[发明专利]一种基于TCP流状态的网络扫描检测方法及检测系统

摘要

本发明公开了一种基于TCP流状态的网络扫描检测方法及检测系统，所述方法包括：实时采集网络出口镜像流量数据包，并基于所述流量数据包创建TCP流的状态存储结构或者更新相匹配的TCP流的状态存储结构；周期性对每个发起主动连接的IP地址进行高频扫描检测，若IP地址对应存在高频扫描行为，将所述IP地址加入扫描告警名单；若不存在，对不存在高频扫描行为的IP地址进行低频扫描检测，若所述IP地址对应存在低频扫描行为，将所述IP地址加入扫描告警名单，否则认定所述IP地址不存在扫描行为。本发明所述方法在高频扫描检测的基础上还实现了低频扫描检测，更全面地实现扫描检测，提高网络扫描检测结果的可靠性。

主权项

1.一种基于TCP流状态的网络扫描检测方法，其特征在于：包括如下步骤：S1：实时采集网络出口镜像流量数据包，并基于所述流量数据包创建TCP流的状态存储结构或者更新相匹配的TCP流的状态存储结构；所述状态存储结构包括TCP流标识、TCP流主动发起连接请求一方的IP地址、TCP流的当前状态阶段以及TCP流更新时间戳；TCP流的状态阶段类型分为：第一次握手阶段，第二次握手阶段，第三次握手阶段，数据交互阶段，连接断开阶段和异常阶段；其中，若流量数据包所在TCP流的状态存储结构不存在，则创建TCP流的状态存储结构；若流量数据包所在TCP流的状态存储结构已存在，则更新状态存储结构中TCP流的当前状态阶段；S2：周期性对每个发起主动连接的IP地址src进行高频扫描检测，若IP地址src对应存在高频扫描行为，将所述IP地址src加入扫描告警名单；若不存在，再对所述IP地址src执行步骤S3；S3：对S2中不存在高频扫描行为的IP地址src进行低频扫描检测，若所述IP地址src对应存在低频扫描行为，将所述IP地址src加入扫描告警名单，否则认定所述IP地址src不存在扫描行为；其中，若所述IP地址src满足下述不等式，则存在对应低频扫描行为；若不满足，则不存在低频扫描行为；式中，dt_threash为预设的低频扫描触发阈值，表示基于各个TCP流的状态存储结构统计的当前周期内属于所述IP地址src发起的连接请求并处于第一次握手阶段，第二次握手阶段，第三次握手阶段以及异常阶段的TCP流总数量；表示基于各个TCP流的状态存储结构统计的当前周期内属于所述IP地址src发起的连接请求并处于各个状态阶段的TCP流总数量。