CN113596051A - 检测方法、检测装置、电子设备、介质和计算机程序 - Google Patents

Abstract

本公开提供了一种域认证协议用户枚举的检测方法、检测装置、电子设备、介质和计算机程序。检测方法和装置可用于人工智能技术领域。检测方法包括：获取m个时间段的关于用户枚举行为的m个数据信息集；将每个数据信息与黑名单数据库中的信息进行匹配；当数据信息与黑名单数据库中的信息不匹配时，则提取m个数据信息集中每个数据信息的特征信息；根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集；计算多个异常数据信息子集的并集，得到异常数据信息集；统计异常数据信息集中的同一异常数据信息出现的次数；以及当次数大于等于设定阈值时，将该异常数据信息加载到黑名单数据库。

Description

检测方法、检测装置、电子设备、介质和计算机程序

技术领域

本公开涉及人工智能技术领域，更具体地，涉及一种域认证协议用户枚举的检测方法、检测装置、电子设备、介质和计算机程序。

背景技术

在渗透测试或攻防演练场景中，经常需要针对域认证协议(例如Kerberos协议)中发生在客户机与域认证协议的认证组件，例如AS的KRB_AS_REQ与KRB_AS_REP交互过程产生的域用户枚举行为进行检测，用于主动发现针对域账户的黑客攻击行为。渗透测试或者黑客攻击场景中，经常采用用户枚举方法进行域账号破解。由于该枚举方法在Kerberos现有协议特点上具备较强的隐藏性，现在无专门通过此类机器学习的方法或系统应用到KRB_AS_REQ与KRB_AS_REP的交互数据流量以自动判断恶意攻击行为，现有技术依靠基于规则或人工查看流量包的方法对此类恶意攻击行为进行攻击识别。

发明内容

有鉴于此，本公开提供了一种高效的、可以精准识别的域认证协议用户枚举的检测方法、检测装置、电子设备、计算机可读存储介质和计算机程序。

本公开的一个方面提供了一种域认证协议用户枚举的检测方法，包括：获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个所述时间段与m个所述数据信息集一一对应，每个所述数据信息集包括至少一个数据信息；将每个所述数据信息与黑名单数据库中的信息进行匹配；当所述数据信息与所述黑名单数据库中的信息不匹配时，则提取m个所述数据信息集中每个所述数据信息的特征信息；根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集，其中，每个所述异常数据信息子集包括n个异常数据信息，n为大于等于0的整数；计算多个所述异常数据信息子集的并集，得到异常数据信息集；统计所述异常数据信息集中的同一异常数据信息出现的次数；以及当所述次数大于等于设定阈值时，将该异常数据信息加载到所述黑名单数据库。

根据本公开实施例的域认证协议用户枚举的检测方法，可以解决人为分析流量包存在不准确且效率差的问题，以及解决传统基于规则判断，准确率低的问题。本公开有效利用机器学习技术，可以精准识别用户枚举攻击行为，从而提升安全监测的水平。

在一些实施例中，所述数据信息包括源IP，所述提取m个所述数据信息集中每个所述数据信息的特征信息包括：提取m个所述数据信息集中每个所述源IP的特征信息。

在一些实施例中，所述特征信息包括与所述特征信息的数据信息集对应的时间段内的源IP登录错误次数、源IP登录成功次数、登录成功后的登录时长、源IP请求次数、源IP是否在黑名单和源IP是否为常用IP中的至少一个。

在一些实施例中，所述特征信息为t个，t等于1，所述根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集包括：根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集，对m个时间段的m个所述数据信息集进行分类，得到m个异常数据信息子集。

在一些实施例中，所述特征信息为t个，t为大于1的整数，所述根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集包括：根据t个特征信息中的一个对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集；以及根据t个特征信息中的另一个对所述正常数据信息子集进行分类，直至t个特征均作为分类依据对上一步骤的所述正常数据信息子集进行分类，得到t个异常数据信息子集，对m个时间段的m个所述数据信息集进行分类，得到m×t个异常数据信息子集。

在一些实施例中，所述根据t个特征信息中的一个对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集包括：将所述数据信息集中的每个数据信息的t个特征信息中的一个与该特征信息对应的特征阈值比较；将符合所述特征阈值的数据信息存储到所述正常数据信息子集；以及将不符合所述特征阈值的数据信息存储到所述异常数据信息子集。

在一些实施例中，所述获取m个时间段的关于用户枚举行为的m个数据信息集包括：采集m个时间段的关于用户枚举行为的m个流量信息；以及对每个所述流量信息进行格式化处理，得到m个所述数据信息集。

在一些实施例中，所述将每个所述数据信息与黑名单数据库中的信息进行匹配包括：将每个所述数据信息的源IP与所述黑名单数据库中的源IP进行比对，所述数据信息与所述黑名单数据库中的信息不匹配为所述黑名单数据库中不包括所述数据信息的源IP。

在一些实施例中，所述将该异常数据信息加载到所述黑名单数据库后，还包括：根据所述黑名单数据库发出提示信息。

在一些实施例中，所述根据所述黑名单数据库发出提示信息包括：根据所述黑名单数据库发出报警信息、邮件信息和短信中的至少一种，以通知相关人员作出相应处理。

在一些实施例中，所述将该异常数据信息加载到所述黑名单数据库后，还包括：记录该异常数据信息的异常次数；将所述异常次数与异常阈值比较；以及当所述异常次数大于等于异常阈值时，将该异常数据信息输出至相关人员。

本公开的另一个方面提供了一种域认证协议用户枚举的检测装置，包括：获取模块，所述获取模块用于获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个所述时间段与m个所述数据信息集一一对应，每个所述数据信息集包括至少一个数据信息；匹配模块，所述匹配模块用于将每个所述数据信息与黑名单数据库中的信息进行匹配；提取模块，当所述数据信息与所述黑名单数据库中的信息不匹配时，所述提取模块用于提取m个所述数据信息集中每个所述数据信息的特征信息；分类模块，所述分类模块根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集，其中，每个所述异常数据信息子集包括n个异常数据信息，n为大于等于0的整数；计算模块，所述计算模块用于计算多个所述异常数据信息子集的并集，得到异常数据信息集；统计模块，所述统计模块用于统计所述异常数据信息集中的同一异常数据信息出现的次数；以及加载模块，当所述次数大于等于设定阈值时，所述加载模块用于将该异常数据信息加载到所述黑名单数据库。

本公开的另一方面提供了一种电子设备，包括一个或多个处理器以及一个或多个存储器，其中，所述存储器用于存储可执行指令，所述可执行指令在被所述处理器执行时，实现如上所述方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的可以应用方法、装置的示例性系统架构；

图2示意性示出了根据本公开实施例的域认证协议用户枚举的检测方法的流程图；

图3示意性示出了根据本公开实施例的获取m个时间段的关于用户枚举行为的m个数据信息集的流程图；

图4示意性示出了根据本公开实施例的将每个数据信息与黑名单数据库中的信息进行匹配的流程图；

图5示意性示出了根据本公开实施例的提取m个数据信息集中每个数据信息的特征信息的流程图；

图6示意性示出了根据本公开一些实施例的根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集的流程图；

图7示意性示出了根据本公开另一些实施例的根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集的流程图；

图8示意性示出了根据本公开实施例的根据t个特征信息中的一个对每个时间段的数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集的流程图；

图9示意性示出了根据本公开实施例的根据6个特征信息对其中一个时间段的数据信息集进行分类的示意图；

图10示意性示出了根据本公开实施例的根据黑名单数据库发出提示信息的流程图；

图11示意性示出了根据本公开实施例的域认证协议用户枚举的检测装置的结构框图；

图12示意性示出了根据本公开实施例的孤立森林建模过程示意图；

图13示意性示出了根据本公开实施例的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。在本公开的技术方案中，所涉及的用户个人信息的获取，存储和应用等，均符合相关法律法规的规定，采取了必要保密措施，且不违背公序良俗。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个所述特征。

在渗透测试或攻防演练场景中，经常需要针对域认证协议(例如Kerberos协议)中发生在客户机与域认证协议的认证组件，例如AS的KRB_AS_REQ与KRB_AS_REP交互过程产生的域用户枚举行为进行检测，用于主动发现针对域账户的黑客攻击行为。渗透测试或者黑客攻击场景中，经常采用用户枚举方法进行域账号破解。由于该枚举方法在Kerberos现有协议特点上具备较强的隐藏性，现在无专门通过此类机器学习的方法或系统应用到KRB_AS_REQ与KRB_AS_REP的交互数据流量以自动判断恶意攻击行为，现有技术依靠基于规则或人工查看流量包的方法对此类恶意攻击行为进行攻击识别。

本公开的实施例提供了一种域认证协议用户枚举的检测方法、检测装置、电子设备、计算机可读存储介质和计算机程序。域认证协议用户枚举的检测方法包括：获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个时间段与m个数据信息集一一对应，每个数据信息集包括至少一个数据信息；将每个数据信息与黑名单数据库中的信息进行匹配；当数据信息与黑名单数据库中的信息不匹配时，则提取m个数据信息集中每个数据信息的特征信息；根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集，其中，每个异常数据信息子集包括n个异常数据信息，n为大于等于0的整数；计算多个异常数据信息子集的并集，得到异常数据信息集；统计异常数据信息集中的同一异常数据信息出现的次数；以及当次数大于等于设定阈值时，将该异常数据信息加载到黑名单数据库。

需要说明的是，本公开的域认证协议用户枚举的检测方法、检测装置、电子设备、计算机可读存储介质和计算机程序可用于人工智能领域，也可用于除人工智能领域之外的任意领域，例如金融领域，这里对本公开的领域不做限定。

图1示意性示出了根据本公开实施例的可以应用域认证协议用户枚举的检测方法、检测装置、电子设备、计算机可读存储介质和计算机程序的示例性系统架构100。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的域认证协议用户枚举的检测方法一般可以由服务器105执行。相应地，本公开实施例所提供的检测装置一般可以设置于服务器105中。本公开实施例所提供的域认证协议用户枚举的检测方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的检测装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

以下将基于图1描述的场景，通过图2～图10对公开实施例的域认证协议用户枚举的检测方法进行详细描述。

图2示意性示出了根据本公开实施例的域认证协议用户枚举的检测方法的流程图。

如图2所示，该实施例的域认证协议用户枚举的检测方法包括操作S210～操作S270。

在操作S210，获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个时间段与m个数据信息集一一对应，每个数据信息集包括至少一个数据信息。例如，可以将一天的24个小时拆分成4个时间段，每个时间段包括6个小时，也即将0点～6点作为一个时间段，为方便描述我们将该时间段命名为第一时间段；将6点～12点作为一个时间段，为方便描述我们将该时间段命名为第二时间段；将12点～18点作为一个时间段，为方便描述我们将该时间段命名为第三时间段；将18点～24点作为一个时间段，为方便描述我们将该时间段命名为第四时间段，24点也为下一天的0点。

其中，在第一时间段，可以获取一个与第一时间段对应的数据信息集，这里将与第一时间段对应的数据信息集命名为第一数据信息集，第一数据信息集可以理解为第一时间段内的数据信息的集合，包括至少一个数据信息；在第二时间段，可以获取一个与第二时间段对应的数据信息集，这里将与第二时间段对应的数据信息集命名为第二数据信息集，第二数据信息集可以理解为第二时间段内的数据信息的集合，包括至少一个数据信息；在第三时间段，可以获取一个与第三时间段对应的数据信息集，这里将与第三时间段对应的数据信息集命名为第三数据信息集，第三数据信息集可以理解为第三时间段内的数据信息的集合，包括至少一个数据信息；在第四时间段，可以获取一个与第四时间段对应的数据信息集，这里将与第四时间段对应的数据信息集命名为第四数据信息集，第四数据信息集可以理解为第四时间段内的数据信息的集合，包括至少一个数据信息。

作为一种可能实施的方式，如图3所示，操作S210获取m个时间段的关于用户枚举行为的m个数据信息集包括操作S211～操作S212。

在操作S211，采集m个时间段的关于用户枚举行为的m个流量信息。

在操作S212，对每个流量信息进行格式化处理，得到m个数据信息集。

进一步举例说明，不法分子进行用户枚举行为时产生的流量信息主要在KRB_AS_REQ(登录请求)和KRB_AS_REP(登录响应)两类数据中存储。因此可以在域认证协议的认证器，例如Kerberos认证器链路上部署流量探针，从海量数据中剥离其中所有Kerberos协议的流量，提取其中KRB_AS_REQ与KRB_AS_REP交互数据的流量信息，这里仅为举例说明，并不能理解为对本公开的限制。

其中，第一时间段、第二时间段、第三时间段和第四时间段均可以提取出对应的流量信息。每个流量信息均可以理解为报文格式的数据，对每个流量信息进行格式化处理可以理解为将报文格式的数据转化为表格形式数据，需要说明的是，每个流量信息可以为一个报文，每个报文可以转化为一个数据信息集，也即一个表格形式数据，数据信息可以包括源IP，表格里可以包括不法分子请求登录时的至少一个源IP，每个源IP以及存储在该源IP下的信息为一个数据信息。

每个流量信息也可以为至少一个报文，每个报文可以转化为一个数据信息，与流量信息对应的数据信息集包括多少个数据信息，该流量信息为多少个报文，每个数据信息为一个表格形式数据，表格里可以包括不法分子请求登录时的源IP以及存储在该源IP下的信息。

由此，通过操作S211～操作S212可以实现获取m个时间段的关于用户枚举行为的m个数据信息集。

在操作S220，将每个数据信息与黑名单数据库中的信息进行匹配。作为一种可实现的方式，如图4所示，操作S220将每个数据信息与黑名单数据库中的信息进行匹配包括操作S221：将每个数据信息的源IP与黑名单数据库中的源IP进行比对。

在操作S230，当数据信息与黑名单数据库中的信息不匹配时，则提取m个数据信息集中每个数据信息的特征信息。其中，数据信息与黑名单数据库中的信息不匹配可以理解为黑名单数据库中不包括数据信息的源IP。

作为一种可实施的方式，如图5所示，操作S230提取m个数据信息集中每个数据信息的特征信息包括操作S231：提取m个数据信息集中每个源IP的特征信息。具体地，特征信息包括与特征信息的数据信息集对应的时间段内的源IP登录错误次数、源IP登录成功次数、登录成功后的登录时长、源IP请求次数、源IP是否在黑名单和源IP是否为常用IP中的至少一个。

下面继续以将一天的24个小时拆分成4个时间段为例进行说明，以第一数据信息集为例，假设第一数据信息集包括3个数据信息，第一个数据信息的源IP为张三，第二个数据信息的源IP为李四，第三个数据信息的源IP为王五。

其中，张三的特征信息为第一时间段(0点～6点)内登录错误次数、登录成功次数、登录成功后的登录时长、请求登录次数、张三是否在黑名单和张三是否为常用IP中的至少一个。李四的特征信息为第一时间段(0点～6点)内登录错误次数、登录成功次数、登录成功后的登录时长、请求登录次数、李四是否在黑名单和李四是否为常用IP中的至少一个。王五的特征信息为第一时间段(0点～6点)内登录错误次数、登录成功次数、登录成功后的登录时长、请求登录次数、王五是否在黑名单和王五是否为常用IP中的至少一个。

第二数据信息集、第三数据信息集和第四数据信息集与第一数据信息集同理，这里不再赘述。另外第一数据集中的数据信息个数和具体内容等均为举例说明，不能理解为对本公开的限制。

在操作S240，根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集，其中，每个异常数据信息子集包括n个异常数据信息，n为大于等于0的整数。

作为一种可能实现的方式，特征信息可以为t个，t等于1，结合图6，操作S240根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集包括操作S241。

在操作S241，根据特征信息对每个时间段的数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集，对m个时间段的m个数据信息集进行分类，得到m个异常数据信息子集。

以第一数据信息集举例说明，第一数据信息集中的3个数据信息有一个特征信息，该特征信息为第一时间段内登录错误次数，由此，可以根据第一时间段内登录错误次数对第一数据信息集进行分类，例如可以设定特征阈值为第一时间段内登录错误3次，将第一数据信息集中的每个数据信息的特征信息与设定的特征阈值比较。

具体可以为，将张三在第一时间段内登录错误次数与特征阈值比较，假设张三在第一时间段内登录错误为2次，因此，张三在第一时间段内登录错误次数小于特征阈值，可以将张三放入正常数据信息子集。将李四在第一时间段内登录错误次数与特征阈值比较，假设李四在第一时间段内登录错误为5次，因此，李四在第一时间段内登录错误次数大于特征阈值，可以将李四放入异常数据信息子集。将王五在第一时间段内登录错误次数与特征阈值比较，假设王五在第一时间段内登录错误为1次，因此，王五在第一时间段内登录错误次数小于特征阈值，可以将王五放入正常数据信息子集。

因此，可以得到包括张三和王五的正常数据信息子集，可以得到包括李四的异常数据信息子集。根据特征信息对第二数据信息集、第三数据信息集和第四数据信息集进行分类与第一数据信息集同理，这里不再赘述。对第一数据信息集、第二数据信息集、第三数据信息集和第四数据信息集进行分类可以得到4个异常数据信息子集。

作为一种可能实现的方式，特征信息为t个，t为大于1的整数，结合图7，操作S240根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集包括操作S242～操作S243。

在操作S242，根据t个特征信息中的一个对每个时间段的数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集。

在操作S243，根据t个特征信息中的另一个对正常数据信息子集进行分类，直至t个特征均作为分类依据对上一步骤的正常数据信息子集进行分类，得到t个异常数据信息子集，对m个时间段的m个数据信息集进行分类，得到m×t个异常数据信息子集。

作为一些具体的示例，如图8所示，操作S242根据t个特征信息中的一个对每个时间段的数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集包括操作S2421～操作S2423。

在操作S2421，将数据信息集中的每个数据信息的t个特征信息中的一个与该特征信息对应的特征阈值比较。

在操作S2422，将符合特征阈值的数据信息存储到正常数据信息子集。

在操作S2423，将不符合特征阈值的数据信息存储到异常数据信息子集。

继续以第一数据信息集举例说明，结合图9，第一数据信息集中可以包括8个数据信息，8个数据信息的源IP分别为张三、李四、王五、赵六、刘七、孙一、郭二和田九，8个数据信息均有6个特征信息，6个特征信息分别为第一时间段内登录错误次数、登录成功次数、登录成功后的登录时长、请求登录次数、源IP是否在黑名单和源IP是否为常用IP，由此，可以随机确定根据第一时间段内登录错误次数对第一数据信息集进行分类，例如可以设定第一特征阈值为第一时间段内登录错误3次，将第一数据信息集中的每个数据信息的特征信息与设定的第一特征阈值比较。

具体可以为，将张三在第一时间段内登录错误次数与第一特征阈值比较，假设张三在第一时间段内登录错误为2次，因此，张三在第一时间段内登录错误次数小于第一特征阈值，可以将张三放入正常数据信息子集。将李四在第一时间段内登录错误次数与第一特征阈值比较，假设李四在第一时间段内登录错误为5次，因此，李四在第一时间段内登录错误次数大于第一特征阈值，可以将李四放入异常数据信息子集，李四则为异常数据信息集中的异常数据信息。将王五在第一时间段内登录错误次数与第一特征阈值比较，假设王五在第一时间段内登录错误为1次，因此，王五在第一时间段内登录错误次数小于第一特征阈值，可以将王五放入正常数据信息子集。赵六、刘七、孙一、郭二和田九同理，这里不再赘述，假设赵六、刘七、孙一、郭二和田九放入正常数据信息子集。

继续可以随机确定根据第一时间段内登录成功次数对第一数据信息集进行分类，例如可以设定第二特征阈值为第一时间段内登录成功3次，将正常数据信息子集中的每个数据信息的特征信息与设定的第二特征阈值比较。

具体可以为，将张三在第一时间段内登录成功次数与第二特征阈值比较，假设张三在第一时间段内登录成功为2次，因此，张三在第一时间段内登录成功次数小于第二特征阈值，可以将张三放入异常数据信息子集。将王五在第一时间段内登录成功次数与第二特征阈值比较，假设王五在第一时间段内登录成功为5次，因此，王五在第一时间段内登录成功次数大于第二特征阈值，可以将王五放入正常数据信息子集。赵六、刘七、孙一、郭二和田九同理，这里不再赘述，假设赵六、刘七、孙一、郭二和田九放入正常数据信息子集。

以此类推，直至6个特征均作为分类依据对上一步骤的正常数据信息子集进行分类，得到6个异常数据信息子集。根据特征信息对第二数据信息集、第三数据信息集和第四数据信息集进行分类与第一数据信息集同理，这里不再赘述。对第一数据信息集、第二数据信息集、第三数据信息集和第四数据信息集进行分类可以得到4×6个异常数据信息子集。

由此，通过操作S2421～操作S2423可以便于实现根据t个特征信息中的一个对每个时间段的数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集。通过操作S241或者操作S242～操作S243可以便于实现根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集。

在操作S250，计算多个异常数据信息子集的并集，得到异常数据信息集。例如可以求上述举例中24个异常数据信息子集的并集得到异常数据信息集。

在操作S260，统计异常数据信息集中的同一异常数据信息出现的次数。例如可以统计异常数据信息集中张三出现的次数。

在操作S270，当次数大于等于设定阈值时，将该异常数据信息加载到黑名单数据库。例如可以确定一个设定阈值为3，当异常数据信息出现的次数，也即张三出现的次数大于3时，将张三加载到黑名单数据库。

根据本公开实施例的域认证协议用户枚举的检测方法，可以解决人为分析流量包存在不准确且效率差的问题，以及解决传统基于规则判断，准确率低的问题。本公开有效利用机器学习技术，可以精准识别用户枚举攻击行为，从而提升安全监测的水平。

在本公开的一些实施例中，如图2所示，操作S270将该异常数据信息加载到黑名单数据库后，还包括操作S280：根据黑名单数据库发出提示信息。由此，可以提示相关人员有不法分子在进行用户枚举行为，相关人员可以进行应对，防止不法分子登录成功而损害用户的生命财产安全。

图10示意性示出了根据本公开实施例的根据黑名单数据库发出提示信息的流程图。

操作S280根据黑名单数据库发出提示信息包括操作S281。

在操作S281，根据黑名单数据库发出报警信息、邮件信息和短信中的至少一种，以通知相关人员作出相应处理。其中，通过发出报警信息、邮件信息和短信中的至少一种可以便于实现对相关人员发出提示，从而相关人员可以进行应对，防止不法分子登录成功而损害用户的生命财产安全。

在本公开的另一些实施例中，图中未示出，操作S270将该异常数据信息加载到黑名单数据库后，还包括：记录该异常数据信息的异常次数；将异常次数与异常阈值比较；以及当异常次数大于等于异常阈值时，将该异常数据信息输出至相关人员。

例如，将张三加入黑名单数据库后记录张三的异常次数为1，张三下一次触发黑名单数据库时记录张三的异常次数为2，以此类推，张三下一次触发黑名单数据库可以理解为下一次获取m个时间段的关于用户枚举行为的m个数据信息集，将下一次获取的m个数据信息集中的数据信息(例如张三)与黑名单数据库中的信息进行匹配，匹配到张三后可以认为张三再一次触发黑名单数据库，异常次数加1。需要说明的是，下一次的m个时间段与前文描述的m个时间段不同。

可以理解的是，可以设定异常阈值为3，当张三的异常次数大于3时，则将张三这一异常数据信息输出至相关人员，以便于相关人员进行应对，防止不法分子登录成功而损害用户的生命财产安全。

基于上述域认证协议用户枚举的检测方法，本公开还提供了一种域认证协议用户枚举的检测装置10。以下将结合图11对域认证协议用户枚举的检测装置10进行详细描述。

图11示意性示出了根据本公开实施例的域认证协议用户枚举的检测装置10的结构框图。

域认证协议用户枚举的检测装置10包括获取模块1、匹配模块2、提取模块3、分类模块4、计算模块5、统计模块6和加载模块7。

获取模块1用于执行操作S210：获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个时间段与m个数据信息集一一对应，每个数据信息集包括至少一个数据信息。

匹配模块2用于执行操作S220：将每个数据信息与黑名单数据库中的信息进行匹配。

当数据信息与黑名单数据库中的信息不匹配时，提取模块3用于执行操作S230：提取m个数据信息集中每个数据信息的特征信息。

分类模块4用于执行操作S240：根据特征信息对每个时间段的数据信息集进行分类，得到多个异常数据信息子集，其中，每个异常数据信息子集包括n个异常数据信息，n为大于等于0的整数。

计算模块5用于执行操作S250：计算多个异常数据信息子集的并集，得到异常数据信息集。

统计模块6用于执行操作S260：统计异常数据信息集中的同一异常数据信息出现的次数。

当次数大于等于设定阈值时，加载模块7用于执行操作S270：将该异常数据信息加载到黑名单数据库。

由于上述域认证协议用户枚举的检测装置10是基于域认证协议用户枚举的检测方法设置的，因此上述域认证协议用户枚举的检测装置10的有益效果与域认证协议用户枚举的检测方法的相同，这里不再赘述。

另外，根据本公开的实施例，获取模块1、匹配模块2、提取模块3、分类模块4、计算模块5、统计模块6和加载模块7中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。

根据本公开的实施例，获取模块1、匹配模块2、提取模块3、分类模块4、计算模块5、统计模块6和加载模块7中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。

或者，获取模块1、匹配模块2、提取模块3、分类模块4、计算模块5、统计模块6和加载模块7中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

下面详细描述根据本公开实施例的域认证协议用户枚举的检测装置，值得理解的是，下述描述仅是示例性说明，而不是对本公开的具体限制。

本实施例的域认证协议用户枚举的检测装置包括数据采集模块、数据特征提取模块、数据建模模块、实时判断模块和报警模块。

其中，用户枚举行为产生的数据主要在KRB AS REQ(登录请求)和KRB_AS_REP(登录响应)两类数据中存储。数据采集模块主要通过在Kerberos认证器链路上部署流量探针，从海量数据中剥离其中所有Kerberos协议的流量，提取其中KRB_AS_REQ与KRB_AS_REP交互数据，并在数据库中存储。

数据特征提取模块负责对采集到的数据进行清洗、特征提取，针对一定时间间隔，提取用户登录错误次数、登录成功次数、登录时长、源IP请求次数、源IP是否在白名单、源IP是否为域内常用IP等特征。

数据建模模块工作过程如下：

首先，取一段时间历史数据，根据数据特征提取模块计算其特征，通过孤立森林建立无监督模型。参考图12，孤立森林建模过程如下：利用孤立树iTree的二叉搜索来孤立样本，由于异常值数量较少，且与大部分样本疏离，因此异常值会很早被孤立出来，即离孤立树的根节点距离更近。d最先被孤立出来，为异常点。

如图12所示，a、b、c、d代表同一时间段不同源IP登录的特征记录，通过孤立森林建模，可以识别d的行为不同于其他记录，故判断d为疑似用户枚举攻击行为。被判断为异记录的包含源IP累计计数超过m次，则认为其为用户枚举攻击行为，产生一条报警记录至报警模块。同时将该IP计入黑名单。

实时判断模块分为两部分，一是基于规则：指根据历史判别生成的IP黑名单库，对于在IP黑名单库的，直接报警通知相关人员；二是基于模型：根据一定时间间隔，计算记录特征，通过孤立森林模型进行异常记录判断，满足判定为异常次数条件的则报警通知，存在用户枚举攻击行为。

报警模块负责将实时判断的结果通过报警、邮件或短信等各种方式推送给安全团队人员，以便安全人员快速相应处理。

图13示意性示出了根据本公开实施例的适于实现域认证协议用户枚举的检测方法的电子设备的方框图。

如图13所示，根据本公开实施例的电子设备900包括处理器901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 903中，存储有电子设备900操作所需的各种程序和数据。处理器901、ROM902以及RAM 903通过总线904彼此相连。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备900还可以包括输入/输出(I/O)接口905，输入/输出(I/O)接口905也连接至总线904。电子设备900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至输入/输出(I/O)接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本公开实施例的方法。

在该计算机程序被处理器901执行时执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分909被下载和安装，和/或从可拆卸介质911被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (15)

1.一种域认证协议用户枚举的检测方法，其特征在于，包括：

获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个所述时间段与m个所述数据信息集一一对应，每个所述数据信息集包括至少一个数据信息；

将每个所述数据信息与黑名单数据库中的信息进行匹配；

当所述数据信息与所述黑名单数据库中的信息不匹配时，则提取m个所述数据信息集中每个所述数据信息的特征信息；

根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集，其中，每个所述异常数据信息子集包括n个异常数据信息，n为大于等于0的整数；

计算多个所述异常数据信息子集的并集，得到异常数据信息集；

统计所述异常数据信息集中的同一异常数据信息出现的次数；以及

当所述次数大于等于设定阈值时，将该异常数据信息加载到所述黑名单数据库。

2.根据权利要求1所述的方法，其特征在于，所述数据信息包括源IP，所述提取m个所述数据信息集中每个所述数据信息的特征信息包括：提取m个所述数据信息集中每个所述源IP的特征信息。

3.根据权利要求2所述的方法，其特征在于，所述特征信息包括与所述特征信息的数据信息集对应的时间段内的源IP登录错误次数、源IP登录成功次数、登录成功后的登录时长、源IP请求次数、源IP是否在黑名单和源IP是否为常用IP中的至少一个。

4.根据权利要求1所述的方法，其特征在于，所述特征信息为t个，t等于1，所述根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集包括：

根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集，对m个时间段的m个所述数据信息集进行分类，得到m个异常数据信息子集。

5.根据权利要求1所述的方法，其特征在于，所述特征信息为t个，t为大于1的整数，所述根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集包括：

根据t个特征信息中的一个对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集；以及

根据t个特征信息中的另一个对所述正常数据信息子集进行分类，直至t个特征均作为分类依据对上一步骤的所述正常数据信息子集进行分类，得到t个异常数据信息子集，对m个时间段的m个所述数据信息集进行分类，得到m×t个异常数据信息子集。

6.根据权利要求5所述的方法，其特征在于，所述根据t个特征信息中的一个对每个所述时间段的所述数据信息集进行分类，得到一个异常数据信息子集和一个正常数据信息子集包括：

将所述数据信息集中的每个数据信息的t个特征信息中的一个与该特征信息对应的特征阈值比较；

将符合所述特征阈值的数据信息存储到所述正常数据信息子集；以及

将不符合所述特征阈值的数据信息存储到所述异常数据信息子集。

7.根据权利要求1所述的方法，其特征在于，所述获取m个时间段的关于用户枚举行为的m个数据信息集包括：

采集m个时间段的关于用户枚举行为的m个流量信息；以及

对每个所述流量信息进行格式化处理，得到m个所述数据信息集。

8.根据权利要求1所述的方法，其特征在于，所述将每个所述数据信息与黑名单数据库中的信息进行匹配包括：将每个所述数据信息的源IP与所述黑名单数据库中的源IP进行比对，

所述数据信息与所述黑名单数据库中的信息不匹配为所述黑名单数据库中不包括所述数据信息的源IP。

9.根据权利要求1-8中任一项所述的方法，其特征在于，所述将该异常数据信息加载到所述黑名单数据库后，还包括：

根据所述黑名单数据库发出提示信息。

10.根据权利要求9所述的方法，其特征在于，所述根据所述黑名单数据库发出提示信息包括：

根据所述黑名单数据库发出报警信息、邮件信息和短信中的至少一种，以通知相关人员作出相应处理。

11.根据权利要求1-8中任一项所述的方法，其特征在于，所述将该异常数据信息加载到所述黑名单数据库后，还包括：

记录该异常数据信息的异常次数；

将所述异常次数与异常阈值比较；以及

当所述异常次数大于等于异常阈值时，将该异常数据信息输出至相关人员。

12.一种域认证协议用户枚举的检测装置，其特征在于，包括：

获取模块，所述获取模块用于获取m个时间段的关于用户枚举行为的m个数据信息集，其中，m为大于等于1的整数，m个所述时间段与m个所述数据信息集一一对应，每个所述数据信息集包括至少一个数据信息；

匹配模块，所述匹配模块用于将每个所述数据信息与黑名单数据库中的信息进行匹配；

提取模块，当所述数据信息与所述黑名单数据库中的信息不匹配时，所述提取模块用于提取m个所述数据信息集中每个所述数据信息的特征信息；

分类模块，所述分类模块根据所述特征信息对每个所述时间段的所述数据信息集进行分类，得到多个异常数据信息子集，其中，每个所述异常数据信息子集包括n个异常数据信息，n为大于等于0的整数；

计算模块，所述计算模块用于计算多个所述异常数据信息子集的并集，得到异常数据信息集；

统计模块，所述统计模块用于统计所述异常数据信息集中的同一异常数据信息出现的次数；以及

加载模块，当所述次数大于等于设定阈值时，所述加载模块用于将该异常数据信息加载到所述黑名单数据库。

13.一种电子设备，其特征在于，包括：

一个或多个处理器；

一个或多个存储器，用于存储可执行指令，所述可执行指令在被所述处理器执行时，实现根据权利要求1～11中任一项所述的方法。

14.一种计算机可读存储介质，其特征在于，所述存储介质上存储有可执行指令，该指令被处理器执行时实现根据权利要求1～11中任一项所述的方法。

15.一种计算机程序，其特征在于，该计算机程序包括一个或者多个可执行指令，所述可执行指令被处理器执行时实现根据权利要求1～11中任一项所述的方法。

Images