[发明专利]一种基于扫描报文行为的判定方法及装置

权利要求书

1.一种基于扫描报文行为的判定方法，其特征在于，包括：

通过学习网络中正常的交互报文，构建网络中主机合法行为映射表；

进行实时报文检测，捕获扫描特征的报文；

获取扫描特征的报文的目的端口，与合法行为映射表进行比对：

若在合法行为映射表中命中，则正常放行报文；

若在合法行为映射表中未命中，则进行报文拦截判定，根据报文拦截判定结果进行报文拦截或放行；

若在合法行为映射表中未命中，且此报文没有被响应，则更新异常映射表，对本次行为的IP+port进行计数累加，对本次行为的IP+port计数后，判断计数值：

(1)如果计数值小于某个阈值N，正常放行报文；

(2)如果计数值大于等于阈值N，对异常映射表进行分析：

①如果port端口为一个固定值，则认定属于异常行为，对本报文及此IP的后续报文进行拦截处理；

②如果port端口为递增或者递减分布，则是典型的扫描行为，对本报文及此IP的后续报文进行拦截；

③如果port端口不连续但是都是知名端口，则符合典型的扫描行为，对本报文及此IP地址的后续报文进行拦截；

④如果不符合上面所有的行为特征，放行报文。

2.如权利要求1所述的基于扫描报文行为的判定方法，其特征在于，扫描特征的报文包括TCP扫描报文、UDP扫描报文；TCP扫描报文包括SYN扫描，FIN扫描，NULL扫描、ACK扫描，UDP扫描报文包括负载长度为0的UDP报文。

3.如权利要求1所述的基于扫描报文行为的判定方法，其特征在于，预先采集网络中正常业务的交互报文进行学习，记录这些交互报文中各主机的IP+port，构建网络中包括主机IP+port的一个合法行为映射表。

4.一种基于扫描报文行为的判定装置，其特征在于，所述装置执行如权利要求1-3任一项所述的基于扫描报文行为的判定方法。

5.一种计算机可读存储介质，其特征在于，所述计算机可读 存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于被处理器执行如权利要求1-3任一项所述的一种基于扫描报文行为的判定方法。