[发明专利]一种文件传输中实时监测的方法及系统

说明书

技术领域

本发明涉及一种文件传输中实时监测的方法及系统，是一种用于计算机网络的通讯安全的方法和系统，是一种用于即时通讯IM(Instant Messaging)类软件进行多文件传输过程中进行文件重组还原的方法及系统，是一种可用于入侵检测防御(IDS/IPS)及审计产品中的方法及系统。

背景技术

入侵检测/防御系统(Intrusion Detection/Protection System，IDS/IPS)作为网络安全防护的重要手段，通常部署在关键网络内部/网络边界入口处，实时捕获网络内或进出网络的报文数据流并进行智能综合分析，发现可能的入侵行为并进行实时阻断。

目前的网络环境当中IM类软件越来越多的得到了用户的使用，并且随着软件的发展，IM类软件除了提供网上聊天功能之外，大都提供文件传输功能。如MSN、qq、雅虎通等等。现在又很多的病毒传播或攻击行为都隐藏在这些IM软件传输的文件当中。传统的入侵检测产品对于这些通过IM软件传输的文件的检测功能都实现在文件传输结束之后，对文件进行完整的重组然后再进行相应的检测。但是这种检测方式往往比较滞后。当文件传输结束，相应的文件内容已经保存至客户机器上，有可能造成各种直接或间接的损失。同时这种方式势必损失大量的时间和系统资源。这是传统的检测方式普遍存在的一大缺陷。出于对这种情况的改进，某些产品提出了对传输的文件进行实时的重组及检测的功能，但是目前绝大多数的方案针对的是对单一文件传输情况下采取的，而很多环境中同时传输的文件往往不止一个并且都是处在同一个TCP连接会话当中的。这就使得对所有正在传输的文件分别进行重组出现了问题进而可能产生误报。所以有必要发展一种对IM类软件进行多文件传输过程中进行文件重组还原的方法。在多文件同时传输的过程当中即可分别对每一个传输的文件进行准确的重组还原，从而进行准确的高效的检测，发现病毒或攻击的存在。以便用户可以及时采取应对措施。在第一时间防范病毒或攻击的入侵，极大的节省时间及系统资源的前提下，能够准确的对同时传输的多文件进行高效的重组还原。进一步提高了检测的准确性，降低了误报率。根据研究发现在常用的IM软件当中如MSN、雅虎通在进行多文件传输的过程当中都具备明显的文件信息标识，因此实现这种IM软件多文件传输重组及检测是可行的。

发明内容

本发明提出一种多文件传输中实时监测的方法及系统，所述的多文件传输实时监测技术可以满足：在IM类软件进行多文件同时传输过程当中可以实时对不同的文件进行分别的重组并对相应的数据内容进行深入检测，准确的发现各个文件当中携带的病毒或攻击行为。能够实时对用户进行报警进而在第一时间对发现的病毒或攻击行为进行处理以大大提高系统性能。同时避免了在同一个TCP会话当中进行多文件传输过程当中难以对各个文件分别重组引起的误报及准确性问题，提高整体入侵检测的准确性，降低了误报率。

本发明的目的是这样实现的，一种文件传输中实时监测的方法，所使用的系统包括：文件传输识别器、文件信息提取器、文件状态储存器、文件重组器、检测规则库及检测引擎，所述方法包含以下步骤：

文件传输行为识别步骤；

当前传输文件信息提取步骤；

文件状态更新步骤；

文件重组步骤；

深入检测步骤。

一种文件传输中实时监测的系统包括：负责依据数据报文进行文件传输行为识别的文件传输识别器、与所述的文件传输识别器连接的依据数据报文包含的当前文件传输信息进行相关信息提取的文件信息提取器、与所述的文件信息提取器连接的存储当前正在传输的所有文件所处的状态信息的文件状态存储器、与所述的文件信息提取器和文件状态存储器连接的依赖当前报文的文件信息及存储的该文件状态进行相应文件重组还原的文件重组器、与所述的深入检测器连接的存储预先设置的检测规则的检测规则库、与所述的文件重组器连接的依据重组的文件数据及实际检测规则进行深入检测的深入检测器。

本发明的产生的有益效果是：既解决了传统IDS/IPS产品中对于IM软件进行文件传输过程当中必须等到文件传输结束对文件进行完整还原再进行深入检测的实时性问题。提高了整个入侵检测系统的性能。同时解决了目前的单文件传输重组方式在多文件同时传输情况下出线的重组错误及造成误报的问题。本发明针对这些问题提出了一种实时的多文件同时重组的处理方法。可以在多文件传输过程当中分别对各文件进行准确的重组，大大提高了入侵检测系统的性能、准确性及适用性，同时具有检测速度快和准确率高等优点，可广泛应用于IDS/IPS、审计等网络安全产品中。

附图说明