CN114168947B - 一种攻击检测方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明实施例公开了一种攻击检测方法、装置、电子设备及存储介质，包括当终端开机时，确定终端的存储设备分区中的操作日志及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；根据操作日志或修改内容生成破解日志；接收客户端发送的第一写入请求或第二写入请求；当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；对破解日志以及客户端访问日志进行攻击检测，以便获得客户端对所述终端相应功能配置的攻击行为。本发明能模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控，能最大程度上减小系统资源开销。

Description

一种攻击检测方法、装置、电子设备及存储介质

技术领域

本申请涉及网络安全技术领域，具体涉及一种攻击检测方法、装置、电子设备及存储介质。

背景技术

目前终端多媒体功能越来越丰富，终端平台架构也逐渐发展到应用处理器(AP，Application Processor)加基带(modem)的架构，由于，终端相应的配置结构功能也极易受到黑客等攻击方攻击，大多数原始设备制造商都会直接使用或者稍微改造芯片厂商提供的终端配置结构功能解决方案。

然而，使用芯片厂商提供的终端配置结构功能解决方案，其代码与工具较为容易获取，不仅攻击门槛低，而且关于应用处理器加基带架构的终端配置结构功能解决方案的攻击面广。因此，亟需一种能够对应用处理器加基带的终端架构下的攻击行为进行捕获和分析的攻击检测方法。

发明内容

本申请实施例提供一种攻击检测方法、装置、电子设备及存储介质，以快速准确地捕获到对终端相应功能配置的攻击行为。

本申请实施例提供一种攻击检测方法，所述方法包括：

当终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；

根据操作日志或修改内容生成破解日志；

接收客户端发送的第一写入请求或第二写入请求；

当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；

对破解日志以及客户端访问日志进行攻击检测，以便获得客户端对终端相应功能配置的攻击行为。

本申请实施例还提供一种攻击检测装置，所述装置包括：

分区信息确定单元，用于确定终端的存储设备分区中的操作日志以及蜜罐系统中的蜜罐分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；

破解日志生成单元，用于根据操作日志或蜜罐分区的修改内容生成破解日志；

请求接收单元，用于接收客户端发送的第一写入请求或第二写入请求；

日志记录单元，用于当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；

攻击检测单元，用于对破解日志以及客户端访问日志进行攻击检测，以便获得客户端对终端相应功能配置的攻击行为。

在一些实施例中，所述装置还包括操作日志写入单元，操作日志写入单元用于：

接收客户端发送的蜜罐操作请求，蜜罐操作请求至少携带有目标分区的地址、以及操作信息；

当根据目标分区的地址确定目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入操作信息对应的操作日志。

在一些实施例中，操作日志写入单元包括写入子单元，写入子单元用于：

当目标分区为蜜罐分区时，向存储设备分区写入操作日志，并根据操作信息对蜜罐分区进行写入操作或格式化操作；操作信息包括与目标分区对应的写入操作或格式化操作，

在一些实施例中，破解日志生成单元用于：

设置蜜罐应用处理监控模块，蜜罐应用处理监控模块位于蜜罐系统；

当蜜罐系统中的蜜罐应用处理监控模块监测到存储设备分区中存在操作日志时，根据操作日志生成第一破解日志；

当蜜罐系统中的蜜罐应用处理监控模块监测到蜜罐分区的内容与存储设备分区的内容不一致时，确定蜜罐分区中的修改内容；

根据蜜罐分区中的修改内容生成第二破解日志。

在一些实施例中，日志记录单元包括日志记录第一单元，日志记录第一单元用于：

设置蜜罐基带监控模块，蜜罐基带监控模块位于蜜罐系统中；

通过终端的应用处理文件系统管理模块接收第一写入请求，第一写入请求为目标分区写入请求；

通过应用处理文件系统管理模块进行目标分区写入请求对应的写入操作；

通过应用处理文件系统管理模块检测到目标分区为蜜罐分区时，触发蜜罐应用处理监控模块记录第一应用处理系统日志；

通过蜜罐基带监控模块记录第一基带日志、并将第一基带日志发送至蜜罐应用处理监控模块。

在一些实施例中，日志记录单元包括日志记录第二单元，日志记录第二单元用于：

通过终端的基带结构体读写模块接收第二写入请求，第二写入请求为目标功能配置结构体写入请求；

通过基带结构体读写模块进行目标功能配置结构体写入请求对应的写入操作；

通过基带结构体读写模块检测到目标功能配置结构体为蜜罐系统中的功能配置结构体时，触发蜜罐基带监控模块记录第二基带日志；

通过蜜罐应用处理监控模块记录第二应用处理系统日志；

通过蜜罐基带监控模块将第二基带日志发送至蜜罐应用处理监控模块。

在一些实施例中，日志记录第二单元还包括配置结构更新单元，配置结构更新单元用于：

基于终端的功能配置结构体，通过蜜罐系统中的蜜罐基带监控模块对蜜罐系统中的功能配置结构体进行更新。

在一些实施例中，配置结构更新单元包括更新第一单元，更新第一单元用于：

利用终端的基带结构体读写模块检测到目标功能配置结构体为终端的功能配置结构体时，将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容。

在一些实施例中，更新第一单元包括更新第一子单元，更新第一子单元用于：

通过蜜罐系统中的蜜罐基带监控模块向蜜罐应用处理监控模块发送暂停监控信息；

蜜罐应用处理监控模块根据暂停监控信息，停止监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容写入到蜜罐分区；

向蜜罐应用处理监控模块发送结构体同步操作完成信息；

通过蜜罐应用处理监控模块接收结构体同步操作完成信息，并重新监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作。

本申请实施例还提供一种电子设备，包括处理器和存储器，存储器存储有多条指令，处理器加载所述指令，以执行本发明实施例提供的任一种攻击检测方法中的步骤。

本申请实施例还提供一种存储介质，存储介质存储有多条指令，指令适于处理器进行加载，以执行本发明实施例提供的任一种攻击检测方法中的步骤。

本申请实施例可以在终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；根据操作日志或修改内容生成破解日志；接收客户端发送的第一写入请求或第二写入请求；当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志。这样，本发明通过对破解日志以及客户端访问日志进行攻击检测，能够获得客户端对终端相应功能配置的攻击行为。

本申请提供的攻击检测方法，该方法设计了与终端相应功能配置对应的蜜罐系统，通过蜜罐系统模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控，采用开机、读写蜜罐分区或蜜罐功能配置结构体时触发记录日志，能够最大程度上减小系统资源开销；并且本申请通过记录的日志能够快速准确地捕获到对终端相应功能配置的攻击行为，有效协助技术人员获取黑客破解终端相应功能配置的尝试方法，有利于后续相关漏洞修复以及责任认定，还能够有利于整理分析相关安全报告，用于分析目前终端相应功能配置破解方面的态势。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的攻击检测系统的场景示意图；

图2a是本申请实施例提供的攻击检测方法的一种流程示意图；

图2b是本申请实施例提供的操作日志写入存储设备分区的流程示意图；

图2c是本申请实施例提供的生成破解日志的流程示意图；

图2d是本申请实施例提供的触发蜜罐应用处理监控模块进行监控的流程示意图；

图2e是本申请实施例提供的触发蜜罐应用处理监控模块进行监控的交互示意图；

图2f是本申请实施例提供的触发蜜罐基带监控模块进行监控的流程示意图；

图2g是本申请实施例提供的触发蜜罐基带监控模块进行监控的交互示意图；

图2h是本申请实施例提供的同步蜜罐结构体的交互结构示意图；

图3是本申请实施例提供的攻击检测装置的结构示意图。

图4是本申请实施例提供的电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例提供一种攻击检测方法、装置、电子设备及存储介质。

其中，该攻击检测装置具体可以集成在电子设备中，该电子设备可以为终端、服务器等设备。其中，终端可以为手机、平板电脑、智能蓝牙设备、笔记本电脑、或者个人电脑(Personal Computer，PC)等设备；服务器可以是单一服务器，也可以是由多个服务器组成的服务器集群。

在一些实施例中，该攻击检测装置还可以集成在多个电子设备中，比如，攻击检测装置可以集成在多个服务器中，由多个服务器来实现本申请的攻击检测方法。

在一些实施例中，服务器也可以以终端的形式来实现。

例如，以攻击检测装置集成在电子设备中为例，该电子设备可以在终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；根据操作日志或修改内容生成破解日志；接收客户端发送的第一写入请求或第二写入请求；当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；通过对破解日志以及客户端访问日志进行攻击检测，以实现获得客户端对终端相应功能配置的攻击行为等。

请参阅图1，图1为本申请实施例所提供的攻击检测系统的场景示意图，该系统可以包括攻击检测服务器10、云端11、终端12以及客户端13，客户端13为攻击方用于对终端12发起攻击行为的设备，云端11用于存储对攻击行为的捕获日志，捕获日志包括破解日志、客户端访问日志等，攻击检测服务器10通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方实施攻击，从而能够对攻击行为进行捕获和分析，攻击检测服务器10可以为蜜罐系统。攻击检测服务器10分别与云端11、终端12、客户端13之间通信连接，客户端13分别与攻击检测服务器10以及终端12之间通信连接，在此不再赘述。

其中，攻击检测服务器10可以包括处理器和存储器等；云端11可以包括云端服务器等。

需要说明的是，图1所示的系统场景示意图仅仅是一个示例，本申请实施例描述的攻击检测服务器以及场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着系统的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。以下分别进行详细说明。需说明的是，以下实施例的描述顺序不作为对实施例优选顺序的限定。

本公开实施例首先旨在提供了一种攻击检测方法，在终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；根据操作日志或修改内容生成破解日志；接收客户端发送的第一写入请求或第二写入请求；当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；通过对破解日志以及客户端访问日志进行攻击检测，以实现获得客户端对终端相应功能配置的攻击行为。

故本方案能够模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控，能够获得攻击方对终端相应功能配置的攻击行为，并且本方案采用开机、读写蜜罐分区或蜜罐功能配置结构体时触发记录日志，通过日志能够快速准确地捕获到对终端相应功能配置的攻击行为，还能够最大程度上减小系统资源开销。

如图2a所示，该攻击检测方法的具体流程可以如下：

110、当终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体。

本申请实施例中，终端可以包括手机等，存储设备分区用于存储终端的功能配置结构体等数据，功能配置结构体可以包括锁卡配置等，锁卡即SIMLock，当终端开机启动或者插入SIM卡时，终端的基带(modem)侧预置在非易失性存储器(NV，non-volatile memory)项中的配置信息会与SIM卡中的信息做比对，检测是否匹配，若匹配，则SIM卡可以正常使用；若不匹配，则SIM卡相关功能均无法正常使用，例如无法拨打电话、发送短信及上网等，或者是只能注册2G网，不能注册4G。

蜜罐技术是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方实施攻击，从而可以对攻击行为进行捕获和分析。本发明实施例中的蜜罐系统用于模拟终端中被攻击的功能配置架构(比如锁卡配置等)，并动态触发对锁卡破解行为的过程监控，且在正常使用情况下不大幅增加系统资源开销。蜜罐系统可以设置为具有与终端相对应的分区以及功能配置结构体，还可以设置为终端中的原本功能配置实现结构，

在一些实施例中，如图2b所示，当检测到终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统中的蜜罐分区中相对于存储设备分区的修改内容之前，还包括：

1101、接收客户端发送的蜜罐操作请求，蜜罐操作请求至少携带有目标分区的地址、以及操作信息；

1102、根据目标分区的地址判断目标分区是否为蜜罐系统中的蜜罐分区；

1103、当根据目标分区的地址确定目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入操作信息对应的操作日志。

操作信息包括与目标分区对应的写入操作或格式化操作。

在本申请实施例中，当客户端通过原始设备制造商(OEM，Original EquipmentManufacturer)定制工具或者芯片厂商工具等其他工具对蜜罐系统中的蜜罐分区进行写入或格式化操作时，向终端的存储设备分区写入攻击方的操作信息相对应的操作日志。

在一些实施例中，当根据目标分区的地址确定目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入操作信息对应的操作日志，包括：

1104、当目标分区为蜜罐分区时，向存储设备分区写入操作日志，并根据操作信息对蜜罐分区进行写入操作或格式化操作。

在本申请实施例中，目标分区可以终端的存储设备分区，也可以为蜜罐分区。原有的终端配置功能结构在正常运行过程中一般不会被修改，因此任何未经授权对其进行修改的行为均可视为攻击行为，并触发过程监控。

本申请实施例在攻击方修改蜜罐分区的内容时，向存储设备分区写入操作日志，同时继续根据操作信息对蜜罐分区进行写入操作或格式化操作。若目标分区为终端的存储设备分区时，则可以认为这次操作为合法操作，可以不记录操作日志，直接根据操作信息对终端的存储设备分区进行写入操作或格式化操作。

120、根据操作日志或修改内容生成破解日志。

破解日志可以包括第一破解日志和第二破解日志等，第一破解日志可以为操作日志等，第二破解日志可以为蜜罐分区中的修改内容等。

在一些实施例中，如图2c所示，根据操作日志或修改内容生成破解日志，包括：

1201、设置蜜罐应用处理监控模块，蜜罐应用处理监控模块位于蜜罐系统；

1202、通过蜜罐系统中的蜜罐应用处理监控模块监测存储设备分区中是否存在操作日志，若否，进入步骤1204；若是，进入步骤1203；

1203、当蜜罐系统中的蜜罐应用处理监控模块监测到存储设备分区中存在操作日志时，根据操作日志生成第一破解日志，进入步骤1207；

1204、通过蜜罐系统中的蜜罐应用处理监控模块监测蜜罐分区的内容是否与存储设备分区的内容一致，若否，进入步骤1205；若是，则进入步骤1208；

1205、当蜜罐系统中的蜜罐应用处理监控模块监测蜜罐分区的内容与存储设备分区的内容不一致时，确定蜜罐分区中的修改内容；

1206、根据蜜罐分区中的修改内容生成第二破解日志；

1207、通过蜜罐应用处理监控模块将第一破解日志以及第二破解日志上传至云端；

1208、继续完成终端开机。

本申请实施例中蜜罐系统具有蜜罐应用处理监控模块，蜜罐应用处理监控模块可以用于监测存储设备分区中是否存在操作日志，还可以用于蜜罐分区的内容与存储设备分区的内容是否一致等等。

本申请实施例在终端开机时，先确定终端的存储设备分区中是否存在操作日志(比如是否存在OEM定制工具遗留的日志等)，若存在操作日志，则根据操作日志生成对应的第一破解日志；若不存在操作日志，则通过蜜罐系统中的蜜罐应用处理监控模块监测蜜罐分区中的内容是否相对于存储设备分区发生了变动，若监测到蜜罐分区的内容与存储设备分区的内容一致，则继续进行后续开机操作，若监测到蜜罐分区的内容与存储设备分区的内容不一致，则进一步确定蜜罐分区中的修改内容，然后根据蜜罐分区中的修改内容生成第二破解日志。通过蜜罐应用处理监控模块将第一破解日志以及第二破解日志上传至云端，继续完成终端开机。

130、接收客户端发送的第一写入请求或第二写入请求。

在本申请实施例中，第一写入请求可以为目标分区写入请求，即向目标分区写入数据的请求；第二写入请求可以为目标功能配置结构体写入请求，即向目标功能配置结构体写入数据的请求。

140、当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志。

客户端访问日志包括应用处理(AP)系统日志以及基带(modem)日志等。

在本申请实施例中，第一写入请求与蜜罐分区相对应，第二写入请求与蜜罐系统中的功能配置结构体相对应，当检测到第一写入请求与蜜罐分区相对应时记录客户端访问日志，或者也可以在检测到第二写入请求与蜜罐系统中的功能配置结构体相对应时记录客户端访问日志。

在一些实施例中，如图2d所示，当检测到第一写入请求与蜜罐分区相对应时，记录客户端访问日志，包括：

1410、设置蜜罐基带监控模块，蜜罐基带监控模块位于蜜罐系统中；

1411、通过终端的应用处理文件系统管理模块接收第一写入请求，第一写入请求为目标分区写入请求；

1412、通过应用处理文件系统管理模块进行目标分区写入请求对应的写入操作；

1413、通过应用处理文件系统管理模块检测到目标分区为蜜罐分区时，触发蜜罐应用处理监控模块记录第一应用处理系统日志；

1414、通过蜜罐基带监控模块记录第一基带日志、并将第一基带日志发送至蜜罐应用处理监控模块。

在本申请实施例中，蜜罐系统不仅可以具有蜜罐应用处理监控模块，还可以具有蜜罐基带监控模块等。应用处理(AP)文件系统管理模块位于终端。

本申请实施例在蜜罐分区改变时，会触发蜜罐应用处理监控模块进行监控。如图2e所示，AP文件系统管理模块、蜜罐应用处理监控模块以及蜜罐基带监控模块之间的交互具体过程为：终端的AP文件系统管理模块接收到目标分区写入请求(即第一写入请求)后，AP文件系统管理模块判断目标分区是否为蜜罐分区，若是，则通知蜜罐应用处理监控模块记录AP系统日志(即第一应用处理系统日志)，蜜罐应用处理监控模块再通知蜜罐基带监控模块记录modem日志(即第一基带日志)。本申请实施例中无论是否需要通知，AP文件系统管理模块继续完成对目标分区的写入。一段时间后，蜜罐基带监控模块日志记录结束，蜜罐基带监控模块将记录的日志传输至蜜罐应用处理监控模块；蜜罐应用处理监控模块记录AP系统日志结束后收集modem日志，然后将AP系统日志和modem日志传输到云端。

在一些实施例中，如图2f所示，当检测到第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志，包括：

1420、通过终端的基带结构体读写模块接收第二写入请求，第二写入请求为目标功能配置结构体写入请求；

1421、通过基带结构体读写模块进行目标功能配置结构体写入请求对应的写入操作；

1422、通过基带结构体读写模块检测到目标功能配置结构体为蜜罐系统中的功能配置结构体时，触发蜜罐基带监控模块记录第二基带日志；

1423、通过蜜罐应用处理监控模块记录第二应用处理系统日志；

1424、通过蜜罐基带监控模块将第二基带日志发送至蜜罐应用处理监控模块。

在本申请实施例中，第二基带日志可以为modem日志，第二应用处理系统日志可以为AP系统日志。

本申请实施例在蜜罐系统中的功能配置结构体改变时，会触发蜜罐基带监控模块进行监控。如图2g所示，蜜罐应用处理监控模块、蜜罐基带监控模块以及基带结构体读写模块之间的交互具体过程为：通过终端的基带(modem)结构体读写模块接收到目标功能配置结构体写入请求(即第二写入请求)；modem结构体读写模块判断目标功能配置结构体(即目标结构体)是否为蜜罐系统中的功能配置结构体(即蜜罐结构体)，如是，则通知蜜罐基带监控模块记录第二基带日志(modem日志)，蜜罐基带监控模块再通知蜜罐应用处理监控模块记录第二应用处理系统日志(AP系统日志)。本申请实施例中无论是否需要通知，AP文件系统管理模块继续完成对目标功能配置结构体的写入。一段时间后，蜜罐应用处理监控模块和蜜罐基带监控模块停止日志记录，蜜罐基带监控模块将记录的modem日志传输至蜜罐应用处理监控模块；蜜罐应用处理监控模块将AP系统日志和modem日志传输到云端。

在一些实施例中，通过基带结构体读写模块进行目标功能配置结构体写入请求对应的写入操作之后，还包括：

基于终端的功能配置结构体，通过蜜罐系统中的蜜罐基带监控模块对蜜罐系统中的功能配置结构体进行更新。

本申请实施例中，蜜罐系统具有与终端的功能配置结构体相对应的功能配置结构体，比如，终端设置有锁卡配置结构体，相应地，蜜罐系统也设置有对应的锁卡配置结构体。

本申请通过对蜜罐系统中的功能配置结构体进行更新，能够增加蜜罐系统的隐蔽性。

在一些实施例中，通过蜜罐系统中的蜜罐基带监控模块对蜜罐系统中的功能配置结构体进行更新，包括：

利用所述终端的基带结构体读写模块检测到目标功能配置结构体为终端的功能配置结构体时，将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容。

在本申请实施例中，当通过终端的基带结构体读写模块接收目标功能配置结构体写入请求，并通过基带结构体读写模块进行目标功能配置结构体写入请求对应的写入操作时，若目标功能配置结构体为终端的功能配置结构体时，则可以将此次对终端的功能配置结构体的写入操作作为合法写入，因此，在对终端的功能配置结构体进行写入操作后，将蜜罐系统中的功能配置结构体的内容与终端的功能配置结构体的内容进行同步，从而进一步增加蜜罐系统的隐蔽性。

在一些实施例中，通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容，包括：

通过蜜罐系统中的蜜罐基带监控模块向蜜罐应用处理监控模块发送暂停监控信息；

蜜罐应用处理监控模块根据暂停监控信息，停止监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容写入到蜜罐分区；

向蜜罐应用处理监控模块发送结构体同步操作完成信息；

通过蜜罐应用处理监控模块接收结构体同步操作完成信息，并重新监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作。

在本申请实施例中，如图2h所示，终端上的功能配置结构体发生改变时会触发蜜罐基带监控模块进行监控并同步信息，具体的交互过程包括：通过基带结构体读写模块接收到结构体写入请求并完成写入；基带结构体读写模块判断写入的结构体是否为终端的功能配置结构体，若否，则不进行更新；若是，则触发蜜罐基带监控模块通知蜜罐应用处理监控模块将会有合法的蜜罐分区写入行为，即通知蜜罐应用处理监控模块将要更新蜜罐系统的功能配置结构体(即蜜罐结构体)；蜜罐应用处理监控模块停暂监控由AP文件系统管理模块触发的蜜罐写入；蜜罐基带监控模块同步实际的功能配置结构体数据到蜜罐系统的功能配置结构体中，蜜罐系统的功能配置结构体的内容被写入到蜜罐分区，蜜罐基带监控模块通知蜜罐应用处理监控模块结构体同步操作结束；蜜罐应用处理监控模块重新开始监控AP文件系统管理模块触发的蜜罐写入。

150、对破解日志以及客户端访问日志进行攻击检测，以便获得客户端对终端相应功能配置的攻击行为。

破解日志包括操作日志、蜜罐分区中的修改内容等，客户端访问日志包括AP系统日志、modem日志等。

本申请实施例中，将破解日志以及客户端访问日志上传到云端，通过云端对日志进行分析，从而检测出攻击方对终端相应的功能配置结构发起攻击的位置以及方式，进而确定出攻击方对终端相应功能配置的攻击行为。

通过本申请实施例提供了一种攻击检测方法，该方法中设置有蜜罐系统，首先当操作蜜罐分区内容时触发在终端中的存储设备分区写入操作日志，用于区分黑客破解过程是否利用了相应的定制工具。

另外，通过蜜罐系统中的蜜罐应用处理监控模块监控终端开机时蜜罐分区是否被修改以及终端的存储设备分区中是否有操作日志(比如：OEM定制工具的log记录)，AP文件系统管理模块读写蜜罐分区或接受蜜罐基带监控模块的监控时会被触发，蜜罐应用处理监控模块开始记录AP系统日志、并获取modem系统日志。蜜罐应用处理监控模块记录的日志会被保存并传输到到云端，用于分析破解流程。

本申请实施例中的蜜罐基带监控模块会在蜜罐系统的功能配置结构体改变时被触发，然后记录modem日志、并将modem日志传输到蜜罐应用处理监控模块，同时触发蜜罐应用处理监控模块记录AP系统日志、进行日志保存与传输。另外，当终端实际的功能配置结构体改变时蜜罐基带监控模块也会被触发，通过同步正确数据到蜜罐并暂停该次蜜罐应用处理监控模块的触发，能够用于加强蜜罐的隐蔽性。本申请实施例中涉及到的终端的功能配置结构体以及存储设备分区，均用于完成实际的完整功能配置功能(比如锁卡配置)。

本申请实施例还通过云端进行日志存储与分析，进而确定出攻击方对终端相应功能配置的攻击行为。

本申请实施例提供了针对终端相应功能配置的蜜罐设计方案，用于模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控。本申请采用开机、读写蜜罐分区或蜜罐功能配置结构体时触发记录日志，能够最大程度上减小系统资源开销；并且本申请通过记录的日志能够有效协助技术人员获取黑客破解终端相应功能配置的尝试方法，有利于后续相关漏洞修复以及责任认定，还能够有利于整理分析相关安全报告，用于分析目前终端相应功能配置破解方面的态势。

为了更好地实施以上方法，本申请实施例还提供一种攻击检测装置，该攻击检测装置具体可以集成在电子设备中，该电子设备可以为终端、服务器等设备。其中，终端可以为手机、平板电脑、智能蓝牙设备、笔记本电脑、个人电脑等设备；服务器可以是单一服务器，也可以是由多个服务器组成的服务器集群。

比如，在本实施例中，将以攻击检测装置具体集成在攻击检测服务器中为例，对本申请实施例的方法进行详细说明。

例如，如图3所示，该攻击检测装置可以包括分区信息确定单元14、破解日志生成单元15、请求接收单元16、日志记录单元17和攻击检测单元18，如下：

(一)分区信息确定单元14

分区信息确定单元14，用于确定终端的存储设备分区中的操作日志以及蜜罐系统中的蜜罐分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体。

在一些实施例中，所述装置还包括操作日志写入单元，操作日志写入单元用于：

接收客户端发送的蜜罐操作请求，蜜罐操作请求至少携带有目标分区的地址、以及操作信息；

当根据目标分区的地址确定目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入操作信息对应的操作日志。

在一些实施例中，操作日志写入单元包括写入子单元，写入子单元用于：

当目标分区为蜜罐分区时，向存储设备分区写入操作日志，并根据操作信息对蜜罐分区进行写入操作或格式化操作；操作信息包括与目标分区对应的写入操作或格式化操作，

(二)破解日志生成单元15

破解日志生成单元15，用于根据操作日志或蜜罐分区的修改内容生成破解日志。

在一些实施例中，破解日志生成单元15用于：

设置蜜罐应用处理监控模块，蜜罐应用处理监控模块位于蜜罐系统；

当蜜罐系统中的蜜罐应用处理监控模块监测到存储设备分区中存在操作日志时，根据操作日志生成第一破解日志；

当蜜罐系统中的蜜罐应用处理监控模块监测到蜜罐分区的内容与存储设备分区的内容不一致时，确定蜜罐分区中的修改内容；

根据蜜罐分区中的修改内容生成第二破解日志。

(三)请求接收单元16

请求接收单元16，用于接收客户端发送的第一写入请求或第二写入请求。

(四)日志记录单元17

日志记录单元17，用于当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志。

在一些实施例中，日志记录单元17包括日志记录第一单元，日志记录第一单元用于：

设置蜜罐基带监控模块，蜜罐基带监控模块位于蜜罐系统中；

通过终端的应用处理文件系统管理模块接收第一写入请求，第一写入请求为目标分区写入请求；

通过应用处理文件系统管理模块进行目标分区写入请求对应的写入操作；

通过应用处理文件系统管理模块检测到目标分区为蜜罐分区时，触发蜜罐应用处理监控模块记录第一应用处理系统日志；

通过蜜罐基带监控模块记录第一基带日志、并将第一基带日志发送至蜜罐应用处理监控模块。

在一些实施例中，日志记录单元17包括日志记录第二单元，日志记录第二单元用于：

通过终端的基带结构体读写模块接收第二写入请求，第二写入请求为目标功能配置结构体写入请求；

通过基带结构体读写模块进行目标功能配置结构体写入请求对应的写入操作；

通过基带结构体读写模块检测到目标功能配置结构体为蜜罐系统中的功能配置结构体时，触发蜜罐基带监控模块记录第二基带日志；

通过蜜罐应用处理监控模块记录第二应用处理系统日志；

通过蜜罐基带监控模块将第二基带日志发送至蜜罐应用处理监控模块。

在一些实施例中，日志记录第二单元还包括配置结构更新单元，配置结构更新单元用于：

基于终端的功能配置结构体，通过蜜罐系统中的蜜罐基带监控模块对蜜罐系统中的功能配置结构体进行更新。

在一些实施例中，配置结构更新单元包括更新第一单元，更新第一单元用于：

利用终端的基带结构体读写模块检测到目标功能配置结构体为终端的功能配置结构体时，将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容。

在一些实施例中，更新第一单元包括更新第一子单元，更新第一子单元用于：

通过蜜罐系统中的蜜罐基带监控模块向蜜罐应用处理监控模块发送暂停监控信息；

蜜罐应用处理监控模块根据暂停监控信息，停止监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容更新为终端的功能配置结构体的内容；

通过蜜罐基带监控模块将蜜罐系统中的功能配置结构体的内容写入到蜜罐分区；

向蜜罐应用处理监控模块发送结构体同步操作完成信息；

通过蜜罐应用处理监控模块接收结构体同步操作完成信息，并重新监控由应用处理文件系统管理模块触发的与蜜罐系统对应的写入操作。

(四)攻击检测单元18

攻击检测单元18，用于对破解日志以及客户端访问日志进行攻击检测，以便获得客户端对终端相应功能配置的攻击行为。

具体实施时，以上各个模块可以作为独立的实体来实现，也可以进行任意组合，作为同一或若干个实体来实现，以上各个模块的具体实施可参见前面的方法实施例，在此不再赘述。

由上可知，本实施例的攻击检测装置可以在终端开机时，确定终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于存储设备分区的修改内容；蜜罐系统具有与终端相对应的分区以及功能配置结构体；根据操作日志或修改内容生成破解日志；接收客户端发送的第一写入请求或第二写入请求；当检测到第一写入请求与蜜罐分区相对应、或第二写入请求与蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志；通过对破解日志以及客户端访问日志进行攻击检测，以实现获得客户端对终端相应功能配置的攻击行为。

本申请用于模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控。本申请采用开机、读写蜜罐分区或蜜罐功能配置结构体时触发记录日志，能够最大程度上减小系统资源开销；并且本申请通过记录的日志能够有效协助技术人员获取黑客破解终端相应功能配置的尝试方法，有利于后续相关漏洞修复以及责任认定，还能够有利于整理分析相关安全报告，用于分析目前终端相应功能配置破解方面的态势。

相应的，本申请实施例还提供一种电子设备，该电子设备可以为终端或服务器，该终端可以为智能手机、平板电脑、笔记本电脑、触控屏幕、游戏机、个人计算机、个人数字助理(Personal Digital Assistant，PDA)等终端设备。该服务器可以是单一服务器，也可以是由多个服务器组成的服务器集群。

如图4所示，图4为本申请实施例所提供的电子设备结构示意图，电子设备包括：存储器19、处理器20和通信模块21。

其中，所述存储器19可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)、磁盘或固态硬盘等。其中，存储器19用于存储程序，所述处理器20在接收到执行指令后，执行所述程序。

所述处理器20可能是一种集成电路芯片，具有数据的处理能力。上述的处理器20可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等。可以实现或者执行本发明中的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述通信模块21用于电子设备与外部设备之间的通信连接，实现网络信号及数据的收发操作。上述网络信号可包括无线信号或者有线信号。

以上各个模块的具体实施可参见前面的实施例，在此不再赘述。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

由上可知，本实施例提供的电子设备可以模拟易被攻击的终端相应功能配置架构，并动态触发对终端相应功能配置攻击行为的过程监控。本申请采用开机、读写蜜罐分区或蜜罐功能配置结构体时触发记录日志，能够最大程度上减小系统资源开销；并且本申请通过记录的日志能够有效协助技术人员获取黑客破解终端相应功能配置的尝试方法，有利于后续相关漏洞修复以及责任认定，还能够有利于整理分析相关安全报告，用于分析目前终端相应功能配置破解方面的态势。

本领域普通技术人员可以理解，上述实施例的各种方法中的全部或部分步骤可以通过指令来完成，或通过指令控制相关的硬件来完成，该指令可以存储于一计算机可读存储介质中，并由处理器进行加载和执行。

为此，本申请实施例提供一种计算机可读存储介质，其中存储有多条计算机程序，该计算机程序能够被处理器进行加载，以执行本申请实施例所提供的任一种双目图像预处理方法中的步骤。

以上各个操作的具体实施可参见前面的实施例，在此不再赘述。

其中，该存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取记忆体(RAM，Random Access Memory)、磁盘或光盘等。

由于该存储介质中所存储的计算机程序，可以执行本申请实施例所提供的任一种攻击检测方法中的步骤，因此，可以实现本申请实施例所提供的任一种攻击检测方法所能实现的有益效果，详见前面的实施例，在此不再赘述。

以上对本申请实施例所提供的一种攻击检测方法、装置、电子设备及存储介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (11)

1.一种攻击检测方法，其特征在于，所述方法包括：

当终端开机时，确定所述终端的存储设备分区中的操作日志、以及蜜罐系统的蜜罐分区中相对于所述存储设备分区的修改内容；所述蜜罐系统具有与所述终端相对应的分区以及功能配置结构体，所述功能配置结构体包括锁卡配置；

根据所述操作日志或所述修改内容生成破解日志；

接收客户端发送的第一写入请求或第二写入请求，所述客户端用于对所述终端发起攻击行为；

当检测到所述第一写入请求与所述蜜罐分区相对应、或所述第二写入请求与所述蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志，包括：设置蜜罐应用处理监控模块以及蜜罐基带监控模块，所述蜜罐应用处理监控模块和所述蜜罐基带监控模块均位于所述蜜罐系统中；通过所述终端的应用处理文件系统管理模块接收所述第一写入请求，所述第一写入请求为目标分区写入请求；通过所述应用处理文件系统管理模块进行所述目标分区写入请求对应的写入操作；通过所述应用处理文件系统管理模块检测到所述目标分区为蜜罐分区时，触发所述蜜罐应用处理监控模块记录第一应用处理系统日志；通过所述蜜罐基带监控模块记录第一基带日志、并将所述第一基带日志发送至所述蜜罐应用处理监控模块；

对所述破解日志以及所述客户端访问日志进行攻击检测，以便获得所述客户端对所述终端相应功能配置的攻击行为。

2.如权利要求1所述的攻击检测方法，其特征在于，所述当检测到所述终端开机时，确定所述终端的存储设备分区中的操作日志、以及蜜罐系统中的蜜罐分区中相对于所述存储设备分区的修改内容之前，还包括：

接收客户端发送的蜜罐操作请求，所述蜜罐操作请求至少携带有目标分区的地址、以及操作信息；

当根据所述目标分区的地址确定所述目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入所述操作信息对应的操作日志。

3.如权利要求2所述的攻击检测方法，其特征在于，所述当根据所述目标分区的地址确定所述目标分区为蜜罐系统中的蜜罐分区时，向终端的存储设备分区写入所述操作信息对应的操作日志，所述操作信息包括与所述目标分区对应的写入操作或格式化操作，包括：

当所述目标分区为蜜罐分区时，向所述存储设备分区写入操作日志，并根据所述操作信息对所述蜜罐分区进行写入操作或格式化操作。

4.如权利要求1所述的攻击检测方法，其特征在于，所述根据所述操作日志或所述修改内容生成破解日志，包括：

当所述蜜罐系统中的蜜罐应用处理监控模块监测到所述存储设备分区中存在所述操作日志时，根据所述操作日志生成第一破解日志；

当所述蜜罐系统中的蜜罐应用处理监控模块监测到所述蜜罐分区的内容与所述存储设备分区的内容不一致时，确定所述蜜罐分区中的修改内容；

根据所述蜜罐分区中的修改内容生成第二破解日志。

5.如权利要求1所述的攻击检测方法，其特征在于，所述当检测到所述第一写入请求与所述蜜罐分区相对应、或所述第二写入请求与所述蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志，包括：

通过所述终端的基带结构体读写模块接收第二写入请求，所述第二写入请求为目标功能配置结构体写入请求；

通过所述基带结构体读写模块进行所述目标功能配置结构体写入请求对应的写入操作；

通过所述基带结构体读写模块检测到所述目标功能配置结构体为所述蜜罐系统中的功能配置结构体时，触发所述蜜罐基带监控模块记录第二基带日志；

通过所述蜜罐应用处理监控模块记录第二应用处理系统日志；

通过所述蜜罐基带监控模块将第二基带日志发送至所述蜜罐应用处理监控模块。

6.如权利要求5所述的攻击检测方法，其特征在于，所述通过所述基带结构体读写模块进行所述目标功能配置结构体写入请求对应的写入操作之后，还包括：

基于所述终端的功能配置结构体，通过所述蜜罐系统中的蜜罐基带监控模块对所述蜜罐系统中的功能配置结构体进行更新。

7.如权利要求6所述的攻击检测方法，其特征在于，所述通过所述蜜罐系统中的所述蜜罐基带监控模块对所述蜜罐系统中的功能配置结构体进行更新，包括：

利用所述终端的基带结构体读写模块检测到所述目标功能配置结构体为所述终端的功能配置结构体时，将所述蜜罐系统中的功能配置结构体的内容更新为所述终端的功能配置结构体的内容。

8.如权利要求7所述的攻击检测方法，其特征在于，所述通过所述蜜罐基带监控模块将所述蜜罐系统中的功能配置结构体的内容更新为所述终端的功能配置结构体的内容，包括：

通过所述蜜罐系统中的蜜罐基带监控模块向所述蜜罐应用处理监控模块发送暂停监控信息；

所述蜜罐应用处理监控模块根据所述暂停监控信息，停止监控由所述应用处理文件系统管理模块触发的与所述蜜罐系统对应的写入操作；

通过所述蜜罐基带监控模块将所述蜜罐系统中的功能配置结构体的内容更新为所述终端的功能配置结构体的内容；

通过所述蜜罐基带监控模块将所述蜜罐系统中的功能配置结构体的内容写入到所述蜜罐分区；

向所述蜜罐应用处理监控模块发送结构体同步操作完成信息；

通过所述蜜罐应用处理监控模块接收所述结构体同步操作完成信息，并重新监控由所述应用处理文件系统管理模块触发的与所述蜜罐系统对应的写入操作。

9.一种攻击检测装置，其特征在于，所述装置包括：

分区信息确定单元，用于确定终端的存储设备分区中的操作日志以及蜜罐系统中的蜜罐分区的修改内容；所述蜜罐系统具有与所述终端相对应的分区以及功能配置结构体，所述功能配置结构体包括锁卡配置；

破解日志生成单元，用于根据所述操作日志或所述蜜罐分区的修改内容生成破解日志；

请求接收单元，用于接收客户端发送的第一写入请求或第二写入请求，所述客户端用于对所述终端发起攻击行为；

日志记录单元，用于当检测到所述第一写入请求与所述蜜罐分区相对应、或所述第二写入请求与所述蜜罐系统中的功能配置结构体相对应时，记录客户端访问日志，包括：设置蜜罐应用处理监控模块以及蜜罐基带监控模块，所述蜜罐应用处理监控模块和所述蜜罐基带监控模块均位于所述蜜罐系统中；通过所述终端的应用处理文件系统管理模块接收所述第一写入请求，所述第一写入请求为目标分区写入请求；通过所述应用处理文件系统管理模块进行所述目标分区写入请求对应的写入操作；通过所述应用处理文件系统管理模块检测到所述目标分区为蜜罐分区时，触发所述蜜罐应用处理监控模块记录第一应用处理系统日志；通过所述蜜罐基带监控模块记录第一基带日志、并将所述第一基带日志发送至所述蜜罐应用处理监控模块；

攻击检测单元，用于对所述破解日志以及所述客户端访问日志进行攻击检测，以便获得所述客户端对所述终端相应功能配置的攻击行为。

10.一种电子设备，其特征在于，包括处理器和存储器，所述存储器存储有多条指令，所述处理器加载所述指令，以执行权利要求1至8任一项所述的攻击检测方法中的步骤。

11.一种存储介质，其特征在于，所述存储介质存储有多条指令，所述指令适于处理器进行加载，以执行权利要求1至8任一项所述的攻击检测方法中的步骤。

Images