[发明专利]用于过滤和分析基于分组的通信流量的方法和装置

权利要求书

1.一种用于分析基于分组的通信流量的方法，包括：

接收从源地址通过网络发送、并分别寻址到多个目的地地址的多个数据分组；

确定所述数据分组从所述源地址向所述多个目的地地址发送的频率；以及

响应于所述频率，将所述源地址指出为恶意流量源。

2.如权利要求1所述的方法，其中，接收所述数据分组包括接收传输控制协议SYN分组。

3.如权利要求1所述的方法，其中，指出所述源地址包括将所述源地址指出为蠕虫生成流量的生成者。

4.如权利要求1所述的方法，其中，接收所述数据分组包括接收分别具有端口指定的因特网协议分组，并且其中，确定所述频率包括确定下述数据分组的发送频率，所述数据分组各自的端口指定不对应于在所述目的地地址处运行的应用。

5.如权利要求1所述的方法，其中，确定所述频率包括确定寻址到用于某个应用的服务器所驻留的目的地地址的数据分组的发送频率，所述应用不同于所述分组中所指明的应用。

6.一种用于分析基于分组的通信流量的装置，包括防护设备，该防护设备适于执行以下操作：接收从源地址通过网络发送、并分别寻址到多个目的地地址的多个数据分组；确定所述数据分组从所述源地址向所述多个目的地地址发送的频率；以及响应于所述频率，将所述源地址指出为恶意流量源。

7.如权利要求6所述的装置，其中，所述数据分组包括传输控制协议SYN分组。

8.如权利要求6所述的装置，其中，所述防护设备适于将所述源地址指出为蠕虫生成流量的生成者。

9.如权利要求6所述的装置，其中，所述数据分组包括分别具有端口指定的因特网协议分组，并且其中，所述防护设备适于确定下述数据分组的发送频率，所述数据分组各自的端口指定不对应于在所述目的地地址处运行的应用，以确定所述数据分组是否代表恶意流量。

10.如权利要求6所述的装置，其中，所述防护设备适于确定寻址到用于某个应用的服务器所驻留的目的地地址的数据分组的发送频率，所述应用不同于所述分组中所指明的应用，以确定所述数据分组是否代表恶意流量。