[發明專利]一種基于自動機的網絡協議元數據提取系統及方法

有效

• 申請號: 202110041348.5
• 申請日: 2021-01-13
• 公開（公告）號: CN112887280B
• 公開（公告）日: 2022-05-31
• 發明（設計）人: 李振興;王飛;陳曙暉;王小峰;邢倩倩
• 申請（專利權）人: 中國人民解放軍國防科技大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/00;H04L69/08;H04L69/22;H04L61/4511;H04L61/103;G06F16/903
• 代理公司: 北京方圓嘉禾知識產權代理有限公司 11385
• 代理人: 程華

本發明涉及一種基于自動機的網絡協議元數據提取系統及方法。該系統包括：協議狀態模塊，并基于協議域確定協議自動機的初始狀態；第一判斷模塊，用于基于報文協議類型，根據初始狀態判斷是否進入協議自動機；協議自動機模塊，用于當進入協議自動機時，按照初始狀態開始執行，不斷獲取網絡協議元數據，直至協議自動機運行到協議終止狀態；封裝網絡協議元數據，并輸出網絡協議元數據；網絡協議元數據輸出模塊，用于當不進入所述協議自動機時，結束協議報文處理。本發明能夠滿足復雜的骨干網絡實時監控的需要且能夠應用于高速網絡上實時處理數據。

技術領域

本發明涉及計算機網絡內容安全技術領域，特別是涉及一種基于自動機的網絡協議元數據提取系統及方法。

背景技術

隨著新一代互聯網興起，網絡已經從10G-100G爆炸性發展，網絡上承載著各式各樣的流量，高速網絡數據還原技術是網絡空間安全的基礎，網絡協議還原技術對網絡空間安全起到核心的作用，尤其是可以用到流量可視化、網絡取證、網絡監控、網絡內容安全等領域。

如何高性能實時對網絡流量可視化，是網絡內容監管少不了步驟，因此網絡流量還原技術成為內容安全領域內研究的重點，一方面當前已有的系統或開源軟件大多數針對離線數據包進行處理，且僅僅特定的協議的部分元數據還原系統可擴展性差，無法滿足復雜的骨干網絡實時監控的需要。另一方面處理性能普遍較低，無法應用于高速網絡上實時處理數據。

發明內容

本發明的目的是提供一種基于自動機的網絡協議元數據提取系統及方法，以解決無法滿足復雜的骨干網絡實時監控的需要以及無法應用于高速網絡上實時處理數據的問題。

為實現上述目的，本發明提供了如下方案：

一種基于自動機的網絡協議元數據提取系統，包括：

協議狀態模塊，用于獲取TCP流保序和協議識別處理后的協議報文，并基于協議域確定協議自動機的初始狀態；協議域分割模塊用于提供協議域分割的原子操作組件；所述協議域分割的原子操作組件包括域屬性識別、域分隔符查找、屬性域結束匹配、報文位置跳轉以及16進制整數提取；

第一判斷模塊，用于基于所述協議報文，根據所述初始狀態判斷是否進入協議自動機，得到第一判斷結果；

協議自動機模塊，用于當所述第一判斷結果表示為進入所述協議自動機時，按照所述初始狀態開始執行，不斷獲取網絡協議元數據，直至所述協議自動機運行到協議終止狀態；封裝所述網絡協議元數據，并輸出所述網絡協議元數據；

網絡協議元數據輸出模塊，用于當所述第一判斷結果表示為不進入所述協議自動機時，結束協議報文處理。

可選的，所述協議自動機模塊，具體包括：

請求方式提取單元，用于當所述協議報文為HTTP協議報文時，根據所述HTTP協議報文注冊的初始狀態匹配空字符，提取請求方式并存儲至元數據存儲模塊；

統一資源定位符提取單元，用于根據所述HTTP協議報文注冊的初始狀態匹配非空字符以及空字符，提取所述HTTP協議報文的統一資源定位符，并存儲至元數據存儲模塊；

版本號提取單元，用于根據所述HTTP協議報文注冊的初始狀態匹配非空字符且根據所述HTTP協議報文注冊的初始狀態匹配非換行符以及換行符，提取版本號，并存儲至元數據存儲模塊；

第二判斷單元，用于當根據所述HTTP協議報文注冊的初始狀態匹配到回車符或換行符時，判斷所述HTTP協議報文的報頭是否結束，得到第二判斷結果；

第三判斷單元，用于若所述第二判斷結果表示為所述HTTP協議報文的報頭結束，判斷是否存在HTTP載荷內容，得到第三判斷結果；

網絡內容域提取單元，用于若所述第三判斷結果表示為存在HTTP載荷內容，提取HTTP載荷內容域，并存儲至元數據存儲模塊；