[发明专利]一种TCP端口扫描的检测方法

权利要求书

1.一种TCP端口扫描的检测方法，其特征在于：包括以下步骤：

S1、网络安全设备通过发射模块向工业控制系统的TCP端口发送RST数据包；

S2、所述网络安全设备通过监控模块过滤出待确定的端口扫描报文，根据TCP报文中RST报文的特性，在待确定的端口扫描报文中识别出RST报文，并对RST报文出现速率进行监控和统计；

S3、所述网络安全设备通过参数配置模块对预设参数a进行自动配置，统计最近1S内的RST报文数为b；设置初始预设参数a₀为5、b₀为0，当监控模块未检测RST报文时，预定义参数a_n＝10+0.8*a_n-1+0.2*b_n-1；当监控模块检测到RST报文时，预定义参数a_n＝a_n-1，当管理人员处理端口扫描事件后，再重新采样进行预设参数的估计；

S4、所述网络安全设备通过处理模块对端口扫描行为检测，所述处理模块通过将最近1秒内统计的RST报文数b_n与前1秒的预设参数a_n-1进行对比，若b_n大于a_n-1，则确认发生了TCP端口扫描行为；若b_n小于等于a_n-1，则认为工业控制系统正常，未出现TCP端口扫描行为。

2.根据权利要求1所述的一种TCP端口扫描的检测方法，其特征在于：还包括S5，当确定网络安全设备确认发生了TCP端口扫描行为，则通过报警模块生成报警信息并通知管理人员。

3.根据权利要求1所述的一种TCP端口扫描的检测方法，其特征在于：所述网络安全设备选用扫描器。

4.根据权利要求1所述的一种TCP端口扫描的检测方法，其特征在于：所述网络安全设备开始运行的一段时间内进行预设参数的学习，之后再进行端口扫描行为的检测，所述预设参数的学习时间不少于半小时。