互联网背景辐射(Internet background radiation，IBR)流量是指未经请求的单向流量(unsolicited one-way traffic)^[1-2]，概念最早由Pang等^[3]提出. IBR流量广泛存在于互联网中，包括蠕虫传播、分布式拒绝服务(distributed denial of service，Ddos)攻击、扫描、错误配置和其他未经请求的活动^[1,3].

对IBR流量成分进行分类是相关研究领域的重要研究方法. Wustrow等^[1]将IBR流量分为扫描流量、反向散射流量和错误配置流量. Dainotti等^[2]将IBR流量分为反向散射流量、Conficker扫描流量和其他. Glatz等^[4]根据本地、远端和通信主机行为及IBR流记录特征，将IBR流量分为恶意扫描、反向散射、无法到达的服务、良性 P2P 扫描、可能为良性的流量、bogon 和其他. 综合这些研究工作，可以认为IBR流量主要由扫描、反向散射和其他三部分构成. 因此，当获取足够多的IBR流量时可以对扫描行为进行观测和分析.

本研究围绕NJNET_IBR系统获取的IBR流量展开，根据获取到的IBR流量分析其中各种协议的占比，并对每个协议的报文进行分类；对其中的传输控制协议(transmission control protocol，TCP)和用户数据报协议(user datagram protocol，UDP)端口扫描行为进行分析.

目前IBR流量大多是基于暗网获取的. 暗网是指配置了路由但是未被使用的网络空间(IP地址段)^[3]，因此暗网收到的流量均为IBR流量. 传统暗网是由一个或多个固定大小的地址块构成的，比较著名的有CAIDA的UCSD Network Telescope^[5]、美国密歇根大学的Internet Motion Sensor (IMS)^[6]、威斯康星大学麦迪逊分校的Internet Sink系统^[7]、Cymru团队的暗网项目(darknet project)^[8]等，这些暗网均位于美国. 固定的暗网确保了收到IBR流量的质量，但是也有2个较大的缺陷： 1）为了保证能有足够规模的IBR流量用于研究，须使用充分大的地址空间，这样的暗网在IP地址相对匮乏的区域较难部署；2）暗网地址是固定的，在长时间的运行后这些地址会逐渐暴露给外界，扫描者会避开这些暗网，导致这些暗网收到的IBR流量的成分中扫描流量偏少.以UCSD Network Telescope为例，Jonker等^[9]分析通过该暗网收集到的反向散射流量，而不再对扫描流量进行研究.

NJNET_IBR系统^[10-11]是位于CERNET南京主节点网络边界的实时IBR流量采集系统，该系统基于运行网络中一个具有动态隐蔽属性的暗网^[12-13]对IBR流量进行实时采集.采用互联网背景辐射实时采集(real-time Internet background radiation measurement, RIBRM) ^[10]算法，该算法的主要原理是对被管网地址活跃性进行实时测量，根据地址历史活跃性信息过滤掉活跃地址块，剩下的地址即为运行网络中的暗网，从该暗网上获得的所有单向流量均为IBR流量.这样的暗网是“流动”且不易定位的，因而采集到的IBR流量更加真实，从中得到的扫描流量也更具有分析价值.

本研究选取2019年6月20日—6月26日、7月4日—7月10日这2周的数据进行分析，不连续时间段可以有效防止数据偏差.

2019年6月20日—26日、7月4日—10日这2个时间段的暗网IP地址数都约为85万，其中近98%的IP地址是相同的，分布在328个网段中. 这样的动态暗网相对稳定且隐蔽，所收到的IBR流量也较可靠.

如图1所示为这2周IBR流量的协议分布情况. 图中，P_TCP、P_UDP、P_ICMP、P_Other分别为TCP、UDP、Internet控制消息协议(Internet control message protocol，ICMP)和其他报文数在IBR报文数中的占比.可以看出，TCP、UDP、ICMP报文数占IBR流量的99.8%以上，其他协议占比较小，TCP协议占据主导地位. 统计这2周采集到的正常流量的协议分布情况，结果如图2所示. 可以看出，UDP流量在IBR流量中的占比要小于其在正常流量中的占比.

IBR流量可以简单分为扫描、反向散射和其他三部分，本研究的主要目的是对扫描流量进行观测，因此须将扫描流量从IBR流量中分离出来. IBR流量主要由TCP、UDP、ICMP这3种协议构成，须分别讨论3种协议中扫描流量所占的比例. 对ICMP、TCP报文采用现有方法^[1,9,11]进行分类，对UDP报文设计简单算法进行分类.

对于ICMP报文而言，将Ping请求报文归类为扫描报文，将响应报文归类为反向散射报文，剩余报文为其他. 分类结果如图3所示， $P_{\rm{s}}^{{\rm{ICMP}}}$、 $P_{\rm{b}}^{{\rm{ICMP}}}$、 $P_{\rm{o}}^{{\rm{ICMP}}}$分别为扫描、反向散射和其他报文数在ICMP报文数中的占比. 可以看出，在ICMP报文中有约97%的扫描报文、约2%的反向散射报文，其他报文不到1%，由此可见ICMP报文以扫描报文为主.

类似ICMP，将TCP请求报文(TCP SYN报文)归为扫描报文，将TCP响应报文(TCP SYN+ACK、TCP ACK、TCP ACK+RST、TCP RST报文)归为反向散射报文，剩余报文为其他报文.对于扫描报文，根据王力^[14]提出的扫描检测算法将其分为水平扫描报文和除水平扫描报文外的其他扫描报文.

如图4所示为分类结果. 图中， $P_{\rm{b}}^{{\rm{TCP}}}$、 $P_{{\rm{h\_s}}}^{{\rm{TCP}}}$、 $P_{{\rm{o\_s}}}^{{\rm{TCP}}}$、 $P_{\rm{o}}^{{\rm{TCP}}}$分别为反向散射、水平扫描、其他扫描和其他报文数在TCP报文数中的占比. 可以看出，TCP水平扫描报文数占TCP报文总数的94%以上，其他扫描报文数不到2%，因而TCP报文也是以扫描报文为主，且TCP扫描广泛采用水平扫描方式.

与TCP、ICMP报文不同，UDP报文无标志位，无法从报文头直接判断报文是否为扫描报文，因此设计简单算法，根据主机行为来判断报文是否为扫描报文. UDP水平扫描主机、垂直扫描主机和随机扫描主机定义如下.

1）UDP水平扫描主机. 若一个主机在T时间内向O个不同主机的同一端口发送相同字节数的报文，认为该主机为水平扫描主机，其向该端口发出的所有报文为水平扫描报文.

2）UDP垂直扫描主机. 若一个主机在T时间内向同一主机的P个不同端口发送报文，则认为该主机为垂直扫描主机，其向该目的主机发送的所有报文为垂直扫描报文.

3）UDP随机扫描主机. 若一个主机在T时间内向至少Q个不同的(宿IP，宿端口)对发送报文，且对其发送的报文计算熵值：

(1) ${{H}} = - \sum {P(X)\ln\; P(X)}. $

式中：P(X)为该主机向第X个(宿IP，宿端口)对发送的报文数与其发送的报文总数的比值. 若 H≥ln Q，则认为该主机为随机扫描主机，其发送的所有报文为随机扫描报文.

根据上述定义，算法设计如下.

输入：T时间内IBR中的所有UDP报文.

输出：水平扫描报文集合H₁、垂直扫描报文集合H₂、随机扫描报文集合H₃和其他报文集合H₄.

操作：

1) 对所有UDP报文按(源IP，宿端口，字节数)进行分类，对每一类报文，若其不同的宿地址数大于等于O，则认为该类报文属于集合H₁，否则进行下一步分类.

2) 对第1）步所有剩余报文按(源IP，宿IP)进行分类，对每一类报文，若其不同的端口号大于等于P，则认为该类报文属于集合H₂，否则进行下一步分类.

3) 对第2）步所有剩余报文按源IP进行分类，若其(宿IP，宿端口)对数目小于Q，则将该类报文归为H₄；否则按式(1)计算熵值，若熵值大于等于ln Q，则将报文归类为H₃，否则归类为H₄.

UDP报文分类算法中的参数设置参考文献[14]、[15]，T=24 h，O、P、Q=5，分类结果如图5所示. 图中， $P_{{\rm{h\_s}}}^{{\rm{UDP}}}{\text{、}}P_{{\rm{r\_s}}}^{{\rm{UDP}}}{\text{、}}P_{{\rm{v\_s}}}^{{\rm{UDP}}}{\text{、}}P_{\rm{o}}^{{\rm{UDP}}}$分别为UDP水平扫描、随机扫描、垂直扫描和其他报文数在UDP报文数中的占比. 可以看出，UDP扫描报文数约占UDP报文总数97%，与TCP一样，也以水平扫描为主.

通过对面向端口的扫描行为进行观测可以发现最受扫描者们青睐的端口，这是互联网上扫描现状的直观反映，有利于观测者们发现互联网上新出现的漏洞，进而及时采取针对措施. ICMP协议是网络层协议，其报文没有端口号，所以只对TCP、UDP端口扫描行为进行分析.

如表1、2所示分别为2019年6月20日—6月26日、7月4日—7月10日TCP扫描报文数排名前10的端口，port为端口号，n为7 d内扫描该端口的报文总数，P_n为n与这7 d 该类型端口扫描报文总数的比值，P_c为P_n的累加值，Service为端口号对应的服务或漏洞. 可以看出，这2个星期的热门扫描端口较一致，其中扫描报文数排名前8的端口完全一样，不同的是8 545端口在6月20日—26日排名第11位，5 038端口在7月4日—10日排名第15位，但其扫描报文数在2个星期中并没有太大差别. 除此以外，在这2个星期中，65 536个端口都收到了扫描报文，其中排名前10的端口的扫描报文数只占总扫描报文数的不到16%，说明TCP端口上的扫描行为是分散的.

对这11个端口分别进行分析，其中22、23、80、445、1 433、3 389、8 080这几个端口是一直以来被扫描者们持续关注的危险端口，说明这些端口上的漏洞仍有较大威胁. 华为路由器HG532在37 215端口上存在CVE-2017-17215漏洞，该漏洞允许远程执行任意代码，在2017年便有报道表明在该端口上有Mirai变种Satori类似蠕虫式传播. 5 555端口允许通过Android调试桥(Android debug bridge，ADB)管理设备，这是一种Android SDK功能，允许开发人员与设备通信并在其上运行命令或完全控制它们，自2018年起针对该端口的攻击逐渐增多. 5 038端口是Asterisk服务器侦听端口. 8 545端口是以太坊通信端口，有黑客利用该端口上的漏洞窃取以太币. 这4个端口都是近几年新出现的具有漏洞的端口. 可以发现，所有的热门扫描端口均为危险端口，说明对端口扫描行为进行持续观测对发现新漏洞有重要作用. 除此以外，须关注的是，443端口并不在这11个端口之中，它在6月20日—26日排第15位，在7月4日—7月10日排第14位，扫描报文数约为1亿条，远远小于80端口，在HTTPS协议应用愈加广泛的现在，足以说明HTTPS协议相比HTTP有更高的安全性.

如表3、4所示分别为2019年6月20日—26日、7月4日—10日UDP扫描报文数排名前10的端口. 和TCP一样，这2周的UDP扫描端口也较一致，不同的是UDP端口上的扫描行为更加集中，虽然也是全部65 536个端口都收到了扫描报文，但是排名前10的端口汇聚了超过1/3的UDP扫描报文.其中，19、53、123、137、161、1 900、11 211都是著名的具有放大器漏洞的端口. 5 060端口上的会话发起协议(session initiation protocol，SIP)协议是信令控制协议，用于创建、修改和释放一个或多个参与者的会话. 53 413端口被Netcore路由器使用，早在2014年便被爆出在该端口上存在严重的后门漏洞，攻击者可以通过此漏洞获取路由器Root权限. 389端口被LDAP、ILS协议共用，其中LDAP协议是轻量级目录访问协议，因为是轻量级而不包含安全措施，易受到恶意攻击和篡改，存在较大的安全隐患. 111端口是Sun公司的远程过程调用(remote procedure call， RPC)服务，其存在远程缓冲溢出漏洞. 这11个端口都是危险端口. 从扫描报文数占比上可以看出，反射攻击的危险程度有所降低，扫描更多集中在5 060端口和53 413端口，表明近些年对反射攻击的防范更加到位，同时在今后须加强对5 060、53 413端口的关注.

本研究基于动态隐蔽暗网实时获取IBR流量，并对获取的IBR流量的协议分布进行分析，同时设法从中分离出扫描流量，进行面向端口的扫描行为观测. 本研究针对的动态暗网的稳定IP数约为85万个，规模小于著名暗网UCSD、Network、Telescope等，无法从中收到足够规模的反向散射流量，因而较难观测反射攻击行为. 该动态暗网的IP地址不是完全固定的，且分散在许多不同的地址块中，较难被扫描者定位并避开，所以可以用采集到的IBR流量进行扫描行为观测.

根据采集到的IBR流量，可以发现其中TCP报文数占90%以上，UDP报文数约占5%，而在正常流量中TCP、UDP分别占80%、18%，有明显差别.在分别对TCP、UDP、ICMP报文进行分类时，发现三者的扫描报文数都占其各自总报文数约95%，且TCP、UDP的扫描形式都以水平扫描为主. 对TCP和UDP扫描报文进行面向端口的扫描行为观测，发现TCP端口上的扫描行为较分散，但2周的热门扫描端口高度一致且均为具有漏洞的端口. 须注意的是443端口并不在热门扫描端口中，证实HTTPS协议比HTTP协议更具安全性. UDP的热门扫描端口也高度一致且均为具有漏洞的端口，与TCP不同的是，UDP端口上的扫描行为更加集中.除此以外，相比具有放大器协议的端口，5 060端口和53 413端口获得了更大的流量，说明近年来反射攻击的强度有所降低，但须加强对5 060和53 413端口的观测.

接下来会建立完善的扫描行为分析系统，以及时发现新的扫描趋势，并建立模型实现对异常扫描行为的检测. 同时还会对扫描主机进行观测并对其扫描意图进行分析，因为扫描并不都是恶意的，像类似Shodan或Zoomeye这样的机构进行扫描只是为了发现服务，对扫描者进行意图识别有助于对扫描流量进行非恶意过滤.