[發明專利]一種網絡數據包的分析系統和分析方法

在審

• 申請號: 201711214998.5
• 申請日: 2017-11-28
• 公開（公告）號: CN107959678A
• 公開（公告）日: 2018-04-24
• 發明（設計）人: 吳波;徐超;李葉飛;葛崇慧;厲文婕;陳輝
• 申請（專利權）人: 江蘇方天電力技術有限公司;國網江蘇省電力有限公司;國家電網公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 南京縱橫知識產權代理有限公司32224
• 代理人: 董建林,張賞

1.一種網絡數據包的分析系統，其特征在于，包括：

待識別數據包抓取單元，用于通過Libpcao抓取待識別數據包；

數據信息獲取單元，用于通過分析獲取所述待識別數據包的數據信息；

待識別數據包判斷單元，用于根據識別的數據信息判斷所述待識別數據包與預設的應用層協議鏈接的關系，并根據所述關系判斷所述待識別數據包是否屬于正常數據包。

2.根據權利要求1所述的一種網絡數據包的分析系統，其特征在于，所述Libpcao是unix平臺/linux平臺下的網絡數據包捕獲函數。

3.根據權利要求1所述的一種網絡數據包的分析系統，其特征在于，所述應用層協議是承載在TCP協議或UDP協議之上的協議，TCP協議或UDP協議的負載即為應用層協議分析的對象。

4.根據權利要求1所述的一種網絡數據包的分析系統，其特征在于，所述待識別數據包抓取單元，數據信息獲取單元和待識別數據包判斷單元的實現通過程序來指令相關的硬件來完成。

5.根據權利要求4所述的一種網絡數據包的分析系統，其特征在于，所述程序存儲于計算機的可讀取存儲介質中，所述存儲介質包括ROM/RAM、磁盤和光盤。

6.基于權利要求1至5任意一項所述的網絡數據包的分析系統的網絡數據包分析方法，其特征在于，包括以下步驟：

1）待識別數據包抓取單元利用Libpcao抓取待識別數據包；

2）數據信息獲取單元通過分析獲取所述待識別數據包的數據信息；

3）待識別數據包判斷單元根據識別出的數據信息判斷待識別數據包與預設的應用層協議鏈接的關系，并根據所述關系判斷待識別數據包是否屬于正常數據。

7.根據權利要求6所述的網絡數據包的分析方法，其特征在于，所述步驟2）中，獲取待識別數據包的數據信息的具體過程如下：

2-1）根據基本協議的協議結構，生成協議腳本；

2-2）根據協議腳本生成語句表和邏輯樹；

2-3）載入待識別數據包，獲取待識別數據包的協議名稱，根據協議名稱查找對應的協議腳本，并獲取相應的語句表和邏輯樹，對待識別數據包進行解析，識別出待識別數據包的數據信息；所述數據信息包括源主機IP地址、目的主機IP地址、源主機端口和目的主機端口。

8.根據權利要求6所述的網絡數據包的分析方法，其特征在于，所述步驟3）中，判斷待識別數據包與預設的應用層協議鏈接的關系，具體過程如下：

3-1）判斷數據信息與預設的應用層協議鏈接的信息是否相同：如果相同，則所述待識別數據包屬于所述應用層協議鏈接，如果不同，則將所述待識別數據包與所述應用層協議鏈接進行預設次數的匹配；

3-2）如果在預設次數內匹配不成功，則所述待識別數據包不屬于所述應用層協議鏈接；如果在預設次數內匹配成功，則對TCP協議或UDP協議的負載進行模式匹配；

3-3）如果模式匹配成功，則所述待識別數據包屬于所述應用層協議鏈接，如果模式匹配不成功，則所述待識別數據包不屬于所述應用層協議鏈接。

9.根據權利要求8所述的網絡數據包的分析方法，其特征在于，所述步驟3）中，判斷待識別數據包是否屬于正常數據的判斷準則為：

如果所述待識別數據包屬于所述應用層協議鏈接，則所述待識別數據包為正常數據包；

如果所述待識別數據包不屬于所述應用層協議鏈接，則所述待識別數據包為異常數據包。

10.根據權利要求8所述的網絡數據包的分析方法，其特征在于，所述預設次數為10次。