[發明專利]用于待入侵檢測處理的數據包進行抽樣的方法與設備

在審

• 申請號: 201310269205.5
• 申請日: 2013-06-28
• 公開（公告）號: CN103368952A
• 公開（公告）日: 2013-10-23
• 發明（設計）人: 劉賀
• 申請（專利權）人: 百度在線網絡技術（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京漢昊知識產權代理事務所(普通合伙) 11370
• 代理人: 羅朋;周建華

1.一種用于對待入侵檢測處理的數據包進行抽樣處理的方法，其中，該方法包括以下步驟：

a獲取待進行入侵檢測處理的數據包；

b根據所述數據包的包特征信息，檢測所述數據包所屬的數據流是否待抽樣；

c當所述數據包待抽樣時，根據所述數據流的長度信息，確定所述數據流是否滿足新流抽樣條件；

d當所述數據流滿足新流抽樣條件時，按預定抽樣概率對所述數據流進行抽樣處理；

e當所述數據流被抽中時，將所述數據包用于入侵檢測處理。

2.根據權利要求1所述的方法，其中，所述步驟b還包括：

-當所述數據流已抽樣時，將所述數據包用于入侵檢測處理。

3.根據權利要求1或2所述的方法，其中，所述步驟d還包括：

-當所述數據流不滿足新流抽樣條件時，根據FFS算法對所述數據流進行抽樣處理。

4.根據權利要求3所述的方法，其中，所述步驟d包括：

-當所述數據流不滿足新流抽樣條件時，根據所述數據流的長度信息，結合FFS算法，確定對所述數據流進行抽樣的抽樣概率；

-根據所述抽樣概率，對所述數據流進行抽樣。

5.根據權利要求1所述的方法，其中，所述步驟b包括：

-根據所述數據包的包特征信息，確定所述數據包所對應的哈希值，其中，所述包特征信息包括所述數據包的五元組信息；

-將所述哈希值與預定哈希表進行比較，以檢測所述數據包所屬的數據流是否待抽樣。

6.根據權利要求1至5中任一項所述的方法，其中，所述步驟c包括：

-當所述數據包待抽樣時，基于多級布魯姆過濾器確定所述數據流的長度信息，以確定所述數據流是否滿足新流抽樣條件。

7.根據權利要求1至4中任一項所述的方法，其中，所述步驟d還包括：

-當所述數據流被抽中時，在流哈希表中建立與所述數據流相對應的表項，以更新所述流哈希表。

8.一種用于對待入侵檢測處理的數據包進行抽樣處理的抽樣設備，其中，該抽樣設備包括：

獲取裝置，用于獲取待進行入侵檢測處理的數據包；

檢測裝置，用于根據所述數據包的包特征信息，檢測所述數據包所屬的數據流是否待抽樣；

確定裝置，用于當所述數據包待抽樣時，根據所述數據流的長度信息，確定所述數據流是否滿足新流抽樣條件；

抽樣處理裝置，用于當所述數據流滿足新流抽樣條件時，按預定抽樣概率對所述數據流進行抽樣處理；

入侵檢測裝置，用于當所述數據流被抽中時，將所述數據包用于入侵檢測處理。

9.根據權利要求8所述的抽樣設備，其中，所述檢測裝置還用于：

-當所述數據流已抽樣時，將所述數據包用于入侵檢測處理。

10.根據權利要求8或9所述的抽樣設備，其中，所述抽樣處理裝置還用于：

-當所述數據流不滿足新流抽樣條件時，根據FFS算法對所述數據流進行抽樣處理。

11.根據權利要求10所述的抽樣設備，其中，所述抽樣處理裝置用于：

-當所述數據流不滿足新流抽樣條件時，根據所述數據流的長度信息，結合FFS算法，確定對所述數據流進行抽樣的抽樣概率；

-根據所述抽樣概率，對所述數據流進行抽樣。

12.根據權利要求8所述的抽樣設備，其中，所述檢測裝置用于：

-根據所述數據包的包特征信息，確定所述數據包所對應的哈希值，其中，所述包特征信息包括所述數據包的五元組信息；

-將所述哈希值與預定哈希表進行比較，以檢測所述數據包所屬的數據流是否待抽樣。

13.根據權利要求8至12中任一項所述的抽樣設備，其中，所述確定裝置用于：

-當所述數據包待抽樣時，基于多級布魯姆過濾器確定所述數據流的長度信息，以確定所述數據流是否滿足新流抽樣條件。

14.根據權利要求8至11中任一項所述的抽樣設備，其中，所述抽樣處理裝置還用于：

-當所述數據流被抽中時，在流哈希表中建立與所述數據流相對應的表項，以更新所述流哈希表。

15.一種計算機設備，包括權利要求8至14中任一項所述的抽樣設備。