CN108494735A - 一种非法破解登录分析告警方法及装置 - Google Patents

Abstract

本发明公开了一种非法破解登录分析告警方法，该方法包括：将位置信息与IP地址相关联；设置时间窗以及登录失败次数的阀值；接收并记录登录失败日志的时间戳；根据所述时间戳判断对应时间段是否大于时间窗，如果是，删除已记录时间戳中的第一个时间戳，直至时间戳对应时间段小于等于时间窗，否则根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值，如果是，继续接收并记录登录失败日志的时间戳，否则生成非法破解登录分析告警。本发明的技术方案，在SSH暴力破解条件满足的时候能够实时准确地判断出来，并且告警发送方式的灵活选择，便于将攻击源所在地址通过地图显示。

Description

一种非法破解登录分析告警方法及装置

技术领域

本发明涉及数据安全领域，具体涉及一种非法破解登录分析告警方法及装置

背景技术

SSH为Secure Shell的缩写，由IETF的网络小组(Network Working Group)所制定；SSH为建立在应用层基础上的安全协议。SSH是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。

暴力破解是利用穷举法逐个推算可能的密码，直至成功为止。

SSH登录失败日志，用户通过SSH登录到linux主机时，如果登录失败就会记录一条日志，例如：Jan 30 11：07：24 localhost sshd[48830]：Failed password for root from192.168.0.1 port 64108 ssh2。

暴力破解是一种简单有效的密码破解技术，如果黑客事先知道了账户号码，而密码设置的又比较简单，黑客就可以使用穷举法逐个尝试密码字典中的密码，直至找到正确的密码。在linux上最常用的登录linux主机的协议就是SSH，因此对SSH登录密码继续暴力破解就是一种常见的攻击手段。

因此建立一个能够快速有效检测SSH暴力破解的模型是非常必要的，这样才能在SSH暴力破解发生时迅速告知用户，从而立即对攻击采取应对措施。

发明内容

为解决上述技术问题，本发明提供了一种非法破解登录分析告警方法，该方法包括以下步骤：

1)将位置信息与IP地址相关联；

2)设置时间窗以及登录失败次数的阀值；

3)接收并记录登录失败日志的时间戳；

4)根据所述时间戳判断对应时间段是否大于时间窗，如果是，跳转到步骤5)，否则，跳转到步骤7)；

5)删除已记录时间戳中的第一个时间戳；

6)判断剩余时间戳对应的时间段是否大于时间窗，如果是，则跳转到步骤5)，否则，跳转到步骤7)；

7)根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值，如果是，则跳转到步骤3)，否则，跳转到步骤8)；

8)生成非法破解登录分析告警。

根据本发明的方法，优选的，所述登录失败日志为SSH(Secure Shell)登录失败日志。

根据本发明的方法，优选的，所述步骤3)中设置一个循环链表用于存储所述登录失败日志的时间戳，设置循环链表的头指针和尾指针，初始状态下使头指针与尾指针相等，通过头指针和尾指针组成一条时间线，再分别设置头时间戳和尾时间戳分别用于记录头指针和尾指针指向的登录失败日志对应的时间戳。

根据本发明的方法，优选的，每次产生一条登录失败日志后，将尾指针向前移动一步，然后用尾时间戳记录当前登录失败日志的时间戳。

根据本发明的方法，优选的，所述步骤7)具体包括：

判断头指针和尾指针之间的节点个数是否大于或等于所述阀值，如果是则跳转到步骤8)，并且头指针与尾指针相等，头时间戳置0。

为解决上述技术问题，本发明提供了一种非法破解登录分析告警装置，其特征在于，该装置包括：

位置关联模块，将位置信息与IP地址相关联；

阈值设置模块，设置时间窗以及登录失败次数的阀值；

日志接收模块，接收并记录登录失败日志的时间戳；

时间戳判断模块，根据所述时间戳判断对应时间段是否大于时间窗

时间戳删除模块，根据时间戳判断模块的结果确定是否删除已记录时间戳中的第一个时间戳；

阈值判断模块，根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值；

告警生成模块，根据阈值判断模块的结果确定是否生成非法破解登录分析告警。

根据本发明的装置，优选的，日志接收模块包括一时间戳存储子模块，设置一个循环链表用于存储所述登录失败日志的时间戳，设置循环链表的头指针和尾指针，初始状态下使头指针与尾指针相等，通过头指针和尾指针组成一条时间线，再分别设置头时间戳和尾时间戳分别用于记录头指针和尾指针指向的登录失败日志对应的时间戳。

根据本发明的装置，优选的，所述时间戳存储子模块每次产生一条登录失败日志后，将尾指针向前移动一步，然后用尾时间戳记录当前登录失败日志的时间戳。

根据本发明的装置，优选的，所述阈值判断模块，判断头指针和尾指针之间的节点个数是否大于或等于所述阀值，如果是则调用告警生成模块生成非法破解登录分析告警，并且头指针与尾指针相等，头时间戳置0。

为解决上述技术问题，本发明提供了一种计算机存储介质，所述计算机存储介质存储有计算机程序指令，通过执行所述计算机程序指令实现上述所述的方法。

通过本发明的方案，实现了：

1.实现了SSH暴力破解判断条件的配置。

2.在SSH暴力破解条件满足的时候能够实时准确地判断出来。

3.告警发送方式的灵活选择。

4.攻击源所在地址的显示。

附图说明

图1为本发明的总体流程图。

图2为本发明的阈值判断流程图。

具体实施方式

为了解决以下问题：对SSH登录失败日志进行位置信息关联，当发生暴力破解攻击的时候就能知道攻击源的具体位置；基于滑动窗口对SSH登录失败阀值进行检测；基于指标和规则对SSH登录失败日志进行分析；基于策略和指令对告警进行响应。

本发明提出了以下技术方案，具体参见图1。

步骤1，将SSH登录失败日志加上目的IP前缀并用一个空格与之隔开，例如：192.168.0.1 Jan 30 11：07：24 localhost SSHd[48830]：Failed password for rootfrom 192.168.0.1 port 64108 SSH2，然后解析成json格式。由于SSH登录失败日志是非结构化数据，需要转成半结构化的json才能处理。再根据源IP(即攻击者主机IP地址)和目的IP(被攻击者主机IP地址)关联IP对应的位置信息(位置信息有五项，分别为国家、省、市、区和坐标)，关联之后SSH登录失败日志中的目的IP与位置信息如下所示：

目的城市："成都市"，

目的国别："中国"，

目的城区："青羊区"，

目的坐标："104.027307"，"30.673051"

类型：点

目的IP地址："192.168.0.1"，

目的省份："四川省"，

源城市："成都市"，

源国别："中国"，

源城区："青羊区"，

源坐标："104.027307"，"30.673051"

类型：点

源IP地址："192.168.0.2"，

源省份："四川省"。

步骤2，创建指标，指定解析好的SSH登录失败日志中的SRC_IP作为分析的字段。

步骤3，创建规则，规则用于分析一段时间内某个源IP的登录失败的次数是否超过一定数量，因此创建规则时需要设置规则需要分析的指标，时间窗口的大小，以及登录失败次数的阀值。规则创建完成以后，规则采用滑动窗口的方式对SSH登录失败的阀值进行检测，具体方式如下：先初始化一个循环链表，用于存储每条SSH登录失败日志的时间戳，准备两个指针start和end指向循环链表(初始状态下start和end相等)，start到end组成一条时间线，再准备两个变量startTime和endTime(分别记录start和end对应时间戳，startTime初始值为0)，每次产生一条登录失败日志后，将end向前移动一步，然后记录当前日志的时间戳并且endTime＝时间戳，接着循环判断startTime是否大于或等于endTime-时间窗口，如果是则判断start和end之间的节点个数是否大于或等于阀值，如果是则生成SSH暴力破解告警并且将start＝end、startTime＝0，否则停止循环，开始等待的新的SSH登录失败日志的到来，如果startTime小于endTime-时间窗口，则start往前移动一步，startTime＝start指针指向的时间戳，然后循环，直到将start移动到时间窗口以内。检测阀值的流程图如图2所示。

步骤4，创建指令，指令用于将告警以某种方式告知用户，例如发送邮件。

步骤5，创建策略，策略用于设置告警产生后需要执行的指令。

在另一实施例中，本发明公开了一种非法破解登录分析告警装置，该装置包括：

位置关联模块，将位置信息与IP地址相关联；

阈值设置模块，设置时间窗以及登录失败次数的阀值；

日志接收模块，接收并记录登录失败日志的时间戳；

时间戳判断模块，根据所述时间戳判断对应时间段是否大于时间窗

时间戳删除模块，根据时间戳判断模块的结果确定是否删除已记录时间戳中的第一个时间戳；

阈值判断模块，根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值；

告警生成模块，根据阈值判断模块的结果确定是否生成非法破解登录分析告警。

日志接收模块包括一时间戳存储子模块，设置一个循环链表用于存储所述登录失败日志的时间戳，设置循环链表的头指针和尾指针，初始状态下使头指针与尾指针相等，通过头指针和尾指针组成一条时间线，再分别设置头时间戳和尾时间戳分别用于记录头指针和尾指针指向的登录失败日志对应的时间戳。

所述时间戳存储子模块每次产生一条登录失败日志后，将尾指针向前移动一步，然后用尾时间戳记录当前登录失败日志的时间戳。

所述阈值判断模块，判断头指针和尾指针之间的节点个数是否大于或等于所述阀值，如果是则调用告警生成模块生成非法破解登录分析告警，并且头指针与尾指针相等，头时间戳置0。

日志接收模块包括一时间戳存储子模块，先初始化一个循环链表，用于存储每条SSH登录失败日志的时间戳，准备两个指针start和end指向循环链表(初始状态下start和end相等)，start到end组成一条时间线，再准备两个变量startTime和endTime(分别记录start和end对应时间戳，startTime初始值为0)，每次产生一条登录失败日志后，将end向前移动一步，然后记录当前日志的时间戳并且endTime＝时间戳，接着循环判断startTime是否大于或等于endTime-时间窗口，如果是则判断start和end之间的节点个数是否大于或等于阀值，如果是则生成SSH暴力破解告警并且将start＝end、startTime＝0，否则停止循环，开始等待的新的SSH登录失败日志的到来，如果startTime小于endTime-时间窗口，则start往前移动一步，startTime＝时间戳，然后循环，直到将start移动到时间窗口以内。

基于此方案实现了SSH暴力破解攻击的发现与告警，并且能够确认攻击源的具体地址。实现了SSH暴力破解判断条件的配置，在SSH暴力破解条件满足的时候能够实时准确地判断出来，并且告警发送方式的灵活选择，便于将攻击源所在地址通过地图显示。

对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、系统、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式发送机或其他可编程数据发送终端设备的发送器以产生一个机器，使得通过计算机或其他可编程数据发送终端设备的发送器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据发送终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据发送终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的发送，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种暴力破解攻击分析告警方法及装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种非法破解登录分析告警方法，其特征在于，该方法包括以下步骤：

1)将位置信息与IP地址相关联；

2)设置时间窗以及登录失败次数的阀值；

3)接收并记录登录失败日志的时间戳；

4)根据所述时间戳判断对应时间段是否大于时间窗，如果是，跳转到步骤5)，否则，跳转到步骤7)；

5)删除已记录时间戳中的第一个时间戳；

6)判断剩余时间戳对应的时间段是否大于时间窗，如果是，则跳转到步骤5)，否则，跳转到步骤7)；

7)根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值，如果是，则跳转到步骤3)，否则，跳转到步骤8)；

8)生成非法破解登录分析告警。

2.根据权利要求1所述的方法，所述登录失败日志为SSH(Secure Shell)登录失败日志。

3.根据权利要求1所述的方法，所述步骤3)中设置一个循环链表用于存储所述登录失败日志的时间戳，设置循环链表的头指针和尾指针，初始状态下使头指针与尾指针相等，通过头指针和尾指针组成一条时间线，再分别设置头时间戳和尾时间戳分别用于记录头指针和尾指针指向的登录失败日志对应的时间戳。

4.根据权利要求3所述的方法，每次产生一条登录失败日志后，将尾指针向前移动一步，然后用尾时间戳记录当前登录失败日志的时间戳。

5.根据权利要求4所述的方法，所述步骤7)具体包括：

判断头指针和尾指针之间的节点个数是否大于或等于所述阀值，如果是则跳转到步骤8)，并且头指针与尾指针相等，头时间戳置0。

6.一种非法破解登录分析告警装置，其特征在于，该装置包括：

位置关联模块，将位置信息与IP地址相关联；

阈值设置模块，设置时间窗以及登录失败次数的阀值；

日志接收模块，接收并记录登录失败日志的时间戳；

时间戳判断模块，根据所述时间戳判断对应时间段是否大于时间窗

时间戳删除模块，根据时间戳判断模块的结果确定是否删除已记录时间戳中的第一个时间戳；

阈值判断模块，根据记录时间戳判断对应的登录失败日志次数是否小于所述阈值；

告警生成模块，根据阈值判断模块的结果确定是否生成非法破解登录分析告警。

7.根据权利要求6所述的装置，日志接收模块包括一时间戳存储子模块，设置一个循环链表用于存储所述登录失败日志的时间戳，设置循环链表的头指针和尾指针，初始状态下使头指针与尾指针相等，通过头指针和尾指针组成一条时间线，再分别设置头时间戳和尾时间戳分别用于记录头指针和尾指针指向的登录失败日志对应的时间戳。

8.根据权利要求7所述的装置，所述时间戳存储子模块每次产生一条登录失败日志后，将尾指针向前移动一步，然后用尾时间戳记录当前登录失败日志的时间戳。

9.根据权利要求8所述的装置，所述阈值判断模块，判断头指针和尾指针之间的节点个数是否大于或等于所述阀值，如果是则调用告警生成模块生成非法破解登录分析告警，并且头指针与尾指针相等，头时间戳置0。

10.一种计算机存储介质，所述计算机存储介质存储有计算机程序指令，通过执行所述计算机程序指令实现如权利要求1-5之一所述的方法。