[發(fā)明專利]暴力破解攻擊的檢測(cè)方法和相關(guān)裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201711365840.8
• 申請(qǐng)日: 2017-12-18
• 公開（公告）號(hào): CN109936545B
• 公開（公告）日: 2020-07-24
• 發(fā)明（設(shè)計(jì)）人: 楊多
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京龍雙利達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11329
• 代理人: 陳洪艷;王君

1.一種暴力破解攻擊的檢測(cè)方法，其特征在于，包括：

網(wǎng)絡(luò)設(shè)備獲取客戶端與服務(wù)器之間待檢測(cè)的鏡像流量；

所述網(wǎng)絡(luò)設(shè)備根據(jù)所述待檢測(cè)的鏡像流量獲取第一會(huì)話信息序列，所述第一會(huì)話信息序列包括多個(gè)會(huì)話信息，所述多個(gè)會(huì)話信息與所述客戶端通過所述待檢測(cè)的鏡像流量向所述服務(wù)器發(fā)起的多次登錄會(huì)話一一對(duì)應(yīng)，所述多個(gè)會(huì)話信息在所述第一會(huì)話信息序列中的排列順序與所述多次登錄會(huì)話發(fā)生的時(shí)間先后順序一致；

所述網(wǎng)絡(luò)設(shè)備將所述第一會(huì)話信息序列作為第一馬爾科夫鏈，并獲取所述第一馬爾科夫鏈的狀態(tài)鏈概率值，其中，所述第一會(huì)話信息序列中的每一個(gè)會(huì)話信息作為所述第一馬爾科夫鏈中的一個(gè)狀態(tài)；

所述網(wǎng)絡(luò)設(shè)備根據(jù)所述第一馬爾科夫鏈的狀態(tài)鏈概率值和第一基準(zhǔn)概率值，確定所述多次登錄會(huì)話是否為暴力破解攻擊，所述第一基準(zhǔn)概率值用于識(shí)別暴力破解攻擊。

2.根據(jù)權(quán)利要求1所述的檢測(cè)方法，其特征在于，所述每一個(gè)會(huì)話信息為對(duì)應(yīng)的登錄會(huì)話中攜帶用戶名和密碼的報(bào)文的長(zhǎng)度和攜帶認(rèn)證結(jié)果的報(bào)文的長(zhǎng)度之和。

3.根據(jù)權(quán)利要求1所述的檢測(cè)方法，其特征在于，所述網(wǎng)絡(luò)設(shè)備根據(jù)所述第一馬爾科夫鏈的狀態(tài)鏈概率值和第一基準(zhǔn)概率值，確定所述多次登錄會(huì)話是否為暴力破解攻擊，包括：

若所述第一馬爾科夫鏈的狀態(tài)鏈概率值小于或等于所述第一基準(zhǔn)概率值，則所述網(wǎng)絡(luò)設(shè)備確定所述多次登錄會(huì)話為暴力破解攻擊；或

若所述第一馬爾科夫鏈的狀態(tài)鏈概率值與所述第一基準(zhǔn)概率值的差值小于或等于預(yù)先配置的閾值，則所述網(wǎng)絡(luò)設(shè)備確定所述多次登錄會(huì)話為暴力破解攻擊。

4.根據(jù)權(quán)利要求1至3中任一項(xiàng)所述的檢測(cè)方法，其特征在于，所述第一馬爾科夫鏈的狀態(tài)鏈概率值是根據(jù)所述第一馬爾科夫鏈的初始概率值和所述第一馬爾科夫鏈的轉(zhuǎn)移概率值確定的；

所述網(wǎng)絡(luò)設(shè)備獲取客戶端與服務(wù)器之間待檢測(cè)的鏡像流量之前，所述檢測(cè)方法還包括：

所述網(wǎng)絡(luò)設(shè)備獲取所述客戶端與所述服務(wù)器之間歷史的鏡像流量；

所述網(wǎng)絡(luò)設(shè)備根據(jù)所述歷史的鏡像流量獲取第二會(huì)話信息序列，所述第二會(huì)話信息序列包括多個(gè)歷史會(huì)話信息，所述多個(gè)歷史會(huì)話信息與所述客戶端通過所述歷史的鏡像流量向所述服務(wù)器發(fā)起的多次歷史登錄會(huì)話一一對(duì)應(yīng)，所述多個(gè)歷史會(huì)話信息在所述第二會(huì)話信息序列中的排列順序與所述多次歷史登錄會(huì)話發(fā)生的時(shí)間先后順序一致，并且所述多次歷史登錄會(huì)話為暴力破解攻擊；

所述網(wǎng)絡(luò)設(shè)備將所述第二會(huì)話信息序列作為第二馬爾科夫鏈，并獲取所述第二馬爾科夫鏈的初始概率值和所述第二馬爾科夫鏈的轉(zhuǎn)移概率值，其中，將所述第二會(huì)話信息序列中的每一個(gè)歷史會(huì)話信息作為所述第二馬爾科夫鏈中的一個(gè)狀態(tài)；

所述網(wǎng)絡(luò)設(shè)備確定所述第一馬爾科夫鏈的初始概率值為所述第二馬爾科夫鏈的初始概率值，所述第一馬爾科夫鏈的轉(zhuǎn)移概率值為所述第二馬爾科夫鏈的轉(zhuǎn)移概率值。

5.根據(jù)權(quán)利要求4所述的檢測(cè)方法，其特征在于，所述網(wǎng)絡(luò)設(shè)備獲取客戶端與服務(wù)器之間待檢測(cè)的鏡像流量之前，所述檢測(cè)方法還包括：

所述網(wǎng)絡(luò)設(shè)備獲取所述第二馬爾科夫鏈的狀態(tài)鏈概率值；

所述網(wǎng)絡(luò)設(shè)備根據(jù)所述第二馬爾科夫鏈的狀態(tài)鏈概率值確定所述第一基準(zhǔn)概率值。

6.根據(jù)權(quán)利要求1至3中任一項(xiàng)所述的檢測(cè)方法，其特征在于，所述網(wǎng)絡(luò)設(shè)備根據(jù)所述第一馬爾科夫鏈的狀態(tài)鏈概率值和所述第一基準(zhǔn)概率值，確定所述多次登錄會(huì)話為暴力破解攻擊的情況下，所述檢測(cè)方法還包括：

所述網(wǎng)絡(luò)設(shè)備根據(jù)第二基準(zhǔn)概率值和所述第一馬爾科夫鏈的狀態(tài)鏈概率值，確定所述多次登錄會(huì)話發(fā)起的暴力破解攻擊是否攻擊成功，所述第二基準(zhǔn)概率值用于識(shí)別攻擊成功的暴力破解攻擊。