CN105376210B - 一种账户威胁识别和防御方法及系统 - Google Patents

Abstract

本发明提供了一种账户威胁识别和防御方法及系统，所述方法具体为根据收到的数据包，判断其是否为登陆请求，如果是登陆请求，则标记所述网络连接并放行数据包，如果是服务器反馈的信息，则判断其是否为登陆正确的信息，如果登陆正确，则放行所述数据包，否则判断其是否满足恶意判定的条件，如果满足，则单项断开数据库与客户端的连接，并代理建立客户端与蜜罐服务器之间的连接。通过本发明的方法，能够及时发现恶意登陆服务器的行为，并将其代理定向到蜜罐服务器，在不打断当前连接的情况下，使攻击者在蜜罐中进行操作，保护当前服务器的同时，能够记录攻击者的行为。

Description

一种账户威胁识别和防御方法及系统

技术领域

本发明涉及网络安全领域，特别涉及一种账户威胁识别和防御方法及系统。

背景技术

当前网络攻击方法中，基于系统帐户的攻击是一种常见的攻击手段。用户的业务系统往往存在多种管理上的问题，如配置了弱口令、随意明文保存或传输密码、公开场合口述相传告知密码等问题。开发人员的安全意识不足，导致系统存在注入漏洞，口令明文存储漏洞等多种系统自身的安全隐患。一旦攻击者掌握了帐户及口令，其登录过程也属于理论上的正常行为，防火墙等产品也无能为力。

在系统层面上，口令被反复探测是无法避免的，尤其是在现在密码字典在网上随处可得，用户名可被轻松猜到的情况下。一般只能通过管理手段强制解决，但其成本极高，而且攻击者的长期潜伏不定期的攻击而加大了检测的难度。

而应用级蜜罐可以从侧面上吸引攻击者的行为并留下操作证据，对于利用系统漏洞的攻击行为，可以达到非常有效的检测能力。但登录过程的帐户暴力破解过程，对于系统来说，由于其属于正常的业务行为，所以无法被蜜罐所识别为恶意行为。

发明内容

基于上述问题，本发明提出一种账户威胁识别和防御方法及系统，在应用级蜜罐基础上，在客户端与服务器之间的网络流上检测登录过程的有效性，一经发现攻击行为，即将流量转入到蜜罐系统中，从而完成攻击者行为的采样和取证。

一种账户威胁识别和防御方法，包括：蜜罐账户信息建立过程及账户威胁识别过程；

所述蜜罐账户信息建立过程包括：

获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

修改所述账户名对应的密码为弱口令，并保存到蜜罐中；弱口令可保证攻击者在进行少量尝试即可满足登陆蜜罐的需要；

所述账户威胁识别过程包括：

步骤a，接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则执行步骤b；

步骤b，判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则执行步骤c；

步骤c，判断所述数据包的网络连接是否为被标记的网络连接，如果是，则继续执行步骤d，否则放行所述数据包到服务器；

步骤d，判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包，并取消所述数据包的网络连接的标记，否则执行步骤e；

步骤e，判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则执行步骤f，否则放行所述数据包；

步骤f，单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。断开连接可通过发送fin或reset数据包。

所述的方法中，所述账户名对应密码数量不小于1。

所述的方法中，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

所述的方法中，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

所述的方法中，还包括：代理客户端与蜜罐之间数据包的过滤和转发。

一种账户威胁识别和防御系统，包括：蜜罐服务器及账户威胁识别代理模块；

所述蜜罐服务器用于：

获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

修改所述账户名对应的密码为弱口令，并保存到蜜罐中；

所述账户威胁识别代理模块包括：

数据接收子模块，用于接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则进入登陆判断子模块；

登陆判断子模块，用于判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则进入标记判断子模块；

标记判断子模块，用于判断所述数据包的网络连接是否为被标记的网络连接，如果是，则进入登陆确认子模块，否则放行所述数据包到服务器；

登陆确认子模块，用于判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包，并取消所述数据包的网络连接的标记，否则进入恶意登陆判断子模块；

恶意登陆判断子模块，用于判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则进入连接处理子模块，否则放行所述数据包；

连接处理子模块，用于单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。

所述的系统中，所述账户名对应密码数量不小于1。

所述的系统中，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

所述的系统中，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

所述的系统中，还包括：代理客户端与蜜罐之间数据包的过滤和转发。

通过本发明的方法及系统，能够在不修改当前业务系统服务器的前提下，检测攻击者的账户探测和暴力破解账户密码行为；并且通过将恶意流量重定向到蜜罐系统中，可以更好的保护当前业务系统服务器的同时，从蜜罐中记录攻击者的行为。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明账户威胁识别和防御方法蜜罐建立过程流程图；

图2为本发明账户威胁识别和防御方法账户威胁识别过程流程图；

图3为本发明账户威胁识别和防御系统结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

基于上述问题，本发明提出一种账户威胁识别和防御方法及系统，在应用级蜜罐基础上，在客户端与服务器之间的网络流上检测登录过程的有效性，一经发现攻击行为，即将流量转入到蜜罐系统中，从而完成攻击者行为的采样和取证。

一种账户威胁识别和防御方法，包括：蜜罐账户信息建立过程及账户威胁识别过程；

所述蜜罐账户信息建立过程如图1所示包括：

S101：获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

S102：修改所述账户名对应的密码为弱口令，并保存到蜜罐中；弱口令可保证攻击者在进行少量尝试即可满足登陆蜜罐的需要；

举例来说明，所述获取带保护服务器的账户信息可以为，在蜜罐账户信息建立过程中，识别系统登录服务器过程中需要检验的账户信息，其中可以包括账户所在数据表或试图，并将其结构复制到蜜罐数据库中。

所述账户威胁识别过程如图2所示，包括：

S201，接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则执行S202；

S202，判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则执行S203；

S203，判断所述数据包的网络连接是否为被标记的网络连接，如果是，则继续执行S204，否则放行所述数据包到服务器；

S204，判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包到服务器，并取消所述数据包的网络连接的标记，否则执行S205；

S205，判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则执行S206，否则放行所述数据包到服务器；

S206，单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。断开连接可通过发送fin或reset数据包。

所述的方法中，所述账户名对应密码数量不小于1。

所述的方法中，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

所述的方法中，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

所述的方法中，还包括：代理客户端与蜜罐之间数据包的过滤和转发。

一种账户威胁识别和防御系统，如图3所示，包括：蜜罐服务器301及账户威胁识别代理模块302；

所述蜜罐服务器用于：

获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

修改所述账户名对应的密码为弱口令，并保存到蜜罐中；

所述账户威胁识别代理模块包括：

数据接收子模块302-1，用于接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则进入登陆判断子模块；

登陆判断子模块302-2，用于判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则进入标记判断子模块；

标记判断子模块302-3，用于判断所述数据包的网络连接是否为被标记的网络连接，如果是，则进入登陆确认子模块，否则放行所述数据包到服务器；

登陆确认子模块302-4，用于判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包，并取消所述数据包的网络连接的标记，否则进入恶意登陆判断子模块；

恶意登陆判断子模块302-5，用于判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则进入连接处理子模块，否则放行所述数据包；

连接处理子模块302-6，用于单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。

所述的系统中，所述账户名对应密码数量不小于1。

所述的系统中，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

所述的系统中，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

所述的系统中，还包括：代理客户端与蜜罐之间数据包的过滤和转发。

通过本发明的方法及系统，能够在不修改当前业务系统服务器的前提下，检测攻击者的账户探测和暴力破解账户密码行为；并且通过将恶意流量重定向到蜜罐系统中，可以更好的保护当前业务系统服务器的同时，从蜜罐中记录攻击者的行为。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims (10)

1.一种账户威胁识别和防御方法，其特征在于，包括：蜜罐账户信息建立过程及账户威胁识别过程；

所述蜜罐账户信息建立过程包括：

获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

修改所述账户名对应的密码为弱口令，并保存到蜜罐中；

所述账户威胁识别过程包括：

步骤a，接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则执行步骤b；

步骤b，判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则执行步骤c；

步骤c，判断所述数据包的网络连接是否为被标记的网络连接，如果是，则继续执行步骤d，否则放行所述数据包到服务器；

步骤d，判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包到服务器，并取消所述数据包的网络连接的标记，否则执行步骤e；

步骤e，判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则执行步骤f，否则放行所述数据包到服务器；

步骤f，单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。

2.如权利要求1所述的方法，其特征在于，所述账户名对应密码数量不小于1。

3.如权利要求1所述的方法，其特征在于，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

4.如权利要求1所述的方法，其特征在于，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

5.如权利要求1所述的方法，其特征在于，还包括：代理客户端与蜜罐之间数据包的过滤和转发。

6.一种账户威胁识别和防御系统，其特征在于，包括：蜜罐服务器及账户威胁识别代理模块；

所述蜜罐服务器用于：

获取待保护服务器的账户信息，所述账户信息包括账户名及对应密码；

修改所述账户名对应的密码为弱口令，并保存到蜜罐中；

所述账户威胁识别代理模块包括：

数据接收子模块，用于接收客户端的网络数据包，并判断是否为建立初始连接请求，如果是，则放行所述数据包到服务器，否则进入登陆判断子模块；

登陆判断子模块，用于判断所述数据包是否为系统登录请求，如果是，则放行所述数据包到服务器，并标记所述数据包的网络连接，否则进入标记判断子模块；

标记判断子模块，用于判断所述数据包的网络连接是否为被标记的网络连接，如果是，则进入登陆确认子模块，否则放行所述数据包到服务器；

登陆确认子模块，用于判断所述数据包是否为服务器返回的登录正确的信息，如果是，则放行所述数据包到服务器，并取消所述数据包的网络连接的标记，否则进入恶意登陆判断子模块；

恶意登陆判断子模块，用于判断所述数据包的网络连接是否符合恶意登录判定规则，如果是，则进入连接处理子模块，否则放行所述数据包到服务器；

连接处理子模块，用于单向断开数据库与客户端的连接，并修改服务器返回的信息，并代理建立客户端与蜜罐服务器的网络连接。

7.如权利要求6所述的系统，其特征在于，所述账户名对应密码数量不小于1。

8.如权利要求6所述的系统，其特征在于，所述恶意登录判定规则包括：

系统登录请求中的账户名与服务器账户列表中的账户名均不相同，或相似度低于预设值；或

系统登录请求中的账户名与服务器账户表中的账户名相同，但密码不匹配超过预设次数；或

同一账户名在预设时间内登录超过预设次数。

9.如权利要求6所述的系统，其特征在于，所述修改服务器返回的信息包括：将服务器返回的登陆错误的信息修改为登陆正确的信息。

10.如权利要求6所述的系统，其特征在于，还包括：代理客户端与蜜罐之间数据包的过滤和转发。