CN110365637B - 网银登录检测方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明涉及一种基于蜜罐系统的网银登录检测方法、装置、电子设备及存储介质。所述方法包括：通过虚拟主机、空余的端口构建蜜罐系统，并在虚拟主机上部署漏洞和监控系统；通过所述蜜罐系统接收网银账号信息；通过蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定网银账号信息与预设网银账号信息不一致时确定通过网银账号进行的网银登录是恶意登录；及当确定通过网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据阻断策略中断所述网银登录。本发明中当确定通过网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述客户端的网银登录，如此使得网银登录更稳定及安全。

Description

网银登录检测方法、装置、电子设备及存储介质

技术领域

本发明涉及网络安全领域，具体涉及一种基于蜜罐系统的网银登录检测方法、装置、电子设备及存储介质。

背景技术

蜜罐系统是一种对攻击方进行欺骗的系统，通过故意通过一些方式放通用户进行接下来的无效操作，从而诱使攻击方对它们实施攻击，捕获攻击者操作、分析其操作，并通过技术和管理手段来增强实际系统的安全防护能力。目前网银系统缺少针对外部攻击行为的识别，及缺少对页面注入代码等恶意行为的识别，造成网银系统被恶意份子控制。

发明内容

鉴于以上内容，有必要提出一种基于蜜罐系统的网银登录检测方法、装置、电子设备及计算机可读存储介质，以对外部攻击行为及对页面注入代码的行为进行识别，并防止恶意份子恶意登录网银。

本申请的第一方面提供一种网银登录检测方法，所述方法包括：

通过虚拟主机、空余的端口构建蜜罐系统，并在所述虚拟主机上部署漏洞和监控系统；

通过所述蜜罐系统接收网银账号信息；

通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录；及

当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

优选的，所述通过虚拟主机、空余的端口构建蜜罐系统包括：

根据服务器的配置信息在所述虚拟主机中生成Windows或Linux操作系统，及模拟Telnet应用、Ftp应用或Http应用；

通过netcat命令语句进行端口监听器的创建；

通过所述端口监听器对所述端口的访问流量进行监听；及

通过snort命令语句进行入侵检测。

优选的，所述通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录包括：

当确定所述网银账号信息与预设网银账号信息不一致时记录在一预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在所述预设时间段内达到预设次数时确认通过所述网银账号进行的网银登录是恶意登录。

优选的，所述方法还包括登录包括：

当确定所述网银账号信息与预设网银账号信息一致时，允许客户端访问所述蜜罐系统，并监听所述客户端对所述蜜罐系统的访问流量，并根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录。

优选的，所述蜜罐系统根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录包括：

根据所述访问流量记录所述客户端的端口的访问频率以及访问所述蜜罐系统的端口的个数，确定所述端口的风险指数，并对风险指数超过阈值的端口确定为攻击端口，并将所述攻击端口确定为恶意登录。

优选的，所述方法还包括：

根据木马规则过滤库判断从所述访问流量中获取或由所述客户端上传的信息或文件是否为病毒信息或病毒文件，其中，所述木马规则过滤库存储木马行为规则；及

当确定从所述访问流量中获取或由所述客户端上传的信息或文件为病毒信息或病毒文件时，确定通过所述网银账号进行的网银登录为恶意登录。

优选的，所述阻断策略为禁止客户端在预设时间段内的使用权限。

本申请的第二方面提供一种网银登录检测装置，所述装置包括：

创建模块，用于通过虚拟主机、空余的端口构建蜜罐系统，并在所述虚拟主机上部署漏洞和监控系统；

接收模块，用于通过所述蜜罐系统接收网银账号信息；

判断模块，用于通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录；及

阻断处理模块，用于当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

本申请的第三方面提供一种电子设备，所述电子设备包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现所述网银登录检测方法。

本申请的第四方面提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述网银登录检测方法。

本发明通过蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，根据比较结果判断通过所述网银账号进行的网银登录是否是恶意登录，当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述客户端的网银登录，如此使得网银登录更稳定及安全。

附图说明

图1为本发明一实施方式中网银登录检测方法的流程图。

图2为本发明一实施方式中网银登录检测方法的应用环境图。

图3为本发明一实施方式中网银登录界面的示意图。

图4为本发明一实施方式中网银登录检测装置的结构图。

图5为本发明一实施方式中电子设备的示意图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施例对本发明进行详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另有所述，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。

优选地，本发明网银登录检测方法应用在一个或者多个电子设备中。所述电子设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程门阵列(Field－Programmable Gate Array，FPGA)、数字处理器(DigitalSignal Processor，DSP)、嵌入式设备等。

所述电子设备可以是桌上型计算机、笔记本电脑、平板电脑及云端服务器等计算设备。所述设备可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。

实施例1

图1是本发明一实施方式中网银登录检测方法的流程图。根据不同的需求，所述流程图中步骤的顺序可以改变，某些步骤可以省略。

参阅图1所示，所述网银登录检测方法具体包括以下步骤：

步骤S11、通过虚拟主机、空余的端口构建蜜罐系统2，并在所述虚拟主机上部署漏洞和监控系统。

请参考图2，所示为本发明一实施方式中网银登录检测方法的应用环境图。本实施方式中，所述方法应用在一服务器1中。所述服务器1构建一蜜罐系统2。所述蜜罐系统2是一种安全资源，其价值用于被探测、攻击和损坏。本实施方式中，所述蜜罐系统2为记录或收集入侵数据的软件或设备。具体的，所述服务器1将蜜罐系统2构建为能够运行多种软件且能够打开虚拟主机端口并监听外部的连接请求的虚拟主机，并将蜜罐系统2作为诱饵诱使攻击方对蜜罐系统2实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。

在一实施方式中，所述通过虚拟主机、空余的端口构建蜜罐系统2包括：所述服务器1在构建所述蜜罐系统2时根据服务器1的配置信息在所述虚拟主机中生成特定的操作系统及模拟应用；通过netcat命令语句进行端口监听器的创建，通过所述端口监听器对所述端口的访问流量进行监听，及通过snort命令语句进行入侵检测。在具体实施方式中，所述服务器1根据服务器1的配置信息生成Windows或Linux操作系统，及模拟Telnet应用、Ftp应用或Http等应用。本实施方式中，用于进行端口监听器创建的netcat命令语句可以为：nc-l-p 80&gt；http。所述netcat命令语句被分解为：nc＝netcat，表示实际的应用程序；-l＝listen，表示创建一个开放的socket并捕获所有发往该socket的活动；-p表示对一个特定的端口进行监听；80表示netcat将会侦听的特定端口；&gt；表示将netcat所捕获的全部内容都进行了重定向，并放在了一份文件中；http表示发往端口80的所有连接将会被捕获和保存的文件的名字。本实施方式中，无论攻击设备或应用程序何时对蜜罐系统2的端口发起TCP连接，该次连接都会被捕获，并且所有的载荷数据也会重定向到文件http。本实施方式中，用于进行入侵检测的snort命令语句可以为：snort-i2-v-c/etc/snort.conf，其中-i用于指定snort监听的网络接口，-v用于显示TCP/IP的包头信息，-c/etc/snort.conf用于指定配置文件snort.conf的目录位置。

本实施方式中，由于蜜罐系统2中的主机或端口并非真实存在的主机或端口，因此对所述蜜罐系统2的访问可以被判断为攻击或者有攻击企图，从而可以根据蜜罐系统2监听和确定的攻击端口来及时阻断可能的非法访问或攻击。

步骤S12、通过蜜罐系统2接收网银账号信息。

请参考图2，本实施方式中，所述服务器1通过网络3与客户端4通信连接。本实施方式中，连接服务器1与客户端4的网络3可以是有线网络，也可以是无线网络，例如无线电、无线保真(Wireless Fidelity,WIFI)、蜂窝、卫星、广播等。所述客户端4可以是笔记本电脑、台式电脑、平板电脑、移动手机等装置。本实施方式中，所述服务器1通过蜜罐系统2接收客户端4发送的网银账号信息。具体的，所述服务器1提供一网银登录界面10显示在所述客户端4，用于供客户用户通过所述网银登录界面10输入所述账号信息。请参考图3，所示为本发明一实施方式中网银登录界面10的示意图。本实施方式中，所述网银登录界面10包括一注册按钮101、登录按钮102及登录账号输入栏位103。所述服务器1接收用户按压所述注册按钮101后产生的第一触发指令，并根据所述第一触发指令为用户分配一预设网银账号信息并对所述预设网银账号信息进行存储。本实施方式中，所述网银账号信息包括用户名信息及密码信息。所述服务器1通过蜜罐系统2的虚拟主机接收用户按压所述登录按钮102后产生的第二触发指令，并根据所述第二触发指令接收用户在所述登录账号输入栏103中输入的网银账号信息。

步骤S13、通过所述蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录。

在一实施方式中，所述“通过所述蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录”包括：

所述服务器1在确定所述网银账号信息与预设网银账号信息不一致时记录在一预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在所述预设时间段内达到预设次数时确认通过所述网银账号进行的网银登录是恶意登录或恶意攻击。

在一具体实施方式中，所述预设时间段及所述预设次数可以根据需要进行设定，例如，本实施方式中将所述预设时间段设定为一天的0：00-24:00之间的时间段，将预设次数设定为6次。所述服务器1通过蜜罐系统2将接收的网银账号信息中的用户名与密码分别对应与预设网银账号信息中的用户名及密码进行比较并判断所述网银账号信息中的用户名及密码两者中是否存在至少一者与预设网银账号信息中的用户名及密码不一致，当判断出所述网银账号信息中的用户名及密码两者中存在至少一者与预设网银账号信息中的用户名及密码不一致时，所述服务器1通过蜜罐系统2记录在预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在0：00-24:00时间段内达到6次时确认通过所述网银账号进行的网银登录是恶意登录或恶意攻击。

在一实施方式中，所述方法还包括：

所述服务器1通过蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较并确定所述网银账号信息与预设网银账号信息一致时，允许所述客户端4访问所述蜜罐系统2，并监听网络攻击者通过所述客户端4对所述蜜罐系统2的访问流量；所述服务器1根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录或恶意攻击。

在一实施方式中，所述服务器1通过所述蜜罐系统2监听所述客户端4对蜜罐系统2的访问流量包括：所述服务器1在确定存在对所述服务器1的疑似攻击时，将疑似攻击的数据流量牵引到所述蜜罐系统2，并继续对所述疑似攻击的数据流量进行监听和分析。

在一实施方式中，考虑到访问所述服务器1的网络中存在各种流量，除了部分恶意攻击或有恶意攻击企图的流量之外，还有些是无害的流量。因此，本实施方式中，所述服务器1根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录或恶意攻击包括：

根据访问流量记录所述客户端4的端口的访问频率以及访问所述蜜罐系统2的端口的个数，确定所述端口的风险指数，对风险指数超过阈值的端口确定为攻击端口，并将攻击端口的访问确定为恶意登录或恶意攻击。在具体实施方式中，所述服务器1存储有一关系表。所述关系表存储所述端口的访问频率与所述风险指数的对应关系。所述服务器1通过所述蜜罐系统2记录所述客户端4的端口的访问频率以及访问所述蜜罐系统2的端口的个数，并根据所述关系表查询出端口的风险指数，并对风险指数超过阈值的端口确定为攻击端口，并将所述攻击端口的访问确定为恶意登录或恶意攻击。

在一实施方式中，所述服务器1中设置有木马规则过滤库。所述木马规则过滤库用于存储常见的木马行为规则。所述方法在步骤S13之后还包括：

根据木马规则过滤库判断从所述访问流量中获取或由客户端4上传的信息或文件是否为病毒信息或病毒文件。当确定从所述访问流量中获取或由客户端4上传的信息或文件为病毒信息或病毒文件时，所述服务器12确定通过所述网银账号进行的网银登录为恶意登录。

本实施方式中，木马规则过滤库中的木马行为规则可以根据历年以来搜集的木马病毒的行为规则制定。比如：操作系统经常发布漏洞更新，这些漏洞会成为木马下手的切入点。木马进程会对这些漏洞进行扫描，如果发现漏洞并没有及时打补丁，木马就会利用这些漏洞盗取用户信息。因此，扫描、探测服务器1的操作系统漏洞是一种木马行为的表现。还有一些使用用户较多的安全防护软件也会有漏洞，这些漏洞与操作系统的服务端有联系，木马进程会利用这些漏洞劫持安全防护软件，进而产生窃取用户的信息等行为。这些动作行为都是木马具有的行为规则，木马行为过滤库就是存储了大量这种木马行为规则。

本实施方式中，木马规则过滤库包括多种已有木马的操作行为，其包括对文件自动压缩或解压、木马捆绑在一些文件上时造成文件增大、将文件改名删除文件、更改文件内容、上传、或下载文件、利用系统自动运行程序启动、修改注册表、伪装文件、修改组策略等行为。这些行为是木马的特有行为，符合木马规则过滤库中的木马行为规则。

本实施方式中，所述根据木马规则过滤库判断从所述访问流量中获取或由客户端4上传的信息或文件是否为病毒信息或病毒文件包括：

当确定所述信息或文件的行为与木马规则过滤库匹配，如该木马在所述蜜罐系统2中表现出对文件自动压缩或解压、木马捆绑在一些文件上，造成文件增大、将文件改名、删除文件、更改文件内容、上传下载文件、利用系统自动运行程序启动、修改注册表等行为时，则所述服务器判断所述信息或文件为病毒信息或病毒文件。

本实施方式中，当确定从所述访问流量中获取或由客户端4上传的信息或文件为病毒信息或病毒文件时，所述服务器1判断通过所述网银账号进行的网银登录是否是恶意登录。

步骤S14、当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

在一实施方式中，所述阻断策略为禁止客户端4在第二预设时间段内的使用权限。例如当所述服务器1确定所述网银账号信息与所述预设网银账号信息不一致的次数在预设时间段内达到预设次数时，确认通过所述网银账号进行的网银登录是恶意登录或恶意攻击，并将禁止客户端4在第二预设时间段内使用网银登录的权限作为阻断策略，及根据所述阻断策略禁止客户端4在第二预设时间段内使用网银登录。本实施方式中，所述第二预设时间段可以设定为一天。

在另一实施方式中，所述服务器1对记录的端口生成阻断策略，并将生成的阻断策略下发给所述服务器1的防火墙设备以使所述防火墙设备根据所述阻断策略对符合所述阻断策略的访问流量进行限制。具体的，所述服务器1根据所述访问流量分析出通过所述网银账号进行的网银登录是恶意登录或恶意攻击时，设定阻断策略为临时策略，并控制防火墙设备在临时策略的有效时间终止时，撤销该临时策略在防火墙设备中的应用。如此，在该临时策略的有效时间内终止所述客户端的网银登录。

本发明通过蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，根据比较结果判断通过所述网银账号进行的网银登录是否是恶意登录，当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述客户端的网银登录，如此使得网银登录更稳定及安全。

实施例2

图4为本发明一实施方式中网银登录检测装置40的结构图。

在一些实施例中，所述网银登录检测装置40运行于服务器1中。所述网银登录检测装置40可以包括多个由程序代码段所组成的功能模块。所述网银登录检测装置40中的各个程序段的程序代码可以存储于存储器中，并由至少一个处理器所执行，以执行网银登录检测的功能。

本实施例中，所述网银登录检测装置40根据其所执行的功能，可以被划分为多个功能模块。参阅图4所示，所述网银登录检测装置40可以包括创建模块401、接收模块402、判断模块403、阻断处理模块404。本发明所称的模块是指一种能够被至少一个处理器所执行并且能够完成固定功能的一系列计算机程序段，其存储在存储器中。本实施方式中，所述创建模块401、接收模块402、判断模块403、阻断处理模块404运在所述服务器1中。所述在一些实施例中，关于各模块的功能将在后续的实施例中详述。

所述创建模块401用于通过虚拟主机、空余的端口构建蜜罐系统2，并在所述虚拟主机上部署漏洞和监控系统。

所述蜜罐系统2是一种安全资源，其价值用于被探测、攻击和损坏。本实施方式中，所述蜜罐系统2为记录或收集入侵数据的软件或设备。具体的，所述创建模块401将蜜罐系统2构建为能够运行多种软件且能够打开虚拟主机端口并监听外部的连接请求的虚拟主机，并将蜜罐系统2作为诱饵诱使攻击方对蜜罐系统2实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。

在一实施方式中，所述创建模块401在构建所述蜜罐系统2时还根据服务器1的配置信息在所述虚拟主机中生成特定的操作系统及模拟应用；通过netcat命令语句进行端口监听器的创建，通过所述端口监听器对所述端口的访问流量进行监听，及通过snort命令语句进行入侵检测。在具体实施方式中，所述创建模块401根据服务器1的配置信息生成Windows或Linux操作系统，及模拟Telnet应用、Ftp应用或Http等应用。在一实施方式中，所述创建模块401还用于通过服务器1中空余的端口与攻击设备的IP地址或端口通信连接，并通过服务器1中空余的端口监听攻击设备对所述蜜罐系统2的访问流量。本实施方式中，用于进行端口监听器创建的netcat命令语句可以为：nc-l-p 80&gt；http。其中，nc＝netcat，表示实际的应用程序；-l＝listen，表示创建一个开放的socket并捕获所有发往该socket的活动；-p表示对一个特定的端口进行监听；80表示netcat将会侦听的特定端口；&gt；表示将netcat所捕获的全部内容都进行了重定向，并放在了一份文件中；http表示发往端口80的所有连接将会被捕获和保存的文件的名字。本实施方式中，无论攻击设备或应用程序何时对蜜罐系统2的端口发起TCP连接，该次连接都会被捕获，并且所有的载荷数据也会重定向到文件http。本实施方式中，用于进行入侵检测的snort命令语句可以为：snort-i2-v-c/etc/snort.conf，其中-i用于指定snort监听网络接口，-v用于显示TCP/IP包头信息，-c/etc/snort.conf用于指定配置文件snort.conf的目录位置。

本实施方式中，由于蜜罐系统2中的主机或端口并非真实存在的主机或端口，因此对所述蜜罐系统2的访问可以被判断为攻击或者有攻击企图，从而可以根据蜜罐系统2监听和确定的攻击端口来及时阻断可能的非法访问或攻击。

所述接收模块402用于通过蜜罐系统2接收网银账号信息。

本实施方式中，所述接收模块402通过蜜罐系统2接收客户端4发送的网银账号信息。具体的，所述接收模块402提供一网银登录界面10显示在所述客户端4，用于供客户用户通过所述网银登录界面10输入所述账号信息。请参考图3，所述网银登录界面10包括一注册按钮101、登录按钮102及登录账号输入栏位103。所述接收模块402接收用户按压所述注册按钮101后产生的第一触发指令，并根据所述第一触发指令为用户分配一预设网银账号信息并对所述预设网银账号信息进行存储。本实施方式中，所述网银账号信息包括用户名信息及密码信息。所述接收模块402通过蜜罐系统2接收用户按压所述登录按钮102后产生的第二触发指令，并根据所述第二触发指令接收用户在所述登录账号输入栏103中输入的网银账号信息。

所述判断模块403用于通过所述蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录。

在一实施方式中，所述“通过所述蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录”包括：

所述判断模块403通过蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较以判断接收的网银账号信息与预设网银账号信息是否一致，当确定所述网银账号信息与预设网银账号信息不一致时记录在一预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在所述预设时间段内达到预设次数时确认通过所述网银账号进行的网银登录是恶意登录或恶意攻击。

在一具体实施方式中，所述预设时间段及所述预设次数可以根据需要进行设定，例如，本实施方式中将所述预设时间段设定为一天的0：00-24:00之间的时间段，将预设次数设定为6次。所述服务器1通过蜜罐系统2将接收的网银账号信息中的用户名与密码分别对应与预设网银账号信息中的用户名及密码进行比较并判断所述网银账号信息中的用户名及密码两者中是否存在至少一者与预设网银账号信息中的用户名及密码不一致，当判断出所述网银账号信息中的用户名及密码两者中存在至少一者与预设网银账号信息中的用户名及密码不一致时，所述判断模块403通过蜜罐系统2记录在预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在0：00-24:00时间段内达到6次时确认通过所述网银账号进行的网银登录是恶意登录或恶意攻击。

在一实施方式中，所述判断模块403还用于通过蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较并确定所述网银账号信息与预设网银账号信息一致时，允许所述客户端4访问所述蜜罐系统2，并监听网络攻击者通过所述客户端4对所述蜜罐系统2的访问流量。所述判断模块403根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录或恶意攻击。

在一实施方式中，所述蜜罐系统2监听所述客户端4对蜜罐系统2的访问流量包括：所述判断模块403在确定存在对所述服务器1的疑似攻击时，将疑似攻击的数据流量牵引到所述蜜罐系统2，并继续对所述疑似攻击的数据流量进行监听和分析。

在一实施方式中，考虑到访问所述服务器1的网络中存在各种流量，除了部分恶意攻击或有恶意攻击企图的流量之外，还有些是无害的流量。因此，本实施方式中，所述判断模块403根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录或恶意攻击包括：

根据访问流量记录所述客户端4的端口的访问频率以及访问所述蜜罐系统2的端口的个数，确定所述端口的风险指数，对风险指数超过阈值的端口确定为攻击端口，并将攻击端口的访问确定为恶意登录或恶意攻击。在具体实施方式中，所述服务器1存储有一关系表。所述关系表存储所述端口的访问频率与所述风险指数的对应关系；所述判断模块403通过所述蜜罐系统2记录所述客户端4的端口的访问频率以及访问所述蜜罐系统2的端口的个数，并根据所述关系表查询出端口的风险指数所述，并对风险指数超过阈值的端口确定为攻击端口，并将攻击端口的访问确定为恶意登录或恶意攻击。

在一实施方式中，所述服务器1中设置有木马规则过滤库。所述木马规则过滤库用于存储常见的木马行为规则。所述判断模块403还用于：

根据木马规则过滤库判断从所述访问流量中获取或由客户端4上传的信息或文件是否为病毒信息或病毒文件；并当确定从所述访问流量中获取或由客户端4上传的信息或文件为病毒信息或病毒文件时确定通过所述网银账号进行的网银登录为恶意登录。

本实施方式中，木马规则过滤库中的木马行为规则可以根据历年以来搜集的木马病毒的行为规则制定。比如：操作系统经常发布漏洞更新，这些漏洞会成为木马下手的切入点。木马进程会对这些漏洞进行扫描，如果发现漏洞并没有及时打补丁，木马就会利用这些漏洞盗取用户信息。因此，扫描、探测服务器1的操作系统漏洞是一种木马行为的表现。还有一些使用用户较多的安全防护软件也会有漏洞，这些漏洞与操作系统的服务端有联系，木马进程会利用这些漏洞劫持安全防护软件，进而产生窃取用户的信息等行为。这些动作行为都是木马具有的行为规则，木马行为过滤库就是存储了大量这种木马行为规则。

本实施方式中，木马规则过滤库包括多种已有木马的操作行为，其包括对文件自动压缩或解压、木马捆绑在一些文件上时造成文件增大、将文件改名删除文件、更改文件内容、上传、或下载文件、利用系统自动运行程序启动、修改注册表、伪装文件、修改组策略等行为。这些行为是木马的特有行为，符合木马规则过滤库中的木马行为规则。

本实施方式中，所述根据木马规则过滤库判断从所述访问流量中获取或由客户端4上传的信息或文件是否为病毒信息或病毒文件包括：

当确定所述信息或文件的行为与木马规则过滤库匹配，如该木马在所述蜜罐系统2中表现出对文件自动压缩或解压、木马捆绑在一些文件上，造成文件增大、将文件改名、删除文件、更改文件内容、上传下载文件、利用系统自动运行程序启动、修改注册表等行为时，所述判断模块403判断所述信息或文件为病毒信息或病毒文件。

本实施方式中，当确定从所述访问流量中获取或由客户端4上传的信息或文件为病毒信息或病毒文件时，所述判断模块403判断通过所述网银账号进行的网银登录是否是恶意登录。

所述阻断处理模块404用于当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

在一实施方式中，所述阻断策略为禁止客户端4在第二预设时间段内的使用权限。例如当确定通过所述网银账号进行的网银登录是恶意登录或恶意攻击，所述阻断处理模块404将禁止客户端4在第二预设时间段内使用网银登录的权限作为阻断策略，及根据所述阻断策略禁止客户端4在第二预设时间段内使用网银登录。本实施方式中，所述第二预设时间段可以设定为一天。

在另一实施方式中，所述阻断处理模块404对记录的端口生成阻断策略，并将生成的阻断策略下发给所述服务器1的防火墙设备以使所述防火墙设备根据所述阻断策略对符合所述阻断策略的访问流量进行限制。具体的，所述阻断处理模块404根据所述访问流量分析出通过所述网银账号进行的网银登录是恶意登录或恶意攻击时，设定阻断策略为临时策略，并控制防火墙设备在临时策略的有效时间终止时，撤销该临时策略在防火墙设备中的应用。如此，在该临时策略的有效时间内终止所述客户端的网银登录。

本发明通过蜜罐系统2将接收的网银账号信息与存储的预设网银账号信息进行比较，根据比较结果判断通过所述网银账号进行的网银登录是否是恶意登录，当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述客户端的网银登录，如此使得网银登录更稳定及安全。

实施例3

图5为本发明一实施方式中电子设备6的示意图。

所述电子设备6包括存储器61、处理器62以及存储在所述存储器61中并可在所述处理器62上运行的计算机程序63。所述处理器62执行所述计算机程序63时实现上述网银登录检测方法实施例中的步骤，例如图1所示的步骤S11～S14。或者，所述处理器62执行所述计算机程序63时实现上述网银登录检测装置实施例中各模块/单元的功能，例如图4中的模块401～404。

示例性的，所述计算机程序63可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器61中，并由所述处理器62执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，所述指令段用于描述所述计算机程序63在所述电子设备6中的执行过程。例如，所述计算机程序63可以被分割成图4中的创建模块401、接收模块402、判断模块403、阻断处理模块404，各模块具体功能参见实施例2。

本实施方式中，所述电子设备6与所述服务器1是同一设备。在其他实施方式中，所述电子设备6可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。本领域技术人员可以理解，所述示意图仅仅是电子设备6的示例，并不构成对电子设备6的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述电子设备6还可以包括输入输出设备、网络接入设备、总线等。

所称处理器62可以是中央处理模块(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者所述处理器62也可以是任何常规的处理器等，所述处理器62是所述电子设备6的控制中心，利用各种接口和线路连接整个电子设备6的各个部分。

所述存储器61可用于存储所述计算机程序63和/或模块/单元，所述处理器62通过运行或执行存储在所述存储器61内的计算机程序和/或模块/单元，以及调用存储在存储器61内的数据，实现所述计电子设备6的各种功能。所述存储器61可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据电子设备6的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器61可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

所述电子设备6集成的模块/单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，所述计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

在本发明所提供的几个实施例中，应该理解到，所揭露的电子设备和方法，可以通过其它的方式实现。例如，以上所描述的电子设备实施例仅仅是示意性的，例如，所述模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

另外，在本发明各个实施例中的各功能模块可以集成在相同处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在相同模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用硬件加软件功能模块的形式实现。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他模块或步骤，单数不排除复数。电子设备权利要求中陈述的多个模块或电子设备也可以由同一个模块或电子设备通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

最后应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或等同替换，而不脱离本发明技术方案的精神和范围。

Claims (8)

1.一种网银登录检测方法，其特征在于，所述方法包括：

通过虚拟主机、空余的端口构建蜜罐系统，并在所述虚拟主机上部署漏洞和监控系统；

通过所述蜜罐系统接收网银账号信息，包括：通过所述虚拟主机接收用户按压登录按钮后产生的第二触发指令，并根据所述第二触发指令接收用户在登录账号输入栏中输入的网银账号信息；

通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录；及

当确定所述网银账号信息与预设网银账号信息一致时，允许客户端访问所述蜜罐系统，并监听所述客户端对所述蜜罐系统的访问流量，并根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录，包括：根据木马规则过滤库判断从所述访问流量中获取或由客户端上传的信息或文件是否为病毒信息或病毒文件，其中，所述木马规则过滤库存储木马行为规则；及当确定从所述访问流量中获取或由所述客户端上传的信息或文件为病毒信息或病毒文件时，确定通过所述网银账号进行的网银登录为恶意登录；

当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

2.如权利要求1所述的网银登录检测方法，其特征在于，所述通过虚拟主机、空余的端口构建蜜罐系统包括：

根据服务器的配置信息在所述虚拟主机中生成Windows或Linux操作系统，及模拟Telnet应用、Ftp应用或Http应用；

通过netcat命令语句进行端口监听器的创建；

通过所述端口监听器对所述端口的访问流量进行监听；及

通过snort命令语句进行入侵检测。

3.如权利要求1所述的网银登录检测方法，其特征在于，所述通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录包括：

当确定所述网银账号信息与预设网银账号信息不一致时记录在一预设时间段内所述网银账号信息与所述预设网银账号信息不一致的次数，并在确定所述网银账号信息与所述预设网银账号信息不一致的次数在所述预设时间段内达到预设次数时确认通过所述网银账号进行的网银登录是恶意登录。

4.如权利要求1所述的网银登录检测方法，其特征在于，所述蜜罐系统根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录包括：

根据所述访问流量记录所述客户端的端口的访问频率以及访问所述蜜罐系统的端口的个数，确定所述端口的风险指数，并对风险指数超过阈值的端口确定为攻击端口，并将所述攻击端口确定为恶意登录。

5.如权利要求1所述的网银登录检测方法，其特征在于，所述阻断策略为禁止客户端在预设时间段内的使用权限。

6.一种网银登录检测装置，其特征在于，所述装置包括：

创建模块，用于通过虚拟主机、空余的端口构建蜜罐系统，并在所述虚拟主机上部署漏洞和监控系统；

接收模块，用于通过所述蜜罐系统接收网银账号信息，包括：通过所述虚拟主机接收用户按压登录按钮后产生的第二触发指令，并根据所述第二触发指令接收用户在登录账号输入栏中输入的网银账号信息；

判断模块，用于通过所述蜜罐系统将接收的网银账号信息与存储的预设网银账号信息进行比较，并在确定所述网银账号信息与预设网银账号信息不一致时确定通过所述网银账号进行的网银登录是恶意登录；及

所述判断模块，还用于当确定所述网银账号信息与预设网银账号信息一致时，允许客户端访问所述蜜罐系统，并监听所述客户端对所述蜜罐系统的访问流量，并根据所述访问流量分析出通过所述网银账号进行的网银登录是否是恶意登录，包括：根据木马规则过滤库判断从所述访问流量中获取或由客户端上传的信息或文件是否为病毒信息或病毒文件，其中，所述木马规则过滤库存储木马行为规则；及当确定从所述访问流量中获取或由所述客户端上传的信息或文件为病毒信息或病毒文件时，确定通过所述网银账号进行的网银登录为恶意登录；

阻断处理模块，用于当确定通过所述网银账号进行的网银登录是恶意登录时，生成阻断策略，并根据所述阻断策略中断所述网银登录。

7.一种电子设备，其特征在于：所述电子设备包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现如权利要求1-5中任一项所述网银登录检测方法。

8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1-5中任一项所述网银登录检测方法。

Images