(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111341640.5 (22)申请日 2021.11.12 (71)申请人 北京天融信网络安全技 术有限公司 地址 100085 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 张平安　徐自全　 (74)专利代理 机构 北京金信知识产权代理有限 公司 11225 代理人 喻嵘 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种暴力破解 流量的检测方法及装置 (57)摘要 本发明提供一种暴力破解流量的检测方法 及装置， 所述方法包括： 获得流量报文； 至少确定 所述流量报文的源IP； 统计一时间段内对应所述 源IP的新 建连接数； 基于统计值及第一阈值确定 所述新建连接数是否异常； 若异常， 则至少计算 请求新建连接间的请求时间差； 至少基于所述时 间差确定对应所述源IP 的请求行为是否为具有 目标规律性的行为； 若是， 则计算所述流量报文 的长度参数， 确定所述长度参数是否满足第二阈 值； 若是， 则确定对应所述源IP的流量报文为暴 力破解流量。 本发明的暴力破解流量的检测方法 简单易行， 同时能够有效、 精准地识别出暴力破 解流量。 权利要求书2页 说明书9页 附图3页 CN 113938312 A 2022.01.14 CN 113938312 A 1.一种暴力破解 流量的检测方法， 其特 征在于， 包括： 获得流量报文； 至少确定所述 流量报文的源IP； 统计一时间段内对应所述源IP的新建连接数； 基于统计值及第一阈值确定所述 新建连接数 是否异常； 若异常， 则至少计算请求 新建连接间的请求时间差； 至少基于所述时间差确定对应所述源IP的请求行为是否为具有目标规 律性的行为； 若是， 则计算所述 流量报文的长度参数， 确定所述长度参数 是否满足第二阈值； 若是， 则确定对应所述源IP的流 量报文为 暴力破解 流量。 2.根据权利要求1所述的方法， 其特 征在于， 所述至少确定所述 流量报文的源IP， 包括： 确定所述 流量报文的协议 ID值， 以及所述 流量报文的源IP。 3.根据权利要求2所述的方法， 其特征在于， 所述统计一 时间段内对应所述源IP的新建 连接数， 包括： 基于所述协议 ID值以及源IP 构建元数据； 统计一时间段内对应所述元 数据的新建连接数。 4.根据权利要求1所述的方法， 其特征在于， 所述基于统计值及第 一阈值确定所述新建 连接数是否异常， 包括： 确定所述 流量报文的网络协议； 基于所述网络协议从预置的多个阈值中确定出匹配所述网络协议的第一阈值， 其中， 不同的网络协议对应的所述第一阈值 不同； 基于所述统计值及第一阈值确定所述 新建连接数 是否异常。 5.根据权利要求1所述的方法， 其特征在于， 所述至少计算请求新建连接间的请求 时间 差， 包括： 确定请求 新建连接间的请求时间差； 对所述时间差进行四分位差计算， 得到四分位差 。 6.根据权利要求5所述的方法， 其特征在于， 所述对所述时间差进行四分位差计算， 得 到四分位差， 包括： 计算确定第一数量的时间差； 对所述第一数量的时间差进行排序； 基于四分位差公式及所述第一数量的时间差的排序关系计算确定所述四分位差 。 7.根据权利要求5所述的方法， 其特征在于， 所述至少基于所述 时间差确定对应所述源 IP的请求行为是否为具有目标规 律性的行为， 包括： 基于所述四分位差及第三阈值确定对应所述源IP的请求行为是否为具有目标规律性 的行为。 8.根据权利要求1所述的方法， 其特征在于， 所述计算所述流量报文的长度参数， 确定 所述长度参数 是否满足第二阈值， 包括： 确定对应 每个所述新建连接的待测流 量报文； 至少计算每 个所述待测流 量报文的平均长度值； 至少基于第二数量的平均长度值计算标准差值；权　利　要　求　书 1/2 页 2 CN 113938312 A 2确定所述标准差值是否满足第二阈值。 9.根据权利要求1所述的方法， 其特 征在于， 还 包括： 至少对执行所述基于所述时间差确定对应所述源IP的请求行为是否为具有目标规律 性的行为的操作进行计时， 当计时时长到达门限值时， 若未能确定所述请求行为为具有目 标规律性的行为， 则直接确定所述请求行为 安全行为。 10.一种暴力破解 流量的检测装置， 其特 征在于， 包括： 流量数据统计模块， 用于获得流量报文， 至少确定所述流量报文的源IP， 统计一时间段 内对应所述源IP的新建连接数， 基于统计值及第一阈值确定所述 新建连接数 是否异常； 网络流量计算模块， 用于在所述新建连接数异常时， 至少计算请求新建连接间的请求 时间差， 并至少基于所述时间差确定对应所述源IP的请求行为是否为具有目标规律性的行 为； 暴力破解判断模块， 用于在所述请求行为为具有目标规律性的行为时， 计算所述流量 报文的长度参数， 确定所述长度参数是否满足第二阈值， 若 是， 则确定对应所述源IP的流量 报文为暴力破解 流量。权　利　要　求　书 2/2 页 3 CN 113938312 A 3