[發(fā)明專利]一種基于結(jié)構(gòu)性文件索引信息的網(wǎng)絡(luò)檢測方法及裝置

在審

• 申請?zhí)枺?/td>: 201210577827.X
• 申請日: 2012-12-27
• 公開（公告）號: CN103580948A
• 公開（公告）日: 2014-02-12
• 發(fā)明（設(shè)計(jì)）人: 肖新光;童志明;沈長偉
• 申請（專利權(quán)）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于結(jié)構(gòu)性文件索引信息的網(wǎng)絡(luò)檢測方法，其特征在于，包括：

步驟1：獲取網(wǎng)絡(luò)數(shù)據(jù)流中的數(shù)據(jù)包；

步驟2：判斷所述數(shù)據(jù)包是否為結(jié)構(gòu)性文件，如果是，則執(zhí)行步驟3，否則直接還原數(shù)據(jù)包；

步驟3：提取數(shù)據(jù)包的文件索引信息；

步驟4：判斷所述文件索引信息中是否包含存在威脅的格式后綴名，如果存在，則標(biāo)記數(shù)據(jù)流處置數(shù)據(jù)包為還原數(shù)據(jù)包，否則執(zhí)行步驟5；

步驟5：判斷所述文件索引信息是否完整，如果是，則執(zhí)行步驟6，否則執(zhí)行步驟7；

步驟6：標(biāo)記數(shù)據(jù)流處置數(shù)據(jù)包為不還原數(shù)據(jù)包；

步驟7：獲取數(shù)據(jù)流中的下一個(gè)數(shù)據(jù)包，返回步驟3。

2.如權(quán)利要求1所述的方法，其特征在于，所述的結(jié)構(gòu)性文件是指rar壓縮包文件、gzip壓縮包文件或其他文件索引信息在頭部的文件。

3.如權(quán)利要求1所述的方法，其特征在于，所述存在威脅的后綴格式至少包括：com、exe或bat。

4.如權(quán)利要求1所述的方法，其特征在于，判斷所述文件索引信息是否完整方式為：判斷文件索引信息中是否存在結(jié)束標(biāo)志。

5.一種基于結(jié)構(gòu)性文件索引信息的網(wǎng)絡(luò)檢測裝置，其特征在于，包括：

數(shù)據(jù)包獲取模塊，用于獲取網(wǎng)絡(luò)數(shù)據(jù)流中的數(shù)據(jù)包；

判斷模塊，用于判斷所述數(shù)據(jù)包是否為結(jié)構(gòu)性文件，如果是，則將數(shù)據(jù)包發(fā)送至信息提取模塊，否則直接還原數(shù)據(jù)包；

信息提取模塊，用于提取數(shù)據(jù)包的文件索引信息，并判斷文件索引信息的完整性；

判斷標(biāo)記模塊，用于判斷所述文件索引信息中是否包含存在威脅的格式后綴名，如果存在，則標(biāo)記數(shù)據(jù)流處置數(shù)據(jù)包為還原數(shù)據(jù)包，如果不存在，且文件索引信息完整，則標(biāo)記數(shù)據(jù)流處置數(shù)據(jù)包為不還原數(shù)據(jù)包，如果不存在，且文件索引信息不完整，則獲取數(shù)據(jù)流中的下一個(gè)數(shù)據(jù)包，返回信息提取模塊。

6.如權(quán)利要求5所述的裝置，其特征在于，所述的結(jié)構(gòu)性文件是指rar壓縮包文件、gzip壓縮包文件或其他文件索引信息在頭部的文件。

7.如權(quán)利要求5所述的裝置，其特征在于，所述存在威脅的后綴格式至少包括：com、exe或bat。

8.如權(quán)利要求5所述的裝置，其特征在于，判斷所述文件索引信息是否完整方式為：判斷文件索引信息中是否存在結(jié)束標(biāo)志。