[發明專利]一種異常設備檢測方法、裝置、電子設備及可讀存儲介質

在審

• 申請號: 202110229398.6
• 申請日: 2021-03-02
• 公開（公告）號: CN112887333A
• 公開（公告）日: 2021-06-01
• 發明（設計）人: 張斌
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

本申請公開了一種異常設備檢測方法、裝置、電子設備及計算機可讀存儲介質，該方法包括：獲取異常流量，并提取異常流量對應的發送方標識；利用發送方標識篩選流量設備信息，得到目標流量轉發設備信息，并根據所目標流量轉發設備信息確定目標流量轉發設備；獲取目標流量轉發設備對應的流量轉發日志，并從流量轉發日志中得到異常設備信息；該方法不需要異常流量具有有效的Forwarded?For字段，利用目標流量轉發設備的日志即可確定異常設備信息；同時，無論異常流量是否采用HTTP協議，均可以對其進行檢測，因此提高了異常設備檢測的能力，改善了異常設備檢測的效果。

技術領域

本申請涉及網絡安全技術領域，特別涉及一種異常設備檢測方法、異常設備檢測裝置、電子設備及計算機可讀存儲介質。

背景技術

網絡安全設備在進行安全檢測或者失陷主機檢測時，需要獲取異常設備信息，以便檢出異常設備。由于網絡環境比較復雜，內網中會存在各種網關設備、代理設備、DNS(Domain Name System，域名系統)服務器等，這些設備會將收到的流量轉發，這就導致在異常設備檢測時只能定位到流量轉發設備，不能找到真正有問題的主機。為了解決上述問題，相關技術通常檢測流量中是否存在Forwaarded-For字段，然而，現實使用中，大部分設備均沒有設置Forwarded-For字段，因此其轉發后的流量中不存在有效的 Forwarded-For字段，因此無法得到失陷主機或者攻擊主機的IP地址。因此相關技術的異常設備檢測能力較弱，效果較差。

發明內容

有鑒于此，本申請的目的在于提供一種異常設備檢測方法、異常設備檢測裝置、電子設備及計算機可讀存儲介質，不需要異常流量具有有效的 Forwarded-For字段，同時無論異常流量是否采用HTTP協議，均可以對其進行檢測，提高了異常設備檢測的能力，改善了異常設備檢測的效果。

為解決上述技術問題，本申請提供了一種異常設備檢測方法，具體包括：

獲取異常流量，并提取所述異常流量對應的發送方標識；

利用所述發送方標識篩選所述流量設備信息，得到目標流量轉發設備信息，并根據所目標流量轉發設備信息確定目標流量轉發設備；

獲取所述目標流量轉發設備對應的流量轉發日志，并從所述流量轉發日志中得到異常設備信息。

可選地，所述發送方標識為待測網絡地址；所述利用所述發送方標識篩選所述流量設備信息，得到目標流量轉發設備信息，包括：

確定所述待測網絡地址所屬的網絡地址段；

根據所述網絡地址段對所述流量設備信息進行過濾，得到初選流量設備信息；

利用所述待測網絡地址篩選所述初選流量設備信息，得到所述目標流量轉發設備信息。

可選地，所述利用所述待測網絡地址篩選所述初選流量設備信息，得到所述目標流量轉發設備信息，包括：

根據所述待測網絡地址在所述網絡地址段中的位置，確定檢測方向；

根據所述檢測方向對所述初選流量設備信息進行匹配檢測，判斷所述初選流量設備信息中是否存在所述待測網絡地址；

若存在，則將所述待測網絡地址對應的流量設備轉發信息確定為所述目標流量轉發設備信息。

若不存在，則從所述異常流量中提取五元組信息，并利用所述五元組信息得到所述異常設備信息。

可選地，所述發送方標識為發送設備編號；所述流量設備信息的生成過程，包括：

獲取并解析信息生成指令，得到流量轉發設備編號和流量轉發設備信息之間的對應關系；

利用所述對應關系生成所述流量設備信息。

可選地，所述流量設備信息的生成過程，包括：