[发明专利]一种识别漏洞扫描的方法、装置、设备及存储介质

说明书

本申请实施例提供一种识别漏洞扫描的方法、装置、设备及存储介质，该方法包括：若确认探测源存在对多个连续网络参数值的探测行为时，则确认所述探测源为漏洞扫描源，其中，所述网络参数值是与被探测内网对象相关的值；阻断所述探测源对所述被探测内网对象的访问操作。通过本申请的一些实施例能够实现通过判断同一探测源对连续多个网络参数的访问，确认该探测源属于风险源并进行阻断，从而能够快速准确的识别探测源的漏洞扫描行为，降低被探测内网对象的风险，并且提高运维效率。

技术领域

本申请实施例涉及漏洞扫描领域，具体涉及一种识别漏洞扫描的方法、装置、设备及存储介质。

背景技术

相关技术中，当发生网络攻击前，探测源会先扫描内网主机漏洞，然后针对内网主机漏洞进行攻击。为了防御攻击，在网关设备上对访问内网主机的服务端口进行过滤，只允许业务端口访问主机，非业务端口拒绝访问主机，但是，上述方法需要精确掌握每台内网主机服务端口，工作量大且存在遗留问题，增大运维难度。

因此，如何高效的识别探测源的漏洞扫描行为成为亟待解决的问题。

发明内容

本申请实施例提供一种识别漏洞扫描的方法、装置、设备及存储介质，通过本申请的一些实施例至少能够快速准确的识别探测源的漏洞扫描行为，降低被探测内网对象的风险，并且提高运维效率。

第一方面，本申请的一些实施例提供了一种识别漏洞扫描的方法，所述方法包括：若确认探测源存在对多个连续网络参数值的探测行为时，则确认所述探测源为漏洞扫描源，其中，所述网络参数值是与被探测内网对象相关的值；阻断所述探测源对所述被探测内网对象的访问操作。

与相关技术中为了防御漏洞扫描行为需要知道每台内网主机服务端口的技术方案不同，本申请实施例通过统计探测源的扫描行为即时发现正在进行异常探测的探测源进而阻断探测过程，可以有效避免像现有技术的方案需要对内网主机服务端口的依赖且通过本申请实施例的技术方案还可以减低被探测内网对象的风险，进而提高效率，降低运维难度。

结合第一方面，在本申请的一些实施方式中，所述探测行为是通过遍历针对所述探测源建立的探测信息表确认的。

本申请的一些实施例通过遍历探测源的探测信息可以快速查找出存在风险的探测源。

结合第一方面，在本申请的一些实施方式中，所述确认探测源存在对多个连续网络参数值的探测行为，包括：获取所述探测源发送的探测请求信息，其中，所述探测请求信息包括所述网络参数值和所述探测源的IP地址；根据所述探测请求信息生成探测信息表，其中，所述探测信息表用于记录被所述探测源探测的所述网络参数值；确认所述探测信息表中的多个网络参数值是连续的。

本申请实施例通过探测信息表记录探测源的探测行为，可以通过查找这个信息表即时发现有风险的探测源，从而认定探测源在进行漏洞扫描，属于高危探测源。

结合第一方面，在本申请的一些实施方式中，所述获取所述探测源发送的探测请求信息，包括：获取所述探测请求信息包括的所述被探测内网主机的IP地址和所述探测源的IP地址；所述根据所述探测请求信息生成探测信息表，包括：根据所述被探测内网主机的IP地址和所述探测源的IP地址，生成IP探测信息表，其中，所述IP探测信息表用于记录被所述探测源探测的所述内网主主机的IP地址；所述确认所述探测信息表中的多个网络参数值是连续的，包括：确认所述IP探测信息表中的多个被探测内网主机的IP地址是连续的。

本申请的一些实施例通过确认探测源是否存在对内网主机IP地址的连续访问行为来识别风险探测源，即时阻断这些风险探测源对相应主机的访问扫描。