[發(fā)明專利]用于網(wǎng)絡(luò)攻擊檢測(cè)的IP分片報(bào)文重組方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 202210698565.6
• 申請(qǐng)日: 2022-06-20
• 公開（公告）號(hào): CN115022069A
• 公開（公告）日: 2022-09-06
• 發(fā)明（設(shè)計(jì)）人: 陳志華
• 申請(qǐng)（專利權(quán)）人: 武漢思普崚技術(shù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L49/9057
• 代理公司: 北京弘權(quán)知識(shí)產(chǎn)權(quán)代理有限公司 11363
• 代理人: 李少丹;許偉群

1.一種用于網(wǎng)絡(luò)攻擊檢測(cè)的IP分片報(bào)文重組方法，其特征在于，包括：

獲取當(dāng)前IP分片報(bào)文的標(biāo)識(shí)，所述標(biāo)識(shí)用于指示所述當(dāng)前IP報(bào)文所屬的當(dāng)前會(huì)話以及對(duì)應(yīng)的當(dāng)前方向；

根據(jù)所述標(biāo)識(shí)判斷所述當(dāng)前IP分片報(bào)文的重組策略是否已經(jīng)被指定；

若當(dāng)前IP分片報(bào)文的重組策略未被指定，則獲取所述當(dāng)前IP分片報(bào)文中的目的IP地址；

根據(jù)所述目的IP地址，獲取目標(biāo)系統(tǒng)類型，所述目標(biāo)系統(tǒng)類型為所述目的IP地址對(duì)應(yīng)資產(chǎn)的操作系統(tǒng)類型；

根據(jù)所述目標(biāo)系統(tǒng)類型，獲取目標(biāo)重組策略；

根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表；

根據(jù)所述目標(biāo)重組策略，重組所述預(yù)設(shè)重組表中對(duì)應(yīng)所述標(biāo)識(shí)的所有IP分片報(bào)文，得到重組后的報(bào)文；

將所述重組后的報(bào)文發(fā)送至安全分析設(shè)備。

2.根據(jù)權(quán)利要求1所述的IP分片報(bào)文重組方法，其特征在于，在步驟根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表中之前，所述IP分片報(bào)文重組方法還包括：

根據(jù)所述目的IP地址獲取目標(biāo)保護(hù)級(jí)別，所述目標(biāo)保護(hù)級(jí)別為所述目的IP地址對(duì)應(yīng)的資產(chǎn)的保護(hù)級(jí)別；

根據(jù)所述目標(biāo)保護(hù)級(jí)別，獲取目標(biāo)采樣頻率；

根據(jù)所述目標(biāo)采樣頻率，確定目標(biāo)采樣時(shí)間段；

判斷當(dāng)前時(shí)間是否在所述目標(biāo)采樣時(shí)間段內(nèi)；

若當(dāng)前時(shí)間在所述目標(biāo)采樣時(shí)間段內(nèi)，則繼續(xù)執(zhí)行步驟根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表；

若當(dāng)前時(shí)間沒有在采樣時(shí)間段內(nèi)，則將所述當(dāng)前IP分片報(bào)文發(fā)送至安全分析設(shè)備，并針對(duì)所述當(dāng)前IP分片報(bào)文終止執(zhí)行所述IP分片報(bào)文重組方法。

3.根據(jù)權(quán)利要求1或者2所述的IP分片報(bào)文重組方法，其特征在于，在步驟根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表中之前，所述IP分片報(bào)文重組方法還包括：

判斷所述當(dāng)前會(huì)話的類型是否是TCP會(huì)話；

若所述當(dāng)前會(huì)話的類型是TCP會(huì)話，則判斷在所述當(dāng)前IP分片報(bào)文之前的第一數(shù)量個(gè)第一報(bào)文中，是否已經(jīng)建立TCP連接狀態(tài)，所述第一報(bào)文與所述當(dāng)前IP分片報(bào)文屬于同一個(gè)會(huì)話；

若在所述當(dāng)前IP分片報(bào)文之前的第一數(shù)量個(gè)第一報(bào)文中，已經(jīng)建立TCP連接狀態(tài)，則判斷在所述當(dāng)前IP分片報(bào)文之前的第二數(shù)量個(gè)第一報(bào)文中，是否已經(jīng)建立應(yīng)用連接狀態(tài)；

若在所述當(dāng)前IP分片報(bào)文之前的第二數(shù)量個(gè)第一報(bào)文中，已經(jīng)建立應(yīng)用連接狀態(tài)，則繼續(xù)執(zhí)行步驟根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表；

若所述當(dāng)前會(huì)話的類型不是TCP會(huì)話，則執(zhí)行步驟判斷在所述當(dāng)前IP分片報(bào)文之前的第二數(shù)量個(gè)第一報(bào)文中，是否已經(jīng)建立應(yīng)用連接狀態(tài)；

若在所述當(dāng)前IP分片報(bào)文之前的第一數(shù)量個(gè)第一報(bào)文中，沒有建立TCP連接狀態(tài)，則將所述當(dāng)前IP分片報(bào)文發(fā)送至所述安全分析設(shè)備，并針對(duì)所述當(dāng)前IP分片報(bào)文終止執(zhí)行所述IP分片報(bào)文重組方法；

若在所述當(dāng)前IP分片報(bào)文之前的第二數(shù)量個(gè)第一報(bào)文中，沒有建立應(yīng)用連接狀態(tài)，則將所述當(dāng)前IP分片報(bào)文發(fā)送至所述安全分析設(shè)備，并針對(duì)所述當(dāng)前IP分片報(bào)文終止執(zhí)行所述IP分片報(bào)文重組方法。

4.根據(jù)權(quán)利要求1所述的IP分片報(bào)文重組方法，其特征在于，所述預(yù)設(shè)重組表包括哈希表、哈希桶鏈表以及紅黑樹數(shù)據(jù)結(jié)構(gòu)表；

所述哈希表包括至少一個(gè)哈希桶，一個(gè)所述哈希桶對(duì)應(yīng)一個(gè)哈希桶鏈表；

所述哈希桶鏈表包括至少一個(gè)哈希桶鏈表項(xiàng)，一個(gè)所述哈希桶鏈表項(xiàng)對(duì)應(yīng)一個(gè)所述紅黑樹數(shù)據(jù)結(jié)構(gòu)表；

其中，所述根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，將所述當(dāng)前IP分片報(bào)文插入至預(yù)設(shè)重組表，包括：

根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息計(jì)算，得到所述當(dāng)前IP分片報(bào)文的哈希關(guān)鍵值；

根據(jù)所述哈希關(guān)鍵值，獲取目標(biāo)哈希桶鏈表；

遍歷所述目標(biāo)哈希桶鏈表中的所有哈希桶鏈表項(xiàng)，根據(jù)所述當(dāng)前IP分片報(bào)文的五元組信息，獲取目標(biāo)哈希桶鏈表項(xiàng)；

將所述當(dāng)前IP分片報(bào)文插入至所述目標(biāo)哈希桶鏈表項(xiàng)對(duì)應(yīng)的紅黑樹數(shù)據(jù)結(jié)構(gòu)表中。