一种新的分布式端口扫描检测方法.pdfVIP

一种新的分布式端口扫描检测方法 宋 华 罗 平 戴一奇 （清华大学计算机系，北京 %K ） ： C80;F O=7B/]0;FO$9O;7B/0$3E$17 摘 要 文章介绍了各种扫描技术，总结了已有的检测方法。在此基础上，文章提出了一种新的分布式的端口扫描检测 方法。检测的传感器部分实现对异常包的检测，分析器部分通过将异常包分成不同的类，计算一个类的异常值的总和，然 后判断出扫描。这种方法不仅可以检测出现有的各种扫描工具能够检测出的扫描，也能检测出它们不能检测出的扫描， 例如分布式扫描，慢速扫描等等。 关键词 端口扫描 分布式扫描 端口扫描检测 分布式端口扫描检测 文章编号 （ ） 文献标识码 中图分类号 !8%##8 !# %8 \#8K X ’)#G# ! #$ %’()*+(#, -.)(’/012%#(#/(.1 3#(4., 5.16 7+0 8+. -16 %0 9: （ ， ， ） (=N934 ,3N049379 ’O;7B/0 V7;:34O;9P Z3;^;7B %K ： ， !*’()0/( ’/;O N0N34 ;794=E13O 07P =S 9/3 N=49O107 931/7;_3O 07E E;O1OO3O 9/3 E39319;=7 9==FO ;7 9/3 430F Y=4FE$ ’/37 ;9 N43O379O 0 73Y E;O94;H93E N=49O107 E39319;=7 39/=E$’/3 O37O=4 E39319O 9/3 07=0F=O N01239O$’/3 X70FP‘34 ， ， B4=NO 9/3 07=0F=O N01239O ;79= E;SS34379 1F0OO3O 10F1F093O 9/3 1F0OOaO 07=0FP O :0F3 07E 9/37 ^EB3O ;S 9/09 ;O ， 0 O107$’/;O 39/=E 107 E39319 7=9 =7FP 0FF 9/3 O107O 9/09 043 E393193E HP 144379 931/7;_3O H9 0FO= OF=Y O107O 07E E;O94;H93E O107O 9/09 107a9 H3 E393193E HP 7=Y$ ;#$.),’ ： ， ， ， )=49O107 ,;O94;H93E O107 )=49O107 E39319;=7 ,;O94;H93E N=49O107 E39319;=7 端口扫描 发现所有提供这种服务的主机。这样，他就会对某一段感兴趣 在网络入侵中，扫描是入侵者最常用的一种手段，几乎所 的*) 地址进行快速、自动扫描。但是它的缺陷是会在目标机器 有攻击行为的前奏都是针对目标主机的扫描。入侵者通过扫描 上留下日志。很多应用程序会对成功的’() 握手记录连接信 发现目标系统的操作系统信息、各种’(