[发明专利]一种基于扫描报文行为的判定方法及装置

说明书

本发明公开一种基于扫描报文行为的判定方法及装置。所述方法包括通过学习网络中正常的交互报文，构建网络中主机合法行为映射表；进行实时报文检测，捕获扫描特征的报文；获取扫描特征的报文的目的端口，与合法行为映射表进行比对：若在合法行为映射表中命中，则正常放行报文；若在合法行为映射表中未命中，则进行报文拦截判定，根据报文拦截判定结果进行报文拦截或放行。采用本发明技术方案，可以快速准确的判定扫描行为并进行拦截。

技术领域

本发明涉及工业控制技术领域，尤其涉及一种基于扫描报文行为的判定方法及装置。

背景技术

目前，随着工业化与信息化进程的不断交叉融合，越来越多的信息技术应用到了工业领域。在工业防火墙等防护设备里面，需要用到扫描防护的功能，传统的扫描行为的判断往往通过扫描特征报文的速率来进行判断，存在诸多缺点，例如：第一，仅仅通过速率需要速率达到阈值才可以进行判定，不能快速判定，第二，仅仅通过速率判定，可以通过降低速率的方式，规避掉扫描防护功能的拦截，导致防护失效。本发明提供了一种基于扫描报文行为的判定方法，可以快速准确的判定扫描行为并进行拦截。

发明内容

本发明提供了一种基于扫描报文行为的判定方法，包括：

通过学习网络中正常的交互报文，构建网络中主机合法行为映射表；

进行实时报文检测，捕获扫描特征的报文；

获取扫描特征的报文的目的端口，与合法行为映射表进行比对：

若在合法行为映射表中命中，则正常放行报文；

若在合法行为映射表中未命中，则进行报文拦截判定，根据报文拦截判定结果进行报文拦截或放行。

如上所述的基于扫描报文行为的判定方法，其中，扫描特征的报文包括TCP扫描报文、UDP扫描报文；TCP扫描报文包括SYN扫描，FIN扫描，NULL扫描、ACK扫描，UDP扫描报文包括负载长度为0的UDP报文。

如上所述的基于扫描报文行为的判定方法，其中，预先采集网络中正常业务的交互报文进行学习，记录这些交互报文中各主机的IP+port，构建网络中包括主机IP+port的一个合法行为映射表。

如上所述的基于扫描报文行为的判定方法，其中，若在合法行为映射表中未命中，且此报文没有被响应，则更新异常映射表，对本次行为的IP+port进行计数累加，若计数值小于阈值，则正常放行报文；若计数值大于等于阈值，对异常映射表进行分析，若符合拦截行为特征，则进行拦截，否则放行报文。

如上所述的基于扫描报文行为的判定方法，其中，拦截行为特征具体为：如果port端口为一个固定值，则认定属于异常行为，对本报文及此IP的后续报文进行拦截处理。

如上所述的基于扫描报文行为的判定方法，其中，拦截行为特征具体为：如果port端口为递增或者递减分布，则是典型的扫描行为，对本报文及此IP的后续报文进行拦截。

如上所述的基于扫描报文行为的判定方法，其中，拦截行为特征具体为：如果port端口不连续但是都是知名端口，则符合典型的扫描行为，对本报文及此IP地址的后续报文进行拦截。

如上所述的基于扫描报文行为的判定方法，其中，若在合法行为映射表中未命中，但是此报文被正常响应，则可能是合法映射表没有记录的新建连接，将此次行为的IP+port更新到合法映射表，并放行报文。

本发明还提供一种基于扫描报文行为的判定装置，所述装置执行上述任一项所述的基于扫描报文行为的判定方法。

本发明还提供一种计算机可读存储介质，其特征在于，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于被处理器执行上述任一项所述的一种基于扫描报文行为的判定方法。