[发明专利]一种基于流量分析的被动式异常端口实时检测方法及系统

说明书

本发明公开了一种基于流量分析的被动式异常端口实时检测方法及系统，包括：步骤1：实时采集网络出口的流量数据，并提取流量数据中的特征分析字段后生成日志数据；步骤2：按照预设分配函数将日志数据转换为消息对象并分发到特定日志缓存队列进行缓存；步骤3：从特定日志缓存队列提取消息对象，并将提取的消息对象转化为日志数据后获取步骤1所提取的特征分析字段；步骤4：调用预设的异常端口分析模型并根据步骤3获取的特征分析字段监测流量数据中对应的端口是否异常，本发明通过上述方法和系统通过分析流量数据实现了异常端口监测，提高系统的网络安全性。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于流量分析的被动式异常端口实时检测方法及系统。

背景技术

由于黑客可通过后门端口和高危端口发起网络攻击，进而窃取篡改数据或实施破坏行为，严重威胁关键信息基础设施安全。如2017年5月发生的勒索者病毒就是通过信息系统开放的445高危端口发起攻击的，造成全球100多个国家信息系统数据遭到破坏。其中网络未备案端口、高危端口等异常网络端口问题具有检测难度大、威胁程度高的特点，已成为信息安全顽疾，因此发现和监测异常端口十分重要。

网络出口的流量数据中记录了信息系统的访问行为，包括访问的源地址、目的地址、源端口、目的端口及访问时间等。因此要掌握信息系统端口开放情况，及时发现异常端口，实时分析网络流量数据非常必要，对于规模庞大的企业或者数据中心，出口流量数据高达1000M/S，异常端口检测方法必须要支持海量的流量数据实时在线检测。因此，为了解决异常端口监测的问题，实有必要提供一种基于流量分析来监测端口的方法，同时还应支持海量的流量数据的分析。

发明内容

为了实现网络端口的安全检测，提高网络安全性，本发明提供一种基于流量分析的被动式异常端口实时检测方法及系统，可以通过检测流量数据来发现和监测异常端口，提高系统网络安全性，同时还能满足海量的流量数据的实时分析的功能。

本发明提供的一种基于流量分析的被动式异常端口实时检测方法，包括：

步骤1：实时采集网络出口的流量数据，并提取所述流量数据中的特征分析字段后生成至少包括一个流量包的特征分析字段的日志消息；

其中，所述特征分析字段包括：时间、源IP地址、目的IP地址、源端口、协议、返回状态码、应用层是否为http协议、TCP协议的syn值以及TCP协议的ack值；

根据一个流量包中流量数据的特征分析字段生成一个日志单元，将至少一个日志单元打包为一个所述日志消息；

步骤2：按照预设分配函数将日志数据转换为消息对象并分发到特定的日志缓存队列进行缓存；

步骤3：从所述特定的日志缓存队列提取消息对象，并将提取的消息对象转化为日志单元以获取所提取的单个流量包中的特征分析字段；

步骤4：调用预设的异常端口分析模型并根据步骤3获取的特征分析字段监测所述日志单元中对应的端口是否异常；

其中，所述异常端口分析模型是基于备案数据表、高危端口数据表以所述特征分析字段为判定依据构建的。

优选地，构建步骤4中的所述异常端口分析模型的过程包括如下步骤：

步骤21，获取备案数据表和高危端口数据表；

其中，所述备案数据表包括序号、备案IP地址、备案端口；所述高危端口数据表包括序号、端口号；

步骤22，判断源IP地址是否是企业内部地址、以及判断TCP协议的syn值和TCP协议的ack值是否均为1，若均是，执行步骤23和步骤24；

步骤23：判断源端口是否在所述高危端口数据表中，若在，则将所述源端口标记为高危端口；