CN115811439A - 网络中异常扫描行为的检测方法、装置、电子设备及介质 - Google Patents

Abstract

本发明实施例公开一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质，涉及计算机技术领域，能够提高网络中异常扫描行为的检测成功率。该方法包括：获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。本发明实施例应用于检测网络中异常扫描行为的场景。

Description

网络中异常扫描行为的检测方法、装置、电子设备及介质

技术领域

本发明涉及计算机技术领域，尤其涉及一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质。

背景技术

当网络攻击者打算攻击某一目标网络时，通常会对该目标网络进行扫描，即多次对目标网络发出访问请求，以进行信息采集。然后利用采集到的信息，对目标网络发动网络攻击，具体的网络攻击方式可以为爆破攻击。

为了提高网络攻击的效率，攻击者可以采用一些自动化网络扫描工具进行扫描，网络扫描工具可以为Nmap(全称为Network Mapper，最早是Linux下的网络扫描和嗅探工具包)。目前有些网络攻击者在使用网络扫描工具时，通过降低网络扫描工具扫描频率，模仿人为访问网络的方式，以采集目标网络的相关信息。在这种情况下，边界防护设备无法根据访问频率判定其属于异常扫描，因此该种低频次的异常扫描能够绕过边界防护设备的监测，实现对目标网络的信息采集，这就降低了异常扫描的检测成功率。

因此，如何提高异常扫描的检测成功率成为了目前亟待解决的一个技术问题。

发明内容

有鉴于此，本发明实施例提供一种网络中异常扫描行为的检测方法、装置、电子设备及存储介质，能够提高网络中异常扫描行为的检测成功率。

第一方面，本发明实施例提供一种网络中异常扫描行为的检测方法，所述检测方法包括：获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。

可选的，所述基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志，包括：基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

可选的，所述在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息，包括：在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

可选的，在获取目标网络的流量监控日志和边界防护设备检测能力阈值之前，所述检测方法还包括：建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

可选的，所述建立预设特征信息库，包括：从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

可选的，所述从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存，包括：获取已知网络扫描工具对目标虚拟设备的访问流量文件；对所述访问流量文件进行还原；从还原后的访问流量中，提取特征信息并保存。

第二方面，本发明实施例提供一种网络中异常扫描行为的检测装置，所述检测装置包括：获取模块，用于获取目标网络的流量监控日志和边界防护设备检测能力阈值；聚合模块，用于基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；判断模块，用于在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；确定模块，用于若存在，则确定所述目标网络受到异常扫描。

可选的，所述聚合模块包括：第一聚合单元，用于基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，第二聚合单元，用于基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

可选的，所述判断模块具体用于：在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

可选的，所述检测装置还包括：建立模块，用于在获取目标网络的流量监控日志和边界防护设备检测能力阈值之前，建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

可选的，所述建立模块，包括：提取单元，用于从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

可选的，所述提取单元具体用于：获取已知网络扫描工具对目标虚拟设备的访问流量文件；对所述访问流量文件进行还原；从还原后的访问流量中，提取特征信息并保存。

第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行本发明的任一实施例提供的网络中异常扫描行为的检测方法。

第四方面，本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实现方式所述的网络中异常扫描行为的检测方法。

本发明实施例提供的网络中异常扫描行为的检测方法、装置、电子设备以及存储介质，可以获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。这样一来，通过在扫描频率低于边界防护设备检测能力阈值的流量监控日志中，检测是否存在预设的特征信息，即可确定目标网络是否受到异常扫描，从而可以检测到边界防护设备无法检测到的异常扫描行为，进而能够提高网络中异常扫描行为的检测成功率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例提供的一种网络中异常扫描行为的检测方法的流程示意图；

图2为本发明实施例提供的一种网络中异常扫描行为的检测装置的结构示意图；

图3为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图对本发明实施例进行详细描述。

应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

第一方面，如图1所示，本发明实施例提供了一种网络中异常扫描行为的检测方法，可以包括：

S11，获取目标网络的流量监控日志和边界防护设备检测能力阈值；

在本步骤中，边界防护设备是指在边界处部署的设备，边界防护设备可以为代理、网关、路由器、防火墙、加密隧道等。边界防护设备可以进行边界的监测、管理和控制，检查往来访问信息和协议，将恶意和非授权的访问排除在外。这里的边界，既指信息系统的外部边界，比如内部网络与互联网的连接处，也指信息系统的内部边界，比如不同网络域之间的连接处。

边界防护设备或者流量检测设备可以检测并记录外界设备对目标网络的访问信息，进而根据访问信息生成目标网络的流量监控日志。

边界防护设备检测能力阈值可以为人为操作产生的访问请求的最大频率。举例而言，用户每分钟能访问目标网络的最大次数为30次，边界防护设备检测能力阈值则可以为每分钟30次。

S12，基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；

在本步骤中，可以根据去重规则，对目标网络的所有边界防护设备产生的5各个原始流量监控日志进行聚合处理，得到一个聚合后的流量监控日志。聚合后的流量监控日志中记录了各外界设备对目标网络的访问信息，访问信息包括访问请求的源URL(uniformresource locator，统一资源定位符)网址、目的URL网址，访问时刻等信息。

S13，在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力0阈值以下的流量监控日志中，是否存在预设的特征信息；

边界防护设备检测能力阈值以下的含义是，访问频率小于边界防护设备检测能力阈值，因此边界防护设备检测能力阈值以下的流量监控日志中包括了人为访问目标网络的访问信息，以及网络扫描工具低频次(模仿人为操作)访问

目标网络的访问信息。边界防护设备检测能力阈值以下的流量监控日志中排除5了访问频率大于边界防护设备检测能力阈值的访问信息，边界防护设备自身通过访问频率即可判断该类访问信息是否异常。

网络扫描工具低频次访问目标网络的访问信息包括了预设的特征信息，而人为访问目标网络的访问信息中则不包含前述的预设的特征信息。基于以上区

别，通过判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存0在预设的特征信息，即可判断目标网络是否受到网络扫描工具的异常扫描。

S14，若存在，则确定所述目标网络受到异常扫描。

在本步骤中，当边界防护设备检测能力阈值以下的流量监控日志中存在预设的特征信息时，则说明目标网络受到了网络扫描工具的低频次异常扫描，存在被网络攻击的风险。

5本发明实施例提供的网络中异常扫描行为的检测方法，可以获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。这样一来，通过在扫描频率低于边界防护设备检测能力阈值的流量监控日志中，检测是否存在预设的特征信息，即可确定目标网络是否受到异常扫描，从而可以检测到边界防护设备无法检测到的异常扫描行为，进而能够提高网络中异常扫描行为的检测成功率。

可选的，在本发明的一个实施例中，所述基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志(步骤S12)，可以包括：基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志。

在本发明实施例中，将各原始流量监控日志中访问信息集中在一起，并执行去重操作之后，可以按照源网络协议地址(源IP地址)，对访问信息进行排序，从而可以得到聚合后的第一流量监控日志。

可选的，在本发明的一个实施例中，所述基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志(步骤S12)，可以包括：基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

在本发明实施例中，将各原始流量监控日志中访问信息集中在一起，并执行去重操作之后，可以按照目的网络协议地址(目的IP地址)，对访问信息进行排序，从而可以得到聚合后的第二流量监控日志。

需要说明的是，本发明实施例还可以将上述两种方法综合使用，从而获得第一流量监控日志和第二流量监控日志。

可选的，在本发明的一个实施例中，所述在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息(步骤S13)，可以包括：在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

在本发明实施例中，预设特征信息库中可以存储有多项特征信息，可以逐一判断边界防护设备检测能力阈值以下的流量监控日志中，是否包括预设特征信息库中的每一特征信息。当边界防护设备检测能力阈值以下的流量监控日志中包括一项或者多项特征信息时，即可判定其包括特征信息。

可选的，在本发明的一个实施例中，在获取目标网络的流量监控日志和边界防护设备检测能力阈值(步骤S11)之前，所述方法还可以包括：建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

在本发明实施例中，由于在利用网络扫描工具进行低频次异常扫描时，访问信息中会携带扫描特征关键字，例如，扫描特征关键字可以为Nmap。并且，网络攻击者在利用网络扫描工具进行低频次异常扫描时，通常是为了从敏感URL网址中获取敏感用户数据(例如密码)，敏感URL网址可以为存储用户密码的URL网址。因此，可以在步骤S11之前，预先建立特征信息库，并在特征信息库中存储扫描特征关键字和/或关键网址，以便于在后续步骤中，利用扫描特征关键字和/或关键网址对是否异常扫描行为进行判定。

可选的，在本发明的一个实施例中，所述建立预设特征信息库，可以包括：从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

在本发明实施例中，可以构建包括目标虚拟设备(即靶机)的虚拟网络环境，利用已知网络扫描工具(例如Nmap)对目标虚拟设备进行扫描，边界防护设备对访问信息进行记录，形成访问流量。访问流量中包括了各种特征信息，因此可以从访问流量中提取特征信息并保存，从而形成预设特征信息库。

可选的，在本发明的一个实施例中，所述从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存，可以包括：获取预定格式的已知网络扫描工具对目标虚拟设备的访问流量文件；对所述访问流量文件进行还原；从还原后的访问流量中，提取特征信息并保存。

在本发明实施例中，在获取预定格式的访问流量文件之后，为了便于对特征信息进行提取，可以对访问流量文件进行格式转换。然后从格式转换后的流量文件中，提取特征信息并进行保存。

第二方面，如图2所示，本发明实施例还提供一种网络中异常扫描行为的检测装置，所述检测装置可以包括：获取模块21，用于获取目标网络的流量监控日志和边界防护设备检测能力阈值；聚合模块22，用于基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；判断模块23，用于在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；确定模块24，用于若存在，则确定所述目标网络受到异常扫描。

本发明实施例提供的网络中异常扫描行为的检测装置，可以获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。这样一来，通过在扫描频率低于边界防护设备检测能力阈值的流量监控日志中，检测是否存在预设的特征信息，即可确定目标网络是否受到异常扫描，从而可以检测到边界防护设备无法检测到的异常扫描行为，进而能够提高网络中异常扫描行为的检测成功率。

可选的，在本发明的一个实施例中，聚合模块22包括：第一聚合单元，用于基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，第二聚合单元，用于基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

可选的，在本发明的一个实施例中，判断模块23具体用于：在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

可选的，在本发明的一个实施例中，检测装置还包括：建立模块，用于在获取目标网络的流量监控日志和边界防护设备检测能力阈值之前，建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

可选的，在本发明的一个实施例中，所述建立模块，包括：提取单元，用于从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

可选的，在本发明的一个实施例中，所述提取单元具体用于：获取已知网络扫描工具对目标虚拟设备的访问流量文件；对所述访问流量文件进行还原；从还原后的访问流量中，提取特征信息并保存。

本发明实施例提供的网络中异常扫描行为的检测装置与前述的网络中异常扫描行为的检测方法属于同一发明构思，未在网络中异常扫描行为的检测装置中描述的技术细节可参见前述的网络中异常扫描行为的检测方法中的相关描述，在此不再赘述。

相应的，本发明实施例还提供一种电子设备，图3为本发明电子设备一个实施例的结构示意图，可以实现本发明图1所示实施例的流程。如图3所示，上述电子设备可以包括：壳体31、处理器32、存储器33、电路板34和电源电路35，其中，电路板34安置在壳体31围成的空间内部，处理器32和存储器33设置在电路板34上；电源电路35，用于为上述电子设备的各个电路或器件供电；存储器33用于存储可执行程序代码；处理器32通过读取存储器33中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的方法。

处理器32对上述步骤的具体执行过程以及处理器32通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1所示实施例的描述，在此不再赘述。

该电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子设备。

此外，本发明实施例还提供一种存储介质，该存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现本发明任一实施例提供的方法，因此也能实现相应的有益技术效果，前文已经进行了相应说明，此处不再赘述。

本发明实施例提供的网络中异常扫描行为的检测方法、装置、电子设备以及存储介质，可以获取目标网络的流量监控日志和边界防护设备检测能力阈值；基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；若存在，则确定所述目标网络受到异常扫描。这样一来，通过在扫描频率低于边界防护设备检测能力阈值的流量监控日志中，检测是否存在预设的特征信息，即可确定目标网络是否受到异常扫描，从而可以检测到边界防护设备无法检测到的异常扫描行为，进而能够提高网络中异常扫描行为的检测成功率。进一步地，本发明实施例可以基于源网络协议地址和/或目的网络协议地址，对流量监控日志进行聚合处理。此外，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息时，所采用的预设的特征信息可以为预设特征信息库中的一项特征信息或者多项特征信息。进一步的，本发明实施例可以在使用特征信息库之前，预先建立包括扫描特征关键字和/或关键网址的特征信息库。在建立特征信息库时，可以从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存，从而形成特征信息库。具体的，在提取特征信息时，可以首先对访问流量文件进行格式转换，进而从格式转换后的访问流量中，提取特征信息。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本发明实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种网络中异常扫描行为的检测方法，其特征在于，所述检测方法包括：

获取目标网络的流量监控日志和边界防护设备检测能力阈值；

基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；

在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；

若存在，则确定所述目标网络受到异常扫描。

2.根据权利要求1所述的检测方法，其特征在于，

所述基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志，包括：

基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，

基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

3.根据权利要求1所述的检测方法，其特征在于，所述在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息，包括：

在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设特征信息库中的至少一项特征信息。

4.根据权利要求1所述的检测方法，其特征在于，在获取目标网络的流量监控日志和边界防护设备检测能力阈值之前，所述检测方法还包括：

建立预设特征信息库；其中，所述特征信息库中包括扫描特征关键字和/或关键网址。

5.根据权利要求4所述的检测方法，其特征在于，所述建立预设特征信息库，包括：

从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存。

6.根据权利要求5所述的检测方法，其特征在于，所述从已知网络扫描工具对目标虚拟设备的访问流量中，提取特征信息并保存，包括：

获取已知网络扫描工具对目标虚拟设备的访问流量文件；

对所述访问流量文件进行还原；

从还原后的访问流量中，提取特征信息并保存。

7.一种网络中异常扫描行为的检测装置，其特征在于，所述检测装置包括：

获取模块，用于获取目标网络的流量监控日志和边界防护设备检测能力阈值；

聚合模块，用于基于预设聚合规则，对所述流量监控日志进行聚合处理，得到聚合后的流量监控日志；

判断模块，用于在所述聚合后的流量监控日志中，判断所述边界防护设备检测能力阈值以下的流量监控日志中，是否存在预设的特征信息；

确定模块，用于若存在，则确定所述目标网络受到异常扫描。

8.根据权利要求7所述的检测装置，其特征在于，所述聚合模块包括：

第一聚合单元，用于基于源网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第一流量监控日志；和/或，

第二聚合单元，用于基于目的网络协议地址，对所述流量监控日志进行聚合处理，得到聚合后的第二流量监控日志。

9.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1～6中所述的任一方法。

10.一种存储介质，其特征在于，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1～6中所述的任一方法的步骤。

Images