[发明专利]网络中异常扫描行为的检测方法、装置、电子设备及介质

说明书

本发明实施例公开一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质，涉及计算机技术领域，能够提高网络中异常扫描行为的检测成功率。该方法包括：获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。本发明实施例应用于检测网络中异常扫描行为的场景。

技术领域

本发明涉及计算机技术领域，尤其涉及一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质。

背景技术

当网络攻击者打算攻击某一目标网络时，通常会对该目标网络进行扫描，即多次对目标网络发出访问请求，以进行信息采集。然后利用采集到的信息，对目标网络发动网络攻击，具体的网络攻击方式可以为爆破攻击。

为了提高网络攻击的效率，攻击者可以采用一些自动化网络扫描工具进行扫描，网络扫描工具可以为Nmap(全称为Network Mapper，最早是Linux下的网络扫描和嗅探工具包)。目前有些网络攻击者在使用网络扫描工具时，通过降低网络扫描工具扫描频率，模仿人为访问网络的方式，以采集目标网络的相关信息。在这种情况下，边界防护设备无法根据访问频率判定其属于异常扫描，因此该种低频次的异常扫描能够绕过边界防护设备的监测，实现对目标网络的信息采集，这就降低了异常扫描的检测成功率。

因此，如何提高异常扫描的检测成功率成为了目前亟待解决的一个技术问题。

发明内容

有鉴于此，本发明实施例提供一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质，能够提高网络中异常扫描行为的检测成功率。

第一方面，本发明实施例提供一种网络中异常扫描行为的检测方法，所述检测方法包括：获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。

可选的，所述基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志，包括：基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

可选的，所述在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息，包括：在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

可选的，在获取目标网络的流量监控日志和边界防护设备检测能力阈值之前，所述检测方法还包括：建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

可选的，所述建立预设特征信息库，包括：从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

可选的，所述从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存，包括：获取已知网络扫描工具对目标虚拟设备的访问流量文件；对所述访问流量文件进行还原；从还原后的访问流量中，提取特征信息并保存。

第二方面，本发明实施例提供一种网络中异常扫描行为的检测装置，所述检测装置包括：获取模块，用于获取目标网络的流量监控日志和边界防护设备检测能力阈值；聚合模块，用于基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；判断模块，用于在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；确定模块，用于若存在，则确定所述目标网络受到异常扫描。