В статье рассматриваются методы анализа TCP-активности, предназначенные для обнаружения медленных и распределенных форм сканирования портов, недостаточно эффективно выявляемых традиционными сигнатурными системами. Предложен комбинированный подход, включающий эвристический анализ TCP-флагов, статистическую оценку интенсивности и энтропии сетевого трафика, графовый анализ взаимодействий между узлами, а также использование структуры Count?Min Sketch для компактного хранения статистики. Представлена методика вычисления интегральной оценки подозрительности (score) на основе совокупности признаков. Экспериментально показано, что предложенные методы обеспечивают точность обнаружения медленного сканирования с интервалом 10 с на уровне 69,5 %, а распределенного сканирования от 20 источников – 73,8 %, что на 17…27 % выше, чем у классических сигнатурных IDS. При этом использование Count?Min Sketch позволяет сократить потребление оперативной памяти на 32…37 % по сравнению с полным хранением статистики портов.
1.??Muraleedharan N., Janet B. Slow TCP port scan detection using flow data // International Conference on Security, Privacy and Data Analytics. – Singapore: Springer, 2022. – P. 17–32.
2.??Miranda D., Monteiro R., Silva J.M.C. p4SD: A lightweight port scan detection for programmable networks // International Conference on Software, Telecommunications and Computer Networks (SoftCOM), Split, Croatia. – IEEE, 2025. – P. 1–6. – DOI: 10.23919/SoftCOM66362.2025.11197439.
3.??Almseidin M., Al-Kasassbeh M., Kovacs S. Detecting slow port scan using fuzzy rule interpolation // 2019 2nd International Conference on New Trends in Computing Sciences (ICTCS). – Amman: IEEE, 2019. – P. 1–6.
4.??Ring M., Landes D., Hotho A. Detection of slow port scans in flow-based network traffic // PLoS one. – 2018. – Vol. 13 (9). – P. e0204507.
5.??Haas S., Wilkens F., Fischer M. Scan correlation – Revealing distributed scan campaigns // 2020 IEEE/IFIP Network Operations and Management Symposium (NOMS). – 2020. – P. 1–6. – DOI: 10.48550/arXiv.2003.05188.
6.??Griffioen H., Doerr C. Discovering collaboration: Unveiling slow, distributed scanners based on common header field patterns // 2020 IEEE/IFIP Network Operations and Management Symposium (NOMS). – 2020. – P. 1–9. – DOI: 10.1109/NOMS47738.2020.9110444.
7.??Gates C. Coordinated scan detection // Proceedings of the Network and Distributed System Security Symposium (NDSS 2009). – San Diego, California, 2009.
8.??Токарев Д.А., Погребан С.В. Аномалии трафика в IP сетях и их обнаружение // Известия Института инженерной физики. – 2013. – № 4. – С. 13–17.
9.??Формализованная модель обнаружения сканирования портов / Е.В. Ананьин, И.С. Кожевникова, А.В. Лысенко, А.В. Никишова // Молодой ученый. – 2016. – № 23 (127). – С. 9–12.
10.??Головачева Н.А., Андрейченко Н.Е. Исследование методов прогнозирования атак на информационные системы // НБИ технологии. – 2022. – Т. 16, № 3. – С. 11–15.
11.??PSAD – Port Scan Attack Detector (man pages) // PSAD Documentation.
12.??TCP FIN, NULL, and Xmas Scans // Nmap Network Scanning Documen-tation.
13.??Ayoub L., Shurman M. A lightweight entropy-based framework for multi-attack detection in software-defined networks (SDN) // 2025 26th International Arab Conference on Information Technology (ACIT). – IEEE, 2025. – P. 179–183. – DOI: 10.1109/ACIT68900.2025.11510552.
14.??Timcenko V., Gajin S. Machine learning enhanced entropy-based network anomaly detection // Advances in Electrical and Computer Engineering. – 2021. – Vol. 21 (4). – P. 51–60.
15.??Efficient and secure statistical port scan detection scheme / H. Majed, H.N. Noura, O. Salman, A. Chehab, R. Couturier // Mobile, Secure, and Programmable Networking: 6th International Conference, MSPN 2020. – Cham: Springer, 2021. – P. 72–88.
16.??A hypergraph-based machine learning ensemble network intrusion detection system / Z.-Z. Lin, T.D. Pike, M.M. Bailey, N.D. Bastian // IEEE Transactions on Systems, Man, and Cybernetics: Systems. – 2024. – Vol. 54 (11). – P. 6911–6923.
17.??Leveraging graph-based representations to enhance machine learning performance in IIoT network security and attack detection / B. Alwasel, A. Aldribi, M. Alreshoodi, I.S. Alsukayti, M. Alsuhaibani // Applied Sciences. – 2023. – Vol. 13 (13). – P. 7774.
18.??A cooperation-aware virtual network function for proactive detection of distributed port scanning / I.J. Sanz, M.A. Lopez, D.M.F. Mattos, O.C.M.B. Duarte?// 2017 1st Cyber Security in Networking Conference (CSNet’17). – Rio de Janeiro, Brazil, 2017. – P. 1–8.
19.??Martínez Aguilar R., Reviriego P., Larrabeiti D. Combined filtering and frequency estimation with the integrated Xor filter and count-min sketch // 2024 IEEE 25th International Conference on High Performance Switching and Routing (HPSR). – IEEE, 2024. – P. 155–160. – DOI: 10.1109/HPSR62440.2024.10635957.
20.??Ekle O.A., Eberle W. Adaptive-graph sketch: Real-time edge anomaly detection via multi-layer tensor sketching and temporal decay // 2025 IEEE International Conference on Knowledge Graph (ICKG). – IEEE, 2025. – P. 74–81.
21.??PD-CPS: A practical scheme for detecting covert port scans in high-speed networks / H. Wu, Z. Shao, F. Yang, G. Cheng, X. Hu, J. Ren, W. Wang // Computer Networks. – 2023. – Vol. 231. – P. 109825. – DOI: 10.1016/ j.comnet.2023.109825.
Кузлякин Д.С., Огнев И.А. Комбинированный анализ TCP-активности для обнаружения скрытых и распределенных сканирований портов // Безопасность цифровых технологий. – 2026. – № 3 (122). – С. 9–23. – DOI: 10.17212/2782-2230-2026-3-9-23.
Kuzlyakin D.S., Ognev I.A. Kombinirovannyi analiz TCP-aktivnosti dlya obnaruzheniya skrytykh i raspredelennykh skanirovanii portov [Combined analysis of TCP activity for detecting stealth and distributed port scanning]. Bezopasnost' tsifrovykh tekhnologii = Digital Technology Security, 2026, no. 3 (122), pp. 9–23. DOI: 10.17212/2782-2230-2026-3-9-23.
