[发明专利]一种密码破解行为的拦截方法及系统

权利要求书

1.一种密码破解行为的拦截方法，其特征在于，包括：

获得云服务器侧的镜像数据流；

对获得的镜像数据流进行解析，筛选出符合指定协议格式的传输消息，以及基于筛选出的所有传输消息的传输方式，筛选出具有密码破解行为的攻击源IP地址；

确定攻击源IP地址对应的三元组信息，其中，所述三元组信息至少包含所述攻击源IP地址、目的IP地址以及源端口；在获得的镜像数据流中，将攻击源IP地址的三元组信息，与数据包的五元组信息进行匹配，抓取匹配成功的数据包，其中，一个数据包的五元组信息至少包含所述一个数据包的源IP地址、目的IP地址、源端口、目的端口和协议；基于抓取的数据包，分别向所述攻击源IP地址和相应的至少一台云服务器发送伪造数据包，用于阻断所述攻击源IP地址和相应的至少一台云服务器之间的连接。

2.如权利要求1所述的方法，其特征在于，对获得的镜像数据流进行解析，筛选出符合指定协议格式的传输消息，包括：

对获得的镜像数据流进行解析，基于所述指定协议格式，在镜像数据流中筛选出表征执行密码认证流程的传输消息。

3.如权利要求2所述的方法，其特征在于，在镜像数据流中筛选出用于表征密码认证流程的传输消息，包括：

在镜像数据流中筛选出用于表征触发密码认证的传输消息；

或/和

在镜像数据流中筛选出用于表征密码认证失败的传输消息。

4.如权利要求2所述的方法，其特征在于，基于筛选出的所有传输消息的传输方式，筛选出具有密码破解行为的攻击源IP地址，包括：

将筛选出的所有传输消息按照源IP地址进行分组；

筛选出符合以下规则的传输消息组：在设定时长内，传输消息组关联的云服务器的数目达到第一设定门限，且传输消息组内的传输消息总数目达到第二设定门限；

将筛选出的传输消息组对应的源IP地址判定为攻击源IP地址。

5.如权利要求1所述的方法，其特征在于，抓取匹配成功的数据包，包括：

在匹配成功的数据包中，抓取攻击源IP地址与云服务器建立TCP连接时，发送的握手信号SYN数据包；或/和，

在匹配成功的数据包中，抓取攻击源IP地址与云服务器建立TCP连接后，发送的传输信号数据包。

6.如权利要求1－5任一项所述的方法，其特征在于，基于抓取的任意一个数据包，分别向所述攻击源IP地址和相应的一台云服务器发送伪造数据包，阻断所述攻击源IP地址和所述一台云服务器之间的连接，包括：

确定所述任意一个数据包的当前序列号；

基于所述任意一个数据包的当前序列号以及所述任意一个数据包对应的协议格式，确定所述任意一个数据包的下一个数据包的第一序列号，以及确定所述任意一个数据包的响应数据包的第二序列号；

基于第一序列号生成第一伪造数据包，以及基于第二序列号生成第二伪造数据包；

将第一伪造数据包发往所述一台云服务器，以及将第二伪造数据包发往攻击源IP地址，通知所述攻击源IP地址和所述一台云服务器停止通信。

7.一种密码破解行为的拦截系统，其特征在于，包括：

获取模块，用于获得云服务器侧的镜像数据流；

解析模块，用于对获得的镜像数据流进行解析，筛选出符合指定协议格式的传输消息，以及基于筛选出的所有传输消息的传输方式，筛选出具有密码破解行为的攻击源IP地址；

阻断模块，用于确定攻击源IP地址对应的三元组信息，其中，所述三元组信息至少包含所述攻击源IP地址、目的IP地址以及源端口；在获得的镜像数据流中，将攻击源IP地址的三元组信息，与数据包的五元组信息进行匹配，抓取匹配成功的数据包，其中，一个数据包的五元组信息至少包含所述一个数据包的源IP地址、目的IP地址、源端口、目的端口和协议；基于抓取的数据包，分别向所述攻击源IP地址和相应的至少一台云服务器发送伪造数据包，阻断所述攻击源IP地址和相应的至少一台云服务器之间的连接。