[發明專利]用于使用客戶端蜜標檢測先進攻擊者的系統以及方法

有效

• 申請號: 201680074043.1
• 申請日: 2016-12-28
• 公開（公告）號: CN108370381B
• 公開（公告）日: 2020-12-29
• 發明（設計）人: T·A·貝瑞;I·格拉迪
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華

1.一種計算機實現方法，用于檢測使用網絡中用戶的憑證以獲得認證來訪問服務提供服務器的惡意嘗試，所述方法由分析所述網絡上傳輸的分組的惡意事件檢測服務器分組來執行，所述方法包括：

經由網絡監測設備，監測所述網絡上傳輸的所述分組來標識至少一個登錄憑證，所述登錄憑證包括與獲得認證來訪問所述服務提供服務器的嘗試相關聯的密碼；

分析所述至少一個密碼來確定接收的所述密碼是否與無效登錄憑證匹配，所述無效登錄憑證包括包含在蜜標憑證集合中的無效蜜標密碼，其中所述蜜標憑證集合包括所述用戶的無效蜜標密碼以及包括所述用戶的用戶名的有效登錄憑證，其中所述無效蜜標密碼對于訪問所述服務提供服務器的所述用戶的認證無效并且有效用戶名對于訪問所述服務提供服務器的所述用戶的認證有效；

其中包括所述用戶的所述無效蜜標密碼以及所述用戶的所述有效用戶名的所述蜜標憑證集合通過由管理服務器在所述網絡上分發的蜜標憑證存儲碼被存儲在客戶端終端的本地存儲器上；

其中與所述客戶端終端的所述本地存儲器上存儲的所述有效用戶名對應的所述用戶的所述無效蜜標密碼不同于與安全認證服務器上存儲的所述用戶的所述有效用戶名對應的有效密碼，所述安全認證服務器根據所述有效用戶名和所述有效密碼執行用于訪問所述服務提供服務器的所述用戶的認證；

當接受的所述登錄憑證匹配所述蜜標憑證集合中的所述無效登錄憑證時，標識惡意事件；以及

輸出惡意事件指示，其觸發由所述惡意事件檢測服務器進行的安全進程。

2.根據權利要求1所述的計算機實現方法，進一步包括：

接收與獲得認證以訪問所述服務提供服務器的所述嘗試相關聯的第二登錄憑證；

分析所述第二登錄憑證來確定接收的所述第二登錄憑證是否與被存儲在與存儲的所述蜜標憑證集合相關聯的所述客戶端終端的所述本地存儲器的所述有效登錄憑證相匹配；并且

其中標識進一步包括當所述第二登錄憑證匹配所述有效登錄憑證時標識所述惡意事件。

3.根據權利要求1所述的計算機實現方法，進一步包括：

基于至少一個傳輸的分組的分析來標識登錄失敗事件，其中所述登錄失敗事件表示了所述用戶獲得認證來在所述網絡上遠程登錄訪問所述服務提供服務器的失敗；并且

其中所述登錄憑證與標識的所述登錄失敗事件相關聯。

4.根據權利要求1所述的計算機實現方法：

其中獲得認證來訪問所述服務提供服務器的所述嘗試包括由Kerberos服務器拒絕認證由所述客戶端終端傳輸的認證服務請求(AS-REQ)；

其中接收的所述登錄憑證包括用于在所述AS-REQ中加密時間戳的密碼；

其中所述蜜標憑證集合包括作為有效登錄憑證的蜜標密碼；以及進一步包括：

使用所述蜜標密碼解密在所述AS-REQ中加密的時間戳；以及

當所述蜜標密碼成功解密所述時間戳時標識所述惡意事件，所述蜜標密碼成功解密所述時間戳指示所述時間戳使用與所述蜜標密碼相匹配的所述密碼來被加密。

5.根據權利要求1所述的計算機實現方法：

其中獲得認證來訪問所述服務提供服務器的所述嘗試包括NT LAN管理(NTLM)服務器拒絕認證對于由所述客戶端終端傳輸的質詢的響應；

其中接收的所述登錄憑證包括用于加密從所述NTLM服務器接收的所述質詢的用戶密碼的散列；

其中所述蜜標憑證集合的所述無效登錄憑證包括所述用戶密碼的蜜標散列；以及

進一步包括：

通過使用所述蜜標散列加密所述質詢來計算對所述質詢的響應；以及

當使用所述蜜標散列加密的所述質詢與由所述客戶端終端傳輸的使用所述用戶密碼的所述散列加密的所述質詢匹配時，標識所述惡意事件。

6.根據權利要求1所述的計算機實現方法，進一步包括通過從定義用于存儲所述登錄憑證的字段明文提取，來從至少一個網絡業務分組中提取所述登錄憑證，所述至少一個網絡業務分組與獲得認證來訪問所述服務提供服務器的所述嘗試相關聯。