[发明专利]一种基于流量分析的被动式异常端口实时检测方法及系统

摘要

本发明公开了一种基于流量分析的被动式异常端口实时检测方法及系统，包括：步骤1：实时采集网络出口的流量数据，并提取流量数据中的特征分析字段后生成日志数据；步骤2：按照预设分配函数将日志数据转换为消息对象并分发到特定日志缓存队列进行缓存；步骤3：从特定日志缓存队列提取消息对象，并将提取的消息对象转化为日志数据后获取步骤1所提取的特征分析字段；步骤4：调用预设的异常端口分析模型并根据步骤3获取的特征分析字段监测流量数据中对应的端口是否异常，本发明通过上述方法和系统通过分析流量数据实现了异常端口监测，提高系统的网络安全性。

主权项

1.一种基于流量分析的被动式异常端口实时检测方法，其特征在于：包括：步骤1：实时采集网络出口的流量数据，并提取所述流量数据中的特征分析字段后生成至少包括一个流量包的特征分析字段的日志消息；其中，所述特征分析字段包括：时间、源IP地址、目的IP地址、源端口、协议、返回状态码、应用层是否为http协议、TCP协议的syn值以及TCP协议的ack值；根据一个流量包中流量数据的特征分析字段生成一个日志单元，将至少一个日志单元打包为一个所述日志消息；步骤2：按照预设分配函数将日志数据转换为消息对象并分发到特定的日志缓存队列进行缓存；步骤3：从所述特定的日志缓存队列提取消息对象，并将提取的消息对象转化为日志单元以获取所提取的单个流量包中的特征分析字段；步骤4：调用预设的异常端口分析模型并根据步骤3获取的特征分析字段监测所述日志单元中对应的端口是否异常；其中，所述异常端口分析模型是基于备案数据表、高危端口数据表以所述特征分析字段为判定依据构建的；其中，构建步骤4中的所述异常端口分析模型的过程包括如下步骤：步骤21，获取备案数据表和高危端口数据表；其中，所述备案数据表包括序号、备案IP地址、备案端口；所述高危端口数据表包括序号、端口号；步骤22，判断源IP地址是否是企业内部地址、以及判断TCP协议的syn值和TCP协议的ack值是否均为1，若均是，执行步骤23和步骤24；步骤23：判断源端口是否在所述高危端口数据表中，若在，则将所述源端口标记为高危端口；步骤24：判断源IP地址是否是服务器地址，若是，执行步骤25，若不是，执行步骤27；步骤25：判断源IP地址是否在备案数据表中的备案IP地址中，若在，执行步骤26，若不在，标记所述源IP地址为未备案IP；步骤26：判断源端口是否在备案数据表中的备案端口中，若不在，标记所述源端口为未备案端口；步骤27：判断应用层是否为http协议，若是，标记所述源IP地址为未备案IP。