[发明专利]分布式撞库行为的检测方法、装置及计算机可读存储介质

权利要求书

1.一种分布式撞库行为的检测方法，其特征在于，包括：

根据待检测流量获取客户端访问数据；

解析所述客户端访问数据，获得访问数据特征；

将所述访问数据特征和撞库行为特征进行比较，并根据比较结果确定所述待检测流量中的分布式撞库行为。

2.根据权利要求1所述的方法，其特征在于，所述访问数据特征包括相同用户名在同一目的IP的登录失败次数；

所述将所述访问数据特征和撞库行为特征进行比较，并根据比较结果确定所述待检测流量中的分布式撞库行为，包括：

将第一统计时间段内，相同用户名在同一目的IP的登录失败次数与登陆失败次数阈值进行比较；

若所述第一统计时间段内，相同用户名在同一目的IP的登录失败次数大于所述登陆失败次数阈值，则确定所述待检测流量中存在待确认的分布式撞库行为。

3.据权利要求2所述的方法，其特征在于，所述访问数据特征还包括根据所述待确认的分布式撞库行为确定的IP列表中，相同源IP在相同访问时间的不同进程标识的个数；

所述将所述访问数据特征和撞库行为特征进行比较，并根据比较结果确定待检测流量中的分布式撞库行为，还包括：

对于所述待确认的分布式撞库行为，将相同源IP在相同访问时间的不同进程标识的个数与登陆进程数阈值进行比较；

若相同源IP在相同访问时间的不同进程标识的个数大于所述登陆进程数阈值，则确定所述待确认的分布式撞库行为为撞库行为。

4.根据权利要求1所述的方法，其特征在于，所述访问数据特征包括相同用户名在不同源IP发送的通信包大小；

所述将所述访问数据特征和撞库行为特征进行比较，并根据比较结果确定所述待检测流量中的分布式撞库行为，包括：

根据第二统计时间段内，相同用户名在不同源IP发送的通信包大小，计算通信包大小方差；

将所述通信包大小方差与预设的通信包大小方差阈值进行比较；

若所述通信包大小方差小于预设的通信包大小方差阈值，则确定所述待检测流量中存在分布式撞库行为。

5.一种分布式撞库行为的检测装置，其特征在于，包括：

第一获取模块，用于根据待检测流量获取客户端访问数据；

第二获取模块，用于解析所述客户端访问数据，获得访问数据特征；

确定模块，用于将所述访问数据特征和撞库行为特征进行比较，并根据比较结果确定所述待检测流量中的分布式撞库行为。

6.一种通信设备，包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序；其特征在于，

所述计算机程序被所述处理器执行时实现如权利要求1至4中任一项所述的方法中的步骤。

7.一种计算机可读存储介质，用于存储计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至4中任一项所述的方法中的步骤。