[發明專利]一種事件的檢測方法及裝置

有效

• 申請號: 200710079630.2
• 申請日: 2007-03-01
• 公開（公告）號: CN101060396A
• 公開（公告）日: 2007-10-24
• 發明（設計）人: 曹斌;王勇
• 申請（專利權）人: 沈陽東軟軟件股份有限公司
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L12/56;H04L29/06
• 代理公司: 北京集佳知識產權代理有限公司
• 代理人: 逯長明

1.一種事件的檢測方法，其特征在于，包括：

使用帶謂詞的上下文無關文法，預置針對事件的檢測規則；其中，所述帶謂詞的上下文無關文法G是一個五元組，格式如下：G＝{V_N，V_T，S，R，P}

其中：V_T為終結符號集，包含終結符號v_t；V_N為非終結符號集，包含非終結符號v_n；V_T和V_N通稱為符號集V，符號集V中的項稱為符號v；S是目標文法符號，S∈V_N；R是文法的產生式集，P是文法的謂詞集；

一般產生式的格式為：v_n：v₁(p₁)...v_k(p_k)

產生式的左部為一個非終結符v_n∈V_N，產生式的右邊包含0個或者多個帶謂詞的終結符或者非終結符v₁，...，v_k∈V；謂詞p₁，...，p_k∈P；謂詞為產生式右部符號所應滿足的限制條件，由邏輯運算符、算術運算符以及函數調用的組合構成；產生式的語義是：產生式的左部符號是由帶謂詞的右部符號歸結而來；

解析所述檢測規則，生成一個下推自動機的分析表，所述分析表支持并行分析；

接收待檢測事件；

通過控制器，針對所述待檢測事件，利用所述分析表進行分析，得到檢測結果；

其中，所述方法應用于網絡入侵檢測領域，所述檢測規則包括協議規則和攻擊規則；通過以下步驟得到所述下推自動機分析表：

a)解析所述協議規則和攻擊規則，得到語法樹；

b)采用帶謂詞的LR(0)生成算法生成所述帶謂詞的上下文無關文法的項目集簇；

c)將該項目集簇進行轉換，得到相應的下推自動機分析表，所述下推自動機分析表包括動作表ACTION和跳轉表GOTO。

2.按照權利要求1所述的檢測方法，其特征在于，還包括：

通過謂詞來定義處于多個不同層次上的協議事件，并基于協議原子事件和/或協議抽象事件來定義攻擊規則。

3.按照權利要求2所述的檢測方法，其特征在于，所述分析包括：

緩存前一待檢測事件的匹配狀態；以及，

針對后一待檢測事件，結合前一待檢測事件的匹配狀態，在所述分析表中進行分析，得到后一待檢測事件的最新匹配狀態。

4.按照權利要求1所述的檢測方法，其特征在于，通過以下步驟完成協議規則和攻擊規則的預置：

基于協議規范，使用所述帶謂詞的上下文無關文法，將協議終結符v_tp添加到文法的終結符號集V_T中；

使用所述帶謂詞的上下文無關文法，將攻擊非終結符號v_na添加到文法的非終結符號集V_N中；

將產生式r_a添加到文法的產生式集R中，所述產生式左部為攻擊非終結符號v_na，產生式右部包含至少一個協議終結符v_tp。

5.按照權利要求1所述的檢測方法，其特征在于，通過以下步驟完成協議規則和攻擊規則的預置：

基于協議規范，使用所述帶謂詞的上下文無關文法，將協議終結符v_tp添加到文法的終結符號集V_T中；將協議非終結符號v_np添加到文法的非終結符號集V_N中；所述協議非終結符號v_np由協議終結符v_tp結合謂詞得到；

使用所述帶謂詞的上下文無關文法，將攻擊非終結符號v_na添加到文法的非終結符號集V_N中；

將產生式r_a添加到文法的產生式集R中，所述產生式左部為攻擊非終結符號v_na，產生式右部包含至少一個協議終結符v_tp或協議非終結符號v_np。