[发明专利]基于网络行为的扫描检测方法、装置、可读存储介质

权利要求书

1.一种基于网络行为的扫描检测方法，其特征在于，包括：

以预定时间周期获取网络数据；

以预定义规则从所述网络数据中确定目标扫描连接；

从所述目标扫描连接中提取与所述目标扫描连接对应的扫描特征；

利用所述扫描特征和训练的分类器检测所述目标扫描连接对应的扫描行为，所述训练的分类器通过学习已有的扫描数据和正常数据得到；

若利用所述扫描特征和训练的分类器未检测出所述目标扫描连接对应的扫描行为，则所述方法还包括：

获取下一个预定时间周期的预定网络数据；以预定义规则从所述预定网络数据中确定预定目标扫描连接；从所述预定目标扫描连接中提取与所述预定目标扫描连接对应的预定扫描特征；将所述扫描特征和所述预定扫描特征进行叠加得到目标扫描特征；利用所述目标扫描特征和训练的分类器检测所述预定网络数据中的扫描行为。

2.根据权利要求1所述的基于网络行为的扫描检测方法，其特征在于，所述获取网络数据包括：

获取三层网络和/或四层网络的网络数据。

3.根据权利要求1所述的基于网络行为的扫描检测方法，其特征在于，所述以预定义规则从所述网络数据中确定目标扫描连接包括：

从所述网络数据中确定ICMP连接和/或TCP连接；

将所述ICMP连接和/或所述TCP连接作为目标扫描连接。

4.根据权利要求1所述的基于网络行为的扫描检测方法，其特征在于，所述从所述目标扫描连接中提取与所述目标扫描连接对应的扫描特征包括：

从所述目标扫描连接中提取所述目标扫描连接的访问对象的数量、扫描端口接收到的不同IP地址的数量以及扫描端口出现无响应连接的次数。

5.根据权利要求1所述的基于网络行为的扫描检测方法，其特征在于，若利用所述扫描特征和训练的分类器检测出所述目标扫描连接对应的扫描行为之后，还包括：

根据所述目标扫描连接确定所述扫描行为的扫描类型；

将所述扫描类型进行存储。

6.一种基于网络行为的扫描检测装置，其特征在于，包括：

网络数据获取模块，用于获取网络数据；

目标扫描连接确定模块，用于以预定义规则从所述网络数据中确定目标扫描连接；

扫描特征提取模块，用于从所述目标扫描连接中提取与所述目标扫描连接对应的扫描特征；

扫描行为检测模块，用于利用所述扫描特征和训练的分类器检测所述目标扫描连接对应的扫描行为，所述训练的分类器通过学习已有的扫描数据和正常数据得到；

其中，网络数据获取模块包括：

第二网络数据获取单元，用于以预定时间周期获取网络数据；

所述扫描检测装置还包括：

预定网络数据获取模块，用于若利用所述扫描特征和训练的分类器未检测出所述目标扫描连接对应的扫描行为，获取下一个预定时间周期的预定网络数据；

预定目标扫描连接确定模块，用于以预定义规则从所述预定网络数据中确定预定目标扫描连接；

预定扫描特征提取模块，用于从所述预定目标扫描连接中提取与所述预定目标扫描连接对应的预定扫描特征；

目标扫描特征叠加模块，用于将所述扫描特征和所述预定扫描特征进行叠加得到目标扫描特征；

预定扫描行为检测模块，用于利用所述目标扫描特征和训练的分类器检测所述预定网络数据中的扫描行为。

7.一种基于网络行为的扫描检测装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述存储器中存储的计算机程序以实现如权利要求1至5任一项所述基于网络行为的扫描检测方法的步骤。

8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的基于网络行为的扫描检测方法的步骤。