[發明專利]一種網絡入侵檢測與防護的方法及裝置

有效

• 申請號: 201010265793.1
• 申請日: 2010-08-27
• 公開（公告）號: CN101938474A
• 公開（公告）日: 2011-01-05
• 發明（設計）人: 夏高;劉斌;李志春;陳焰
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京清亦華知識產權代理事務所(普通合伙) 11201
• 代理人: 黃德海

1.一種網絡入侵檢測與防護的方法，其特征在于，包括如下步驟：

S101：讀入漏洞特征規則集并將其表格化以形成特征規則表，對所述特征規則表中的各個特征規則所對應的匹配器進行重排序，并對所述特征規則表進行重排序和分組；

S102：獲取應用層數據，采用增量解析方式對所述應用層數據進行解析；

S103：根據所述重排序后的匹配器和重排序及分組后的所述特征規則表，對所述應用層數據的解析結果進行依賴當前域匹配器的匹配，并執行候選項選擇算法計算本輪存活的候選項，并以所述本輪存活的候選項作為下輪匹配的輸入，直至所有匹配器完成匹配，則最終存活的候選項為最終匹配規則；和

S104：報告所述最終匹配規則，重置所述匹配器的狀態，清空保存中間結果的存儲空間，返回步驟S101。

2.如權利要求1所述的檢測與防護的方法，其特征在于，所述特征規則表包括：規則號、表征所述規則中的域的運算的匹配器和所述規則和匹配器確定的運算參數。

3.如權利要求1所述的檢測與防護的方法，其特征在于，所述對規則對應的匹配器進行重排序，包括：根據各個特征規則對應的匹配器的區分度從高到低對所述匹配器進行重排序；

所述對特征規則表進行重排序和分組，包括：根據所述各個規則所依賴的匹配器出現的先后順序對規則進行重排序，并根據所述各個規則所依賴的第一個匹配器的不同進行分組。

4.如權利要求1所述的檢測與防護的方法，其特征在于，所述采用增量解析方式對應用層數據進行解析，包括如下步驟：

在所述應用層數據上移動指針；

根據協議狀態上下文判斷當前指針所指數據所屬的協議域，并根據所述協議域的類型處理所述應用層數據，更新并保存協議狀態的上下文。

5.如權利要求4所述的檢測與防護的方法，其特征在于，所述協議域包括：無用域、解析過程中使用的域和漏洞特征規則中使用的域。

6.如權利要求5所述的檢測與防護的方法，其特征在于，所述對應用層數據的解析結果執行依賴當前域的匹配器的匹配算法，包括如下步驟：

將所述漏洞特征規則中使用的域中的數據通過所述依賴當前域的匹配器與所述特征規則表進行匹配，如果當前域的數據全部到達之后，

當匹配成功時，則取出匹配成功的規則作為本次匹配的候選項進行候選項選擇算法運算；

當匹配不成功時，則將空集作為本次匹配的候選項進行候選項選擇算法運算。

7.如權利要求6所述的檢測與防護的方法，其特征在于，所述匹配器并行匹配依賴其的所有特征規則，包括：每個匹配器的匹配算法均為并行匹配所有依賴該匹配器的規則的算法。

8.如權利要求6所述的檢測與防護的方法，其特征在于，對所述本次匹配的候選項采用候選項選擇算法，包括：

將所述經過當前域對應的匹配器匹配得到的候選項，與上一輪存活的候選項通過候選項選擇算法進行運算，運算所選出的候選項為本輪存活的候選項，直至所有匹配器均已執行匹配算法和候選項選擇算法，則最終存活候選項為最終匹配的規則。

9.如權利要求8所述的檢測與防護的方法，其特征在于，獲取本輪存活的候選項，包括如下步驟：

設第i輪存活的候選項集合為S_i，則：

其中，S_i-1為第i-1輪存活的候選項集合；

A_i為來自規則分組RB₁、RB₂至RB_i-1的規則的集合與當前匹配器所匹配的候選項的集合的交集，即其中，C_i為匹配器M_i選出的候選項集合，B_i為來自規則分組RB_i的規則的集合與當前匹配器所匹配的候選項的集合的交集，即B_i＝C_i?∩RB_i，

其中，則A_i∩B_i＝Φ，A_i+B_i＝C_i。