[发明专利]服务器异常连接和扫描行为的监控方法和装置

权利要求书

1.一种服务器异常连接和扫描行为的监控方法，其特征在于，包括：

抓取中心交换机的网络会话数据；

将所述网络会话数据存以数据记录的形式存入分布式数据库，其中，一条数据记录对应一次请求或确认；

从所述分布式数据库中的数据记录中提取各IP的行为数据，所述行为数据包括各连接行为次数、IP扫描次数和端口扫描次数；

基于所述行为数据判定各IP的异常行为，所述异常行为包括异常半连接、异常主动连接、异常被动连接、异常IP扫描和异常端口扫描；

展示所述各IP的异常行为；

其中，所述各连接行为次数包括尝试连接行为次数、完整连接行为次数、半连接行为次数、主动连接次数和被动连接次数；

对应地，所述尝试连接行为次数的提取，具体包括：

判断获知当前数据记录的类型为SYN，则判断当前数据记录对应一次尝试连接行为；

提取IP作为源IP在单位时间内所有尝试连接行为的次数；

所述完整连接行为次数的提取，具体包括：

判断获知当前数据记录的类型为SYN，下一数据记录的类型为SYN,ACK且下下一数据记录的类型为ACK，则判断当前数据记录对应一次完整连接行为；

提取所述IP作为源IP在所述单位时间内所有完整连接行为的次数；

所述半连接行为次数的提取，具体包括：

对所述IP作为源IP的单位时间内所有尝试连接行为的次数与所述IP作为源IP的所述单位时间内所有完整连接行为的次数求差，得到所述IP作为源IP在所述单位时间内所有半连接行为的次数；

所述主动连接次数的提取，具体包括：

提取所述IP作为源IP在所述单位时间内连接多个目标IP的次数；

所述被动连接次数的提取，具体包括：

提取所述IP作为目标IP在所述单位时间内被多个源IP连接的次数。

2.根据权利要求1所述的服务器异常连接和扫描行为的监控方法，其特征在于，所述基于所述行为数据判定各IP的异常行为，所述异常行为包括异常半连接、异常主动连接、异常被动连接、异常IP扫描和异常端口扫描，具体包括：

若所述IP作为源IP在单位时间内所有半连接行为的次数大于第一阈值，则判定所述IP发生异常半连接；

若所述IP作为源IP在所述单位时间内连接多个目标IP的次数大于第二阈值，则判定所述IP发生异常主动连接；

若所述IP作为目标IP在所述单位时间内被多个源IP连接的次数大于第三阈值，则判定所述IP发生异常被动连接；

若所述IP作为源IP在所述单位时间内连接同一端口的不同IP的次数大于第四阈值，则判定所述IP发生异常IP扫描；

若所述IP作为源IP在所述单位时间内连接同一IP的不同端口的次数大于第五阈值，则判定所述IP发生异常端口扫描。

3.根据权利要求1所述的服务器异常连接和扫描行为的监控方法，其特征在于，所述将所述网络会话数据存以数据记录的形式存入分布式数据库，其中，一条数据记录对应一次请求或确认，具体包括：

提取网络会话数据的各字段的信息，以数据记录的形式存入分布式数据库；

一条数据记录对应一次请求或确认，且每条数据记录都包括类型字段、seq序号字段、ack序号字段、源IP字段、目标IP字段、源端口字段和目标端口字段；

对应地，所述判断获知当前数据记录的类型为SYN，下一数据记录的类型为SYN,ACK且下下一数据记录的类型为ACK，则判断当前数据记录对应一次完整连接行为，具体包括：

若判断获知当前数据记录对应的seq序号字段的数值为J且类型为SYN，在ack序号字段的数值为J+1对应的数据记录的seq序号字段数值为K且类型为SYN,ACK，以及在ack序号字段的数值为K+1对应的数据记录的类型为ACK，则判断当前数据记录对应一次完整连接行为。

4.根据权利要求1-3任一项所述的服务器异常连接和扫描行为的监控方法，其特征在于，所述分布式数据库为ES库。