[发明专利]一种教育网恶意IP识别方法及装置

权利要求书

1.一种教育网恶意IP识别方法，其特征在于，包括：

采集教育网各节点的netlow流量；

获取所述netlow流量的访问IP地址、协议类型和端口；

识别所述访问IP地址访问所述端口是否异常，和/或，识别所述访问IP地址发送的请求的所述协议类型是否异常；

当存在异常时，将所述访问IP地址识别为恶意IP。

2.根据权利要求1所述的方法，其特征在于，所述识别所述访问IP地址访问所述端口是否异常包括：

分析所述netlow流量，获得所述访问IP地址登录所述端口的次数；

判断所述访问IP地址登录所述端口的次数是否大于预设阈值；

当所述次数大于所述预设阈值时，判定所述访问IP地址异常访问端口。

3.根据权利要求1所述的方法，其特征在于，所述访问IP地址发送的请求的所述协议类型是否异常包括：

分析所述netlow流量，获得所述访问IP地址发送的请求的协议类型；

获取所述访问IP地址的预设协议类型；

当所述请求的协议类型与所述预设协议类型不同时，判定所述访问IP地址请求异常。

4.根据权利要求1所述的方法，其特征在于，当存在异常时，所述方法还包括：

识别所述netlow流量的目的IP地址；

判断所述访问IP地址和所述目的IP地址的属性，获取攻击方向；

存储所述攻击方向；

其中，所述攻击方向包括所述访问IP地址、所述目的地址IP、所述端口和异常类型。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

在预设窗口展示所述攻击方向。

6.一种教育网恶意IP识别装置，其特征在于，包括：

采集模块，用于采集教育网各节点的netlow流量；

信息获取模块，用于获取所述netlow流量的访问IP地址、协议类型和端口；

分析模块，用于识别所述访问IP地址访问所述端口是否异常，和/或，识别所述访问IP地址发送的请求的所述协议类型是否异常；

识别模块，用于当存在异常时，将所述访问IP地址识别为恶意IP。

7.根据权利要求6所述的装置，其特征在于，所述分析模块包括：

端口访问次数统计单元，用于分析所述netlow流量，获得所述访问IP地址登录所述端口的次数；

访问次数比较单元，用于判断所述访问IP地址登录所述端口的次数是否大于预设阈值；

端口异常判定单元，用于当所述次数大于所述预设阈值时，判定所述访问IP地址异常访问端口。

8.根据权利要求6所述的装置，其特征在于，所述分析模块还包括：

请求类型分析单元，用于分析所述netlow流量，获得所述访问IP地址发送的请求的协议类型；

预设协议类型获取单元，用于获取所述访问IP地址的预设协议类型；

协议异常判定单元，用于当所述请求的协议类型与所述预设协议类型不同时，判定所述访问IP地址请求异常。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括存储模块，包括：

目的IP获取单元，用于识别所述netlow流量的目的IP地址；

攻击方向获取单元，用于判断所述访问IP地址和所述目的IP地址的属性，获取攻击方向；

存储单元，用于存储所述攻击方向；

其中，所述攻击方向包括所述访问IP地址、所述目的地址IP、所述端口和异常类型。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

展示模块，用于在预设窗口展示所述攻击方向。