[發明專利]一種端到端的數據檢測系統、裝置和方法

無效

• 申請號: 201210024786.1
• 申請日: 2012-02-06
• 公開（公告）號: CN103248609A
• 公開（公告）日: 2013-08-14
• 發明（設計）人: 孫睿;李健航
• 申請（專利權）人: 同方股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種端到端的數據檢測系統，包括第一網卡和第二網卡，其特征在于，還包括數據流量處理模塊、數據檢測模塊、威脅策略模塊；

所述數據流量處理模塊，用于掃描第一網卡流入的數據以獲取進行檢測所需的必要信息；

所述數據檢測模塊，用于根據所述必要信息，將所述數據流量處理模塊發送的數據分段后搜索已知的威脅數據，確認是否有與之相同的數據段，根據對比結果判斷所述單位數據中是否存在威脅數據；并將經過對比的單位數據、對應的判斷結果發送至所述威脅策略模塊；

所述威脅策略模塊，用于根據所述數據檢測模塊發送的判斷結果確定是否將所述經過對比的單位數據轉發至所述第二網卡。

2.根據權利要求1所述的端到端的數據檢測系統，其特征在于，所述數據檢測模塊包括分段模塊、威脅指紋庫和威脅判斷模塊；

所述分段模塊，用于將所述數據流量處理模塊掃描后的數據進行分段并傳輸到威脅判斷模塊33；

所述威脅指紋庫為一存儲已知威脅數據的數據庫；

所述威脅判斷模塊，用于根據分段模塊分段后的分段數據搜索所述威脅指紋庫中的威脅數據，確認是否有與之相同的數據段，將與所述威脅指紋庫中的所述威脅數據完全匹配的數據段判斷為威脅數據，將與威脅指紋庫中的威脅數據不完全匹配的數據段判斷為安全數據，并將經過對比的單位數據和對應的判斷結果發送至所述威脅策略模塊。

3.根據權利要求1所述的端到端的數據檢測系統，其特征在于，還包括緩存優化模塊；

用于對每個文件生成一個文件記錄，所述文件記錄至少包括文件SHA-1指紋值；以當前文件生成的SHA-1指紋值為索引檢索歷史指紋緩存庫中具有相同SHA-1指紋值的歷史文件記錄，根據歷史文件記錄填寫當前文件記錄，并將當前文件記錄發送至所述威脅策略模塊；

所述歷史指紋緩存庫，用于存儲并更新所有經過檢測的文件的文件記錄。

4.根據權利要求3所述的端到端的數據檢測系統，其特征在于，所述數據流量處理模塊，還用于建立主線任務管理列表，負責數據檢測模塊和緩存優化模塊的子任務管理，并將主線任務管理列表傳送到威脅策略模塊，再將主線程任務編號傳送到數據檢測模塊和緩存優化模塊。

5.根據權利要求4所述的端到端的數據檢測系統，其特征在于，所述緩存優化模塊還用于根據接收到的屬于完整文件的單位數據，構建子線任務編號，并將模塊編號、主線任務編號、子線任務編號和任務狀態任務管理數據發送至所述威脅策略模塊。

6.根據權利要求4所述的端到端的數據檢測系統，其特征在于，所述數據檢測模塊還用于依據數據流量處理模塊的主線任務編號，構建子線任務編號和子線任務模塊編號，在處理完全部單位數據后，對每個完整文件依據SHA-1算法，產生每個文件的簽名，所述簽名包括建立時間，SHA-1指紋值，主線任務編號，子線任務模塊編號、子線任務編號和任務狀態。

7.根據權利要求5所述的端到端的數據檢測系統，其特征在于，所述緩存優化模塊包括生成記錄模塊、歷史指紋緩存庫和威脅歷史判斷模塊；

所述生成記錄模塊，用于根據接收到的屬于完整文件的單位數據，構建子線任務編號，并將子線任務模塊編號、主線任務編號、子線任務編號和任務狀態發送至所述威脅策略模塊，還用于生成文件記錄，所述文件記錄包括文件的SHA-1字段、是否命中緩存字段、是否已檢測字段、是否屬于威脅字段和是否執行放行操作字段；

所述威脅歷史判斷模塊，用于檢索所述歷史指紋緩存庫當中是否存在與當前文件具有相同SHA-1指紋值的歷史文件；

如果存在與當前文件具有相同SHA-1指紋值的歷史文件，則將所述當前文件的是否命中緩存字段的值寫為是；若所述歷史文件記錄中的是否屬于威脅字段不為空，則將所述當前文件記錄中的是否已檢測字段寫為是，否則寫入否；將所述歷史文件記錄中的是否屬于威脅字段的值寫入所述當前文件的是否屬于威脅字段的值；所述是否執行放行操作字段值為空；不存在與當前文件具有相同SHA-1指紋值的歷史文件，則將所述當前文件的是否命中緩存字段寫為否、將所述是否已檢測字段寫入否、將所述是否屬于威脅字段寫入空、是否執行放行操作字段的值為空；將當前文件記錄返回至所述威脅策略模塊。