| 检测维度 | 同源多次失败、同目标多源尝试、短时高频连接 |
|---|---|
| 动作 | 告警、临时封禁源 IP、联动 WAF/防火墙 |
| 例外 | 堡垒机、自动化巡检脚本需加入白名单 |
阈值设计示例
阈值设计示例
同源 5 分钟内失败 20 次 → 告警
同源 5 分钟内失败 50 次 → 封禁 30 分钟
白名单：运维堡垒机、监控探测源封禁动作要有自动老化，避免运营商 NAT 地址被长期封禁影响他人。
暴力破解检测
针对 SSH、RDP、数据库与 Web 登录的密集尝试，可通过频率阈值与失败比例检测并联动封禁。
易错点
- 阈值过严会封禁共享出口的正常用户（同一 NAT 地址多人使用）
- 不区分协议场景时，正常轮询与爆破可能被混淆
数据来源与参考
- NIST SP 800-63B（数字身份认证指南）
- 华为 USG6000 产品文档：暴力破解检测