[發(fā)明專利]檢測(cè)ICMP網(wǎng)絡(luò)掃描網(wǎng)絡(luò)攻擊行為的方法、裝置、電子設(shè)備及介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202210168266.1
• 申請(qǐng)日: 2022-02-24
• 公開（公告）號(hào): CN114244632B
• 公開（公告）日: 2022-05-03
• 發(fā)明（設(shè)計(jì)）人: 徐明;李曉冉;辜乘風(fēng);魏國(guó)富;殷錢安;周曉勇;陶景龍;余賢喆;梁淑云;劉勝;王啟凡;馬影
• 申請(qǐng)（專利權(quán)）人: 上海觀安信息技術(shù)股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/12
• 代理公司: 北京中強(qiáng)智尚知識(shí)產(chǎn)權(quán)代理有限公司 11448
• 代理人: 黃耀威

1.一種檢測(cè)ICMP網(wǎng)絡(luò)掃描攻擊行為的方法，其特征在于，包括：

獲取實(shí)時(shí)數(shù)據(jù)、所述實(shí)時(shí)數(shù)據(jù)的源IP地址、歷史ICMP通信結(jié)構(gòu)圖以及所述歷史ICMP通信結(jié)構(gòu)圖的各節(jié)點(diǎn)的IP地址及對(duì)應(yīng)的特征信息，其中，所述歷史ICMP通信結(jié)構(gòu)圖為以IP地址為節(jié)點(diǎn)且以ICMP通信記錄為邊的圖數(shù)據(jù)結(jié)構(gòu)，所述特征信息包括特征類型及對(duì)應(yīng)的特征值；

基于所述實(shí)時(shí)數(shù)據(jù)，更新所述歷史ICMP通信結(jié)構(gòu)圖，得到新的ICMP通信結(jié)構(gòu)圖；

基于所述實(shí)時(shí)數(shù)據(jù)的源IP地址及所述新的ICMP通信結(jié)構(gòu)圖，確定所述源IP地址對(duì)應(yīng)的節(jié)點(diǎn)的特征信息，以實(shí)時(shí)獲得所述實(shí)時(shí)數(shù)據(jù)的特征信息；

基于所述源IP地址、所述源IP地址對(duì)應(yīng)的節(jié)點(diǎn)的特征信息、所述歷史ICMP通信結(jié)構(gòu)圖的各節(jié)點(diǎn)的IP地址及對(duì)應(yīng)的特征信息，得到所述新的ICMP通信結(jié)構(gòu)圖中每個(gè)節(jié)點(diǎn)對(duì)應(yīng)的鍵值對(duì)，其中，每個(gè)所述鍵值對(duì)包括每個(gè)節(jié)點(diǎn)的IP地址及對(duì)應(yīng)的特征信息；

基于所有所述鍵值對(duì)，通過建模判斷是否存在ICMP網(wǎng)絡(luò)掃描攻擊行為。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所有所述鍵值對(duì)，通過建模判斷是否存在ICMP網(wǎng)絡(luò)掃描攻擊行為，包括：

對(duì)所有所述鍵值對(duì)進(jìn)行無監(jiān)督學(xué)習(xí)，判斷是否存在異常鍵值對(duì)；

如果存在異常鍵值對(duì)，則獲取所述異常鍵值對(duì)，并判定所述異常鍵值對(duì)是否為ICMP網(wǎng)絡(luò)掃描攻擊行為數(shù)據(jù)；

如果所述異常鍵值對(duì)為ICMP網(wǎng)絡(luò)掃描攻擊行為數(shù)據(jù)，則確定存在ICMP網(wǎng)絡(luò)掃描攻擊行為。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述判定所述異常鍵值對(duì)是否為ICMP網(wǎng)絡(luò)掃描攻擊行為數(shù)據(jù)，包括：

基于所述異常鍵值對(duì)的特征信息，得到所述異常鍵值對(duì)的分?jǐn)?shù)值；

判斷所述異常鍵值對(duì)的分?jǐn)?shù)值是否大于或等于第一預(yù)設(shè)分?jǐn)?shù)值，當(dāng)所述異常鍵值對(duì)的分?jǐn)?shù)值大于或等于第一預(yù)設(shè)分?jǐn)?shù)值，則確定所述異常鍵值對(duì)為ICMP網(wǎng)絡(luò)掃描攻擊行為數(shù)據(jù)。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述基于所述異常鍵值對(duì)的特征信息，得到所述異常鍵值對(duì)的分?jǐn)?shù)值，包括：

將所述異常鍵值對(duì)的特征類型劃分為多個(gè)類型集合；

根據(jù)每個(gè)所述類型集合中各特征類型對(duì)應(yīng)的特征值，確定每個(gè)所述類型集合的分?jǐn)?shù)值；

獲取每個(gè)所述類型集合對(duì)應(yīng)的權(quán)重值；

利用每個(gè)所述類型集合的分?jǐn)?shù)值及每個(gè)所述類型集合對(duì)應(yīng)的權(quán)重值，進(jìn)行加權(quán)平均計(jì)算，得到所述異常鍵值對(duì)的分?jǐn)?shù)值。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述實(shí)時(shí)數(shù)據(jù)，更新所述歷史ICMP通信結(jié)構(gòu)圖，得到新的ICMP通信結(jié)構(gòu)圖，包括：

根據(jù)所述實(shí)時(shí)數(shù)據(jù)，確定發(fā)送所述實(shí)時(shí)數(shù)據(jù)的設(shè)備的IP地址、接收所述實(shí)時(shí)數(shù)據(jù)的設(shè)備的IP地址以及各設(shè)備之間的實(shí)時(shí)數(shù)據(jù)的交互關(guān)系；

基于所述歷史ICMP通信結(jié)構(gòu)圖，以發(fā)送所述實(shí)時(shí)數(shù)據(jù)的設(shè)備的IP地址及接收所述實(shí)時(shí)數(shù)據(jù)的設(shè)備的IP地址為新的節(jié)點(diǎn)，各設(shè)備之間的實(shí)時(shí)數(shù)據(jù)的交互關(guān)系為新的邊，得到新的ICMP通信結(jié)構(gòu)圖。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述源IP地址、所述源IP地址對(duì)應(yīng)的節(jié)點(diǎn)的特征信息、所述歷史ICMP通信結(jié)構(gòu)圖的各節(jié)點(diǎn)的IP地址及對(duì)應(yīng)的特征信息，得到所述新的ICMP通信結(jié)構(gòu)圖中每個(gè)節(jié)點(diǎn)對(duì)應(yīng)的鍵值對(duì)，包括：

基于所述歷史ICMP通信結(jié)構(gòu)圖的各節(jié)點(diǎn)的IP地址及對(duì)應(yīng)的特征信息，生成多個(gè)第一初始鍵值對(duì)，其中，每個(gè)所述第一初始鍵值對(duì)包括所述歷史ICMP通信結(jié)構(gòu)圖的節(jié)點(diǎn)的特征類型及對(duì)應(yīng)的IP地址及特征值；

基于所述源IP地址、所述源IP地址對(duì)應(yīng)的節(jié)點(diǎn)的特征信息，生成多個(gè)第二初始鍵值對(duì)，其中，每個(gè)所述第二初始鍵值對(duì)包括所述源IP地址對(duì)應(yīng)的節(jié)點(diǎn)的特征類型及對(duì)應(yīng)的源IP地址及特征值；

將所述第一初始鍵值對(duì)的特征類型及對(duì)應(yīng)的IP地址與所述第二初始鍵值對(duì)的特征類型及源IP地址進(jìn)行匹配，如果匹配成功，則將第一初始鍵值對(duì)的特征值替換為相匹配的第二初始鍵值對(duì)的特征值；如果匹配失敗，則存儲(chǔ)匹配失敗的第二初始鍵值對(duì)；

將所有所述第一初始鍵值對(duì)及所述第二初始鍵值進(jìn)行整合，得到所述新的ICMP通信結(jié)構(gòu)圖中每個(gè)節(jié)點(diǎn)對(duì)應(yīng)的鍵值對(duì)。