[发明专利]一种基于windows登陆信息发现内网攻击者的方法

权利要求书

1.一种基于windows登陆信息发现内网攻击者的方法，其特征在于，

在各服务器均安装有windows操作系统的内部网络中，选择一台服务器设置为agent服务器；在每台防护范围内的服务器中安装agent客户端程序；

Agent服务器维护登陆信息白名单列表，并下发登陆信息白名单列表到每台防护范围内的服务器中的agent客户端程序；

每台防护范围内的服务器的agent客户端程序负责检测自身的登陆信息；

每台防护范围内的服务器的agent客户端程序将自身的登录信息与白名单列表进行比较，当自身的登陆信息不包含在白名单列表内时判断为攻击者，拒绝登陆，并向agent服务器推送告警信息；否则判断为非攻击者，允许登陆。

2.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述agent客户端程序为轻量级agent客户端程序。

3.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述agent服务器维护的登陆信息白名单列表包含：防护范围内的服务器信息和与防护范围内的服务器一一对应的允许的登陆信息。

4.根据权利要求3所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述登录信息包括登陆来源IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

5.根据权利要求4所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，登陆来源IP地址设置为至少一个，登陆用户名设置为至少一个，登陆时间段设置为至少一个，登陆方式设置为至少一个。

6.根据权利要求3至5任意一项所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述防护范围内的服务器信息包括：防护范围内的服务器名称、防护范围内的服务器IP地址中的至少一种。

7.根据权利要求6所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，所述告警信息包括：登陆来源的IP地址、登陆用户名、登陆时间段、登陆方式中的至少一种。

8.根据权利要求1所述的一种基于windows登陆信息发现内网攻击者的方法，其特征在于，防护范围内的服务器的agent客户端程序检测自身的登陆信息和拒绝登陆通过hookwindows机器登陆函数实现。