TWI620090B - 用於偵測網路釣魚之登入失敗序列 - Google Patents

Abstract

本發明提供一種一線上服務之登入頁，其係於一使用者電腦中接收。諸如一錯誤使用者識別符(ID)及一錯誤密碼之錯誤身份碼經鍵入至該登入頁中以登入至該線上服務。當該線上服務不供應一合法登入失敗頁以回應於該登入頁中之該等錯誤身份碼的登錄時，該登入頁被分類為網路釣魚。

Description

用於偵測網路釣魚之登入失敗序列

本發明大體上係關於電腦安全，且更特定言之(但不排他地)，本發明係關於用於偵測網路釣魚之方法及系統。

各種線上服務經由網際網路可用。此等線上服務之實例包含線上銀行、資料儲存、網頁郵件、社交網路等。一般言之，一線上服務可使用諸如一使用者識別符(例如，使用者名稱、電子郵件位址、行動電話號碼)及一密碼之適當身份碼存取。一終端使用者可在用線上服務創建一線上帳號後獲得身份碼。線上服務可維護供應用於鍵入身份碼之一網頁(其被稱為一「登入頁」)之一網站。 由線上服務所提供之方便不僅吸引合法終端使用者，而且同樣亦吸引行騙者。行騙者可使用包含藉由網路釣魚之多種技術獲得對一被害人之一線上帳號之存取。網路釣魚係關於某一形式之不實陳述之一網路攻擊。一行騙者可對一惡意網站進行操作或攔截一合法網站以供應一網路釣魚登入頁，該登入頁係出於挪用被害人之身份碼目的而模擬一合法登入頁之外觀及感覺之一網頁。行騙者可藉由垃圾郵件、中間人攻擊等導引被害人至網路釣魚登入頁。網路釣魚登入頁被做成令人信服之真實外觀，以哄騙被害人鍵入其身份碼。 為打擊網路釣魚，網路釣魚登入頁之特性(例如，統一資源定位符(URL))可經編譯於一黑名單中。可查閱該黑名單以判定一特定登入頁是否係網路釣魚，即，進行一網路釣魚攻擊或一網路釣魚攻擊之部分。然而，由於網路釣魚登入頁之數目持續增加，故相對難以創建並維護此一黑名單。

在一項實施例中，一種一線上服務之登入頁於一使用者電腦中接收。諸如一錯誤使用者識別符(ID)及一錯誤密碼之錯誤身份碼經鍵入至該登入頁中以登入至該線上服務。當該線上服務不回應於該登入頁中之該等錯誤身份碼之該登錄而供應一合法登入失敗頁時，該登入頁被分類為網路釣魚。 熟習此項技術者在閱讀包含附圖及技術方案之本發明之全部內容後將容易地明白本發明之此等特徵及其他特徵。

在本發明中，提供諸如系統、組件，及方法之實例之眾多特定細節，以提供對本發明之實施例之一透徹理解。然而，熟習此項技術者將認知，可實踐本發明而無需特定細節之一或多者。在其他例項中，未展示或描述熟知之細節以避免使本發明之態樣模糊。 現參考圖1，展示根據本發明之一實施例之一電腦系統100之一示意圖。電腦系統100可用作一使用者電腦、一後端系統，及下文所描述之其他電腦。電腦系統100可具有更少或更多個組件以滿足一特定應用之需求。電腦系統100可包含一或多個處理器101。電腦系統100可具有耦合其各種組件之一或多個匯流排103。電腦系統100可包含一或多個使用者輸入裝置102 (例如，鍵盤、滑鼠)、一或多個資料儲存裝置106 (例如，硬磁碟機、光碟、通用串列匯流排記憶體)、一顯示監視器104 (例如，液晶顯示器、平板監視器)、一電腦網路介面105 (例如，網路配接器、數據機)，及一主記憶體108 (例如，隨機存取記憶體)。電腦網路介面105可經耦合至一電腦網路109，在此實例中，電腦網路109包含網際網路。 電腦系統100係如使用一或多個軟體模組來程式化之一特定機器，該等軟體模組包括經儲存於非暫時性主記憶體108中用於由處理器101執行之指令。製造之一物品可被體現為包含指令之電腦可讀儲存媒體，當由電腦系統100之處理器101執行該等指令時，致使電腦系統100可操作以執行一或多個軟體模組之功能。在圖1之實例中，電腦系統100包含用於偵測網路釣魚及類似網路攻擊之一防網路釣魚模組110。當電腦系統100用作一後端系統時，防網路釣魚模組110可包括一網路釣魚偵測器。當電腦系統100用作一使用者電腦時，防網路釣魚模組110可包括一防網路釣魚代理器。 圖2展示根據本發明之一實施例之用於偵測網路釣魚之一系統之一流程圖。在圖2之實例中，網路釣魚偵測系統包含一或多個使用者電腦252及一或多個後端系統260。在一項實施例中，一使用者電腦252可係由一使用者運用以導航至一網站之任一適當電腦。一後端系統260可包括用於偵測網路釣魚之一或多個電腦。一使用者電腦252及一後端系統260可經由網際網路進行通信。 一線上服務系統250可包括一或多個電腦，該等電腦代管用於提供複數個線上服務之一網站。一使用者可具有該網站之一線上帳號以存取該等線上服務之一或多者。使用者可使用相同組之身份碼以存取若干線上服務。為存取一線上服務，使用者可運用一網頁瀏覽器261以與線上服務系統250通信。在圖2之實例中，線上服務系統250代管並供應複數個網頁，諸如一登入頁283、一登入失敗頁282、及其他網頁281。 線上服務系統250可首先供應登入頁283至使用者電腦252以允許使用者登入且經認證。一旦在登入頁283上接收到身份碼，線上服務系統250便可取決於多種因素來供應其他網頁至使用者電腦252，該等因素包含該等身份碼是否係有效的、經存取之特定線上服務等。 更特定言之，如圖3中所展示，線上服務系統250可在使用者登入以存取一線上服務時供應登入頁283且其後在登入未成功時供應登入失敗頁282，在成功登入一第一線上服務時供應一網頁281-1，在成功登入一第二線上服務時供應一網頁281-2，在成功登入一第三線上服務時供應一網頁281-3等。此係因為一些線上服務系統係基於會話的以提供多個線上服務及登錄點。例如，當一使用者未登入或會話逾期時，一線上服務系統可重導引使用者至一登入頁，並在一成功登入後重導引回至先前網頁。在彼情況中，在一成功登入後由線上服務系統250所供應之網頁281可取決於登入頁283自其到達之網頁或會話。在圖4中進一步繪示此，其係關於由GOOGLE公司所提供之線上服務。 在圖4之實例中，一登入頁383可自由GOOGLE公司所提供之各種線上服務之不同網頁320(諸如GOOGLE+社交網路、GMAIL電子郵件、YOUTUBE視訊共用站、GOOGLE MAPS地圖服務)而到達。一網頁320亦稱為一「登入前頁」，此係因為其係在登入頁前所供應之網頁。可將一使用者自一網頁320再導引至登入頁383。在一成功登入後，即，有效身份碼經鍵入至登入頁383中，不同網頁321之一者可取決於被存取之線上服務而供應。一網頁321亦稱為一「登入後頁」，此係因為其係登入頁383後所供應之網頁。一網頁321亦稱為一「登入成功」頁，此係因為其係回應於一成功登入而供應。相比而言，一登入失敗頁係回應於一失敗登入(即，無效身份碼經鍵入至登入頁中)而供應之一網頁。 本發明者在通用網際網路網路訊務上之觀察指示成功登入中所供應之網頁之序列，諸如登入前頁、登入頁及登入後頁之一序列，其數目太多且頻繁改變。相比而言，失敗登入中所供應之網頁之序列小的多。例如，如圖5之關於由GOOGLE公司所提供之線上服務之實例中所繪示，在一失敗登入之情況中，登入後頁之數目更受限。更特定言之，在圖5之實例中，一使用者可自複數個網頁320之一者開始到達登入頁383，但將在一失敗登入後接收一(或更小數目之)登入失敗頁382。 返回參考圖2，在一實例操作中，由使用者運用之使用者電腦252可自線上服務系統250接收一登入頁283 (箭頭201)。登入頁283經顯示於網頁瀏覽器261之一窗上。在一項實施例中，防網路釣魚代理器262經組態以偵測使用者電腦252何時請求及/或接收一登入頁。例如，防網路釣魚代理器262可藉由查閱包含指示登入頁之特性(例如，使用者ID及密碼之登錄欄位)之一本地或遠端資料庫來識別對一登入頁之接收或對一登入頁之請求。回應於偵測使用者電腦252正請求或已接收登入頁283，防網路釣魚代理器262如此通知後端系統260 (箭頭202)。在一項實施例中，通知包含登入頁283之URL或其他網路位置識別符以允許後端系統260接收並分析登入頁283及評估線上服務系統250之行為。 在一項實施例中，後端系統260包含一網路釣魚偵測器271及一登入失敗頁資料庫272。在一項實施例中，登入失敗頁資料庫272包含合法登入失敗頁(即，由合法線上服務回應於一失敗登入所供應之網頁)之指示符(例如，URL、雜湊等)。如可瞭解，因為失敗登入中所供應之網頁之序列的數目比成功登入中所供應之網頁之序列的數目小得多，所以登入失敗頁資料庫272之創建、維護，及處理係相對可管理的，從而使登入失敗頁資料庫272在針對網路釣魚而連續評估網頁之生產環境中的使用係實用的。網路釣魚偵測器271可經組態以查閱登入失敗頁資料庫272以判定一特定登入頁是否合法。 在圖2之實例中，回應於來自防網路釣魚代理器262之通知，網路釣魚偵測器271與線上服務系統250通信以接收登入頁283，並將錯誤身份碼(例如，隨機生成之使用者識別(ID)及密碼)鍵入於登入頁283中 (箭頭203)。網路釣魚偵測器271可基於線上服務系統250是否接受錯誤身份碼為有效及線上服務系統250是否回應於將錯誤身份碼登錄於登入頁283中而供應一合法登入失敗頁282來認為登入頁283係一網路釣魚頁。 在圖2之實例中，線上服務系統250代管一合法網站，且據此，辨識錯誤身份碼係無效的。因此，作為回應，線上服務系統250供應登入失敗頁282，登入失敗頁282係登入失敗頁資料庫272中如此指示之一合法登入失敗頁。網路釣魚偵測器271接收登入失敗頁282，並辨識由其後接著登入失敗頁282之登入頁283所組成之連續供應之網頁的序列指示：線上服務系統250並非顯然代管一網路釣魚網站。網路釣魚偵測器271查閱登入失敗頁資料庫272以確認，且查找登入失敗頁282具有已知在登入頁283後回應於一失敗登入而供應登入失敗頁282之一合法網站之一認證登入失敗頁的特性。據此，網路釣魚偵測器271將登入頁283及由線上服務系統250代管之網站分類為合法。 合法網站及網路釣魚站充斥在網際網路上。在圖2之實例中，一網路釣魚站251係用於進行一網路釣魚攻擊之一網站。為此，網路釣魚站251維護用於自不知情之使用者挪用機密資訊之複數個網路釣魚頁284。網路釣魚頁284可包括網路釣魚登入頁、網路釣魚登入失敗頁、網路釣魚登入成功頁，及其他網路釣魚頁。 使用者電腦252可自網路釣魚站251請求或接收一網路釣魚登入頁(箭頭204)。使用者電腦252可經再導引以在使用者毫無察覺點擊一網路釣魚電子郵件之一連接、無意地導航至網路釣魚站251等時在網頁瀏覽器261上接收並顯示網路釣魚登入頁。防網路釣魚代理器262將網路釣魚頁辨識為一登入頁，例如，此係因為網路釣魚頁中之使用者ID及密碼登錄欄位，且作為回應，如此通知後端系統260 (箭頭205)。通知包含網路釣魚頁之URL或其他網路位置識別符。 在圖2之實例中，回應於來自防網路釣魚代理器262之通知，網路釣魚偵測器271與網路釣魚站251進行通信以接收網路釣魚登入頁並將錯誤身份碼鍵入於網路釣魚頁中(箭頭206)。網路釣魚站251不具有關於鍵入於網路釣魚頁中之身份碼是否係有效之資訊。據此，網路釣魚站251 (且一般言之，多數網路釣魚站)僅接受錯誤身份碼作為有效且供應指示一成功登入之一登入成功頁。圖6展示模擬PAYPAL線上付費服務之登入頁之一實例網路釣魚登入頁。圖7展示即使在錯誤身份碼經鍵入至圖6之網路釣魚登入頁中時亦供應之一網路釣魚登入成功頁。 在圖2之實例中，網路釣魚偵測器271例如藉由掃描登入後頁之關鍵字或指示一成功登入之其他特性辨識登入後頁係一登入成功頁。回應於接收儘管係錯誤身份碼之登入成功頁，網路釣魚偵測器271將網路釣魚頁分類為一網路釣魚頁。 可能的係，網路釣魚站251可回應於錯誤身份碼返回一網路釣魚登入失敗頁，諸如，在網路釣魚站251經組態以自動拒絕一初始登入嘗試以避免偵測之情況。據此，網路釣魚偵測器271經組態以藉由查閱登入失敗頁資料庫272評估網路釣魚登入失敗頁。因為網路釣魚登入失敗頁係不合法的，故網路釣魚登入失敗頁在登入失敗頁資料庫272中不具有一對應登錄。據此，網路釣魚偵測器271將網路釣魚登入頁及網路釣魚登入失敗頁(及擴展至網路釣魚站251)分類為網路釣魚頁。作為回應，後端系統260故可通知防網路釣魚代理器262 (箭頭207)。防網路釣魚代理器262可藉由顯示一對應訊息、阻攔使用者將身份碼鍵入至網路釣魚登入頁中、阻攔來自網路釣魚站251之其他網頁之接收等回應資訊：網路釣魚登入頁係一網路釣魚頁。 鑑於前文內容，應瞭解，網路釣魚偵測器271之全部或部分功能性可由使用者電腦252上之防網路釣魚代理器262實施。例如，回應於偵測使用者電腦252正請求或接收一登入頁，防網路釣魚代理器262可防止使用者與登入頁互動、將錯誤身份碼鍵入至登入頁中、及基於供應登入頁之網站是否接受錯誤身份碼作為有效及網站是否回應於將錯誤身份碼登錄於登入頁中而供應一合法登入失敗頁評估網路釣魚之登入頁，如先前參考網路釣魚偵測器271所解釋。若登入頁被分類為合法，則防網路釣魚代理器262可允許使用者將其身份碼鍵入至登入頁中，或若登入頁被分類為一網路釣魚頁，則防網路釣魚代理器262可防止使用者與登入頁互動。在彼實施例中，防網路釣魚代理器262可查閱一本地或遠端登入失敗頁資料庫以識別合法登入失敗頁。 圖8展示根據本發明之一實施例之偵測網路釣魚之一方法之一流程圖。圖8之方法可由後端系統260及/或使用者電腦252藉由運行防網路釣魚代理器262及/或網路釣魚偵測器271結合一登入失敗頁資料庫272來執行。在不減損本發明之優點之情況下，亦可運用其他組件。 在圖8之實例中，於一使用者電腦上偵測一登入頁(步驟401)。可在由使用者電腦做出請求接收登入頁後或在登入頁呈現於運行於使用者電腦上之一網頁瀏覽器上時偵測登入頁。按照登入頁中之對應項目字段，一或多個錯誤身份碼經鍵入至登入頁中(步驟402)。例如，一錯誤使用者ID及/或一錯誤密碼可經鍵入至登入頁中。身份碼係錯誤的，在於其等不對應於一實際線上帳號。在一項實施例中，錯誤身份碼係隨機生成的。 在一項實施例中，圖8之方法可依其中由一後端系統鍵入錯誤身份碼之透明模式執行，或依其中由使用者電腦鍵入錯誤身份碼之公開模式執行。在圖8之實例中，在透明模式中，使用者電腦向後端系統提供登入頁之URL或其他網路位置識別符(步驟431)。後端系統依循URL以導航至登入頁(步驟432)並將錯誤身份碼鍵入至後端系統中所接收之登入頁中(步驟433)。在圖8之實例中，在公開模式中，使用者電腦防止使用者登入(步驟441)及將錯誤身份碼鍵入於登入頁中(步驟442)。 在圖8之實例中，使用者電腦中所接收之登入頁取決於一登入失敗頁是否回應於將錯誤信息登錄於登入頁中而供應至使用者電腦經分類為一網路釣魚頁(步驟403)。若使用者電腦中所接收之網頁非係一登入失敗頁(例如，而係接收一登入成功頁)，則登入頁及供應該登入頁之網站經分類為網路釣魚，即，進行一網路釣魚攻擊(步驟403至步驟404)。另一方面，若使用者電腦中所接收之網頁係一登入失敗頁，則登入失敗頁經評估以判定其是否係合法的(步驟403至步驟405)。若登入失敗頁非係合法的(例如，藉由查閱已知合法登入失敗頁之一資料庫)，則登入頁及供應該登入頁之網站經分類為網路釣魚(步驟405至步驟404)。否則，登入失敗頁經分類為合法(步驟405至步驟406)。 已揭示用於偵測網路釣魚之方法及系統。雖然已提供本發明之特定實施例，然應理解，此等實施例係出於圖解目的且非具限制性。閱讀本發明之熟習此項技術者將明白諸多額外實施例。

100‧‧‧電腦系統
101‧‧‧處理器
102‧‧‧使用者輸入裝置
103‧‧‧匯流排
104‧‧‧顯示監視器
105‧‧‧電腦網路介面
106‧‧‧資料儲存裝置
108‧‧‧主記憶體
109‧‧‧電腦網路
110‧‧‧防網路釣魚模組
201、202、203、204、205、206、207‧‧‧箭頭
250‧‧‧線上服務系統
251‧‧‧網路釣魚站
252‧‧‧使用者電腦
260‧‧‧後端系統
261‧‧‧網頁瀏覽器
262‧‧‧防網路釣魚代理器
271‧‧‧網路釣魚偵測器
272‧‧‧登入失敗頁資料庫
281‧‧‧其他網頁
282‧‧‧登入失敗頁
283‧‧‧登入頁
284‧‧‧網路釣魚頁
281-1‧‧‧網頁
281-2‧‧‧網頁
281-3‧‧‧網頁
320‧‧‧網頁
321‧‧‧網頁
382‧‧‧登入失敗頁
383‧‧‧登入頁
401‧‧‧步驟
402‧‧‧步驟
403‧‧‧步驟
404‧‧‧步驟
405‧‧‧步驟
406‧‧‧步驟
431‧‧‧步驟
432‧‧‧步驟
441‧‧‧步驟
442‧‧‧步驟

圖1展示根據本發明之一實施例之一電腦系統之一示意圖。 圖2展示根據本發明之一實施例之用於偵測網路釣魚之一系統之一流程圖。 圖3展示繪示依序供應之網頁之一邏輯圖。 圖4及圖5展示一實例線上服務提供者之網頁。 圖6及圖7分別展示一實例網路釣魚登入頁及一實例網路釣魚登入失敗頁。 圖8展示根據本發明之一實施例之偵測網路釣魚之一方法之一流程圖。 在不同圖式中使用相同元件符號指示相同或相似組件。

Claims (11)

1. 一種電腦實施方法，其包括：於一使用者電腦中偵測一線上服務之一登入頁；將來自該使用者電腦之已於該使用者電腦中偵測到該登入頁之一通知發送至一後端系統；由該後端系統使用經包含於該通知中之該登入頁之一網路位置識別符而在該後端系統中接收該登入頁；由該後端系統將一錯誤身份碼鍵入於該後端系統中所接收之該登入頁中以登入至該線上服務；在該後端系統中接收一登入失敗頁，該登入失敗頁指示使用該錯誤身份碼登入至該線上服務已失敗；由該後端系統藉由比較該登入失敗頁與合法登入失敗頁之一資料庫以判定該登入失敗頁不是一合法登入失敗頁；及回應於判定該登入失敗頁係非合法，避免身份碼被登入至該登入頁。
2. 如請求項1之電腦實施方法，進一步包括：回應於判定該登入失敗頁係非合法而通知該使用者電腦在該使用者電腦中所接收之該登入頁係一網路釣魚頁。
3. 如請求項1之電腦實施方法，其中該錯誤身份碼包括一錯誤使用者識別符(ID)。
4. 如請求項1之電腦實施方法，其中該錯誤身份碼包括一錯誤密碼。
5. 如請求項1之電腦實施方法，其中該錯誤身份碼係隨機生成的。
6. 如請求項1之電腦實施方法，其中該通知中所包含之該登入頁之該網路位置識別符係一統一資源定位符(URL)。
7. 一種用於電腦安全之系統，其包括：一使用者電腦，其經組態以接收一線上服務之一登入頁；及當該登入頁被分類為一網路釣魚頁時，避免一身份碼被登入至該登入頁；及一後端系統，其經組態以自該使用者電腦接收關於該登入頁之一通知；回應於接收該通知而在該後端系統中接收該登入頁，藉由將一錯誤身份碼鍵入於該後端系統中所接收之該登入頁中以登入至該線上服務；接收指示至該線上服務之該登入已失敗之一登入失敗頁；評估該登入失敗頁是否合法，以判定於該使用者電腦中接收之該登入頁是否係一網路釣魚頁；及當藉由比較該登入失敗頁與合法登入失敗頁之一資料庫而該登入失敗頁被偵測為非合法時，將該登入頁分類為一網路釣魚頁。
8. 如請求項7之系統，其中該使用者電腦及該後端系統透過網際網路通信。
9. 如請求項7之系統，其中該錯誤身份碼係一錯誤使用者識別符(ID)。
10. 如請求項7之系統，其中該錯誤身份碼係一錯誤密碼。
11. 如請求項7之系統，其中該錯誤身份碼係隨機生成的。