[發明專利]一種發現IoT設備遭受入侵的方法及系統

在審

• 申請號: 201611235695.7
• 申請日: 2016-12-28
• 公開（公告）號: CN106790142A
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 任洪偉;李柏松
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種發現IoT設備遭受入侵的方法，其特征在于，包括：

查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵；

監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵；或者，

檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵。

2.如權利要求1所述的方法，其特征在于，所述查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵，具體為：

查看當前設備的系統登錄日志，判斷在一定時間段內是否存在超過預設頻率的失敗登錄日志，若不存在，則繼續監控，若存在則繼續判斷在失敗登錄日志后是否存在登錄成功的日志信息，若是則初步判定遭受入侵，否則繼續監控。

3.如權利要求1或2所述的方法，其特征在于，所述查看當前設備的系統登錄日志，包括：

查看telnet協議的系統登錄日志；或者，查看ssh協議的系統登錄日志。

4.如權利要求1所述的方法，其特征在于，所述監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵，具體為：

監控當前設備對外發起的網絡請求，若發現當前設備頻繁對外發送telnet協議或者ssh協議的登錄驗證請求，并且對外的登錄驗證請求涉及的賬號或者密碼不同，并返回大量錯誤信息，則判定當前設備遭受入侵并嘗試感染其他設備。

5.如權利要求1所述的方法，其特征在于，所述檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵，具體為：

檢測當前設備的22端口對應的ssh服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的23端口對應的telnet服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的80端口對應的web服務是否被篡改，若是則判定遭受入侵。

6.一種發現IoT設備遭受入侵的系統，其特征在于，包括：

登錄日志查看模塊，用于查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵；

網絡請求監控模塊，用于監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵；或者，

端口服務檢測模塊，用于檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵。

7.如權利要求6所述的系統，其特征在于，所述登錄日志查看模塊，具體用于：

查看當前設備的系統登錄日志，判斷在一定時間段內是否存在超過預設頻率的失敗登錄日志，若不存在，則繼續監控，若存在則繼續判斷在失敗登錄日志后是否存在登錄成功的日志信息，若是則初步判定遭受入侵，否則繼續監控。

8.如權利要求6或7所述的系統，其特征在于，所述查看當前設備的系統登錄日志，包括：

查看telnet協議的系統登錄日志；或者，查看ssh協議的系統登錄日志。

9.如權利要求6所述的系統，其特征在于，所述網絡請求監控模塊，具體用于：

監控當前設備對外發起的網絡請求，若發現當前設備頻繁對外發送telnet協議或者ssh協議的登錄驗證請求，并且對外的登錄驗證請求涉及的賬號或者密碼不同，并返回大量錯誤信息，則判定當前設備遭受入侵并嘗試感染其他設備。

10.如權利要求6所述的系統，其特征在于，所述端口服務檢測模塊，具體用于：

檢測當前設備的22端口對應的ssh服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的23端口對應的telnet服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的80端口對應的web服務是否被篡改，若是則判定遭受入侵。