[發明專利]用于識別暴力破解密碼行為的方法和裝置

有效

• 申請號: 202010324866.3
• 申請日: 2020-04-23
• 公開（公告）號: CN111355750B
• 公開（公告）日: 2022-11-08
• 發明（設計）人: 張虎
• 申請（專利權）人: 京東科技控股股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京英賽嘉華知識產權代理有限責任公司 11204
• 代理人: 王達佐;馬曉亞

1.一種用于識別暴力破解密碼行為的方法，包括：

響應于檢測到客戶端發出的登錄請求，獲取客戶端與服務端信息傳輸的報文的流特征，所述流特征包括報文的流方向；

響應于未在客戶端發出登錄請求之后的第一預設時間段內檢測到具有相同流方向的兩條相鄰報文，確定所述客戶端發生暴力破解密碼的行為，所述第一預設時間段是從所述客戶端發起登錄請求開始計算，涵蓋了信息交互中的建立TCP連接進程、SSH版本信息校驗進程、密鑰協商進程以及認證進程；

響應于確定所述客戶端發生暴力破解密碼的行為，基于所述流特征，生成報警信息，并發送所述報警信息。

2.根據權利要求1所述的方法，其中，所述方法還包括：

基于所述流特征，確定所述報文對應的信息交互的進程；以及根據所述報文對應的信息交互的進程確定所述客戶端的登錄行為。

3.根據權利要求2所述的方法，其中，所述根據所述報文對應的信息交互的進程確定所述客戶端的登錄行為，包括：

響應于根據所述報文對應的信息交互的進程確定在客戶端發出登錄請求之后所述信息交互的認證進程已開啟，且未在認證進程已開啟之后的第二預設時間段內檢測到具有相同流方向的兩條相鄰報文，確定所述客戶端發生暴力破解密碼的行為。

4.根據權利要求3所述的方法，其中，所述流特征還包括：字節數和加密狀態；以及，所述基于所述流特征，確定所述報文對應的信息交互的進程，包括：

響應于檢測到字節數相同且流方向相反的相鄰兩條加密報文，確定所述信息交互的認證進程開啟。

5.根據權利要求2所述的方法，所述基于所述流特征，確定所述報文對應的信息交互的進程，包括：

響應于在客戶端發出登錄請求之后的第一預設時間段內檢測到存在兩條相鄰報文均由客戶端發向服務端，或者在客戶端發出登錄請求之后的第一預設時間段內檢測到存在兩條相鄰報文均由服務端發向客戶端，確定所述信息交互的認證進程已完成；以及

所述根據所述報文對應的信息交互的進程確定所述客戶端的登錄行為，包括：

響應于確定所述信息交互的認證進程已完成，確定所述客戶端的登錄行為合法。

6.一種用于識別暴力破解密碼行為的裝置，包括：

特征獲取單元，被配置成響應于檢測到客戶端發出的登錄請求，獲取客戶端與服務端信息傳輸的報文的流特征，所述流特征包括報文的流方向；

行為識別單元，被配置成響應于未在客戶端發出登錄請求之后的第一預設時間段內檢測到具有相同流方向的兩條相鄰報文，確定所述客戶端發生暴力破解密碼的行為，所述第一預設時間段是從所述客戶端發起登錄請求開始計算，涵蓋了信息交互中的建立TCP連接進程、SSH版本信息校驗進程、密鑰協商進程以及認證進程；

報警單元，被配置成響應于確定所述客戶端發生暴力破解密碼的行為，基于所述流特征，生成報警信息，并發送所述報警信息。

7.根據權利要求6所述的裝置，其中，所述行為識別單元還被配置成：

基于所述流特征，確定所述報文對應的信息交互的進程；以及根據所述報文對應的信息交互的進程確定所述客戶端的登錄行為。

8.根據權利要求7所述的裝置，其中，所述行為識別單元被進一步配置成通過如下方式確定所述客戶端的登錄行為：

響應于根據所述報文對應的信息交互的進程確定在客戶端發出登錄請求之后所述信息交互的認證進程已開啟，且未在認證進程已開啟之后的第二預設時間段內檢測到具有相同流方向的兩條相鄰報文，確定所述客戶端發生暴力破解密碼的行為。

9.根據權利要求8所述的裝置，其中，所述流特征還包括：字節數和加密狀態；以及，所述行為識別單元被配置成通過如下方式確定所述報文對應的信息交互的進程：

響應于檢測到字節數相同且流方向相反的相鄰兩條加密報文，確定所述信息交互的認證進程開啟。