[发明专利]一种基于流量分析的被动式异常端口实时检测方法及系统

权利要求书

1.一种基于流量分析的被动式异常端口实时检测方法，其特征在于：包括：

步骤1：实时采集网络出口的流量数据，并提取所述流量数据中的特征分析字段后生成至少包括一个流量包的特征分析字段的日志消息；

其中，所述特征分析字段包括：时间、源IP地址、目的IP地址、源端口、协议、返回状态码、应用层是否为http协议、TCP协议的syn值以及TCP协议的ack值；

根据一个流量包中流量数据的特征分析字段生成一个日志单元，将至少一个日志单元打包为一个所述日志消息；

步骤2：按照预设分配函数将日志数据转换为消息对象并分发到特定的日志缓存队列进行缓存；

步骤3：从所述特定的日志缓存队列提取消息对象，并将提取的消息对象转化为日志单元以获取所提取的单个流量包中的特征分析字段；

步骤4：调用预设的异常端口分析模型并根据步骤3获取的特征分析字段监测所述日志单元中对应的端口是否异常；

其中，所述异常端口分析模型是基于备案数据表、高危端口数据表以所述特征分析字段为判定依据构建的；

其中，构建步骤4中的所述异常端口分析模型的过程包括如下步骤：

步骤21，获取备案数据表和高危端口数据表；

其中，所述备案数据表包括序号、备案IP地址、备案端口；所述高危端口数据表包括序号、端口号；

步骤22，判断源IP地址是否是企业内部地址、以及判断TCP协议的syn值和TCP协议的ack值是否均为1，若均是，执行步骤23和步骤24；

步骤23：判断源端口是否在所述高危端口数据表中，若在，则将所述源端口标记为高危端口；

步骤24：判断源IP地址是否是服务器地址，若是，执行步骤25，若不是，执行步骤27；

步骤25：判断源IP地址是否在备案数据表中的备案IP地址中，若在，执行步骤26，若不在，标记所述源IP地址为未备案IP；

步骤26：判断源端口是否在备案数据表中的备案端口中，若不在，标记所述源端口为未备案端口；

步骤27：判断应用层是否为http协议，若是，标记所述源IP地址为未备案IP。

2.根据权利要求1所述的方法，其特征在于：步骤2将日志消息转换为消息对象并分发到特定的日志缓存队列进行缓存的过程如下：

首先，从TCP数据通信链路接收步骤1中的日志消息，并将所述日志消息转化为特定格式的消息对象；

所述特定格式为：<key，value>；

key为以系统时间字符串，value为网络行为日志消息；

其次，根据预设分配函数将所述消息对象分发至第i个日志缓存队列；

其中，分配函数的公式如下：

i＝|H(key)|％n；

其中，H(key)为消息头字符串的哈希值，n为日志缓存队列的数量。

3.根据权利要求2所述的方法，其特征在于：步骤3中从所述特定的日志缓存队列提取消息对象，并将提取的消息对象转化为日志单元以获取所提取的单个流量包中的特征分析字段的过程如下：

首先，第i个数据提取线程提取第i个日志缓存队列上的消息对象；

其次，将提取的消息对象转换为日志单元以获取单个流量包的流量数据的特征分析字段。