solution

Phát hiện quét cổng (port scan)

Kẻ tấn công dò quét thường kết nối tới nhiều cổng khác nhau trên máy đích. Từ log <IP> <PORT>, một IP bị coi là scanner nếu nó truy cập ≥ K cổng phân biệt.

In các IP bị gắn cờ kèm số cổng phân biệt, sắp xếp theo số cổng giảm dần, nếu bằng nhau thì IP tăng dần. Nếu không có, in NONE.

Ví dụ

K = 3, IP 10.0.0.1 chạm cổng 22, 23, 80 → 3 cổng ≥ 3 → là scanner.