CN114143071B - 一种暴力破解检测方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请提供一种暴力破解检测方法、装置、电子设备及存储介质，用于改善网络安全防护设备很难防护低频次连接登录的暴力破解攻击行为的问题。该方法包括：获取网络流量，并从网络流量中检测出待检测设备发送的多个连接请求，然后计算出多个连接请求之间的时间间隔，获得多个时间间隔；判断多个时间间隔是否满足预设条件，预设条件包括：多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值；若是，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。

Description

一种暴力破解检测方法、装置、电子设备及存储介质

技术领域

本申请涉及网络安全和互联网安全的技术领域，具体而言，涉及一种暴力破解检测方法、装置、电子设备及存储介质。

背景技术

网络安全防护设备(Network Security Device，NSD)，是指部署在调度内部网与外部网之间、专用网与公共网之间的一组软件和硬件设备，用于构成内部网与外部网之间、专用网与公共网之间界面上的保护屏障。此处的NSD可以包括横向隔离装置、纵向加密认证装置、防火墙、防病毒系统、入侵检测系统(Intrusion Detection System，IDS)或入侵保护装置(Intrusion Protection System，IPS)等。

目前，网络安全防护设备针对安全外壳(Secure Shell，SSH)协议连接的暴力破解防护，主要是将在短时间内出现的高频次连接登录的行为标记为“暴力破解”，并发出防护告警，具体例如：某终端设备在30分钟内的登录失败次数超过限定次数(4次、5次、10次、50次、80次或100次等)，就判定为“暴力破解”，禁止该终端设备登录30分钟、1小时或者1天等等。然而在实践过程中发现，目前的网络安全防护设备很难防护低频次连接登录的暴力破解攻击行为。

发明内容

本申请实施例的目的在于提供一种暴力破解检测方法、装置、电子设备及存储介质，用于改善网络安全防护设备很难防护低频次连接登录的暴力破解攻击行为的问题。

本申请实施例提供了一种暴力破解检测方法，包括：获取网络流量，并从网络流量中检测出待检测设备发送的多个连接请求，然后计算出多个连接请求之间的时间间隔，获得多个时间间隔；判断多个时间间隔是否满足预设条件，预设条件包括：多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值；若是，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。在上述的实现过程中，通过检测到同一设备在网络流量中连接登录的总数量大于预设阈值，且多次连接登录之间的时间间隔大致相等，则将该网络流量确定为暴力破解的攻击流量，从而避免了被低频次连接登录的暴力破解攻击的情况，有效地发现并防护低频次连接登录的暴力破解攻击行为。

可选地，在本申请实施例中，在判断多个时间间隔是否满足预设条件之后，还包括：若多个时间间隔不满足预设条件，则将待检测设备发送的网络流量确定为正常流量。在上述的实现过程中，通过在多个时间间隔不满足预设条件的情况下，就将待检测设备发送的网络流量确定为正常流量，从而避免了将正常流量确定为暴力破解的攻击流量的问题，有效地提高了确定为暴力破解的正确率。

可选地，在本申请实施例中，获取网络流量，包括：获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量。在上述的实现过程中，通过获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量，使得可以从安全外壳协议连接、数据库连接或者网站系统连接的网络流量中检测出暴力破解攻击的情况，有效地发现并防护低频次连接登录的暴力破解攻击行为。

可选地，在本申请实施例中，在将待检测设备发送的网络流量确定为暴力破解的攻击流量之后，还包括：丢弃待检测设备发送的网络流量。在上述的实现过程中，通过在将待检测设备发送的网络流量确定为暴力破解的攻击流量之后，丢弃待检测设备发送的网络流量，从而避免了被低频次连接登录的暴力破解攻击的情况，有效地发现并防护低频次连接登录的暴力破解攻击行为。

本申请实施例还提供了一种暴力破解检测装置，包括：网络流量获取模块，用于获取网络流量，并从网络流量中检测出待检测设备发送的多个连接请求，然后计算出多个连接请求之间的时间间隔，获得多个时间间隔；时间间隔判断模块，用于判断多个时间间隔是否满足预设条件，预设条件包括：多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值；暴力破解确定模块，用于若多个时间间隔满足预设条件，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。

可选地，在本申请实施例中，暴力破解检测装置，还包括：正常流量确定模块，用于若多个时间间隔不满足预设条件，则将待检测设备发送的网络流量确定为正常流量。

可选地，在本申请实施例中，网络流量获取模块，包括：连接流量获取模块，用于获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量。

可选地，在本申请实施例中，暴力破解检测装置，还包括：网络流量丢弃模块，用于丢弃待检测设备发送的网络流量。

本申请实施例还提供了一种电子设备，包括：处理器和存储器，存储器存储有处理器可执行的机器可读指令，机器可读指令被处理器执行时执行如上面描述的方法。

本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如上面描述的方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请实施例中的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出的本申请实施例提供的暴力破解检测方法的流程示意图；

图2示出的本申请实施例提供的暴力破解检测装置的结构示意图；

图3示出的本申请实施例提供的电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请实施例中的一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请实施例的详细描述并非旨在限制要求保护的本申请实施例的范围，而是仅仅表示本申请实施例中的选定实施例。基于本申请实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请实施例保护的范围。

在介绍本申请实施例提供的暴力破解检测方法之前，先介绍本申请实施例中所涉及的一些概念：

网络流量，又被称为流量数据，是指设备在工作运行状态时产生的数据，该数据包括：终端设备向服务器发送的连接请求或者登录请求等等。

安全外壳(Secure Shell，SSH)协议，是指建立在应用层基础上的安全协议；SSH协议是目前较为可靠的，且能够为远程登录会话和其他网络服务提供安全性的协议。

超文本传输协议(Hyper Text Transfer Protocol，HTTP)，是一个简单的请求响应协议，HTTP协议通常运行在传输控制协议(Transmission Control Protocol，TCP)之上的协议，HTTP协议指定了客户端可能发送给服务器什么样的消息以及得到什么样的响应。

超文本传输安全协议(Hyper Text Transfer Protocol Secure，HTTPS)，又被称为HTTP Secure，是一种通过计算机网络进行安全通信的传输协议；HTTPS开发的主要目的，是提供对网站服务器的身份认证，保护交换数据的隐私与完整性。

需要说明的是，本申请实施例提供的暴力破解检测方法可以被电子设备执行，这里的电子设备是指具有执行计算机程序功能的设备终端或者上述的服务器，设备终端例如：智能手机、个人电脑、平板电脑、个人数字助理或者移动上网设备等。服务器是指通过网络提供计算服务的设备，服务器例如：x86服务器以及非x86服务器，非x86服务器包括：大型机、小型机和UNIX服务器。

下面介绍该暴力破解检测方法适用的应用场景，这里的应用场景包括但不限于：SSH慢速暴力破解攻击的场景，在这种场景中，攻击者可以针对同一个服务器或者云主机使用密码字典中的多个密码进行慢速暴力破解，或者，针对多个网段大量服务器和云主机使用密码字典中的多个密码进行慢速暴力登录等等。使用该暴力破解检测方法对SSH协议、数据库连接、网站系统的HTTP协议或者HTTPS协议等网络流量进行检测，从而确定该网络流量中是否存在慢速暴力破解的攻击情况，具体例如攻击者使用递增密码每天自动执行一次登录服务器或者网站后台，如果长期没有更换密码的情况下，很有可能会被攻击者暴力破解(即成功等服务器或者网站后台)。

请参见图1示出的本申请实施例提供的暴力破解检测方法的流程示意图；该暴力破解检测方法的主要思路是，通过检测到同一设备在网络流量中连接登录的总数量大于预设阈值，且多次连接登录之间的时间间隔大致相等，则将该网络流量确定为暴力破解的攻击流量，从而避免了被低频次连接登录的暴力破解攻击的情况，有效地发现并防护低频次连接登录的暴力破解攻击行为。上述的暴力破解检测方法可以包括：

步骤S110：电子设备获取网络流量，并从网络流量中检测出待检测设备发送的多个连接请求，然后计算出多个连接请求之间的时间间隔，获得多个时间间隔。

上述步骤S110的实施方式例如：在待检测设备尝试通过SSH协议、数据库连接、网站系统的HTTP协议或者HTTPS协议连接电子设备(例如服务器)时，拦截获取待检测设备发送的安全外壳(SSH)协议连接、数据库连接、网站系统的HTTP协议或者HTTPS协议的网络流量。电子设备从网络流量中检测出待检测设备发送的多个连接请求，计算出多个连接请求之间的时间间隔，获得多个时间间隔；其中，此处的连接请求可以是SSH连接请求、数据库连接请求、CobatStrike心跳请求、HTTP连接请求或者HTTPS连接请求。

在步骤S110之后，执行步骤S120：电子设备判断多个时间间隔是否满足预设条件，上述的预设条件包括：多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值。

上述步骤S120的实施方式有很多种，包括但不限于：

第一种实施方式，上述的相邻时间间隔可以是下一个相邻的时间间隔，那么该实施方式具体例如：假设上述的多个时间间隔以分钟为单位，具体例如：110、100、105、100、107、100、103和100等等，以第一个波动率的计算为例，第一个数字的波动率等于当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值，当前时间间隔为110，下一个时间间隔为100，两者之差的绝对值为10，那么两者之差的绝对值与当前时间间隔的比例值容易算得是0.091。以此类推，即可获得多个时间间隔的波动率分别为0.091、0.05、0.047、0.07、0.065、0.03、0.029和1，由于最后一个没有下一个时间间隔，因此将其本身作为下一个时间间隔得到的波动率是1。假设上面预先设置的预设数量是5个，且预设率值为0.11，那么容易得到上面的多个时间间隔是满足预设条件的。相应地，假设上面预先设置的预设数量是7个，且预设率值为0.09，那么容易得到上面的多个时间间隔中只连续出现了6个小于0.09的波动率，因此是不满足预设条件的。

第二种实施方式，上述的相邻时间间隔可以是上一个相邻的时间间隔，那么该实施方式具体例如：假设上述的多个时间间隔以分钟为单位，具体例如：110、100、105、100、107、100、103和100等等，使用上面的波动率计算方法，可以获得的多个时间间隔的波动率分别为1、0.1、0.047、0.05、0.065、0.07、0.029和0.03。假设上面预先设置的预设数量是5个，且预设率值为0.11，那么容易得到上面的多个时间间隔是满足预设条件的。相应地，假设上面预先设置的预设数量是7个，且预设率值为0.09，那么容易得到上面的多个时间间隔中只连续出现了6个小于0.09的波动率，因此是不满足预设条件的。

第三种实施方式，结合上述第一种实施方式和第二种实施方式，一起计算上一个相邻的时间间隔和下一个相邻的时间间隔；具体例如：假设某时间间隔值为t(n)，则前相邻波动率为后相邻波动率为可以理解的是，上面的预设率值可以根据预设情况进行设置，当然也可以根据以前收集的数据从头开始计算出预设率值，分别计算出该数据中的多个时间间隔的前相邻波动率和后相邻波动率，然后筛选出小于1的波动率(包括前相邻波动率和后相邻波动率)，分别在前相邻波动率从小到大，且同时在相邻波动率中从大到小两边一起查找，当查找到有两个波动率的计算结果相同的时候，即可将相同的波动率确定为预设率值。

在步骤S120之后，执行步骤S130：若多个时间间隔满足预设条件，则电子设备将待检测设备发送的网络流量确定为暴力破解的攻击流量。

上述步骤S130的实施方式例如：若多个时间间隔满足预设条件，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。在将待检测设备发送的网络流量确定为暴力破解的攻击流量之后，还可以在预设时长内丢弃待检测设备发送的网络流量，或者，在预设时长内禁止该终端设备登录或者发送连接请求；此处的预设时长可以根据具体情况进行设置，例如将预设时长设置为30分钟、1小时、3小时或者1天等等。

可选地，在步骤S120之后，执行步骤S140：若多个时间间隔不满足预设条件，则将待检测设备发送的网络流量确定为正常流量。

上述步骤S140的实施方式例如：若多个时间间隔不满足预设条件，即多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，则将待检测设备发送的网络流量确定为正常流量。

在上述的实现过程中，首先从网络流量中检测出待检测设备发送的多个连接请求，计算出多个连接请求之间的时间间隔，获得多个时间间隔；然后，在多个时间间隔中任意两个时间间隔之间的比例值小于比例阈值，且多个连续时间间隔的总数量大于预设数量阈值的情况下，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。也就是说，通过检测到同一设备在网络流量中连接登录的总数量大于预设阈值，且多次连接登录之间的时间间隔大致相等(即相近)，则将该网络流量确定为暴力破解的攻击流量，从而避免了被低频次连接登录的暴力破解攻击的情况，有效地发现并防护低频次连接登录的暴力破解攻击行为。

请参见图2示出的本申请实施例提供的暴力破解检测装置的结构示意图；本申请实施例提供了一种暴力破解检测装置200，包括：

网络流量获取模块210，用于获取网络流量，并从网络流量中检测出待检测设备发送的多个连接请求，计算出多个连接请求之间的时间间隔，获得多个时间间隔。

时间间隔判断模块220，用于判断多个时间间隔是否满足预设条件，预设条件包括：多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值。

暴力破解确定模块230，用于若多个时间间隔满足预设条件，则将待检测设备发送的网络流量确定为暴力破解的攻击流量。

可选地，在本申请实施例中，暴力破解检测装置，还包括：

正常流量确定模块，用于若多个时间间隔不满足预设条件，则将待检测设备发送的网络流量确定为正常流量。

可选地，在本申请实施例中，网络流量获取模块，包括：

连接流量获取模块，用于获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量。

可选地，在本申请实施例中，暴力破解检测装置，还包括：

网络流量丢弃模块，用于丢弃待检测设备发送的网络流量。

应理解的是，该装置与上述的暴力破解检测方法实施例对应，能够执行上述方法实施例涉及的各个步骤，该装置具体的功能可以参见上文中的描述，为避免重复，此处适当省略详细描述。该装置包括至少一个能以软件或固件(firmware)的形式存储于存储器中或固化在装置的操作系统(operating system，OS)中的软件功能模块。

请参见图3示出的本申请实施例提供的电子设备的结构示意图。本申请实施例提供的一种电子设备300，包括：处理器310和存储器320，存储器320存储有处理器310可执行的机器可读指令，机器可读指令被处理器310执行时执行如上的方法。

本申请实施例还提供了一种计算机可读存储介质330，该计算机可读存储介质330上存储有计算机程序，该计算机程序被处理器310运行时执行如上的方法。

其中，计算机可读存储介质330可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(Static Random Access Memory,简称SRAM)，电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory,简称EEPROM)，可擦除可编程只读存储器(Erasable Programmable Read Only Memory,简称EPROM)，可编程只读存储器(Programmable Read-Only Memory,简称PROM)，只读存储器(Read-Only Memory,简称ROM)，磁存储器，快闪存储器，磁盘或光盘。

本申请实施例提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其他的方式实现。以上所描述的装置实施例仅是示意性的，例如，附图中的流程图和框图显示了根据本申请实施例的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以和附图中所标注的发生顺序不同。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这主要根据所涉及的功能而定。

另外，在本申请实施例中的各个实施例的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上的描述，仅为本申请实施例的可选实施方式，但本申请实施例的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请实施例揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请实施例的保护范围之内。

Claims (10)

1.一种暴力破解检测方法，其特征在于，包括：

获取网络流量，并从所述网络流量中检测出待检测设备发送的多个连接请求，然后计算出所述多个连接请求之间的时间间隔，获得多个时间间隔；

判断所述多个时间间隔是否满足预设条件，所述预设条件包括：所述多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，所述波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值；

若是，则将所述待检测设备发送的网络流量确定为暴力破解的攻击流量；

其中，所述预设率值是根据以前收集的数据中的多个时间间隔的前相邻波动率和后相邻波动率，并根据在所述前相邻波动率从小到大，且在所述后相邻波动率中从大到小两边一起查找，直到有两个波动率的计算结果相同的波动率确定的，所述多个时间间隔包括：上一个相邻的时间间隔和下一个相邻的时间间隔，所述上一个相邻的时间间隔的波动率是通过公式计算出的，所述下一个相邻的时间间隔的波动率是通过公式计算出的，t(n-1)表示第n-1个时间间隔，t(n)表示第n个时间间隔，t(n+1)表示第n+1个时间间隔，t_rate_left(n)表示所述上一个相邻的时间间隔的波动率，t_rate_right(n)表示所述下一个相邻的时间间隔的波动率。

2.根据权利要求1所述的方法，其特征在于，在所述判断所述多个时间间隔是否满足预设条件之后，还包括：

若所述多个时间间隔不满足预设条件，则将所述待检测设备发送的网络流量确定为正常流量。

3.根据权利要求1所述的方法，其特征在于，所述获取网络流量，包括：

获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量。

4.根据权利要求1所述的方法，其特征在于，在所述将所述待检测设备发送的网络流量确定为暴力破解的攻击流量之后，还包括：

丢弃所述待检测设备发送的网络流量。

5.一种暴力破解检测装置，其特征在于，包括：

网络流量获取模块，用于获取网络流量，并从所述网络流量中检测出待检测设备发送的多个连接请求，然后计算出所述多个连接请求之间的时间间隔，获得多个时间间隔；

时间间隔判断模块，用于判断所述多个时间间隔是否满足预设条件，所述预设条件包括：所述多个时间间隔中存在不小于预设数量的连续时间间隔，且每个连续时间间隔的波动率小于预设率值，所述波动率为当前时间间隔与相邻时间间隔之差的绝对值与当前时间间隔的比例值；

暴力破解确定模块，用于若所述多个时间间隔满足预设条件，则将所述待检测设备发送的网络流量确定为暴力破解的攻击流量；

其中，所述预设率值是根据以前收集的数据中的多个时间间隔的前相邻波动率和后相邻波动率，并根据在所述前相邻波动率从小到大，且在所述后相邻波动率中从大到小两边一起查找，直到有两个波动率的计算结果相同的波动率确定的，所述多个时间间隔包括：上一个相邻的时间间隔和下一个相邻的时间间隔，所述上一个相邻的时间间隔的波动率是通过公式计算出的，所述下一个相邻的时间间隔的波动率是通过公式计算出的，t(n-1)表示第n-1个时间间隔，t(n)表示第n个时间间隔，t(n+1)表示第n+1个时间间隔，t_rate_left(n)表示所述上一个相邻的时间间隔的波动率，t_rate_right(n)表示所述下一个相邻的时间间隔的波动率。

6.根据权利要求5所述的装置，其特征在于，所述暴力破解检测装置，还包括：

正常流量确定模块，用于若所述多个时间间隔不满足预设条件，则将所述待检测设备发送的网络流量确定为正常流量。

7.根据权利要求5所述的装置，其特征在于，所述网络流量获取模块，包括：

连接流量获取模块，用于获取待检测设备发送的安全外壳协议连接、数据库连接或者网站系统连接的网络流量。

8.根据权利要求5所述的装置，其特征在于，所述暴力破解检测装置，还包括：

网络流量丢弃模块，用于丢弃所述待检测设备发送的网络流量。

9.一种电子设备，其特征在于，包括：处理器和存储器，所述存储器存储有所述处理器可执行的机器可读指令，所述机器可读指令被所述处理器执行时执行如权利要求1至4任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如权利要求1至4任一项所述的方法。