CN105577670B - 一种撞库攻击的告警系统 - Google Patents

Abstract

本发明公开了一种撞库攻击的告警系统，用于能够发现互联网中的应用服务器受到的撞库攻击。撞库攻击的告警系统包括：用户端、应用服务器、网络设备和撞库攻击分析设备，其中，用户端和网络设备通过互联网连接，网络设备分别和应用服务器、撞库攻击分析设备连接；网络设备，用于对用户端和应用服务器之间传输的通信数据进行镜像处理从而生成通信数据对应的镜像数据，并将镜像数据发送给撞库攻击分析设备；撞库攻击分析设备，用于从网络设备获取到镜像数据；根据镜像数据获取到通信数据对应的用户访问动作；根据用户访问动作判断应用服务器是否正在受到撞库攻击，当应用服务器正在受到撞库攻击时，实时的发出告警。

Description

一种撞库攻击的告警系统

技术领域

本发明涉及计算机技术领域，具体涉及一种撞库攻击的告警系统。

背景技术

近年来，针对互联网应用进行撞库攻击，窃取大量用户私密信息的事件层出不穷。黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户名和账号密码，因此黑客可以通过获取用户在一个网站的账户从而尝试登录另一个网站，这就是撞库攻击，而依据现有的网络安全产品，应用服务器受到撞库攻击时很难及时发现并告警。

发明内容

本发明的目的在于提供一种撞库攻击的告警系统，用于能够发现互联网中的应用服务器受到的撞库攻击，实现对应用服务器的信息安全防护。

为了达到上述目的，本发明采用这样的如下技术方案：

本发明提供一种撞库攻击的告警系统，所述撞库攻击的告警系统包括：用户端、应用服务器、网络设备和撞库攻击分析设备，其中，

所述用户端和所述网络设备通过互联网连接，所述网络设备分别和所述应用服务器、所述撞库攻击分析设备连接；

所述网络设备，用于对所述用户端和所述应用服务器之间传输的通信数据进行镜像处理从而生成所述通信数据对应的镜像数据，并将所述镜像数据发送给所述撞库攻击分析设备；

所述撞库攻击分析设备，用于从所述网络设备获取到所述镜像数据；根据所述镜像数据获取到所述通信数据对应的用户访问动作；根据所述用户访问动作判断所述应用服务器是否正在受到撞库攻击，当所述应用服务器正在受到撞库攻击时，实时的发出告警。

采用上述技术方案后，本发明提供的技术方案将有如下优点：

本发明实施例提供的撞库攻击的告警系统中设置有网络设备和撞库攻击分析设备，该网络设备可以对用户端和应用服务器之间传输的通信数据进行镜像，从而生成通信数据对应的镜像数据，撞库攻击分析设备可以从网络设备获取到镜像数据，通过对该镜像数据的分析获取到用户端发出的用户访问动作，对该用户访问动作进行判断以确定该用户访问动作是否是撞库攻击行为，在确定应用服务器正在受到用户端的撞库攻击时，可以实时的主动发出告警，网站运维人员可以及时处置用户端的撞库攻击行为，从而有效降低因攻击造成的后续损失，实现对应用服务器的信息安全防护。

附图说明

图1为本发明实施例提供的一种撞库攻击的告警系统的组成结构示意图；

图2为本发明实施例提供的一种撞库攻击分析设备的组成结构示意图；

图3为本发明实施例提供的另一种撞库攻击的告警系统的组成结构示意图；

图4为本发明实施例提供一种撞库攻击的告警系统的应用场景中网络拓扑示意图；

图5为本发明实施例提供的一种撞库攻击的告警系统的处理流程示意图；

图6为本发明实施例提供的一种撞库攻击的告警系统的设计思路示意图。

具体实施方式

本发明实施例提供了一种撞库攻击的告警系统，用于能够发现互联网中的应用服务器受到的撞库攻击，实现对应用服务器的信息安全防护。

为使得本发明的发明目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，下面所描述的实施例仅仅是本发明一部分实施例，而非全部实施例。基于本发明中的实施例，本领域的技术人员所获得的所有其他实施例，都属于本发明保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，以便包含一系列单元的过程、方法、系统、产品或设备不必限于那些单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它单元。

以下分别以具体的实施例对本发明实施例提供的撞库攻击的告警系统进行详细说明。请参阅图1所示，本发明提供的一种撞库攻击的告警系统示意图，撞库攻击的告警系统可以包括如下组成结构：用户端、应用服务器、网络设备和撞库攻击分析设备，其中，用户端和网络设备通过互联网连接，网络设备分别和应用服务器、撞库攻击分析设备连接；

网络设备，用于对用户端和应用服务器之间传输的通信数据进行镜像处理从而生成通信数据对应的镜像数据，并将镜像数据发送给撞库攻击分析设备；

撞库攻击分析设备，用于从网络设备获取到镜像数据；根据镜像数据获取到通信数据对应的用户访问动作；根据用户访问动作判断应用服务器是否正在受到撞库攻击，当应用服务器正在受到撞库攻击时，实时的发出告警。

其中，网络设备是设置在用户端和应用服务器之间的设备，该网络设备可以是交换机。网络设备具有数据镜像功能，对于用户端和应用服务器之间进行上行传输过程和下行传输过程中产生的通信数据进行镜像处理，网络设备对用户端和应用服务器之间传输的通信数据进行镜像处理并不会影响用户端和应用服务器之间的原有通信行为，对于用户端和应用服务器而言是无感知的。网络设备生成通信数据对应的镜像数据，并将该镜像数据发送给撞库攻击分析设备，撞库攻击分析设备和该网络设备可以通过内部局域网的方式连接。

本发明实施例中在撞库攻击的告警系统设置有撞库攻击分析设备，该撞库攻击分析设备和网络设备相连接，撞库攻击分析设备不会对应用服务器与外界的行为产生干扰。撞库攻击分析设备从网络设备得到镜像数据，该镜像数据与用户端和应用服务器之间传输的通信数据具有完全相同的数据内容，撞库攻击分析设备可以通过镜像数据来分析用户端是否正在进行撞库攻击。其中，撞库攻击分析设备可以对镜像数据进行分析，从镜像数据中获取到通信数据对应的用户访问动作，该用户访问动作可以表示用户端正在进行登陆应用服务器的动作，也可以表示用户端进行的其它访问行为，例如评论、点赞都是用户端可能执行的访问动作。撞库攻击分析设备接下来根据该用户访问动作判断应用服务器是否正在受到撞库攻击。即用户端发起的用户访问动作表明了用户对应用服务器实施的具体行为，通过分析用户访问行为可以确定用户端是否发起了对应用服务器的撞库攻击行为。本发明实施例中撞库攻击分析设备可以采用对用户访问动作的多个分析确定方式来判断应用服务器是否受到了撞库攻击。举例说明如下，撞库攻击分析设备可以预先建立分析模块，通过对该分析模型中设置的用户访问动作的动作特征描述来确定应用服务器是否受到了撞库攻击，这些分析模型的具体建模过程可以依据具体的应用服务器进行设置。当应用服务器正在受到撞库攻击时，撞库攻击分析设备实时的发出告警，例如撞库攻击分析设备可以通过告警信息通知给网站运维人员及时处置。

在本发明的一些实施例中，请参阅如图2所示，撞库攻击分析设备，包括：数据捕获模块、传输控制协议（英文全称：Transmission Control Protocol ，英文缩写：TCP）还原模块、应用层协议解析模块、动作分析模块、攻击判断模块和告警模块，其中，

数据捕获模块和TCP还原模块连接，TCP还原模块和应用层协议解析模块连接，应用层协议解析模块和动作分析模块连接，动作分析模块和攻击判断模块连接，攻击判断模块和告警模块连接；

数据捕获模块，用于从网络设备捕获到网络设备发送的镜像数据；

TCP还原模块，用于对数据捕获模块捕获到的镜像数据进行TCP还原处理和整合处理从而生成会话数据流；

应用层协议解析模块，用于根据应用层协议规范对会话数据流进行解析，从会话数据流中过滤出用于解析动作的会话数据；

动作分析模块，用于根据应用层协议规范对会话数据进行动作提取，以得到用户访问动作；

攻击判断模块，用于判断用户访问动作是否为登陆应用服务器的动作，当用户访问动作是登陆应用服务器的动作时，根据预置的安全防护策略判断用户端是否正在对应用服务器进行撞库攻击，当应用服务器正在受到撞库攻击时，触发告警模块实时的发出告警。

需要说明的是，上述撞库攻击分析设备包括的多个模块都可以是独立实现的单独部件，也可以是其中两个或几个模块的集成，撞库攻击分析设备包括的各个模块的功能说明如上，具体模块的结构可以根据场景灵活设置。在本发明的一些实施例中，数据捕获模块具体为网络嗅探器（英文名称：Sniffer），TCP还原模块具体为会话整合器，该会话整合器中保存有会话列表（英文名称：Session_table）。应用层协议解析模块具体为应用分析器。具体模块的结构并不是局限于上述举例说明，也可以根据其它实现场景灵活设置。

在本发明的一些实施例中，撞库攻击分析设备，还包括：数据重组模块，其中，数据重组模块还没有在图2中示意说明，数据捕获模块通过数据重组模块和TCP还原模块连接起来；数据重组模块，用于对网络设备发送的镜像数据进行分片重组，并将分片重组后的镜像数据发送给TCP还原模块。举例说明如下，数据包重组是指用户数据报协议（英文全称：UserDatagram Protocol，英文缩写：UDP）传输时，可能产生互联网协议（英文全称：InternetProtocol，英文缩写：IP）层分片，需要根据分片对镜像数据进行重组。

在本发明的一些实施例中，请参阅如图3所示，本发明实施例提供的撞库攻击的告警系统还包括：数据库，其中，数据库和撞库攻击分析设备连接；

数据库，用于存储撞库攻击分析设备获取到的用户访问动作；存储应用服务器的历史访问数据；

撞库攻击分析设备，具体用于从数据库获取到应用服务器的历史访问数据，将用户访问动作与历史访问数据进行对比分析，确定应用服务器是否正在受到撞库攻击。

具体的，撞库攻击的告警系统中还可以设置一个数据库，该数据库存储有应用服务器的历史访问数据，撞库攻击分析设备在确定应用服务器是否正在受到撞库攻击时，可以将用户访问动作与历史访问数据进行对比分析，从而判断出应用服务器的异常情况，最终确定应用服务器是否受到撞库攻击。举例说明如下：在长期以来，统计的应用服务器的日用户登录量为1000次，而在某一天突然高于正常水平，如达到的100000的登陆次数，则撞库攻击分析设备可以确定应用服务器受到了撞库攻击。

在本发明的一些实施例中，撞库攻击的告警系统还包括：防火墙设备，其中，用户端和防火墙设备通过互联网连接，防火墙设备和网络设备连接。

在本发明的一些实施例中，撞库攻击的告警系统还包括的应用服务器为多个，多个的应用服务器构成应用服务器集群，应用服务器集群中的每一个应用服务器分别和网络设备连接。在这种情况下，集群中的应用服务器是否受到撞库攻击都可以通过撞库攻击分析设备来确定，例如前述描述的撞库攻击分析设备中对撞库攻击的告警判断。

通过前述实施例对本发明的描述可知，本发明实施例提供的撞库攻击的告警系统中设置有网络设备和撞库攻击分析设备，该网络设备可以对用户端和应用服务器之间传输的通信数据进行镜像，从而生成通信数据对应的镜像数据，撞库攻击分析设备可以从网络设备获取到镜像数据，通过对该镜像数据的分析获取到用户端发出的用户访问动作，对该用户访问动作进行判断以确定该用户访问动作是否是撞库攻击行为，在确定应用服务器正在受到用户端的撞库攻击时，可以实时的主动发出告警，网站运维人员可以及时处置用户端的撞库攻击行为，从而有效降低因攻击造成的后续损失，实现对应用服务器的信息安全防护。

为便于更好的理解和实施本发明实施例的上述方案，下面举例相应的应用场景来进行具体说明。

为了能够及时发现撞库攻击，并对应用服务器不造成性能影响，不增加应用服务器的处理负荷，本发明实施例提供的撞库攻击的告警系统在网络设备上镜像应用服务器的通信数据流，从而实时的判断出应用服务器是否受到撞库攻击。本发明实施例中，在应用服务器的网络入口处利用网络设备把用户端与应用服务器的通信数据进行双向镜像接入本系统。本系统对网络数据包进行重组、TCP会话数据还原、应用协议解析，实现对网络通信数据动作的获取，依据获取到的用户访问动作确定当前系统是否正在受到撞库攻击。本发明实施例提供的撞库攻击的告警系统能够解决撞库攻击及时发现的问题、对原有应用服务器性能不造成影响，不需要修改任何原有应用服务器功能和处理流程。如图4所示，为本发明实施例提供一种撞库攻击的告警系统的应用场景中网络拓扑示意图。如图5所示，为本发明实施例提供的一种撞库攻击的告警系统的处理流程示意图。如图6所示，为本发明实施例提供的一种撞库攻击的告警系统的设计思路示意图。

撞库攻击分析设备接入应用服务器，该应用服务器可以是集群中的服务器，撞库攻击分析设备与互联网的入口处的某个网络设备（例如可以是交换机）连接，该网络设备具有数据镜像功能，复制用户端（例如手机设备、电脑设备、平板设备）与应用服务器的通信数据，然后网络设备将复制得到的通信数据发送给撞库告警设备。撞库告警设备可以执行图5中的数据处理流程，判断是否有撞库攻击发生。

在图5中的处理流程如下。首先，网络设备把通信数据镜像给撞库攻击分析设备，撞库攻击分析设备中的数据捕获模块负责捕获通信数据，然后交给TCP还原模块进行通信数据流的整合还原，将数据包按照TCP序号重排，删除重复数据包、处理数据覆盖数据包，得到完整的会话数据流，应用层协议解析模块对整合好的会话数据流进行应用协议数据还原，动作分析模块取出通信数据的登陆动作，写入数据库中。攻击判断模块针对撞库攻击技术特点对攻击源IP地址、攻击频率、单次攻击成功失败情况进行分析，结合安全策略进行最终攻击判断，安全策略可通过历史访问数据不断优化，从而提高攻击分析能力。从数据库中获取用户访问动作，根据分析模型，判断有撞库攻击发生，然后把相关信息存储到数据库。

如图6所示，显示了本发明实施例提供的撞库攻击的告警系统的设计思路方案。撞库攻击的告警系统中可以设计四个层级：应用层、数据分析挖掘层、数据存储层和数据采集层。其中，数据采集层中设置有多个处理通道，如图6中以处理通道1、处理通道2、…、处理通道n为例。其中，每个处理通道中都包括一个嗅探器和处理器，该处理器中包括会话整合器和应用分析器。数据分析挖掘层可以用于撞库攻击动作分析、告警级别判断分析和事件内容生成，最后由应用层进行撞库告警。具体的，通过网络设备的镜像功能，把数据镜像到撞库攻击分析设备连接的端口。数据捕获模块使用开源工具libpcap的数据包捕获功能实现，通过libpcap的调用接口获取数据包。TCP还原模块依据通信五元组区分会话，建立会话哈希表，根据TCP请求号、TCP确认号对数据包进行顺序重排，删除重复数据包，得到完整的会话数据。应用层协议解析模块根据应用层的协议规范，对会话数据流进行分析，过滤出需要解析动作的会话数据。动作分析模块使用应用层协议规范对会话数据进行动作提取，并写入数据库。攻击判断模块依据用户动作特征，通过攻击发现算法，实现自动判断撞库攻击是否发生。本发明实施例提供的系统能够解决撞库攻击及时发现的问题、对原有服务器性能不造成影响，不需要修改任何原有服务器功能和处理流程。

另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本发明而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘、U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述的方法。

综上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照上述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对上述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种撞库攻击的告警系统，其特征在于，所述撞库攻击的告警系统包括：用户端、应用服务器、网络设备和撞库攻击分析设备，其中，

所述用户端和所述网络设备通过互联网连接，所述网络设备分别和所述应用服务器、所述撞库攻击分析设备连接；

所述网络设备，用于对所述用户端和所述应用服务器之间传输的通信数据进行镜像处理从而生成所述通信数据对应的镜像数据，并将所述镜像数据发送给所述撞库攻击分析设备；

所述撞库攻击分析设备，用于从所述网络设备获取到所述镜像数据；根据所述镜像数据获取到所述通信数据对应的用户访问动作；根据所述用户访问动作判断所述应用服务器是否正在受到撞库攻击，当所述应用服务器正在受到撞库攻击时，实时的发出告警；

其中，所述撞库攻击分析设备，包括：数据捕获模块、传输控制协议TCP还原模块、应用层协议解析模块、动作分析模块、攻击判断模块和告警模块，其中，

所述数据捕获模块和所述TCP还原模块连接，所述TCP还原模块和所述应用层协议解析模块连接，所述应用层协议解析模块和所述动作分析模块连接，所述动作分析模块和所述攻击判断模块连接，所述攻击判断模块和所述告警模块连接；

所述数据捕获模块，用于从所述网络设备捕获到所述网络设备发送的镜像数据；

所述TCP还原模块，用于对所述数据捕获模块捕获到的镜像数据进行TCP还原处理和整合处理从而生成会话数据流；

所述应用层协议解析模块，用于根据应用层协议规范对所述会话数据流进行解析，从所述会话数据流中过滤出用于解析动作的会话数据；

所述动作分析模块，用于根据应用层协议规范对所述会话数据进行动作提取，以得到所述用户访问动作；

所述攻击判断模块，用于判断所述用户访问动作是否为登陆所述应用服务器的动作，当所述用户访问动作是登陆所述应用服务器的动作时，根据预置的安全防护策略判断所述用户端是否正在对所述应用服务器进行撞库攻击，当所述应用服务器正在受到撞库攻击时，触发所述告警模块实时的发出告警。

2.根据权利要求1所述的一种撞库攻击的告警系统，其特征在于，所述数据捕获模块具体为网络嗅探器，所述TCP还原模块具体为会话整合器，所述应用层协议解析模块具体为应用分析器。

3.根据权利要求1所述的一种撞库攻击的告警系统，其特征在于，所述撞库攻击分析设备，还包括：数据重组模块，其中，

所述数据捕获模块通过所述数据重组模块和所述TCP还原模块连接起来；

所述数据重组模块，用于对所述网络设备发送的镜像数据进行分片重组，并将分片重组后的镜像数据发送给所述TCP还原模块。

4.根据权利要求1所述的一种撞库攻击的告警系统，其特征在于，所述撞库攻击的告警系统还包括：数据库，其中，

所述数据库和所述撞库攻击分析设备连接；

所述数据库，用于存储所述撞库攻击分析设备获取到的用户访问动作；存储所述应用服务器的历史访问数据；

所述撞库攻击分析设备，具体用于从所述数据库获取到所述应用服务器的历史访问数据，将所述用户访问动作与所述历史访问数据进行对比分析，确定所述应用服务器是否正在受到撞库攻击。

5.根据权利要求1所述的一种撞库攻击的告警系统，其特征在于，所述撞库攻击的告警系统还包括：防火墙设备，其中，

所述用户端和所述防火墙设备通过互联网连接，所述防火墙设备和所述网络设备连接。

6.根据权利要求1所述的一种撞库攻击的告警系统，其特征在于，所述撞库攻击的告警系统还包括的应用服务器为多个，多个的应用服务器构成应用服务器集群，所述应用服务器集群中的每一个应用服务器分别和所述网络设备连接。