用于检测网络上未经授权的扫描的方法、系统和计算机程序.pdf

(19)中华人民共和国国家知识产权局

(12)发明专利说明书

(10)申请公布号CN101052934A

(43)申请公布日2007.10.10

(21)申请号CN200580022880.1

(22)申请日2005.07.20

(71)申请人国际商业机器公司

地址美国纽约

(72)发明人艾伦·戴维·布朗热罗伯特·威廉·丹福德凯文·戴维·希伯格克拉克·德布斯·杰佛

里斯

(74)专利代理机构中国国际贸易促进委员会专利商标事务所

代理人付建军

(51)Int.CI

权利要求说明书说明书幅图

(54)发明名称

用于检测网络上未经授权的扫描的

方法、系统和计算机程序

(57)摘要

一种检测和响应系统，包括一组算

法，用于检测普通计算机通信流内的TCP

或UDP分组的子集(应该聚焦于引出响应

的网络流量)，所述TCP或UDP分组的子

集具有一个IP源地址(SA)值、一个或几个

目的地址(DA)值，以及超过了不同的目的

端口(DP)值的阈值的数量。诸如直接表和

Patricia有哪些信誉好的足球投注网站树之类的查询机制记录和跟踪

具有一个SA和一个DA以及对于给定

SA、DA组合观察到的DP值集合的分组

集。检测和响应系统报告存在这样的分组

子集，以及该分组子集的标头值，包括

SA、DA和多个DP。检测和响应系统还包

括对报告的各种管理响应。

法律状态

法律状态公告日法律状态信息法律状态

权利要求说明书

1.一种检测网络上的未经授权的扫描的方法，包括下列步骤：(a)监视在网络设备中

接收到的通信；(b)检测所述通信内的预先定义的分组子集；以及

(c)对预先定义的分组子集进行分析，以检测具有预先定义的统计特征的可疑的分

组。

2.根据权利要求1所述的方法，进一步包括下列步骤：发出告警，表示检测到具有

预先定义的统计特征的分组。

3.根据权利要求1或权利要求2所述的方法，其中，分组子集包括在来自TCP/IP

集的TCP分组中TCP标头的三个比特中的至少两个比特(SYN、RST、FIN)被设置

的分组。

4.根据前面的任何一个权利要求所述的方法，进一步包括下列步骤：在耦接到所述

网络的设备中提供查询结构，所述查询结构在逻辑上等效于有哪些信誉好的足球投注网站树，该有哪些信誉好的足球投注网站树具有

第一部分，该部分被分区为多个槽，至少一个槽可操作地耦接到树形结构；接收设

备中的网络通信；利用编程的CPU对网络通信进行分析，以检测具有预先定义的

统计特征的TCP/IP分组；对于如此检测到的每一个TCP/IP分组，使用所述编程

CPU来从源地址(SA)和目的地址(DA)生成散列值；使用散列值索引到槽中；检查

槽以查找指针；如果没有发现指针，则插入新叶，SA和DA作为所述叶的标识符；

将所述每一个TCP/IP分组中包含的目的端口(DP)的地址存储在所述叶中；以及在

所述槽中创建指向所述叶的指针。

5.根据权利要求4的方法，进一步包括下列步骤：如果指针位于槽中，则使用所述

指针来访问叶；检查所述叶的内容，以检测记录在其中的目的端口(DP)的地址；将

如此检测到的地址的数量与阈值进行比较；以及如果地址的数量等于或超过阈值，

则执行第二层查询。

6.根据权利要求5所述的方法，进一步包括下列步骤：如果所述叶中的地址数量小

于阈值，则将DA添加到所述叶中。

7.一种检测网络上的扫描的系统，包括：

存储器；

可操作地在所述存储器内配置的查询数据结构；以及

执行一组算法的处理器，该组算法将预先定义的分组与查询数据结构关联，以检测

具有预先定义的统计特征的预先定义的分组，并对预先定义的分组子集进行分析，

以检测可疑的分组。

8.根据权利要求7所述的系统，进一步包括：用于发出告警的装置，告警表示检测

到具有预先定义的统计特征的分组。

9.根据权利要求7或权利要求8所述的系统，其中，分组子集包括在