[發(fā)明專利]一種深度報(bào)文檢測(cè)方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202210173616.3
• 申請(qǐng)日: 2022-02-24
• 公開(kāi)（公告）號(hào): CN114584632B
• 公開(kāi)（公告）日: 2023-05-16
• 發(fā)明（設(shè)計(jì)）人: 孟玉
• 申請(qǐng)（專利權(quán)）人: 成都北中網(wǎng)芯科技有限公司
• 主分類號(hào): H04L69/22
• 分類號(hào): H04L69/22;H04L47/2483
• 代理公司: 中國(guó)兵器工業(yè)集團(tuán)公司專利中心 11011
• 代理人: 劉瑞東

1.一種深度報(bào)文檢測(cè)裝置，其特征在于，該裝置包括報(bào)文接收單元、報(bào)文處理單元、字符串查找單元和報(bào)文發(fā)送單元；

報(bào)文接收單元用來(lái)接收網(wǎng)絡(luò)中的報(bào)文，提取出有效的報(bào)文后，送給報(bào)文處理單元；

報(bào)文處理單元包括報(bào)文解析單元、DPI結(jié)果執(zhí)行單元和關(guān)聯(lián)關(guān)系處理單元；

報(bào)文解析單元對(duì)報(bào)文做預(yù)處理，即根據(jù)報(bào)文的不同封裝類型，解析出報(bào)文的五元組，源MAC地址，目的MAC地址，源IP地址，目的IP地址和端口號(hào)，同時(shí)查找一級(jí)快速規(guī)則表項(xiàng)，獲取每種類型的報(bào)文指定的轉(zhuǎn)發(fā)行為；對(duì)需要進(jìn)一步逐字節(jié)過(guò)濾的報(bào)文發(fā)送字符串查找單元，其他報(bào)文發(fā)送到DPI結(jié)果執(zhí)行單元；

關(guān)聯(lián)關(guān)系處理單元用來(lái)接收字符串查找單元的查找結(jié)果，根據(jù)三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)對(duì)字符串查找單元查找到的當(dāng)前報(bào)文命中的字符串進(jìn)行靈活的組合處理，并得出報(bào)文的輸出行為；

DPI結(jié)果執(zhí)行單元，用于對(duì)報(bào)文解析單元和關(guān)聯(lián)關(guān)系處理單元處理后的結(jié)果，做出綜合判斷，對(duì)報(bào)文采取對(duì)應(yīng)的輸出行為；

字符串查找單元用于對(duì)當(dāng)前報(bào)文的payload進(jìn)行逐個(gè)字節(jié)掃描，匹配二級(jí)字符串規(guī)則表項(xiàng)，返回命中的情況，如果命中，獲取命中字符串的位置、長(zhǎng)度以及對(duì)應(yīng)的關(guān)聯(lián)關(guān)系ID，將結(jié)果返回關(guān)聯(lián)關(guān)系處理單元；

報(bào)文發(fā)送單元，用來(lái)把DPI結(jié)果執(zhí)行單元處理后的報(bào)文，發(fā)送到對(duì)應(yīng)的目的端口；

其中，

所述字符串查找單元查找的結(jié)果返回給關(guān)聯(lián)關(guān)系處理單元后，該關(guān)聯(lián)關(guān)系處理單元解析出每條命中規(guī)則攜帶的信息，依據(jù)Relationid去獲取三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)的內(nèi)容；根據(jù)三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)的內(nèi)容，當(dāng)前報(bào)文命中的多個(gè)字符串之間的關(guān)系進(jìn)行分析運(yùn)算，從而實(shí)現(xiàn)不同字符串之間的關(guān)聯(lián)關(guān)系處理，同時(shí)結(jié)合報(bào)文解析單元提取的五元組信息，完成更加復(fù)雜的規(guī)則處理。

2.如權(quán)利要求1所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述報(bào)文接收單元串聯(lián)部署在網(wǎng)絡(luò)中或旁路部署在網(wǎng)絡(luò)中。

3.如權(quán)利要求1所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述報(bào)文解析單元還用于解析出上層的報(bào)文類型，同時(shí)查找一級(jí)快速規(guī)則表項(xiàng)，獲取每種類型的報(bào)文指定的轉(zhuǎn)發(fā)行為。

4.如權(quán)利要求3所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述轉(zhuǎn)發(fā)行為包括轉(zhuǎn)發(fā)、丟棄、編輯或進(jìn)一步逐字節(jié)過(guò)濾。

5.如權(quán)利要求1所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述一級(jí)快速規(guī)則根據(jù)當(dāng)前報(bào)文的五元組以及報(bào)文類型，來(lái)判斷當(dāng)前報(bào)文是否需要進(jìn)行全包的搜索過(guò)濾。

6.如權(quán)利要求1所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)包括：不同字符串之間的“與或非”操作、當(dāng)前字符串需要滿足的偏移范圍以及當(dāng)前字符串需要和五元組之間的組合匹配。

7.如權(quán)利要求1所述的深度報(bào)文檢測(cè)裝置，其特征在于，所述二級(jí)字符串規(guī)則表項(xiàng)是一系列不同的字符串，每個(gè)報(bào)文逐個(gè)字節(jié)的和所述二級(jí)字符串規(guī)則表項(xiàng)的所有規(guī)則表進(jìn)行匹配，判斷是否命中。

8.如權(quán)利要求7所述的深度報(bào)文檢測(cè)裝置，其特征在于，如果有字符串命中，則返回如下信息：

Ptr：當(dāng)前命中字符串相對(duì)當(dāng)前報(bào)文payload起始點(diǎn)的位置；

String1th：當(dāng)前命中字符串的長(zhǎng)度，結(jié)合ptr的值，即可在原始報(bào)文中鎖定命中的字符串內(nèi)容；

Relationid：當(dāng)前命中的字符串需要去索引的三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)的id。

9.一種基于如權(quán)利要求1-8任一項(xiàng)所述的深度報(bào)文檢測(cè)裝置的深度報(bào)文檢測(cè)方法，其特征在于，該方法包括如下步驟：

S1、接收?qǐng)?bào)文；

S2、提取報(bào)文頭部五元組，源MAC地址，目的MAC地址，源IP地址，目的IP地址和端口號(hào)；

S3、根據(jù)報(bào)文頭部，按照一級(jí)快速規(guī)則表項(xiàng)，判斷是否需要payload逐字節(jié)檢測(cè)，如果不需要，則根據(jù)命中的快速規(guī)則決定報(bào)文的輸出行為，并發(fā)送到報(bào)文發(fā)送單元；如果需要，則執(zhí)行步驟S4；

S4、根據(jù)二級(jí)字符串規(guī)則表項(xiàng)對(duì)報(bào)文的payload區(qū)域進(jìn)行字符串查找匹配，返回命中的情況，如果命中，返回命中的字符串位置、長(zhǎng)度以及對(duì)應(yīng)的關(guān)聯(lián)關(guān)系，并執(zhí)行步驟S5；如果沒(méi)有命中，則返回不命中，并依據(jù)頭部信息，決定報(bào)文的輸出行為，發(fā)送到報(bào)文發(fā)送單元；

S5、根據(jù)三級(jí)規(guī)則關(guān)聯(lián)表項(xiàng)當(dāng)前報(bào)文命中的字符串進(jìn)行靈活的組合處理，并得出報(bào)文的輸出行為，發(fā)送到報(bào)文發(fā)送單元。