[发明专利]一种网卡流量的端口扫描检测方法、装置和可读存储介质

权利要求书

1.一种网卡流量的端口扫描检测方法，其特征在于，包括：

获取Agent主机网络数据；

提取所述Agent主机网络数据的SYN数据包特征，得到SYN数据包特征信息；

根据所述SYN数据包特征信息对数据包对应连接信息进行处理。

2.根据权利要求1所述的方法，其特征在于，所述获取Agent主机网络数据包括：

获取Agent主机网卡类型信息，根据所述Agent主机网卡类型信息对虚拟网卡进行过滤处理；

获取Agent主机物理网卡的网络流量信息；

根据BPF规则对TCP SYN入栈包之外的数据包进行过滤处理。

3.根据权利要求1所述的方法，其特征在于，

所述SYN数据包特征信息包括源IP信息和目的端口信息。

4.根据权利要求1所述的方法，其特征在于，根据所述SYN数据包特征信息对数据包对应连接信息进行处理，包括：

根据所述SYN数据包特征信息判断数据包所述对应连接信息是否出现过；

若否，将所述对应连接信息存入缓存数据；

若是，则更新所述缓存数据中的时间戳字段。

5.根据权利要求4所述的方法，其特征在于，根据所述SYN数据包特征信息判断数据包所述对应连接信息是否出现过，若否，将所述对应连接信息存入缓存数据，若是，则更新所述缓存数据中的时间戳字段之后，还包括：

根据所述源IP信息和目的端口信息进行分析；

得到所述源IP信息地址相同和所述目的端口信息不一致的数据包的个数信息；

判断任一源IP对应的目的端口数是否在预设阈值范围内；

若否，发送告警信息至预设终端。

6.一种网卡流量的端口扫描检测装置，包括：

获取模块，获取Agent主机网络数据；

处理模块，提取所述Agent主机网络数据的SYN数据包特征，得到SYN数据包特征信息；

存储模块，根据所述SYN数据包特征信息对数据包对应连接信息进行处理。

7.一种电子设备，包括：

至少一个处理器；

以及与所述至少一个处理器通信连接的存储器；

其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-4中任一项所述的方法。

8.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1-5中任一项所述的方法。