暴力破解的检测思路
针对 SSH、RDP、数据库与 Web 登录的密集尝试，特征不是单个报文而是行为模式：同一来源短时间大量失败、同一目标被多个来源轮流尝试、以及连接频率明显偏离正常运维习惯。检测的价值在于把这类尝试变成可告警事件，并可联动封禁来源，从而把攻击成本抬高到不划算。
基本信息
| 适用平台 | 华为 USG 等具备暴力破解检测能力的安全设备，以及 WAF 与主机侧防护 |
|---|---|
| 检测维度 | 同源多次失败、同目标多源尝试、短时高频连接 |
| 处置动作 | 告警、临时封禁来源地址、联动边界设备执行 |
| 必要例外 | 堡垒机、自动化巡检与监控探测来源必须加入白名单 |
典型使用场景
- 公网暴露的 SSH 或 RDP：从互联网可直达的管理端口，是爆破的首选目标
- 对外 Web 登录入口：撞库与口令爆破从应用层进行，需要与应用行为特征结合
- 数据库端口外露：未经评估就放通数据库端口的系统，风险与爆破叠加
- 内部横向尝试：内网主机被控后对同网段批量试口令，属于典型横向移动信号
- 阈值校准：上线初期用日志统计正常失败基线，再设定告警与封禁阈值
阈值设计示例
阈值设计示例
同源 5 分钟内认证失败 20 次 → 触发告警
同源 5 分钟内认证失败 50 次 → 临时封禁 30 分钟
同一目标被 10 个以上来源尝试 → 触发高风险告警
白名单：堡垒机、监控探测源、自动化运维脚本出口
封禁条目设置自动老化，到期自动解除场景与特征对照
| 场景 | 典型特征 | 处置重点 |
|---|---|---|
| SSH/RDP 爆破 | 同源高频连接与失败 | 封禁来源并限制管理端口暴露 |
| Web 撞库 | 大量账号名轮换尝试 | 结合应用日志与账号锁定策略 |
| 数据库爆破 | 短时大量连接尝试 | 端口不应对互联网开放 |
| 内网横向 | 多目标同源低速率尝试 | 定位被控主机，优先处置源头 |
封禁动作必须有自动老化：运营商 NAT 后一个地址可能对应大量正常用户，长期封禁会波及无关人员。