[發明專利]一種基于正則表達式的深度包檢測方法

有效

• 申請號: 201310256991.5
• 申請日: 2013-06-26
• 公開（公告）號: CN104253786B
• 公開（公告）日: 2017-07-07
• 發明（設計）人: 蘇長君;鄭曙光
• 申請（專利權）人: 北京思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/24
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于正則表達式的深度包檢測方法，包括：

步驟202、針對各種入侵行為的特點建立一組入侵行為的特征模式集，將該特征模式集分為m個一級子集，對于每個一級子集使用一個一級正則表達式來表征，該一級正則表達式能夠對所對應一級子集中的入侵行為的共同特征進行識別，將該一級子集和一級正則表達式的對應關系保存到一級數據表中；

步驟204、對于該m個子集，在每個子集內部進行細分，將該子集范圍內的每一個入侵行為的特征使用一個二級正則表達式來表征，并相應的設置每個特征對應的處理措施，將該二級正則表達式、其所屬的一級子集、該入侵行為以及與入侵行為對應的處理措施的對應關系保存到二級數據表中；

步驟206、接收報文，對接收的報文進行DPI處理，將報文中的載荷使用所述一級正則表達式進行模式匹配；

步驟208、若無匹配結果則進入步驟206；若發現匹配結果則查找一級數據表得到該匹配結果的一級正則表達式對應的一級子集，進入步驟210；

步驟210、在二級數據表中查找由匹配結果得到的一級子集對應的二級正則表達式，進行模式匹配；若無匹配結果則進入步驟206；若發現匹配結果則查找二級數據表得到該匹配結果的二級正則表達式對應的入侵行為，進入步驟212；

步驟212、僅接收數據包，對數據包進行存儲，暫停對數據包進行轉發，統計一定時間內檢測到入侵行為的數據包的個數和接收到的總數據包的個數，判斷發生入侵行為的數據包的個數和總數據包的個數的比值是否大于第一門限；若是，則判定發生入侵行為，進入步驟214；若否，則進入步驟216；

步驟214、查找二級數據表中入侵行為對應的處理措施，使用該處理措施對數據包進行處理，結束數據包檢測；

步驟216、將存儲的數據包進行轉發，并恢復對數據包的轉發，進入步驟206，繼續進行數據包的檢測。