分布式系统防止登录攻击的实现方法与流程

1.本发明涉及一种分布式系统安全技术，更具体的说，本发明主要涉及一种分布式系统防止登录攻击的实现方法。


背景技术：

2.随着it技术的不断进步，用户对于处理的数据规模有了更高的要求，这就促使了分布式系统（特别是分布式数据库）得到了发展和广泛应用。随之伴生的问题就是分布式系统的安全问题。目前主要的系统安全解决方案主要还是以证书认证和密码登录等方式来确保系统不被恶意侵入，进而造成数据被篡改或丢失。具体来讲，分布式系统（特别是分布式数据库）中的各个节点都可以对外提供服务，用户可以通过客户端（包括且不仅限于客户端程序，以及引用特定通信模块的二进制程序或脚本等）来连接分布式系统中任何一个对外服务的服务器端节点，以证书加密的方式与服务器端程序进行通信，通过密码登录来对当前用户进行身份验证，服务器端程序验证通过后，就会对客户端正常提供服务。以图1所示的三节点分布式系统为例，节点1、节点2和节点3这三个服务端节点组成了一个分布式系统。不同使用者以用户1身份分别连接访问节点1和节点2，同时还有使用者以用户2身份来连接节点3节点。3个节点分别通过身份验证模块对登录用户进行检验。其中，节点1和节点3登录验证成功，可以进行正常地访问和操作；而节点2登录验证失败，无法对系统进行访问。
3.由于是分布式集群系统，用户对外的密码都是集群级统一的（即相同用户从集群任何一个节点登录都是相同的密码），因此用户从不同节点登录集群时，都需要进行统一的密码校验。在分布式系统中，使用者可以通过客户端向任何一个端节点进行登录验证，系统只能通过密码校验等方式来进行被动防御。这种情况下，就会给许多恶意的系统攻击提供了机会。比如，利用脚本反复不断地对各个节点进行连接登录以便穷举出用户密码，或者通过不断攻击连接分布式系统中的服务节点，造成系统内部校验模块瘫痪，甚至影响到对正常用户提供服务。这些情况都对分布式系统（特别是分布式数据库系统）的系统安全和数据安全造成威胁。因而有必要针对分布式系统的登录安全防护技术作进一步的研究和改进。


技术实现要素：

4.本发明的目的之一在于针对上述不足，提供一种分布式系统防止登录攻击的实现方法，以期望解决现有技术中分布式系统采用证书认证和密码登录等方式容易受到反复穷举密码等登录攻击，容易造成系统内部校验模块瘫痪甚至影响系统运行等技术问题。
5.为解决上述的技术问题，本发明采用以下技术方案：本发明所提供的一种分布式系统防止登录攻击的实现方法，其特征在于所述的方法包括如下步骤。
6.步骤a、收集分布式系统各节点的用户登录信息，并将其储存于集群层；所述用户登录信息包括用户名称、用户状态、登录时间、是否登录成功。
7.步骤b、在触发时机后，对所述用户登录信息进行统计分析，所述统计分析的指标
为用户登录信息中每个用户登录失败的总次数，或者在一个时间段内用户登录失败的次数。
8.步骤c、如统计分析的结果达到预设的指标阈值，则自动启动防御措施，所述防御措施为定期冻结用户登录或永久冻结用户登录；如统计分析的结果低于预设的指标阈值，则保持当前状态，或者解除所述防御措施。
9.作为优选，进一步的技术方案是：所述的方法还包括在任意状态下，手动启动或解除防御措施，集群层中还存储有用户是否已被采取过防御措施；所述手动启动或解除防御措施的优先级，高于自动启动或解除防御措施的优先级。
10.更进一步的技术方案是：所述触发时机为用户登录信息发生变更的时间点，或者需要调用统计分析结果的时间点。
11.更进一步的技术方案是：所述统计分析的指标还包括系统时间与系统的软硬件配置；所述系统的软硬件配置为分布式系统版本信息以及当前硬件信息。当前硬件信息包括cpu，内存，外部存储设备，网络接口设备等配置信息）。在用户没有显式配置或默认配置指标阈值的情况下，可以通过系统软硬件配置来内部评估一个指标阈值。使用前提必须保证所有节点的系统软硬件配置一致。
12.更进一步的技术方案是：所述方法还包括根据信息配置参数与评估机制，确定所述用户登录信息的使用价值，且定期删除不具使用价值的登录信息；所述信息配置参数包括用户登录信息的使用周期与用户登录信息的统计时间段。所述评估机制包括用户在未被采取防御措施的情况下，将用户登录失败次数的统计时间段之前的用户登录信息，视为不具备使用价值的登录信息。
13.更进一步的技术方案是：所述评估机制还包括将用户在被采取防御措施之前的登录信息，视为不具备使用价值的登录信息。
14.与现有技术相比，本发明的有益效果为：通过收集用户登录信息并进行统计分析，从而杜绝外部程序或脚本对分布式系统进行密码穷举的机会，防止系统用户密码通过穷举的方式被外部破解，降低分布式系统的外部访问风险。
15.并且还可降低外部登录攻击对于系统内部模块的影响，减轻系统内部模块被频繁攻击访问的执行压力，一方面，降低了系统内部产生的相关资源消耗；另一方面，也防止造成系统内部模块执行崩溃。从而保证正常系统业务不受影响。同时方法扩充了系统对于用户登录的管理能力，提供了系统自动管理的方式，防止系统管理员由于疏忽而造成的管理漏洞。进而提升分布式系统的安全水平，也减轻了系统管理员的管理压力。
附图说明
16.图1为背景技术中用户访问三节点分布式系统的原理图。
17.图2为用于说明本发明一个实施例的整体架构示意图。
18.图3为用于说明本发明一个实施例中的手动防御示意图。
具体实施方式
19.针对分布式系统可能受到登录攻击而遭受威胁的实际情况，为杜绝外部程序或脚
本对于分布式系统进行密码穷举的机会，降低外部登录攻击对于系统内部模块的影响，提升系统的安全水平。
20.参考图2所示，本发明一个实施例是在原有分布式系统密码校验的被动防御基础之上，增加了自动/手动主动防御外部登录攻击的执行机制。该防御机制的主要思想就是分布式系统详细收集系统用户的相关登录和访问信息，并在集群层面针对这些信息，基于相应计算方法进行统计和分析得出结果，并根据结果对于相应的用户自动启动（或解除）适当的防御措施。另外，系统也可以提供系统管理员手动对指定用户启动（或解除）防御措施的手段和方法，以便阻止分布式系统被某些外部用户进行频繁攻击和密码破解，从而保证了系统整体的安全性和稳定性。
21.通过用户不断地尝试登录，系统会收集不同系统用户的登录信息，这些信息包括（且不仅限于）用户名称，用户状态，登录时间，登录是否成功等内容。由于是分布式系统，例如分布式数据库等，因此登录节点不止一个，因此这些信息需要保存在集群层面，例如分布式数据库的系统表或者其它类型的分布式存储系统，从而确保能够在各个登录节点均可获得统一的信息视图。同时这些“用户登录信息”在集群层面会随着系统用户的不断登录而持续被更新。
22.上述分布式数据库指的是对称分布式数据库，即在本发明的应用场景之下，分布式数据库中所有的节点都是平等的，客户端可与任意节点进行交互，所产生的登陆信息均会统一的保存在上述的集群层面。
23.在“用户登录信息”被收集后，系统会在适当的时机触发，结合系统信息，对这些“用户登录信息”进行统计和分析。这里所说的“适当的时机”一般是指“用户登录信息”发生变更的时间点或者需要应用到统计分析结果的时间点。因为“用户登录信息”发生变更自然会在一定程度上影响到统计分析的最终结果。不过无论选择哪种时机，都是等价的，不会对本发明的整体效果产生影响。关于系统进行用户登录信息统计与分析的计算方法，可根据统计指标的不同而有所不同，比如可以统计用户登录失败的总次数，也可以统计不同时间段内用户登录失败的次数等。而这些计算结果的数据基础一方面来源于系统收集的“用户登录信息”，另一方面则来源于系统信息，例如系统时间以及系统软硬件配置等。
24.系统管理员根据具体情况可以配置一些系统参数（比如指标阈值等），系统在分析统计“用户登录信息”后，再结合用户配置的系统参数，就可以甄别出用户登录状态是否存在异常，从而决定是否对相关用户主动采取防御措施。如果满足采取防御措施的条件，则系统会自动针对特定用户进行防御；反之，系统不会对用户采取防御措施。这里所说的“防御措施”，包括多种方式，例如定期冻结用户登录，永久冻结用户登录等等，具体采用哪种方式的“防御措施”以及防御措施执行的时长等信息都可以通过系统参数来进行配置。同理，如果系统用户已经处于被采取防御措施的状态，系统也会根据“统计分析结果”和“系统参数”来决定是否为系统用户解除防御措施，重新恢复系统用户的正常访问能力。
25.参考图3所示，特定系统用户是否被采取防御措施的信息是被保存在用户属性信息中。在特定场景下，系统管理员无需等待系统自动防御，也可以通过专属命令直接对特定系统用户的属性进行手动修改，从而等效于采取（或解除）防御措施。对应的用户属性信息都保存在集群层面（例如分布式数据库的系统表或者其它类型的分布式存储系统），从而确保该操作在集群层面统一生效。
26.由此可知，“管理员主动管理”方式与“系统自动管理”方式共同组成了本技术方案中对于用户登录能力的整体管理方式。其中，“系统自动管理”主要是指系统通过收集分析用户登录信息，并结合配置参数，来对用户登录进行“实时动态防御”的功能；而“管理员主动管理”主要是指系统管理员可以使用专属的管理命令直接对特定用户的登录采取（或解除）防御措施的管理操作，且“管理员主动管理”的优先级要高于“系统自动管理”的优先级。
27.正如上述所提到的，分布式系统中的“用户登录信息”具有全生命周期的管理。这些信息数据在分布式系统中经历了收集、保存、使用、淘汰等几个阶段，其中，分布式系统不仅在用户登录过程中实时记录并保存用户登录信息，保证集群各个节点所能够获取用户登录信息的统一信息视图，而且还将登录信息作为统计分析的数据基础对各个系统用户的登录情况进行分析评估，根据评估结果自主对异常登录用户采取防御措施。具体而言：在用户不断登录的过程中，系统就开始收集相关的用户登录信息。
28.为确保分布式系统各个节点的信息视图一致，系统会将用户登录信息存储在集群层面（比如分布式数据库的系统表或者其它类型的分布式存储系统）。
29.在系统进行分析统计的过程中，这些用户登录信息会被不断使用。
30.实现了用户登录信息的“动态淘汰”功能，即根据系统配置参数（包含但不仅限于用户登录信息使用周期，用户登录信息统计时间段等）和相关的评估机制，可以评估出对应用户的某些登录信息是否还具备使用价值。一旦评估结果显示相关登录信息已不具备使用价值，就会将用户登录信息从系统中删除，防止出现垃圾信息堆积。
31.除上述以外，还需要说明的是在本说明书中所谈到的“一个实施例”、“另一个实施例”、“实施例”等，指的是结合该实施例描述的具体特征、结构或者特点包括在本技术概括性描述的至少一个实施例中。在说明书中多个地方出现同种表述不是一定指的是同一个实施例。进一步来说，结合任一实施例描述一个具体特征、结构或者特点时，所要主张的是结合其他实施例来实现这种特征、结构或者特点也落在本发明的范围内。
32.尽管这里参照本发明的多个解释性实施例对本发明进行了描述，但是，应该理解，本领域技术人员可以设计出很多其他的修改和实施方式，这些修改和实施方式将落在本技术公开的原则范围和精神之内。更具体地说，在本技术公开、附图和权利要求的范围内，可以对主题组合布局的组成部件和/或布局进行多种变型和改进。除了对组成部件和/或布局进行的变型和改进外，对于本领域技术人员来说，其他的用途也将是明显的。