[发明专利]端口扫描检测

权利要求书

1.一种方法，其包括：

在通过网络进行通信的多个节点之间传输的数据业务中识别一组源节点和目的地节点对，每对由给定源节点和给定目的地节点以及在每对中的所述源节点和目的地节点之间的数据业务中被访问的一个或更多个通信端口组成；

识别一个或更多个有噪声的扫描器，所述有噪声的扫描器中的每个有噪声的扫描器包括访问至少第二指定数量的目的地节点上的至少指定的第一数量的目的地端口的给定源节点；

对于所述组中的每对，计算相应的基线水平，所述基线水平指示在第一时间段期间除了该对中的所述给定源节点之外并且除了已识别的有噪声的扫描器中的任何有噪声的扫描器之外的源节点在所述给定目的地节点上访问的通信端口的第一数量；

对于所述组中的每对，计算相应的测试得分，所述测试得分指示在第二时间段期间该对中的所述给定源节点在所述给定目的地节点上访问的通信端口的第二数量与所述基线水平之间的差；以及

对于所述对中的任意对中的所述测试得分大于指定水平的所述给定源节点，启动预防动作。

2.根据权利要求1所述的方法，其中，识别所述源节点和目的地节点对包括从探针收集通过所述网络传输的数据分组，将所收集的数据分组聚合成给定源节点和给定目的地节点之间的通信会话，并且在每个聚合通信会话中识别访问所述给定目的地节点上的至少一个给定通信端口的给定源节点。

3.根据权利要求1所述的方法，其中，所述指定水平包括第一指定水平，其中，启动所述预防动作包括启动第一预防动作，并且包括：识别在所述第二时间段期间端口扫描中的任何失败连接，并对于所述对中的任意对中的、具有已识别的失败连接中的至少一个失败连接、并且所述测试得分大于比所述第一指定水平低的第二指定水平的给定源节点，启动第二预防动作。

4.根据权利要求1所述的方法，其中，所述第二时间段在所述第一时间段之后。

5.根据权利要求1所述的方法，其中，所述第一时间段和所述第二时间段具有基本上相同的持续时间。

6.根据权利要求1所述的方法，其中，所述第一时间段包括多个子时段，并且其中，计算给定对的所述测试得分包括：计算所述子时段中的每个子时段的单独基线水平，计算所述单独基线水平的平均值，并从通信端口的所述第二数量中减去所计算的平均值。

7.根据权利要求6所述的方法，其中，所述第二时间段和所述子时段中的每个子时段具有基本上相同的持续时间。

8.根据权利要求1至7中任一项所述的方法，其中，启动所述预防动作包括针对所述给定源节点生成警报。

9.根据权利要求1至7中任一项所述的方法，其中，启动所述预防动作包括限制所述给定源节点对所述网络的访问。

10.一种装置，其包括：

耦合到数据网络的网络接口设备，所述网络包括经由所述网络进行通信的多个节点；以及

至少一个处理器，其被配置为：

在通过所述网络在所述多个节点之间传输的数据业务中识别一组源节点和目的地节点对，每对由给定源节点和给定目的地节点以及在每对中的所述源节点和目的地节点之间的数据业务中被访问的一个或更多个通信端口组成，

识别一个或更多个有噪声的扫描器，所述有噪声的扫描器中的每个有噪声的扫描器包括访问至少第二指定数量的目的地节点上的至少指定的第一数量的目的地端口的给定源节点，

对于所述组中的每对，计算相应的基线水平，所述基线水平指示在第一时间段期间除了该对中的所述给定源节点之外并且除了已识别的有噪声的扫描器中的任何有噪声的扫描器之外的源节点在所述给定目的地节点上访问的通信端口的第一数量，

对于所述组中的每对，计算相应的测试得分，所述测试得分指示在第二时间段期间该对中的所述给定源节点在所述给定目的地节点上访问的通信端口的第二数量与所述基线水平之间的差，以及

对于所述对中的任意对中的所述测试得分大于指定水平的给定源节点，启动预防动作。