基于IBR的ShadowServer TCP扫描行为分析

• 作者: 丁伟 夏震 武秋韵 王力
• 来源期刊: 东南大学学报（自然科学版）
• 学科: 工学
• 关键词: 互联网背景辐射 扫描 ShadowServer 勒索病毒
• 年，卷（期）: 2017,（z1）
• 页码范围: 25-29
• 页数: 5页
• 分类号: TP393.0
• 字数: 4685字
• 语种: 中文
• DOI: 10.3969/j.issn.1001-0505.2017.S1.005

摘要

为了对恶意扫描与非恶意扫描进行过滤,提出了一种基于白名单过滤非恶意扫描流量的方法.该方法首先以著名的安全机构ShadowServer Foundation的扫描主机作为白名单基础,将从Shodan搜索引擎中找出的部分ShadowServer扫描主机作为初始白名单集合.然后基于初始白名单集合以及在CERNET南京主节点边界获取的IBR流量,过滤出属于初始白名单主机的TCP扫描流量.最后通过分析这些流量的扫描行为,设计了一种完整白名单获取算法,运行算法并找出所有的白名单主机.实验结果表明,找到的白名单主机共计229个,其IP地址主要分布在4/26个网段中,在其中的3个网段内为连续地址,另一个网段内也有一定规律.此外,根据实验过程中的流量数据,提供了对30022端口和445端口(勒索病毒)扫描的两个案例及分析.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	王力	东南大学计算机科学与工程学院	8	29	4.0	5.0
2	丁伟	东南大学计算机科学与工程学院	56	958	15.0	30.0
3	夏震	东南大学计算机科学与工程学院	6	14	3.0	3.0
4	武秋韵	东南大学计算机科学与工程学院	2	0	0.0	0.0