[發明專利]異構平臺間的深度報文檢測方法及裝置

有效

• 申請號: 201210429055.5
• 申請日: 2012-10-31
• 公開（公告）號: CN102932203A
• 公開（公告）日: 2013-02-13
• 發明（設計）人: 楊德光;楊強浩;張華;郝振華
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/70
• 代理公司: 北京鴻元知識產權代理有限公司 11327
• 代理人: 林錦輝

1.一種基于異構平臺的深度報文檢測方法，所述異構平臺包括FPGA架構下的第一平臺以及X86架構下的第二平臺，所述方法包括：

當在第一平臺上判斷出第一平臺所接收報文的對應會話表項中包含需要進行深度報文檢測的指示信息時，在第一平臺上，對所接收的報文進行協議分析，以確定該報文的承載協議；

基于所確定出的承載協議以及預先定義的承載協議-多模匹配映射表，確定是否需要對該報文進行多模匹配，所述承載協議-多模匹配映射表表示承載協議與是否需要對該承載協議進行多模匹配之間的映射關系；

在確定需要對該報文進行多模匹配時，在第一平臺上，基于預先定義的與應用相關的多模特征集合，對該報文的有效載荷部分進行多模匹配，所述多模特征集合中的每個多模特征是通過對應用的應用簽名特征進行分析后歸納出的并且對應多個應用；以及

在多模匹配命中后，將該報文和多模匹配結果發送到第二平臺，并且在第二平臺中，基于多模匹配結果，對該報文進行深度報文檢測。

2.如權利要求1所述的深度報文檢測方法，還包括：

在確定不需要對該報文進行多模匹配時，在第一平臺上，基于預先定義的承載協議庫，識別所述承載協議是否屬于需要繼續進行深度報文分析的承載協議，所述預先定義的承載協議庫中的每個承載協議是需要繼續進行深度報文分析的承載協議；以及

在識別出所述承載協議屬于需要繼續進行深度報文分析的承載協議時，將該報文發送到第二平臺中進行深度報文檢測，或者

在識別出所述承載協議不屬于需要繼續進行深度報文分析的承載協議時，在所述第一平臺中對該報文進行轉發預處理。

3.如權利要求1所述的深度報文檢測方法，其中，所述承載協議和多模特征采用形式化語言描述，并且預先定義的承載協議-多模匹配映射表、承載協議庫和多模特征集合在所述第一平臺中被實現為狀態機或狀態機集合。

4.如權利要求3所述的深度報文檢測方法，其中，基于預先定義的承載協議-多模匹配映射表，確定是否需要對該報文進行多模匹配包括：

將所接收的報文遍歷基于預定定義的承載協議-多模匹配映射表實現的狀態機或狀態機集合來進行多模匹配確定，以及

基于預先定義的承載協議庫，識別所述承載協議是否屬于需要繼續進行深度報文分析的承載協議包括：

將該報文遍歷基于預定定義的承載協議庫實現的狀態機或狀態機集合來進行承載協議識別。

5.如權利要求3所述的深度報文檢測方法，其中，基于預先定義的與應用相關的多模特征集合，對該報文的有效載荷部分進行多模匹配包括：

將該報文遍歷基于預先定義的與應用相關的多模特征集合實現的狀態機或狀態機集合來進行多模匹配。

6.如權利要求1所述的深度報文檢測方法，其中，所述預先定義的承載協議-多模匹配映射表、預先定義的承載協議庫和多模特征集合根據用戶需求進行更新。

7.如權利要求1所述的深度報文檢測方法，其中，與應用相關的多模特征集合包括與應用相關的靜態特征、動態特征和/或狀態特征。

8.一種基于異構平臺的深度報文檢測裝置，所述異構平臺包括FPGA架構下的第一平臺以及X86架構下的第二平臺，所述深度報文檢測裝置包括：

承載協議確定單元，位于第一平臺中，用于當在第一平臺上判斷出第一平臺所接收報文的會話表項中包含需要進行深度報文檢測的指示信息時，對所接收報文進行協議分析，以確定該報文的承載協議；

多模匹配確定單元，位于所述第一平臺中，用于基于所確定出的承載協議以及預先定義的承載協議-多模匹配映射表，確定是否需要對該報文進行多模匹配，所述承載協議-多模匹配映射表表示承載協議與是否需要對該承載協議進行多模匹配之間的映射關系；

多模匹配單元，位于所述第一平臺中，用于在確定需要對該報文進行多模匹配時，在第一平臺上，基于預先定義的與應用相關的多模特征集合，對該報文的有效載荷部分進行多模匹配，所述多模特征集合中的每個多模特征是通過對應用的應用簽名特征進行分析后歸納出的并且對應多個應用；

發送單元，位于所述第一平臺中，用于在多模匹配命中后，將該報文和多模匹配結果發送到第二平臺；以及

深度報文檢測單元，位于第二平臺中，用于基于多模匹配結果，對該報文進行深度報文檢測。

9.如權利要求8所述的深度報文檢測裝置，還包括：

承載協議識別單元，位于所述第一平臺中，用于在確定不需要對該報文進行多模匹配時，基于預先定義的承載協議庫，識別所述承載協議是否屬于需要繼續進行深度報文分析的承載協議，所述預先定義的承載協議庫中的每個承載協議是需要繼續進行深度報文分析的承載協議，以及

在識別出所述承載協議屬于需要繼續進行深度報文分析的承載協議時，所述發送單元將該報文發送到第二平臺中進行深度報文檢測，或者

在識別出所述承載協議不屬于需要繼續進行深度報文分析的承載協議時，在所述第一平臺中對該報文進行轉發預處理。