WO2015027523A1 - 一种确定tcp端口扫描的方法及装置 - Google Patents

一种确定tcp端口扫描的方法及装置 Download PDF

Info

Publication number
WO2015027523A1
WO2015027523A1 PCT/CN2013/082811 CN2013082811W WO2015027523A1 WO 2015027523 A1 WO2015027523 A1 WO 2015027523A1 CN 2013082811 W CN2013082811 W CN 2013082811W WO 2015027523 A1 WO2015027523 A1 WO 2015027523A1
Authority
WO
WIPO (PCT)
Prior art keywords
address information
device corresponding
destination
message
syn
Prior art date
Application number
PCT/CN2013/082811
Other languages
English (en)
French (fr)
Inventor
丁杰
马化一
孔勇
张俭锋
薛百华
Original Assignee
北京东土科技股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京东土科技股份有限公司 filed Critical 北京东土科技股份有限公司
Priority to PCT/CN2013/082811 priority Critical patent/WO2015027523A1/zh
Publication of WO2015027523A1 publication Critical patent/WO2015027523A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]

Definitions

  • the present invention relates to the field of industrial Ethernet technologies, and in particular, to a method and apparatus for determining TCP port scanning.
  • BACKGROUND OF THE INVENTION Port scanning refers to a method in which an attacker sends a set of port scans to attempt to invade a device and obtain various useful information of the device. By detecting the detection of a specific flag in the scanning technique, the port scanning behavior of the known feature can be detected quickly and accurately, but the scanning behavior of the unknown feature cannot be detected.
  • the number of packets sent for each port in the fixed time length ⁇ exceeds the set threshold N.
  • the number of packets sent by the port exceeds the set threshold N, Then it is determined that the port is performing port scanning.
  • the length T of the method is a fixed value, and it is not possible to effectively detect a port scan (low speed port scan) message with a long transmission period.
  • the length of time T can be adjusted, but the method has the weakness of "anti-noise" difference.
  • the scanner adds a large number of source addresses during scanning, the source port is randomly forged "noise," Scanning will result in an increase in the length of time T.
  • the longer the length of time T the more packets will be buffered during the length of time T, so a large amount of memory and CPU detection time will be wasted, which is not conducive to improving port scanning. s efficiency.
  • the snor t detection method can detect whether the number of packets sent from the same source address X to different destination addresses Y is more than a set threshold value N within a time length T. When the number of the packets is more than N, Determined as the port scan behavior. The same scanlogd detects all ports, regardless of whether the port is open or not open, and the port is not open.
  • the synlog detection method records the status of the upper half of the network and detects whether it is a semi-join. Status to detect if it is a port scan behavior.
  • the snort detection method stores a scan list, and the scan list uses the source address to perform classification, that is, receives the packets sent by different source addresses, but the detection method does not associate the packets sent by different source addresses.
  • the time length T and the set threshold value N can be set, but cannot be changed after setting, different conditions may occur for different networks and different devices, so it is difficult to determine A T and N value for which scenario is applicable, so it is basically difficult to achieve better detection for each scene. Summary of the invention
  • the embodiment of the invention provides a method and a device for determining a TCP port scan, which are used to solve the problem of low efficiency and narrow application range in port scanning detection in the prior art.
  • An embodiment of the present invention provides a method for determining a TCP port scan, which is applicable to packet forwarding by using a forwarding device.
  • the sent scene the method includes:
  • the forwarding device filters out the port scan to be determined according to the whitelist rule set for the scenario in which the packet is forwarded by the forwarding device.
  • the SYN packet is identified in the port scan packet to be determined; for each SYN ⁇ ⁇ , , , , , , , , , , , , ⁇ ⁇ ⁇
  • the address information the response of the SYN packet is confirmed to be a SYN plus ACK packet, and is sent to the device corresponding to the source address information of the SYN packet;
  • the number of the SYN packets of the destination device or the destination port or the destination port that simultaneously scans the device corresponding to the destination address information is counted. , detecting whether the number of the SYN packets is greater than a set threshold N1;
  • the device corresponding to the source address information is determined to perform TCP port scanning when the number of the SYN packets of the destination address or the destination port is greater than the set threshold value N1.
  • the method further includes:
  • the whitelist rule is updated according to the characteristics of the SYN packet sent by the device that performs the TCP port scan.
  • detecting whether the device corresponding to the destination address information and the non-existent destination address or destination port are simultaneously scanned within the length of time T1 and further includes:
  • the device corresponding to the source address information of the SYN packet obtains the specific information corresponding to the destination port, the device corresponding to the source address information is determined to perform TCP port scanning, otherwise the source address information is determined to be corresponding.
  • the device is not performing a TCP port scan.
  • the identifying the SYN message in the port scan packet to be determined includes:
  • the forwarding device identifies the TCP ⁇ ⁇ text in the port scan message to be determined according to the TCP flag bit in the saved message feature database;
  • the SYN packet is identified in the TCP packet according to the type identifier of the packet.
  • detecting whether the device corresponding to the source address information sends an ACK to the device corresponding to the destination address information further includes:
  • the device corresponding to the source address information sends an ACK packet to the device corresponding to the destination address information
  • the device corresponding to the source address information of the SYN packet is sent to a packet with a different destination address in the set time length T2. Whether the number of texts is greater than the set threshold N2;
  • the device corresponding to the source address information is determined to perform the TCP port scanning. Otherwise, the device corresponding to the source address information is determined not to be Perform a TCP port scan.
  • An embodiment of the present invention provides a device for determining a TCP port scan, which is applicable to a scenario in which a forwarding device performs a message forwarding, and the device includes:
  • the filtering module filters out the port scan packets to be determined according to the whitelist rules that are set.
  • the setting module identifies the SYN packet in the port scan packet to be determined according to the characteristics of the SYN packet in the TCP packet;
  • a sending module configured to construct a SYN message response confirmation SYN plus ACK message according to the source address information and the destination address information of the SYN message for each SYN message that is identified, and to send the SYN message to the SYN message The device corresponding to the source address information is sent;
  • a determining module configured to detect whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information; and when the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information Detecting whether the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned within the length of time T1; when it is determined that there is a destination address or destination port that simultaneously scans the device corresponding to the destination address information and does not exist When the number of SYN packets of the destination address or the destination port of the device corresponding to the destination address information and the non-existent address is detected, the number of the SYN packets is greater than the set threshold value N1; When the number of SYN packets of the destination address or the destination port is greater than the set threshold value N1, the device corresponding to the source address information is determined to perform TCP port scanning.
  • the method further includes:
  • the alarm module is configured to generate an alarm log according to the SYN packet sent by the device that performs the TCP port scanning, or notify the administrator when determining that the device corresponding to the source address information performs the TCP port scan; or, according to the determination
  • the characteristics of the SYN ⁇ ⁇ message sent by the device performing the TCP port scan update the whitelist rule.
  • the determining module is further configured to detect whether the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned in the time length T1, and when it is determined that the destination address information is not simultaneously scanned If the device is in the presence or absence of the destination address or the destination port, the device determines whether to obtain the specific information corresponding to the destination port according to the subsequent query message sent by the device corresponding to the source address information of the SYN packet. When the subsequent query sent by the device corresponding to the source address information obtains the specific information corresponding to the destination port, it is determined that the device corresponding to the source address information is performing TCP port scanning, otherwise it is determined that the device corresponding to the source address information is not in progress. TCP port scanning.
  • the setting module is configured to: use, by the forwarding device, the TCP flag in the port scan to be determined according to the TCP flag in the saved message feature database;
  • the determining module is further configured to: detect whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information, and further includes: when the device corresponding to the source address information does not serve the purpose When the device corresponding to the address information sends an ACK packet, it is detected whether the number of packets sent to the different destination addresses by the device corresponding to the source address information of the SYN packet is greater than the set threshold ⁇ 2 within the set time length ⁇ 2; The device corresponding to the source address information is determined to perform TCP port scanning when the number of packets sent by the source address information to the destination address is greater than the set threshold ⁇ 2, otherwise, the device corresponding to the source address information is determined not to be Perform a TCP port scan.
  • An embodiment of the present invention provides a method and a device for determining a TCP port scan.
  • the method includes: the forwarding device identifies a SYN packet in the filtered port scan packet to be determined, according to the source of the identified SYN packet. Address information and destination address information, constructing a response SYN plus ACK message of the SYN message, and sending the device to the device corresponding to the source address information of the SYN message, and the device corresponding to the source address information to the device corresponding to the destination address information.
  • the device corresponding to the source address information is determined to be in the TCP when the ACK packet is sent, and the device corresponding to the source address information is detected and the number of the non-existing destination address or the destination port is greater than the set threshold value N1.
  • Port scanning Since the port scanning is detected according to the constructed SYN+ACK 4 in the embodiment of the present invention, the method can detect the TCP port scanning in the covert and semi-concealed manners, and can also detect the low-speed TCP port scanning, and improve the scanning.
  • Figure 1 is a schematic diagram of a process in which a source device (attack device) and a destination device (an attacked device) perform SYN packet interaction;
  • FIG. 1 is a schematic diagram of a process of determining a TCP port scan according to an embodiment of the present invention
  • Figure 3 is a schematic diagram of message characteristics
  • FIG. 4 is a schematic diagram of a specific implementation process of determining a TCP port scan according to an embodiment of the present invention
  • FIG. 5 is a schematic flowchart of a step S5 of determining a TCP port scan according to an embodiment of the present invention
  • FIG. 6 is a schematic flowchart of a step S6 of determining a TCP port scan according to an embodiment of the present invention
  • FIG. 7 is a schematic structural diagram of an apparatus for determining a low-speed TCP port scan according to an embodiment of the present invention. detailed description
  • the present invention provides a method and apparatus for determining TCP port scanning, in order to improve the detection efficiency of the TCP port scanning and to extend the application range of the detection method when the packet forwarding is performed by the forwarding device.
  • Figure 1 is a schematic diagram of a process in which a source device (attack device) and a destination device (an attacked device) perform SYN packet interaction.
  • the source device forwards to the destination device.
  • the SYN packet is sent first, and then the destination device returns a SYN plus ACK packet to the source device, and then the source device returns a response packet acknowledgement ACK packet to the destination device to establish a connection with the destination device.
  • the destination device sends a response packet to the destination device to terminate the RST, in order to prevent the destination device from obtaining the information of the source device.
  • the attack device does not send RST after receiving the S YN plus ACK message, and terminates the connection. It only scans whether the relevant port is open, for the forwarding device. In this case, the records scanned by the relevant ports are also large (relatively easy to save), but if you are screening for each scan, it is not necessary to save the information for the forwarding device, which requires a lot of computing power. Increase the cost to the forwarding device. Of course, if a port is found to be open, a connection will be established later to obtain further information about the attacked device. At the same time, when the attacking device scans the attacked device, the attacking device scans the source address or source port that does not exist in the attacked device. The invention of the present invention focuses on the discrimination of the port scanning behavior of the attacking device after scanning the relevant port of the attacked device.
  • FIG. 1 is a schematic diagram of a process for determining a TCP port scan according to an embodiment of the present invention, where the process includes the following steps:
  • the forwarding device filters out the port scan packet to be determined according to the set whitelist rule, and establishes a list including the source address, the destination address, and the source port in the port scan to be determined.
  • the method for determining the TCP port scanning is applicable to a scenario in which the device exchanges packets between the devices, and the forwarding device may be, for example, a switch.
  • the forwarding device in order to implement the detection of the TCP port scanning device, when the forwarding device receives the message exchanged between the devices, according to the set white list rule Filter out the port scan to be determined.
  • the relationship between the source address information, the source port information, the destination address information, and the destination port information is saved in the whitelist rule of the setting, and according to the relationship, the forwarding device can filter out the abnormality, that is, the to be determined. Port scan packet.
  • the process of filtering the abnormal packet according to the set whitelist rule belongs to the prior art, and the process is not described in the embodiment of the present invention.
  • S203 According to the source address information and the destination address information of the SYN packet, construct a response of the SYN packet to confirm the SYN plus the ACK packet, and corresponding to the source address information of the SYN packet. The device is sent.
  • the device corresponding to the destination address information is simulated according to the source address information and the destination address information of the SYN packet.
  • the SYN message is configured to confirm the ACK message, that is, the SYN plus ACK message is constructed, and the source address information in the SYN message is used as the destination address information, and the destination address information in the SYfU message is used as the source address information, and The SYN plus ACK packet is sent to the device corresponding to the source address information in the SYN packet.
  • S204 Detecting whether the device corresponding to the source address information is sent an ACK packet to the device corresponding to the destination address information.
  • the destination address or destination port of the destination address information corresponding to the device is generally specified or fixed. Further, only a few destination addresses or ports of the scanned object are opened, but the scanner generally will be The scanner's destination address segment or ports are scanned, that is, the scanner scans the presence of the scanned person and the non-existing destination address or destination port within a period of time. Therefore, in the embodiment of the present invention, it is determined whether the device corresponding to the source address information is performing TCP port scanning by detecting whether the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned.
  • S206 When it is determined that the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned, the SYN report of the presence of the device corresponding to the destination address information and the destination address or the destination port of the non-existent port are simultaneously counted. Number of documents, detecting whether the number of SYN packets is greater than a set threshold N1.
  • S207 When the number of the SYN packets of the destination address or the destination port is greater than the set threshold N1, the device corresponding to the source address information is scanned by the TCP port. Otherwise, the device corresponding to the source address information is scanned. , determining that the device corresponding to the source address information is not performing TCP port scanning.
  • the forwarding device first determines, according to the received packet ACK message returned by the device corresponding to the source address information, whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information. For this case, if the device corresponding to the destination address information receives an ACK packet, the device corresponding to the destination address information must include a large number of non-port scans. The number of packets of different destination ports or destination addresses in a certain length of time can be determined, but in this way, a large number of false positives occur. For the case where the attacking device accesses the attacked device, it is not appropriate to use the general conventional method.
  • the device corresponding to the source address information After determining that the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information, the device corresponding to the source address information establishes a connection with the device corresponding to the destination address information, and the forwarding device detects the length of time. Whether the destination address or destination port corresponding to the destination address information and the non-existent destination address or destination port are simultaneously scanned in T1, where the length TI can be set, for example, ls, 2s, and 1 minute, etc.; During the set length of time T1, it is detected whether there is a destination address or a destination port that simultaneously scans for the presence and absence of the attacked device.
  • the attack device needs to determine which ports or addresses are available, and therefore When the destination address or destination port does not exist, especially when the address or port of the attacked device changes, the attack device scans the destination address or destination port that does not exist. This is one of the conditions for determining whether the attacking device is performing port scanning.
  • the presence of the device corresponding to the destination address information and the SYN report of the destination address or the destination port that do not exist are simultaneously counted. If the number of the SYN packets is greater than the set threshold value N1, the number of the SYN packets is greater than the set threshold value N1 when the number of SYN packets of the destination address or the destination port is greater than the set threshold value N1. It is determined that the device corresponding to the source address information is performing TCP port scanning; otherwise, the TCP port scanning is not performed. Where N1 is the set value.
  • the method can detect the semi-concealed TCP port scanning, and can also detect the low-speed TCP port scanning, thereby improving the The scope of application of the test method.
  • a whitelist rule is set in the forwarding device, between the source device and the destination setting.
  • the forwarding device receives the packet exchanged between the devices, and filters whether each packet may be a port scan packet according to the set whitelist rule, that is, the port scan report to be determined is filtered out. Text.
  • the forwarding device filters out the port scan to be determined. After scanning the port, each port to be determined is scanned in the ⁇ ⁇ feature library, and the ⁇ ⁇ feature library is stored on the hard disk. All the port scans to be determined are saved in the signature database. Only when the port scan packet to be determined is a port scan packet, the port scan packet is sent from the port. 4 ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ .
  • the forwarding device saves each of the port scan packets to be determined in the packet signature database, and identifies whether each port scan packet to be determined is a SYN packet according to the characteristics of the SYN packet in the TCP packet.
  • the forwarding device specifically identifies the SYN ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ TCP TCP ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
  • the forwarding device identifies the TCP ⁇ ⁇ text in the port scan message to be determined according to the TCP flag bit in the saved message feature database;
  • the SYN packet is identified in the TCP packet according to the type identifier of the packet.
  • the SYN packet is specifically identified, it is first identified whether each of the port scan packets to be determined is a TCP packet. Therefore, the specific packet characteristics of each packet are as shown in FIG. 3, and are included for each packet.
  • Information such as time information, quaternary group information, message identifier information, and content information, wherein the seven-tuple information includes source IP address information, destination IP address information, source MAC address information, destination MAC address information, source port information, Destination port information, number of bytes in the packet, and so on.
  • the forwarding device detects whether the port scan packet to be determined is a TCP packet according to the TCP identifier bit in the saved packet identifier, and whether the port scan packet has a TCP flag according to the port to be determined.
  • the type identifier of each TCP packet is identified. According to the type identifier of each TCP packet, the TCP packet is determined to be a SYN packet.
  • the forwarding device For each SYN message determined, in order to determine whether the device that sends the SYN message is performing TCP port scanning, the forwarding device is for each identified SYN ⁇ ⁇ , ,, according to the source of the SYN ⁇ ⁇ ⁇ The address information and the destination address information, imitate the device corresponding to the destination address information, and send an S ACK message to the device corresponding to the source address information, and the specific source address information and destination address information of the SYN plus ACK message , respectively, the destination address information and source address information of the SYN terminal. And the forwarding device determines, according to the response packet sent by the device corresponding to the source address information of the SYN packet, whether the device corresponding to the source address information is performing TCP port scanning.
  • detecting whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information further includes:
  • the device corresponding to the source address information does not send an ACK packet to the device corresponding to the destination address information
  • the device corresponding to the source address information of the SYN packet is sent to a different destination address within a set time length T2. Message Whether the quantity is greater than a set threshold N2;
  • the device corresponding to the source address information is determined to perform the TCP port scanning. Otherwise, the device corresponding to the source address information is determined not to be Perform a TCP port scan.
  • FIG. 4 is a schematic diagram of a specific implementation process of determining a TCP port scan according to an embodiment of the present invention, where the process includes the following steps:
  • the forwarding device filters out the port scan packet to be determined according to the set whitelist rule.
  • S403 Configuring, according to the source address information and the destination address information of the SYN packet, a response acknowledgment ACK packet of the SYN packet, and corresponding to the source address information of the SYN packet, for each SYN packet that is identified. send.
  • step S404 Detecting whether the device corresponding to the source address information sends an ACK packet to the device corresponding to the destination address information, and if the determination result is yes, proceeding to step S405; and if the determination result is no, proceeding to step S5.
  • step S405 detecting whether the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned in the time length T1.
  • the determination result is yes, proceeding to step S406; when the determination result is no, proceeding to step S6. .
  • Step S406 The number of the SYN packets of the destination address or the destination port of the device corresponding to the destination address information and the non-existent address is detected, and the number of the SYN packets is greater than the set threshold value N1.
  • Step S407 is performed; when the determination result is No, step S408 is performed.
  • the device corresponding to the source address information is determined to perform TCP port scanning when the number of the SYN packets of the destination address or the destination port is greater than the set threshold value N1.
  • S408 Determine that the device corresponding to the source address information is not a TCP port scan.
  • S5 The number of packets sent by the device corresponding to the source address information to send different destination addresses is detected.
  • step S5 includes the following steps:
  • step S501 When the device corresponding to the source address information does not send an ACK message to the device corresponding to the destination address information, the device corresponding to the source address information of the SYN packet is sent to different purposes within a set time length T2. If the number of packets of the address is greater than the set threshold N2, if the result of the determination is YES, the process proceeds to step S502; otherwise, the process proceeds to step S503.
  • S502 When the number of the packets sent by the source address information to the different destination addresses is greater than the threshold N2, the device corresponding to the source address information is determined to perform TCP port scanning.
  • S503 Determine that the device corresponding to the source address information does not perform TCP port scanning.
  • step S6 includes the following steps:
  • the forwarding device determines, according to the subsequent query message sent by the device corresponding to the source address information of the SYN packet, whether to obtain the specific information corresponding to the destination port. If the determination result is yes, go to step S602; otherwise, go to step 603. .
  • a subsequent query message is proposed in step S601 for determining whether to acquire specific information corresponding to the destination port.
  • the normal follow-up is used to access the directory and request file transfer, while the exception is followed by the use of the server type and the version number.
  • These exception follow-up messages are ports.
  • Table 1 lists the ports and subsequent query packets.
  • the TCP packet further includes a FIN packet and other non-SYN packets.
  • the forwarding device identifies the non-SYN packet to be determined
  • the non-SYN packet is sent to detect the non-SYN.
  • the method further includes:
  • the device corresponding to the source address information determines that the device corresponding to the source address information is performing TCP port scanning, and the device corresponding to the source address information is determined, when the number of the packets corresponding to the source address information is greater than the threshold value N. No TCP port scan was performed.
  • the method in order to effectively improve the detection efficiency of the TCP port scan, And can actively defend against TCP port scanning, the method also includes:
  • the whitelist rule is updated according to the characteristics of the SYN packet sent by the device that performs the TCP port scan.
  • an alarm is generated.
  • the SYN packet is removed from the message signature database.
  • the alarm level information can be set. For example, when the forwarding device determines that the device performs TCP port scanning, the alarm level can be set to 0.
  • the alarm level can be set to 1. Therefore, when the administrator receives different alarm level information, it can accurately determine the specific type of port scanning.
  • the forwarding device when detecting that the device is performing TCP port scanning, notifies the administrator by means of a short message or a telephone.
  • the forwarding device since the device performing the TCP port scanning is determined by constructing the SYN plus ACK packet, the forwarding device updates the feature of the SYN packet to the whitelist rule in order to generate the alarm linkage, so that the whitelist rule can The scan packet that satisfies the characteristics of the SYN packet is filtered out.
  • FIG. 7 is a schematic structural diagram of an apparatus for determining a TCP port scan according to an embodiment of the present disclosure, which is applicable to a scenario in which a forwarding device forwards a file, and the device includes:
  • the filtering module 71 is configured to filter out the port scan packet to be determined according to the set whitelist rule.
  • the identifying module 72 is configured to identify the port scan packet to be determined according to the feature of the SYN packet in the TCP packet. SYN ⁇ ;
  • the constructing and sending module 73 is configured to, according to the source address information and the destination address information of the SYN packet, construct a response confirmation SYN plus ACK packet of the SYN packet, and send the SYN packet to the SYN packet.
  • Source address information The corresponding device sends;
  • the determining module 74 is configured to detect whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information, and the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information. Detecting whether the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned within the length of time T1; when it is determined that there is a destination address or destination of the device corresponding to the simultaneous scanning of the destination address information When the port is configured, the number of SYN packets of the destination address or the destination port is detected, and the number of the SYN packets is greater than the set threshold value N1. The device corresponding to the source address information is determined to perform TCP port scanning when the number of SYN packets of the destination address or the destination port is greater than the set threshold value N1.
  • the device also includes:
  • the alarm module 75 is configured to generate an alarm log according to the determined SYN packet sent by the device that performs TCP port scanning, or notify the administrator when determining that the device corresponding to the source address information performs TCP port scanning; or, according to The characteristics of the SYN ⁇ ⁇ message sent by the device performing the TCP port scan are determined, and the whitelist rule is updated.
  • the determining module 74 is further configured to detect whether the presence or absence of the destination address or the destination port of the device corresponding to the destination address information is simultaneously scanned within the time length T1, and when it is determined that there is no device that simultaneously scans the destination address information If the destination address or the destination port does not exist, the subsequent query message sent by the device corresponding to the source address information of the SYN packet determines whether to obtain the specific information corresponding to the destination port; and the source address information of the SYN packet. When the subsequent query sent by the corresponding device obtains the specific information corresponding to the destination port, it is determined that the device corresponding to the source address information is performing TCP port scanning, otherwise it is determined that the device corresponding to the source address information is not performing TCP port scanning.
  • the identifying module 72 is configured to identify a TCP packet in the port scan packet to be determined according to the TCP flag in the saved packet feature database; and in the identified TCP packet, according to the type of the packet The identifier bit identifies the SYfU message in the TCP message.
  • the determining module 74 is further configured to: detect whether the device corresponding to the source address information sends an ACK message to the device corresponding to the destination address information, and further includes: if the device corresponding to the source address information does not correspond to the destination address information When the device sends an ACK packet, it is detected whether the number of packets sent to the different destination address by the device corresponding to the source address information of the SYN packet is greater than the set threshold N2 within the set time length T2; If the number of packets sent to the destination address is greater than the set threshold value N2, the device corresponding to the source address information is determined to perform TCP port scanning. Otherwise, the device corresponding to the source address information is determined not to perform the TCP port. scanning.
  • the device can be located in the switch.
  • An embodiment of the present invention provides a method and an apparatus for determining a TCP port scan, where the method includes: The filtered SYN packet is identified, and the SYN packet is sent according to the source address information and the destination address information of the identified SYN packet, and the SYN plus ACK packet is constructed, and the SYN packet is sent to the SYN.
  • the device corresponding to the source address information of the packet is sent, and the device corresponding to the source address information sends an ACK packet to the device corresponding to the destination address information, and simultaneously scans for the existence and non-existent destination address or destination of the device corresponding to the destination address information.
  • the method can detect the TCP port scanning in the covert and semi-concealed manners, and can also detect the low-speed TCP port scanning, and improve the scanning.
  • embodiments of the present application can be provided as a method, system, or computer program product.
  • the application can be in the form of an entirely hardware embodiment, an entirely software embodiment, or a combination of software and hardware.
  • the application can be embodied in the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.).
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种确定TCP端口扫描的方法及装置，解决现有进行端口扫描检测时，效率低、适用范围窄的问题。转发装置在过滤出的待确定的端口扫描报文中识别SYN报文，根据识别出的 SYN报文的源地址信息和目的地址信息，构造 SYN加 ACK报文，并向报文的源地址信息对应的设备发送，当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时，当同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈值N1时，确定该设备进行TCP端口扫描。由于本发明可以检测出半隐蔽方式的TCP端口扫描及低速TCP端口扫描，提高了该检测方法的适用范围，节省了系统资源，并提高了端口扫描的确定效率。

Description

一种确定 TCP端口扫描的方法及装置
技术领域 本发明涉及工业以太网技术领域， 尤其涉及一种确定 TCP端口扫描的方法及装置。 背景技术 端口扫描是指攻击者发送一组端口扫描 ·ί艮文， 试图以此侵入设备， 获取设备的各种有 用信息的一种方法。 通过检测技术检测扫描 ·ί艮文中特定的标志位， 可以对已知特征的端口 扫描行为进行迅速、 精确的检测， 但对于未知特征的扫描行为则不能检测出。
在进行端口扫描时， 针对每个端口在固定时间长度 τ (窗口值） 内， 发送的报文数量 是否超过设定的阈值 N, 当该端口发送的报文数量超过设定的阈值 N时， 则确定该端口在进 行端口扫描。 但是该方法中时间长度 T为固定值， 无法有效检测出发送周期比较长的端口 扫描 （低速端口扫描）报文。
而釆用 Bayes ian Networks等统计模型， 可以对时间长度 T进行调整， 但是该方法具有 "抗噪声" 差的弱点， 当扫描者在扫描时加入大量源地址、 源端口随机伪造的 "噪声，， 扫 描， 将导致时间长度 T的提高， 时间长度 T越长， 由于在该时间长度 T内接收到的数据包都 要緩存， 因此将浪费掉大量的内存和 CPU的检测时间， 不利于提高端口扫描的效率。
snor t检测方法可以在一个时间长度 T内， 检测从同一个源地址 X发往不同目的地址 Y的 报文是否多于设定的阈值 N个， 当该报文数量多于 N个时， 则确定为端口扫描行为。 同样的 scanlogd检测的也是所有的端口， 不管端口是开放的还是不开放的， por t sent ry检测的则 是不开放的端口， synlog检测方法记录网络上半连接的状态，通过检测是否为半连接状态， 从而检测是否为端口扫描行为。
上述检测方法中， snort检测方法中保存有扫描列表， 该扫描列表中用源地址来进行 分类， 即接收不同源地址发送的报文，但该检测方法对不同源地址发送的报文不进行关联， 并且在该检测方法中时间长度 T和设置的阈值 N虽然可以设定， 但是设定后就不能改变了， 而针对不同的网络、 不同的设备会出现不同的情况， 因此 4艮难确定出一个针对哪种场景都 适用的 T和 N值， 因此基本上很难针对每种场景都能达到较好的检测效果。 发明内容
本发明实施例提供一种确定 TCP端口扫描的方法及装置， 用以解决现有技术在进行端 口扫描检测时， 效率低、 适用范围窄的问题。
本发明实施例提供了一种确定 TCP端口扫描的方法， 适用于通过转发装置进行报文转 发的场景， 所述方法包括：
转发装置根据适用于通过转发装置进行报文转发的场景设置的白名单规则， 过滤出待 确定的端口扫描 4艮文；
根据 TCP报文中 SYN报文的特征， 在待确定的端口扫描报文中识别 SYN报文； 针对识别出的每个 SYN ·ί艮文，根据该 SYN ·ί艮文的源地址信息和目的地址信息，构造 SYN 报文的响应确认 SYN加 ACK报文， 并向该 SYN报文的源地址信息对应的设备发送；
检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文； 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在时 间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 α；
当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口 时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1；
当该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN 报文数量大于设定的阈值 N1时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
较佳地， 所述方法还包括：
根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警日志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或，
根据确定出的进行 TCP端口扫描的设备发送 SYN报文的特征， 更新白名单规则。
较佳地， 检测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存 在的目的地址或目的端口， 还包括：
当确定没有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 口时，
所述转发装置根据该 SYN报文的源地址信息对应的设备发送的后续查询报文， 确定是 否获取目的端口对应的特定信息；
当所述 SYN报文的源地址信息对应的设备发送的后续查询报文获取目的端口对应的特 定信息时， 确定该源地址信息对应的设备在进行 TCP端口扫描， 否则确定为该源地址信息 对应的设备没有在进行 TCP端口扫描。
较佳地， 所述待确定的端口扫描报文中识别 S YN报文包括：
所述转发装置根据保存的报文特征库中的 TCP标志位， 在待确定的端口扫描报文中识 别 TCP ·ί艮文； 在识别出的 TCP报文中， 根据报文的类型标识位， 在该 TCP报文中识别出 SYN报文。 较佳地， 检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK 4艮文还包括：
当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在设 定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备发往不同目的地址的报文的数 量是否大于设定的阈值 N2 ;
当该源地址信息的设备发往不同目的地址的报文的数量大于设定的阈值 N2 时， 确定 该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备未进 行 TCP端口扫描。
本发明实施例提供了一种确定 TCP端口扫描的装置， 适用于通过转发装置进行 4艮文转 发的场景， 所述装置包括：
过滤模块， 用根据设置的白名单规则， 过滤出待确定的端口扫描报文，
设别模块， 根据 TCP报文中 SYN报文的特征， 在待确定的端口扫描报文中识别出 SYN 报文；
构造发送模块， 用于针对识别出的每个 SYN报文， 根据该 SYN报文的源地址信息和目 的地址信息， 构造 SYN报文的响应确认 SYN加 ACK报文， 并向该 SYN报文的源地址信息对 应的设备发送；
确定模块， 用于检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备 发送 ACK报文；当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址 或目的端口； 当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目 的端口时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1 ; 当该同时扫描该目的地 址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈值 N1 时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
较佳地， 所述方法还包括：
告警模块， 用于根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警日 志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或， 根据确 定出的进行 TCP端口扫描的设备发送的 SYN ·ί艮文的特征， 更新白名单规则。
较佳地， 所述确定模块， 还用于检测在时间长度 T1 内是否同时扫描该目的地址信息 对应设备的存在和不存在的目的地址或目的端口， 当确定没有同时扫描该目的地址信息对 应设备的存在和不存在的目的地址或目的端口时， 根据该 SYN报文的源地址信息对应的设 备发送的后续查询报文， 确定是否获取目的端口对应的特定信息； 当所述 SYN报文的源地 址信息对应的设备发送的后续查询 4艮文获取目的端口对应的特定信息时， 确定该源地址信 息对应的设备在进行 TCP端口扫描， 否则确定为该源地址信息对应的设备没有在进行 TCP 端口扫描。
较佳地， 所述设别模块， 用于所述转发装置根据保存的报文特征库中的 TCP标志位， 在待确定的端口扫描 ·ί艮文中识别 TCP ·ί艮文； 在识别出的 TCP ·ί艮文中， 居 ·ί艮文的类型标识 位， 在该 TCP ·ί艮文中识别出 SYN ·ί艮文。
较佳地， 所述确定模块， 还用于检测是否收到该源地址信息对应的设备向该目的地址 信息对应的设备发送 ACK报文还包括： 当该源地址信息对应的设备没向该目的地址信息对 应的设备发送 ACK报文时， 检测在设定的时间长度 Τ2 内， 该 SYN报文的源地址信息对应 的设备发往不同目的地址的报文的数量是否大于设定的阈值 Ν2 ; 当该源地址信息的设备发 往不同目的地址的报文的数量大于设定的阈值 Ν2 时， 确定该源地址信息对应的设备在进 行 TCP端口扫描， 否则， 确定该源地址信息对应的设备未进行 TCP端口扫描。
本发明实施例提供一种确定 TCP端口扫描的方法及装置， 该方法包括： 转发装置在过 滤出的待确定的端口扫描报文中， 识别出 SYN报文， 根据识别出的 SYN报文的源地址信息 和目的地址信息， 构造 SYN报文的响应 SYN加 ACK报文， 并向该 SYN报文的源地址信息对 应的设备发送， 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文， 同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN ·ί艮文数量 大于设定的阈值 N1 时， 确定该源地址信息对应的设备在进行 TCP端口扫描。 由于在本发 明实施例中根据构造的 SYN+ACK 4艮文， 来检测端口扫描， 因此该方法可以检测出隐蔽和半 隐蔽方式的 TCP端口扫描， 并且还可以检测出低速 TCP端口扫描， 提高了该检测方法的适 用范围， 另外由于该方法中无需设置时间阈值 T, 因此无需緩存大量的报文， 节省了系统 的资源， 并提高了端口扫描的确定效率。 附图说明
图 1为源设备 (攻击设备 )和目的设备 (被攻击设备 )在进行 SYN报文交互的过程示 意图；
图 1为本发明实施例提供的该确定 TCP端口扫描的过程示意图；
图 3为报文特征示意图；
图 4为本发明实施例提供的该确定 TCP端口扫描的具体实施过程示意图； 图 5为本发明实施例提供的确定 TCP端口扫描的步骤 S 5的流程示意图； 图 6为本发明实施例提供的确定 TCP端口扫描的步骤 S 6的流程示意图；
图 7为本发明实施例提供的一种确定低速 TCP端口扫描的装置结构示意图。 具体实施方式
本发明为了在通过转发装置进行报文转发时， 提高 TCP端口扫描的检测效率， 并扩大 检测方法的适用范围， 本发明实施例提供了一种确定 TCP端口扫描的方法及装置。
下面结合说明书附图， 对本发明进行详细说明。
图 1为源设备 (攻击设备 )和目的设备 (被攻击设备 )在进行 SYN报文交互的过程示 意图， 在图 1中当源设备和目的设备在进行 SYN报文交互时， 源设备向目的设备首先发送 SYN报文， 之后目的设备向源设备返回 SYN加 ACK报文， 之后源设备向目的设备返回响应 报文确认 ACK报文， 与该目的设备建立连接。 但是当该源设备在进行端口扫描时， 为了避 免目的设备获取该源设备的信息后， 追溯该攻击设备， 因此在这种情况下， 该通常源设备 向目的设备发送的响应报文为终止 RST报文， 来中断与目的设备之间的连接。 但是在实际 的端口扫描中， 攻击设备接收到 S YN加 ACK ·ί艮文后不会再发送 RST ·ί艮文来终止此次连接 , 仅仅是扫描了相关端口是否是打开的， 对于转发装置来说， 相关端口被扫描的记录也是大 量的 （保存起来相对容易）， 但是如果对于每一条扫描都进行甄别的话， 对于转发装置就 不是将这些信息保存起来那么筒单， 需要大量运算能力， 势必增加对于转发装置的成本。 当然，发现某端口开放的情况下，后续将会建立连接， 以期进一步获取被攻击设备的信息。 同时， 攻击设备对被攻击设备进行扫描时， 攻击设备会扫描到被攻击设备中不存在的源地 址或源端口。 本发明的发明重点就是基于攻击设备在扫描被攻击设备相关端口后的端口扫 描行为的判别。
因此， 在本发明实施例提供的两个设备通过转发装置进行报文转发的场景中， 为了有 效的确定 TCP端口扫描， 当源设备和目的设备通过转发装置在进行报文的交互时， 提供了 该确定 TCP端口扫描的方法及装置。
图 1为本发明实施例提供的该确定 TCP端口扫描的过程示意图，该过程包括以下步骤：
S201 : 转发装置根据设置的白名单规则， 过滤出待确定的端口扫描报文， 并建立包括 所述待确定的端口扫描 4艮文中的源地址、 目的地址和源端口的列表。
本发明实施例提供的该确定 TCP端口扫描的方法， 适用于设备之间通过转发装置进行 报文的交互的场景， 该转发装置例如可以为交换机。 在本发明实施例中为了实现对 TCP端 口扫描设备的检测， 当转发装置接收到设备之间交互的报文时， 根据设置的白名单规则过 滤出待确定的端口扫描 4艮文。
其中， 在该设置的白名单规则中保存有源地址信息、 源端口信息、 目的地址信息以及 目的端口信息之间的关系， 根据该关系转发装置可以过滤出异常 ·ί艮文， 即待确定的端口扫 描报文。 根据设置的白名单规则过滤出异常报文的过程属于现有技术， 在本发明实施例中 就不对此过程进行赘述。
S202: 才 据 TCP ·ί艮文中 SYN ·ί艮文的特征， 在待确定的端口扫描 ·ί艮文中识别 SYN ·ί艮文。 当转发装置过滤出了待确定的端口扫描报文后，为了实现对 TCP端口扫描设备的识别， 转发装置根据报文中的 TCP标志位， 判断每个待确定的端口扫描报文是否为 TCP报文， 并 在判断该报文为 TCP报文时， 根据该报文的具体类型， 判断该报文是否为 SYN报文， 最终 在待确定的端口扫描 ·ί艮文中识别出 S ΥΝ ·ί艮文。
S203: 针对识别出的每个 SYN报文， 根据该 SYN报文的源地址信息和目的地址信息， 构造 SYN报文的响应确认 SYN加 ACK报文，并向该 SYN报文的源地址信息对应的设备发送。
为了准确的判断发送该报文的设备是否在进行 TCP端口扫描， 当转发装置识别出 SYN 报文后，根据该 SYN报文的源地址信息和目的地址信息，模仿该目的地址信息对应的设备， 构造 SYN报文的响应确认 ACK报文， 即构造 SYN加 ACK报文， 将该 SYN报文中的源地址信 息作为目的地址信息，将该 SYfU艮文中的目的地址信息作为源地址信息，并将该 SYN加 ACK 报文发送给 SYN报文中的源地址信息对应的设备。
S204: 检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK 报文。
S205: 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检 测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址或 目的端口。
目的地址信息对应设备 (被扫描者）的目的地址或目的端口一般是指定或固定打开的， 进一步这里的被扫描者只有数个目的地址或数个端口是打开的， 但是扫描者一般会对被扫 描者的某个目的地址段或数个端口进行扫描， 也就是说扫描者会在一个时间段内扫描被扫 描者的存在和不存在的目的地址或目的端口。 因此在本发明实施例中通过检测是否存在同 时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口， 来确定该源地址 信息对应的设备是否在进行 TCP端口扫描。
S206: 当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的 端口时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口 的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1。 S207: 当同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈值 N1时， 确定该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备在未进行 TCP端口扫描。
同时是指在一个时间段内出现同时扫描被扫描者的存在和不存在的目的地址或目的 端口的情形。
本 S204—S207步骤中， 转发装置首先根据接收到的源地址信息对应的设备返回的报文 ACK报文， 判断是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK 报文， 这是因为如果该目的地址信息对应的设备收到 ACK报文的情况下， 其中目的地址信 息对应的设备必然是包括大量的非端口扫描的情形， 对于这种情况， 一般釆用统计常规的 某个时间长度下的不同目的端口或目的地址的报文数量来判定即可， 但是这种方式会出现 了大量误报的情形。 而对于攻击设备访问被攻击设备的情形来说， 就不宜釆用一般的常规 方法了。
当确定该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文后， 也即 该源地址信息对应的设备与该目的地址信息对应的设备建立了连接， 转发装置检测在时间 长度 T1内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口， 这里的时间长度 TI可以进行一个设定， 例如是 l s、 2s和 1分钟等等； 而转发装置就是在 这个设定的时间长度 T1 内检测是否有同时扫描被攻击设备一端中的存在和不存在的目的 地址或目的端口， 一般而言， 攻击设备会需要判定哪些端口或地址可用的， 因此也就会扫 描到不存在的目的地址或目的端口， 尤其是被攻击设备的地址或端口发生变化时， 攻击设 备更会扫描到不存在的目的地址或目的端口。 这是判断攻击设备是否是进行端口扫描的条 件之一。
而具有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 情形时， 通过统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的 端口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1 ; 当同时扫描该目的地 址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈值 N1 时， 确定该源地址信息对应的设备在进行 TCP端口扫描； 否则就不是进行 TCP端口扫描。 其中 N1为设定值。
由于在本发明实施例中根据构造的 SYN报文的 ACK报文， 来检测端口扫描， 因此该方 法可以检测出半隐蔽方式的 TCP端口扫描， 并且还可以检测出低速 TCP端口扫描， 提高了 该检测方法的适用范围。
具体的， 在本发明实施例中转发装置中设置有白名单规则， 当源设备和目的设置之间 通过转发装置进行报文的交互时， 转发装置接收设备之间交互的报文， 根据设置的白名单 规则， 过滤每个报文是否可能为端口扫描报文， 即过滤出待确定的端口扫描报文。
转发装置过滤出待确定的端口扫描 ·ί艮文后， 将每个待确定的端口扫描 ·ί艮文保存在 ·ί艮文 特征库中， 该 ·ί艮文特征库存储在硬盘上。 所有的待确定的端口扫描 ·ί艮文都保存在该 ·ί艮文特 征库中， 只有识别出该待确定的端口扫描报文为端口扫描报文时， 才将该端口扫描报文从 该 4艮文特征库中移出。
转发装置将过滤出的每个待确定的端口扫描报文保存在报文特征库后， 根据 TCP报文 中 SYN报文的特征， 识别每个待确定的端口扫描报文是否为 SYN报文。 转发装置在具体根 据 TCP ·ί艮文中 SYN ·ί艮文的特征， 在待确定的端口扫描 ·ί艮文中识别 SYN ·ί艮文时包括：
所述转发装置根据保存的报文特征库中的 TCP标志位， 在待确定的端口扫描报文中识 别 TCP ·ί艮文；
在识别出的 TCP报文中， 根据报文的类型标识位， 在该 TCP报文中识别出 SYN报文。 在具体识别 SYN报文时， 首先识别每个待确定的端口扫描报文是否为 TCP报文， 因此 对于每个报文其具体的报文特征如图 3所示，对于每个报文其包含时间信息、七元组信息、 报文标识位信息 报文内容信息等信息， 其中七元组信息包括源 IP 地址信息、 目 的 IP地址信息、 源 MAC地址信息、 目的 MAC地址信息、 源端口信息、 目的端口信息、 报 文包含的字节数信息等。
因此转发装置根据保存的报文特征库中的 TCP标识位， 根据每个待确定的端口扫描报 文是否具有该 TCP标志位， 从而识别该待确定的端口扫描报文是否为 TCP报文； 当在待确 定的端口扫描报文中识别出 TCP报文后， 识别每个 TCP报文的类型标识位， 根据每个 TCP 报文的类型标识位， 判断该 TCP报文是否为 SYN报文。
转发装置针对确定的每个 SYN报文， 为了确定发送该 SYN报文的设备是否在进行 TCP 端口扫描， 转发装置针对识别出的每个 SYN ·ί艮文， 据该 SYN ·ί艮文的源地址信息和目的地 址信息， 模仿该目的地址信息对应的设备 , 向该源地址信息对应的设备发送 S ΥΝ加 ACK报 文， 具体的该 SYN加 ACK ·ί艮文的源地址信息和目的地址信息， 分别为该 SYN端 ·ί艮文的目的 地址信息和源地址信息。并且，转发装置根据接收到该 SYN报文的源地址信息对应的设备， 发送的响应报文， 确定该源地址信息对应的设备是否在进行 TCP端口扫描。
具体的， 在本实施中， 检测是否收到该源地址信息对应的设备向该目的地址信息对应 的设备发送 ACK报文还包括：
当该源地址信息对应的设备没向该目的地址信息对应的设备发送 ACK报文时， 检测在 设定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备发往不同目的地址的报文的 数量是否大于设定的阈值 N2；
当该源地址信息的设备发往不同目的地址的报文的数量大于设定的阈值 N2 时， 确定 该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备未进 行 TCP端口扫描。
图 4为本发明实施例提供的该确定 TCP端口扫描的具体实施过程示意图， 该过程包括 以下步骤：
S401 : 转发装置根据设置的白名单规则， 过滤出待确定的端口扫描报文。
S402:根据 TCP ·ί艮文中 SYN ^艮文的特征，在待确定的端口扫描 ·ί艮文中识别出 SYN ^艮文。
S403: 针对识别出的每个 SYN报文， 根据该 SYN报文的源地址信息和目的地址信息， 构造 SYN报文的响应确认 ACK报文， 并向该 SYN报文的源地址信息对应的设备发送。
S404: 检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK 报文， 当判断结果为是时， 进行步骤 S405; 当判断结果为否时， 进行步骤 S5。
S405 , 检测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在 的目的地址或目的端口， 当判断结果为是时， 进行步骤 S406; 当判断结果为否时， 进行步 骤 S6。
S406: 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1 , 当判断结果为是时， 进 行步骤 S407; 当判断结果为否时， 进行步骤 S408。
S407: 当该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口 的 SYN报文数量大于设定的阈值 N1时， 确定该源地址信息对应的设备在进行 TCP端口扫 描。
S408: 确定该源地址信息对应的设备非 TCP端口扫描。
S5: 基于源地址信息对应的设备发送不同目的地址的报文的数量检测。
S6: 基于 SYN报文的源地址信息对应的设备发送的后续查询报文查询信息检测。
所述步骤 S5具体实施流程图包括如下步骤：
S501 :当该源地址信息对应的设备没有向该目的地址信息对应的设备发送 ACK报文时， 检测在设定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备发往不同目的地址的 报文的数量是否大于设定的阈值 N2 , 当判断结果为是时， 进行步骤 S502 , 否则， 进行步 骤 S503。
S502 当该源地址信息的设备发往不同目的地址的报文的数量大于设定的阈值 N2时， 确定该源地址信息对应的设备在进行 TCP端口扫描。 S503: 确定该源地址信息对应的设备未进行 TCP端口扫描。
如图 6所示， 所述步骤 S6具体实施流程图包括如下步骤：
S601 : 所述转发装置根据该 SYN报文的源地址信息对应的设备发送的后续查询报文， 确定是否获取目的端口对应的特定信息， 当判断结果为是， 进行步骤 S602 , 否则， 进行步 骤 603。
S602: 当所述 SYN报文的源地址信息对应的设备发送的后续查询报文获取目的端口对 应的特定信息时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
S603: 确定为该源地址信息对应的设备没有在进行 TCP端口扫描。
在步骤 S601 中提出后续查询报文用于确定是否获取目的端口对应的特定信息。 例如 端口 21 , 正常后续 ·ί艮文用于访问目录和请求文件传输， 而异常后续 ·ί艮文可能用于取得服务 器类型和取得版本号。 这些异常后续报文就是端口。
表 1为端口与后续查询报文表
端口 对应服务 具体服务器例 正常后续 ·ί艮文例 异常后续报文例
取得服务器类型，
SERV-U
访问目录 如是 SERV-U 还是
21 FTP服务 Fi leZi l la
请求文件传输 Fi leZi 1 la-Server -Server
接着取得版本号
1 、
freeSSHd
22 SSH服务 2 、 常用命令 探测系统信息命令
openSSHd
1、取得服务器 访问目录
69 TFTP服务 很多 类型， 接着取得版 请求文件传输
本号等信息
取得服务器具体类
I IS 型报文
80 WEB服务 APACHE 网址请求 ·ί艮文 知道类型后， 取得
NGNIX 相应服务器版本报 文 另外， 在本发明实施例中该 TCP报文还包括 FIN报文及其他非 SYN类型的报文， 当转 发装置识别出待确定的端口扫描报文非 SYN报文时， 为了检测发送该非 SYN报文的设备是 否在进行 TCP端口扫描， 在本发明实施例中该方法还包括：
检测在设定的时间长度 T内， 该非 SYN报文的源地址信息对应的设备发往不同目的地 址的报文的数量是否大于设定的阈值 N;
当该源地址信息对应的设备发往不同目的地址的报文的数量大于设定的阈值 N时， 确 定该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备未 进行 TCP端口扫描。
在现有技术中一般在过滤出待确定的端口扫描 ·ί艮文后， 直接将该 ·ί艮文丢弃， 不能主动 进行防御， 本发明实施例中为了有效的提高 TCP端口扫描的检测效率， 并能够针对 TCP端 口扫描进行主动防御， 该方法还包括：
根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警日志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或，
根据确定出的进行 TCP端口扫描的设备发送的 SYN报文的特征， 更新白名单规则。 在本发明实施例中当转发装置检测到设备进行 TCP端口扫描时，进行告警。并将该 SYN 报文从报文特征库中移出。 在进行告警时， 可以设置告警级别信息。 例如当转发装置确定 设备进行 TCP端口扫描时， 可以将告警级别设置为 0, 当确定该端口扫描为 TCP半隐蔽的 SYN报文扫描时， 可以将告警级别设置为 1。 因此当管理员接收到不同的告警级别信息后， 可以准确的确定出端口扫描的具体类型。
为了提高对端口扫描设备处理的效率， 在本发明实施例中当检测到设备在进行 TCP端 口扫描时， 转发装置通过短信或电话的形式通知管理员。 另外， 由于通过构造 SYN加 ACK 报文的形式，确定了进行 TCP端口扫描的设备， 因此为了产生报警联动，转发装置将该 SYN 报文的特征更新到白名单规则中， 以便该白名单规则能够过滤出满足该 SYN报文特征的扫 描报文。
图 7为本发明实施例提供的一种确定 TCP端口扫描的装置的结构示意图， 适用于通过 转发装置进行 4艮文转发的场景， 所述装置包括：
过滤模块 71 , 用于根据设置的白名单规则， 过滤出待确定的端口扫描报文； 识别模块 72 , 用于根据 TCP报文中 SYN报文的特征， 在待确定的端口扫描报文中识别 出 SYN ·ί艮文；
构造发送模块 73 , 用于针对识别出的每个 SYN报文， 根据该 SYN报文的源地址信息和 目的地址信息， 构造 SYN报文的响应确认 SYN加 ACK报文， 并向该 SYN报文的源地址信息 对应的设备发送；
确定模块 74 ,用于检测是否收到该源地址信息对应的设备向该目的地址信息对应的设 备发送 ACK报文； 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文 时， 检测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的 地址或目的端口； 当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址 或目的端口时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目 的端口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1 ; 当该同时扫描该目 的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈 值 N1时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
所述装置还包括：
告警模块 75 , 用于根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警 日志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或， 根据 确定出的进行 TCP端口扫描的设备发送的 SYN ·ί艮文的特征， 更新白名单规则。
所述确定模块 74 , 还用于检测在时间长度 T1 内是否同时扫描该目的地址信息对应设 备的存在和不存在的目的地址或目的端口， 当确定没有有同时扫描该目的地址信息对应设 备的存在和不存在的目的地址或目的端口时， 根据该 SYN报文的源地址信息对应的设备发 送的后续查询报文， 确定是否获取目的端口对应的特定信息； 当所述 SYN报文的源地址信 息对应的设备发送的后续查询 4艮文获取目的端口对应的特定信息时， 确定该源地址信息对 应的设备在进行 TCP端口扫描， 否则确定为该源地址信息对应的设备没有在进行 TCP端口 扫描。
所述识别模块 72 , 具体用于根据保存的报文特征库中的 TCP标志位， 在待确定的端口 扫描报文中识别 TCP报文； 在识别出的 TCP报文中， 根据报文的类型标识位， 在该 TCP报 文中识别出 SYfU艮文。
所述确定模块 74 ,还用于检测是否收到该源地址信息对应的设备向该目的地址信息对 应的设备发送 ACK报文还包括： 当该源地址信息对应的设备没向该目的地址信息对应的设 备发送 ACK报文时， 检测在设定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备 发往不同目的地址的报文的数量是否大于设定的阈值 N2 ; 当该源地址信息的设备发往不同 目的地址的报文的数量大于设定的阈值 N2 时， 确定该源地址信息对应的设备在进行 TCP 端口扫描， 否则， 确定该源地址信息对应的设备未进行 TCP端口扫描。
具体的， 该装置可以位于交换机中。
本发明实施例提供一种确定 TCP端口扫描的方法及装置， 该方法包括： 转发装置在过 滤出的待确定的端口扫描报文中， 识别出 SYN报文， 根据识别出的 SYN报文的源地址信息 和目的地址信息， 构造 SYN报文的响应 SYN加 ACK报文， 并向该 SYN报文的源地址信息对 应的设备发送， 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文， 同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN ·ί艮文数量 大于设定的阈值 N1 时， 确定该源地址信息对应的设备在进行 TCP端口扫描。 由于在本发 明实施例中根据构造的 SYN+ACK 4艮文， 来检测端口扫描， 因此该方法可以检测出隐蔽和半 隐蔽方式的 TCP端口扫描， 并且还可以检测出低速 TCP端口扫描， 提高了该检测方法的适 用范围， 另外由于该方法中无需设置时间阈值 T, 因此无需緩存大量的报文， 节省了系统 的资源， 并提高了端口扫描的确定效率。
本领域内的技术人员应明白， 本申请的实施例可提供为方法、 系统、 或计算机程序产 品。 因此， 本申请可釆用完全硬件实施例、 完全软件实施例、 或结合软件和硬件方面的实 施例的形式。 而且， 本申请可釆用在一个或多个其中包含有计算机可用程序代码的计算机 可用存储介盾 （包括但不限于磁盘存储器、 CD-R0M、 光学存储器等）上实施的计算机程序 产品的形式。
本申请是参照根据本申请实施例的方法、 设备（系统）、 和计算机程序产品的流程图 和 /或方框图来描述的。 应理解可由计算机程序指令实现流程图和 /或方框图中的每一流 程和 /或方框、 以及流程图和 /或方框图中的流程和 /或方框的结合。 可提供这些计算机 程序指令到通用计算机、 专用计算机、 嵌入式处理机或其他可编程数据处理设备的处理器 以产生一个机器， 使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用 于实现在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能的 装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方 式工作的计算机可读存储器中， 使得存储在该计算机可读存储器中的指令产生包括指令装 置的制造品， 该指令装置实现在流程图一个流程或多个流程和 /或方框图一个方框或多个 方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上， 使得在计算机 或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理， 从而在计算机或其他 可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和 /或方框图一个 方框或多个方框中指定的功能的步骤。
尽管已描述了本申请的优选实施例， 但本领域内的技术人员一旦得知了基本创造性概 念， 则可对这些实施例做出另外的变更和修改。 所以， 所附权利要求意欲解释为包括优选 实施例以及落入本申请范围的所有变更和修改。
显然， 本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和 范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内， 则本申请也意图包含这些改动和变型在内。

Claims

权 利 要 求
1、 一种确定 TCP 端口扫描的方法， 适用于通过转发装置进行 ·ί艮文转发的场景， 其特 征在于， 所述方法包括：
转发装置根据设置的白名单规则，过滤出待确定的端口扫描报文，根据 TCP报文中 S YN •ί艮文的特征， 在待确定的端口扫描 ·ί艮文中识别出 SYN ·ί艮文； 针对识别出的每个 SYN ·ί艮文， 根据该 SYN报文的源地址信息和目的地址信息，构造 SYN报文的响应确认 SYN加 ACK报文， 并向该 SYN报文的源地址信息对应的设备发送；
检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文； 当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在时 间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 α；
当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口 时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1；
当该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口的 SYN 报文数量大于设定的阈值 N1时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
2、 如权利要求 1所述的方法， 其特征在于， 所述方法还包括：
根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警日志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或，
根据确定出的进行 TCP端口扫描的设备发送 SYN报文的特征， 更新白名单规则。
3、 如权利要求 1所述的方法， 其特征在于， 检测在时间长度 T1内是否同时扫描该目 的地址信息对应设备的存在和不存在的目的地址或目的端口， 还包括：
当确定没有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 口时，
所述转发装置根据该 SYN报文的源地址信息对应的设备发送的后续查询报文， 确定是 否获取目的端口对应的特定信息；
当所述 SYN报文的源地址信息对应的设备发送的后续查询报文获取目的端口对应的特 定信息时， 确定该源地址信息对应的设备在进行 TCP端口扫描， 否则确定为该源地址信息 对应的设备没有在进行 TCP端口扫描。
4、 如权利要求 1 所述的方法， 其特征在于， 所述待确定的端口扫描报文中识别 SYN 报文包括：
所述转发装置根据保存的报文特征库中的 TCP标志位， 在待确定的端口扫描报文中识 别 TCP ·ί艮文；
在识别出的 TCP报文中， 根据报文的类型标识位， 在该 TCP报文中识别出 SYN报文。
5、 如权利要求 1 所述的方法， 其特征在于， 检测是否收到该源地址信息对应的设备 向该目的地址信息对应的设备发送 ACK ·ί艮文还包括：
当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在设 定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备发往不同目的地址的报文的数 量是否大于设定的阈值 N2 ;
当该源地址信息的设备发往不同目的地址的报文的数量大于设定的阈值 N2 时， 确定 该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备未进 行 TCP端口扫描。
6、 一种确定 TCP 端口扫描的装置， 适用于通过转发装置进行 ·ί艮文转发的场景， 其特 征在于， 所述装置包括：
过滤模块， 用根据设置的白名单规则， 过滤出待确定的端口扫描报文，
设别模块， 根据 TCP报文中 SYN报文的特征， 在待确定的端口扫描报文中识别出 SYN 报文；
构造发送模块， 用于针对识别出的每个 SYN报文， 根据该 SYN报文的源地址信息和目 的地址信息， 构造 SYN报文的响应确认 SYN加 ACK报文， 并向该 SYN报文的源地址信息对 应的设备发送；
确定模块， 用于检测是否收到该源地址信息对应的设备向该目的地址信息对应的设备 发送 ACK报文；当该源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文时， 检测在时间长度 T1 内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址 或目的端口； 当确定有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目 的端口时， 统计该同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端 口的 SYN报文数量， 检测该 SYN报文数量是否大于设定的阈值 N1 ; 当该同时扫描该目的地 址信息对应设备的存在和不存在的目的地址或目的端口的 SYN报文数量大于设定的阈值 N1 时， 确定该源地址信息对应的设备在进行 TCP端口扫描。
7、 如权利要求 6所述的装置， 其特征在于， 所述方法还包括：
告警模块， 用于根据确定出的进行 TCP端口扫描的设备发送的 SYN报文， 生成告警日 志； 或， 当确定该源地址信息对应的设备进行 TCP端口扫描时， 通知管理员； 或， 根据确 定出的进行 TCP端口扫描的设备发送的 SYN ·ί艮文的特征， 更新白名单规则。
8、 如权利要求 6 所述的装置， 其特征在于， 所述确定模块， 还用于检测在时间长度 T1内是否同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口， 当确 定没有同时扫描该目的地址信息对应设备的存在和不存在的目的地址或目的端口时， 才艮据 该 SYN报文的源地址信息对应的设备发送的后续查询报文， 确定是否获取目的端口对应的 特定信息； 当所述 SYN报文的源地址信息对应的设备发送的后续查询报文获取目的端口对 应的特定信息时， 确定该源地址信息对应的设备在进行 TCP端口扫描， 否则确定为该源地 址信息对应的设备没有在进行 TCP端口扫描。
9、 如权利要求 6 所述的装置， 其特征在于， 所述设别模块， 用于所述转发装置根据 保存的 ·ί艮文特征库中的 TCP标志位， 在待确定的端口扫描 ·ί艮文中识别 TCP ^i艮文； 在识别出 的 TCP报文中， 根据报文的类型标识位， 在该 TCP报文中识别出 SYN报文。
10、 如权利要求 6所述的装置， 其特征在于， 所述确定模块， 还用于检测是否收到该 源地址信息对应的设备向该目的地址信息对应的设备发送 ACK报文还包括： 当该源地址信 息对应的设备没向该目的地址信息对应的设备发送 ACK报文时，检测在设定的时间长度 T2 内， 该 SYN报文的源地址信息对应的设备发往不同目的地址的报文的数量是否大于设定的 阈值 N2 ; 当该源地址信息的设备发往不同目的地址的报文的数量大于设定的阈值 N2时， 确定该源地址信息对应的设备在进行 TCP端口扫描， 否则， 确定该源地址信息对应的设备 未进行 TCP端口扫描。
PCT/CN2013/082811 2013-09-02 2013-09-02 一种确定tcp端口扫描的方法及装置 WO2015027523A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/CN2013/082811 WO2015027523A1 (zh) 2013-09-02 2013-09-02 一种确定tcp端口扫描的方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2013/082811 WO2015027523A1 (zh) 2013-09-02 2013-09-02 一种确定tcp端口扫描的方法及装置

Publications (1)

Publication Number Publication Date
WO2015027523A1 true WO2015027523A1 (zh) 2015-03-05

Family

ID=52585454

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/082811 WO2015027523A1 (zh) 2013-09-02 2013-09-02 一种确定tcp端口扫描的方法及装置

Country Status (1)

Country Link
WO (1) WO2015027523A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107204834A (zh) * 2017-05-25 2017-09-26 复旦大学 一种基于udt协议的高速网络可靠传输的控制方法
CN107835105A (zh) * 2017-11-01 2018-03-23 北京知道创宇信息技术有限公司 半连接端口扫描优化方法、装置及可读存储介质
CN111447218A (zh) * 2020-03-25 2020-07-24 北京天地和兴科技有限公司 一种tcp端口扫描的检测方法
US11552973B2 (en) 2020-09-01 2023-01-10 Qnap Systems, Inc. Network malicious behavior detection method and networking system using same

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101123492A (zh) * 2007-09-06 2008-02-13 杭州华三通信技术有限公司 检测扫描攻击的方法和设备
CN101902349A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 一种检测端口扫描行为的方法和系统
CN102045251A (zh) * 2009-10-20 2011-05-04 国基电子（上海）有限公司 路由器及tcp端口防御方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101123492A (zh) * 2007-09-06 2008-02-13 杭州华三通信技术有限公司 检测扫描攻击的方法和设备
CN101902349A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 一种检测端口扫描行为的方法和系统
CN102045251A (zh) * 2009-10-20 2011-05-04 国基电子（上海）有限公司 路由器及tcp端口防御方法

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107204834A (zh) * 2017-05-25 2017-09-26 复旦大学 一种基于udt协议的高速网络可靠传输的控制方法
CN107204834B (zh) * 2017-05-25 2020-07-07 复旦大学 一种基于udt协议的高速网络可靠传输的控制方法
CN107835105A (zh) * 2017-11-01 2018-03-23 北京知道创宇信息技术有限公司 半连接端口扫描优化方法、装置及可读存储介质
CN107835105B (zh) * 2017-11-01 2020-01-21 北京知道创宇信息技术股份有限公司 半连接端口扫描优化方法、装置及可读存储介质
CN111447218A (zh) * 2020-03-25 2020-07-24 北京天地和兴科技有限公司 一种tcp端口扫描的检测方法
CN111447218B (zh) * 2020-03-25 2022-08-05 北京天地和兴科技有限公司 一种tcp端口扫描的检测方法
US11552973B2 (en) 2020-09-01 2023-01-10 Qnap Systems, Inc. Network malicious behavior detection method and networking system using same

Similar Documents

Publication Publication Date Title
JP6884135B2 (ja) ネットワーク攻撃防止方法、装置及びシステム
JP6634009B2 (ja) ハニーポートが有効なネットワークセキュリティ
WO2018113594A1 (zh) 防御dns攻击的方法、装置及存储介质
JP6026789B2 (ja) ネーム基盤のネットワークシステムでペンディングテーブルのオーバーフローを防止するノード装置、並びにそのオーバーフローを防止する装置及び方法
WO2021139643A1 (zh) 加密攻击网络流量检测方法，其装置及电子设备
TWI455532B (zh) 交換器、以及流表控制方法
CN109194680B (zh) 一种网络攻击识别方法、装置及设备
WO2018032936A1 (zh) 一种对算法生成域名进行检测的方法及装置
WO2017088326A1 (zh) Tcp连接的处理方法、装置及系统
CN103561048A (zh) 一种确定tcp端口扫描的方法及装置
JP2017502605A (ja) プロキシｉｐアドレスの識別方法及び装置
JP2006512856A (ja) ＤｏＳ攻撃の検出及び追跡を行うシステム及び方法
US11258812B2 (en) Automatic characterization of malicious data flows
CN110166480B (zh) 一种数据包的分析方法及装置
JP5134141B2 (ja) 不正アクセス遮断制御方法
CN103227777B (zh) 一种防止dpd探测失败导致ipsec隧道震荡的方法
CN108810008B (zh) 传输控制协议流量过滤方法、装置、服务器及存储介质
WO2015027523A1 (zh) 一种确定tcp端口扫描的方法及装置
CN108965263A (zh) 网络攻击防御方法及装置
US20220263846A1 (en) METHODS FOR DETECTING A CYBERATTACK ON AN ELECTRONIC DEVICE, METHOD FOR OBTAINING A SUPERVISED RANDOM FOREST MODEL FOR DETECTING A DDoS ATTACK OR A BRUTE FORCE ATTACK, AND ELECTRONIC DEVICE CONFIGURED TO DETECT A CYBERATTACK ON ITSELF
CN110061998B (zh) 一种攻击防御方法及装置
CN102546587B (zh) 防止网关系统会话资源被恶意耗尽的方法及装置
WO2019096104A1 (zh) 攻击防范
KR101593897B1 (ko) 방화벽, ｉｄｓ 또는 ｉｐｓ를 우회하는 네트워크 스캔 방법
WO2021098527A1 (zh) 一种蠕虫检测方法及网络设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13892619

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13892619

Country of ref document: EP

Kind code of ref document: A1