CN111859376A - 一种基于windows登陆信息发现内网攻击者的方法 - Google Patents

Abstract

本发明提供了一种基于windows登陆信息发现内网攻击者的方法，该方法为：在企业内网中，各服务器均安装有windows操作系统，设置一台agent服务器，在每一台防护范围内的服务器中安装agent客户端程序；agent服务器负责维护登陆信息白名单列表，并分别下发登陆信息白名单列表到每一台防护范围内的服务器中的agent客户端程序；每一台防护范围内的服务器中的agent客户端程序负责检测自身的登陆信息，若登陆信息不在白名单列表内判断为攻击者，则拒绝登陆，并第一时间向agent服务器推送告警信息。本发明通过维护一个登陆信息白名单列表来发现攻击者，不需要进行海量日志分析，简单、效率高、安全性好。

Description

一种基于windows登陆信息发现内网攻击者的方法

技术领域

本发明涉及网络安全领域，尤其涉及一种基于windows登陆信息发现内网攻击者的方法。

背景技术

随着全球信息化的飞速发展以及信息化技术的深入研究，网络安全越来越成为人们关注的重要问题。网络攻击无论是对个人还是企业，都是时刻存在着的潜在威胁。如果企业内网被非法入侵，那么可能带来无可估量的损失。企业内网攻击的发现手段，一般有以下几种：蜜罐、杀毒软件以及EDR等。蜜罐技术本质上是专门设置用来诱使攻击者对其进行攻击的，通过对攻击行为进行捕获和分析，从而了解攻击方所使用的工具与方法，推测攻击意图和动机。还可以通过窃听黑客之间的联系，收集黑客所用的工具，并且掌握他们的社交网络。杀毒软件对一切已知的对计算机有危害的程序代码进行清除，通常具有集成监控识别、病毒扫描及清除、自动升级、主动防御等功能，病毒库会及时更新，有的杀毒软件还带有数据恢复、防范黑客入侵、网络流量控制等功能。未来，杀毒软件将无法有效地处理日益增多的恶意程序。EDR通过对端点进行持续检测，发现异常行为并进行实时干预，同时通过应用程序对操作系统调用等异常行为分析，检测和防护未知威胁，通常结合机器学习和人工智能辅助判断。

中国专利申请文献CN201780082931.2中提供了攻击检测装置、攻击检测方法和攻击检测程序。攻击检测装置包括：白名单存储部，按照每个系统状态，对应地存储有白名单，白名单定义了在系统状态下被许可的系统信息；状态估计部，根据在服务器装置与设备之间通信的通信数据，估计控制系统当前的系统状态；攻击判定部，从白名单存储部取得与当前系统状态对应的白名单，根据所取得的白名单和当前系统状态下的系统信息，判断是否检测到攻击。攻击检测方法包括：攻击判定部从白名单存储部取得与当前系统状态对应的白名单，根据所取得的白名单和当前系统状态下的系统信息是否匹配，判断是否检测到攻击。在此公开文件中，针对不同的系统状态，需要存储不同的白名单，实现和维护都比较复杂，同时需要实时估计当前系统状态，再去白名单存储部取得与当前系统状态对应的白名单，实现复杂，耗时更长，导致系统效率降低。

综上所述，现有技术至少存在以下不足：

1.大型企业内网防护通常会向日志服务器发送自身的日志进行日志备份，日志服务器需要维护海量日志信息，业务量大，防护线长的短板，数据的汇总和分析工作复杂，难度很大，效率低。

2.蜜罐本身可能会被当做跳板攻击其他用户，带来无法挽回的损失，并可能带来法律责任问题；

3.杀毒软件有可能会被黑客杀软，在病毒查杀过程中还存在着文件误杀和数据破坏的问题。同时，杀毒软件并不能杀掉所有病毒，病毒库的及时更新是存在的问题；

4.EDR需要专门的安全运营团队人工调查事件警报，人工成本很高。控制台对海量信息进行异常登录日志筛选并发出警报，安全团队往往会被来自多个安全控制台的海量警报狂轰滥炸，调查决策可能是在信息不足的情况下做出的，也可能是仓促的即审判决，决策不够精准；

5.现有技术的处理方式较多依赖于攻击者的技术水平，存在可能被绕过的可能。

因此，针对现有技术不足，提供一种基于windows登陆信息发现内网攻击者的方法以克服现有技术不足甚为必要。

发明内容

为解决现有技术不足，本发明提供一种基于windows登陆信息发现内网攻击者的方法，具有简单、处理效率高、安全性好的特点。

本发明的上述目的通过如下技术手段实现：

提供一种基于windows登陆信息发现内网攻击者的方法，

在各服务器均安装有windows操作系统的内部网络中，选择一台服务器设置为agent服务器；在每台防护范围内的服务器中安装agent客户端程序；

Agent服务器维护登陆信息白名单列表，并下发登陆信息白名单列表到每台防护范围内的服务器中的agent客户端程序；

每台防护范围内的服务器的agent客户端程序负责检测自身的登陆信息；

每台防护范围内的服务器的agent客户端程序将自身的登录信息与白名单列表进行比较，当自身的登陆信息不包含在白名单列表内时判断为攻击者，拒绝登陆，并向agent服务器推送告警信息；否则判断为非攻击者，允许登陆。

优选的，上述agent客户端程序为轻量级agent客户端程序。

优选的，上述agent服务器维护的登陆信息白名单列表包含：防护范围内的服务器信息和与防护范围内的服务器一一对应的允许的登陆信息。

优选的，上述登录信息包括登陆来源IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

优选的，上登陆来源IP地址设置为至少一个，登陆用户名设置为至少一个，登陆时间段设置为至少一个，登陆方式设置为至少一个。

优选的，上述防护范围内的服务器信息包括：防护范围内的服务器名称、防护范围内的服务器IP地址中的至少一种。

优选的，上述告警信息包括：登陆来源的IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

优选的，防护范围内的服务器的agent客户端程序检测自身的登陆信息和拒绝登陆通过hook windows机器登陆函数实现。

本发明提供一种基于windows登陆信息发现内网攻击者的方法，在企业内网中，各服务器均安装有windows操作系统，设置一台agent服务器，在每一台防护范围内的服务器中安装agent客户端程序；agent服务器负责维护登陆信息白名单列表，并分别下发登陆信息白名单列表到每一台防护范围内的服务器中的agent客户端程序；每一台防护范围内的服务器中的agent客户端程序负责检测自身的登陆信息，若登陆信息不在白名单列表内判断为攻击者，则拒绝登陆并第一时间向agent服务器推送告警；否则允许登陆。

与现有技术相对比，本发明具有如下有益效果：

(1)本发明通过轻量级agent客户端程序进行检测，克服了现有技术需要对海量日志进行分析的缺点，达到了轻量级的效果。

(2)本发明通过仅维护一个白名单列表，克服了现有技术维护多个白名单，并需要实时估计系统状态的缺陷，处理简单，效率更高。

(3)本发明每台服务器通过利用自身agent客户端程序进行检测，达到了不被绕过的效果。

(4)本发明通过agent客户端仅检测自身登陆情况的技术手段，达到了处理简单，具有高负载性的效果。

(5)本发明通过直接拒绝攻击者的访问行为，即使攻击者拥有正确凭证，只要登录信息不在白名单列表中，即被拒绝，达到了高安全性的效果。

(6)本发明通过直接推送告警消息给agent服务器，达到了告警速度快的效果。

附图说明

图1是本发明一种基于windows登陆信息发现内网攻击者的方法的示意图。

具体实施方式

结合以下实施例对本发明作进一步说明。

实施例1。

一种基于windows登陆信息发现内网攻击者的方法，在各服务器均安装有windows操作系统的内部网络中，选择一台服务器设置为agent服务器；在每台防护范围内的服务器中安装agent客户端程序。

其中，Agent服务器维护登陆信息白名单列表，并下发登陆信息白名单列表到每台防护范围内的服务器中的agent客户端程序。Agent服务器维护登陆信息白名单列表，具体是存储白名单列表，并在存在修改的情况下，对应修改白名单列表。Agent服务器下发登陆信息白名单列表到每台防护范围内的服务器中的agent客户端程序，服务器中的agent客户端程序获得与本服务器对应的登陆信息。

每台防护范围内的服务器的agent客户端程序负责检测自身的登陆信息；

每台防护范围内的服务器的agent客户端程序将自身的登录信息与白名单列表进行比较，当自身的登陆信息不包含在白名单列表内时判断为攻击者，拒绝登陆，并向agent服务器推送告警信息；否则判断为非攻击者，允许登陆。

需要说明的是，本发明基于windows登陆信息发现内网攻击者的方法，主要是为了发现攻击者。本发明主要是针对发现攻击者的情况进行研究的，不排出存在误连的情况，针对误连的情况，只需要运维或安全人员对应判断就行，一旦确定不是误连，则肯定就是攻击者，误连的情况是本领域公知常识，此情况不再进行赘述。

本实施例中，agent客户端程序为轻量级agent客户端程序。agent客户端程序功能比较简单，只需要判断与白名单是否对应即可。不像安装杀毒软件或EDR防护软件功能那么复杂。采用轻量级agent客户端程序进行检测，可以克服现有技术需要对海量日志进行分析的缺点，达到了轻量级的效果。

其中，agent服务器维护的登陆信息白名单列表包含：防护范围内的服务器信息和与防护范围内的服务器一一对应的允许的登陆信息。

登录信息包括登陆来源IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。其中，登陆来源IP地址设置为至少一个，登陆用户名设置为至少一个，登陆时间段设置为至少一个，登陆方式设置为至少一个。登陆来源IP地址、登陆用户名、登陆时间段、登陆方式的设置方式可以相同也可以不同同，如登陆来源IP地址、登陆用户名、登陆时间段、登陆方式均设置为两个；也可以采用不相同的设置方式，如登陆来源IP地址设置为两个，登陆用户名设置为一个，登陆时间段设置为3个等。只有登陆信息中所有的项目(包括登陆来源IP地址、登陆用户名、登陆时间段、登陆方式)均与白名单中一致时，才会判断不是攻击者，否则只要有一个项目不同，就认定为攻击者，不允许登陆。

具体的，防护范围内的服务器信息包括：防护范围内的服务器名称、防护范围内的服务器IP地址中的至少一种。

具体的，告警信息包括：登陆来源的IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

防护范围内的服务器的agent客户端程序检测自身的登陆信息和拒绝登陆通过hook windows机器登陆函数实现。

本发明提供一种基于windows登陆信息发现内网攻击者的方法，在企业内网中，各服务器均安装有windows操作系统，设置一台agent服务器，在每一台防护范围内的服务器中安装agent客户端程序；agent服务器负责维护登陆信息白名单列表，并分别下发登陆信息白名单列表到每一台防护范围内的服务器中的agent客户端程序；每一台防护范围内的服务器中的agent客户端程序负责检测自身的登陆信息，若登陆信息不在白名单列表内判断为攻击者，则拒绝登陆并第一时间向agent服务器推送告警；否则允许登陆。

与现有技术相对比，本发明具有如下有益效果：

(1)本发明通过轻量级agent客户端程序进行检测，克服了现有技术需要对海量日志进行分析的缺点，达到了轻量级的效果。

(2)本发明通过仅维护一个白名单列表，克服了现有技术维护多个白名单，并需要实时估计系统状态的缺陷，处理简单，效率更高。

(3)本发明每台服务器通过利用自身agent客户端程序进行检测，达到了不被绕过的效果。

(4)本发明通过agent客户端仅检测自身登陆情况的技术手段，达到了处理简单，具有高负载性的效果。

(5)本发明通过直接拒绝攻击者的访问行为，即使攻击者拥有正确凭证，只要登录信息不在白名单列表中，即被拒绝，达到了高安全性的效果。

(6)本发明通过直接推送告警消息给agent服务器，达到了告警速度快的效果。

综上所述，本发明的一种基于windows登陆信息发现内网攻击者的方法，具有简单、处理效率高、安全性好的特点。

实施例2。

结合具体实例对本发明的一种基于windows登陆信息发现内网攻击者的方法进行说明，如图1所示，具体以包括一个agent服务器和3个防护范围内的服务器为例进行说明。

在内部网络中，服务器Agent-server、服务器server01、服务器server02和服务器server03均安装有windows操作系统。

在内部网络中，选择服务器Agent-server设置为agent服务器。防护范围内的服务器为服务器server01、服务器server02和服务器server03，在服务器server01、服务器server02和服务器server03中分别安装轻量级agent客户端程序。

Agent服务器Agent-server负责维护登陆信息白名单列表，白名单列表包括服务器server01、服务器server02和服务器server03的IP地址和与server01、server02和server03一一对应的允许的登录来源IP地址、允许的登陆用户名、允许的登陆时间段、允许的登陆方式。

本实施例中的白名单列表如下：

Server01 127.0.0.1,192.168.2.1；user1；am9:00-pm6:00；rdp

Server02 127.0.0.1,192.168.2.2；user2,user3；am9:00-pm6:00；rdp,smb

Server03 127.0.0.1,192.168.2.3,192.168.2.4；user4；am8:00-am12:00；rdp

即，server01的IP地址为：127.0.0.1，其允许的登陆来源IP地址为：192.168.2.1；server02的IP地址为：127.0.0.1，其允许的登陆来源IP地址为：192.168.2.2；server03的IP地址为：127.0.0.1，其允许的登陆来源IP地址为：192.168.2.3和192.168.2.4。

Agent服务器Agent-server下发登陆来源白名单列表到防护范围内的服务器server01、服务器server02和服务器server03中的agent客户端程序；

服务器server01、服务器server02和服务器server03中的agent客户端程序通过hook windows机器登陆函数，检测自身的登陆来源信息：server01上的登陆来源信息显示登陆来源IP地址为192.168.2.1；server02上的登陆来源信息显示登陆来源IP地址为192.168.2.2；server03上的登陆来源信息显示登陆来源IP地址为192.168.5.2。

每台防护范围内的服务器server01、服务器server02和服务器server03的agent客户端程序将检测到的自身的登录来源IP地址与白名单列表中各自对应的允许的登录来源IP地址进行比较：server01上检测到的登录来源IP地址192.168.2.1与白名单列表中server01上允许的登录来源IP地址192.168.2.1匹配，登陆用户名匹配，登陆时间段匹配，登陆方式匹配，允许访问；server02上检测到的登录来源IP地址192.168.2.2与白名单列表中server02允许的登录来源IP地址192.168.2.2匹配，登陆用户名匹配，登陆时间段匹配，登陆方式匹配，允许访问；server03上检测到的登录来源IP地址为192.168.5.2，与白名单列表中server03允许的登录来源IP地址192.168.2.3和192.168.2.4不匹配，登陆用户名匹配，登陆时间段不匹配，登陆方式匹配，在白名单列表的所有登陆信息中，只要有一个不匹配则认为该登陆来源是恶意用户，server03的agent客户端程序通过hook windows机器登陆函数拒绝该恶意用户登陆，并第一时间向agent服务器Agent-server推送包括该恶意用户的登陆来源IP地址192.168.5.2的告警信息。

本发明实施例中，每台防护范围内的服务器利用的是自身的agent客户端程序，无需其他程序，且仅检测自身的登陆情况，无需维护海量日志信息，负载性很高。本发明可直接拒绝攻击者的访问行为，直接推送告警信息给agent服务器，告警速度快。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (8)

1.一种基于windows登陆信息发现内网攻击者的方法，其特征在于，

在各服务器均安装有windows操作系统的内部网络中，选择一台服务器设置为agent服务器；在每台防护范围内的服务器中安装agent客户端程序；

Agent服务器维护登陆信息白名单列表，并下发登陆信息白名单列表到每台防护范围内的服务器中的agent客户端程序；

每台防护范围内的服务器的agent客户端程序负责检测自身的登陆信息；

每台防护范围内的服务器的agent客户端程序将自身的登录信息与白名单列表进行比较，当自身的登陆信息不包含在白名单列表内时判断为攻击者，拒绝登陆，并向agent服务器推送告警信息；否则判断为非攻击者，允许登陆。

2.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述agent客户端程序为轻量级agent客户端程序。

3.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述agent服务器维护的登陆信息白名单列表包含：防护范围内的服务器信息和与防护范围内的服务器一一对应的允许的登陆信息。

4.根据权利要求3所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述登录信息包括登陆来源IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

5.根据权利要求4所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，登陆来源IP地址设置为至少一个，登陆用户名设置为至少一个，登陆时间段设置为至少一个，登陆方式设置为至少一个。

6.根据权利要求3至5任意一项所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述防护范围内的服务器信息包括：防护范围内的服务器名称、防护范围内的服务器IP地址中的至少一种。

7.根据权利要求6所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述告警信息包括：登陆来源的IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

8.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，防护范围内的服务器的agent客户端程序检测自身的登陆信息和拒绝登陆通过hookwindows机器登陆函数实现。

Images