CN115795509A - 弱口令事件的处理方法和装置、处理器及电子设备 - Google Patents

Abstract

本申请公开了一种弱口令事件的处理方法和装置、处理器及电子设备，涉及计算机安全技术领域，该方法包括：获取第一目标日志，并从第一目标日志中获取第一数据信息，第一数据信息中至少包括：目的IP、用户名和用户密码；若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码；若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。通过本申请，解决了相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题。

Description

弱口令事件的处理方法和装置、处理器及电子设备

技术领域

本申请涉及计算机安全领域，具体而言，涉及一种弱口令事件的处理方法和装置、处理器及电子设备。

背景技术

随着信息技术飞速发展，企业向数字化转型，数据变得尤为重要，但大部分网络管理员安全意识不强，使用了大量的弱密码，导致黑客可以轻而易举的窃取机密数据。现有技术中对于收到的日志，解析后若为弱口令，则直接检出，并产生威胁事件，当网络中产生大量的弱口令威胁事件时，会产生大量的误报，网络管理员难以迅速获取到有用的信息，大大增加了网络管理员处理问题的难度和时间。

针对相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种弱口令事件的处理方法和装置、处理器及电子设备，以解决相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种弱口令事件的处理方法。该方法包括：获取第一目标日志，并从所述第一目标日志中获取第一数据信息，其中，所述第一目标日志中记录有弱口令事件，所述第一数据信息中至少包括：目的IP、用户名和用户密码；若所述第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据所述第一数据信息获取第一服务器返回的响应码，其中，所述第一服务器为所述目的IP对应的服务器，其中，所述第一目标日志的触发时间和所述历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，所述历史日志集合中的每个日志中均记录有弱口令事件；若所述响应码表征登录成功，则将所述第一目标日志放入所述历史日志集合，得到更新后的历史日志集合；依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

进一步地，在从所述第一目标日志中获取第一数据信息之后，所述方法还包括：若所述第一数据信息与所述历史日志集合中的第二目标日志的第二数据信息相同，则丢弃所述第一目标日志，并将所述第二目标日志的弱口令次数进行累加处理。

进一步地，依据所述第一数据信息获取第一服务器返回的响应码包括：依据所述目的IP确定所述第一服务器；依据所述用户名和所述用户密码登录所述第一服务器，并获取所述第一服务器返回的响应码。

进一步地，在依据所述用户名和所述用户密码登录所述第一服务器之后，所述方法还包括：若在预设时间范围内未获取到所述第一服务器返回的响应码，则再次依据所述用户名和所述用户密码登录所述第一服务器，直至获取所述第一服务器返回的响应码。

进一步地，依据所述用户名和所述用户密码登录所述第一服务器包括：判断所述用户密码是否为明文密码；若所述用户密码不是明文密码，则依据所述第一服务器确定所述用户密码的加密类型；依据所述加密类型对所述用户密码进行解密处理，得到解密后的用户密码；依据所述用户名和所述解密后的用户密码登录所述第一服务器。

进一步地，在依据所述第一数据信息获取第一服务器返回的响应码之后，所述方法还包括：若所述响应码表征登录失败，则确定导致登录失败的原因；若导致登录失败的原因不是密码错误，则依据所述用户名和所述用户密码登录所述第一服务器，直至所述响应码表征登录成功；若导致登录失败的原因是密码失败，则丢弃所述第一目标日志。

进一步地，依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警包括：依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，所述威胁告警中至少包括：所述用户名、所述用户密码和所述用户名对应的弱口令次数。

为了实现上述目的，根据本申请的另一方面，提供了一种弱口令事件的处理装置。该装置包括：第一获取单元，用于获取第一目标日志，并从所述第一目标日志中获取第一数据信息，其中，所述第一目标日志中记录有弱口令事件，所述第一数据信息中至少包括：目的IP、用户名和用户密码；第二获取单元，用于若所述第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据所述第一数据信息获取第一服务器返回的响应码，其中，所述第一服务器为所述目的IP对应的服务器，其中，所述第一目标日志的触发时间和所述历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，所述历史日志集合中的每个日志中均记录有弱口令事件；更新单元，用于若所述响应码表征登录成功，则将所述第一目标日志放入所述历史日志集合，得到更新后的历史日志集合；聚合单元，用于依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

进一步地，所述装置还包括：处理单元，用于在从所述第一目标日志中获取第一数据信息之后，若所述第一数据信息与所述历史日志集合中的第二目标日志的第二数据信息相同，则丢弃所述第一目标日志，并将所述第二目标日志的弱口令次数进行累加处理。

进一步地，所述第二获取单元包括：确定模块，用于依据所述目的IP确定所述第一服务器；登录模块，用于依据所述用户名和所述用户密码登录所述第一服务器，并获取所述第一服务器返回的响应码。

进一步地，所述装置还包括：第一登录单元，用于在依据所述用户名和所述用户密码登录所述第一服务器之后，若在预设时间范围内未获取到所述第一服务器返回的响应码，则再次依据所述用户名和所述用户密码登录所述第一服务器，直至获取所述第一服务器返回的响应码。

进一步地，所述登录模块包括：判断子模块，用于判断所述用户密码是否为明文密码；确定子模块，用于若所述用户密码不是明文密码，则依据所述第一服务器确定所述用户密码的加密类型；解密子模块，用于依据所述加密类型对所述用户密码进行解密处理，得到解密后的用户密码；登录子模块，用于依据所述用户名和所述解密后的用户密码登录所述第一服务器。

进一步地，所述装置还包括：确定单元，用于在依据所述第一数据信息获取第一服务器返回的响应码之后，若所述响应码表征登录失败，则确定导致登录失败的原因；第二登录单元，用于若导致登录失败的原因不是密码错误，则依据所述用户名和所述用户密码登录所述第一服务器，直至所述响应码表征登录成功；丢弃单元，用于若导致登录失败的原因是密码失败，则丢弃所述第一目标日志。

进一步地，所述聚合单元包括：聚合模块，用于依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；触发模块，用于依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，所述威胁告警中至少包括：所述用户名、所述用户密码和所述用户名对应的弱口令次数。

为了实现上述目的，根据本申请的一个方面，提供了一种处理器，处理器用于运行程序，其中，所述程序运行时执行上述任意一项所述的弱口令事件的处理方法。

为了实现上述目的，根据本申请的一个方面，提供了一种电子设备，电子设备包括一个或多个处理器和存储器，存储器用于存储一个或多个处理器实现上述任意一项所述的弱口令事件的处理方法。

通过本申请，采用以下步骤：获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警，解决了相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题。在本方案中，根据目标日志的目的IP、用户名、密码进行聚合，然后去除密码错误的日志，去除了大量无用的弱口令事件，最终根据目的IP进行聚合，并对每类聚合后的日志触发威胁告警，去除了大量无用的弱口令事件，进而达到了降低对弱口令的误报率的效果。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例提供的弱口令事件的处理方法的流程图；

图2是根据本申请实施例提供的可选的弱口令事件的处理方法的流程图；

图3是根据本申请实施例提供的弱口令事件的处理装置的示意图；

图4是根据本申请实施例提供的电子设备的示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

为了便于描述，以下对本申请实施例涉及的部分名词或术语进行说明：

弱口令：通常认为容易被猜测到或被破解工具破解的口令均为弱口令，弱口令指的是仅包含简单数字和字母的口令，例如："123"、"abc"等。

需要说明的是，本公开所涉及的相关信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于展示的数据、分析的数据等)，均为经用户授权或者经过各方充分授权的信息和数据。例如，本系统和相关用户或机构间设置有接口，在获取相关信息之前，需要通过接口向前述的用户或机构发送获取请求，并在接收到前述的用户或机构反馈的同意信息后，获取相关信息。

随着信息技术飞速发展，企业向数字化转型，数据变得尤为重要，但大部分网络管理员安全意识不强，使用了大量的弱密码，导致黑客可以轻而易举的窃取机密数据。现有技术中对于收到的弱口令日志，解析后若为弱口令，则直接检出，并产生威胁事件，这会导致产生大量无用的威胁事件，针对目前弱口令威胁事件重复率高、误报率高的问题，提出了一种弱口令事件的处理方法。

下面结合优选的实施步骤对本发明进行说明，图1是根据本申请实施例提供的弱口令事件的处理方法的流程图，如图1所示，该方法包括如下步骤：

步骤S101，获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；

具体地，获取第一目标日志，在第一目标日志中记载有弱口令事件，对第一目标日志进行信息提取，得到对应的第一数据信息，其中，第一数据信息包括但不限于目的IP、用户名和用户密码等信息。

步骤S102，若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；

具体地，在得到上述的第一数据信息之后，判断在历史日志集合中的每个日志对应的第二数据信息中是否有与第一数据信息相同的第二数据信息，若不在相同的第二数据信息，则通过第一数据信息获取第一服务器返回的响应码。需要说明的是，第二数据信息包括但不限于目的IP、用户名和用户密码等数据信息。

需要说明的是，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，预设范围可以设置在3分钟左右。这里是将预设范围内的日志进行一次聚合。

如果当前获取的是第一个目标日志，则不需要进行信息对比，直接根据目标日志的数据信息获取对应服务器的响应码。

综上所述，根据目的IP、用户名和用户密码进行初次聚合。能够避免产生大量重复的弱口令事件。

步骤S103，若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；

具体地，上述的响应码可以用于表征是否成功登录第一服务器，如果响应码表征登录成功，则也将第一目标日志放入历史日志集合中，得到更新后的历史日志集合。

步骤S104，依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

具体地，根据目的IP对更新后的历史日志集合中的日志进行聚合，然后针对一类聚合后的日志触发一个威胁告警。

综上所述，在本方案中能够根据日志中的目的IP、用户名、密码进行聚合，并去除登录失败的日志，最终根据目的IP再次聚合日志，针对一类聚合后的日志仅产生一条威胁告警，通过上述步骤能够有效减少弱口令威胁事件的误报率和重复率，用户可以根据不同的服务器进行弱口令的查看，可以使用户直观的获取到有效信息，并有针对性的进行排查，提高处理弱口令威胁事件的效率，提升用户体验。

为了减少重复弱口令事件，在本申请实施例提供的弱口令事件的处理方法中，在从第一目标日志中获取第一数据信息之后，该方法还包括：若第一数据信息与历史日志集合中的第二目标日志的第二数据信息相同，则丢弃第一目标日志，并将第二目标日志的弱口令次数进行累加处理。

具体地，如果在历史日志集合中存在与第一数据信息完全相同的第二数据信息，则直接丢弃第一目标日志，并对第二目标日志的弱口令次数进行累加处理。

通过目的IP、用户名和用户密码进行初步聚合，能够有效减少大量重复的弱口令事件。

在本申请实施例提供的弱口令事件的处理方法中，采用以下步骤依据第一数据信息获取第一服务器返回的响应码：依据目的IP确定第一服务器；依据用户名和用户密码登录第一服务器，并获取第一服务器返回的响应码。

具体地，根据第一数据信息中的目的IP确定对应的第一服务器，然后通过第一数据信息中的用户名和用户密码登录第一服务器，并接收第一服务器返回的响应码。

由于信息安全的问题，日志中的用户密码往往处于加密状态，因此依据用户名和用户密码登录第一服务器包括：判断用户密码是否为明文密码；若用户密码不是明文密码，则依据第一服务器确定用户密码的加密类型；依据加密类型对用户密码进行解密处理，得到解密后的用户密码；依据用户名和解密后的用户密码登录第一服务器。

具体地，在通过用户名和用户密码登录第一服务器时，判断用户密码是不是明文密码，如果用户密码是明文密码则直接进行登录。如果用户密码不是明文密码则根据第一服务器确定用户密码的加密类型，通过加密类型对对用户密码进行解密处理，得到解密后的明文密码后再进行登录工作。

可选地，在本申请实施例提供的弱口令事件的处理方法中，在依据用户名和用户密码登录第一服务器之后，该方法还包括：若在预设时间范围内未获取到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码。

具体地，由于可能存在网络问题不能收到第一服务器返回的响应码，因此，在通过用户名和用户密码登录第一服务器之后，判断在预设时间范围(例如，30s)内是否获取到了第一服务器返回的响应码，如果没有收到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码，上述的步骤可以准确提高对日志判断的准确性，能够有效避免将用户密码没有问题的日志丢弃。

为了避免将用户密码没有问题的日志丢弃，在本申请实施例提供的弱口令事件的处理方法中，在依据第一数据信息获取第一服务器返回的响应码之后，还包括：若响应码表征登录失败，则确定导致登录失败的原因；若导致登录失败的原因不是密码错误，则依据用户名和用户密码登录第一服务器，直至响应码表征登录成功；若导致登录失败的原因是密码失败，则丢弃第一目标日志。

具体地，如果响应码表征对第一服务器的登录失败，则确定导致登录失败的原因，例如，网络不通畅、密码错误等。如果导致登录失败的原因不是密码错误，那么再次通过用户名和用户密码登录第一服务器，直至响应码表征登录成功，如果导致登录失败的原因是密码失败的话，则直接丢弃第一目标日志。通过上述步骤，能够有效避免丢弃用户密码没有问题的日志，进而导致不能及时进行威胁告警的问题。

在本申请实施例提供的弱口令事件的处理方法中，依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警包括：依据目的IP，对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数。

具体地，根据目的IP对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志，即将登录同一个服务器的日志进行聚合。然后，每个目的IP对应的多个日志，触发每个目的IP对应的一个威胁告警。需要说明的是，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数，以便于用户对威胁告警进行分析和处理。

本发明适用于处理大量且重复的弱口令日志，能够减少弱口令威胁事件的误报，将信息整合，提高精确度，提升用户体验。

在一可选的实施例中，可以采用如图2所示的流程图实现对弱口令事件的处理，

具体地，步骤1)获取弱口令日志(即上述的第一目标日志)，根据弱口令日志中的目的IP、用户名、用户密码进行初步聚合。具体地，收到第一条弱口令日志时，首先，获取目的IP对应的服务器返回的响应码，通过响应码判断是否为登录成功，如果登录失败则执行步骤2)，如果登录成功，则进入时间窗口(即上述的预设范围内的历史日志集合)。收到第二条弱口令日志时，判断第二条弱口令日志的目的IP、用户名、密码是否与第一条弱口令日志的目的IP、用户名、密码相同，如果是相同则不进行判断登录状态处理，对第一条弱口令日志进行计数并丢弃第二条弱口令日志。

步骤2)在步骤1)中如果出现非密码错误导致的登录失败，以及无法获取到响应码的情况，则使用日志中的用户名和用户密码登录对应的服务器进行登录校验，登录成功则进入时间窗口，其中，如果密码为明文密码，则直接使用，如果密码为加密或者编码后的，则进行解密解码后使用。如果不是以上两种情况，则直接丢弃，不进行处理。

步骤3)进入时间窗口的日志，再次根据目的IP进行聚合，相同目的IP的日志仅产生一条威胁事件，该威胁事件详情页中展示聚合后的用户名和密码，以及弱口令次数。

综上所述，本方案能够有效减少弱口令威胁事件的误报率和重复率，用户可以根据不同的服务器进行弱口令的查看，通过对相同用户名和密码的聚合，可以使用户直观的获取到有效信息，并有针对性的进行排查，提高处理弱口令威胁事件的效率，提升用户体验。

本申请实施例提供的弱口令事件的处理方法，通过获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警，解决了相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题。在本方案中，根据目标日志的目的IP、用户名、密码进行聚合，然后去除密码错误的日志，去除了大量无用的弱口令事件，最终根据目的IP进行聚合，并对每类聚合后的日志触发威胁告警，去除了大量无用的弱口令事件，进而达到了降低对弱口令的误报率的效果。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例还提供了一种弱口令事件的处理装置，需要说明的是，本申请实施例的弱口令事件的处理装置可以用于执行本申请实施例所提供的用于弱口令事件的处理方法。以下对本申请实施例提供的弱口令事件的处理装置进行介绍。

图3是根据本申请实施例的弱口令事件的处理装置的示意图。如图3所示，该装置包括：第一获取单元301，第二获取单元302，更新单元303和聚合单元304。

第一获取单元301，用于获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；

第二获取单元302，用于若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；

更新单元303，用于若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；

聚合单元304，用于依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。具体地，获取第一目标日志，在第一目标日志中记载有弱口令事件，对第一目标日志进行信息提取，得到对应的第一数据信息，其中，第一数据信息包括但不限于目的IP、用户名和用户密码等信息。

具体地，获取第一目标日志，在第一目标日志中记载有弱口令事件，对第一目标日志进行信息提取，得到对应的第一数据信息，其中，第一数据信息包括但不限于目的IP、用户名和用户密码等信息。

在得到上述的第一数据信息之后，判断在历史日志集合中的每个日志对应的第二数据信息中是否有与第一数据信息相同的第二数据信息，若不在相同的第二数据信息，则通过第一数据信息获取第一服务器返回的响应码。需要说明的是，第二数据信息包括但不限于目的IP、用户名和用户密码等数据信息。

需要说明的是，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，预设范围可以设置在3分钟左右。这里是将预设范围内的日志进行一次聚合。

如果当前获取的是第一个目标日志，则不需要进行信息对比，直接根据目标日志的数据信息获取对应服务器的响应码。

根据目的IP、用户名和用户密码进行初次聚合。能够避免产生大量重复的弱口令事件。

上述的响应码可以用于表征是否成功登录第一服务器，如果响应码表征登录成功，则也将第一目标日志放入历史日志集合中，得到更新后的历史日志集合。

根据目的IP对更新后的历史日志集合中的日志进行聚合，然后针对一类聚合后的日志触发一个威胁告警。

综上所述，在本方案中能够根据日志中的目的IP、用户名、密码进行聚合，并去除登录失败的日志，最终根据目的IP再次聚合日志，针对一类聚合后的日志仅产生一条威胁告警，通过上述步骤能够有效减少弱口令威胁事件的误报率和重复率，用户可以根据不同的服务器进行弱口令的查看，可以使用户直观的获取到有效信息，并有针对性的进行排查，提高处理弱口令威胁事件的效率，提升用户体验。

本申请实施例提供的弱口令事件的处理装置，通过第一获取单元301获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；第二获取单元302若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；更新单元303若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；聚合单元304依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警，解决了相关技术中对于收到的弱口令日志，直接产生威胁事件，导致对弱口令的误报率比较高的问题。在本方案中，根据目标日志的目的IP、用户名、密码进行聚合，然后去除密码错误的日志，去除了大量无用的弱口令事件，最终根据目的IP进行聚合，并对每类聚合后的日志触发威胁告警，去除了大量无用的弱口令事件，进而达到了降低对弱口令的误报率的效果。

可选地，在本申请实施例提供的弱口令事件的处理装置中，该装置还包括：处理单元，用于在从第一目标日志中获取第一数据信息之后，若第一数据信息与历史日志集合中的第二目标日志的第二数据信息相同，则丢弃第一目标日志，并将第二目标日志的弱口令次数进行累加处理。

具体地，如果在历史日志集合中存在与第一数据信息完全相同的第二数据信息，则直接丢弃第一目标日志，并对第二目标日志的弱口令次数进行累加处理。通过目的IP、用户名和用户密码进行初步聚合，能够有效减少大量重复的弱口令事件。

可选地，在本申请实施例提供的弱口令事件的处理装置中，第二获取单元包括：确定模块，用于依据目的IP确定第一服务器；登录模块，用于依据用户名和用户密码登录第一服务器，并获取第一服务器返回的响应码。

具体地，根据第一数据信息中的目的IP确定对应的第一服务器，然后通过第一数据信息中的用户名和用户密码登录第一服务器，并接收第一服务器返回的响应码。

可选地，在本申请实施例提供的弱口令事件的处理装置中，该装置还包括：第一登录单元，用于在依据用户名和用户密码登录第一服务器之后，若在预设时间范围内未获取到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码。

具体地，由于可能存在网络问题不能收到第一服务器返回的响应码，因此，在通过用户名和用户密码登录第一服务器之后，判断在预设时间范围(例如，30s)内是否获取到了第一服务器返回的响应码，如果没有收到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码，上述的步骤可以准确提高对日志判断的准确性，能够有效避免将用户密码没有问题的日志丢弃。

可选地，在本申请实施例提供的弱口令事件的处理装置中，登录模块包括：判断子模块，用于判断用户密码是否为明文密码；确定子模块，用于若用户密码不是明文密码，则依据第一服务器确定用户密码的加密类型；解密子模块，用于依据加密类型对用户密码进行解密处理，得到解密后的用户密码；登录子模块，用于依据用户名和解密后的用户密码登录第一服务器。

具体地，在通过用户名和用户密码登录第一服务器时，判断用户密码是不是明文密码，如果用户密码是明文密码则直接进行登录。如果用户密码不是明文密码则根据第一服务器确定用户密码的加密类型，通过加密类型对对用户密码进行解密处理，得到解密后的明文密码后再进行登录工作。

可选地，在本申请实施例提供的弱口令事件的处理装置中，该装置还包括：确定单元，用于在依据第一数据信息获取第一服务器返回的响应码之后，若响应码表征登录失败，则确定导致登录失败的原因；第二登录单元，用于若导致登录失败的原因不是密码错误，则依据用户名和用户密码登录第一服务器，直至响应码表征登录成功；丢弃单元，用于若导致登录失败的原因是密码失败，则丢弃第一目标日志。

具体地，如果响应码表征对第一服务器的登录失败，则确定导致登录失败的原因，例如，网络不通畅、密码错误等。如果导致登录失败的原因不是密码错误，那么再次通过用户名和用户密码登录第一服务器，直至响应码表征登录成功，如果导致登录失败的原因是密码失败的话，则直接丢弃第一目标日志。通过上述步骤，能够有效避免丢弃用户密码没有问题的日志，进而导致不能及时进行威胁告警的问题。

可选地，在本申请实施例提供的弱口令事件的处理装置中，聚合单元包括：聚合模块，用于依据目的IP，对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；触发模块，用于依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数。

具体地，根据目的IP对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志，即将登录同一个服务器的日志进行聚合。然后，每个目的IP对应的多个日志，触发每个目的IP对应的一个威胁告警。需要说明的是，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数，以便于用户对威胁告警进行分析和处理。

本发明适用于处理大量且重复的弱口令日志，能够减少弱口令威胁事件的误报，将信息整合，提高精确度，提升用户体验。

弱口令事件的处理装置包括处理器和存储器，上述的第一获取单元301，第二获取单元302，更新单元303和聚合单元304等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。

处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来实现对弱口令事件的处理。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本发明实施例提供了一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现弱口令事件的处理方法。

本发明实施例提供了一种处理器，处理器用于运行程序，其中，程序运行时执行弱口令事件的处理方法。

如图4所示，本发明实施例提供了一种电子设备，设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，处理器执行程序时实现以下步骤：获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

可选地，在从第一目标日志中获取第一数据信息之后，该方法还包括：若第一数据信息与历史日志集合中的第二目标日志的第二数据信息相同，则丢弃第一目标日志，并将第二目标日志的弱口令次数进行累加处理。

可选地，依据第一数据信息获取第一服务器返回的响应码包括：依据目的IP确定第一服务器；依据用户名和用户密码登录第一服务器，并获取第一服务器返回的响应码。

可选地，在依据用户名和用户密码登录第一服务器之后，该方法还包括：若在预设时间范围内未获取到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码。

可选地，依据用户名和用户密码登录第一服务器包括：判断用户密码是否为明文密码；若用户密码不是明文密码，则依据第一服务器确定用户密码的加密类型；依据加密类型对用户密码进行解密处理，得到解密后的用户密码；依据用户名和解密后的用户密码登录第一服务器。

可选地，在依据第一数据信息获取第一服务器返回的响应码之后，该方法还包括：若响应码表征登录失败，则确定导致登录失败的原因；若导致登录失败的原因不是密码错误，则依据用户名和用户密码登录第一服务器，直至响应码表征登录成功；若导致登录失败的原因是密码失败，则丢弃第一目标日志。

可选地，依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警包括：依据目的IP，对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数。

本文中的设备可以是服务器、PC、PAD、手机等。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行初始化有如下方法步骤的程序：获取第一目标日志，并从第一目标日志中获取第一数据信息，其中，第一目标日志中记录有弱口令事件，第一数据信息中至少包括：目的IP、用户名和用户密码；若第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据第一数据信息获取第一服务器返回的响应码，其中，第一服务器为目的IP对应的服务器，其中，第一目标日志的触发时间和历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，历史日志集合中的每个日志中均记录有弱口令事件；若响应码表征登录成功，则将第一目标日志放入历史日志集合，得到更新后的历史日志集合；依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

可选地，在从第一目标日志中获取第一数据信息之后，该方法还包括：若第一数据信息与历史日志集合中的第二目标日志的第二数据信息相同，则丢弃第一目标日志，并将第二目标日志的弱口令次数进行累加处理。

可选地，依据第一数据信息获取第一服务器返回的响应码包括：依据目的IP确定第一服务器；依据用户名和用户密码登录第一服务器，并获取第一服务器返回的响应码。

可选地，在依据用户名和用户密码登录第一服务器之后，该方法还包括：若在预设时间范围内未获取到第一服务器返回的响应码，则再次依据用户名和用户密码登录第一服务器，直至获取第一服务器返回的响应码。

可选地，依据用户名和用户密码登录第一服务器包括：判断用户密码是否为明文密码；若用户密码不是明文密码，则依据第一服务器确定用户密码的加密类型；依据加密类型对用户密码进行解密处理，得到解密后的用户密码；依据用户名和解密后的用户密码登录第一服务器。

可选地，在依据第一数据信息获取第一服务器返回的响应码之后，该方法还包括：若响应码表征登录失败，则确定导致登录失败的原因；若导致登录失败的原因不是密码错误，则依据用户名和用户密码登录第一服务器，直至响应码表征登录成功；若导致登录失败的原因是密码失败，则丢弃第一目标日志。

可选地，依据目的IP，对更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警包括：依据目的IP，对更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，威胁告警中至少包括：用户名、用户密码和用户名对应的弱口令次数。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种弱口令事件的处理方法，其特征在于，包括：

获取第一目标日志，并从所述第一目标日志中获取第一数据信息，其中，所述第一目标日志中记录有弱口令事件，所述第一数据信息中至少包括：目的IP、用户名和用户密码；

若所述第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据所述第一数据信息获取第一服务器返回的响应码，其中，所述第一服务器为所述目的IP对应的服务器，其中，所述第一目标日志的触发时间和所述历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，所述历史日志集合中的每个日志中均记录有弱口令事件；

若所述响应码表征登录成功，则将所述第一目标日志放入所述历史日志集合，得到更新后的历史日志集合；

依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

2.根据权利要求1所述的方法，其特征在于，在从所述第一目标日志中获取第一数据信息之后，所述方法还包括：

若所述第一数据信息与所述历史日志集合中的第二目标日志的第二数据信息相同，则丢弃所述第一目标日志，并将所述第二目标日志的弱口令次数进行累加处理。

3.根据权利要求1所述的方法，其特征在于，依据所述第一数据信息获取第一服务器返回的响应码包括：

依据所述目的IP确定所述第一服务器；

依据所述用户名和所述用户密码登录所述第一服务器，并获取所述第一服务器返回的响应码。

4.根据权利要求3述的方法，其特征在于，在依据所述用户名和所述用户密码登录所述第一服务器之后，所述方法还包括：

若在预设时间范围内未获取到所述第一服务器返回的响应码，则再次依据所述用户名和所述用户密码登录所述第一服务器，直至获取所述第一服务器返回的响应码。

5.根据权利要求3述的方法，其特征在于，依据所述用户名和所述用户密码登录所述第一服务器包括：

判断所述用户密码是否为明文密码；

若所述用户密码不是明文密码，则依据所述第一服务器确定所述用户密码的加密类型；

依据所述加密类型对所述用户密码进行解密处理，得到解密后的用户密码；

依据所述用户名和所述解密后的用户密码登录所述第一服务器。

6.根据权利要求1述的方法，其特征在于，在依据所述第一数据信息获取第一服务器返回的响应码之后，所述方法还包括：

若所述响应码表征登录失败，则确定导致登录失败的原因；

若导致登录失败的原因不是密码错误，则依据所述用户名和所述用户密码登录所述第一服务器，直至所述响应码表征登录成功；

若导致登录失败的原因是密码失败，则丢弃所述第一目标日志。

7.根据权利要求1述的方法，其特征在于，依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警包括：

依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，得到每个目的IP对应的多个日志；

依据每个目的IP对应的多个日志，触发每个目的IP对应的威胁告警，其中，所述威胁告警中至少包括：所述用户名、所述用户密码和所述用户名对应的弱口令次数。

8.一种弱口令事件的处理装置，其特征在于，包括：

第一获取单元，用于获取第一目标日志，并从所述第一目标日志中获取第一数据信息，其中，所述第一目标日志中记录有弱口令事件，所述第一数据信息中至少包括：目的IP、用户名和用户密码；

第二获取单元，用于若所述第一数据信息与历史日志集合中的每个日志的第二数据信息存在不同，则依据所述第一数据信息获取第一服务器返回的响应码，其中，所述第一服务器为所述目的IP对应的服务器，其中，所述第一目标日志的触发时间和所述历史日志集合中的日志的触发时间之间的时间间隔在预设范围内，所述历史日志集合中的每个日志中均记录有弱口令事件；

更新单元，用于若所述响应码表征登录成功，则将所述第一目标日志放入所述历史日志集合，得到更新后的历史日志集合；

聚合单元，用于依据所述目的IP，对所述更新后的历史日志集合中的日志进行聚合，并对每类聚合后的日志触发威胁告警。

9.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至7中任意一项所述的弱口令事件的处理方法。

10.一种电子设备，其特征在于，包括一个或多个处理器和存储器，所述存储器用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至7中任意一项所述的弱口令事件的处理方法。

Images