CN106790142A - 一种发现IoT设备遭受入侵的方法及系统 - Google Patents

Abstract

本发明公开了一种发现IoT设备遭受入侵的方法及系统，包括：查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；或者，检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。本发明所述技术方案能够及时有效地发现当前物联网设备是否遭受入侵。

Description

一种发现IoT设备遭受入侵的方法及系统

技术领域

本发明涉及物联网安全技术领域，尤其涉及一种发现IoT设备遭受入侵的方法及系统。

背景技术

随着计算机网络的发展，信息化技术也不断的提高，而物联网也是新一代信息技术的重要组成部分，也是“信息化”时代的重要发展阶段，其英文名称是：“Internet ofthings（IoT）”。物联网的核心和基础同样也是依托于互联网，并且是在互联网基础上延伸和扩展的网络，其主要是物物相连的互联网。物联网通过智能感知、识别技术与普适计算等通信感知技术，广泛应用于网络的融合中，并以用户体验为基本核心。

物联网的飞速发展，给人们带来了更多的便利，带来遍历的同时也存在着诸多的安全隐患，被“有心人”利用物联网设备的缺陷或漏洞发起攻击。于2016年10月22日，发生了一起利用IoT设备(摄像头)发起DDOS攻击事件，导致大半个美国互联网瘫痪。由于此次攻击事件主要是使用“Mirai”僵尸网络程序发起的攻击，并且很多物联网设备遭受入侵后，管理者无法发现自己的物联网设备是否遭受攻击。

发明内容

针对上述技术问题，本发明所述的技术方案通过监控物联网设备内的系统登录日志，初步判断是否存在异常登录日志，并进一步监控当前设备发出的网络请求是否异常，若异常则判定遭受入侵。本发明解决了管理者通常无法及时发现当前设备被入侵的问题。

本发明采用如下方法来实现：一种发现IoT设备遭受入侵的方法，包括：

查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；或者，

检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

进一步地，所述查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵，具体为：

查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

上述方法中，所述查看当前设备的系统登录日志，包括：

查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

进一步地，所述监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵，具体为：

监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

进一步地，所述检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵，具体为：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。

本发明可以采用如下系统来实现：一种发现IoT设备遭受入侵的系统，包括：

登录日志查看模块，用于查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

网络请求监控模块，用于监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；或者，

端口服务检测模块，用于检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

进一步地，所述登录日志查看模块，具体用于：

查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

上述系统中，所述查看当前设备的系统登录日志，包括：

查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

进一步地，所述网络请求监控模块，具体用于：

监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

进一步地，所述端口服务检测模块，具体用于：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。

综上，本发明给出一种发现IoT设备遭受入侵的方法及系统，通过对已知物联网设备相关的僵尸网络攻击进行了研究，例如：“Mirai”僵尸网络，进而提出本发明中所述的方法及系统，不仅适用于以ARM、MIPS架构的物联网设备，而且适用于其他相关的任何物联网设备中，首先初步查看当前设备的系统登录日志，若存在针对该设备的高频的登录尝试后才顺利登录，则初步判定疑似遭受攻击。继续监控当前设备，若下述两种情况之一发生，则可以判定遭受入侵，第一，监控设备对外发起的网络请求，若频繁尝试登录其他设备，并每次尝试的账号和密码多数不同，则判定遭受入侵；第二，监控设备的预设端口的服务是否被篡改，若存在被篡改的情况，则认为攻击者尝试关闭掉当前设备对外提供正常服务的能力，则判定遭受入侵。

有益效果为：本发明所述技术方案能够及时发现针对物联网设备的入侵行为，有效降低损失。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种发现IoT设备遭受入侵的方法实施例流程图；

图2为本发明提供的一种发现IoT设备遭受入侵的系统实施例结构图。

具体实施方式

本发明给出了一种发现IoT设备遭受入侵的方法及系统实施例，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明：

本发明首先提供了一种发现IoT设备遭受入侵的方法实施例，如图1所示，包括：

S101查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

具体可以为：查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

其中，若存在超过预设频率的失败登录日志，说明当前设备疑似遭受到试探性的攻击；若其后紧随登录成功的日志信息，并且该登录成功的时间与前面各项失败登录日志信息的时间间隔相同或者类似，因此可以初步判定遭受到攻击尝试，并成功破解。

其中，所述查看当前设备的系统登录日志，包括但不仅限于：查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

S102监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；

具体可以为：监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

S103检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

具体包括但不限于：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。当上述情形之一或者两种及以上组合发生，则可以初步推测恶意代码的目的是kill掉这些默认的服务，让真正的用户或者管理者无法登录该IoT设备及访问web的管理页面。

上述方法实施例中，步骤S102和步骤S103之一发生即可判定遭受入侵，但是若S102和S103同时发生，则判定结果更加准确。

本发明其次提供了一种发现IoT设备遭受入侵的系统实施例，如图2所示，包括：

登录日志查看模块201，用于查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

网络请求监控模块202，用于监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；

端口服务检测模块203，用于检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

其中，所述网络请求监控模块202或者端口服务检测模块203之一检测到异常即可判定遭受入侵，若两个模块均检测到异常则准确性会更高。

优选地，所述登录日志查看模块，具体用于：

查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

上述系统实施例中，所述查看当前设备的系统登录日志，包括：

查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

优选地，所述网络请求监控模块，具体用于：

监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

优选地，所述端口服务检测模块，具体用于：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

上述实施例适用于当前各种体系架构下的物联网设备，通过监控当前设备的系统登录日志，确定是否存在试探性攻击；若高频率的失败登录日志后存在登录成功的日志，则判定该设备被成功破解登录；并继续监控当前设备对外发起的网络请求，是否存在对其他设备进行频繁的尝试登录的行为，若存在则判定该设备被入侵并尝试感染系统内其他设备；检测当前设备的预设端口服务是否被篡改，若存在端口服务被篡改的行为，则疑似攻击者破解该设备后，kill掉正常的服务，进而让普通用户或者管理者无法登录和使用，则判定该设备被入侵并尝试感染系统内其他设备。本发明上述实施例，能够在物联网设备被入侵初期，及时发现异常情况，并给出警告，避免造成更大的信息泄露或者经济损失。

以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种发现IoT设备遭受入侵的方法，其特征在于，包括：

查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；或者，

检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

2.如权利要求1所述的方法，其特征在于，所述查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵，具体为：

查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

3.如权利要求1或2所述的方法，其特征在于，所述查看当前设备的系统登录日志，包括：

查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

4.如权利要求1所述的方法，其特征在于，所述监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵，具体为：

监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

5.如权利要求1所述的方法，其特征在于，所述检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵，具体为：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。

6.一种发现IoT设备遭受入侵的系统，其特征在于，包括：

登录日志查看模块，用于查看当前设备的系统登录日志，若一定时间段内存在超过预设频率的失败登录日志并最终成功登录，则初步判定遭受入侵；

网络请求监控模块，用于监控当前设备对外发起的网络请求，若发现当前设备频繁尝试对外发送登录验证请求，则判定遭受入侵；或者，

端口服务检测模块，用于检测当前设备的网络端口服务，若预设端口的原始服务被篡改，则判定遭受入侵。

7.如权利要求6所述的系统，其特征在于，所述登录日志查看模块，具体用于：

查看当前设备的系统登录日志，判断在一定时间段内是否存在超过预设频率的失败登录日志，若不存在，则继续监控，若存在则继续判断在失败登录日志后是否存在登录成功的日志信息，若是则初步判定遭受入侵，否则继续监控。

8.如权利要求6或7所述的系统，其特征在于，所述查看当前设备的系统登录日志，包括：

查看telnet协议的系统登录日志；或者，查看ssh协议的系统登录日志。

9.如权利要求6所述的系统，其特征在于，所述网络请求监控模块，具体用于：

监控当前设备对外发起的网络请求，若发现当前设备频繁对外发送telnet协议或者ssh协议的登录验证请求，并且对外的登录验证请求涉及的账号或者密码不同，并返回大量错误信息，则判定当前设备遭受入侵并尝试感染其他设备。

10.如权利要求6所述的系统，其特征在于，所述端口服务检测模块，具体用于：

检测当前设备的22端口对应的ssh服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的23端口对应的telnet服务是否被篡改，若是则判定遭受入侵；或者，

检测当前设备的80端口对应的web服务是否被篡改，若是则判定遭受入侵。