[发明专利]一种基于序列假设测试的扫描检测优化方法

摘要

本发明提供的是一种基于序列假设测试的扫描检测优化方法。当前连接成功与否的判断：首先判断当前连接是成功的还是失败的，同时要判断当前连接的源IP地址和目的IP地址是否事先已经存下来了；对每个源IP地址求比率值：根据两种情况分别对每个源IP地址求比率值；筛选扫描源IP地址：将比率值与阈值进行比较，以此来判断此IP地址是否为扫描源。本发明主要用于解决现有的一些端口扫描方法并不能很好的检测出扫描主机，都会有比较高的错报和漏报的情况。通过实验验证了此方法比阈值随机游走算法有较高的检测率以及更低的误检率。

主权项

1.一种基于序列假设测试的扫描检测优化方法，其特征是：步骤一，当前连接成功与否的判断：首先判断当前连接是成功的还是失败的，同时要判断当前连接的源IP地址和目的IP地址是否事先已经存下来了；步骤二，对每个源IP地址求比率值：根据两种情况分别对每个源IP地址求比率值，具体包括：步骤21，首先定义一些表，令NS表存储连接成功的目的IP地址和目的端口；令FC表存储连接失败的源IP地址和目的IP地址；令SC表存储连接成功的源IP地址和目的IP地址；步骤22，第一种计算比率值的情况：遍历SC表，若源主机IP地址和目的IP地址对不在SC表中，就把它们加入到SC表中，源IP的比率值为上一次计算的比率值乘以θ1/θ0，其中θ0表示如果发起连接的主机是正常的主机、连接成功的概率；θ1表示如果发起连接的主机是扫描主机、连接失败的概率；步骤23，第二种计算比率值的情况：判断目的IP地址和目的端口是否在NS表中，若不在，遍历FC表，若源IP地址和目的IP地址对不在FC表中，就把它们加入到FC表中，源IP的比率值为上一次计算的比率值乘以(1‑θ1)/(1‑θ0)；步骤三，筛选扫描源IP地址：将比率值与阈值进行比较，以此来判断此IP地址是否为扫描源。