[发明专利]一种基于正则表达式的深度包检测方法

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种深度包检测的方法。

背景技术

传统的网络安全检测是对数据包的结构化头部进行分析.然而随着网络的不断发展,许多病毒、恶意代码、入侵指令、垃圾邮件等信息都隐藏在数据包的内容之中.因此,当前在进行安全检测时,除了要对数据包头部进行检查之外,也要对数据包的内容进行检测。

深度包检测（DPI）技术是一种基于应用层的流量检测和控制技术，当IP数据包、TCP或UDP数据流通过基于DPI技术的带宽管理系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的管理策略对流量进行整形操作。深度包检测法就是基于这种原理，通过检测各种应用协议使用的固定特征字来进行各种网络安全检测。

使用DPI技术能带来以下好处：

a) 检测准确率比基于端口和流量模式的方法高， 端口的变化不会影响检测率。

b) 能够检测使用最广泛的应用。

c) 适合流量的精确检测。

发明人在实现实际使用DPI技术时，发现现有技术至少存在如下缺点：

a) 无法识别新出现的、经加密的应用，会出现漏判。

b) 协议分析和特征搜寻需要投入大量人力及时间。

c) 难以获取加密协议的特征。

d) 特征的选择对检测性能有很大影响。

e) 系统检测模块需不定期地进行升级。

f) 查看应用层的内容涉及隐私的问题。

g) 对检测设备的处理能力要求较高。

发明内容

本发明提供了一种基于正则表达式的深度包检测方法，包括：

步骤202、针对各种入侵行为的特点建立一组入侵行为的特征模式集，将该特征模式集分为m个一级子集，对于每个一级子集使用一个一级正则表达式来表征，该一级正则表达式能够对所对应一级子集中的入侵行为的共同特征进行识别，将该一级子集和一级正则表达式的对应关系保存到一级数据表中；

步骤204、对于该m个子集，在每个子集内部进行细分，将该子集范围内的每一个入侵行为的特征使用一个二级正则表达式来表征，并相应的设置每个特征对应的处理措施，将该二级正则表达式、其所属的一级子集、该入侵行为以及与入侵行为对应的处理措施的对应关系保存到二级数据表中；

步骤206、接收报文，对接收的报文进行DPI处理，将报文中的载荷使用所述一级正则表达式进行模式匹配；

步骤208、若无匹配结果则进入步骤206；若发现匹配结果则查找一级数据表得到该匹配结果的一级正则表达式对应的一级子集，进入步骤210；

步骤210、在二级数据表中查找由匹配结果得到的一级子集对应的二级正则表达式，进行模式匹配；若无匹配结果则进入步骤206；若发现匹配结果则查找二级数据表得到该匹配结果的二级正则表达式对应的入侵行为，进入步骤212；

步骤212、仅接收数据包，对数据包进行存储，暂停对数据包进行转发，统计一定时间内检测到入侵行为的数据包的个数和接收到的总数据包的个数，判断发生入侵行为的数据包的个数和总数据包的个数的比值是否大于第一门限；若是，则判定发生入侵行为，进入步骤214；若否，则进入步骤216；

步骤214、查找二级数据表中入侵行为对应的处理措施，使用该处理措施对数据包进行处理，结束数据包检测；

步骤216、将存储的数据包进行转发，并恢复对数据包的转发，进入步骤206，继续进行数据包的检测。

本发明中，通过两级模式匹配的方式，避免了由于模式过多导致正则表达式复杂，匹配效率低下的问题。并且，在判断接收到数据包后并不立即进行处理，而是通过确认入侵行为确实发生时才进行处理，避免了入侵行为的误报，保证了通信的稳定有序进行。通过应用以上技术，能够使得在数据包的安全识别中更加准确、快捷的得到识别结果，并且在识别流程上也大幅优化，能够更容易的在现有设备中实现。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。

显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施一的流程图。

具体实施方式