(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211008465.2 (22)申请日 2022.08.22 (71)申请人 北京国瑞数智技 术有限公司 地址 100037 北京市西城区阜成门外大街 31号6层6 07A (72)发明人 侯小超　周瑞红　 (74)专利代理 机构 北京中和立达知识产权代理 有限公司 1 1756 专利代理师 孟姣 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种基于统计的暴力破解检测方法和系统 (57)摘要 本发明提供一种基于统计的暴力破解检测 方法和系统， 通过解析流量所用的协议类型， 根 据不同的协议类型得到对应的检测参数， 判断 Http层面的报 文长度是否存在指定的统计特征， 从而可以判断出是否发送暴力破解攻击， 同时通 过过滤处理， 过滤掉控制信令和重传信令导致的 流量波动， 克服几种现有技术各自的缺点， 实现 又快又好地检测暴力破解 攻击。 权利要求书2页 说明书4页 附图1页 CN 115459962 A 2022.12.09 CN 115459962 A 1.一种基于统计的暴力破解检测方法， 其特 征在于， 所述方法包括： 在网络入口处部署流 量采集点， 解析采集的流 量， 得到对应的协议类型； 判断一个周期内是否存在不小于N条针对同一访问目标的报文， 所述N的取值是与流量 的协议类型对应的， 根据所述协议类型查询得到对应的N的取值； 当判断存在所述不小于N条针对同一访问目标的报文时， 则进入下一步检测， 否则认定 所述采集的流 量为正常流量； 过滤去除七层协议上四层的协议控制信息和重传信令， 将所述采集的流量按照源地 址、 目的地址和目的端口三元组进行聚合分类， 得到聚合分类后的三元组数据； 计算每一个三元组数据中请求报文的长度值inLen和响应报文的长度值outLen， 将所 述inLen与阈值T1比较， 所述outLen与阈值T2比较， 如果所述inLen和outLen都小于对应的 阈值时， 则认定所述采集的流 量为暴力破解 攻击， 反之则认定所述采集的流 量为正常流量； 其中， 所述T1和T2的取值是与流量的协议类型对应的， 根据所述协议类型查询得到对 应的T1和T2的取值。 2.根据权利要求1所述的方法， 其特征在于： 结合统计访 问目标的进程数量， 以及统计 单个进程的访问时长， 若 所述进程数量大于预设的阈值且所述单个进程的访问时长小于预 设的时长时， 则认定所述采集的流量为可疑流量， 需要进入下一步检测， 否则认定所述采集 的流量为正常。 3.根据权利要求1所述的方法， 其特征在于： 在认定所述采集的流量为暴力破解攻击 后， 还需要继续判断后续流量是否为异常数据， 按时刻分布的实际误差分布范围来判断所 述后续流量的数据是否与所述暴力破解攻击的数据无明显差异， 如果存在明显差异则表明 后续流量为正常流量， 反之则表明后续 流量依然为异常流 量。 4.根据权利要求2或3任一项所述的方法， 其特征在于： 所述下一步检测还包括在得到 所述三元组数据之前， 验证流 量中携带的令牌。 5.一种基于统计的暴力破解检测系统， 其特 征在于， 所述系统包括： 采集单元， 用于在网络入口处部署流量采集点， 解析采集的流量， 得到对应的协议类 型； 判断单元， 用于判断一个周期内是否存在不小于N条针对 同一访问目标的报文， 所述N 的取值是与流量的协 议类型对应的， 根据所述协 议类型查询得到对应的N的取值； 当判断存 在所述不小于N条针对同一访问目标的报文时， 则进入下一步检测， 否则认定所述采集的流 量为正常流量； 检测单元， 用于过滤去 除七层协议上四层的协议控制信息和重传信令， 将所述采集的 流量按照源地址、 目的地址和目的端口三元组进行聚合分类， 得到聚合分类后的三元组数 据； 计算每一个三元 组数据中请求报文的长度值inLen和响应报文的长度值outLen， 将所述 inLen与阈值T1比较， 所述outLen与阈值T2比较， 如果所述inLen和outLen都小于对应的阈 值时， 则认定所述采集的流 量为暴力破解 攻击， 反之则认定所述采集的流 量为正常流量； 其中， 所述T1和T2的取值是与流量的协议类型对应的， 根据所述协议类型查询得到对 应的T1和T2的取值。 6.一种基于统计的暴力破解检测系统， 其特 征在于， 所述系统包括处 理器以及存 储器： 所述存储器用于存 储程序代码， 并将所述 程序代码传输给 所述处理器；权　利　要　求　书 1/2 页 2 CN 115459962 A 2所述处理器用于根据所述程序代码中的指令执行实现权利要求1 ‑4任一项所述的方 法。 7.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质用于存储程序代 码， 所述程序代码用于执 行实现权利要求1 ‑4任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115459962 A 3