[發(fā)明專利]一種基于網(wǎng)絡流量分析的主動掃描系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011559096.7
• 申請日: 2020-12-25
• 公開（公告）號: CN112787848B
• 公開（公告）日: 2023-04-07
• 發(fā)明（設計）人: 張廣興;景陽
• 申請（專利權）人: 江蘇省未來網(wǎng)絡創(chuàng)新研究院
• 主分類號: H04L43/0876
• 分類號: H04L43/0876;H04L43/106;H04L43/04;H04L67/1095;H04L67/30;H04L41/0894
• 代理公司: 北京卓嵐智財知識產(chǎn)權代理有限公司 11624
• 代理人: 蔣真

本發(fā)明提供了一種基于網(wǎng)絡流量分析的主動掃描系統(tǒng)，其特征在于，包括三部分：第一部分是，基于網(wǎng)絡流量分析系統(tǒng)生成的歷史信息，生成需要做主動掃描的主機IP，及該主機發(fā)布的服務端口號列表；第二部分是，基于網(wǎng)絡流量分析系統(tǒng)的歷史信息及實時數(shù)據(jù)分析，計算掃描的頻率；第三部分是，基于網(wǎng)絡流量分析系統(tǒng)的實時數(shù)據(jù)分析，控制掃描的速度。本發(fā)明可以獲取局域網(wǎng)中需要掃描的資產(chǎn)列表，確定掃描范圍，大大減少了盲掃情況下，由于構造的掃描報文過多，而對局域網(wǎng)造成的巨大沖擊；可以獲得網(wǎng)絡實時信息，從而計算出適當?shù)膾呙杷俣龋豢梢跃C合考慮資產(chǎn)變化情況，及當前網(wǎng)絡狀態(tài)，來選擇適當?shù)臅r機做掃描。

技術領域

本發(fā)明涉及互聯(lián)網(wǎng)領域，具體涉及一種基于網(wǎng)絡流量分析的主動掃描系統(tǒng)。

背景技術

隨著互聯(lián)網(wǎng)技術的發(fā)展，及物聯(lián)網(wǎng)在人們日常生活中的廣泛應用，局域網(wǎng)內的資產(chǎn)識別和管理，也就變得越來越重要了。要想在局域網(wǎng)內，對各種網(wǎng)絡設備做統(tǒng)一管理，首先要能夠識別到當前局域網(wǎng)內的資產(chǎn)及其開啟的服務。資產(chǎn)發(fā)現(xiàn)、識別的方法，目前主要有兩種：一種是，被動的收集報文、分析報文，來獲取資產(chǎn)信息；另一種是，主動的探測、掃描，來發(fā)現(xiàn)、識別資產(chǎn)。被動資產(chǎn)發(fā)現(xiàn)，主要依賴于設備上電后，對其在局域網(wǎng)內發(fā)出的報文進行分析，從而得到該設備的主機類型、操作系統(tǒng)類型等等資產(chǎn)信息。而主動探測的主要方法，則是構造各種探測報文，將報文發(fā)送到指定的IP、端口號，然后根據(jù)其應答消息，來獲取設備資產(chǎn)信息。其中，主動探測效果更好，更有針對性，并且對于特定領域的設備，如果已知這些設備的交互協(xié)議，就可以構造特定探測報文，來增加識別率，即方便擴展可探測設備。但是主動探測有一個缺點，就是探測報文數(shù)量非常大，每當發(fā)起主動探測的時候，往往會對局域網(wǎng)造成巨大的沖擊。

另一方面，目前出于對網(wǎng)絡安全及監(jiān)控的考慮，很多局域網(wǎng)中都會部署網(wǎng)絡流量分析設備，用于監(jiān)控網(wǎng)絡狀態(tài)，以便實施相應的監(jiān)管措施。網(wǎng)絡流量分析設備通常會輸出詳細的流量報表，比如設備IP、開啟的服務及狀態(tài)、網(wǎng)絡當前流量狀態(tài)等，并且可以保存一些重要的歷史信息等等。

發(fā)明內容

如果能基于網(wǎng)絡流量分析設備得到的一些信息，來指導主動掃描，就可以使得主動掃描更具有針對性，也就可以減少探測報文的數(shù)量，從而減少探測時構造的大量報文對網(wǎng)絡的沖擊。

本發(fā)明的目的是，提供一種基于網(wǎng)絡流量分析系統(tǒng)生成的信息，去指導做主動掃描時，需要掃描的主機、服務，以及掃描速度、頻率的方法。從而減少掃描時生成的報文數(shù)量，避免掃描時產(chǎn)生的大量報文對網(wǎng)絡的沖擊，并且能夠提高掃描的效率。

為實現(xiàn)上述目的，本發(fā)明提供的具體技術方案如下：

一種基于網(wǎng)絡流量分析的主動掃描系統(tǒng)，其特征在于，包括三部分：第一部分是，基于網(wǎng)絡流量分析系統(tǒng)生成的歷史信息，生成需要做主動掃描的主機IP，及該主機發(fā)布的服務端口號列表；第二部分是，基于網(wǎng)絡流量分析系統(tǒng)的歷史信息及實時數(shù)據(jù)分析，計算掃描的頻率；第三部分是，基于網(wǎng)絡流量分析系統(tǒng)的實時數(shù)據(jù)分析，控制掃描的速度。

所述第一部分實現(xiàn)步驟如下：

步驟1.1：采集局域網(wǎng)中報文；

將局域網(wǎng)中所有的流量鏡像出來一份，導入到作為旁路設備的網(wǎng)絡流量分析系統(tǒng)中；

步驟1.2：區(qū)分報文方向；

該網(wǎng)絡流量分析系統(tǒng)，需要區(qū)分出兩種報文方向：

第一種，報文是從內網(wǎng)到外網(wǎng)的，還是從外網(wǎng)到內網(wǎng)的，或者是內部網(wǎng)段的流量；

第二種，報文是從服務端發(fā)送到客戶端的，還是客戶端發(fā)送到服務端的。

步驟1.3：獲取需要掃描的主機IP；

可從網(wǎng)絡流量分析系統(tǒng)的歷史流量信息中，根據(jù)所述步驟1.2中第一種方向，獲得某個時間段內的所有內網(wǎng)主機IP，或者topN內網(wǎng)主機IP；