[发明专利]一种端口扫描检测的方法、装置、计算机设备和存储介质

说明书

本发明公开了一种端口扫描检测的方法、装置、计算机设备和存储介质，包括：基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度。本发明应用关联规则找出频繁k项集，通过设定k值和方差阈值来检测端口扫描行为，并通过设定置信度阈值进一步识别高危端口，提高端口扫描行为的检测精度和高危端口识别度，降低误报率。

技术领域

本发明实施例涉及信息安全技术，尤其涉及一种端口扫描检测的方法、装置、计算机设备和存储介质。

背景技术

随着计算机及网络系统中存储的重要信息越来越多，系统的安全问题日益严重，需要找到更好的措施来保护系统免收入侵者的攻击。运维安全审计系统，是在一个特定的网络环境下，为了保障网络和数据不受来自内部合法用户的不合规操作带来的系统损坏和数据泄露，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件和网络活动，以便集中报警、记录、分析、处理的一种技术手段。

通过端口扫描发现服务器提供的服务及其漏洞，是网络入侵的前奏。对于运维安全审计来说，端口扫描检测是必要的技术。在海量的服务器访问记录中识别出是端口扫描行为，一般情况下是统计数据包的个数来判断，这存在检测精度不高的问题；而基于异常的检测方法，则存在误报率高的问题。

有鉴于此，如何提高检测精度，提交检测结果的准确性，已经成为现阶段本领域技术人员亟需解决的问题。

发明内容

本发明提供一种端口扫描检测的方法、装置、计算机设备和存储介质，以检测端口扫描行为和识别高危端口，提高高危端口检测精度，降低误报率。

第一方面，本发明实施例提供了一种端口扫描检测的方法，包括：

基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；

对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；

计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度。

第二方面，本发明实施例还提供了一种端口扫描检测的装置，包括：

频繁项集生成模块，用于基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；

端口扫描判断模块，用于对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；

高危端口判断模块，用于计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度。

第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，述处理器执行所述程序时实现所述一种端口扫描检测方法。

第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现所述一种端口扫描检测方法。

本发明基于端口扫描行为的特点，通过基于目标服务器端口访问日志生成源IP所对应的购物篮，对所述购物篮通过关联规则挖掘出所述源IP对目标服务器集群的端口访问的频繁k项集；对所述频繁k项集进行k值和方差两层排序，基于排序结果判断所述源IP的端口扫描行为；计算包含所述频繁k项集中已识别为端口扫描行为的端口相对于预设高危端口的置信度，通过此方法更方便有效地检测端口扫描行为和识别高危端口，提高高危端口检测精度，降低误报率。