[發明專利]一種面向網絡安全的正則表達式的匹配方法及裝置

有效

• 申請號: 201911422017.5
• 申請日: 2019-12-31
• 公開（公告）號: CN111181980B
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 王彬;覃永靖;程詩堯;馬江波
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/903
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 苗曉靜

1.一種面向網絡安全的正則表達式的匹配方法，其特征在于，包括：

獲取所有預設正則表達式，并確定所述所有預設正則表達式的數量是否大于預設閾值；

如果是，則基于所述所有預設正則表達式構建目標過濾器，以基于所述目標過濾器對目標網絡數據包進行檢測，其中，所述目標過濾器是基于所有預設正則表達式構建的AC自動匹配方式而得到的過濾器；

如果否，則基于所述所有預設正則表達式，構建目標有限自動機，以基于所述目標有限自動機對所述目標網絡數據包進行檢測；

其中，所述基于所述所有預設正則表達式構建目標過濾器，包括：

提取每個預設正則表達式的有效指紋數據，并按照預設字符串長度將所述每個預設正則表達式的有效指紋數據，按照預設字節長度劃分為至少一個定長有效指紋，并為每個定長有效指紋設置一個對應的索引值，其中，所述有效指紋數據指代表每個正則表達式的特征的指紋數據集合；

基于所述每個預設正則表達式對應的所有定長有效指紋，生成目標定長指紋集合，并基于所述目標定長指紋集合構建目標過濾器。

2.根據權利要求1所述的面向網絡安全的正則表達式的匹配方法，其特征在于，所述確定所有預設正則表達式的數量是否大于預設閾值之前，還包括：

對每個預設正則表達式及目標網絡數據包進行格式化處理，其中，所述格式化處理包括：將所述每個預設正則表達式及目標網絡數據包中的字母轉換為小寫、將所述每個預設正則表達式及目標網絡數據包中的非字節碼轉化為字節碼中的至少一種處理。

3.根據權利要求1所述的面向網絡安全的正則表達式的匹配方法，其特征在于，所述基于所述所有預設正則表達式，構建目標有限自動機，包括：

將每個預設正則表達式轉化為非確定有窮自動機NFA狀態，基于所有NFA狀態中的多個NFA狀態生成第一確定有窮自動機DFA狀態，并確定當前編譯時間和內存占用是否滿足預設限制條件；

如果是，且需要創建所述第一DFA狀態對應的子DFA狀態時，則創建所述第一DFA狀態對應的子DFA狀態，并判斷是否需要創建每個子DFA狀態對應的次級子DFA狀態；否則，將所述第一DFA狀態確定為目標有限自動機。

4.根據權利要求3所述的面向網絡安全的正則表達式的匹配方法，其特征在于，所述判斷是否需要創建每個子DFA狀態對應的次級子DFA狀態，包括：

如果需要創建每個子DFA狀態對應的次級子DFA狀態，則創建每個子DFA狀態對應的所有次級子DFA狀態，并判斷是否需要創建每個次級子DFA狀態對應的下一層級的次級子DFA狀態；

如果不需要創建每個次級子DFA狀態對應的下一層級的次級子DFA狀態，則基于所述第一DFA狀態、每個子DFA狀態、每個次級子DFA狀態，及除所述多個NFA狀態之外的所有NFA狀態，生成混合有限自動機，并將所述混合有限自動機確定為目標有限自動機。

5.根據權利要求1所述的面向網絡安全的正則表達式的匹配方法，其特征在于，所述基于所述目標過濾器對目標網絡數據包進行檢測，包括：

通過所述目標過濾器對目標網絡數據包進行過濾檢測，得到待驗證正則表達式及所述待驗證正則表達式對應的所有定長有效指紋，其中，所述待驗證正則表達式指已經通過目標過濾器的過濾檢測，且還需通過NFA/DFA正則匹配引擎進行匹配的正則表達式；

判斷待驗證正則表達式映射中，是否存在所述待驗證正則表達式對應的目標鍵，其中，待驗證正則表達式映射指用于存儲所述待驗證正則表達式及所述待驗證正則表達式對應的定長有效指紋的映射；

如果是，且所述目標鍵對應的目標索引值為所述待驗證正則表達式對應的當前定長有效指紋的索引值減一，則將所述目標索引值設置為當前定長有效指紋的索引值；

如果否，且所述待驗證正則表達式對應的第一個定長有效指紋的索引值為零，則將所述待驗證正則表達式添加至所述待驗證正則表達式映射，并將所述待驗證正則表達式對應的索引值設置為零，其中，所述第一個定長有效指紋指所述所有定長有效指紋對應的索引值中的最小值對應的定長有效指紋。