[發明專利]基于報文內容感知的動態規則鏈式遞歸觸發方法及其系統

有效

• 申請號: 201810098810.3
• 申請日: 2018-01-31
• 公開（公告）號: CN108377211B
• 公開（公告）日: 2021-06-11
• 發明（設計）人: 張曉哲;胡都歡;劉日;李先平;楊白;李權;張鵬;唐靖飚;陳一驕;童江鵬
• 申請（專利權）人: 湖南戎騰網絡科技有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24
• 代理公司: 湖南省國防科技工業局專利中心 43102
• 代理人: 李傳中

1.一種基于報文內容感知的動態規則鏈式遞歸觸發方法，其特征在于它包括以下步驟：

1）用戶配置觸發器，指定需觸發的規則類型、老化時間、報文匹配方向、規則各組成域的來源、以及觸發后的規則與其它觸發器的關聯關系，保存在觸發描述庫模塊中，其中規則各組成域可以由用戶配置靜態值，也可以指定從當前報文的指定域提取動態值；

2）用戶配置MAC、IP五元組、報文載荷特征碼靜態規則，定義當前靜態規則與某個觸發器的關聯關系，保存在靜態規則庫模塊中；

3）觸發描述庫模塊和靜態規則庫模塊將靜態規則和觸發器定義分發給設備中的多個報文匹配引擎，保存在報文匹配引擎的規則表中；

4）報文匹配引擎在接收到網絡報文時，查詢規則表進行匹配；

5）如果當前報文與規則表中某一條規則匹配，根據規則關聯的觸發器，提取當前觸發器指定的報文字段，與用戶靜態配置規則域、以及當前的觸發關聯關系一起構成新的動態規則；

6）報文匹配引擎將新動態規則發送給動態規則庫模塊；

7）動態規則庫模塊在收到新動態規則后，保存在規則庫中，將其分發給所有報文匹配引擎，保存在各報文匹配引擎的規則表中，保證所有報文匹配引擎的動態規則嚴格同步；

8）動態規則庫模塊周期性查詢各個動態規則的報文匹配計數，在達到動態規則老化時間且無報文匹配本條規則時，通知所有報文匹配引擎刪除該動態規則。

2.根據權利要求1所述的基于報文內容感知的動態規則鏈式遞歸觸發方法，其特征在于報文與報文匹配引擎規則表中的新動態規則和靜態規則匹配后的處理過程完全相同，不需區分新動態規則和靜態規則的匹配過程。

3.一種實現如權利要求1至2 任一所述基于報文內容感知的動態規則鏈式遞歸觸發方法的系統，其特征在于它包括：控制平面、數據平面；

所述的控制平面包括觸發描述庫模塊、靜態規則庫模塊、多線程并行的動態規則處理線程模塊；

觸發描述庫模塊：保存用戶定義的觸發器信息，其中觸發器包括觸發的規則類型、規則優先級、從報文中動態提取的規則域描述、用戶靜態配置的規則域、以及新觸發規則與其它觸發器的關聯關系、新觸發規則的老化時間，觸發描述庫模塊將所有觸發器信息可靠分發給所有的報文匹配引擎；

靜態規則庫模塊：保存用戶定義的基于MAC地址、IP五元組和報文載荷內容匹配靜態規則，以及靜態規則與某個觸發器的關聯關系，用于過濾篩選網絡報文，靜態規則庫模塊將所有靜態規則信息可靠分發給所有的報文匹配引擎；

動態規則處理線程模塊：由多個動態規則處理線程構成，基于動態規則內容的HASH值，每個動態規則處理線程只負責處理一部分動態規則，通過多個動態規則處理線程的無鎖高速并行，實現整個觸發裝置動態規則處理性能的最大化，每個動態規則處理線程負責處理并保存所有通過觸發器觸發的動態規則，具體包括：MAC地址、IP五元組和報文載荷內容匹配規則，每條動態規則攜帶老化時間、最近一次報文命中時間、以及與某個觸發器的關聯關系，動態規則處理線程對本線程保存的動態規則按照老化時間進行老化刪除，在達到動態規則老化時間且無報文匹配本條規則時，刪除該動態規則，同時將動態規則的創建和刪除信息可靠分發給所有的報文匹配引擎；

所述的數據平面包括多個報文匹配引擎模塊；

報文匹配引擎：負責網絡報文的接收、解析、規則匹配和發送處理，報文匹配引擎將輸入報文與規則庫中的動態規則和靜態規則進行匹配，如果動態規則和靜態規則均匹配當前輸入報文，則動態規則的優先級高于靜態規則，規則匹配后，根據規則關聯的觸發器，提取當前觸發器指定的報文字段，與用戶靜態配置規則域、以及當前的觸發關聯關系一起構成新的動態規則，發送給動態規則庫進行處理。