[發(fā)明專利]一種畸形數(shù)據(jù)包檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201910989508.1
• 申請日: 2019-10-17
• 公開（公告）號: CN110808962B
• 公開（公告）日: 2022-04-29
• 發(fā)明（設(shè)計(jì)）人: 張釗;肖晨強(qiáng)
• 申請（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;奇安信網(wǎng)神信息技術(shù)（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/22;H04L43/18
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 苗曉靜

1.一種畸形數(shù)據(jù)包檢測方法，其特征在于，包括：

捕獲目標(biāo)網(wǎng)絡(luò)的網(wǎng)絡(luò)數(shù)據(jù)包；

根據(jù)協(xié)議端口和歷史合法流量數(shù)據(jù)結(jié)合的方式對所述網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行協(xié)議識別，獲取所述網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議類型；

根據(jù)所述網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議類型對所述網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行協(xié)議解析；

若協(xié)議解析失敗，則確定所述網(wǎng)絡(luò)數(shù)據(jù)包為畸形數(shù)據(jù)包并進(jìn)行告警；若協(xié)議解析成功，則根據(jù)與所述協(xié)議類型對應(yīng)的協(xié)議規(guī)范判斷協(xié)議解析結(jié)果是否滿足協(xié)議規(guī)范約束，若不滿足協(xié)議規(guī)范約束，則確定所述網(wǎng)絡(luò)數(shù)據(jù)包為畸形數(shù)據(jù)包并進(jìn)行告警；若滿足協(xié)議規(guī)范約束，則根據(jù)與目標(biāo)網(wǎng)絡(luò)對應(yīng)的歷史合法流量數(shù)據(jù)判斷協(xié)議解析結(jié)果是否滿足現(xiàn)場規(guī)范約束；若協(xié)議解析結(jié)果不滿足現(xiàn)場規(guī)范約束，則確定所述網(wǎng)絡(luò)數(shù)據(jù)包為畸形數(shù)據(jù)包并進(jìn)行告警；

其中，所述對所述網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行協(xié)議識別，獲取所述網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議類型，具體包括：

確定所述網(wǎng)絡(luò)數(shù)據(jù)包對應(yīng)的協(xié)議端口；

根據(jù)協(xié)議端口確定與所述協(xié)議端口對應(yīng)的協(xié)議類型集合；

根據(jù)所述歷史合法流量數(shù)據(jù)確定與所述協(xié)議端口對應(yīng)的歷史協(xié)議類型；

從所述協(xié)議類型集合中選擇所述歷史協(xié)議類型作為所述網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議類型。

2.根據(jù)權(quán)利要求1所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述根據(jù)與所述協(xié)議類型對應(yīng)的協(xié)議規(guī)范判斷協(xié)議解析結(jié)果是否滿足協(xié)議規(guī)范約束，具體包括：

若與所述協(xié)議類型對應(yīng)的協(xié)議規(guī)范中約束了協(xié)議中預(yù)設(shè)字段的取值約束條件，則判斷所述協(xié)議解析結(jié)果中與所述預(yù)設(shè)字段對應(yīng)的字段解析結(jié)果是否滿足所述取值約束條件，若滿足，則確定協(xié)議解析結(jié)果滿足協(xié)議規(guī)范約束，若不滿足，則確定協(xié)議解析結(jié)果不滿足協(xié)議規(guī)范約束。

3.根據(jù)權(quán)利要求1所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述根據(jù)與目標(biāo)網(wǎng)絡(luò)對應(yīng)的歷史合法流量數(shù)據(jù)判斷協(xié)議解析結(jié)果是否滿足現(xiàn)場規(guī)范約束具體包括：

根據(jù)與目標(biāo)網(wǎng)絡(luò)對應(yīng)的歷史合法流量數(shù)據(jù)進(jìn)行基于功能碼、關(guān)鍵事件和點(diǎn)表的安全隱患判斷，判斷協(xié)議解析結(jié)果是否滿足現(xiàn)場規(guī)范約束。

4.根據(jù)權(quán)利要求1～3任一項(xiàng)所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述畸形數(shù)據(jù)包檢測方法還包括：

若判斷獲知滿足現(xiàn)場規(guī)范約束，則將所述網(wǎng)絡(luò)數(shù)據(jù)包加入至所述歷史合法流量數(shù)據(jù)中。

5.根據(jù)權(quán)利要求1～3任一項(xiàng)所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述畸形數(shù)據(jù)包檢測方法還包括：

在因協(xié)議解析結(jié)果不滿足現(xiàn)場規(guī)范約束而確定所述網(wǎng)絡(luò)數(shù)據(jù)包為畸形數(shù)據(jù)包并進(jìn)行告警后，發(fā)送手工確認(rèn)是否誤報(bào)的提示信息，若接收到的反饋信息為誤報(bào)，則將所述網(wǎng)絡(luò)數(shù)據(jù)包標(biāo)記為合法數(shù)據(jù)包，并將所述網(wǎng)絡(luò)數(shù)據(jù)包加入至所述歷史合法流量數(shù)據(jù)中。

6.根據(jù)權(quán)利要求1～3任一項(xiàng)所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述畸形數(shù)據(jù)包檢測方法還包括：

在因協(xié)議解析結(jié)果不滿足協(xié)議規(guī)范約束而確定所述網(wǎng)絡(luò)數(shù)據(jù)包為畸形數(shù)據(jù)包并進(jìn)行告警后，根據(jù)所述網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議解析結(jié)果和與所述網(wǎng)絡(luò)數(shù)據(jù)包存在關(guān)聯(lián)關(guān)系的網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議解析結(jié)果分析網(wǎng)絡(luò)攻擊者的攻擊類型。

7.根據(jù)權(quán)利要求1～3任一項(xiàng)所述的畸形數(shù)據(jù)包檢測方法，其特征在于，所述畸形數(shù)據(jù)包檢測方法還包括：

若產(chǎn)生的告警信息的條數(shù)大于預(yù)設(shè)閾值，則判斷是否存在重復(fù)的告警信息，若是，則將相同的告警信息以預(yù)先設(shè)置的時(shí)間單位進(jìn)行合并。