[發明專利]一種適于局域網環境的網絡節點掃描檢測方法和系統

無效

• 申請號: 200710178851.5
• 申請日: 2007-12-06
• 公開（公告）號: CN101184094A
• 公開（公告）日: 2008-05-21
• 發明（設計）人: 葉潤國;李博;胡振宇;華東明;駱擁政
• 申請（專利權）人: 北京啟明星辰信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/26
• 代理公司: 北京市商泰律師事務所
• 代理人: 毛燕生

1.一種適于局域網環境的網絡節點掃描檢測方法，包括網絡終端、局域網、數據獲取模塊、DNS解析監控模塊、可疑網絡訪問過濾模塊、可疑網絡訪問統計模塊、網絡掃描檢測模塊，其特征在于所述方法的步驟：

數據獲取步驟；

DNS解析監控步驟；

可疑網絡訪問過濾步驟；

可疑網絡訪問統計步驟；

網絡掃描檢測步驟。

2.根據權利要求1所述的一種適于局域網環境的網絡節點掃描檢測方法，其特征是，所述的數據獲取步驟中的子步驟：

數據獲取模塊收集局域網絡中所有網絡數據包；

將收集到的網絡數據包分為：與DNS域名解析相關的網絡數據包，將該類網絡數據包轉發DNS解析監控模塊；與主機節點發出的網絡訪問請求和應答相關的網絡數據包，將該類網絡數據包轉發給后臺的可疑網絡訪問過濾模塊；其它網絡數據包，將該類網絡數據包直接丟棄。

3.根據權利要求1所述的一種適于局域網環境的網絡節點掃描檢測方法，其特征是，所述的DNS解析監控步驟中的子步驟：

接收來自數據獲取模塊的所有DNS域名解析協議相關的網絡數據包；

對其進行DNS協議解析、提取DNS域名解析出的IP地址列表，同時記錄各IP地址的最新DNS解析時間；

采用快速哈希表結構，以IP地址為索引將所有DNS域名解析出的各IP地址及其相關解析時間存儲到快速哈希表中。

4.根據權利要求1所述的一種適于局域網環境的網絡節點掃描檢測方法，其特征是，所述的可疑網絡訪問過濾步驟中的子步驟：

接收來自數據獲取模塊的所有與新建外部網絡訪問請求和相關的網絡數據包；

將獲得該外出網絡請求網絡數據包的目標IP地址，以該目標IP地址為索引檢索DNS解析監控模塊維護的DNS域名解析IP地址快速哈希表；

如果檢索到相應的DNS域名解析記錄并且與之相關的最新DNS解析時間在可接受的范圍之內，則認為該網絡訪問請求為正常的網絡訪問請求；

如果沒有檢索到相應的DNS解析記錄，或者與之相關的最新DNS解析時間不在可接受的范圍之內，則認為該網絡訪問請求為可疑網絡訪問請求，并將該可疑網絡訪問請求數據包轉發給可疑網絡訪問統計模塊。

5.根據權利要求1所述的一種適于局域網環境的網絡節點掃描檢測方法，其特征是，所述的可疑網絡訪問過濾步驟中的子步驟：

接收來自數據獲取模塊的所有與新建外部網絡訪問請求響應和相關的網絡數據包；

將獲得該網絡訪問請求響應網絡數據包的源IP地址，以該源IP地址為索引檢索DNS解析監控模塊維護的DNS域名解析IP地址快速哈希表；

如果檢索到相應的DNS域名解析記錄并且與之相關的最新DNS解析時間在可接受的范圍之內，則認為該網絡訪問請求響應數據包為正常的網絡訪問請求響應數據包；

如果沒有檢索到相應的DNS解析記錄，或者與之相關的最新DNS解析時間不在可接受的范圍之內，則認為該網絡訪問請求響應數據包為可疑網絡訪問請求響應數據包，并將其轉發給可疑網絡訪問統計模塊。

6.根據權利要求1所述的一種適于局域網環境的網絡節點掃描檢測方法，其特征是，所述的可疑網絡訪問統計步驟中的子步驟：

接收來自可疑網絡訪問過濾模塊的所有可疑網絡訪問請求和響應網絡數據包；

采取快速哈希表結構統計局域網絡中各主機節點發出的可疑網絡訪問請求的數量、被響應的可疑網絡訪問請求的數量以及由可疑網絡訪問的目標IP地址映射而成的位圖向量；

當某一主機節點所發出的可疑網絡訪問請求數量達到預先設置的閾值N時，將該主機節點對應的可疑網絡訪問統計記錄發送給網絡掃描檢測模塊進行檢測。