2. 常见的异常登录行为模式：高频登录、异地登录、设备突变
大家好，我是负责这堂课的安全工程师。咱们今天聊的内容，说白了就是攻击者最常用的那几招。你想想看，一个正常的用户，每天登录的次数是有规律的。突然某一天，登录频率暴增，或者登录地点从北京一下跳到纽约，这背后大概率有问题。
我个人习惯，把异常登录行为分成三大类：高频登录、异地登录、设备突变。每类都有典型的特征和检测思路。下面咱们一个一个拆开讲。
2.1 高频登录——撞库与暴力破解的典型信号
高频登录，就是某个账号在短时间内发起大量登录请求。攻击者往往拿着从其他地方泄露的账号密码，对着你的系统疯狂试。嗯，我曾经在一个金融项目中遇到过，某个普通员工的账号，短短3分钟内输了200多次密码。一看日志，IP来自境外，明显是撞库攻击。
核心检测指标：
- 同一账号每分钟登录尝试次数 > 5次
- 同一IP在5分钟内登录失败次数 > 20次
- 连续登录失败后突然成功（爆破成功）
一般情况下，我建议用滑动窗口统计。比如每60秒一个窗口，统计每个账号的登录尝试总数。超过阈值就直接触发风控。
我的经验：别只盯着失败次数。有时候攻击者直接用正确密码登录（撞库成功），失败次数低，但频率依然异常。所以要把成功登录也纳入统计。
2.2 异地登录——物理不可能性攻击
异地登录，是指同一个账号在短时间内从地理上相距很远的两个地点登录。举个例子：10分钟前还在北京登录，10分钟后出现在纽约。注意，地球周长才4万公里，飞机都飞不了这么快。这就是明显的“盗用”。
我做过一个电商平台的安全审计。有个用户平时只在杭州活动，某天突然同时在杭州和莫斯科有登录记录。我们一查，原来是账号被境外代理池共享了。怎么办？用地理距离除以时间差算速度，如果速度超过800km/h（民航巡航速度），基本就是异常。
| 场景 | 时间差 | 地理距离 | 计算速度 | 判断 |
|---|---|---|---|---|
| 北京→纽约 | 10分钟 | ≈11000 km | 66000 km/h | 异常（远超物理极限） |
| 北京→上海 | 6小时 | ≈1200 km | 200 km/h | 正常（高铁可到达） |
| 同一个城市不同区 | 1分钟 | ≈20 km | 1200 km/h | 异常（除非坐战斗机） |
注意：VPN、代理、CDN节点可能让IP定位偏差很大。我曾经踩过坑——一个用户实际上在深圳，但用了香港的VPN，系统误判为异地登录。所以检测异地登录时，建议结合设备指纹和网络特征综合判断，不要只看IP地理。
2.3 设备突变——浏览器、操作系统、设备指纹的跳变
设备突变，就是同一个账号的登录环境发生了不合理的变化。比如，刚才用Chrome浏览器登录，下次登录变成Safari；刚才用Windows 10，突然变成Linux。虽然人可能换设备，但正常用户的换设备频率不会那么快。
设备指纹通常包括：User-Agent、屏幕分辨率、时区、语言、Canvas指纹、WebGL指纹等。我建议建立一个设备指纹历史库，每次登录都计算当前设备指纹与最后几次的相似度。
- 浏览器突变：从Chrome 120变成Firefox 89，且与历史记录不匹配
- 操作系统突变：从Windows 11变成macOS 13，且无跨设备绑定
- 硬件指纹突变：CPU核数、内存大小、屏幕分辨率大范围变化
避坑指南：我曾经遇到过一个用户喜欢在手机上使用桌面版浏览器，导致设备指纹在“手机”和“桌面”之间来回跳。后来我们加了一个“用户习惯学习模块”，如果某用户过去30天内就有类似跳变记录，则降低异常分。否则直接告警。
2.4 其他常见异常模式
除了上面三大类，还有一些模式也值得关注：
- 非常规时间登录：用户平时只在9:00-18:00登录，突然凌晨3点连续登录。
- 异常IP类别：来自已知的恶意IP黑名单、Tor出口节点、数据中心IP（而非家庭宽带）。
- 登录后行为异常：登录成功后立即修改密码、导出数据、添加新管理员等。
这些模式往往不是孤立的。比如高频登录+异地登录+设备突变，三连击，基本可以判定账号被盗。我管这叫“异常登录综合征”。
2.5 一张图看懂异常登录行为模式
下面这张图，总结了三种核心模式以及它们之间的关系。你可以把它当作知识骨架，后面章节我们会针对每个模式深入讲检测算法。
小技巧：实际生产环境中，三个模式往往同时出现。比如撞库攻击（高频登录）时，攻击者一般挂代理（异地登录），而且多半用脚本自动化（设备指纹与正常用户不同）。我推荐做组合评分：每个模式单独打分，然后加权求和。总分超过阈值就告警。
2.6 快速回顾
咱们这一章讲了三种核心异常登录模式，外加几种辅助模式。记住一个原则：不要孤立看指标，要联动看信号。比如高频登录本身可能只是误触，但配合异地+设备突变，基本实锤。