[发明专利]一种报文检测方法及装置

权利要求书

1.一种报文检测方法，其特征在于，包括如下步骤：

接收报文，对所述报文进行流表匹配；

当所述流表匹配不成功时，对所述报文进行关联识别表匹配；所述关联识别匹配包括对所述报文中的三元组信息进行匹配，所述三元组信息包括协议域、源IP、源端口或者所述三元组信息包括协议域、目的IP、目的端口；

当所述关联识别表匹配成功时，输出与所述关联识别表匹配成功的协议信息。

2.如权利要求1所述的报文检测方法，其特征在于：

所述关联识别表匹配包括：将所述报文的三元组信息与关联识别表中的三元组信息进行匹配，所述关联识别表中的三元组信息通过提取用于创建数据通道的控制报文内容得到，所述关联识别表中的三元组信息与报文协议相对应，所述报文协议由所述控制报文经协议识别后得到。

3.如权利要求1所述的检测方法，其特征在于：

当所述报文进行所述关联识别表匹配不成功时，对所述报文进行协议识别，所述协议识别包括规则匹配和协议验证。

4.一种报文检测方法，其特征在于，包括如下步骤：

将接收到的报文中的第一匹配信息与关联识别表中的第一匹配信息进行关联识别表匹配；所述关联识别表中的第一匹配信息通过提取用于创建数据通道的控制报文内容得到，所述第一匹配信息与报文协议相对应，所述报文协议由所述控制报文经协议识别后得到；

当所述关联识别表匹配成功时，输出所述关联识别表匹配成功后的协议信息。

5.如权利要求4所述的报文检测方法，其特征在于，还包括：

在所述关联识别表匹配之前，对接收到的所述报文进行流表匹配，所述流表匹配包括对所述报文中的第二匹配信息与流表中的第二匹配信息进行匹配，所述第二匹配信息用于查找所述报文对应的流中的相关信息，包括所述报文对应的执行策略。

6.如权利要求5所述的报文检测方法，其特征在于：

所述第一匹配信息包括：协议域、源IP和源端口；或者所述第一匹配信息包括：协议域、目的IP和目的端口；

所述第二匹配信息包括：协议域、源IP、源端口、目的IP和目的端口。

7.如权利要求5所述的报文检测方法，其特征在于：

所述关联识别表与所述流表位于不同的匹配表；

或者，所述关联识别表与所述流表位于同一匹配表；

8.如权利要求7所述的报文检测方法，其特征在于：

根据接收到的所述报文的类型配置所述流表或所述关联识别表，包括更新所述流表中所述第二匹配信息或所述关联识别表中所述第一匹配信息。

9.如权利要求4所述的报文检测方法，其特征在于，还包括：

当对所述报文进行所述流表匹配成功时，对匹配成功后的报文执行相应的策略；

当所述关联识别表匹配成功时，根据输出的所述关联识别表匹配成功后的协议信息对所述报文进行策略管理，并根据策略管理后的结果更新所述流表。

10.如权利要求4所述的报文检测方法，其特征在于：

当所述报文进行所述关联识别表匹配不成功时，对所述报文进行协议识别，所述协议识别包括规则匹配和协议验证。

11.如权利要求7所述的报文检测方法，其特征在于：

如果监测到一段时间内数据通道或控制通道没有报文进入，删除所述流表中的相关信息和/或所述关联识别表中的相关信息。

12.一种报文检测装置，其特征在于，包括：

接收单元，用于接收报文；

关联识别表匹配单元，用于将接收单元接到的报文中的第一匹配信息与关联识别表中的第一匹配信息进行关联识别表匹配；所述关联识别表中的第一匹配信息通过提取用于创建数据通道的控制报文内容得到，所述第一匹配信息与报文协议相对应，所述报文协议由所述控制报文经协议识别后得到；当所述关联识别表匹配成功时，输出所述关联识别表匹配成功后的协议信息。

13.如权利要求12所述的报文检测装置，其特征在于，还包括：

流表匹配单元，用于在所述关联识别表匹配之前，对接收到的所述报文进行流表匹配，所述流表匹配包括对所述报文中的第二匹配信息与流表中的第二匹配信息进行匹配，所述第二匹配信息用于查找所述报文对应的流中的相关信息，包括所述报文对应的执行策略。