[發明專利]一種惡意IP掃描檢測方法、裝置、電子設備及存儲介質

有效

• 申請號: 202110500226.8
• 申請日: 2021-05-08
• 公開（公告）號: CN113141376B
• 公開（公告）日: 2023-06-27
• 發明（設計）人: 賈錦輝;龔海澎;王庭宇;郭旗;張通
• 申請（專利權）人: 四川英得賽克科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 紀志超

1.一種惡意IP掃描檢測方法，其特征在于，包括：

獲取IP數據包，并確定所述IP數據包中的源設備及目標設備；

利用預設設備會話表判斷所述源設備或所述目標設備是否滿足預設條件；所述預設條件包括所述源設備為與預設設備會話表中的原有目標設備新建立連接的新增源設備，或所述目標設備為與預設設備會話表中的原有源設備新建立連接的新增目標設備；

若所述源設備或所述目標設備滿足所述預設條件，則統計滿足所述預設條件的源設備所連接的目標設備或滿足所述預設條件的目標設備的數量，并在所述數量大于預設閾值時確定所述源設備存在惡意IP掃描。

2.根據權利要求1所述的惡意IP掃描檢測方法，其特征在于，在利用預設設備會話表判斷所述源設備或所述目標設備是否滿足預設條件之前，還包括：

將所述源設備與所述目標設備的連接關系更新至監聽會話表中；

相應的，所述利用預設設備會話表判斷所述源設備或所述目標設備是否滿足預設條件，包括：利用所述預設設備會話表與所述監聽會話表進行對比，判斷所述源設備或所述目標設備是否滿足所述預設條件。

3.根據權利要求2所述的惡意IP掃描檢測方法，其特征在于，所述將所述源設備與所述目標設備的連接關系更新至監聽會話表中，包括：

判斷所述源設備與所述目標設備的連接關系是否記錄于所述監聽會話表中；

若否，則將所述連接關系添加至所述監聽會話表中。

4.根據權利要求1所述的惡意IP掃描檢測方法，其特征在于，所述獲取IP數據包，包括：

通過交換機的鏡像口獲取所述IP數據包。

5.根據權利要求1至4任一項所述的惡意IP掃描檢測方法，其特征在于，在獲取IP數據包之前，還包括：

利用在預設時間段內獲取到的IP數據包所包含的源設備信息及目標設備信息生成所述預設設備會話表。

6.根據權利要求5所述的惡意IP掃描檢測方法，其特征在于，所述利用在預設時間段內獲取到的IP數據包所包含的源設備信息及目標設備信息生成所述預設設備會話表，包括：

判斷所述IP數據包中的源設備信息與目標設備信息的連接關系是否記錄于所述預設設備會話表中；

若否，則將所述連接關系添加至所述預設設備會話表中。

7.根據權利要求6所述的惡意IP掃描檢測方法，其特征在于，所述預設設備會話表為hash桶。

8.一種惡意IP掃描檢測裝置，其特征在于，包括：

解析模塊，用于獲取IP數據包，并確定所述IP數據包中的源設備及目標設備；

判斷模塊，用于利用預設設備會話表判斷所述源設備或所述目標設備是否滿足預設條件；所述預設條件包括所述源設備為與預設設備會話表中的原有目標設備新建立連接的新增源設備，或所述目標設備為與預設設備會話表中的原有源設備新建立連接的新增目標設備；

統計模塊，用于若所述源設備或所述目標設備滿足所述預設條件，則統計滿足所述預設條件的源設備所連接的目標設備或滿足所述預設條件的目標設備的數量，并在所述數量大于預設閾值時確定所述源設備存在惡意IP掃描。

9.一種電子設備，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至7任一項所述的惡意IP掃描檢測方法。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質中存儲有計算機可執行指令，所述計算機可執行指令被處理器加載并執行時，實現如權利要求1至7任一項所述的惡意IP掃描檢測方法。