[发明专利]一种暴力破解攻击检测方法、系统、设备及存储介质

说明书

本发明实施例公开了一种暴力破解攻击检测方法、系统、设备及存储介质，涉及网络安全技术领域，本发明实施例本发明实施例基于行为分析方法建立多段式暴力破解攻击行为模型，模型完整刻画了暴力破解攻击的整个过程，明确了攻击不同阶段的特点和检测要素，并通过总结攻击成功与攻击失败情况的不同行为要素，为确认攻击结果提供依据，解决了暴力破解攻击结果的判定问题。

技术领域

本发明涉及网络安全技术领域，具体涉及一种暴力破解攻击检测方法、系统、设备及存储介质。

背景技术

现有针对暴力破解攻击的检测和分析方法都只限于检测事件是否发生，至于暴力破解攻击是否成功现有方案都不能给出结果。尤其是加密协议下的暴力破解攻击事件，常规检测方法更是无法判断，无从分析。目前主要有以下两类检测方法和技术手段：一是监测网络流量、设定危险阈值，当出现大量可疑数据包超过阈值时认为攻击发生。二是进行特征匹配，当检测到数据包内容含有已知威胁特征时，判定暴力破解攻击发生。

现有技术的问题：

1、不能检测暴力破解攻击是否成功。现有技术方法由于检测时并未考虑攻击成功后的网络状态和攻击者行为变化，因此都不能检测暴力破解攻击是否成功。

2、流量阈值检测方法，监测网络流量变化情况，当发现网络中可疑流量超出设定阈值时，认为暴力破解攻击发生，存在的问题有：一是流量监测是对网络状态和数据信息的粗粒度检测，误报率高问题；二是不能识别进行了有意流量控制和隐藏的攻击，容易漏报；三是针对同一事件可能产生大量冗余告警，造成客户端告警信息冗余、条目众多、数量庞大；四是不能区分有效攻击和无效攻击，无法判断攻击是否成功。

3、特征分析检测方法，要对过往数据包的内容进行特征字符匹配，存在的问题有：一是检测效率低，正确匹配、输出分析结果需要花费的时间多，检测延迟大；二是字符匹配需要消耗较多计算资源，暴力破解攻击往往产生大量密集数据包，网络流量过大时如匹配不及时可能造成系统拥塞或崩溃。三是威胁特征是预先设定的，内容固定，容易被编码扰乱或变形绕过。四是无法检测加密协议和加密流量的暴力破解攻击。

发明内容

本发明实施例的目的在于提供一种暴力破解攻击检测方法、系统、设备及存储介质，用以解决现有技术由于检测时并未考虑攻击成功后的网络状态和攻击者行为变化导致无法检测暴力破解攻击是否成功的问题。

为实现上述目的，本发明实施例提供了一种暴力破解攻击检测方法，所述方法包括：建立多段式暴力破解攻击行为模型；基于多段式暴力破解攻击行为模型从加密协议下暴力破解攻击的完整攻击过程出发，将攻击过程细分为三个阶段：攻击启动阶段、攻击进行阶段、攻击结束阶段；每个阶段根据暴力破解攻击针对的不同加密协议，从协议原理、攻击行为、流量特点方面多角度刻画攻击不同阶段的数据指征，同时区分攻击成功和攻击失败两种不同情况下的行为事件；及依据事件与攻击结果关系确定暴力破解攻击是否成功。

进一步地，所述攻击启动阶段定义为攻击者发起初始连接请求，所述攻击启动阶段为加密通道尚未建立的阶段，所述攻击启动阶段的行为要素通过数据包分析获取。

进一步地，所述攻击进行阶段定义为暴力破解攻击不断尝试爆破的过程，所述攻击进行阶段的数据为加密传输的数据，所述多段式暴力破解攻击行为模型从攻击行为角度定义所述攻击启动阶段的行为要素，所述攻击进行阶段的行为要素包括：端口特征、时间向量特征、频率特征、网络流量、数据包大小、源/目的IP地址。

进一步地，所述攻击结束阶段的数据为密文传输的数据，所述攻击结束阶段的行为要素包括：登录间隔、在线时间和数据包大小。

进一步地，所述确定暴力破解攻击是否成功包括：在对暴力破解攻击各阶段进行行为特征刻画时，通过知识工程方法建立一套初始规则集，所述初始规则集包括：已知的主要加密协议类集合、可监测的行为指征集合、数据约束集合和权值集合；及数据约束集合与权值集合进行积运算，得到暴力破解指征值，当暴力破解指征值符合落入危险区域，认为攻击成功。