系数确定所述待检测主机是否为失陷主机的步骤， 包括： 判断所述 安全系数 是否大于预设阈值； 若是， 判定所述待检测主机为失陷主机； 若否， 判定所述待检测主机为非 失陷主机 。 5.根据权利要求1 ‑3任一项所述的失陷主机的检测方法， 其特征在于， 所述网络行为包 括： 网络探测其他主机， 端口探测其他主机、 发起分布式拒绝服务攻击、 域名访问行为、 数据 存储行为中的任意 一种或多种。 6.根据权利要求2或3所述的失陷主机的检测方法， 其特征在于， 所述异常操作状态包 括： 网络探测和所述待检测主机同网段的其他主机、 端口探测与 所述待检测主机同网段的 其他主机、 向外网的主机发起分布式拒绝服务攻击、 访问恶意域名、 数据泄露中的任意一种 或多种。 7.根据权利要求4所述的失陷主机的检测方法， 其特征在于， 在所述判定所述待检测主 机为失陷主机的步骤之后， 还 包括： 通知所述待检测主机的安全组件进行安全防御。 8.一种失陷主机的检测装置， 其特 征在于， 所述装置包括： 网络行为获取模块， 用于获取待检测主机多个网络行为； 安全系数获取模块， 用于根据所述多个网络行为获取 所述待检测主机的安全系数； 判定模块， 用于根据所述 安全系数确定所述待检测主机是否为失陷主机 。 9.一种电子设备， 其特征在于， 包括： 存储器、 处理器以及存储在所述存储器中并可在 所述处理器上运行 的计算机程序， 所述处理器执行所述计算机程序时实现如权利要求1 ‑7 任一项所述的失陷主机的检测方法。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有指令， 当所述指令在计算机上运行时， 使得所述计算机执行如权利要求1 ‑7任一项所述的失陷主 机的检测方法。权　利　要　求　书 1/1 页 2 CN 114124560 A 2一种失陷 主机的检测方 法、 装置、 电子设备及存储介质 技术领域 [0001]本申请涉及网络安全技术领域， 具体而言， 涉及一种失陷主机的检测方法、 装置、 电子设备和计算机可读存 储介质。 背景技术 [0002]当前网络攻击越来越多， 安全设备大量被部署到网络中用于保护主机资产， 即使 在网络设备 的保护下， 一些资产被攻击后存在被攻陷的风险， 所以需要一种手段能够检测 出失陷主机并自动对失陷资产进行安全防护。 现有的技术手段的判断条件比较单一， 准确 率较低。 发明内容 [0003]本申请实施例的目的在于提供一种 失陷主机 的检测方法、 装置、 电子设备和计算 机可读存储介质。 根据待检测主机的多个网络行为获取待检测主机的安全系 数， 实现多维 度的判断， 提高对失陷主机的检测准确率。 [0004]第一方面， 本申请实施例提供了一种失陷主机的检测方法， 所述方法包括： [0005]获取待检测主机多个网络行为； [0006]根据所述多个网络行为获取 所述待检测主机的安全系数； [0007]根据所述 安全系数确定所述待检测主机是否为失陷主机 。 [0008]在上述实现过程中， 本申请实施例获取的是待检测主机 的多个网络行为， 通过多 个网络行为来获取待检测主机的安全系数， 使得安全系数更能够反映出当前待检测主机的 网络安全状态， 进一步地， 根据安全系数确定该待检测主机是否为 失陷主机， 能够提高对失 陷主机的检测准确率。 [0009]进一步地， 所述根据所述多个网络行为获取所述待检测主机 的安全系数的步骤， 包括： [0010]获取所述多个网络行为对应的异常操作状态的数量； [0011]根据所述异常操作状态的数量获取 所述待检测主机的安全系数。 [0012]在上述实现过程中， 异常操作状态能够 衡量当前待检测主机的网络状态， 因此， 根 据异常操作状态的数量能够直接、 快速地获取待检测主机的安全系数。 [0013]进一步地， 所述根据所述异常操作状态的数量获取所述待检测主机的安全系数的 步骤， 包括： [0014]获取所述异常操作状态的权 重； [0015]根据所述异常操作状态的权重、 所述异常操作状态的数量获取所述待检测主机的 安全系数。 [0016]在上述实现过程中， 有的异常操作状态可能是待检测主机在日常的工作中随机会 触发的， 对待检测主机以及同网段的主机的威胁较小， 有的异常操作状态可能是主机被病 毒入侵之后做出的动作， 对待检测主机以及同网段的主机威胁较大， 因此， 不同的异常操作说　明　书 1/7 页 3 CN 114124560 A 3