CN113626808A - 一种攻击溯源方法及装置 - Google Patents

Abstract

本公开是关于一种攻击溯源方法及装置。所述攻击溯源方法包括：获得访问设备的第一设备信息；确定所述访问设备是否达到预设访问权限；在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。本公开各实施例通过层次递进的方式收集访问设备的设备信息，并逐一比对采集到的设备信息，以判断访问设备的设备信息是否存在伪造的情况，从而保证了访问设备的可靠性，维护了网络信息的安全。

Description

一种攻击溯源方法及装置

技术领域

本公开涉及网络空间安全技术领域，尤其涉及一种攻击溯源方法及装置。

背景技术

随着互联网与大数据的不断发展，网络深入到人们生活中的各个领域中，逐渐成为一个无法取代的角色。由于互联网储存的信息量巨大且能够使有价值的信息被有效整合，故互联网成为人们日常生活中信息获取、发送以及储存的主要手段。鉴于上述互联网的特性，一些网络用户在利益的驱使下成为网络攻击方，通过窃取用户的信息谋取利益，使其他网络用户造成经济损失，甚至造成社会管理混乱。因此，在保证互联网内部信息正常交互的同时，维护网络用户的信息安全已成为网络技术安全领域首要解决的问题之一。

在现有的网络空间安全技术中，以攻击溯源技术为主要的网络安全保护措施。攻击溯源技术一方面能够根据被攻击设备的网络流量等数据进行分析，还原攻击设备的攻击方法，进而修复自身漏洞避免再次因此类攻击造成损失。另一方面还能够追踪恶意流量，定位攻击方的真实位置。然而现有的攻击溯源技术通常是在已发生恶意攻击的情况下，执行溯源操作，且此类攻击溯源技术无法识别攻击设备的伪装，以至于造成溯源结果错误或溯源失败。

因此，相关技术中亟需一种能够在攻击行为发生之前识别攻击设备，且能够拆穿攻击设备的伪装的攻击溯源技术。

发明内容

为克服相关技术中存在的问题，本公开提供一种攻击溯源方法及装置。

根据本公开实施例的第一方面，提供一种攻击溯源方法，所述攻击溯源方法应用于被访问设备，所述攻击溯源方法包括：获得访问设备的第一设备信息；确定所述访问设备是否达到预设访问权限；在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。

在一种可能的实现方式中，所述方法还包括：接收所述访问设备的访问请求；根据所述访问请求确定所述预设访问权限。

在一种可能的实现方式中，所述第一设备信息包括接收所述访问设备的访问请求后，第一次接收的访问设备的设备信息，获得访问设备的第一设备信息，包括：根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；在所述访问设备为非有效设备的情况下，初始化所述访问设备的访问权限，根据所述访问设备的访问请求生成溯源指令，并向所述访问设备发送所述溯源指令；接收所述访问设备响应于所述溯源指令所返回的第一设备信息，在所述第一设备信息的状态为正常的情况下，设定所述访问设备的访问权限为初级访问权限。

在一种可能的实现方式中，所述第一设备信息包括：最后一次接收的所述访问设备的设备信息，获得访问设备的第一设备信息，包括：根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；在所述访问设备为有效设备的情况下，保留所述访问设备已获得的访问权限，并执行确定所述访问设备是否达到预设访问权限的步骤。

在一种可能的实现方式中，根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备，还包括：确定所述访问设备与所述被访问设备的连接关系；在所述访问设备与所述被访问设备的连接关系是断开的情况下，标记所述访问设备为非有效设备；在所述访问设备与所述被访问设备的连接关系是连接的情况下，标记所述访问设备为有效设备。

在一种可能的实现方式中，确定所述访问设备是否达到预设访问权限，还包括：在所述访问设备的达到所述预设访问权限的情况下，授予所述访问设备预设访问权限，允许所述访问设备在所述预设访问权限的权限范围内访问。

在一种可能的实现方式中，所述方法还包括：在所述第二设备信息与所述第一设备信息匹配的情况下，以所述第二设备信息作为新的第一设备信息，返回执行确定所述访问设备是否达到预设访问权限以及之后的步骤。

在一种可能的实现方式中，所述方法还包括：在所述第二设备信息与所述第一设备信息不匹配的情况下，根据所述第一设备信息对所述访问设备执行攻击溯源。

根据本公开实施例的第二方面，提供一种攻击溯源装置，所述攻击溯源装置应用于被访问设备，所述攻击溯源装置包括：获取模块，被配置为获得访问设备的第一设备信息；确定模块，被配置为确定所述访问设备是否达到预设访问权限；溯源指令发送模块，被配置为在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；分析模块，被配置为接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；连接中止模块，被配置为在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。

在本公开的第二方面，提供一种攻击溯源装置，所述攻击溯源装置包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器被配置为执行上述溯源方法中任意一项所述的方法。

在本公开的第三方面，提供一种非易失性计算机可读存储介质，其上存储有计算机程序指令，其特征在于，所述计算机程序指令被处理器执行时实现上述任意一项所述的方法。

本公开通过层次递进的方式多阶段采集访问设备的设备信息，并将采集到的设备信息逐一比对，故当访问设备对信息进行伪装时，被访问设备能够识破访问设备的伪装。除此之外，在访问设备的访问权限到达预设访问权限前，被访问设备对其不授予访问权限。此方法能够在访问设备获得访问被访问设备的访问权限之前，多次确认访问设备的可靠性，进一步维护网络信息的安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是根据一示例性实施例示出的一种攻击溯源方法的方法流程图。

图2是根据一示例性实施例示出的一种攻击溯源方法的方法流程图。

图3是根据一示例性实施例示出的一种攻击溯源装置的框图。

图4是根据一示例性实施例示出的一种装置的框图。

图5是根据一示例性实施例示出的一种装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

为了方便本领域技术人员理解本申请实施例提供的技术方案，下面先对技术方案实现的技术环境进行说明。

在理论情况下，被攻击方在攻击事件发生之后，通过攻击溯源等技术手段，能够根据被攻击设备的网络流量等数据进行分析，还原攻击设备的攻击方法，进而修复自身漏洞避免再次因此类攻击造成损失。除此之外，攻击溯源技术还能够追踪恶意流量，定位攻击方的真实位置，以便于对攻击方依法惩处，进而打击窃取网络信息的犯罪行为。然而在真实的攻击事件中，攻击方常用信息伪装等技术手段，伪造自身的设备信息以蒙蔽被攻击方，使被攻击方获得错误的设备信息，导致被攻击方无法执行准确有效的攻击溯源。因此，当出现伪造设备信息的攻击方访问被攻击方时，识破攻击方的伪装，且阻止攻击方获取被攻击方信息成为一种较为强烈的技术需求。

鉴于上文所述的实际技术需求，本公开实施例提供的攻击溯源方法通过层次递进的方式多阶段采集访问设备的设备信息，并将采集到的设备信息逐一比对，故当访问设备对信息进行伪装时，被访问设备能够识破访问设备的伪装。除此之外，在访问设备的访问权限到达预设访问权限前，被访问设备对其不授予访问权限。此方法能够在访问设备获得访问被访问设备的访问权限之前，多次确认访问设备的可靠性，进一步维护网络信息的安全性。

下面结合附图对本公开实施例所述的攻击溯源方法进行详细的说明。图1是本公开实施例提供的攻击溯源方法的一种实施例的方法流程图。虽然本公开提供了如下述实施例或附图所示的方法操作步骤，但基于常规或者无需创造性的劳动在所述方法中可以包括更多或者更少的操作步骤。在逻辑性上不存在必要因果关系的步骤中，这些步骤的执行顺序不限于本公开实施例提供的执行顺序。

参阅图1所示，图1是根据本公开实施例的攻击溯源方法的流程图。该攻击溯源方法可以由终端设备或服务器等其它处理设备执行。其中，终端设备可以为用户设备(UserEquipment，UE)、移动设备、用户终端、终端、蜂窝电话、无绳电话、个人数字处理(PersonalDigital Assistant，PDA)、手持设备、计算设备、车载设备、可穿戴设备等。在一些可能的实现方式中，该攻击溯源方法可以通过处理器调用存储器中存储的计算机可读指令的方式来实现。当终端设备或服务器等其它处理设备执行本公开实施例的攻击溯源方法时，作为被访问设备，可通过执行以下实施例中的步骤，对访问设备进行攻击溯源。

本公开实施例提供的攻击溯源方法可以包括：

步骤S101：接收访问设备发送的访问请求。

访问设备向被访问设备发送的访问请求，以请求建立被访问设备与访问设备之间的信息传输通道。示例性的，所述访问请求包括：访问设备请求访问被访问设备中的内容。

步骤S102：根据访问请求确定预设访问权限。

可选的，被访问设备能够根据访问请求中的请求访问内容，确定访问设备所需开通的访问权限的等级，即所述访问设备的预设访问权限。其中，被访问设备中每一信息的访问权限的等级可根据实际情况由开发人员划分。

示例性的，开发人员根据敏感词的数量或数据的核心程度对被访问设备的信息进行访问权限等级的划分。并根据访问设备所需访问内容中敏感词的数量(或所需访问内容相对于所述被访问设备的核心程度)，评定所述访问设备所需的访问权限，即预设访问权限。

示例性的，被访问设备是某公司的公司信息网站，开发人员可以设定该网站首页的访问权限为初级访问权限，设定该网站中公司成员名单的访问权限为二级访问权限，设定该网站中专利授权案件信息的访问权限为三级访问权限。该公司的公司信息网站中访问权限的划分依照页面内容对公司的影响逐级递增。开发人员也可根据实际情况，以其他原则划分访问权限的等级。当访问请求要求访问专利授权案件信息时，可确定访问设备的预设访问权限为三级访问权限。

步骤S103：根据访问请求判断访问设备是否为与被访问设备建立了连接的有效设备。

在本实施例中，判断访问设备是否为有效设备包括以下步骤：

确定访问设备与被访问设备的连接关系。

在访问设备与被访问设备的连接关系是断开的情况下，标记访问设备为非有效设备。

在访问设备与被访问设备的连接关系是连接的情况下，标记访问设备为有效设备。

示例性的，访问请求中可包含访问设备的用户名称，被访问设备根据访问设备的用户名称查找内部的信息交互名单。若在信息交互名单中查找到访问设备，则表明访问设备与被访问设备的连接关系是连接的情况，标记访问设备为有效设备。若在信息交互名单中未查找到访问设备，则表明访问设备与被访问设备的连接关系是断开的情况，标记访问设备为非有效设备。其中，信息交互名单是与被访问设备建立连接的设备名单。

示例性的，访问设备为非有效设备可以包括以下情况：访问设备是首次向被访问设备发送访问请求，及访问设备与被访问设备曾建立连接关系，现已断开连接。

步骤S104：在访问设备为非有效设备的情况下，初始化访问设备的访问权限，根据访问设备的访问请求生成溯源指令，并向访问设备发送溯源指令。在访问设备为有效设备的情况下，可执行后续的步骤S112。

示例性的，初始化访问设备的访问权限，可以是被访问设备清除访问设备的访问权限，使访问设备的访问权限归零。

溯源指令可用于获取访问设备的设备信息，每次发送的溯源指令可用于获取不同的设备信息以进行相互比对，确认访问设备是否进行了伪装。每次发送的溯源指令所要求获取的设备信息可根据需要进行设置。在一个示例中，被访问设备可根据访问设备发送的访问请求生成溯源指令，用以获取访问设备的操作系统指纹。在另一示例中，被访问设备根据访问设备发送的访问请求生成的溯源指令还可以用于获取硬件序号、或者浏览器类型等。开发人员可以根据实际情况对溯源指令的具体内容加以调整，本公开对此不做限定。

步骤S105：接收访问设备响应于溯源指令所返回的第一设备信息，在第一设备信息的状态为正常的情况下，设定访问设备的访问权限为初级访问权限。

示例性的，访问设备基于接收的溯源指令生成相应的第一设备信息，并向被访问设备发送该第一设备信息。被访问设备基于第一设备信息判断访问设备是否具备被授予初级访问权限的资格。

在一个示例中，访问设备拒绝接收溯源指令，则被访问设备中止与访问设备建立连接的过程，并拒绝该访问设备访问信息。

可选的，在第一设备信息的状态为正常的情况下，授予访问设备初级访问权限。在第一设备信息的状态为异常的情况下，不授予访问设备初级访问权限，并中止被访问设备与该访问设备的连接。

在一个示例中，被访问设备根据访问设备发送的访问请求生成的溯源指令是获取访问设备系统操作指纹的指令。在第一设备信息为非乱码的情况下，该第一设备信息为正常情况。在第一设备信息为乱码的情况下，该第一设备信息为异常情况。

被访问设备还可以根据需要，设置其他条件，以判断是否授予访问设备初级访问权限，本公开在此不做限制。

步骤S106：确定访问设备是否达到预设访问权限。

示例性的，被访问设备根据生成的溯源指令的数目判断访问设备是否达到预设访问权限。例如：被访问设备是某公司的公司信息网站，访问设备请求访问该公司信息网站中专利授权案件信息页面。被访问设备规定若访问该专利授权案件信息页面，则必须通过被访问设备的三次溯源指令的验证。在该访问设备未达到三次溯源指令验证的情况下，被访问设备判定访问设备未达到预设访问权限。

示例性的，访问设备是否达到三次溯源指令验证可以根据第一设备信息对应的溯源指令的序号判断。例如：被访问设备第一次发送至访问设备的溯源指令的序号是1，被访问设备第二次发送至访问设备的溯源指的序号是2，以此类推。

或者，也可以根据当前返回的第一设备信息对应的访问权限是否达到了预设访问权限，来确定访问设备是否达到预设访问权限。

举例来说，在被访问设备根据访问请求生成溯源指令的情况下，若返回的设备信息(例如操作系统指纹)为正常，则访问设备当前的访问权限为初级访问权限。如果预设访问权限为三级访问权限，则可以依据“初级访问权限未达到三级访问权限”，来确定访问设备未达到预设访问权限，或者，也可以根据当前发送的溯源指令序号为1，未达到3，来确定访问设备未达到预设访问权限。在访问设备未达到预设访问权限的情况下，可执行步骤S107。如果访问设备达到了预设访问权限，可执行步骤S111。

步骤S107：基于第一设备信息生成溯源指令，并向访问设备发送溯源指令。

在一个示例中，第一设备信息是访问设备的操作系统类型，故基于第一设备信息生成的溯源指令，用以验证该访问设备的操作系统类型是否与第一设备信息代表的操作系统类型一致。

示例性地，若所述第一设备信息代表的操作系统为Windows系统，则基于所述第一设备信息生成的溯源指令调用GetCurrentProcessID()以获取所述访问设备的进程识别码。

相对应的，若所述访问设备的操作系统是Linux系统，则基于所述第一设备信息生成的溯源指令调用getpid()以获取所述访问设备的进程识别码。

步骤S108：接收第二设备信息，分析第二设备信息与第一设备信息是否匹配。

在一个示例中，第一设备信息表示该访问设备的操作系统是Windows系统，且基于所述第一设备信息生成的溯源指令调用GetCurrentProcessID()以获取所述访问设备的进程识别码。由上述内容可知，在第二设备信息是Windows系统的进程识别码的情况下，第二设备信息与第一设备信息匹配。在第二设备信息不是Windows系统的进程识别码的情况下，第二设备信息与第一设备信息不匹配。

相对应的，在另一示例中，第一设备信息代表该访问设备的操作系统也可以是Linux系统，则基于所述第一设备信息生成的溯源指令是用以调用getpid()以获取所述访问设备的进程识别码的指令。由上述内容可知，在第二设备信息是Linux系统的进程识别码的情况下，第二设备信息与第一设备信息匹配。在第二设备信息不是Linux系统的进程识别码的情况下，第二设备信息与第一设备信息不匹配。

本领域技术人员还可以以其他方式，通过第一设备信息生成溯源指令，以获得第二设备信息，只要通过第一设备信息和第二设备信息的比对，能够确定访问设备是否进行了伪装即可，本公开对此不作限制。

步骤S109：在第二设备信息与第一设备信息匹配的情况下，以第二设备信息作为新的第一设备信息，返回步骤S106，确定访问设备是否达到预设访问权限以及之后的步骤。在第二设备信息与第一设备信息不匹配的情况下，执行步骤S110。

在一个示例中，第一设备信息表示该访问设备的操作系统是Windows系统，第二设备信息表示Windows的进程识别码。基于上述条件，被访问设备以Windows进程识别码作为新的第一设备信息，返回执行确定访问设备是否达到预设访问权限以及之后的步骤。例如，预设访问权限为三级访问权限，而本次溯源指令编号为2，即第二次发出的溯源指令，则访问设备未达到预设访问权限，继续执行步骤S107，S108和S109。

其中，在再一次执行步骤S107时，可基于新的第一设备信息进一步生成溯源指令，以获取新的第二设备信息。

例如，新的第一设备信息为Windows系统的进程识别码时，被访问设备根据该新的第一设备信息生成溯源指令，该溯源指令可用以调用TerminateProcess()杀死进程。被访问设备接收访问设备响应于溯源指令所返回的第二设备信息。该第二设备信息代表已成功杀死进程，则表示第二设备信息与第一设备信息匹配。

步骤S110：在第二设备信息与第一设备信息不匹配的情况下，根据被访问设备中的第一设备信息对访问设备执行攻击溯源。示例性的，被访问设备能够根据获得的设备信息(例如各次溯源指令获得的各第一设备信息)对访问设备执行攻击溯源，定位访问设备的攻击方的真实位置，对该访问设备依法惩处。

步骤S111：在访问设备的达到预设访问权限的情况下，授予访问设备预设访问权限，允许访问设备在预设访问权限的权限范围内访问。

示例性的，被访问设备根据生成的溯源指令的数目判断访问设备是否达到预设访问权限。例如：被访问设备是某公司的公司信息网站，访问设备请求访问该公司信息网站中专利授权案件信息页面。被访问设备规定访问该专利授权案件信息页面，必须通过被访问设备的三次溯源指令的验证。在该访问设备达到三次溯源指令验证的情况下，被访问设备判定访问设备达到预设访问权限。被访问设备授予该访问设备预设访问权限，该访问设备具备访问该专利授权案件信息页面。

示例性的，访问设备是否达到三次溯源指令验证可以根据第一设备信息对应的溯源指令的序号判断。例如：被访问设备第一次发送至访问设备的溯源指令的序号是1，被访问设备第二次发送至访问设备的溯源指的序号是2，以此类推。

这种情况下，也意味着，通过序号为2的溯源指令获得的设备信息与通过需要为1的溯源指令获得的设备信息匹配，通过序号为3的溯源指令获得的设备信息与通过需要为2的溯源指令获得的设备信息匹配，即在授予访问设备预设访问权限过程中，避免了攻击设备的伪装的情况。

步骤S112：在访问设备为有效设备的情况下，保留访问设备已获得的访问权限，并执行步骤S106，即确定访问设备是否达到预设访问权限的步骤。

在访问设备为有效设备的情况下，可以获取被访问设备中记录的、访问设备已获得的访问权限(例如是初级访问权限)，并执行步骤S106之后的步骤，即，判断已获得的访问权限是否达到预设访问权限，如果未达到，则执行步骤S107，基于第一设备信息生成溯源指令，并向访问设备发送溯源指令。此时的第一设备信息，可以是最后一次接收的访问设备的设备信息。

被访问设备中可储存所获得的设备信息，以能够在访问设备存在信息伪造时，及时调用与该访问设备对应的设备信息，以便于执行攻击溯源。被访问设备还可移除储存时长大于第一预设时长的设备信息，以在不影响攻击溯源操作调用设备信息的情况下，降低被访问设备中内存已用空间的占比，进而减少被访问设备系统卡顿的状况。示例性的，在被访问设备是网页的情况下，所述第一预设时长的取值在半年到一年之间。所述第一预设时长由开发人员根据实际情况增减时长，本公开对此不做限定。

在一个示例性的应用场景中，访问设备在已被授予预设访问权限后，可能会变更访问设备的操作者，新的操作者对该访问设备的设备信息进行伪造，并基于该访问设备已有的访问权限向被访问设备请求更高的访问权限。为防止此类事件的发生，被访问设备可移除访问时长大于第二预设时长的访问设备的信息。相当于，当访问设备与被访问设备建立连接的时长大于第二预设时长，被访问设备可自动断开与访问设备的连接。

如图2所示，当终端设备或服务器等其它处理设备执行本公开实施例的攻击溯源方法时，作为被访问设备，可通过执行以下实施例中的步骤，对访问设备进行攻击溯源。

该方法包括：

步骤S301：获得访问设备的第一设备信息。

在本实施例中，被访问设备可以向访问设备发送溯源指令，以获取访问设备的第一设备信息。具体步骤可以如图1中步骤101-步骤105中所示例的。

其中，第一设备信息可以是访问设备的系统操作指纹。所述系统操作指纹用以表明所述访问设备的操作系统类型。在本实施例中，所述移动终端(即访问设备)的系统操作指纹是Windows系统的操作指纹。可选地，在其他实施例中，所述操作系统类型也可能是DOS操作系统、Mac OS操作系统、Unix系统、Linux系统以及OS/2系统中的一种。

在一个示例中，第一设备信息还可以是所述访问设备的硬件序号及浏览器类型等。所述第一设备信息可根据开发人员的实际需求更改，本公开对此不做限定。

进一步的，所述访问设备可选为移动终端。在一个示例中，所述访问设备也可以是智能电视、智能音箱及游戏机等电子设备。

步骤S302：确定访问设备是否达到预设访问权限。

可选的，预设访问权限根据访问设备请求访问的内容确定。

确定所述访问设备是否达到预设访问权限的示例可参见步骤S106。

步骤S303：在访问设备未达到预设访问权限的情况下，基于第一设备信息生成溯源指令，并向访问设备发送所述溯源指令。

该步骤的示例可参见步骤S107。

步骤S304：接收访问设备响应于溯源指令所返回的第二设备信息，分析第二设备信息与第一设备信息是否匹配。

步骤S305：在第二设备信息与第一设备信息不匹配的情况下，中止与访问设备的连接。

该步骤的示例可参见步骤S108。

本公开提供的攻击溯源方法根据访问设备返回被访问设备的设备信息，生成针对所述设备信息的溯源指令。通过所述溯源指令进一步获取访问设备的最新设备信息，并判断最新设备信息与前期获取的设备信息是否匹配，以验证所述设备信息的可靠性，进而验证访问设备的安全性。在访问设备通过被访问设备的层层验证的情况下，被访问设备才能够授予该访问设备访问权限，并允许该访问设备在访问权限允许的范围内访问信息。除此之外，本公开提供的攻击溯源的方法被设置于访问设备获取被访问设备内部信息之前，故而本公开提供的攻击溯源方法能够在网络攻击发生之前，阻止具备攻击性的访问设备成功访问被访问设备。

在一种可能的实现方式中，所述方法还包括：接收所述访问设备的访问请求；根据所述访问请求确定所述预设访问权限。

上述步骤的示例可参见步骤S101、S102。

在一种可能的实现方式中，所述第一设备信息包括接收所述访问设备的访问请求后，第一次接收的访问设备的设备信息，获得访问设备的第一设备信息，包括：根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；在所述访问设备为非有效设备的情况下，初始化所述访问设备的访问权限，根据所述访问设备的访问请求生成溯源指令，并向所述访问设备发送所述溯源指令；接收所述访问设备响应于所述溯源指令所返回的第一设备信息，在所述第一设备信息的状态为正常的情况下，设定所述访问设备的访问权限为初级访问权限。

上述步骤的示例可参见步骤S101至步骤S105。

在一种可能的实现方式中，所述第一设备信息包括：最后一次接收的所述访问设备的设备信息，获得访问设备的第一设备信息，包括：根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；在所述访问设备为有效设备的情况下，保留所述访问设备已获得的访问权限，并执行确定所述访问设备是否达到预设访问权限的步骤。

上述步骤的示例可参见步骤S112。

在一种可能的实现方式中，根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备，还包括：确定所述访问设备与所述被访问设备的连接关系；在所述访问设备与所述被访问设备的连接关系是断开的情况下，标记所述访问设备为非有效设备；在所述访问设备与所述被访问设备的连接关系是连接的情况下，标记所述访问设备为有效设备。

上述步骤的示例可参见步骤S103。

在一种可能的实现方式中，确定所述访问设备是否达到预设访问权限，还包括：

在所述访问设备的达到所述预设访问权限的情况下，授予所述访问设备预设访问权限，允许所述访问设备在所述预设访问权限的权限范围内访问。

上述步骤的示例可参见步骤S111。

在一种可能的实现方式中，所述方法还包括：

在所述第二设备信息与所述第一设备信息匹配的情况下，以所述第二设备信息作为新的第一设备信息，返回执行确定所述访问设备是否达到预设访问权限以及之后的步骤。

上述步骤的示例可参见步骤S109。

在一种可能的实现方式中，所述方法还包括：

在所述第二设备信息与所述第一设备信息不匹配的情况下，根据所述第一设备信息对所述访问设备执行攻击溯源。

上述步骤的示例可参见步骤S110。

本公开另一方面还提供一种攻击溯源装置，图3是根据一示例性实施例示出的攻击溯源装置的框图。参照图3，该装置包括：

获取模块11，被配置为获得访问设备的第一设备信息；

确定模块12，被配置为确定所述访问设备是否达到预设访问权限；

溯源指令发送模块13，被配置为在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；

分析模块14，被配置为接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；

连接中止模块15，被配置为在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。

在一种可能的实现方式中，所述装置还包括：

接收模块，被配置为接收所述访问设备的访问请求；

预设访问权限确定模块，被配置为根据所述访问请求确定所述预设访问权限。

在一种可能的实现方式中，所述第一设备信息包括接收所述访问设备的访问请求后，第一次接收的访问设备的设备信息，

获得访问设备的第一设备信息，包括：

根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；

在所述访问设备为非有效设备的情况下，初始化所述访问设备的访问权限，根据所述访问设备的访问请求生成溯源指令，并向所述访问设备发送所述溯源指令；

接收所述访问设备响应于所述溯源指令所返回的第一设备信息，

在所述第一设备信息的状态为正常的情况下，设定所述访问设备的访问权限为初级访问权限。

在一种可能的实现方式中，所述第一设备信息包括：最后一次接收的所述访问设备的设备信息，

获得访问设备的第一设备信息，包括：

根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；

在所述访问设备为有效设备的情况下，保留所述访问设备已获得的访问权限，并执行确定所述访问设备是否达到预设访问权限的步骤。

在一种可能的实现方式中，据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备，还包括：

确定所述访问设备与所述被访问设备的连接关系；

在所述访问设备与所述被访问设备的连接关系是断开的情况下，标记所述访问设备为非有效设备；

在所述访问设备与所述被访问设备的连接关系是连接的情况下，标记所述访问设备为有效设备。

在一种可能的实现方式中，确定所述访问设备是否达到预设访问权限，还包括：

在所述访问设备的达到所述预设访问权限的情况下，授予所述访问设备预设访问权限，允许所述访问设备在所述预设访问权限的权限范围内访问。

在一种可能的实现方式中，所述装置还包括：

匹配模块，被配置为在所述第二设备信息与所述第一设备信息匹配的情况下，以所述第二设备信息作为新的第一设备信息，返回执行确定所述访问设备是否达到预设访问权限以及之后的步骤。

在一种可能的实现方式中，所述装置还包括：

攻击溯源模块，被配置为在所述第二设备信息与所述第一设备信息不匹配的情况下，根据所述第一设备信息对所述访问设备执行攻击溯源。

图4是根据一示例性实施例示出的一种攻击溯源装置的框图。例如，装置可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

参照图4，装置700可以包括以下一个或多个组件：处理组件702，存储器704，电源组件706，多媒体组件708，音频组件710，输入/输出(I/O)的接口712，传感器组件714，以及通信组件716。

处理组件702通常控制装置的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件702可以包括一个或多个处理器来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件702可以包括一个或多个模块，便于处理组件702和其他组件之间的交互。例如，处理组件702可以包括多媒体模块，以方便多媒体组件708和处理组件702之间的交互。

存储器704被配置为存储各种类型的数据以支持在装置的操作。这些数据的示例包括用于在装置上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器704可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件706为装置的各种组件提供电力。电源组件706可以包括电源管理系统，一个或多个电源，及其他与为装置生成、管理和分配电力相关联的组件。

多媒体组件708包括在所述装置和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触敏显示器，以传输来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件708包括一个前置摄像头和/或后置摄像头。当装置处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以传输外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件710被配置为输出和/或输入音频信号。例如，音频组件710包括一个麦克风(MIC)，当装置处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为传输外部音频信号。所传输的音频信号可以被进一步存储在存储器704或经由通信组件716发送。在一些实施例中，音频组件710还包括一个扬声器，用于输出音频信号。

I/O接口为处理组件702和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件714包括一个或多个传感器，用于为装置提供各个方面的状态评估。例如，传感器组件714可以检测到装置的打开/关闭状态，组件的相对定位，例如所述组件为装置的显示器和小键盘，传感器组件714还可以检测装置或装置一个组件的位置改变，用户与装置接触的存在或不存在，装置方位或加速/减速和装置的温度变化。传感器组件714可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件714还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件714还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件716被配置为便于装置和其他设备之间有线或无线方式的通信。装置可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件716经由广播信道传输来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件716还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，装置可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器704，上述指令可由装置的处理器执行以完成上述方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

图5是根据一示例性实施例示出的一种攻击溯源装置800的框图。例如，装置可以被提供为一服务器。参照图5，装置包括处理组件822，其进一步包括一个或多个处理器，以及由存储器所代表的存储器资源，用于存储可由处理组件822的执行的指令，例如应用程序。存储器中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件822被配置为执行指令，以执行上述任一实施例所述的方法。

装置还可以包括一个电源组件826被配置为执行装置的电源管理，一个有线或无线网络接口850被配置为将装置连接到网络，和一个输入输出(I/O)接口858。装置可以操作基于存储在存储器的操作系统，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM或类似。

本申请的实施例提供了一种攻击溯源装置，所述攻击溯源装置包括：处理器以及用于存储处理器可执行指令的存储器。其中，所述处理器被配置为执行上述攻击溯源方法。

本申请的实施例提供了一种非易失性计算机可读存储介质，例如包括指令的存储器，上述指令可由装置的处理组件执行以完成上述攻击溯源方法。例如，所述非易失性计算机可读存储介质可以是ROM、可编程只读存储器(PROM)、可抹除可编程只读存储器(EPROM)、一次编程只读存储器(OTPROM)、电子抹除式可复写只读存储器(EEPROM)等。

附图中的流程图和框图显示了根据本公开的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (11)

1.一种攻击溯源方法，其特征在于，所述攻击溯源方法应用于被访问设备，所述攻击溯源方法包括：

获得访问设备的第一设备信息；

确定所述访问设备是否达到预设访问权限；

在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；

接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；

在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。

2.根据权利要求1所述的攻击溯源方法，其特征在于，所述方法还包括：

接收所述访问设备的访问请求；

根据所述访问请求确定所述预设访问权限。

3.根据权利要求2所述的攻击溯源方法，其特征在于，所述第一设备信息包括接收所述访问设备的访问请求后，第一次接收的访问设备的设备信息，

获得访问设备的第一设备信息，包括：

根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；

在所述访问设备为非有效设备的情况下，初始化所述访问设备的访问权限，根据所述访问设备的访问请求生成溯源指令，并向所述访问设备发送所述溯源指令；

接收所述访问设备响应于所述溯源指令所返回的第一设备信息，

在所述第一设备信息的状态为正常的情况下，设定所述访问设备的访问权限为初级访问权限。

4.根据权利要求2所述的攻击溯源方法，其特征在于，所述第一设备信息包括：最后一次接收的所述访问设备的设备信息，

获得访问设备的第一设备信息，包括：

根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备；

在所述访问设备为有效设备的情况下，保留所述访问设备已获得的访问权限，并执行确定所述访问设备是否达到预设访问权限的步骤。

5.根据权利要求3或4所述的攻击溯源方法，其特征在于，根据所述访问请求判断所述访问设备是否为与所述被访问设备建立了连接的有效设备，还包括：

确定所述访问设备与所述被访问设备的连接关系；

在所述访问设备与所述被访问设备的连接关系是断开的情况下，标记所述访问设备为非有效设备；

在所述访问设备与所述被访问设备的连接关系是连接的情况下，标记所述访问设备为有效设备。

6.根据权利要求1所述的攻击溯源方法，其特征在于，确定所述访问设备是否达到预设访问权限，还包括：

在所述访问设备的达到所述预设访问权限的情况下，授予所述访问设备预设访问权限，允许所述访问设备在所述预设访问权限的权限范围内访问。

7.根据权利要求1所述的攻击溯源方法，其特征在于，所述方法还包括：

在所述第二设备信息与所述第一设备信息匹配的情况下，以所述第二设备信息作为新的第一设备信息，返回执行确定所述访问设备是否达到预设访问权限以及之后的步骤。

8.根据权利要求1所述的攻击溯源方法，其特征在于，所述方法还包括：

在所述第二设备信息与所述第一设备信息不匹配的情况下，根据所述第一设备信息对所述访问设备执行攻击溯源。

9.一种攻击溯源装置，其特征在于，所述攻击溯源装置应用于被访问设备，所述攻击溯源装置包括：

获取模块，被配置为获得访问设备的第一设备信息；

确定模块，被配置为确定所述访问设备是否达到预设访问权限；

溯源指令发送模块，被配置为在所述访问设备未达到所述预设访问权限的情况下，基于所述第一设备信息生成溯源指令，并向所述访问设备发送所述溯源指令；

分析模块，被配置为接收所述访问设备响应于所述溯源指令所返回的第二设备信息，分析所述第二设备信息与所述第一设备信息是否匹配；

连接中止模块，被配置为在所述第二设备信息与所述第一设备信息不匹配的情况下，中止与所述访问设备的连接。

10.一种攻击溯源装置，其特征在于，所述攻击溯源装置包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行权利要求1至8中任意一项所述的方法。

11.一种非易失性计算机可读存储介质，其上存储有计算机程序指令，其特征在于，所述计算机程序指令被处理器执行时实现权利要求1至8中任意一项所述的方法。

Images