專利名稱：檢測蠕蟲掃描的方法和裝置的制作方法
技術領域：
本發(fā)明涉及通信技術，尤其涉及一種檢測蠕蟲掃描的方法和裝置。
背景技術：
蠕蟲病毒是計算機病毒的一種，其利用網(wǎng)絡進行復制和傳播。隨著網(wǎng)絡
的發(fā)展，蠕蟲病毒層出不窮。蠕蟲病毒的傳播過程包括三個步驟掃描、攻 擊和復制。其中，掃描指的是發(fā)送掃描數(shù)據(jù)包掃描存活的主機以探測出存在 漏洞的主機。當蠕蟲病毒爆發(fā)時，蠕蟲病毒發(fā)出的掃描數(shù)據(jù)包占用了大量的 帶寬，造成網(wǎng)絡擁塞，極大地影響網(wǎng)絡通信速度。如果能夠識別出蠕蟲病毒 的掃描數(shù)據(jù)包，不但能夠解決蠕蟲病毒爆發(fā)對帶寬的消耗，也能纟艮好地抑制 蠕蟲病毒的爆發(fā)。
為了識別出蠕蟲病毒的掃描數(shù)據(jù)包，現(xiàn)有技術中存在如下技術方案根 據(jù)網(wǎng)絡中主機向以前未連接過的網(wǎng)絡協(xié)議(Internet Protocol,以下簡稱 IP)地址，發(fā)起的第一次連接的成功或失敗情況、以及第一次連接的時間間 隔，分別選擇相應的概率計算公式計算主機感染蠕蟲的概率；將計算所得概 率值與預設的主機感染蠕蟲判斷閾值進行比較，若扭無率大于主機感染蠕蟲判 斷閾值，則認為該主機為異常主機。
但是,發(fā)明人經(jīng)過研究發(fā)現(xiàn)該技術方案存在如下缺陷需要IP會話表來 記錄大量的已連接IP地址，該IP會話表在實際開發(fā)中由于數(shù)據(jù)量較大，而且隨著IP地址的增加，數(shù)據(jù)量會越來越大，因此，需要占用檢測設備的大量資 源。當檢測設備的可用資源不夠大時，會降低識別蠕蟲掃描的準確率。

發(fā)明內(nèi)容
本發(fā)明實施例提供了 一種檢測蠕蟲掃描的方法和裝置，用以實現(xiàn)提高識 別蠕蟲掃描的準確率。
本發(fā)明實施例才是供了一種4企測蠕蟲掃描的方法，包括 對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址； 對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應 的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址。 本發(fā)明實施例還提供了 一種檢測蠕蟲掃描的方法，包括 對目標端口進行第一次蠕蟲檢觀'],獲得第一組疑似蠕蟲掃描目標IP地址；
對所述目標端口進行第二次蠕蟲檢測，獲得第二組疑似蠕蟲掃描目標IP 地址；
比較所述第一組疑似蠕蟲掃描目標IP地址和所述第二組疑似蠕蟲掃描目 標IP地址，將所述第二組l^似蠕蟲掃描目標IP地址中與所述第一組I^似蠕蟲 掃描目標IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與所述蠕 蟲掃描目標IP地址對應的源IP地址確定為蠕蟲掃描源IP地址。
本發(fā)明實施例還提供了 一種檢測蠕蟲掃描的裝置，包括
第 一蠕蟲掃描檢測模塊，用于對目標端口的進行第 一次蠕蟲檢測，獲得 第一組疑似蠕蟲掃描目標IP地址；
第 一蠕蟲掃描源獲耳又才莫塊，用于對不包括所述第 一組lt似蠕蟲掃描目標 IP地址的其他目標IP地址所對應的所述目標端口進行蠕蟲^r測，獲得蠕蟲掃描源IP地址。
本發(fā)明實施例還提供了 一種檢測蠕蟲掃描的裝置，包括 第二蠕蟲掃描檢測模塊，用于對目標端口進行第一次蠕蟲檢測，獲得第
一組疑似蠕蟲掃描目標IP地址；
第三蠕蟲掃描檢測模塊，用于對所述目標端口進行第二次蠕蟲檢測，獲 得第二組疑似蠕蟲掃描目標IP地址；
第二蠕蟲掃描源獲取模塊，用于比較所述第一組疑似蠕蟲掃描目標IP地 址和所述第二組疑似蠕蟲掃描目標IP地址，將所述第二組疑似蠕蟲掃描目標 IP地址中與所述第一組lt似蠕蟲掃描目標IP地址不同的目標IP地址確定為蠕 蟲掃描目標IP地址，將與所述蠕蟲掃描目標IP地址對應的源IP地址確定為蠕 蟲掃描源IP地址。
本發(fā)明實施例提供的檢測蠕蟲掃描的方法和裝置，利用蠕蟲掃描數(shù)據(jù)包 將不會出現(xiàn)所掃描的目標IP地址重復的情況，通過對目標端口的數(shù)據(jù)包進行兩 次蠕蟲掃描檢測，排除了被重復掃描的目標IP地址，提高了識別蠕蟲掃描的 準確率。


圖l為本發(fā)明4企測蠕蟲掃描的方法第一實施例的流程示意圖； 圖2為本發(fā)明檢測蠕蟲掃描的方法第二實施例的流程示意圖； 圖3為本發(fā)明;險測蠕蟲掃描的方法第三實施例的流程示意圖； 圖4為本發(fā)明;險測蠕蟲掃描的裝置第一實施例的結構示意圖； 圖5為本發(fā)明檢測蠕蟲掃描的裝置第二實施例的結構示意圖； 圖6為本發(fā)明檢測蠕蟲掃描的裝置第三實施例的結構示意圖。
具體實施例方式
下面通過附圖和實施例，對本發(fā)明的技術方案做進一步的詳細描述。 4企測蠕蟲掃描的方法第 一 實施例
如圖l所示，為本發(fā)明檢測蠕蟲掃描的方法第一實施例的流程示意圖，
具體可以包括如下步驟
步驟ll、對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目 標IP地址；
步驟12、對不包括第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址 所對應的該目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址；
具體地，蠕蟲掃描的數(shù)據(jù)包的目標IP地址通過會發(fā)生變化，而正常掃描 的數(shù)據(jù)包的目標IP地址通常不會發(fā)生變化，因此，蠕蟲掃描數(shù)據(jù)包將不會出 現(xiàn)所掃描的目標IP地址重復的情況，據(jù)此，目標IP地址已經(jīng)進行過蠕蟲檢測 的數(shù)據(jù)包可以被認為是正常掃描的數(shù)據(jù)包，在第二次檢測時不再對已經(jīng)進行過 蠕蟲掃描檢測的數(shù)據(jù)包進行檢測。
本實施例利用蠕蟲掃描數(shù)據(jù)包將不會出現(xiàn)所掃描的目標IP地址重復的情 況，通過對目標端口的數(shù)據(jù)包有選擇的進行兩次蠕蟲掃描檢測，提高了識別 蠕蟲掃描的準確率。
才企測蠕蟲掃描的方法第二實施例
蠕蟲掃描和正常掃描的區(qū)別主要在于而大多數(shù)正常掃描同時掃描一臺 主機的多個端口 ，例如正常掃描的成功率較高，應用同步(Synchronizat ion, 以下簡稱SYN)包掃描時，該端口發(fā)出一定數(shù)量的SYN包，返回同樣數(shù)量的 同步確i人(SYN Acknowledge,以下簡稱SYN ACK)數(shù)據(jù)包，而大多凄t蠕蟲掃描都是有針對性的掃描一 臺主機的一個端口 ，且蠕蟲掃描的成功率并不高，
該端口發(fā)出大量的SYN包，只返回少量的SYN ACK包，因此可以利用這一特點 檢測蠕蟲掃描。
如圖2所示，為發(fā)明蠕蟲掃描的方法第二實施例的流程示意圖，可以包括 如下步驟
步驟21、在預設時間段內(nèi)，對目標端口收到的掃描數(shù)據(jù)包與該目標端口 返回的掃描確認數(shù)據(jù)包的比值進行第 一次統(tǒng)計；
步驟22、若目標端口收到的掃描數(shù)據(jù)包與目標端口返回的掃描確i人凄史據(jù) 包的比值大于預設閾值，將掃描數(shù)據(jù)包的目標IP地址確定為第一組疑-似蠕蟲 掃描目標IP地址；
該預設時間可以根據(jù)實際情況設置，例如0. l秒；
步驟23、在預設時間段內(nèi)，對不包括第一組疑似蠕蟲掃描目標IP;也址的 其他目標IP地址所對應的該目標端口收到的掃描數(shù)據(jù)包與該目標端口返回的 掃描確認數(shù)據(jù)包的比值進行第二次統(tǒng)計；
步驟24、若目標端口收到的掃描數(shù)據(jù)包與目標端口返回的掃描確i人數(shù)據(jù) 包的比值大于預設閾值，將掃描數(shù)據(jù)包的源IP地址確定為蠕蟲掃描源IP地址。 在本實施例中，掃描數(shù)據(jù)包具體可以為SYN包，掃描確認數(shù)據(jù)包具體可以 為SYNACK包。除了可以采用SYN包進行掃描外，還可以采用其他的掃描數(shù)據(jù) 包，仿B口 網(wǎng)纟各4空制消息協(xié)i義(Internet Control Message Protocol,以 下簡稱ICMP)數(shù)據(jù)包進行掃描。
需要說明的是，本發(fā)明的步驟21和步驟22、以及步驟23和步驟24還可以 采用現(xiàn)有技術中其他檢測蠕蟲掃描的方法。
本實施例通過統(tǒng)計目標端口的數(shù)據(jù)包，初步確定蠕蟲掃描源IP地址，結
9合第一次的統(tǒng)計結果，進行二次統(tǒng)計，確定蠕蟲掃描源IP地址，提高了識別 蠕蟲掃描的準確率。
檢測蠕蟲掃描的方法第三實施例
如圖3所示，為本發(fā)明;險測蠕蟲掃描的方法第三實施例的流程示意圖，可
以包括如下步驟
步驟31、對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目 標IP地址；
步驟32、對該目標端口進行第二次蠕蟲檢測，獲得第二組疑似蠕蟲掃描 目標IP地址;
步驟33、比較第一組疑似蠕蟲掃描目標IP地址和第二組疑似蠕蟲掃描目 標IP地址，將第二組疑似蠕蟲掃描目標IP地址中與第一組疑似蠕蟲掃描目標 IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與蠕蟲掃描目標IP 地址對應的源I P地址確定為蠕蟲掃描源I P地址。
本實施例利用蠕蟲掃描數(shù)據(jù)包將不會出現(xiàn)所掃描的目標IP地址重復的情 況，通過對目標端口的數(shù)據(jù)包進行兩次蠕蟲掃描檢測的結果去重后，得到的 結果作為最終確定的蠕蟲掃描源IP地址，提高了識別蠕蟲掃描的準確率。
檢測蠕蟲掃描的裝置第 一 實施例
如圖4所示，為本發(fā)明檢測蠕蟲掃描的裝置第一實施例的結構示意圖，可 以包括第 一蠕蟲掃描檢測模塊41和第 一蠕蟲掃描源獲取模塊42 。
其中，第 一蠕蟲掃描檢測模塊41用于對目標端口進行第 一次蠕蟲檢測， 獲得第一組疑似蠕蟲掃描目標IP地址；
第一蠕蟲掃描源獲取模塊42用于對不包括第一組疑似蠕蟲掃描目標IP地 址的其他目標IP地址所對應的該目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP
10地址。
具體地，蠕蟲掃描的數(shù)據(jù)包的目標IP地址通過會發(fā)生變化，而正常掃描 的數(shù)據(jù)包的目標IP地址通常不會發(fā)生變化，因此，蠕蟲掃描數(shù)據(jù)包將不會出 現(xiàn)所掃描的目標IP地址重復的情況，據(jù)此，目標IP地址已經(jīng)進行過蠕蟲掃描 檢測的數(shù)據(jù)包可以認為是正常掃描的數(shù)據(jù)包，在第二次檢測時不再對已經(jīng)進行 過蠕蟲掃描4企測的數(shù)據(jù)包進行檢測。
本實施例利用蠕蟲掃描數(shù)據(jù)包將不會出現(xiàn)所掃描的目標IP地址重復的情
況，通過第一蠕蟲掃描檢測模塊41和第一蠕蟲掃描源獲取模塊42對目標端口 的數(shù)據(jù)包進行兩次蠕蟲掃描檢測，提高了識別蠕蟲掃描的準確率。
如圖5所示，為本發(fā)明檢測蠕蟲掃描的裝置第二實施例的結構示意圖，在 圖4所示結構示意圖的基礎上，第一蠕蟲掃描檢測模塊41可以包括第一統(tǒng)計單 元51和#是似蠕蟲掃描確定單元5 2 。
其中，第一統(tǒng)計單元51用于在預設時間段內(nèi)，對目標端口收到的掃描數(shù) 據(jù)包與該目標端口返回的掃描確認數(shù)據(jù)包的比值進行第一次統(tǒng)計。
疑似蠕蟲掃描確定單元52用于若目標端口收到的掃描數(shù)據(jù)包與所述端口 返回的掃描確認數(shù)據(jù)包的比值大于預設閾值，將掃描數(shù)據(jù)包的目標IP地址確 定為第一組疑似蠕蟲掃描目標IP地址。
在圖4所示結構示意圖的基礎上，第 一蠕蟲掃描源獲取模塊4 2可以包括第 二統(tǒng)計單元5 3和蠕蟲掃描確定單元54 。
其中，第二統(tǒng)計單元53用于在預設時間段內(nèi)，對不包括第一組疑似蠕蟲 掃描目標IP地址的其他目標IP地址所對應的該目標端口收到的掃描凄t據(jù)包與 該目標端口返回的掃描確認數(shù)據(jù)包的比值進行第二次統(tǒng)計；
蠕蟲掃描確定單元54用于若目標端口收到的掃描數(shù)據(jù)包與目標端口返回的掃描確認數(shù)據(jù)包的比值大于預設閾值，將掃描數(shù)據(jù)包的源IP地址確定為蠕 蟲掃描源IP地址。
在本實施例中，掃描數(shù)據(jù)包具體可以為SYN包，掃描確認數(shù)據(jù)包具體可以 為SYNACK包。除了可以采用SYN包進行掃描外，還可以采用其他的掃描數(shù)據(jù) 包，仿H口網(wǎng)纟各4空制消息十辦i義(Internet Control Message Protocol,以 下簡稱I CMP )數(shù)據(jù)包進行掃描。
需要說明的是，本發(fā)明的第 一蠕蟲掃描檢測模塊41和第 一蠕蟲掃描源獲 取模塊4 2還可以采用現(xiàn)有技術中其他檢測蠕蟲掃描的方法。
本實施例利用蠕蟲掃描數(shù)據(jù)包將不會出現(xiàn)所掃描的目標IP地址重復的情 況，通過第一統(tǒng)計單元51統(tǒng)計目標端口的數(shù)據(jù)包，疑似蠕蟲掃描確定單元52 初步確定蠕蟲掃描源IP地址，第二統(tǒng)計單元53結合第一次的統(tǒng)計結果，進行 二次統(tǒng)計，蠕蟲掃描確定單元54確定蠕蟲掃描源IP地址，提高了識別蠕蟲掃 描的準確率。
如圖6所示，為本發(fā)明檢測蠕蟲掃描的裝置第三實施例的結構示意圖，可 以包括第二蠕蟲掃描檢測模塊60、第三蠕蟲掃描檢測模塊6l和第二蠕蟲掃描 源獲取模塊62。
第二蠕蟲掃描檢測模塊60用于對目標端口進行第 一次蠕蟲檢測，獲得第 一組疑似蠕蟲掃描目標IP地址；
第三蠕蟲掃描檢測模塊61用于對目標端口進行第二次蠕蟲檢測，獲得第 二組疑似蠕蟲掃描目標IP地址；
第二蠕蟲掃描源獲取模塊62用于比較第一組疑似蠕蟲掃描目標IP地址和 第二組疑似蠕蟲掃描目標IP地址，將第二組疑似蠕蟲掃描目標IP地址中與第 一組疑似蠕蟲掃描目標IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與蠕蟲掃描目標IP地址對應的源I P地址確定為蠕蟲掃描源I P地址。
本實施例利用蠕蟲掃描數(shù)據(jù)包將不會出現(xiàn)所掃描的目標IP地址重復的情
況，通過第二蠕蟲掃描檢測模塊60和第三蠕蟲掃描檢測模塊61對目標端口的 數(shù)據(jù)包進行兩次蠕蟲掃描檢測，排除了被重復掃描的目標IP地址，提高了識 別蠕蟲掃描的準確率。
程，是可以通過計算機程序來指令相關的硬件來完成，所述的程序可存儲于 一計算機可獲取存儲介質(zhì)中，該程序在執(zhí)行時，可包括如上述各方法的實施 例的流程。其中，所述的存儲介質(zhì)可為磁碟、光盤、只讀存儲記憶體(Read-Only Memory, ROM)或隨機存儲記憶體(Random Access Memory, RAM)等。 最后應說明的是以上實施例僅用以說明本發(fā)明的技術方案而非限制， 盡管參照較佳實施例對本發(fā)明進行了詳細說明，本領域的普通技術人員應當 理解，可以對本發(fā)明的技術方案進行修改或者等同替換，而不脫離本發(fā)明技 術方案的^"神和范圍。
權利要求
1、一種檢測蠕蟲掃描的方法，其特征在于，包括對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址。
2、 根據(jù)權利要求l所述的方法，其特征在于，所述對目標端口進行第一 次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址包括在預設時間段內(nèi)，對目標端口收到的掃描數(shù)據(jù)包與所述端口返回的掃描 確認數(shù)據(jù)包的比值進行第 一次統(tǒng)計；若所述目標端口收到的掃描數(shù)據(jù)包與所述目標端口返回的掃描確認數(shù)據(jù) 包的比值大于預設閾值，將所述掃描數(shù)據(jù)包的目標IP地址確定為第一組疑似 蠕蟲掃描目標IP地址。
3、 根據(jù)權利要求1或2所述的方法，其特征在于，所述對不包括所述第一 組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口進^f亍蠕 蟲才企測，獲得蠕蟲掃描源IP地址包括在預設時間段內(nèi)，對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他 目標IP地址所對應的所述目標端口收到的掃描H據(jù)包與所述目標端口返回的 掃描確認數(shù)據(jù)包的比值進行第二次統(tǒng)計；若所述目標端口收到的掃描數(shù)據(jù)包與所述目標端口返回的掃描確認數(shù)據(jù) 包的比值大于預設閾值，將所述掃描數(shù)據(jù)包的源IP地址確定為蠕蟲掃描源IP 地址。
4、 一種檢測蠕蟲掃描的方法，其特征在于，包括對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址； 對所述目標端口進行第二次蠕蟲檢測，獲得第二組疑似蠕蟲掃描目標IP 地址；比較所述第一組疑似蠕蟲掃描目標IP地址和所述第二組疑似蠕蟲掃描目 標IP地址，將所述第二組疑似蠕蟲掃描目標IP地址中與所述第一組lt似蠕蟲 掃描目標IP地址不同的目標IP地址確定為蠕蟲掃描目標IP地址，將與所述蠕 蟲掃描目標IP地址對應的源IP地址確定為蠕蟲掃描源IP地址。
5、 一種檢測蠕蟲掃描的裝置，其特征在于，包括 第一蠕蟲掃描檢測模塊，用于對目標端口的進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；第一蠕蟲掃描源獲取模塊，用于對不包括所述第一組疑似蠕蟲掃描目標 I P地址的其他目標I P地址所對應的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃 描源IPi也址。
6、 根據(jù)權利要求5所述的裝置，其特征在于，所述第一蠕蟲掃描4企測模 塊包括 、第一統(tǒng)計單元，用于在預設時間段內(nèi)，對目標端口收到的掃描數(shù)據(jù)包與 所述目標端口返回的掃描確認數(shù)據(jù)包的比值進行第 一次統(tǒng)計； 疑似蠕蟲掃描確定單元，用于若所述目標端口收到的掃描數(shù)據(jù)包與所述 端口返回的掃描確認數(shù)據(jù)包的比值大于預設閾值，將所述掃描數(shù)據(jù)包的目標 IP地址確定為第 一組疑似蠕蟲掃描目標IP地址。
7、 根據(jù)權利要求5或6所述的裝置，其特征在于，所述第一蠕蟲掃描源獲 取模塊包括第二統(tǒng)計單元，用于在預設時間段內(nèi)，對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口收到的掃描數(shù)據(jù)包與所述目標端口返回的掃描確認數(shù)據(jù)包的比值進行第二次統(tǒng)計；蠕蟲掃描確定單元，用于若所述目標端口收到的掃描數(shù)據(jù)包與所述目標 端口返回的掃描確認數(shù)據(jù)包的比值大于預設閾值，將所述掃描數(shù)據(jù)包的源IP 地址確定為蠕蟲掃描源I p地址。
8、 一種檢測蠕蟲掃描的裝置，其特征在于，包括第二蠕蟲掃描檢測模塊，用于對目標端口進行第一次蠕蟲檢測，獲得第 一組疑似蠕蟲掃描目標IP地址；第三蠕蟲掃描檢測模塊，用于對所述目標端口進行第二次蠕蟲檢測，獲 得第二組疑似蠕蟲掃描目標IP地址；第二蠕蟲掃描源獲取模塊，用于比較所述第一組疑似蠕蟲掃描目標IP地 址和所述第二組疑似蠕蟲掃描目標IP地址，將所述第二組者是似蠕蟲掃描目標 IP地址中與所述第一組lt似蠕蟲掃描目標IP地址不同的目標IP地址確定為蠕 蟲掃描目標IP地址，將與所述蠕蟲掃描目標IP地址對應的源IP地址確定為蠕 蟲掃描源IP地址。
全文摘要
本發(fā)明實施例涉及一種檢測蠕蟲掃描的方法和裝置。其中，一種檢測蠕蟲掃描的方法包括對目標端口進行第一次蠕蟲檢測，獲得第一組疑似蠕蟲掃描目標IP地址；對不包括所述第一組疑似蠕蟲掃描目標IP地址的其他目標IP地址所對應的所述目標端口進行蠕蟲檢測，獲得蠕蟲掃描源IP地址。本發(fā)明實施例提高了識別蠕蟲掃描的準確率。
文檔編號H04L12/26GK101626321SQ20091009125
公開日2010年1月13日 申請日期2009年8月14日 優(yōu)先權日2009年8月14日
發(fā)明者王丹峰 申請人:成都市華為賽門鐵克科技有限公司