[发明专利]端口扫描检测

说明书

一种方法包括在网络数据业务中识别一组源节点和目的地节点(26)对，每对具有给定源节点、给定目的地节点以及在每对中的节点之间的业务中访问的一个或更多个端口(40)，并对于每对计算相应的基线，该基线指示在第一时段期间除了该对中的给定源节点之外的源节点在给定目的地节点上访问的端口的第一数量。对于每对，计算相应的测试得分，该测试得分指示在第二时段期间该对中的给定源节点在给定目的地节点上访问的端口的第二数量与基线之间的差，并且对于这些对中的任意对中的测试得分大于阈值的给定源节点启动预防动作。

发明领域

本发明一般涉及计算机安全，并且特别涉及检测端口扫描攻击。

发明背景

在计算机联网中，通信端口是网络上的逻辑通信端点，从软件的角度来看，其视为等同于在网络中给定计算机上执行的特定资源(例如，进程或服务类型)。通信端口(本文也简称为端口或端口号)通常由通信协议定义。例如，端口是开放系统互连(OSI)模型中的第4层(即传输层)协议中的一个，并且用于定义客户端-服务器应用架构中的网络会话。

端口为一个网络地址处的多个服务或多个通信会话提供多路复用服务。在操作中，端口是用于识别通过网络传输的消息的来源和目的地的寻址信息的一部分。此外，每个“开放”端口通常与特定服务相关联，诸如具有连接到它们的服务，诸如数据库服务、电子邮件服务或通信服务。

网络端口扫描是一种用于确定网络上哪些端口是开放的方法。在网络或服务器上运行端口扫描会揭示哪些端口是开放的并被配置为接收和/或发送信息。网络专业人员可以使用端口扫描工具来衡量他们对攻击者的暴露程度并监视设备和服务。另一方面，黑客会扫描端口以探测网络中可利用的开放端口，并测定在每个设备上运行哪些服务。例如，黑客可以向多个端口发送消息，并分析来自每个给定端口的响应以便确定该端口是否正在被使用，并且如果是，则确定什么服务正在使用给定端口。

以引用方式并入本专利申请中的文件应被视为本申请的组成部分，除非在这些并入文件中以与本说明书中明确地或隐含地做出的定义相冲突的方式定义的任何术语的范围内，仅应考虑本说明书中的定义。

以上描述是作为该领域中相关技术的一般概述而呈现的，并且不应被解释为承认其包含的信息中的任何信息构成针对本专利申请的现有技术。

发明概述

根据本发明的实施例，提供了一种方法，其包括：在通过网络进行通信的多个节点之间传输的数据业务中识别一组源节点和目的地节点对，每对由给定源节点和给定目的地节点以及在每对中的源节点和目的地节点之间的数据业务中被访问的一个或更多个通信端口组成；对于该组中的每对，计算相应的基线水平，该基线水平指示在第一时间段期间除了该对中的给定源节点之外的源节点在给定目的地节点上访问的通信端口的第一数量；对于该组中的每对，计算相应的测试得分，该测试得分指示在第二时间段期间该对中的给定源节点在给定目的地节点上访问的通信端口的第二数量与基线水平之间的差；以及对于在任意对中的测试得分大于指定水平的给定源节点启动预防动作。

在一些实施例中，识别源节点和目的地节点对包括从探针(probe)收集通过网络传输的数据分组，将收集的数据分组聚合成给定源节点和给定目的地节点之间的通信会话，并且在每个聚合通信会话中识别访问给定目的地节点上的至少一个给定通信端口的给定源节点。在附加实施例中，该方法还包括识别一个或更多个有噪声的扫描器(noisyscanner)，该有噪声的扫描器中的每个有噪声的扫描器包括访问至少第二指定数量的目的地节点上的至少指定的第一数量的目的地端口的给定源节点。在一个实施例中，计算给定对的基线水平包括计算在第一时间段期间，除了该对中的给定源节点之外并且除了已识别的有噪声的扫描器中的任何有噪声的扫描器之外的源节点在给定目的地节点上访问的协议端口的修正的第一数量；