solution

Phát hiện quét cổng theo cửa sổ trượt

Từ log <t> <IP> <PORT>, một IP là scanner nếu tồn tại một cửa sổ thời gian độ dài W giây trong đó IP đó chạm tới ≥ K cổng phân biệt. Cụ thể: xét các sự kiện của mỗi IP theo thời gian tăng dần; với cửa sổ [t, t+W), đếm số cổng phân biệt.

In các IP là scanner theo thứ tự tăng dần. Nếu không có, in NONE.

Ví dụ

W = 5, K = 3. 10.0.0.1 chạm cổng 1@t0, 2@t1, 3@t2 → 3 cổng trong 5s → scanner.