一种基于Netflow日志数据的端口扫描攻击检测方法及装置

摘要

本发明公开了一种基于Netflow日志数据的端口扫描攻击检测方法及装置，其特征在于，该方法包括以下步骤：通过LDA分析模型对新采集到的Netflow数据进行分值评估；当评估分值高于预定分值时，丢弃新采集的Netflow数据，当当评估分值低于预定分值时，确定新采集的Netflow数据为可疑Netflow数据；判断该可疑Netflow数据的源IP地址在某个时间段内访问服务器端口的个数；如果访问端口个数大于最大阈值，判断该可疑Netflow数据为端口扫描攻击，并在地图显示。通过本发明的技术方案，提高数据分析的效率，便于用户定位问题所在。