[發明專利]利用地址解析協議進行網絡掃描的行為檢測方法及裝置

有效

• 申請號: 202111594056.0
• 申請日: 2021-12-23
• 公開（公告）號: CN114338593B
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 徐明;辜乘風;魏國富;夏玉明;殷錢安;周曉勇;陶景龍;余賢喆;梁淑云;劉勝;王啟凡;馬影
• 申請（專利權）人: 上海觀安信息技術股份有限公司
• 主分類號: H04L61/103
• 分類號: H04L61/103;H04L9/40
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 劉敏

本申請公開了一種利用地址解析協議進行網絡掃描的行為檢測方法及裝置、存儲介質和計算機設備。方法包括：獲取通信信息，其中，通信信息包括源地址、目的地址、請求時間以及請求結果；根據目的地址以及請求時間，確定源地址對應的請求規律；根據請求規律確定請求規律得分，根據源地址對應的請求結果確定請求結果得分，根據源地址對應的目的地址確定請求廣度得分；根據請求規律得分、請求結果得分以及請求廣度得分，在多個通信信息對應的源地址中，確定與網絡掃描對應的目標源地址，并確定目標源地址對應的目標請求為網絡掃描行為。本申請的方法，提高了ARP網絡掃描行為檢測的準確率。

技術領域

本申請涉及計算機技術領域，尤其是涉及到一種利用地址解析協議進行網絡掃描行為檢測方法及裝置、存儲介質和計算機設備。

背景技術

ARP(AddressResolutionProtocol，地址解析協議)是一個通過用于實現從IP地址到MAC地址的映射，即詢問目標IP對應的MAC地址的一種協議。ARP協議在IPv4中極其重要。ARP掃描是一個用于識別本地網絡上其他活動主機的過程。在滲透中，當攻擊者拿下一臺服務器作為跳板進一步進行內網滲透時，可以通過ARP網絡掃描來快速收集鏈路中的存活主機信息。

針對利用APR(地址解析協議)進行網絡掃描的行為，現有的檢測方法只能根據網絡中主機發送ARP請求的總數來判斷該主機是否存在網絡掃描行為，判斷結果準確度低。

發明內容

有鑒于此，本申請提供了一種利用地址解析協議進行網絡掃描行為檢測方法及裝置、存儲介質和計算機設備，可以提高ARP網絡掃描行為檢測的準確率。

根據本申請的一個方面，提供了一種網絡掃描行為檢測方法，包括：

獲取通信信息，其中，所述通信信息包括源地址、目的地址、請求時間以及請求結果；

根據所述源地址對應的目的地址以及所述源地址對應的請求時間，確定所述源地址對應的請求規律；

根據所述請求規律確定請求規律得分，根據所述源地址對應的請求結果確定請求結果得分，根據所述源地址對應的目的地址確定請求廣度得分；

根據所述請求規律得分、所述請求結果得分以及所述請求廣度得分，在多個所述通信信息對應的源地址中，確定與網絡掃描對應的目標源地址，并確定所述目標源地址對應的目標請求為網絡掃描行為。

可選地，所述請求規律包括字符規律；

所述根據所述源地址對應的目的地址以及所述源地址對應的請求時間，確定所述源地址對應的請求規律，具體包括：

根據所述通信信息，確定與所述源地址對應的至少一個第一目的地址；

將每個所述第一目的地址切分成為多個地址段，確定每個所述地址段在所述第一目的地址中的位置，并將所述位置相同的地址段作為一個地址段集合；

在每個所述地址段集合中，按照所述地址段對應的第一目的地址由小至大的順序，為多個所述地址段排序，將每個所述地址段作為第一層地址段序列中的元素，得到與所述地址段集合對應的所述第一層地址段序列；

在第i層地址段序列中，將相鄰兩個所述元素相減，得到第i+1層地址段序列，其中，i＝1或i＝2；

根據第三層地址段序列中的元素確定所述字符規律。

可選地，所述請求規律包括訪問規律；

所述根據所述源地址對應的目的地址以及所述源地址對應的請求時間，確定所述源地址對應的請求規律，具體包括：

在所述通信信息中，分別確定所述源地址在每個預設時間窗內的目標請求時間以及所述目標請求時間對應的第二目的地址；

對多個所述第二目的地址去重，得到第二目的地址的地址數量；