[发明专利]暴力破解攻击的检测方法和相关装置

权利要求书

1.一种暴力破解攻击的检测方法，其特征在于，包括：

网络设备获取客户端与服务器之间待检测的镜像流量；

所述网络设备根据所述待检测的镜像流量获取第一会话信息序列，所述第一会话信息序列包括多个会话信息，所述多个会话信息与所述客户端通过所述待检测的镜像流量向所述服务器发起的多次登录会话一一对应，所述多个会话信息在所述第一会话信息序列中的排列顺序与所述多次登录会话发生的时间先后顺序一致；

所述网络设备将所述第一会话信息序列作为第一马尔科夫链，并获取所述第一马尔科夫链的状态链概率值，其中，所述第一会话信息序列中的每一个会话信息作为所述第一马尔科夫链中的一个状态；

所述网络设备根据所述第一马尔科夫链的状态链概率值和第一基准概率值，确定所述多次登录会话是否为暴力破解攻击，所述第一基准概率值用于识别暴力破解攻击。

2.根据权利要求1所述的检测方法，其特征在于，所述每一个会话信息为对应的登录会话中携带用户名和密码的报文的长度和携带认证结果的报文的长度之和。

3.根据权利要求1所述的检测方法，其特征在于，所述网络设备根据所述第一马尔科夫链的状态链概率值和第一基准概率值，确定所述多次登录会话是否为暴力破解攻击，包括：

若所述第一马尔科夫链的状态链概率值小于或等于所述第一基准概率值，则所述网络设备确定所述多次登录会话为暴力破解攻击；或

若所述第一马尔科夫链的状态链概率值与所述第一基准概率值的差值小于或等于预先配置的阈值，则所述网络设备确定所述多次登录会话为暴力破解攻击。

4.根据权利要求1至3中任一项所述的检测方法，其特征在于，所述第一马尔科夫链的状态链概率值是根据所述第一马尔科夫链的初始概率值和所述第一马尔科夫链的转移概率值确定的；

所述网络设备获取客户端与服务器之间待检测的镜像流量之前，所述检测方法还包括：

所述网络设备获取所述客户端与所述服务器之间历史的镜像流量；

所述网络设备根据所述历史的镜像流量获取第二会话信息序列，所述第二会话信息序列包括多个历史会话信息，所述多个历史会话信息与所述客户端通过所述历史的镜像流量向所述服务器发起的多次历史登录会话一一对应，所述多个历史会话信息在所述第二会话信息序列中的排列顺序与所述多次历史登录会话发生的时间先后顺序一致，并且所述多次历史登录会话为暴力破解攻击；

所述网络设备将所述第二会话信息序列作为第二马尔科夫链，并获取所述第二马尔科夫链的初始概率值和所述第二马尔科夫链的转移概率值，其中，将所述第二会话信息序列中的每一个历史会话信息作为所述第二马尔科夫链中的一个状态；

所述网络设备确定所述第一马尔科夫链的初始概率值为所述第二马尔科夫链的初始概率值，所述第一马尔科夫链的转移概率值为所述第二马尔科夫链的转移概率值。

5.根据权利要求4所述的检测方法，其特征在于，所述网络设备获取客户端与服务器之间待检测的镜像流量之前，所述检测方法还包括：

所述网络设备获取所述第二马尔科夫链的状态链概率值；

所述网络设备根据所述第二马尔科夫链的状态链概率值确定所述第一基准概率值。

6.根据权利要求1至3中任一项所述的检测方法，其特征在于，所述网络设备根据所述第一马尔科夫链的状态链概率值和所述第一基准概率值，确定所述多次登录会话为暴力破解攻击的情况下，所述检测方法还包括：

所述网络设备根据第二基准概率值和所述第一马尔科夫链的状态链概率值，确定所述多次登录会话发起的暴力破解攻击是否攻击成功，所述第二基准概率值用于识别攻击成功的暴力破解攻击。