[發(fā)明專利]基于正則匹配的入侵檢測的方法和裝置

在審

• 申請?zhí)枺?/td>: 202111491413.0
• 申請日: 2021-12-08
• 公開（公告）號: CN114168954A
• 公開（公告）日: 2022-03-11
• 發(fā)明（設(shè)計）人: 秦金曉;付苗苗;吳淑川;蔡鋒;施麗佳
• 申請（專利權(quán)）人: 中國電信股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/448;G06F16/215;G06F16/901;G06F16/903;G06F16/908
• 代理公司: 中國貿(mào)促會專利商標(biāo)事務(wù)所有限公司 11038
• 代理人: 李浩

1.一種基于正則匹配的入侵檢測的方法，包括：

從特征規(guī)則集的每個規(guī)則的正則表達(dá)式中提取普通字符的字符串；

將提取到的字符串添加到預(yù)過濾字符串集中，并對所述預(yù)過濾字符串集中的字符串進(jìn)行去重處理；

將提取到的字符串進(jìn)行編號，將與每個規(guī)則對應(yīng)的字符串的編號按照所述字符串的順序組成編號數(shù)組，將所述編號數(shù)組加入到對應(yīng)的規(guī)則中，并將提取到的字符串作為關(guān)鍵字，編號作為值存入哈希表中；

基于所述預(yù)過濾字符串集構(gòu)建有限狀態(tài)自動機(jī)；

通過所述有限狀態(tài)自動機(jī)對待檢測文本進(jìn)行檢測以得到匹配字符串集，并根據(jù)所述哈希表得到與所述匹配字符串集對應(yīng)的數(shù)字標(biāo)識集；

對所述特征規(guī)則集中的每個規(guī)則的編號數(shù)組進(jìn)行順序遍歷，在該編號數(shù)組為所述數(shù)字標(biāo)識集的子集的情況下，將該編號數(shù)組對應(yīng)的規(guī)則加入到待匹配規(guī)則集中；

將所述待匹配規(guī)則集中的規(guī)則的正則表達(dá)式與待檢測文本進(jìn)行匹配，以獲得所述待檢測文本的觸發(fā)規(guī)則集；以及

根據(jù)所述觸發(fā)規(guī)則集執(zhí)行相應(yīng)的處理策略。

2.根據(jù)權(quán)利要求1所述的方法，其中，基于所述預(yù)過濾字符串集構(gòu)建有限狀態(tài)自動機(jī)的步驟包括：

采用Aho-Corasick自動機(jī)算法將預(yù)過濾字符串集作為模式串集，構(gòu)建有限狀態(tài)自動機(jī)。

3.根據(jù)權(quán)利要求1或2所述的方法，還包括：

在通過所述有限狀態(tài)自動機(jī)對待檢測文本進(jìn)行檢測之前，根據(jù)文本特征將待檢測文本進(jìn)行分段；

其中，通過所述有限狀態(tài)自動機(jī)對待檢測文本進(jìn)行檢測的步驟包括：通過所述有限狀態(tài)自動機(jī)對所述待檢測文本的每段文本進(jìn)行檢測，以得到匹配字符串集。

4.根據(jù)權(quán)利要求1所述的方法，其中，

所述處理策略包括：攔截策略、告警策略和放行策略中的至少一個。

5.根據(jù)權(quán)利要求4所述的方法，其中，根據(jù)所述觸發(fā)規(guī)則集執(zhí)行相應(yīng)的處理策略的步驟包括：

在所述觸發(fā)規(guī)則集中存在匹配的規(guī)則的情況下，對所述待檢測文本執(zhí)行攔截策略和/或告警策略；

在所述觸發(fā)規(guī)則集中不存在匹配的規(guī)則的情況下，對所述待檢測文本執(zhí)行放行策略。

6.根據(jù)權(quán)利要求1所述的方法，其中，

所述普通字符包括：字母字符、數(shù)字字符和標(biāo)點(diǎn)符號字符。

7.一種基于正則匹配的入侵檢測的裝置，包括：

字符串提取模塊，用于從特征規(guī)則集的每個規(guī)則的正則表達(dá)式中提取普通字符的字符串，將提取到的字符串添加到預(yù)過濾字符串集中，并對所述預(yù)過濾字符串集中的字符串進(jìn)行去重處理，將提取到的字符串進(jìn)行編號，將與每個規(guī)則對應(yīng)的字符串的編號按照所述字符串的順序組成編號數(shù)組，將所述編號數(shù)組加入到對應(yīng)的規(guī)則中，并將提取到的字符串作為關(guān)鍵字，編號作為值存入哈希表中；

自動機(jī)構(gòu)建模塊，用于基于所述預(yù)過濾字符串集構(gòu)建有限狀態(tài)自動機(jī)；

預(yù)過濾模塊，用于通過所述有限狀態(tài)自動機(jī)對待檢測文本進(jìn)行檢測以得到匹配字符串集，并根據(jù)所述哈希表得到與所述匹配字符串集對應(yīng)的數(shù)字標(biāo)識集，對所述特征規(guī)則集中的每個規(guī)則的編號數(shù)組進(jìn)行順序遍歷，在該編號數(shù)組為所述數(shù)字標(biāo)識集的子集的情況下，將該編號數(shù)組對應(yīng)的規(guī)則加入到待匹配規(guī)則集中；

正則匹配模塊，用于將所述待匹配規(guī)則集中的規(guī)則的正則表達(dá)式與待檢測文本進(jìn)行匹配，以獲得所述待檢測文本的觸發(fā)規(guī)則集；以及

策略執(zhí)行模塊，用于根據(jù)所述觸發(fā)規(guī)則集執(zhí)行相應(yīng)的處理策略。

8.根據(jù)權(quán)利要求7所述的裝置，其中，

所述自動機(jī)構(gòu)建模塊用于采用Aho-Corasick自動機(jī)算法將預(yù)過濾字符串集作為模式串集，構(gòu)建有限狀態(tài)自動機(jī)。

9.根據(jù)權(quán)利要求7或8所述的裝置，還包括：

待檢測文本分段模塊，用于根據(jù)文本特征將待檢測文本進(jìn)行分段；

其中，所述預(yù)過濾模塊用于通過所述有限狀態(tài)自動機(jī)對所述待檢測文本的每段文本進(jìn)行檢測，以得到匹配字符串集。