一种网络扫描检测方法、装置及计算机存储介质与流程

技术特征：
1.一种网络扫描检测方法，其特征在于，包括：提取各报文数据中的目的ip以及相应的目的ip端口特征值；采用孤立森林算法，根据各报文数据的目的ip端口特征值计算相应的所述目的ip的异常得分；通过四分位算法对所有目的ip的异常得分进行异常得分阈值计算，将大于所述异常得分阈值的所述目的ip的异常得分对应的目的ip标记为遭受网络扫描的目的ip。2.根据权利要求1所述的网络扫描检测方法，其特征在于，所述提取各报文数据中的目的ip以及相应的目的ip端口特征值，包括：根据所述各报文数据的数据源类型解析所述各报文数据；对解析后的报文数据进行关键信息提取，得到初始关键信息；将所述初始关键信息进行格式标准化，得到关键信息；其中，所述关键信息至少包括所述目的ip以及相应的所述目的ip端口特征值。3.根据权利要求2所述的网络扫描检测方法，其特征在于，所述将所述初始关键信息进行格式标准化，得到关键信息之后，还包括：滤除所述关键信息中与白名单关联的关键信息，或与tcp协议以及udp协议无关的关键信息；删除所述关键信息中不符合业务逻辑的关键信息；对所述关键信息中缺失端口数据的关键信息进行数据补充。4.根据权利要求1所述的网络扫描检测方法，其特征在于，所述目的ip端口特征值，至少包括以下的一种或几种：目的ip下被访问的端口中top20端口的数量，其中，所述top20端口指黑客访问频率最高的20个端口；目的ip下被访问的端口中top1000端口的数量，其中，所述top1000端口指黑客访问频率最高的1000个端口；目的ip下被访问的端口总数；目的ip下被访问的关闭端口的数量；目的ip下被访问的udp端口数量。5.根据权利要求1所述的网络扫描检测方法，其特征在于，所述通过四分位算法对所有目的ip的异常得分进行异常得分阈值计算，包括：计算所有目的ip的异常得分的第三四分位数q3以及四分位距iqr；将所述第三四分位数q3与三倍的所述四分位距iqr之和q3 3iqr定义为所述异常得分阈值。6.一种网络扫描检测装置，其特征在于，包括：提取模块，用于提取各报文数据中的目的ip以及相应的目的ip端口特征值；评分模块，用于采用孤立森林算法，根据各报文数据的目的ip端口特征值计算相应的所述目的ip的异常得分；标记模块，用于通过四分位算法对所有目的ip的异常得分进行异常得分阈值计算，将大于所述异常得分阈值的所述目的ip的异常得分对应的目的ip标记为遭受网络扫描的目的ip。
7.根据权利要求6所述的网络扫描检测装置，其特征在于，所述提取模块，包括：解析子模块，用于根据所述各报文数据的数据源类型解析所述各报文数据；关键信息提取子模块，用于对解析后的报文数据进行关键信息提取，得到初始关键信息；标准化子模块，用于将所述初始关键信息进行格式标准化，得到关键信息；其中，所述关键信息至少包括所述目的ip以及相应的所述目的ip端口特征值。8.根据权利要求7所述的网络扫描检测装置，其特征在于，所述提取模块还包括：过滤子模块，用于滤除所述关键信息中与白名单关联的关键信息，或与tcp协议以及udp协议无关的关键信息；删除子模块，用于删除所述关键信息中不符合业务逻辑的关键信息；数据补充子模块，用于对所述关键信息中缺失端口数据的关键信息进行数据补充。9.根据权利要求6所述的网络扫描检测装置，其特征在于，所述标记模块包括：计算子模块，用于计算所有目的ip的异常得分的第三四分位数q3以及四分位距iqr；阈值确定子模块，用于将所述第三四分位数q3与三倍的所述四分位距iqr之和q3 3iqr定义为所述异常得分阈值。10.一种计算机存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1
‑
5中任一项所述的网络扫描检测方法。

技术总结
本发明实施例公开了一种网络扫描检测方法、装置及计算机存储介质。其中，该方法包括：提取各报文数据中的目的IP以及相应的目的IP端口特征值；采用孤立森林算法，根据各报文数据的目的IP端口特征值计算相应的所述目的IP的异常得分；通过四分位算法对所有目的IP的异常得分进行异常得分阈值计算，将大于所述异常得分阈值的所述目的IP的异常得分对应的目的IP标记为遭受网络扫描的目的IP。综合多种端口特征得到每个目的IP的异常评分，并综合所有评分确定遭受网络扫描的目的IP，提高了对网络扫描检测的准确性。描检测的准确性。描检测的准确性。


技术研发人员：辜乘风 徐明 魏国富 殷钱安 周晓勇 陶景龙 余贤喆 梁淑云 刘胜 王启凡 马影
受保护的技术使用者：上海观安信息技术股份有限公司
技术研发日：2021.09.17
技术公布日：2021/10/23