[發明專利]一種入侵檢測方法、裝置、存儲介質和電子設備

有效

• 申請號: 202110519669.1
• 申請日: 2021-05-12
• 公開（公告）號: CN113259351B
• 公開（公告）日: 2022-04-26
• 發明（設計）人: 崔圳;楊威;范雪儉
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/22
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 李飛

1.一種入侵檢測方法，其特征在于，包括：

獲取面向服務的數據交互中間件SOME/IP報文，其中，所述SOME/IP報文是通過對待檢測的以太網報文進行解析后獲得的；

若通過所述SOME/IP報文的預設檢測流程確定所述SOME/IP報文存在異常，則確定所述以太網報文為入侵報文；

所述SOME/IP報文的頭部字段包括報文類型字段和請求地址字段；

其中，所述預設檢測流程包括所述SOME/IP報文的會話狀態的檢測流程，所述若通過所述SOME/IP報文的預設檢測流程確定所述SOME/IP報文存在異常，則確定所述以太網報文為入侵報文，包括：

若確定所述SOME/IP報文的報文類型字段為響應信息或者報錯信息，則將所述SOME/IP報文中的請求地址字段和會話狀態鏈表進行匹配；其中，所述會話狀態鏈表包括至少一個會話信息結構體，且所述至少一個會話信息結構體中每個會話信息結構體均包括待匹配報文類型字段；

若確定所述請求地址字段和所述會話狀態鏈表中目標會話信息結構體匹配且所述目標會話信息結構體中的待匹配報文類型字段為不期待響應的請求，則確定所述以太網報文為所述入侵報文；以及，

若確定所述請求地址字段和所述會話狀態鏈表中的任意一個會話信息結構體均不匹配，則確定所述以太網報文為所述入侵報文；

所述每個會話信息結構體均包括遍歷記錄次數字段，所述入侵檢測方法還包括：

在確定所述遍歷記錄次數字段對應的次數大于等于預設次數的情況下，則確定所述以太網報文為所述入侵報文。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述頭部關鍵字段包括以下字段中的至少一個字段：數據包長度字段、協議版本字段、報文類型字段和返回值字段。

3.根據權利要求1所述的入侵檢測方法，其特征在于，所述SOME/IP報文的頭部字段包括地址識別碼字段和請求地址字段，所述地址識別碼字段包括服務標識符，所述請求地址字段包括客戶識別碼；

其中，所述預設檢測流程包括所述SOME/IP報文的規則的檢測流程，所述若通過所述SOME/IP報文的預設檢測流程確定所述SOME/IP報文存在異常，則確定所述以太網報文為入侵報文，包括：

若確定所述服務標識符或者所述客戶識別碼與預設的白名單不匹配，則確定所述以太網報文為所述入侵報文；或者，

若確定所述服務標識符和所述客戶識別碼不匹配，則確定所述以太網報文為所述入侵報文。

4.根據權利要求1所述的入侵檢測方法，其特征在于，所述SOME/IP報文的頭部字段包括接口版本字段；

其中，所述預設檢測流程包括所述SOME/IP報文的規則的檢測流程，所述若通過所述SOME/IP報文的預設檢測流程確定所述SOME/IP報文存在異常，則確定所述以太網報文為入侵報文，包括：

若確定所述接口版本字段和預設的接口版本列表不匹配，則確定所述以太網報文為所述入侵報文。

5.根據權利要求1所述的入侵檢測方法，其特征在于，所述以太網報文包括IP頭部字段，所述IP頭部字段包括源IP地址，所述SOME/IP報文的頭部字段包括請求地址字段和報文類型字段，所述請求地址字段包括客戶識別碼；

其中，所述預設檢測流程包括所述SOME/IP報文的規則的檢測流程，所述若通過所述SOME/IP報文的預設檢測流程確定所述SOME/IP報文存在異常，則確定所述以太網報文為入侵報文，包括：

若確定所述源IP地址和所述客戶識別碼不匹配且所述報文類型字段為請求類型信息，則確定所述以太網報文為所述入侵報文。