[发明专利]暴力破解攻击的检测方法和相关装置

说明书

本申请提供暴力破解攻击的检测方法和相关装置。该检测方法包括：获取客户端与服务器之间待检测的镜像流量；根据待检测的镜像流量获取第一会话信息序列，第一会话信息序列包括多个会话信息，多个会话信息与多次登录会话一一对应，多个会话信息在第一会话信息序列中的排列顺序与多次登录会话发生的时间先后顺序一致；将第一会话信息序列作为第一马尔科夫链，获取第一马尔科夫链的状态链概率值，第一会话信息序列中的每一个会话信息作为第一马尔科夫链中的一个状态；根据第一马尔科夫链的状态链概率值和第一基准概率值，确定多次登录会话是否为暴力破解攻击。本申请提供的暴力破解攻击的检测方法和相关装置，有助于检测出暴力破解攻击。

技术领域

本申请涉及计算机领域，并且更具体地，涉及暴力破解攻击的检测方法、网络设备和计算机可读存储介质。

背景技术

在云计算环境中，暴露在公网环境中的云服务器，每天都面临着大量的攻击。其中，以针对云服务器上部署的应用服务进行的密码暴力破解攻击最为常见。

所谓暴力破解攻击，是指攻击者对这些应用服务的密码进行穷举式扫描。如果用户配置的密码强度不够，则很容易被攻击者的密码字典命中。也就是说，这些应用服务的密码很容易被破解。

应用服务的密码被破解，攻击者就可以非法访问应用服务，这将导致用户的数据泄露，甚至应用服务器被攻击者控制。因此，检测暴力破解攻击对云服务器的安全而言是非常需要的。

发明内容

本申请提供一种暴力破解攻击的检测方法和相关装置，有助于检测出暴力破解攻击。

第一方面，本申请提供了一种暴力破解攻击的检测方法。该检测方法包括：网络设备获取客户端与服务器之间待检测的镜像流量；所述网络设备根据所述待检测的镜像流量获取第一会话信息序列，所述第一会话信息序列包括多个会话信息，所述多个会话信息与所述客户端通过所述待检测的镜像流量向所述服务器发起的多次登录会话一一对应，所述多个会话信息在所述第一会话信息序列中的排列顺序与所述多次登录会话发生的时间先后顺序一致；所述网络设备将所述第一会话信息序列作为第一马尔科夫链，并获取所述第一马尔科夫链的状态链概率值，其中，所述第一会话信息序列中的每一个会话信息作为所述第一马尔科夫链中的一个状态；所述网络设备根据所述第一马尔科夫链的状态链概率值和第一基准概率值，确定所述多次登录会话是否为暴力破解攻击，所述第一基准概率值用于识别暴力破解攻击。

该检测方法中，将多次登录会话的多个会话信息看作马尔科夫链，计算该马尔科夫链的状态链概率值，并根据该状态链概率值判断这多次登录会话是否为暴力破解攻击。也就是说，该检测方法中，将暴力破解攻击的判断问题转换为概率问题，根据概率判断登录会话是否为暴力破解攻击，有助于有检测出暴力破解攻击。

在一种可能的设计中，所述每一个会话信息为对应的登录会话中携带用户名和密码的报文的长度和携带认证结果的报文的长度之和。

在一种可能的设计中，所述根据攻击概率阈值和所述第一状态链概率，确定所述待检测的多次登录会话是否为暴力破解攻击，包括：若所述第一状态链概率大于或等于所述功率概率阈值，确定所述待检测的多次登录会话为暴力破解攻击。

在一种可能的设计中，所述网络设备根据所述第一马尔科夫链的状态链概率值和第一基准概率值，确定所述多次登录会话是否为暴力破解攻击，包括：若所述第一马尔科夫链的状态链概率值小于或等于所述第一基准概率值，则所述网络设备确定所述多次登录会话为暴力破解攻击；或若所述第一马尔科夫链的状态链概率值与所述第一基准概率值的差值小于或等于预先配置的阈值，则所述网络设备确定所述多次登录会话为暴力破解攻击。

在一种可能的设计中，所述第一马尔科夫链的状态链概率值是根据所述第一马尔科夫链的初始概率值和所述第一马尔科夫链的转移概率值确定的。