(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111612249.4 (22)申请日 2021.12.27 (71)申请人 奇安信科技 集团股份有限公司 地址 100088 北京市西城区新 街口外大街 28号102号楼3层3 32号 申请人 网神信息技 术 （北京） 股份有限公司 (72)发明人 杨鹤　张文霞　 (74)专利代理 机构 北京市浩天知识产权代理事 务所(普通 合伙) 11276 代理人 梁倩 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/08(2022.01) H04L 67/1396(2022.01) G06F 11/30(2006.01) (54)发明名称 一种远程登录行为处理方法、 装置、 计算设 备和存储介质 (57)摘要 本发明公开了一种远程登录行为处理方法、 装置、 计算 设备和存储介质， 该方法包括： 监控系 统中所启动的进程； 判断所启动的进程中是否包 括指定进程； 若是， 则确定系统中存在远程登录 行为。 本发 明可以通过监控系统中所启动的进程 便捷地确定系统中是否存在远程 登录行为， 实现 了对远程登录行为的精准识别。 权利要求书2页 说明书7页 附图4页 CN 114338135 A 2022.04.12 CN 114338135 A 1.一种远程登录行为处 理方法， 其特 征在于， 包括： 监控系统中所启动的进程； 判断所启动的进程中是否包括指定进程； 若是， 则确定所述系统中存在远程登录行为。 2.根据权利要求1所述的方法， 其特征在于， 在所述确定所述系统中存在远程登录行为 之后， 所述方法还 包括： 获取与所述远程登录行为对应的用户相关信息； 将所述用户相关信息与预 先设定的安全管控规则进行比对； 依据比对结果判断所述远程登录行为是否存在安全风险， 若是， 则对所述远程登录行 为进行处 理。 3.根据权利要求2所述的方法， 其特征在于， 所述用户相关信 息至少包括以下信 息中的 一项或多 项： 用户标识、 来源IP地址、 端口、 远程登录后用户所创建的进程和用户操作行为。 4.根据权利要求3所述的方法， 其特征在于， 所述获取与 所述远程登录行为对应的用户 相关信息进一 步包括： 获取所述系统中所启动的指定进程的会话信 息， 并获取所述系统中所启动的具有相同 的所述会话信息的进程作为远程登录后用户所创建的进程。 5.根据权利要求3所述的方法， 其特征在于， 所述获取与 所述远程登录行为对应的用户 相关信息进一 步包括： 获取与所述远程登录行为对应的日志信息； 解析所述日志信息， 得到用户标识、 来源IP地址、 端口和/或用户操作行为。 6.根据权利要求3 ‑5任一项中所述的方法， 其特征在于， 所述将所述用户相关信 息与预 先设定的安全管控规则进行比对进一 步包括： 将所述用户相关信息中的用户标识、 来源IP地址和/或端口与所述安全管控规则中的 用户黑名单进行比对； 和/或， 将所述用户相关信息中的远程登录后用户所创建的进程与所述安全管控规则中的风 险进程清单进行比对； 和/或， 将所述用户相关信息中的用户操作行为与所述安全管控规则中的风险操作行为清单 进行比对。 7.根据权利要求2 ‑6任一项所述的方法， 其特征在于， 所述对所述远程登录行为进行处 理进一步包括： 对所述远程登录行为进行拦截处 理， 并对所述用户相关信息进行记录 。 8.根据权利要求2 ‑7任一项所述的方法， 其特 征在于， 所述方法还 包括： 依据历史记录的用户相关信息进行训练学习， 更新所述 安全管控规则。 9.一种远程登录行为处 理装置， 其特 征在于， 包括： 监控模块， 用于监控系统中所启动的进程； 第一判断模块， 用于判断所启动的进程中是否包括指定进程； 确定模块， 用于若包括指定进程， 则确定所述系统中存在远程登录行为。 10.一种计算设备， 其特征在于， 包括： 处理器、 存储器、 通信 接口和通信总 线， 所述处理 器、 所述存 储器和所述 通信接口通过 所述通信总线完成相互间的通信；权　利　要　求　书 1/2 页 2 CN 114338135 A 2所述存储器用于存放至少一可执行指令， 所述可执行指令使所述处理器执行如权利要 求1‑8中任一项所述的一种远程登录行为处 理方法对应的操作。 11.一种计算机存储介质， 其特征在于， 所述存储介质中存储有至少一可执行指令， 所 述可执行指令使处理器执行如权利要求1 ‑8中任一项 所述的一种远程登录行为处理方法对 应的操作。权　利　要　求　书 2/2 页 3 CN 114338135 A 3