[发明专利]一种文件传输中实时监测的方法及系统

权利要求书

1.一种文件传输中实时监测的方法，其特征在于包含以下步骤：

文件传输行为识别步骤，包括以下两个子步骤：以层次化的数据包协议分析方法依据实际捕获的数据报文及文件传输行为特征进行实际文件传输行为识别的子步骤；依赖协议分析方法在已识别的文件传输协商数据包中提取关于此次文件传输相关信息的子步骤；

文件重组步骤，依据文件传输行为识别步骤中提供的此次文件传输的相关信息对实际传输的文件数据进行重组还原；

会话信息记录步骤，依据文件传输行为识别步骤中得到的相应协议解析信息提取关于此次文件传输使用的相关会话信息，所述会话信息包括：源IP、目的IP、源端口、目的端口、当前会话ID；

深入检测步骤，依据文件重组步骤中得到的还原文件数据和检测规则库中存储的实际检测规则，采用多模式匹配算法进行相应的深入检测；并在发现病毒或入侵行为的时候提供相应检测信息供报警报文构造使用；

报警报文构造步骤，在深入检测步骤发现病毒或入侵行为的时候依据会话信息记录步骤提供的此次文件传输会话信息进行报警报文的构造并在相应会话中进行实时报警。

2.一种文件传输中实时监测的系统，其特征在于包括：

负责依据数据报文进行文件传输行为识别的文件传输识别器，所述文件传输识别器以层次化的数据包协议分析方法依据实际捕获的数据报文及文件传输行为特征进行实际文件传输行为识别，依赖协议分析方法在已识别的文件传输协商数据包中提取关于此次文件传输相关信息；

依据所述文件传输识别器提供的此次文件传输的相关信息对实际传输的文件数据进行重组还原的文件重组器；

依据文件传输行为识别阶段相关数据报文进行会话信息提取及记录的会话信息记录器，其依据所述文件传输识别器得到的相应协议解析信息提取关于此次文件传输使用的相关会话信息，所述会话信息包括：源IP、目的IP、源端口、目的端口、当前会话ID；

存储深入检测阶段需要检测的具体规则的检测规则库；

依据所述文件重组器得到的还原文件数据和所述检测规则库中存储的实际检测规则，采用多模式匹配算法进行相应的深入检测，并在发现病毒或入侵行为时提供相应检测信息供报警报文构造使用的深入检测器；及

在收到深入检测器提供的病毒或入侵行为检测信息后，依据会话信息记录器提供的此次文件传输会话信息进行报警报文构造的报警报文构造器；

其中，所述文件传输识别器与文件重组器及会话信息记录器连接；所述文件重组器及检测规则库与深入检测器连接；所述深入检测器及会话信息记录器与报警报文构造器连接。