[發明專利]一種入侵檢測方法、裝置、設備、介質

有效

• 申請號: 202010542229.3
• 申請日: 2020-06-15
• 公開（公告）號: CN113810342B
• 公開（公告）日: 2023-03-21
• 發明（設計）人: 王大偉;董楓
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 張金香

1.一種入侵檢測方法，其特征在于，包括：

獲取目標網絡數據包；

對所述目標網絡數據包進行文件識別；

如果所述目標網絡數據包中存在文件，則對所述目標網絡數據包中存在的文件進行文件入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據；

如果所述目標網絡數據包中不存在文件，則對所述目標網絡數據包進行入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據；

其中，所述對所述目標網絡數據包進行文件識別，包括：

對所述目標網絡數據包中的應用層協議進行識別；

如果所述目標網絡數據包中的應用層協議支持文件傳輸，則查找所述目標網絡數據包中是否存在目標文件信息；所述目標文件信息包括文件魔數和/或文件后綴名；

如果所述目標網絡數據包中存在目標文件信息，則所述目標網絡數據包中存在文件。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述對所述目標網絡數據包中存在的文件進行文件入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據之前，還包括：

提取出所述目標網絡數據包中存在的文件，得到待檢測文件。

3.根據權利要求2所述的入侵檢測方法，其特征在于，所述對所述目標網絡數據包中存在的文件進行文件入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據，包括：

對所述待檢測文件進行本地文件查殺，以確定所述目標網絡數據包中是否存在入侵數據；

如果所述目標網絡數據包中存在入侵數據或不存在入侵數據，則完成所述目標網絡數據包入侵檢測；

如果不能確定所述目標網絡數據包中是否存在入侵數據，則對所述待檢測文件進行云端文件查殺，以確定所述待檢測文件中是否存在入侵數據。

4.根據權利要求3所述的入侵檢測方法，其特征在于，所述對所述待檢測文件進行本地文件查殺，以確定所述目標網絡數據包中是否存在入侵數據，包括：

利用預先建立的病毒庫對所述待檢測文件進行特征匹配，以確定所述目標網絡數據包中是否存在入侵數據；

和/或，利用預先建立的人工智能模型對所述待檢測文件進行檢測，以確定所述目標網絡數據包中是否存在入侵數據。

5.根據權利要求3所述的入侵檢測方法，其特征在于，所述對所述待檢測文件進行云端文件查殺，以確定所述目標網絡數據包中是否存在入侵數據，包括：

利用預先建立的沙箱對所述待檢測文件進行檢測，以確定所述目標網絡數據包中是否存在入侵數據；

和/或，利用預先建立的人工智能模型對所述待檢測文件進行檢測，以確定所述目標網絡數據包中是否存在入侵數據。

6.根據權利要求1所述的入侵檢測方法，其特征在于，所述對所述目標網絡數據包進行入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據，包括：

利用預設入侵特征庫對所述目標網絡數據包進行入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據；

和/或，利用預設異常檢測算法對所述目標網絡數據包進行入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據。

7.一種入侵檢測裝置，其特征在于，包括：

數據包獲取模塊，用于獲取目標網絡數據包；

文件識別模塊，用于對所述目標網絡數據包進行文件識別；

第一檢測模塊，用于在所述目標網絡數據包中存在文件時，則對所述目標網絡數據包中存在的文件進行文件入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據；

第二檢測模塊，用于在所述目標網絡數據包中不存在文件時，則對所述目標網絡數據包進行入侵檢測，以確定所述目標網絡數據包中是否存在入侵數據；

其中，所述文件識別模塊，用于對所述目標網絡數據包中的應用層協議進行識別；如果所述目標網絡數據包中的應用層協議支持文件傳輸，則查找所述目標網絡數據包中是否存在目標文件信息；如果所述目標網絡數據包中存在目標文件信息，則所述目標網絡數據包中存在文件。