CN107005543A - 用于防止未经授权的网络入侵的系统和方法 - Google Patents

Abstract

本发明公开了一种用于防止未经授权的网络入侵的计算机实现的方法，所述方法可以包括：(1)识别由网络的一个或多个天线从尝试接入所述网络的设备的收发器接收的信号；(2)检测由所述网络的所述天线接收的与接入所述网络的所述尝试有关的所述信号的一个或多个信号强度；(3)至少部分地基于所述信号的所述信号强度，确定接入所述网络的所述尝试是有可能恶意的，以及随后响应于确定访问所述网络的所述尝试是有可能恶意的；(4)发起至少一个安全措施以应对接入所述网络的所述有可能恶意尝试。本发明还公开了各种其他方法、系统和计算机可读介质。

Description

用于防止未经授权的网络入侵的系统和方法

背景技术

保护专用网络是小到家庭大到政府的各个组织正面临的一个关键问题。此类组织可尝试使用各种传统方法来保护专用网络。例如，组织管理员可授权具有某些媒体访问控制(MAC)地址的计算机，并且仅准许具有授权的MAC地址的计算机接入网络。又如，组织管理员可使用密码保护专用网络，并且只准许成功输入正确密码的计算机接入网络。遗憾的是，未经授权的计算机的用户可例如通过非法克隆授权的MAC地址和/或通过生成大量的连续密码猜测来尝试强行破解网络密码，从而躲开这些传统保护措施。因此，本公开识别并应对了对用于防止未经授权的网络入侵的另外的经改进的系统和方法的需要。

发明内容

如将在下文更详细地描述，本公开描述了通过识别来自尝试接入网络的设备的信号，然后至少部分地基于所识别的信号来确定接入尝试是否是恶意的，从而防止未经授权的网络入侵的各种系统和方法。在一个示例中，一种用于防止未经授权的网络入侵的计算机实现的方法可包括：(1)识别由网络的一个或多个天线从尝试接入网络的设备的收发器接收的信号；(2)检测由网络的天线接收的与尝试接入网络有关的信号的一个或多个信号强度；(3)至少部分地基于信号的信号强度来确定接入网络的尝试是有可能恶意的，然后响应于确定接入网络的尝试是有可能恶意的；(4)发起至少一个安全措施以应对接入网络的有可能恶意的尝试。

在一个实施例中，计算机实现的方法还可包括至少部分地基于由网络的天线接收的信号的信号强度生成由网络的天线接收的信号的信号分布。在一些示例中，确定接入网络的尝试是有可能恶意的可包括：(1)识别指定先前已经被检测到与接入网络的阈值次数的失败尝试有关的可疑信号分布的策略；(2)确定该信号分布与在该策略中指定的可疑信号分布中的至少一个相匹配；然后(3)至少部分地由于该信号分布与策略中指定的至少一个可疑信号分布相匹配，确定接入网络的尝试是有可能恶意的。

在一个实施例中，检测由网络的天线接收的信号的一个或多个信号强度可包括检测经由网络的天线内的第一天线的所识别信号的第一强度，并且检测经由网络的天线内的至少一个另外天线的所识别信号中的至少一个另外强度。在该实施例中，生成信号的信号分布可包括至少部分地基于信号分布识别所接收信号的第一强度和至少一个另外强度之间的差异。除此之外或作为另外一种选择，确定接入网络的尝试是有可能恶意的可包括：(1)识别指定由网络的天线接收的信号的信号强度的可疑差异的策略；(2)确定所接收信号的第一强度和至少一个另外强度之间的差异与策略中指定的可疑差异中的至少一个相匹配；然后(3)至少部分地由于第一强度和至少一个另外强度之间的差异与策略中指定的可疑差异中的至少一个相匹配，确定接入网络的尝试是有可能恶意的。

在一些示例中，确定接入网络的尝试是有可能恶意的可包括确定信号分布与未经授权的信号分布的数据库中的条目相匹配，和/或确定信号分布与经授权的信号分布的数据库中的条目不匹配。

在一些示例中，确定接入网络的尝试是有可能恶意的可包括：(1)检测将信号分布和MAC地址的一个或多个可疑组合列入黑名单的策略；(2)确定信号分布和尝试接入网络中使用的设备的MAC地址与由策略列入黑名单的可疑组合中的至少一个相匹配；然后(3)至少部分地由于信号分布和设备的MAC地址与由策略列入黑名单的可疑组合中的至少一个相匹配，确定接入网络的尝试是有可能恶意的。

在一些示例中，确定接入网络的尝试是有可能恶意的可包括：(1)确定在接入网络的尝试中使用的设备的MAC地址在接入网络的一次或多次先前成功尝试中使用过；(2)确定在接入网络的先前成功尝试期间，信号分布先前没有与MAC地址结合使用；然后(3)至少部分地由于MAC地址在先前成功尝试中使用过以及在先前成功尝试期间信号分布先前没有与MAC地址结合使用，确定接入网络的尝试是有可能恶意的。

在一些示例中，确定接入网络的尝试是有可能恶意的可包括：(1)确定已经检测到信号分布与涉及不同MAC地址的先前接入尝试有关；以及(2)然后至少部分地由于已经检测到信号分布与涉及不同MAC地址的先前的接入尝试有关，确定接入网络的尝试是有可能恶意的。

在一些示例中，确定接入网络的尝试是有可能恶意的可包括：(1)识别在接入网络的尝试中使用的设备的MAC地址；(2)确定接入网络的尝试的发起时间对于该MAC地址是不典型的；然后(3)至少部分地由于接入网络的尝试的发起时间对于该MAC地址是不典型的，从而确定接入网络的尝试是有可能恶意的。

在一个实施例中，一种计算机实现的方法还可包括：(1)监视接入一个或多个网络的尝试；(2)在监视接入尝试的同时，识别与所监视的接入尝试有关的一个或多个信号分布，并且至少部分地基于所述信号分布来识别所监视的接入尝试的属性集合；(3)根据所述属性集合，建立用于识别恶意的网络接入尝试的基于机器学习的分类模型；(4)使用所述基于机器学习的分类模型来创建用于识别有可能恶意的接入尝试的策略；然后(5)至少部分地基于用于识别有可能恶意的接入尝试的策略，确定接入网络的尝试是有可能恶意的。

在一些示例中，监视一次或多次接入尝试可包括：(1)监视接入网络的一次或多次尝试；(2)监视接入由安全供应商监视的网络内的一个网络的一次或多次尝试；(3)监视与已知MAC地址相关联的一次或多次接入尝试；和/或(4)监视与已知信号分布相关联的一次或多次接入尝试。

在一些示例中，计算机实现的方法还可包括将尝试接入网络的至少一个属性输入基于机器学习的分类模型中。在一些示例中，发起安全措施可包括警告网络管理员接入网络的尝试是有可能恶意的。

在一个实施例中，计算机实现的方法还可包括监视网络管理员对警告的响应，并且至少部分地基于该响应，调节用于经由基于机器学习的分类模型识别有可能恶意的接入尝试的策略。在一些示例中，发起安全措施可包括阻止接入网络的尝试和/或要求设备在接入网络之前成功完成授权过程。在一个实施例中，识别、检测、确定和发起步骤可由在网络的路由器上运行的代理执行。

在一个实施例中，一种用于实现上述方法的系统可包括：(1)存储在存储器中的识别模块，该识别模块识别由网络的一个或多个天线接收从尝试接入网络的设备的收发器接收的信号；(2)存储在存储器中的检测模块，该检测模块检测由网络的天线接收的与接入网络的尝试有关的信号的一个或多个信号强度；(3)存储在存储器中的确定模块，该确定模块至少部分地基于信号的信号强度来确定接入网络的尝试是有可能恶意的；(4)存储在存储器中的发起模块，该发起模块响应于确定接入网络的尝试是有可能恶意的，发起至少一个安全措施以应对接入网络的有可能恶意尝试；以及(5)至少一个物理处理器，该物理处理器被配置为执行识别模块、检测模块、确定模块和发起模块。

在一些例子中，可将上述方法编码为非暂态计算机可读介质上的计算机可读指令。例如，一种计算机可读介质可包括一个或多个计算机可执行指令，所述计算机可执行指令当由计算设备的至少一个处理器执行时，可使计算设备：(1)识别由网络的一个或多个天线从尝试接入网络的设备的收发器接收的信号；(2)检测由网络的天线接收的与接入网络的尝试有关的信号的一个或多个信号强度；(3)至少部分地基于信号的信号强度来确定接入网络的尝试是有可能恶意的；以及(4)响应于确定接入网络的尝试是有可能恶意的，发起至少一个安全措施以应对有可能恶意的接入网络的尝试。

来自上述实施例中的任何一者的特征可根据本文所述的一般原理彼此结合地使用。通过结合附图和权利要求阅读下面的详细描述，将会更充分地理解这些和其他实施例、特征和优点。

附图说明

附图示出了多个示例性实施例并且为说明书的一部分。这些附图结合下面的描述展示并且说明本公开的各种原理。

图1是用于防止的网络入侵的示例性系统的框图。

图2是用于防止未经授权的网络入侵的另外的示例性系统的框图。

图3是用于防止未经授权的网络入侵的示例性方法的流程图。

图4是例示可被监视的网络接入尝试的示例性属性的框图。

图5是用于防止未经授权的网络入侵的示例性策略的框图。

图6是能够实现本文所描述和/或例示的一个或多个实施例的示例性计算系统的框图。

图7是能够实现本文所描述和/或例示的一个或多个实施例的示例性计算网络的框图。

在全部附图中，相同引用字符和描述指示类似但未必相同的元件。虽然本文所述的示例性实施例可以接受进行各种修改和替代形式，但在附图中以举例的方式示出了特定实施例并且将在本文详细描述这些实施例。然而，本文所述的示例性实施例并非旨在限于所公开的特定形式。相反，本发明涵盖落在所附权利要求范围内的所有修改形式、等同形式和替代形式。

具体实施方式

本公开总体上涉及用于防止未经授权的网络入侵的系统和方法。如将在下文更详细地解释，通过基于发送的与这些接入尝试有关的信号来识别有可能恶意的接入网络的尝试，本文所公开的系统和方法可识别原来未被检测到的恶意尝试。例如，本文所述的各种系统和方法可观察到接入网络的尝试，识别被归类为恶意的接入网络的尝试的子集合，从包括发送的与恶意尝试有关的信号的尝试的子集合中提取属性集合，然后至少部分地基于所提取的属性集合来生成策略以用于识别将来的接入网络的恶意尝试。

下面将参考图1至图2提供用于防止未经授权的网络入侵的示例性系统的详细描述。也将结合图3至图5提供对相应计算机实现的方法的详细描述。此外，将分别结合图6和图7提供能够实现本文所述实施例中的一者或多者的示例性计算系统和网络体系结构的详细描述。

图1是用于防止未经授权的网络入侵的示例性系统100的框图。如该图所示，示例性系统100可包括用于执行一个或多个任务的一个或多个模块102。例如，并且如将在下文更详细地解释，示例性系统100可包括识别模块104，识别模块104识别由网络的一个或多个天线从尝试接入网络的设备的收发器接收的信号。示例性系统100可另外包括检测模块106，检测模块106检测由网络的天线接收的与接入网络的尝试有关的信号的一个或多个信号强度。示例性系统100还可包括确定模块108，确定模块108至少部分地基于信号的信号强度来确定接入网络的尝试可能是有可能恶意的。示例性系统100可另外包括发起模块110，发起模块110响应于确定接入网络的尝试是有可能恶意的，从而发起至少一个安全措施以应对有可能恶意的接入网络的尝试。

尽管被示为独立元件，但图1中的模块102中的一者或多者可表示单个模块或应用程序的部分。在某些实施例中，图1中的模块102中的一者或多者可表示一个或多个软件应用程序或程序，所述软件应用程序或程序在被计算设备执行时，可使计算设备执行一个或多个任务。例如，并且如将在下文更详细地描述，模块102中的一个或多个可表示存储在一个或多个计算设备上并且被配置为在一个或多个计算设备上运行的软件模块，所述计算设备诸如为图2中示出的设备(例如，计算设备202、网络204和/或服务器206)、图6中的计算系统610、和/或图7中的示例性网络体系结构700的部分。图1中的模块102中的一者或多者还可表示被配置为执行一个或多个任务的一台或多台专用计算机的全部或部分。

图1中的示例性系统100可用多种方式来实现。例如，示例性系统100的全部或一部分可表示图2中的示例性系统200的部分。如图2所示，系统200可包括计算设备202、服务器206和网络204。虽然在图2中被示出为独立实体，但服务器206可表示网络204的一部分。在一个示例中，计算设备202可用模块102中的一个或多个进行编程和/或包括MAC地址210。如本文所用，术语“媒体访问控制地址”和缩写“MAC地址”通常是指指派给连接到或尝试连接到网络的计算设备的地址。

除此之外或作为另外一种选择，服务器206可用模块102中的一个或多个进行编程和/或包括信号分布214和/或策略220。如本文所用，术语“信号分布”通常是指描述关于特定信号的信息的数据结构。如本文所用，术语“信号”通常是指携带来自设备的收发器的信息的电磁波形。在一些示例中，信号可指无线电波。在这些示例中，尝试接入网络的设备可通过将数据转换为无线电波，然后将无线电波发送至网络的一个或多个天线来创建信号。

在一个示例中，信号分布214可包括和/或识别由天线212(1)-(N)接收的一个或多个信号强度216(1)-(N)。信号分布214还可包括作为信号强度216(1)-(N)的聚合的强度分值。除此之外或作为另外一种选择，信号分布214可包括和/或识别差异模式218。

如本文所用，术语“信号强度”通常是指由天线接收的信号的强度。例如，信号强度216(1)可由天线212(1)接收并且表示32dBm的信号强度。除此之外或作为另外一种选择，信号强度216(N)可由天线212(N)接收并且表示58dBm的信号强度。在一些示例中，信号强度216(1)和信号强度216(N)可具有(32dBm+58dBm)÷2＝45dBm的总强度分值。

如本文所用，术语“差异模式”通常是指在多个天线处接收的信号的强度差异。例如，差异模式218可包括和/或识别信号强度216(1)和信号强度216(N)之间的差异。在该示例中，差异模式218可表示(58dBm-32dBm)＝26dBm的差异。

如本文所用，术语“策略”通常指的是指定可疑信号分布的一个或多个准则、算法和/或分类。如本文所用，术语“可疑信号分布”通常是指从与恶意尝试接入网络相关联的可能性高于某一阈值的信号得到的信号分布。

除此之外或作为另外一种选择，网络204可用一个或多个模块102进行编程和/或包括天线212(1)-(N)中的一个或多个。如本文所用，术语“天线”通常是指用于发送或接收信号的任何杆、线和/或其他电气设备。在一些示例中，天线212(1)-212(N)可形成集群天线环境的一部分。如本文所用，术语“集群天线环境”通常是指在地理区域内在空间上独立并且作为同一网络的一部分操作的多个天线。

在一个实施例中，图1的模块102中的一个或多个可以在由计算设备202的至少一个处理器、网络204和/或服务器206执行时，能够使得计算设备202、网络204和/或服务器206免遭未经授权的网络入侵。例如，并且如以下更详细地描述，识别模块104可识别由网络204的一个或多个天线从尝试接入网络204和/或服务器206的设备(诸如计算设备202)的收发器接收的信号。检测模块106可检测由网络204的天线接收的与接入网络204和/或服务器206的尝试有关的信号的一个或多个信号强度(诸如信号强度216(1)-216(N))。检测模块106还可至少部分地基于一个或多个信号强度来生成信号分布(诸如信号分布214)。确定模块108可至少部分地基于信号的信号强度来确定接入网络204和/或服务器206的尝试是有可能恶意的。发起模块110可响应于确定接入网络204和/或服务器206的尝试是有可能恶意的，从而发起至少一个安全措施以应对有可能恶意的接入网络204的尝试。

至少一个安全措施可针对计算设备202。例如，发起模块110可阻止计算设备202接入网络204和/或服务器206。除此之外或作为另外一种选择，安全措施可针对服务器206。例如，发起模块110可向服务器206的管理员发送通知。

计算设备202通常表示能够读取计算机可执行指令的任何类型或形式的计算设备。计算设备202的示例包括而不限于笔记本电脑、平板电脑、台式机、服务器、蜂窝电话、个人数字助理(PDA)、多媒体播放器、嵌入式系统、可穿戴设备(例如，智能手表、智能眼镜等)、游戏控制台、这些设备中一个或多个的组合、图6中的示例性计算系统610或任何其他合适的计算设备。

服务器206通常表示能够防止未经授权的网络入侵的任何类型或形式的计算设备。服务器206的示例包括而不限于被配置为提供各种网络、交换、路由或数据库服务和/或运行某些软件应用程序的网络设备、交换机、路由器、网关、应用服务器和数据库服务器。

网络204通常表示能够促进通信或数据传输的任何介质或体系结构。网络204的示例包括而不限于内联网、广域网(WAN)、局域网(LAN)、个域网(PAN)、互联网、电力线通信(PLC)、蜂窝网络(例如，全球移动通信系统(GSM)网络)、图7中的示例性网络体系结构700等。网络204可使用无线或有线连接来促进通信或数据传输。在一个实施例中，网络204可促进计算设备202与服务器206之间的通信。在一些示例中，网络204可在网络204的天线212(1)-212(N)处接收来自计算设备202的收发器的信号。在一些示例中，网络204可表示专用网络(诸如进行与居住有关管理的无线网络)。除此之外或作为另外一种选择，网络204可表示由企业或政府管理的网络。

图3是用于防止未经授权的网络入侵的示例性计算机实现的方法300的流程图。图3中示出的步骤可通过任何合适的计算机可执行代码和/或计算系统来执行。在一些实施例中，图3中示出的步骤可通过图1中的系统100、图2中的系统200、图6中的计算系统610和/或图7中的示例性网络体系结构700的部分的组件中的一个或多个执行。

如图3所示，在步骤302处，本文所述系统中的一个或多个可识别网络的一个或多个天线从尝试接入网络的设备的收发器接收的信号。例如，识别模块104可作为图2中的服务器206和/或网络204的一部分，识别由网络204的天线212(1)-212(N)从尝试接入网络204的计算设备202的收发器接收的信号。

识别模块104可按各种方式识别由网络的天线接收的信号。在一些示例中，识别模块104可作为网络204和/或服务器206的一部分操作，并且在从天线212(1)-212(N)接收到信号时识别信号。除此之外或作为另外一种选择，识别模块104可作为第三方服务器(诸如安全供应商服务器)的一部分操作，并且可在从天线212(1)-212(N)和/或网络204接收到信号时识别信号。

返回图3，在步骤304处，本文所述系统中的一个或多个可检测由网络的天线接收的与接入网络的尝试有关的信号的一个或多个信号强度。例如，检测模块106可作为图2中的服务器206和/或网络204的一部分，检测由网络204的天线212(1)-212(N)接收的与计算设备202接入网络204的尝试有关的信号的信号强度216(1)-216(N)。

检测模块106可按各种方式检测由天线接收的信号的信号强度。在一些示例中，网络的单个天线可接收信号。例如，天线212(1)可接收信号强度216(1)。在这些示例中，检测模块106可检测经由单个天线的信号的强度。例如，信号强度216(1)可表示32dBm的信号强度。当天线212(1)接收到信号时，检测模块106可确定信号的强度为32dBm。

在其他示例中，在网络的集群天线环境内的两个或更多个天线可接收信号。例如，天线212(1)-(N)可接收信号强度216(1)-216(N)。在这些示例中，集群天线环境内的每个天线可接收不同强度的信号。例如，天线212(1)可接收表示32dBm的信号强度的信号强度216(1)，并且天线212(N)可接收表示58dBm的信号强度的信号强度216(N)。

在某些情况下，由每个天线接收的信号强度的差异可至少部分地是由于设备与集群天线环境内的每个天线的相对接近程度。在这些情况下，在物理上最靠近设备的集群天线环境内的天线可接收最强强度的信号，并且物理上距离设备最远的集群天线环境内的天线可接收最弱强度的信号。例如，天线212(N)可距计算设备202有10英尺，并且天线212(1)可距计算设备202有100英尺。因此，天线212(N)可接收比天线212(1)接收的信号强度216(1)强26dBm的信号强度216(N)。

又如，每个天线接收的信号强度的差异可至少部分地是由于设备正在发送信号的方向。在许多情况下，设备可在所有方向上发送信号，因此信号可以是全向的。然而，在其他情况下，设备可在一个方向上放大信号。在这些情况下，瞄准一个方向的集群天线环境内的天线可接收比没有瞄准这个方向的群集天线环境内的天线接收的信号强度明显更强的信号强度。因此，设备与各种天线的物理接近程度可对各个天线接收的信号的信号强度几乎没有影响。除此之外或作为另外一种选择，设备与各个天线的物理接近程度可能不是影响所接收信号的强度的最重要因素。

倘若网络的两个或更多个天线接收到信号，检测模块106可另外检测由集群天线环境内的每个天线接收的信号强度之间的差异。例如，检测模块106可检测描述每个信号强度216(1)-216(N)之间的差异的差异模式218。

在一些示例中，检测模块106可作为网络204和/或服务器206的一部分操作，并且在从天线212(1)-212(N)接收到信号时检测信号强度216(1)-216(N)。除此之外或作为另外一种选择，检测模块106可作为第三方服务器(诸如安全供应商服务器)的一部分操作，并且在从天线212(1)-212(N)和/或网络204接收到信号时检测信号的信号强度。

在一个实施例中，检测模块106还可至少部分地基于由网络的天线接收的信号的信号强度来生成信号的信号分布。例如，检测模块106可至少部分地基于信号强度216(1)-216(N)生成信号分布214。

返回图3，在步骤306处，本文所述系统中的一个或多个可至少部分地基于信号的信号强度来确定接入网络的尝试是有可能恶意的。例如，确定模块108可作为图2中的计算设备202的一部分，确定接入网络204的尝试是有可能恶意的。在该示例中，该确定可至少部分地基于信号的信号强度216(1)-216(N)。

如本文所用，术语“有可能恶意的尝试”通常是指具有与已知的接入网络的恶意尝试相符的一个或多个特征的任何类型或形式的接入尝试。如本文所用，短语“接入网络的恶意尝试”通常是指未经授权和/或被配置为破坏或渗透网络和/或与网络相关联的设备的任何类型或形式的接入尝试。

确定模块108可至少部分地基于信号的信号强度来按各种方式确定接入网络的尝试是有可能恶意的。在一些示例中，确定模块108可识别在策略220中指定的某些可疑信号分布。在一个示例中，当先前已经检测到某些信号分布与接入网络204和/或由同一安全服务监视的另一个网络的阈值次数的失败尝试有关时，策略220可指示那些信号分布是可疑的。

确定模块108然后可确定所生成的信号分布与策略中指定的至少一个可疑信号分布的描述相匹配。例如，确定模块108可确定先前已经检测到信号分布214与策略220中指定的接入网络204的阈值次数的失败尝试有关。

最后，确定模块108可至少部分地由于所生成的信号分布与策略中指定的可疑信号分布中的至少一个相匹配来确定接入网络的尝试是有可能恶意的。例如，确定模块108可至少部分地由于先前已经检测到信号分布214与策略220中指定的接入网络204的阈值次数的失败尝试有关，从而确定接入网络204的尝试是有可能恶意的。

在一些实施例中，策略220可指定信号的信号强度的可疑差异。在这些实施例中，确定模块108可通过确定差异模式218与策略220中指定的可疑差异中的至少一个相匹配来确定接入网络204的尝试是有可能恶意的。例如，在天线212(N)处接收的信号的信号强度通常可比在天线212(1)处接收的同一信号的信号强度强。因此，当在天线212(1)处接收的信号的信号强度比在天线212(N)处接收的同一信号的信号强度强时，策略220可指示差异是可疑的。

在该示例中，检测模块106可检测表示由天线212(1)接收的信号的32dBm的信号强度的信号强度216(1)，以及表示由天线212(N)接收的信号的58dBm的信号强度的信号强度216(N)。检测模块106然后可通过识别差异模式218以及将差异模式218包括在信号分布214中来生成信号分布214。在一个示例中，差异模式218可指示在信号强度216(1)和信号强度216(N)之间存在26dBm的差异和/或信号强度216(N)比信号强度216(1)强。

接下来，确定模块108可至少部分地基于信号强度216(N)比信号强度216(1)强，确定差异模式218与策略220中指定的可疑差异中的至少一个相匹配。最后，确定模块108可至少部分地由于差异模式218与策略220中指定的可疑差异中的至少一个相匹配，确定接入网络204的尝试是有可能恶意的。

在一些示例中，策略220可识别先前已经检测到的与已知的接入网络的恶意尝试有关的某些可疑差异模式。例如，确定模块108可确定接入网络的恶意尝试有时涉及定向放大。除此之外或作为另外一种选择，当一个网络天线接收到比由所有其他网络天线接收到的信号的信号强度强一定量的信号强度时，确定模块108可确定可能使用定向放大发送信号。结果，当在一个网络天线处接收到的信号强度比在所有其他网络天线处接收到的信号强度强一定量时，策略220可指示差异模式是可疑的。

在一些实施例中，确定模块108可以通过确定信号分布与未经授权信号分布的数据库中的条目相匹配来确定接入网络的尝试是有可能恶意的。除此之外或作为另外一种选择，确定模块108可以通过确定信号分布不匹配授权信号分布的数据库中的任何条目来确定接入网络的尝试是有可能恶意的。在这些实施例中，未经授权信号分布的数据库可以是先前被系统管理员和/或机器学习分类系统指定为未经授权的信号分布的数据库。类似地，授权信号分布的数据库可以是先前被系统管理员和/或机器学习分类系统指定为授权的信号分布的数据库。

在一些示例中，策略220可以将信号分布和MAC地址的一个或多个可疑组合列入黑名单。在这些示例中，确定模块108可以通过确定信号分布214和MAC地址210与由策略220列入黑名单的可疑组合中的至少一个相匹配来确定接入网络204的尝试是有可能恶意的。由策略220列入黑名单的组合可包括而不限于，在接入网络的成功尝试中已经使用多于特定次数的MAC地址以及在接入网络的成功尝试中已经使用少于特定次数的信号分布、在接入网络的尝试中已经使用少于特定次数的MAC地址以及在以特定速率接入网络的尝试中已经使用的信号分布，在接入网络的尝试中从未使用的MAC地址以及在接入网络的尝试中已被不成功地使用多于特定次数的信号分布、已与超过一定数量的不同信号分布结合使用的MAC地址、上述中的一个或多个的变型，上述一个或多个的组合和/或任何其他合适的组合。

在一些实施例中，确定模块108可以识别具有有可能是授权MAC地址的克隆的MAC地址的设备，并且确定具有有可能克隆的MAC地址的设备是有可能恶意的。如本文所用的，短语“MAC地址的克隆”通常指的是在设备的软件中仿真的但不是设备的实际MAC地址的MAC地址。例如，确定模块108可确定MAC地址210在接入网络204的一个或多个先前成功尝试中使用过。

在一些示例中，MAC地址210可被包括在由网络204的管理员维护的白名单中。在这些示例中，白名单可识别被准许接入网络204的特定MAC地址。确定模块108还可确定信号分布214没有与一个或多个先前的成功尝试结合使用。这些确定的结果是，确定模块108可能能够确定MAC地址210已有可能被克隆以便尝试接入网络204和/或尝试接入网络204是有可能恶意的。

在一些实施例中，接入网络204的尝试可以形成利用信号分布214接入网络204的快速连续尝试的一部分。如本文所用的，短语“接入网络的快速连续尝试”通常是指在特定时间量内发起的接入网络的多于阈值次数的尝试。接入网络的快速连续尝试可以指示未被授权接入网络的用户正尝试在这些实施例中，确定模块108可确定接入网络204的尝试与不同MAC地址的阈值次数相关联。作为响应，至少部分地由于已经检测到信号分布214与涉及不同MAC地址的阈值次数的多个先前接入尝试有关，确定模块108可确定接入网络204的尝试是有可能恶意的。

在一些示例中，确定模块108可至少部分地由于接入网络的尝试的发起时间对于设备的MAC地址是不典型的，确定接入网络的尝试是有可能恶意的。如本文所用的，“不典型发起时间”通常是指从未与设备的MAC地址相关联和/或已经与设备的MAC地址相关联少于阈值次数的发起时间。例如，确定模块108可确定MAC地址210先前已经在接入网络204的成功尝试中使用过，并且所有先前成功的尝试都是发生在上午8点至下午5点之间。在该示例中，确定模块108还可确定在下午11点已经发生了接入网络204的尝试。因此，确定模块108可确定下午11点的发起时间对于MAC地址210是不典型的，接入网络204的尝试是有可能恶意的。

如上文在各个实施例中所讨论的，确定模块108可以至少部分地基于策略220来确定接入网络204的尝试是有可能恶意的。在一些实施例中，策略220可指定信号分布的可疑特征。如本文所用的，术语“信号分布的可疑特征”通常是指与接入网络的恶意尝试相关的信号分布的特征。

可按多种方式创建策略220。在一些示例中，确定模块108可通过监视访问一个或多个网络的一次或多次尝试来创建策略。例如，如图4所示，确定模块108可以监视尝试接入网络204但被拒绝接入的失败接入尝试400。作为监视失败接入尝试400的一部分，确定模块108可识别失败接入尝试400的属性集合。例如，确定模块108可识别失败接入尝试400的信号分布402、差异模式404、发起时间406和MAC地址408。

除此之外或作为另外一种选择，确定模块108可监视被准许接入网络204的成功接入尝试410和/或成功接入尝试440。作为监视成功接入尝试410和/或成功接入尝试440的一部分，确定模块108可识别成功接入尝试410和/或成功接入尝试440的属性集合。例如，确定模块108可识别成功接入尝试410的信号分布412、差异模式414、发起时间416和MAC地址418和/或成功接入尝试440的信号分布442、差异模式444、发起时间446和MAC地址448。

除此之外或作为另外一种选择，确定模块108可监视被指定为恶意的恶意接入尝试420。作为监视恶意接入尝试420的一部分，确定模块108可识别恶意接入尝试420的属性集合。例如，确定模块108可识别恶意接入尝试420的信号分布402、差异模式424、发起时间406和MAC地址428。

除此之外或作为另外一种选择，确定模块108可监视被指定为未经授权接入网络204的未经授权接入尝试430。作为监视未经授权接入尝试430的一部分，确定模块108可识别未经授权接入尝试430的属性集合。例如，确定模块108可识别未经授权接入尝试430的信号分布402、差异模式434、发起时间406和MAC地址438。

除此之外或作为另外一种选择，确定模块108可监视被指定为授权接入网络204的授权接入尝试450。作为监视授权接入尝试450的一部分，确定模块108可识别授权接入尝试450的属性集合。例如，确定模块108可识别授权接入尝试450的信号分布402、差异模式454、发起时间456和MAC地址458。

在一些示例中，监视一次或多次接入尝试可包括监视接入网络204的一次或多次尝试。除此之外或作为另外一种选择，监视一次或多次接入尝试可包括监视访问由单个安全供应商监视的多个网络内的一个网络的一次或多次尝试。除此之外或作为另外一种选择，监视一次或多次接入尝试可包括监视与已知MAC地址相关联的一次或多次接入尝试。除此之外或作为另外一种选择，监视一次或多次接入尝试可包括监视与已知信号分布相关联的一次或多次接入尝试。

在一些实施例中，确定模块108可以根据图4中所示的所识别的属性集合，建立用于识别恶意网络接入尝试的基于机器学习的分类模型，并且使用该基于机器学习的分类模型来创建用于识别有可能恶意接入尝试的策略(诸如策略220、策略500和/或策略520)。

例如，基于机器学习的分类模型可至少部分地基于信号分布402与失败的或被归类为恶意的接入尝试(例如，失败的接入尝试400、恶意的接入尝试420和未经授权的接入尝试430)之间的关联，指示信号分布402是可疑的。作为响应，确定模块108可指定信号分布402是可疑的。类似地，基于机器学习的分类模型可指示信号分布402与发起时间406的组合是可疑的，因为这样的组合与失败的、恶意的和/或未经授权的接入尝试(例如失败的接入尝试400、恶意的接入尝试420和/或未经授权的接入尝试430)相关联。作为响应，确定模块108可指定信号分布402与发起时间406的组合是可疑的组合。除此之外或作为另外一种选择，基于机器学习的分类模型可指示信号分布402与发起时间456的组合并不可疑，因为这样的组合与已经被授权的接入尝试(例如授权的接入尝试450)相关联。

在一些实施例中，如图5所示，网络204使用的策略500可至少部分地基于上述监视来指定信号分布402和/或差异模式514是可疑的(例如，分别地，可疑特征502和可疑特征504)。在该示例中，确定模块108可至少部分地基于对应于信号分布402的信号分布214和/或对应于差异模式514的差异模式218来确定接入网络204的尝试是恶意的。

类似地，网络204使用的策略520可基于上述监视来指定信号分布402和发起时间406是可疑组合和/或差异模式542、MAC地址544和发起时间546是可疑组合(例如，分别地，可疑组合522和可疑组合524)。在这些示例中，确定模块108可至少部分地基于对应于信号分布402的信号分布214和在发起时间406发生的接入网络204的尝试来确定接入网络204的尝试是恶意的。除此之外或作为另外一种选择，确定模块108可至少部分地基于对应于差异模式542的差异模式218、对应于MAC地址544的MAC地址210和/或在发起时间546发生的接入网络204的尝试来确定接入网络204的尝试是恶意的。

在一些示例中，确定模块108可将接入网络204的尝试的至少一个属性输入到基于机器学习的分类模型中。如本文所用的短语“基于机器学习的分类模型”通常是指使用机器学习技术生成的用于数据分类的复杂数学模型。在一些示例中，作为网络204和/或服务器206的一部分操作的模块可创建策略。除此之外或作为另外一种选择，作为第三方安全供应商服务器的一部分操作的模块可创建策略。

在步骤308中，响应于确定接入网络的尝试是有可能恶意的，本文所述的一个或多个系统可以发起应对接入网络的有可能恶意尝试的至少一个安全措施。例如，发起模块110可以作为图2中的服务器206和/或网络204的一部分，发起至少一个安全措施以应对接入网络204的有可能恶意尝试。在该示例中，可以响应于确定接入网络204的尝试是有可能恶意的而发起安全措施。

发起模块110可按多种方式发起安全措施。在一些示例中，发起模块110可通过警告网络管理员接入网络的尝试是有可能恶意的来发起安全措施。在这些示例中，发起模块110可监视网络管理员对警告的响应，并且至少部分地基于该响应调节策略220来促成识别有可能恶意的接入尝试。除此之外或作为另外一种选择，发起模块110可通过阻止接入网络204的尝试和/或要求设备在接入网络204之前成功完成授权过程来发起安全措施。

如上所述，本公开描述了用于通过识别来自尝试接入网络的设备的信号，然后至少部分地基于该信号来确定该尝试是否是恶意的，来防止未经授权的网络入侵的各种系统和方法。通过基于与接入网络的尝试结合使用的信号来识别接入网络的恶意尝试，本文所公开的系统和方法可识别原来未被检测到的恶意尝试。

图6为能够实现本文描述和/或例示的实施例中的一个或多个的示例性计算系统610的框图。例如，计算系统610的全部或一部分可单独地或与其他元件结合来执行本文所述的步骤中的一个或多个(诸如图3所示的步骤中的一个或多个)和/或作为用于执行其的装置。计算系统610的全部或一部分也可执行本文描述和/或例示的任何其他步骤、方法或过程和/或作为用于执行其的装置。

计算系统610在广义上表示能够执行计算机可读指令的任何单处理器或多处理器计算设备或系统。计算系统610的示例包括而不限于：工作站、笔记本电脑、客户端方终端、服务器、分布式计算系统、手持设备或任何其他计算系统或设备。在其最基本的配置中，计算系统610可包括至少一个处理器614和系统存储器616。

处理器614通常表示能够处理数据或解译和执行指令的任何类型或形式的物理处理单元(例如，硬件实现的中央处理单元)。在某些实施例中，处理器614可接收来自软件应用程序或模块的指令。这些指令可使处理器614执行本文描述和/或例示的一个或多个示例性实施例的功能。

系统存储器616通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的易失性或非易失性存储设备或介质。系统存储器616的示例包括而不限于：随机存取存储器(RAM)、只读存储器(ROM)、闪存存储器或任何其他适用的存储器设备。尽管不是必需的，但在某些实施例中，计算系统610可包括易失性存储器单元(诸如，例如，系统存储器616)和非易失性存储设备(诸如，例如，主存储设备632，如下详述)两者。在一个例子中，图1的模块102中的一个或多个可加载到系统存储器616中。

在某些实施例中，除处理器614和系统存储器616之外，示例性计算系统610还可包括一个或多个组件或元件。例如，如图6所示，计算系统610可包括存储器控制器618、输入/输出(I/O)控制器620和通信接口622，它们中的每一个都可经由通信基础结构612互连。通信基础设施612通常表示能够促进计算设备的一个或多个组件之间的通信的任何类型或形式的基础结构。通信基础设施612的示例包括而不限于：通信总线(诸如工业标准体系结构(ISA))、外围组件互连(PCI)、PCI Express(PCIe)或类似的总线)和网络。

存储器控制器618通常表示能够处理存储器或数据或者控制计算系统610的一个或多个组件之间的通信的任何类型或形式的设备。例如，在某些实施例中，存储器控制器618可通过通信基础结构612来控制处理器614、系统存储器616和I/O控制器620之间的通信。

I/O控制器620通常表示能够协调和/或控制计算设备的输入和输出功能的任何类型或形式的模块。例如，在某些实施例中，I/O控制器620可控制或促进计算系统610的一个或多个元件之间的数据传输，所述元件是诸如处理器614、系统存储器616、通信接口622、显示适配器626、输入接口630和存储接口634。

通信接口622在广义上表示能够促进示例性计算系统610与一个或多个另外设备之间的通信的任何类型或形式的通信设备或适配器。例如，在某些实施例中，通信接口622可促进计算系统610与包括另外计算系统的专用或公共网络之间的通信。通信接口622的示例包括但不限于：有线网络接口(诸如网络接口卡)、无线网络接口(诸如无线网络接口卡)、调制解调器和任何其他合适的接口。在至少一个实施例中，通信接口622可通过与网络(诸如互联网)的直接链接来提供与远程服务器的直接连接。通信接口622还可通过例如局域网(诸如以太网网络)、个人区域网、电话或电缆网络、蜂窝电话连接、卫星数据连接或任何其他合适的连接来间接提供此类连接。

在某些实施例中，通信接口622还可表示主机适配器，该主机适配器被配置为通过外部总线或通信信道来促进计算系统610与一个或多个另外网络或存储设备之间的通信。主机适配器的例子包括但不限于：小型计算机系统接口(SCSI)主机适配器、通用串行总线(USB)主机适配器、电气与电子工程师协会(IEEE)1394主机适配器、高级技术附件(ATA)、并行ATA(PATA)、串行ATA(SATA)和外部SATA(eSATA)主机适配器、光纤通道接口适配器、以太网适配器等。通信接口622还可允许计算系统610参与分布式或远程计算。例如，通信接口622可接收来自远程设备的指令或将指令发送到远程设备以供执行。

如图6所示，计算系统610还可包括至少一个显示设备624，该显示设备通过显示适配器626联接到通信基础结构612。显示设备624通常表示能够以可视方式显示显示适配器626转发的信息的任何类型或形式的设备。类似地，显示适配器626通常表示被配置为转发来自通信基础结构612(或来自帧缓冲器，如本领域所已知)的图形、文本和其他数据以在显示设备624上显示的任何类型或形式的设备。

如图6所示，示例性计算系统610还可包括经由输入接口630联接到通信基础结构612的至少一个输入设备628。输入设备628通常表示能够向示例性计算系统610提供输入(由计算机或人生成)的任何类型或形式的输入设备。输入设备628的例子包括而不限于：键盘、指示设备、语音识别设备或任何其他输入设备。

如图6所示，示例性计算系统610还可包括主存储设备632和经由存储接口634联接到通信基础结构612的备份存储设备633。存储设备632和633通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。例如，存储设备632和633可为磁盘驱动器(例如，所谓的硬盘驱动器)、固态驱动器、软盘驱动器、磁带驱动器、光盘驱动器、闪存驱动器等。存储接口634通常表示用于在存储设备632和633与计算系统610的其他组件之间传输数据的任何类型或形式的接口或设备。

在某些实施例中，存储设备632和633可被配置为对被配置为存储计算机软件、数据或其他计算机可读信息的可移除存储单元执行读取和/或写入。合适的可移除存储单元的例子包括但不限于：软盘、磁带、光盘、闪存存储器设备等。存储设备632和633还可包括允许将计算机软件、数据或其他计算机可读指令加载到计算系统610内的其他类似结构或设备。例如，存储设备632和633可被配置为读取和写入软件、数据或其他计算机可读信息。存储设备632和633还可为计算系统610的一部分，或者可为通过其他接口系统进行访问的独立设备。

可将许多其他设备或子系统连接到计算系统610。相反地，无需图6中示出的所有组件和设备都存在，亦可实践本文描述和/或例示的实施例。上文提及的设备和子系统也可通过不同于图6所示的方式互连。计算系统610也可采用任何数量的软件、固件和/或硬件配置。例如，本文所公开的一个或多个示例性实施例可被编码为计算机可读介质上的计算机程序(也称为计算机软件、软件应用程序、计算机可读指令或计算机控制逻辑)。如本文所用的术语“计算机可读介质”通常指能够存储或携带计算机可读指令的任何形式的设备、载体或介质。计算机可读介质的例子包括而不限于：传输型介质(诸如载波)和非暂态型介质(诸如磁存储介质，例如，硬盘驱动器、带驱动器和软盘)、光存储介质(如，光盘(CD)、数字视频盘(DVD)和蓝光光盘)、电子存储介质(例如，固态驱动器和闪存介质)和其他分配系统。

可将包含计算机程序的计算机可读介质加载到计算系统610中。然后可将计算机可读介质上存储的全部或部分计算机程序存储在系统存储器616和/或存储设备632和633的各个部分中。当由处理器614执行时，加载到计算系统610中的计算机程序可使处理器614执行执行本文描述和/或例示的示例性实施例中的一者或多者的功能和/或用于执行其的装置。除此之外或作为另外一种选择，可在固件和/或硬件中实现本文描述和/或例示的示例性实施例中的一者或多者。例如，计算系统610可被配置为用于实现本文所公开的示例性实施例中的一个或多个的专用集成电路(ASIC)。

图7为示例性网络体系结构700的框图，其中客户端系统710、720和730以及服务器740和745可联接到网络750。如上文所详述，网络体系结构700的全部或一部分可执行单独地或与其他元件结合来执行本文所公开的步骤中的一个或多个(诸如图3所示的步骤中的一个或多个)和/或用于执行其的装置。网络体系结构700的全部或一部分也可用于执行本公开中阐述的其他步骤和特征和/或用于执行其的装置。

客户端系统710、720和730通常表示任何类型或形式的计算设备或系统，诸如图6中的示例性计算系统610。类似地，服务器740和745通常表示被配置为提供各种数据库服务和/或运行某些软件应用程序的计算设备或系统，诸如应用程序服务器或数据库服务器。网络750通常表示任何电信或计算机网络，包括例如内联网、WAN、LAN、PAN或因特网。在一个例子中，客户端系统710、720和/或730和/或服务器740和/或745可包括图1的系统100的全部或一部分。

如图7所示，一个或多个存储设备760(1)-(N)可直接附接到服务器740。类似地，一个或多个存储设备770(1)-(N)可直接附接到服务器745。存储设备760(1)-(N)和存储设备770(1)-(N)通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。在某些实施例中，存储设备760(1)-(N)和存储设备770(1)-(N)可表示被配置为使用各种协议(诸如网络文件系统(NFS)、服务器消息块(SMB)或通用互联网文件系统(CIFS))与服务器740和745进行通信的网络附接存储(NAS)设备。

服务器740和745也可连接到存储区域网络(SAN)架构780。SAN架构780通常表示能够促进多个存储设备之间的通信的任何类型或形式的计算机网络或体系结构。SAN架构780可促进服务器740和745与多个存储设备790(1)-(N)和/或智能存储阵列795之间的通信。SAN架构780还可通过网络750以及服务器740和745以这样的方式促进客户端系统710、720和730与存储设备790(1)-(N)和/或智能存储阵列795之间的通信：设备790(1)-(N)和阵列795呈现为客户端系统710、720和730的本地附接设备。与存储设备760(1)-(N)和存储设备770(1)-(N)相同，存储设备790(1)-(N)和智能存储阵列795通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。

在某些实施例中，并参照图6的示例性计算系统610，通信接口(诸如图6中的通信接口622)可用于在每个客户端系统710、720和730与网络750之间提供连接。客户端系统710、720和730可能能够使用例如网页浏览器或其他客户端软件来访问服务器740或745上的信息。此类软件可允许客户端系统710、720和730访问由服务器740、服务器745、存储设备760(1)-(N)、存储设备770(1)-(N)、存储设备790(1)-(N)或智能存储阵列795托管的数据。尽管图7示出了使用网络(诸如互联网)来交换数据，但本文描述和/或例示的实施例并非仅限于互联网或任何特定的基于网络的环境。

在至少一个实施例中，本文所公开的一个或多个示例性实施例中的全部或一部分可被编码为计算机程序并加载到服务器740、服务器745、存储设备760(1)-(N)、存储设备770(1)-(N)、存储设备790(1)-(N)、智能存储阵列795、或它们的任意组合上并加以执行。本文所公开的一个或多个示例性实施例中的全部或一部分也可被编码为计算机程序，存储在服务器740中，由服务器745运行，以及通过网络750分配到客户端系统710、720和730。

如上详述，计算系统610和/或网络体系结构700的一个或多个组件可执行单独或与其他元件结合来执行用于防止未经授权的网络入侵的示例性方法的一个或多个步骤和/或用于执行其的装置。

虽然上述公开内容使用特定框图、流程图和示例阐述了各种实施例，但每个框图组件、流程图步骤、操作和/或本文描述和/或例示的组件可使用多种硬件、软件或固件(或其任何组合)配置单独和/或共同地实现。此外，包含在其他组件内的组件的任何公开内容应当被视为在本质上是示例性的，因为可实施许多其他体系结构来实现相同功能。

在一些示例中，图1中的示例性系统100的全部或一部分可表示云计算环境或基于网络的环境的部分。云计算环境可通过互联网提供各种服务和应用程序。这些基于云的服务(例如软件即服务、平台即服务、基础结构即服务等)可通过网页浏览器或其他远程接口进行访问。本文所述的各种功能可通过远程桌面环境或任何其他基于云的计算环境提供。

在各种实施例中，图1中的示例性系统100的全部或一部分可促进基于云的计算环境内的多租户应用。换句话讲，本文所述的软件模块可配置计算系统(例如，服务器)以促进本文所述功能中的一个或多个的多租户应用。例如，本文所述软件模块中的一个或多个可对服务器进行编程以允许两个或更多个客户端(例如，顾客)共享正在服务器上运行的应用程序。以这种方式编程的服务器可在多个顾客(即，租户)之间共享应用程序、操作系统、处理系统和/或存储系统。本文所述模块中的一个或多个还可为每个顾客分割多租户应用程序的数据和/或配置信息使得一个顾客不能访问另一个顾客的数据和/或配置信息。

根据各种实施例，图1中的示例性系统100的全部或一部分可在虚拟环境中实现。例如，本文所述模块和/或数据可在虚拟机内驻留和/或执行。如本文所用，术语“虚拟机”通常指由虚拟机管理器(例如，管理程序)从计算硬件中抽象出来的任何操作系统环境。除此之外或作为另外一种选择，本文所述的模块和/或数据可在虚拟化层内驻留和/或执行。如本文所用，术语“虚拟化层”通常指覆盖操作系统环境和/或从操作系统环境中抽象出来的任何数据层和/或应用层。虚拟化层可由软件虚拟化解决方案(例如，文件系统过滤器)管理，软件虚拟化解决方案将虚拟化层呈现为就好像它是底层基本操作系统的一部分。例如，软件虚拟化解决方案可将最初定向至基本文件系统和/或注册表内的位置的调用重定向至虚拟化层内的位置。

在一些示例中，图1中的示例性系统100的全部或一部分可表示移动计算环境的部分。移动计算环境可由多种移动计算设备来实现，这些设备包括移动电话、平板电脑、电子书阅读器、个人数字助理、可穿戴计算设备(例如，具有头戴式显示器的计算设备、智能手表等)，等等。在一些示例中，移动计算环境可具有一个或多个区别特征，包括(例如)对电池供电的依赖、在任何给定时间只呈现一个前台应用程序、远程管理特征、触摸屏特征、(例如，由全球定位系统、陀螺仪、加速度计等提供的)位置和移动数据、限制对系统级配置的修改和/或限制第三方软件检查其他应用程序的行为的能力的受限平台、限制应用程序的安装的控制装置(例如，仅安装来源于经批准的应用程序商店的应用程序)，等等。本文所述的各种功能可被提供用于移动计算环境和/或可与移动计算环境交互。

此外，图1中的示例性系统100的全部或一部分可表示一个或多个信息管理系统的部分，与一个或多个信息管理系统交互，使用由一个或多个信息管理系统产生的数据和/或产生被一个或多个信息管理系统使用的数据。如本文所用，术语“信息管理”可指数据的保护、组织和/或存储。信息管理系统的例子可包括但不限于：存储系统、备份系统、存档系统、复制系统、高可用性系统、数据搜索系统、虚拟化系统等。

在一些实施例中，图1中的示例性系统100的全部或一部分可表示一个或多个信息安全系统的部分，产生受一个或多个信息安全系统保护的数据和/或与一个或多个信息安全系统通信。如本文所用，术语“信息安全”可指对受保护数据的访问的控制。信息安全系统的示例可包括而不限于：提供受管理的安全服务的系统、数据丢失防护系统、身份认证系统、访问控制系统、加密系统、策略遵循系统、入侵检测与防护系统、电子发现系统等等。

根据一些示例，图1中的示例性系统100的全部或一部分可表示一个或多个端点安全系统的部分、与一个或多个端点安全系统通信和/或受一个或多个端点安全系统保护。如本文所用，术语“端点安全”可指保护端点系统免遭未经授权和/或非法使用、访问和/或控制。端点保护系统的示例可包括而不限于：反恶意软件系统、用户认证系统、加密系统、保密系统、垃圾邮件过滤服务，等等。

本文描述和/或例示的过程参数和步骤序列仅通过举例的方式给出并且可根据需要改变。例如，虽然本文示出和/或描述的步骤可以特定顺序示出或讨论，但这些步骤不一定需要按例示或讨论的顺序来执行。本文描述和/或例示的各种示例性方法也可省略本文描述或例示的步骤中的一个或多个，或除了所公开的那些步骤之外还包括另外步骤。

虽然在全功能计算系统的背景中描述和/或例示了各种实施例，但这些示例性实施例中的一个或多个可作为各种形式的程序产品来分配，而不顾及用于实际执行分配的计算机可读介质的特定类型。本文所公开的实施例也可使用执行某些任务的软件模块来实现。这些软件模块可包括脚本、批文件或可存储在计算机可读存储介质上或计算系统中的其他可执行文件。在一些实施例中，这些软件模块可将计算系统配置为执行本文所公开的示例性实施例中的一个或多个。

此外，本文所述的模块中的一个或多个可将数据、物理设备和/或物理设备的表示从一种形式转换为另一种形式。例如，本文所述的模块中的一个或多个可将信号转换成接入尝试安全性确定。除此之外或作为另外一种选择，本文所述模块中的一个或多个可通过在计算设备上执行、在计算设备上存储数据和/或以其他方式与计算设备交互，来将处理器、易失性存储器、非易失性存储器、和/或物理计算设备的任何其他部分从一种形式转换为另一种形式。

提供前面描述的目的是使本领域的其他技术人员能够最好地利用本文所公开的示例性实施例的各种方面。该示例性描述并非旨在是详尽的或局限于所公开的任何精确形式。在不脱离本发明精神和范围的前提下，可进行许多修改和变化。本文所公开的实施例在所有方面均应被视为示例性的而非限制性的。应当参考所附权利要求及其等同形式来确定本发明的范围。

除非另有说明，否则在本说明书和权利要求中使用的术语“连接到”和“联接到”(以及其衍生形式)应该理解为允许直接和间接(即，经由其他元件或组件)连接。此外，在本说明书和权利要求中使用的术语“一”或“一个”应当理解为表示“…中的至少一者”。最后，为了易于使用，在本说明书和权利要求中使用的术语“包括”和“具有”(以及其衍生形式)与词语“包含”可互换并且与词语“包含”具有相同含义。

Claims (20)

1.一种用于防止未经授权的网络入侵的计算机实现的方法，所述方法的至少一部分由包括至少一个处理器的计算设备执行，所述方法包括：

识别由网络的一个或多个天线从尝试接入所述网络的设备的收发器接收的信号；

检测由所述网络的所述天线接收的与接入所述网络的所述尝试有关的所述信号的一个或多个信号强度；

至少部分地基于所述信号的所述信号强度，确定接入所述网络的所述尝试是有可能恶意的；

响应于确定接入所述网络的所述尝试是有可能恶意的，发起至少一个安全措施以应对接入所述网络的所述有可能恶意的尝试。

2.根据权利要求1所述的计算机实现的方法，所述方法还包括至少部分地基于由所述网络的所述天线接收的所述信号的所述信号强度来生成由所述网络的所述天线接收的所述信号的信号分布。

3.根据权利要求2所述的计算机实现的方法，其中确定接入所述网络的所述尝试是有可能恶意的包括：

识别指定先前已经被检测到与接入所述网络的阈值次数的失败尝试有关的可疑信号分布的策略；

确定所述信号分布与在所述策略中指定的所述可疑信号分布中的至少一个相匹配；

至少部分地由于所述信号分布与所述策略中指定的所述可疑信号分布中的至少一个相匹配，确定接入所述网络的所述尝试是有可能恶意的。

4.根据权利要求2所述的计算机实现的方法，其中：

检测由所述网络的所述天线接收的所述信号的所述一个或多个信号强度包括：

检测经由所述网络的所述天线内的第一天线的所识别信号的第一强度；

检测经由所述网络的所述天线内的至少一个另外天线的所识别信号的至少一个另外强度；

生成所述信号的所述信号分布包括至少部分地基于所述信号分布识别所述所接收信号的所述第一强度和所述至少一个另外强度之间的差异；

确定接入所述网络的所述尝试是有可能恶意的包括：

识别指定由所述网络的所述天线接收的信号的信号强度的可疑差异的策略；

确定所述所接收信号的所述第一强度和所述至少一个另外强度之间的差异与所述策略中指定的所述可疑差异中的至少一个相匹配；

至少部分地由于所述第一强度和所述至少一个另外强度之间的差异与所述策略中指定的所述可疑差异中的至少一个相匹配，确定接入所述网络的所述尝试是有可能恶意的。

5.根据权利要求2所述的计算机实现的方法，其中，确定接入所述网络的所述尝试是有可能恶意的包括确定以下项中的至少一个：

所述信号分布与未经授权信号分布的数据库中的条目相匹配；

所述信号分布与经授权信号分布的数据库中的条目不匹配。

6.根据权利要求2所述的计算机实现的方法，其中，确定接入所述网络的所述尝试是有可能恶意的包括：

检测将信号分布和媒体访问控制(MAC)地址的一个或多个可疑组合列入黑名单的策略；

确定所述信号分布和在接入所述网络的所述尝试中使用的所述设备的MAC地址与由所述策略列入黑名单的所述可疑组合中的至少一个相匹配；

至少部分地由于所述信号分布和所述设备的所述MAC地址与由所述策略列入黑名单的所述可疑组合中的至少一个相匹配，确定接入所述网络的所述尝试是有可能恶意的。

7.根据权利要求2所述的计算机实现的方法，其中，确定接入所述网络的所述尝试是有可能恶意的包括：

确定在接入所述网络的所述尝试中使用的所述设备的MAC地址已经在接入所述网络的一次或多次先前成功尝试中使用过；

确定在接入所述网络的所述先前成功尝试期间，所述信号分布先前没有与所述MAC地址结合使用；

至少部分地由于所述MAC地址在所述先前成功尝试中使用过以及在所述先前成功尝试期间所述信号分布先前没有与所述MAC地址结合使用，确定接入所述网络的所述尝试是有可能恶意的。

8.根据权利要求2所述的计算机实现的方法，其中，确定接入所述网络的所述尝试是有可能恶意的包括：

确定已经检测到所述信号分布与涉及多个不同MAC地址的多个先前接入尝试有关；

至少部分地由于已经检测到所述信号分布与涉及所述多个不同MAC地址的所述多个先前接入尝试有关，确定接入所述网络的所述尝试是有可能恶意的。

9.根据权利要求2所述的计算机实现的方法，其中，确定接入所述网络的所述尝试是有可能恶意的包括：

识别在接入所述网络的所述尝试中使用的所述设备的MAC地址；

确定接入所述网络的所述尝试的发起时间对于所述MAC地址是不典型的；

至少部分地由于接入所述网络的所述尝试的所述发起时间对于所述MAC地址是不典型的，确定接入所述网络的所述尝试是有可能恶意的。

10.根据权利要求2所述的计算机实现的方法，还包括：

监视接入一个或多个网络的一次或多次尝试；

在监视所述接入尝试的同时：

识别与所述所监视的接入尝试有关的一个或多个信号分布；

至少部分地基于所述信号分布来识别所述所监视的接入尝试的属性集合；

根据所述属性集合，建立用于识别恶意网络接入尝试的基于机器学习的分类模型；

使用所述基于机器学习的分类模型来创建用于识别有可能恶意接入尝试的策略；

至少部分地基于用于识别有可能恶意接入尝试的所述策略来确定接入所述网络的所述尝试是有可能恶意的。

11.根据权利要求10所述的计算机实现的方法，其中，监视所述一次或多次接入尝试包括以下项中的至少一个：

监视接入所述网络的一次或多次尝试；

监视接入由安全供应商监视的多个网络内的一个网络的一次或多次尝试；

监视与已知MAC地址相关联的一次或多次接入尝试；

监视与已知信号分布相关联的一次或多次接入尝试。

12.根据权利要求10所述的计算机实现的方法，还包括将接入所述网络的所述尝试的至少一个属性输入到所述基于机器学习的分类模型中。

13.根据权利要求1所述的计算机实现的方法，其中，发起所述安全措施包括警告网络管理员接入所述网络的所述尝试是有可能恶意的。

14.根据权利要求13所述的计算机实现的方法，还包括：

监视所述网络管理员对所述警告的响应；

至少部分地基于所述响应，调节用于经由基于机器学习的分类模型识别有可能恶意接入尝试的策略。

15.根据权利要求1所述的计算机实现的方法，其中，发起所述安全措施包括以下项中的至少一个：

阻止接入所述网络的所述尝试；

要求所述设备在接入所述网络之前成功完成授权过程。

16.根据权利要求1所述的计算机实现的方法，其中，所述识别、所述检测、所述确定和所述发起的步骤由在所述网络的路由器上运行的代理执行。

17.一种用于防止未经授权的网络入侵的系统，所述系统包括：

存储在存储器中的识别模块，所述识别模块识别由网络的一个或多个天线从尝试接入所述网络的设备的收发器接收的信号；

存储在存储器中的检测模块，所述检测模块检测由所述网络的所述天线接收的与接入所述网络的所述尝试有关的所述信号的一个或多个信号强度；

存储在存储器中的确定模块，所述确定模块至少部分地基于所述信号的所述信号强度，确定接入所述网络的所述尝试是有可能恶意的；

存储在存储器中的发起模块，所述发起模块响应于确定接入所述网络的所述尝试是有可能恶意的，发起至少一个安全措施以应对接入所述网络的所述有可能恶意尝试；

至少一个物理处理器，所述物理处理器被配置为执行所述识别模块、所述检测模块、所述确定模块和所述发起模块。

18.根据权利要求17所述的系统，其中，所述检测模块至少部分地基于由所述网络的所述天线接收的所述信号的所述信号强度来生成由所述网络的所述天线接收的所述信号的信号分布。

19.根据权利要求18所述的系统，其中，所述确定模块通过以下步骤确定接入所述网络的所述尝试是有可能恶意的：

识别指定先前已经被检测到与接入所述网络的阈值次数的失败尝试有关的可疑信号分布的策略；

确定所述信号分布与在所述策略中指定的所述可疑信号分布中的至少一个相匹配；

至少部分地由于所述信号分布与所述策略中指定的所述可疑信号分布中的至少一个相匹配，确定接入所述网络的所述尝试是有可能恶意的。

20.一种包括一个或多个计算机可读指令的非暂态计算机可读介质，所述计算机可读指令在由计算设备的至少一个处理器执行时，使所述计算设备：

识别由网络的一个或多个天线从尝试接入所述网络的设备的收发器接收的信号；

检测由所述网络的所述天线接收的与接入所述网络的所述尝试有关的所述信号的一个或多个信号强度；

至少部分地基于所述信号的所述信号强度，确定接入所述网络的所述尝试是有可能恶意的；

响应于确定接入所述网络的所述尝试是有可能恶意的，发起至少一个安全措施以应对接入所述网络的所述有可能恶意尝试。