[發明專利]一種攻擊報文的處理方法、裝置、設備和介質

有效

• 申請號: 202011279726.5
• 申請日: 2020-11-16
• 公開（公告）號: CN112532593B
• 公開（公告）日: 2022-06-28
• 發明（設計）人: 任爾濤
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 王茹

1.一種攻擊報文的處理方法，其特征在于，所述方法包括：

獲取網卡接收的至少一段流量報文，每段所述流量報文包含頭部信息和負載；

檢測確定所述至少一段流量報文為多段的攻擊報文時，提取所述攻擊報文的頭部信息存入數據庫，分析所述流量報文得到檢測日志；

根據所述頭部信息得到關聯值，所述關聯值用于作為所述攻擊報文的標識；

依次結合所述關聯值和每段所述攻擊報文的負載為負載包，將所述負載包存入所述數據庫中所述頭部信息對應的位置，結合所述關聯值和所述檢測日志為日志包，將所述日志包存入所述數據庫；

轉發所述數據庫中所述頭部信息、所述負載包和所述日志包到分析中心，所述分析中心用于分析所述攻擊報文。

2.根據權利要求1所述的方法，其特征在于，所述依次結合所述關聯值和每段所述攻擊報文的負載為負載包，包括：

對于每段所述攻擊報文，合并所述關聯值和所述攻擊報文的負載為合并包；

將所述合并包壓縮為負載包。

3.根據權利要求1所述的方法，其特征在于，所述檢測確定所述至少一段流量報文為多段的攻擊報文，包括：

當所述至少一段流量報文為多段的流量報文時，將所述多段的流量報文重組得到完整報文；

對所述完整報文進行檢測，確定所述完整報文有攻擊特征時，則確定所述完整報文對應的所述至少一段流量報文為多段的攻擊報文。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

定期存儲所述數據庫中的所述日志包到磁盤。

5.根據權利要求1所述的方法，其特征在于，

將所述日志包存入所述數據庫，包括：

將所述日志包與所述數據庫中的第一關鍵值對應存儲；

所述提取所述攻擊報文的頭部信息存入數據庫，包括：

提取所述攻擊報文的頭部信息，將所述頭部信息與所述數據庫中的第二關鍵值對應存儲；

所述方法還包括：

根據所述第一關鍵值，監聽所述日志包的存儲狀態；和，根據所述第二關鍵值，監聽所述頭部信息和所述負載包的存儲狀態。

6.根據權利要求1所述的方法，其特征在于，所述轉發所述數據庫中所述頭部信息、所述負載包和所述日志包到分析中心，包括：

接收配置的傳輸設置；

按照所述傳輸設置，轉發所述頭部信息、所述負載包和所述日志包到分析中心。

7.一種攻擊報文的處理裝置，其特征在于，所述裝置包括：

接收模塊，用于獲取網卡接收的至少一段流量報文，每段所述流量報文包含頭部信息和負載；

檢測模塊，用于檢測確定所述至少一段流量報文為多段的攻擊報文時，提取所述攻擊報文的頭部信息存入數據庫，還用于分析所述流量報文得到檢測日志；

關聯模塊，用于根據所述頭部信息得到關聯值，所述關聯值用于作為所述攻擊報文的標識；

結合模塊，用于依次結合所述關聯值和每段所述攻擊報文的負載為負載包，將所述負載包存入所述數據庫中所述頭部信息對應的位置，還用于結合所述關聯值和所述檢測日志為日志包，將所述日志包存入所述數據庫中；

轉發模塊，用于轉發所述數據庫中所述頭部信息、所述負載包和所述日志包到分析中心，所述分析中心用于分析所述攻擊報文。

8.根據權利要求7所述的裝置，其特征在于，

所述裝置還包括存儲模塊，用于定期存儲所述數據庫中的所述日志包到磁盤。

9.一種電子設備，其特征在于，所述設備包括存儲器、處理器，所述存儲器用于存儲在處理器上運行的計算機指令，所述處理器用于在執行所述計算機指令時實現權利要求1至6任一所述的攻擊報文的處理方法。

10.一種計算機可讀存儲介質，其特征在于，其上存儲有計算機程序，所述程序被處理器執行時實現權利要求1至6任一所述的攻擊報文的處理方法。