[發明專利]一種發現IoT設備遭受入侵的方法及系統

在審

• 申請號: 201611235695.7
• 申請日: 2016-12-28
• 公開（公告）號: CN106790142A
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 任洪偉;李柏松
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及物聯網安全技術領域，尤其涉及一種發現IoT設備遭受入侵的方法及系統。

背景技術

隨著計算機網絡的發展，信息化技術也不斷的提高，而物聯網也是新一代信息技術的重要組成部分，也是“信息化”時代的重要發展階段，其英文名稱是：“Internet of things（IoT）”。物聯網的核心和基礎同樣也是依托于互聯網，并且是在互聯網基礎上延伸和擴展的網絡，其主要是物物相連的互聯網。物聯網通過智能感知、識別技術與普適計算等通信感知技術，廣泛應用于網絡的融合中，并以用戶體驗為基本核心。

物聯網的飛速發展，給人們帶來了更多的便利，帶來遍歷的同時也存在著諸多的安全隱患，被“有心人”利用物聯網設備的缺陷或漏洞發起攻擊。于2016年10月22日，發生了一起利用IoT設備(攝像頭)發起DDOS攻擊事件，導致大半個美國互聯網癱瘓。由于此次攻擊事件主要是使用“Mirai”僵尸網絡程序發起的攻擊，并且很多物聯網設備遭受入侵后，管理者無法發現自己的物聯網設備是否遭受攻擊。

發明內容

針對上述技術問題，本發明所述的技術方案通過監控物聯網設備內的系統登錄日志，初步判斷是否存在異常登錄日志，并進一步監控當前設備發出的網絡請求是否異常，若異常則判定遭受入侵。本發明解決了管理者通常無法及時發現當前設備被入侵的問題。

本發明采用如下方法來實現：一種發現IoT設備遭受入侵的方法，包括：

查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵；

監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵；或者，

檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵。

進一步地，所述查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵，具體為：

查看當前設備的系統登錄日志，判斷在一定時間段內是否存在超過預設頻率的失敗登錄日志，若不存在，則繼續監控，若存在則繼續判斷在失敗登錄日志后是否存在登錄成功的日志信息，若是則初步判定遭受入侵，否則繼續監控。

上述方法中，所述查看當前設備的系統登錄日志，包括：

查看telnet協議的系統登錄日志；或者，查看ssh協議的系統登錄日志。

進一步地，所述監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵，具體為：

監控當前設備對外發起的網絡請求，若發現當前設備頻繁對外發送telnet協議或者ssh協議的登錄驗證請求，并且對外的登錄驗證請求涉及的賬號或者密碼不同，并返回大量錯誤信息，則判定當前設備遭受入侵并嘗試感染其他設備。

進一步地，所述檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵，具體為：

檢測當前設備的22端口對應的ssh服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的23端口對應的telnet服務是否被篡改，若是則判定遭受入侵；或者，

檢測當前設備的80端口對應的web服務是否被篡改，若是則判定遭受入侵。

本發明可以采用如下系統來實現：一種發現IoT設備遭受入侵的系統，包括：

登錄日志查看模塊，用于查看當前設備的系統登錄日志，若一定時間段內存在超過預設頻率的失敗登錄日志并最終成功登錄，則初步判定遭受入侵；

網絡請求監控模塊，用于監控當前設備對外發起的網絡請求，若發現當前設備頻繁嘗試對外發送登錄驗證請求，則判定遭受入侵；或者，

端口服務檢測模塊，用于檢測當前設備的網絡端口服務，若預設端口的原始服務被篡改，則判定遭受入侵。

進一步地，所述登錄日志查看模塊，具體用于：

查看當前設備的系統登錄日志，判斷在一定時間段內是否存在超過預設頻率的失敗登錄日志，若不存在，則繼續監控，若存在則繼續判斷在失敗登錄日志后是否存在登錄成功的日志信息，若是則初步判定遭受入侵，否則繼續監控。

上述系統中，所述查看當前設備的系統登錄日志，包括：

查看telnet協議的系統登錄日志；或者，查看ssh協議的系統登錄日志。

進一步地，所述網絡請求監控模塊，具體用于：