[发明专利]一种端口扫描检测的方法、装置、计算机设备和存储介质

权利要求书

1.一种端口扫描检测的方法，其特征在于，包括：

基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；

对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；

计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度。

2.根据权利要求1所述的端口扫描检测的方法，其特征在于，基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集，具体为：

采集目标服务器端口访问日志中记录的源IP在单个时间片内访问的目的IP、端口和访问时间，生成所述源IP的购物篮；

对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的k项集和所述k项集的支持度，筛选出频繁k项集。

3.根据权利要求1所述的端口扫描检测的方法，其特征在于，对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为，具体为：

对所述频繁k项集按照k的数值由大到小进行第一层排序，筛选出k大于第一阈值的频繁k项集；

在所述k大于第一阈值的频繁k项集中按照方差由小到大进行第二层排序，根据第二层排序的排序结果判断所述源IP的端口扫描行为。

4.根据权利要求3所述的端口扫描检测的方法，其特征在于，对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为之前还包括：

计算包含所述频繁k项集的端口被访问频次的方差。

5.根据权利要求1所述的端口扫描检测的方法，其特征在于，计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度，包括：

若所述置信度大于或者等于第二阈值，则判断所述端口属于高危端口；

若所述置信度小于第二阈值，则判断所述端口不是高危端口。

6.一种端口扫描检测的装置，其特征在于，包括：

频繁项集生成模块，用于基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；

端口扫描判断模块，用于对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；

高危端口判断模块，用于计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度。

7.根据权利要求6所述的端口扫描检测的装置，其特征在于，所述频繁项集生成模块，包括：

购物篮生成单元，用于采集目标服务器端口访问日志中记录的在单个时间片内访问的源IP、目的IP、端口和访问时间，生成所述源IP的购物篮；

频繁项集筛选单元，用于对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的k项集和所述k项集的支持度，筛选出频繁k项集。

8.根据权利要求6所述的端口扫描检测的装置，其特征在于，所述端口扫描判断模块，包括：

频繁项集排序单元，用于对所述频繁k项集按照k的数值由大到小进行第一层排序，筛选出k大于第一阈值的频繁k项集；

方差排序单元，用于在所述k大于第一阈值的频繁k项集中按照方差由小到大进行第二层排序，根据第二层排序的排序结果判断所述源IP的端口扫描行为。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5中任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-5中任一所述的方法。