主机安全 密码破解

一、检测逻辑

·告警：命中用户配置的登录规则，或命中内置暴破情报、漏洞利用情报时，产生告警。

·阻断：调用主机防火墙，Windows 使用 WFP，Linux 使用 iptables，并按最高优先级封禁。已加入白名单的来源 IP 不阻断、不告警。

各版本主机均可检测，自动阻断属于专业版和旗舰版，版本差异请参见功能介绍与版本比较。

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 密码破解。

3. 单击右上角密码破解设置，进行生效时长、自定义规则、内置情报规则及生效主机范围设置后，单击保存。

设置项	说明
生效设置	设置生效时长。命中暴破规则时，对不在白名单内的来源 IP 自动阻断一定时长。
自定义规则	配置检测规则。命中任一登录规则即判定为暴力破解。每条规则设置时间窗口和登录失败次数，可修改或删除。配置阻断规则。基于暴破检测规则阻断：对命中上述检测规则的来源 IP 阻断。说明：该场景误报率较高，如你发现误阻断情况可点击联系我们。智能过滤：来源 IP 攻击客户数小于 5 个、来源 IP 属于本账号下的公网 IP，或来源 IP 命中威胁情报白名单中的部分登录来源时，减少误阻断（推荐）。选择生效主机范围：全部主机或自选主机。
内置情报规则	勾选暴破攻击情报。按云端暴破攻击运营生产的黑 IP 阻断，由于规模庞大，大部分阻断将不在平台生成记录。选择生效主机范围：全部主机或自选主机。

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 密码破解。

3. 在告警列表中查看告警，支持时间段筛选、关键字搜索（告警 ID、实例 ID 等）定位告警。

注意：说明：

·来源 IP/来源地：攻击来源及其地域。

·威胁等级：高危、可疑。

·协议/端口/登录用户名：被尝试登录的服务、端口和用户名。

·首次攻击时间/最近攻击时间：该来源第一次和最近一次尝试的时间。

·尝试次数：该来源 IP 的尝试次数。

·破解状态：破解成功、破解失败（密码错误）、破解失败（账号不存在）。

·阻断状态：未阻断、阻断（生效中）、阻断（本次已完成）、阻断失败。

注意：说明：

注意：阻断状态仅反映是否阻断该来源 IP，密码泄露风险仍可能存在。

·告警状态：待处理、已加入白名单、已处理、已忽略。

·操作：

·详情：查看告警详情。

·处理：支持以下处理方式。

·标记已处理：若你已人工对该告警进行处理，可将告警标记为已处理。

·加入白名单：加入白名单操作后，当再次发生相同情况时将不再进行告警，请谨慎操作。

·忽略：仅将本次告警进行忽略，若再有相同情况发生依然会进行告警。

·删除记录：删除该告警记录，控制台将不再显示，无法恢复记录，请慎重操作。

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 密码破解。