[发明专利]一种基于TCP流状态的网络扫描检测方法及检测系统

说明书

本发明公开了一种基于TCP流状态的网络扫描检测方法及检测系统，所述方法包括：实时采集网络出口镜像流量数据包，并基于所述流量数据包创建TCP流的状态存储结构或者更新相匹配的TCP流的状态存储结构；周期性对每个发起主动连接的IP地址进行高频扫描检测，若IP地址对应存在高频扫描行为，将所述IP地址加入扫描告警名单；若不存在，对不存在高频扫描行为的IP地址进行低频扫描检测，若所述IP地址对应存在低频扫描行为，将所述IP地址加入扫描告警名单，否则认定所述IP地址不存在扫描行为。本发明所述方法在高频扫描检测的基础上还实现了低频扫描检测，更全面地实现扫描检测，提高网络扫描检测结果的可靠性。

技术领域

本发明属于网络安全技术领域，具体涉及一种基于TCP流状态的网络扫描检测方法及检测系统。

背景技术

黑客在发起网络攻击前一般会利用网络扫描工具对目标网段进行端口扫描，检测目标网络主机和服务器开放监听端口以及对外提供网络服务的情况。并根据端口扫描结果，进而使用相应的工具和手段进行渗透攻击。目前，被广泛使用的网络扫描工具包括NMAP，MASSCAN等，这些工具可以分别利用基于TCP协议和UDP协议的检测技术对主机的端口开放进行检测，其中，基于TCP协议的检测技术主要利用TCP三次握手协议在不同阶段的返回结果对目标IP的TCP端口开放情况进行检测，基于UDP协议的检测技术主要根据是否有ICMP不可达包来判断UDP端口的开放情况。相较而言，基于TCP协议的网络扫描技术的适用范围更广，检测结果更加准确，在网络攻击中应用的也更为广泛。

因此，如果在网络流量监测中能对基于TCP协议的网络扫描行为进行精确检测，及时采取有针对性的阻拦措施，就可以有效减少网络安全事件发生的概率，提升网络安全防护水平。然而当前，大部分网络入侵检测系统采用的端口扫描技术通常以一个时间窗口内单个主机发起主动连接的次数是否超过设定的阀值作为分析依据，没有充分考虑扫描行为建立的TCP连接的特征，易于被进行低频扫描的攻击者躲避。

发明内容

本发明的目的是提供一种基于TCP流状态的网络扫描检测方法及检测系统，其考虑正常的TCP流会经历TCP的三次握手阶段，数据交互阶段和连接断开阶段，而非正常的TCP流一般只经历TCP三次握手的全部或部分阶段以及异常阶段，因而通过分析每个主机主动建立的TCP流在不同状态的比率同样可以检测网络扫描行为。所以本方案在高频扫描检测的基础上增设了低频扫描检测，解决扫描主机发起的主动连接的请求频率较低，无法直接通过建立的TCP连接数量进行判断的问题，实现低频扫描，更全面地实现扫描检测，提高网络扫描检测结果的可靠性。

一方面，本发明提供的一种基于TCP流状态的网络扫描检测方法，包括如下步骤：

S1：实时采集网络出口镜像流量数据包，并基于所述流量数据包创建TCP流的状态存储结构或者更新相匹配的TCP流的状态存储结构；

所述状态存储结构包括TCP流标识、TCP流主动发起连接请求一方的IP地址、TCP流的当前状态阶段以及TCP流更新时间戳；

TCP流的状态阶段类型分为：第一次握手阶段，第二次握手阶段，第三次握手阶段，数据交互阶段，连接断开阶段和异常阶段；

其中，若流量数据包所在TCP流的状态存储结构不存在，则创建TCP流的状态存储结构；若流量数据包所在TCP流的状态存储结构已存在，则更新状态存储结构中TCP流的当前状态阶段；

S2：周期性对每个发起主动连接的IP地址src进行高频扫描检测，若IP地址src对应存在高频扫描行为，将所述IP地址src加入扫描告警名单；若不存在，再对所述IP地址src执行步骤S3；

S3：对S2中不存在高频扫描行为的IP地址src进行低频扫描检测，若所述IP地址src对应存在低频扫描行为，将所述IP地址src加入扫描告警名单，否则认定所述IP地址src不存在扫描行为；