[发明专利]一种内网服务器发现方法、系统及网络安全审计系统

权利要求书

1.一种内网服务器发现方法，其特征在于，包括：

S101：获取会话信息，并根据所述会话信息的三元组信息，判断预设数据库中是否保存有与所述会话信息的三元组信息关联的服务器，如果否，则进入步骤S102，如果是，进入步骤S103，所述预设数据库中存储有三元组信息与服务器的关联关系，并且所述服务器的状态标记包括可能、待识别和已识别；

S102：在当所述会话信息的IP信息为非外网IP时，在所述预设数据库中新建待处理服务器与所述会话信息的三元组信息的关联关系，将所述待处理服务器的状态标记为可能，并进入步骤S104；

S103：判断所述待处理服务器的状态是否为已识别，如果否，则进入步骤S105，如果是，则返回步骤S101；

S104：更新所述待处理服务器的统计数据，所述统计数据包括连接会话数、不同源IP数和不同源端口数，并判断在预设时间阈值内，所述待处理服务器的统计数据是否满足服务器甄别条件，如果是，则将所述待处理服务器的状态设置为待识别，并进入步骤S106，如果否，则返回步骤S101；

S105：判断所述待处理服务器的状态是否为待识别，如果否，则进入步骤S104，如果是，则进入步骤S106；

S106：识别所述待处理服务器所提供的服务类型，将识别的服务器所提供的服务类型与所述待处理服务器绑定，将所述待处理服务器的状态设置为已识别。

2.根据权利要求1所述的方法，其特征在于，所述会话信息的三元组信息为会话信息的第三次握手的目的IP、目的端口号和传输层协议。

3.根据权利要求2所述的方法，其特征在于，所述更新所述待处理服务器的统计数据，并判断在预设时间阈值内，所述待处理服务器的统计数据是否满足服务器甄别条件包括：

将所述待处理服务器的统计数据中的连接会话数+1；

当所述会话信息三元组信息中的源IP与所述待处理服务器已组织的所有源IP均不相同时，所述待处理服务器的统计数据中的源IP数+1；

当所述会话信息三元组信息中的源端口与所述待处理服务器已组织的所有源端口均不相同时，所述待处理服务器的统计数据中的源端口数+1；

判断所述待处理服务器的统计数据的统计时间间隔是否大于所述预设时间阈值，如果是，则将所述待处理服务器的统计数据归零，如果否，则在当所述待处理服务器的统计数据中的连接会话数大于第一预设值，且源IP数大于第二预设值；

或

当所述待处理服务器的统计数据中的连接会话数大于第一预设值，且源端口数大于第三预设值时，判定所述待处理服务器的统计数据满足服务器甄别条件。

4.根据权利要求1所述的方法，其特征在于，所述识别所述待处理服务器所提供的服务类型包括：

以所述会话信息的三元组信息的端口号查询端口协议映射表，以确定与所述会话信息的三元组信息的端口号对应的协议类型作为预协议类型，当所述端口协议映射表中不存在与所述会话信息的三元组信息的端口号对应的协议类型时，所述预协议类型为空；当所述端口协议映射表中存储有端口号与协议类型的对应关系时，则将所述端口协议映射表中与端口号对应的协议类型作为预协议类型；

对所述会话信息的会话交互数据进行与预协议类型对应的指纹特征规则的匹配，当所述会话信息与任一与预协议类型对应的指纹特征规则匹配时，则将所述待处理服务器所提供的服务类型确定为预协议类型，当所述会话信息与所有与预协议类型对应的指纹特征规则均不匹配时，则对所述会话信息进行与其他协议类型对应的指纹特征规则的匹配，当所述会话信息与任一与其他协议类型对应的指纹特征规则匹配时，则将所述待处理服务器所提供的服务类型确定为匹配的指纹特征规则对应的协议类型。

5.根据权利要求1所述的方法，其特征在于，步骤S106之后还包括：

根据已识别的待处理服务器和所述待处理服务器所提供的服务类型，生成上报信息。