[發明專利]一種面向IPv4和IPv6的網絡病毒檢測方法及系統

在審

• 申請號: 201210022667.2
• 申請日: 2012-02-02
• 公開（公告）號: CN103248606A
• 公開（公告）日: 2013-08-14
• 發明（設計）人: 邱勇良;劉靜
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種面向IPv4和IPv6的網絡病毒檢測方法，其特征在于，包括：

捕獲網絡數據包；

進行網絡層協議識別，判斷數據包IP地址協議，若數據包使用IPv4協議，則進行IPv4網絡層協議識別，若數據包使用IPv6協議，則進行IPv6網絡層協議識別；

根據數據包所使用的協議類型進行IP協議解碼，獲取數據包的TCP四元組，若數據包使用IPv4協議，則使用IPv4IP層解碼，若數據包使用IPv6協議，則使用IPv6IP層解碼；

將具有相同TCP四元組的數據包重組，使離散的數據包匯聚成數據流；

對各數據流的應用層協議進行識別，識別出發生文件傳輸行為的應用層協議；

根據應用層協議識別結果，將數據流中數據包順序重新排列，還原為數據包的正確排列順序；

對數據流進行協議解析，根據協議棧，判斷數據流所使用的協議類型，若為IPv4協議，則使用IPv4協議解析，若為IPv6協議，則使用IPv6協議解析；

根據協議解析結果，對包含文件傳輸行為的數據流還原為文件，對非文件傳輸行為的數據流不作處理；

根據數據包的內容類型，將數據包發送到預設的對應檢測引擎進行網絡病毒檢測，并生成檢測報告；

將檢測報告發送給外部處理程序。

2.如權利要求1所述的方法，其特征在于，所述的網絡層協議識別至少包括TCP/IP、ARP和RARP協議的識別。

3.如權利要求1所述的方法，其特征在于，所述數據包的內容類型至少包括：文件和非文件內容的數據流。

4.一種面向IPv4和IPv6的網絡病毒檢測系統，其特征在于，包括：

捕包模塊，用于捕獲網絡數據包；

網絡層識別模塊，用于進行網絡層協議識別，判斷數據包IP地址協議，若數據包使用IPv4協議，則進行IPv4網絡層協議識別，若數據包使用IPv6協議，則進行IPv6網絡層協議識別；

IP層識別模塊，用于根據數據包所使用的協議類型進行IP協議解碼，獲取數據包的TCP四元組，若數據包使用IPv4協議，則使用IPv4IP層解碼，若數據包使用IPv6協議，則使用IPv6IP層解碼；

流匯聚模塊，用于將具有相同TCP四元組的數據包重組，使離散的數據包匯聚成數據流；

應用協議識別模塊，用于對各數據流的應用層協議進行識別，識別出發生文件傳輸行為的應用層協議；

流還原模塊，用于根據應用層協議識別結果，將數據流中數據包順序重新排列，還原為數據包的正確排列順序；

協議解析模塊，用于對數據流進行協議解析，根據協議棧，判斷數據流所使用的協議類型，若為IPv4協議，則使用IPv4協議解析，若為IPv6協議，則使用IPv6協議解析；

文件還原模塊，用于根據協議解析結果，對包含文件傳輸行為的數據流還原為文件，對非文件傳輸行為的數據流不進行處理；

檢測引擎模塊，用于根據數據包的內容類型，將數據包發送到預設的對應檢測引擎進行網絡病毒檢測，并生成檢測報告；

響應接口模塊，用于將檢測報告發送給外部處理程序。

5.如權利要求4所述的系統，其特征在于，所述的網絡層識別模塊對網絡層協議的識別至少包括TCP/IP、ARP和RARP協議的識別。

6.如權利要求4所述的系統，其特征在于，所述數據包的內容類型至少包括：文件和非文件內容的數據流。