[发明专利]一种暴力破解的检测方法及装置

说明书

本发明公开一种暴力破解的检测方法及装置，所述方法包括：确定每次数据传输过程对应的特征向量，其中每个特征向量中包含该数据传输过程中连接发起者发送和接收的数据包数量、数据包大小；针对设定时间长度确定的半径参数和密度阈值，对所述设定时间长度内的特征向量进行聚类处理；针对每个聚类，根据处于该聚类中的每个特征向量，对该特征向量对应的连接发起者和连接响应者的可疑次数更新，当更新后的可疑次数大于预设次数阈值时，确定连接发起者对连接响应者进行暴力破解。由于在本发明实施例中，电子设备根据连接发起者发送和接收的数据包数量、数据包大小，通过聚类处理进行暴力破解的检测，因此不需要检测包内容即可实现暴力破解的检测。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种暴力破解的检测方法及装置。

背景技术

近年来，随着互联网技术的快速发展，越来越多的传统行业融合互联网发展新形态、新业态，如今许多企业的业务开展都离不开互联网技术的支持，互联网在提供便捷性的同时，也存在不小的安全隐患。由于互联网的开放性和访问的便捷性，互联网一直是黑客的重点攻击对象。黑客通过暴力破解，攻击互联网，给很多企业带来损失，因此，对暴力破解的检测尤为重要。

在现有技术中，暴力破解的检测主要基于数据包的检测，需要检测数据包内容中是否有已知的一些威胁特征，例如针对SSH暴力破解，如果检测到数据包内容中有“Permission denied,please try again”这样的威胁特征，则确定当前存在暴力破解。但是在互联网中，有大量的数据包，基于数据包内容检测暴力破解效率较低，另外，如果互联网中的数据包内容被加密，则无法检测数据包内容，因此，基于数据包内容无法实现暴力破解的检测。

发明内容

本发明实施例提供一种暴力破解的检测方法及装置，用以实现基于流特征的暴力破解的检测，并提高暴力破解的检测效率。

本发明方法包括一种暴力破解的检测方法及装置，该方法包括：

统计设定时间长度内每个连接发起者与每个连接响应者之间数据包的传输，确定每次数据传输过程对应的特征向量，其中每个特征向量中包含该数据传输过程中连接发起者发送的数据包数量、发送的数据包大小，接收的数据包数量和接收的数据包大小；

采用预设的密度聚类算法，及针对该设定时间长度确定的半径参数和密度阈值，对所述设定时间长度内的特征向量进行聚类处理；

针对每个聚类，根据处于该聚类中的每个特征向量，对该特征向量对应的连接发起者和连接响应者的可疑次数更新，判断更新后的可疑次数是否大于预设次数阈值，如果是，确定所述连接发起者对所述连接响应者进行暴力破解。

进一步地，所述统计设定时间长度内每个连接发起者与每个连接响应者之间数据包的传输，确定每次数据传输过程对应的特征向量包括：

将数据传输的单向网络流程序netflow拼接为双向流，根据所述双向流，统计设定时间长度内数据包的传输，确定连接发起者和连接响应者；

针对在设定时间长度内进行数据传输的每个连接发起者与每个连接响应者，根据每次数据传输过程中传输的数据包的数量和数据包的大小，确定每次数据传输过程对应的特征向量。

进一步地，确定半径参数和密度阈值的过程包括：

根据保存的特征向量的数量与密度阈值的对应关系，确定该特征向量的数量对应的密度阈值；

针对每个特征向量，确定与该特征向量对应的第一特征点距离较小的密度阈值的第二特征点，将该第一特征点与第二特征点的距离最大值，确定为目标距离；

根据每个特征向量对应的目标距离，确定所述半径参数。

进一步地，所述预设的密度聚类算法包括：

基于密度的应用与噪声的空间聚类DBSCAN算法。