[发明专利]基于对象分析的攻击识别方法及装置

权利要求书

1.一种基于对象分析的攻击识别方法，其特征在于，包括：

对获取的消息进行协议分析，解析获得一个或多个对象的数据；

针对所述对象的数据，利用多模库进行多模匹配，如果匹配到针对该对象的关键字，则进行后续步骤，否则确定不存在攻击；

从特征库中匹配是否存在针对该对象的、与匹配的关键字具有映射关系的特征表达式，如果没有匹配到特征表达式，则确定不存在攻击，否则进行后续步骤；

基于所述针对该对象的、与匹配的关键字对应的特征表达式，对该对象的数据进行规则匹配，如果匹配成功，则确定存在攻击，否则确定不存在攻击。

2.如权利要求1所述的方法，其特征在于，还包括：建立特征库和多模库，其中，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；所述多模库包括多条关键字，每条关键字具有对象的属性。

3.如权利要求2所述的方法，其特征在于，所述多模库根据所述特征库构建，每一条关键字代表一个模式。

4.如权利要求2所述的方法，其特征在于，

确定一条关键字是否为针对所述对象的关键字的方式为：确定该关键字的属性是否为所述对象；

确定一条特征表达式是否为针对所述对象的特征表达式的方式为：确定该特征表达式的属性是否为所述对象。

5.如权利要求2所述的方法，其特征在于，在构建所述特征库过程中，基于攻击的类型，按照主类、子类和规则的方式组织所述多条特征表达式；在构架所述多模库过程中，基于攻击的类型，按照主类、子类和规则的方式组织所述多条关键字。

6.一种基于对象分析的攻击识别装置，其特征在于，包括：

消息获取单元，用于获取消息；

消息解析单元，用于对获取的消息进行协议分析，解析获得一个或多个对象的数据；

多模匹配单元，用于针对所述对象的数据，利用多模库进行多模匹配；

映射确定单元，用于从特征库中匹配是否存在针对该对象的、与匹配的关键字具有映射关系的特征表达式；

规则匹配单元，用于基于所述针对该对象的、与匹配的关键字对应的特征表达式，对该对象的数据进行规则匹配；

结果确定单元，用于根据多模匹配单元、映射确定单元及规则匹配单元的确认结果确定是否存在攻击，其中，如果多模匹配单元未匹配到针对该对象的关键字、所述映射确定单元没有匹配到特征表达式或者所述规则匹配单元没有匹配成功，则确定不存在攻击，如果所述规则匹配单元匹配成功，则确定存在攻击。

7.如权利要求6所述的装置，其特征在于，还包括：

特征库构建单元，用于构建所述特征库；

多模库构建单元，用于构建所述多模库；

其中，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；所述多模库包括多条关键字，每条关键字具有对象的属性。

8.如权利要求7所述的装置，其特征在于，所述多模库根据所述特征库构建，每一条关键字代表一个模式。

9.如权利要求7所述的装置，其特征在于，

所述映射确定单元确定一条关键字是否为针对所述对象的关键字的方式为：确定该关键字的属性是否为所述对象；

所述规则匹配单元确定一条特征表达式是否为针对所述对象的特征表达式的方式为：确定该特征表达式的属性是否为所述对象。

10.如权利要求7所述的装置，其特征在于，所述特征库构建单元，在构建所述特征库过程中，用于基于攻击的类型，按照主类、子类和规则的方式组织所述多条特征表达式；所述多模库构建单元，在构架所述多模库过程中，用于基于攻击的类型，按照主类、子类和规则的方式组织所述多条关键字。

11.如权利要求6-10任一项所述的装置，其特征在于，所述消息获取单元获取的所述消息为应用层协议消息；所述应用层协议包括TFTP、HTTP、SNMP、FTP、SMTP、DNS或Telnet协议。