[發(fā)明專利]攻擊檢測(cè)方法及裝置和計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010520494.1
• 申請(qǐng)日: 2020-06-08
• 公開(kāi)（公告）號(hào): CN111683095B
• 公開(kāi)（公告）日: 2023-05-12
• 發(fā)明（設(shè)計(jì)）人: 孟翔
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 深圳市世紀(jì)恒程知識(shí)產(chǎn)權(quán)代理事務(wù)所 44287
• 代理人: 徐進(jìn)之

1.一種攻擊檢測(cè)方法，其特征在于，所述攻擊檢測(cè)方法包括以下步驟：

獲取廣域網(wǎng)的中流量數(shù)據(jù)；

根據(jù)所述流量數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為，其中，所述信息搜集行為包括對(duì)所述廣域網(wǎng)中主機(jī)的信息搜集、對(duì)所述廣域網(wǎng)中服務(wù)器的信息搜集以及對(duì)所述廣域網(wǎng)中賬戶信息搜集中的至少一種；

在確定所述廣域網(wǎng)中發(fā)生信息搜集行為時(shí)，輸出攻擊提示信息；

所述根據(jù)所述流量數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為的步驟包括：

在所述流量數(shù)據(jù)中提取預(yù)設(shè)協(xié)議的數(shù)據(jù)，所述預(yù)設(shè)協(xié)議包括域名系統(tǒng)協(xié)議、服務(wù)器信息塊協(xié)議以及網(wǎng)絡(luò)認(rèn)證協(xié)議中的至少一個(gè)，所述屬性根據(jù)所述預(yù)設(shè)協(xié)議的數(shù)據(jù)確定；

根據(jù)預(yù)設(shè)協(xié)議的數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為；

所述根據(jù)預(yù)設(shè)協(xié)議的數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為的步驟包括：

從所述域名系統(tǒng)協(xié)議的數(shù)據(jù)中提取類型字段，若所述類型字段的值為第一預(yù)設(shè)值，確定所述廣域網(wǎng)中的服務(wù)器發(fā)生信息同步事件，并確定所述信息同步事件對(duì)應(yīng)的目的IP地址以及源IP地址；

根據(jù)所述目的IP地址以及所述源IP地址確定所述廣域網(wǎng)是否發(fā)生信息搜集行為。

2.如權(quán)利要求1所述的攻擊檢測(cè)方法，其特征在于，所述根據(jù)所述目的IP地址以及所述源IP地址確定所述廣域網(wǎng)是否發(fā)生信息搜集行為的步驟包括：

在所述目的IP地址為所述廣域網(wǎng)中的域名系統(tǒng)主服務(wù)器的地址，且所述源IP地址不為所述廣域網(wǎng)中的域名系統(tǒng)從服務(wù)器的地址的情況下，判定所述廣域網(wǎng)中發(fā)生信息搜集行為。

3.如權(quán)利要求1所述的攻擊檢測(cè)方法，其特征在于，所述預(yù)設(shè)協(xié)議包括服務(wù)器信息塊協(xié)議，所述根據(jù)預(yù)設(shè)協(xié)議的數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為的步驟包括：

確定所述服務(wù)器信息塊協(xié)議的數(shù)據(jù)中是否含有枚舉函數(shù)，其中，在所述服務(wù)器信息塊協(xié)議的數(shù)據(jù)中含有枚舉函數(shù)時(shí)，判定所述廣域網(wǎng)中發(fā)生信息搜集行為。

4.如權(quán)利要求1所述的攻擊檢測(cè)方法，其特征在于，所述預(yù)設(shè)協(xié)議包括服務(wù)器信息塊協(xié)議，所述根據(jù)預(yù)設(shè)協(xié)議的數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為的步驟包括：

在所述服務(wù)器信息塊協(xié)議的數(shù)據(jù)中確認(rèn)是否含有第二預(yù)設(shè)值，其中，在所述服務(wù)器信息塊協(xié)議的數(shù)據(jù)中含有第二預(yù)設(shè)值時(shí)，判定所述廣域網(wǎng)中發(fā)生信息搜集行為。

5.如權(quán)利要求1所述的攻擊檢測(cè)方法，其特征在于，所述預(yù)設(shè)協(xié)議包括網(wǎng)絡(luò)認(rèn)證協(xié)議，所述根據(jù)預(yù)設(shè)協(xié)議的數(shù)據(jù)的屬性，確定所述廣域網(wǎng)中是否發(fā)生信息搜集行為的步驟包括：

在所述網(wǎng)絡(luò)認(rèn)證協(xié)議的數(shù)據(jù)中確認(rèn)是否出現(xiàn)第二預(yù)設(shè)字段，其中，在所述網(wǎng)絡(luò)認(rèn)證協(xié)議的數(shù)據(jù)中出現(xiàn)第二預(yù)設(shè)字段時(shí)，判定所述廣域網(wǎng)中發(fā)生信息搜集行為。

6.如權(quán)利要求5所述的攻擊檢測(cè)方法，其特征在于，所述在所述網(wǎng)絡(luò)認(rèn)證協(xié)議的數(shù)據(jù)中確認(rèn)是否出現(xiàn)第二預(yù)設(shè)字段的步驟之后，還包括：

在所述網(wǎng)絡(luò)認(rèn)證協(xié)議的數(shù)據(jù)中出現(xiàn)第二預(yù)設(shè)字段時(shí)，確定所述第二預(yù)設(shè)字段的出現(xiàn)頻率是否大于或等于預(yù)設(shè)頻率，其中，在所述出現(xiàn)頻率大于或等于預(yù)設(shè)頻率時(shí)，判定所述廣域網(wǎng)中發(fā)生信息搜集行為。

7.一種攻擊檢測(cè)裝置，其特征在于，所述攻擊檢測(cè)裝置包括存儲(chǔ)器、處理器以及存儲(chǔ)在所述存儲(chǔ)器并可在所述處理器上運(yùn)行的攻擊檢測(cè)程序，所述攻擊檢測(cè)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1-5任一項(xiàng)所述的攻擊檢測(cè)方法的各個(gè)步驟。

8.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有攻擊檢測(cè)程序，所述攻擊檢測(cè)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1-6任一項(xiàng)所述的攻擊檢測(cè)方法的各個(gè)步驟。