[发明专利]一种识别恶意代码弱口令入侵行为的方法及系统

说明书

本发明公开了一种识别恶意代码弱口令入侵行为的方法及系统，包括：获取网络通信行为中的网络通信数据，所述网络通信数据包括通信IP、通信端口、通信内容；对所述网络通信数据进行统计分类，产生统计分类数据；基于所述统计分类数据，依据识别规则对恶意代码中存在的弱口令入侵行为进行识别。解决现有技术中对未知入侵行为检测效果有限的技术问题。

技术领域

本发明涉及计算机网络安全技术领域，更具体地涉及一种识别恶意代码弱口令入侵行为的方法及系统。

背景技术

纵观近年来网络安全事件，一类专门被用于弱密码爆破来实现入侵用户机器的入侵技术，越来越被黑客或攻击者利用。

Windows系统、Linux系统等PC端和服务器，ARM、MIPS等架构的各类设备，以及IoT设备等，这些设备遍布各处，组成一个巨大的网络环境。这些都已成为黑客或攻击者的入侵目标，同时这些设备中，很多都存在弱密码用户，所以仅需要进行弱密码爆破入侵，就能够入侵大批量的设备。

而当前，有关识别恶意代码弱口令入侵行为的方式主要参照现有的入侵检测技术，主要是基于特征(或标识)的检测技术和基于异常的检测技术。特征检测对于已知的入侵行为有很好的检测效果，但其需要一个知识库并持续维护，且对未知入侵行为却效果有限；异常检测的核心在于如何定义所谓的“正常”情况，无法检测以伪装“正常”情况的入侵方式，同时对未知情况的入侵方式检测效果有限。

上述的入侵检测方法用于识别恶意代码是否具备弱口令入侵功行为，也会存在这些技术缺陷，所以对于入侵检测，需要有一些新的检测方法或技术来完善当前的入侵检测技术。

发明内容

为了解决上述技术问题，提供了根据本发明的一种识别恶意代码弱口令入侵行为的方法及系统。

根据本发明的第一方面，提供了一种识别恶意代码弱口令入侵行为的方法。该方法包括：获取网络通信行为中的网络通信数据，所述网络通信数据包括通信IP、通信端口、通信内容；对所述网络通信数据进行统计分类，产生统计分类数据；基于所述统计分类数据，依据识别规则对恶意代码中存在的弱口令入侵行为进行识别；所述识别规则包括以下任意两项：任一个IP连接不少于一种服务端口；同一端口的IP不少于5；发送的数据包含超级用户、管理员用户名称信息；发送统计学常规密码；对所述弱口令入侵行为的通信数据进行统计分析，获取弱口令入侵行为的统计分析数据；基于所述弱口令入侵行为的统计分析数据获取所述弱口令入侵行为的情报数据。

在一些实施例中，所述对网络所述网络通信数据进行统计分类，产生统计分类数据，包括：

访问同一个IP时，统计其对应的端口的数量；

访问同一个端口时，统计其对应的IP的数量；

发送的通信内容中，统计包含的用户名称信息；

发送的通信内容中，统计包含的登录密码类信息。

在一些实施例中，方法包括：所述情报数据包括目标端口、破解密码、目标设备、目标用户的信息。

在一些实施例中，所述基于所述弱口令入侵行为的统计分析数据获取所述弱口令入侵行为的情报数据，包括：提取在所述弱口令入侵行为的服务端口中出现的新被利用的端口；提取和统计通信内容中包含的密码数据，获取新被利用于弱口令入侵的破解密码；提取和统计被入侵的设备种类，通过所述通信端口和通信内容中包含的设备信息，判别目标设备的类型；提取被入侵的目标用户的IP地址信息。

根据本发明的第二方面，提供一种识别恶意代码弱口令入侵行为的系统，包括：获取模块，用于获取网络通信行为的网络通信数据，所述网络通信数据包括通信IP、通信端口、通信内容；统计分类模块，用于对所述网络通信数据进行统计分类，产生统计分类数据；识别模块，用于基于所述统计分类数据，依据识别规则对恶意代码中存在的弱口令入侵行为进行识别；所述识别规则包括以下任意两项：