[發明專利]網絡入侵檢測方法

在審

• 申請號: 201310398922.8
• 申請日: 2013-09-05
• 公開（公告）號: CN103685221A
• 公開（公告）日: 2014-03-26
• 發明（設計）人: 劉慶;孫浩
• 申請（專利權）人: 北京科能騰達信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種網絡入侵檢測方法，其特征在于，包括以下步驟：

1)捕獲網絡中的數據包；

2)對所捕獲的數據包進行全協議棧解析；

3)通過確定性有限狀態機將正則表達式規則集編譯成DFA狀態轉換表，對DFA狀態轉換表進行壓縮；

4)將步驟2解析后的數據寫入壓縮后的DFA狀態轉換表做匹配；

5)輸出匹配結果。

2.如權利要求1所述的方法，其特征在于，所述步驟2的具體方法包括：

1)協議解析器進行初始化，并加載編譯后的正則規則表達集；

2)讀取數據包，并對其進行分組處理；

3)識別分組后所述數據包的協議類型，并判斷所述數據包是否需要解析，如不需要，則直接丟棄該數據包；否則，將協議類型相同的數據包進行歸類；

4)根據正則表達式規則集查找到與數據協議類型對應的協議解碼規則，再對包含該數據的數據包進行掃描，根據所述協議解析規則從數據包中提取所述數據的解析信息。

3.根據權利要求2所述的方法，其特征在于，所述對數據包進行分組的具體步驟包括：

首先設置輸出端口分組規則和數據分組規則，輸出端口分組規則的配置是首先將各輸出端口按照對應的后端應用系統的業務處理類型進行分組，然后再根據組內各端口對應的后端系統的處理能力決定每個端口在該組中數據包處理流量的分配比例，數據分組規則的配置是根據IP地址信息或特殊字段將數據包劃分到各個分組當中；再進行數據分組處理，先通過協議解析，從網絡上接收到的原始數據包中提取出IP數據包，根據設置好的數據分組規則將與后續處理相關數據劃分到各個輸出端口分組中；然后將劃分到每個組中的數據包的地址和端口信息進行Hash運算，Hash值再與該分組所包含的端口總數取模，得到的結果就是該數據包在所屬的分組中對應的輸出端口序號。

4.根據權利要求3所述的方法，其特征是，所述的輸出端口分組的配置遵循以下原則：

1)輸出端口的分組首先依據后端處理系統的業務需求，按照業務處理類型進行分組，當一個系統與多個系統分別在數據分組規則屬性中互相有重疊時，同一個輸出端口會出現在兩個以上的分組中；

2)在每個分組內部，為了保證數據處理任務實現均衡分配，同一個輸出端口可多次出現在同一個組中，即在分組內按照每個端口對應的后端系統的數據處理能力決定每個端口在該組中數據包流量的分配比例；

3)組內各輸出端口的分配在保證負載均衡的同時，保證同一條TCP連接雙向的所有數據包必須轉發到同一個輸出端口上，便于后端對所接收到的數據的匯總和還原。