[发明专利]用于待入侵检测处理的数据包进行抽样的方法与设备

权利要求书

1.一种用于对待入侵检测处理的数据包进行抽样处理的方法，其中，该方法包括以下步骤：

a获取待进行入侵检测处理的数据包；

b根据所述数据包的包特征信息，检测所述数据包所属的数据流是否待抽样；

c当所述数据包待抽样时，根据所述数据流的长度信息，确定所述数据流是否满足新流抽样条件；

d当所述数据流满足新流抽样条件时，按预定抽样概率对所述数据流进行抽样处理；

e当所述数据流被抽中时，将所述数据包用于入侵检测处理。

2.根据权利要求1所述的方法，其中，所述步骤b还包括：

-当所述数据流已抽样时，将所述数据包用于入侵检测处理。

3.根据权利要求1或2所述的方法，其中，所述步骤d还包括：

-当所述数据流不满足新流抽样条件时，根据FFS算法对所述数据流进行抽样处理。

4.根据权利要求3所述的方法，其中，所述步骤d包括：

-当所述数据流不满足新流抽样条件时，根据所述数据流的长度信息，结合FFS算法，确定对所述数据流进行抽样的抽样概率；

-根据所述抽样概率，对所述数据流进行抽样。

5.根据权利要求1所述的方法，其中，所述步骤b包括：

-根据所述数据包的包特征信息，确定所述数据包所对应的哈希值，其中，所述包特征信息包括所述数据包的五元组信息；

-将所述哈希值与预定哈希表进行比较，以检测所述数据包所属的数据流是否待抽样。

6.根据权利要求1至5中任一项所述的方法，其中，所述步骤c包括：

-当所述数据包待抽样时，基于多级布鲁姆过滤器确定所述数据流的长度信息，以确定所述数据流是否满足新流抽样条件。

7.根据权利要求1至4中任一项所述的方法，其中，所述步骤d还包括：

-当所述数据流被抽中时，在流哈希表中建立与所述数据流相对应的表项，以更新所述流哈希表。

8.一种用于对待入侵检测处理的数据包进行抽样处理的抽样设备，其中，该抽样设备包括：

获取装置，用于获取待进行入侵检测处理的数据包；

检测装置，用于根据所述数据包的包特征信息，检测所述数据包所属的数据流是否待抽样；

确定装置，用于当所述数据包待抽样时，根据所述数据流的长度信息，确定所述数据流是否满足新流抽样条件；

抽样处理装置，用于当所述数据流满足新流抽样条件时，按预定抽样概率对所述数据流进行抽样处理；

入侵检测装置，用于当所述数据流被抽中时，将所述数据包用于入侵检测处理。

9.根据权利要求8所述的抽样设备，其中，所述检测装置还用于：

-当所述数据流已抽样时，将所述数据包用于入侵检测处理。

10.根据权利要求8或9所述的抽样设备，其中，所述抽样处理装置还用于：

-当所述数据流不满足新流抽样条件时，根据FFS算法对所述数据流进行抽样处理。

11.根据权利要求10所述的抽样设备，其中，所述抽样处理装置用于：

-当所述数据流不满足新流抽样条件时，根据所述数据流的长度信息，结合FFS算法，确定对所述数据流进行抽样的抽样概率；

-根据所述抽样概率，对所述数据流进行抽样。

12.根据权利要求8所述的抽样设备，其中，所述检测装置用于：

-根据所述数据包的包特征信息，确定所述数据包所对应的哈希值，其中，所述包特征信息包括所述数据包的五元组信息；

-将所述哈希值与预定哈希表进行比较，以检测所述数据包所属的数据流是否待抽样。

13.根据权利要求8至12中任一项所述的抽样设备，其中，所述确定装置用于：

-当所述数据包待抽样时，基于多级布鲁姆过滤器确定所述数据流的长度信息，以确定所述数据流是否满足新流抽样条件。

14.根据权利要求8至11中任一项所述的抽样设备，其中，所述抽样处理装置还用于：

-当所述数据流被抽中时，在流哈希表中建立与所述数据流相对应的表项，以更新所述流哈希表。

15.一种计算机设备，包括权利要求8至14中任一项所述的抽样设备。