[发明专利]一种异常网络设备的检测方法及装置

权利要求书

1.一种异常网络设备的检测方法，其特征在于，所述方法包括：

获取目标会话的会话信息，所述目标会话为由设备类型为目标设备类型的网络设备发起的会话；

在预先存储的所述网络设备和合法互联网协议IP地址的对应关系中，查询是否存在所述目标会话的会话信息中的第一目的IP地址；

如果不存在所述第一目的IP地址，则在建立所述目标会话之后的第一预设时长内，统计所述网络设备发起的目的IP地址为所述第一目的IP地址的会话的第一数目；

如果所述第一数目大于第一预设阈值，则将所述网络设备标记为问题网络设备；

如果所述问题网络设备发送的流量数据满足预设的挖矿病毒检测条件，则确定所述问题网络设备为异常网络设备；

所述如果所述问题网络设备发送的流量数据满足预设的挖矿病毒检测条件，则确定所述问题网络设备为异常网络设备，包括：

获取在所述目标会话建立之后的第二预设时长内建立的、且目的IP地址为所述问题网络设备的IP地址的第一会话的会话信息，并确定所述第一会话的会话信息中的上行流量的第一平均值；

获取在所述目标会话建立之前的第三预设时长内建立的、且目的IP地址为所述问题网络设备的IP地址的第二会话的会话信息，并确定所述第二会话的会话信息中的上行流量的第二平均值；

如果所述第二平均值与所述第一平均值的差值大于第二预设阈值，则确定所述问题网络设备为异常网络设备。

2.根据权利要求1所述的方法，其特征在于，所述获取目标会话的会话信息，包括：

获取多个会话的会话信息；

针对每个会话信息，根据预先存储的IP地址和设备类型的对应关系，确定该会话信息中的源IP地址对应的设备类型；

如果该会话信息中的源IP地址对应的设备类型为目标设备类型，则确定该会话信息为目标会话的会话信息。

3.根据权利要求1所述的方法，其特征在于，所述如果所述问题网络设备发送的流量数据满足预设的挖矿病毒检测条件，则确定所述问题网络设备为异常网络设备，包括：

在确定所述网络设备为问题网络设备之后的第四预设时长内，统计所述问题网络设备发起的目的端口相同的会话的第二数目；

如果所述第二数目大于第三预设阈值，则确定所述问题网络设备为异常网络设备。

4.一种异常网络设备的检测装置，其特征在于，所述装置包括：

获取模块，用于获取目标会话的会话信息，所述目标会话为由设备类型为目标设备类型的网络设备发起的会话；

查询模块，用于在预先存储的所述网络设备和合法互联网协议IP地址的对应关系中，查询是否存在所述目标会话的会话信息中的第一目的IP地址；

统计模块，用于如果不存在所述第一目的IP地址，则在建立所述目标会话之后的第一预设时长内，统计所述网络设备发起的目的IP地址为所述第一目的IP地址的会话的第一数目；

标记模块，用于如果所述第一数目大于第一预设阈值，则将所述网络设备标记为问题网络设备；

确定模块，用于如果所述问题网络设备发送的流量数据满足预设的挖矿病毒检测条件，则确定所述问题网络设备为异常网络设备；

所述确定模板，具体用于：

获取在所述目标会话建立之后的第二预设时长内建立的、且目的IP地址为所述问题网络设备的IP地址的第一会话的会话信息，并确定所述第一会话的会话信息中的上行流量的第一平均值；

获取在所述目标会话建立之前的第三预设时长内建立的、且目的IP地址为所述问题网络设备的IP地址的第二会话的会话信息，并确定所述第二会话的会话信息中的上行流量的第二平均值；

如果所述第二平均值与所述第一平均值的差值大于第二预设阈值，则确定所述问题网络设备为异常网络设备。

5.根据权利要求4所述的装置，其特征在于，所述获取模块，具体用于：

获取多个会话的会话信息；

针对每个会话信息，根据预先存储的IP地址和设备类型的对应关系，确定该会话信息中的源IP地址对应的设备类型；

如果该会话信息中的源IP地址对应的设备类型为目标设备类型，则确定该会话信息为目标会话的会话信息。