[发明专利]基于网络行为的扫描检测方法、装置、可读存储介质

说明书

本发明公开了一种基于网络行为的扫描检测方法，通过从网络数据中筛选目标扫描连接，再从目标扫描连接中提取与目标扫描连接对应的扫描特征，利用扫描特征和分类器检测目标扫描连接中存在的扫描行为。因此，在进行扫描行为检测之前先将网络数据中的正常上网数据过滤掉，从而避免了正常的上网数据对检测扫描行为的影响，降低了扫描检测的误报率；同时，通过输入已有的扫描数据和正常数据训练分类器，能够将正常和异常的行为进行准确区分，因此通过训练的分类器对具体的网络环境进行扫描检测时，扫描检测的误报率较小。本发明还公开了一种基于网络行为的扫描检测装置及计算机可读存储介质，同样能实现上述技术效果。

技术领域

本发明涉及网络安全领域，特别涉及基于网络行为的扫描检测方法、装置、可读存储介质。

背景技术

随着计算机网络的发展，数据信息的安全性越来越重要。其中，为了防止其他恶意病毒攻击计算机网络，不少用户都启用了防火墙技术；当内网主机或服务器攻陷之后，攻陷方为了扩散更多的主机，通常需要扫描内网或者外网以发现更多的攻击目标，进而扩散攻击范围；因此，为了防止攻陷方扫描内网扩散攻击范围，通常需要检测攻陷方的扫描内网行为，从而杜绝攻陷方扩散攻击范围。

现有技术中，虽然已经有成型的扫描检测产品，但是其方案都是基于人工设定的阈值进行对整个网络的数据进行扫描检测，但是现实的网络环境都比较复杂，通过人工设定的阈值和对整个网络数据进行检测会导致扫描检测的大量误报，增加运维人员负担。另一方面，现有的扫描检测产品都默认扫描都是快速进行的，无法应对慢速扫描的情况。

因此，如何解决扫描检测中的大量误报问题是本领域技术人员需要解决的问题。

发明内容

本发明的目的在于提供基于网络行为的扫描检测方法、装置、可读存储介质，解决了扫描检测中的大量误报的问题，降低了扫描检测的误报率。

为实现上述目的，本发明实施例提供了如下技术方案：

一方面，本发明实施例提供了一种基于网络行为的扫描检测方法，包括：获取网络数据；以预定义规则从所述网络数据中确定目标扫描连接；从所述目标扫描连接中提取与所述目标扫描连接对应的扫描特征；利用所述扫描特征和训练的分类器检测所述目标扫描连接对应的扫描行为，所述训练的分类器通过学习已有的扫描数据和正常数据得到。

优选地，所述获取网络数据包括：获取三层网络和/或四层网络的网络数据。

优选地，所述以预定义规则从所述网络数据中确定目标扫描连接包括：从所述网络数据中确定ICMP连接和/或TCP连接；将所述ICMP连接和/或所述TCP连接作为目标扫描连接。

优选地，所述从所述目标扫描连接中提取与所述目标扫描连接对应的扫描特征包括：从所述目标扫描连接中提取所述目标扫描连接的访问对象的数量、扫描端口接收到的不同IP地址的数量以及扫描端口出现无响应连接的次数。

优选地，所述获取网络数据包括：以预定时间周期获取网络数据。

优选地，若利用所述扫描特征和训练的分类器未检测出所述目标扫描连接对应的扫描行为，则所述方法还包括：获取下一个预定时间周期的预定网络数据；以预定义规则从所述预定网络数据中确定预定目标扫描连接；从所述预定目标扫描连接中提取与所述预定目标扫描连接对应的预定扫描特征；将所述扫描特征和所述预定扫描特征进行叠加得到目标扫描特征；利用所述目标扫描特征和训练的分类器检测所述预定网络数据中的扫描行为。

优选地，若利用所述扫描特征和训练的分类器检测出所述目标扫描连接对应的扫描行为之后，还包括：根据所述目标扫描连接确定所述扫描行为的扫描类型；将所述扫描类型进行存储。

另一方面，本发明实施例提供了一种基于网络行为的扫描检测装置，包括：

网络数据模块，用于获取网络数据；