[发明专利]一种基于流量数据的端口扫描识别方法、系统及装置

说明书

本发明提出的一种基于流量数据的端口扫描识别方法、系统及装置，属于计算机技术领域。所述方法包括：将具有扫描行为的流量数据以每十分钟划分一个时间窗口；在同一时间窗口内，聚合同一源ip地址下目的ip与目的端口相同的数据；判断任一源ip地址的访问数据是否小于预设阈值；并统计此源ip地址的访问信息和相应的目的ip地址的访问信息，作为输入信息；分别通过Snort检测方法、比值计算法、频率计算法计算输入信息并进行集成，得到源ip地址的最终检测分数；判断源ip地址的最终检测分数是否大于判定值；若是，则认定此源ip地址存在端口扫描行为。本发明能够更准确的发现执行扫描操作的主机，将恶意攻击带来的不利后果降至最低。

技术领域

本发明涉及计算机技术领域，更具体的说是涉及一种基于流量数据的端口扫描识别方法、系统及装置。

背景技术

计算机的快速发展在带来便利的同时，也为企业的发展带来了很多不容忽视的安全问题。一方面，由于疏忽或者管理不当导致的数据泄露问题可能导致企业发展就此中断；另一方面，很多黑客对企业的内部数据虎视眈眈，意图通过不正当的手段获取企业的内部信息，这也会对企业的发展造成重创。管理不当或者个人疏忽可以通过制定严格的行为规章避免，然而黑客的攻击行为却防不胜防。为了防范黑客的攻击行为，入侵检测显得尤为重要，其中，端口扫描行为的有效检测在入侵检测中占有重要的地位。攻击者在入侵之前往往会使用一种或者多种端口扫描方法对目标主机系统进行探测，以发现目标系统的漏洞，并利用这些漏洞对目标主机进行攻击。因此，有效的端口扫描行为检测可以将部分入侵行为扼杀在萌芽之中，达到防患于未然的效果。

传统的端口扫描行为检测办法包括Snort检测方法、比值计算法和频率计算法。但是，Snort检测方法虽然简单易行，但是阈值的设定却会对方法的误报率和漏报率产生较大的影响，而大规模的扫描行为均会导致比值计算法与频率计算法均难以有效检测端口扫描行为。可见，现有的端口扫描行为检测办法仅对于快速扫描、单一的水平或垂直扫描有较好的检测效果。

发明内容

针对现有技术中存在的问题，本发明的目的在于提供一种基于流量数据的端口扫描识别方法、系统及装置，能够更准确的发现执行扫描操作的主机，将恶意攻击带来的不利后果降至最低。

本发明为实现上述目的，通过以下技术方案实现：

一种基于流量数据的端口扫描识别方法，包括：

获取服务器到客户端的数据包，并在其中筛选出具有扫描行为的流量数据；

将具有扫描行为的流量数据以每十分钟划分一个时间窗口；

在同一时间窗口内，聚合同一源ip地址下目的ip与目的端口相同的数据；

根据聚合结果判断任一源ip地址的访问数据是否小于预设阈值；若是，则认定此源ip地址不具有扫描行为，筛去相应的流量数据；否则统计此源ip地址的访问信息和相应的目的ip地址的访问信息，作为输入信息；

分别通过Snort检测方法计算输入信息得出第一参考分数、通过比值计算法计算输入信息得出第二参考分数、通过频率计算法计算输入信息得出第三参考分数；将第一参考分数、第二参考分数和第三参考分数进行集成，得到源ip地址的最终检测分数；

判断源ip地址的最终检测分数是否大于判定值；若是，则认定此源ip地址存在端口扫描行为。

进一步，所述具有扫描行为的流量数据具体为：数据包的数量小于3个流量数据。

进一步，所述源ip地址的访问信息和相应的目的ip地址的访问信息，包括：源ip地址访问的数目TCO，访问的目的ip数CIP，访问的目的端口数CPT；每一个目的ip地址的被访问次数TIPi；每一个目的端口的被访问次数TPTi；其中，具体的数据关系如下：