[发明专利]一种网络入侵行为检测系统及检测方法

权利要求书

1.一种网络入侵行为检测系统，其特征在于：该系统包括网络处理器(1)、高速交换装置(2)、高速缓存(3)和内容过滤器(4)，其中，网络处理器(1)和内容过滤器(4)通过高速交换装置(2)与高速缓存(3)实现数据交换的双向连接，其中，内容过滤器(4)由流重组单元(5)、流重组内存(6)和模式匹配芯片(7)连接构成，流重组单元(5)和流重组内存(6)将网络报文重组为网络数据流并存储。

为了达到高效的目的，当一个报文到达之后，首先，进入网络处理器(1)，把报文头部PH和报文数据部分PD进行剥离；其次，用报文头部PH来匹配状态表以及规则表，对于不能正常匹配的报文视为入侵予以丢弃，正常情况下直接把报文头部PH和报文数据部分PD插入到高速缓存(3)中的合适位置；接着，检查并计算协议状态及其变迁，把符合匹配条件的数据流按具体协议进行流重组，写入流重组内存(6)，从高速缓存(3)中删除报文头部PH和报文数据部分PD，并且通知模式匹配芯片(7)进行模式匹配，并等待匹配检查结果；接下来，模式匹配芯片(7)读取流重组内存(6)中重组后内容，并且用硬件高速模式匹配方法进行匹配，把匹配结果通知给流重组模块，若可以判断为入侵，则丢弃报文，否则予以正常转发。

2.一种用于上述权利要求1所述网络入侵行为检测系统的检测方法，其特征在于：该方法的步骤为：

(1)网络报文进入该系统后，首先由网络处理器(1)对网络报文头部PH进行状态检测，通过检查的网络报文其PH部分和PD部分分别插入到高速缓存(3)中，进行下一步入侵规则检测，否则丢弃；

(2)根据已经插入到高速缓存(3)中网络的网络报文PH部分和PD部分，计算该网络数据流的协议状态变迁情况，如果达到匹配条件要求，则按照具体协议把报文数据部分PD重组成网络数据流并写入流重组内存(6)中并且通知模式匹配芯片(7)，对于不能达到匹配条件的报文直接予以转发；

(3)模式匹配芯片(7)得到通知之后，从流重组内存(6)中读取重组数据流，依据预先编译的入侵规则，进行匹配，通告匹配结果，若检测为入侵，则切断该网络连接并且从高速缓存(3)中删除该数据流中所有缓存数据，若检测不能判定为入侵，则转发该报文，并且通知高速缓存(3)删除已经不再有效的报文数据部分PD。