技術領域

本發明涉及通信技術，尤其涉及一種檢測蠕蟲掃描的方法和裝置。

背景技術

蠕蟲病毒是計算機病毒的一種，其利用網絡進行復制和傳播。隨著網絡的發展，蠕蟲病毒層出不窮。蠕蟲病毒的傳播過程包括三個步驟：掃描、攻擊和復制。其中，掃描指的是發送掃描數據包掃描存活的主機以探測出存在漏洞的主機。當蠕蟲病毒爆發時，蠕蟲病毒發出的掃描數據包占用了大量的帶寬，造成網絡擁塞，極大地影響網絡通信速度。如果能夠識別出蠕蟲病毒的掃描數據包，不但能夠解決蠕蟲病毒爆發對帶寬的消耗，也能很好地抑制蠕蟲病毒的爆發。

為了識別出蠕蟲病毒的掃描數據包，現有技術中存在如下技術方案：根據網絡中主機向以前未連接過的網絡協議(Internet?Protocol，以下簡稱：IP)地址，發起的第一次連接的成功或失敗情況、以及第一次連接的時間間隔，分別選擇相應的概率計算公式計算主機感染蠕蟲的概率；將計算所得概率值與預設的主機感染蠕蟲判斷閾值進行比較，若概率大于主機感染蠕蟲判斷閾值，則認為該主機為異常主機。

但是，發明人經過研究發現該技術方案存在如下缺陷：需要IP會話表來記錄大量的已連接IP地址，該I?P會話表在實際開發中由于數據量較大，而且隨著IP地址的增加，數據量會越來越大，因此，需要占用檢測設備的大量資源。當檢測設備的可用資源不夠大時，會降低識別蠕蟲掃描的準確率。

發明內容

本發明實施例提供了一種檢測蠕蟲掃描的方法和裝置，用以實現提高識別蠕蟲掃描的準確率。

本發明實施例提供了一種檢測蠕蟲掃描的方法，包括：

對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；

對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址。

本發明實施例還提供了一種檢測蠕蟲掃描的方法，包括：

對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；

對所述目標端口進行第二次蠕蟲檢測，獲得第二組疑似蠕蟲掃描目標IP地址；

比較所述第一組疑似蠕蟲掃描目標IP地址和所述第二組疑似蠕蟲掃描目標IP地址，將所述第二組疑似蠕蟲掃描目標IP地址中與所述第一組疑似蠕蟲掃描目標IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與所述蠕蟲掃描目標IP地址對應的源I?P地址確定為蠕蟲掃描源IP地址。

本發明實施例還提供了一種檢測蠕蟲掃描的裝置，包括：

第一蠕蟲掃描檢測模塊，用于對目標端口的進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；

第一蠕蟲掃描源獲取模塊，用于對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址。

本發明實施例還提供了一種檢測蠕蟲掃描的裝置，包括：

第二蠕蟲掃描檢測模塊，用于對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；

第三蠕蟲掃描檢測模塊，用于對所述目標端口進行第二次蠕蟲檢測，獲得第二組疑似蠕蟲掃描目標IP地址；

第二蠕蟲掃描源獲取模塊，用于比較所述第一組疑似蠕蟲掃描目標IP地址和所述第二組疑似蠕蟲掃描目標IP地址，將所述第二組疑似蠕蟲掃描目標IP地址中與所述第一組疑似蠕蟲掃描目標IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與所述蠕蟲掃描目標IP地址對應的源IP地址確定為蠕蟲掃描源IP地址。

本發明實施例提供的檢測蠕蟲掃描的方法和裝置，利用蠕蟲掃描數據包將不會出現所掃描的目標IP地址重復的情況，通過對目標端口的數據包進行兩次蠕蟲掃描檢測，排除了被重復掃描的目標IP地址，提高了識別蠕蟲掃描的準確率。

附圖說明

圖1為本發明檢測蠕蟲掃描的方法第一實施例的流程示意圖；

圖2為本發明檢測蠕蟲掃描的方法第二實施例的流程示意圖；

圖3為本發明檢測蠕蟲掃描的方法第三實施例的流程示意圖；

圖4為本發明檢測蠕蟲掃描的裝置第一實施例的結構示意圖；

圖5為本發明檢測蠕蟲掃描的裝置第二實施例的結構示意圖；

圖6為本發明檢測蠕蟲掃描的裝置第三實施例的結構示意圖。

具體實施方式

下面通過附圖和實施例，對本發明的技術方案做進一步的詳細描述。

檢測蠕蟲掃描的方法第一實施例

如圖1所示，為本發明檢測蠕蟲掃描的方法第一實施例的流程示意圖，具體可以包括如下步驟：