[发明专利]一种基于规则的报文检测方法和装置

权利要求书

1.一种基于规则的报文检测方法，其特征在于，所述方法应用于防护引擎，所述方法包括：

第一分类器获取客户端发送的报文，并检测所述报文中是否包含各个类型的攻击报文的关键字；

若所述报文中包含第一类型的攻击报文的关键字，所述第一分类器确定所述报文为第一疑似攻击报文，并且确定所述报文的疑似攻击类型为第一疑似攻击，所述第一疑似攻击为所述第一疑似攻击报文的关键字对应的类型；

所述第一分类器确定与所述第一疑似攻击的属性信息对应的第二分类器，并将所述报文传输至各个所述第二分类器；

各个所述第二分类器分别检测所述报文中是否包含与所述第一疑似攻击相对应的属性信息；

若所述报文中包含与所述第一疑似攻击相对应的属性信息，所述第二分类器确定是否完成检测；

若确定完成检测，所述第二分类器确定所述报文为攻击报文。

2.根据权利要求1所述的报文检测方法，其特征在于，所述第一分类器检测所述报文中是否包含各个类型的攻击报文的关键字，包括：

所述第一分类器提取所述报文中各个字段；

所述第一分类器将所述字段中包含的关键字依次与第一分类器中的各条规则相匹配；

若所述字段中包含的关键字与所述第一分类器中的目标规则相匹配，所述第一分类器确定所述报文中包含攻击报文的关键字。

3.根据权利要求1所述的报文检测方法，其特征在于，所述第二分类器确定是否完成检测，包括：

设定所述报文中包含的与所述第一疑似攻击相对应的属性信息为目标属性信息，所述第二分类器检测是否存在第三分类器，其中，所述第三分类器与所述目标属性信息的语法信息相对应；

若不存在所述第三分类器，所述第二分类器确定完成检测。

4.根据权利要求3所述的报文检测方法，其特征在于，在所述第二分类器检测是否存在第三分类器之后，还包括：

若存在所述第三分类器，所述第二分类器将所述报文传输至各个所述第三分类器；

各个所述第三分类器分别检测所述报文中是否包含与所述目标属性信息相对应的语法信息；

若所述报文中包含与所述目标属性信息相对应的语法信息，所述第三分类器确定是否完成检测；

若确定完成检测，所述第三分类器确定所述报文为攻击报文。

5.根据权利要求1所述的报文检测方法，其特征在于，在所述第二分类器确定是否完成检测之后，还包括：

若确定完成检测，所述第二分类器确定所述报文的攻击类型为第一类型，并且确定所述报文的攻击属性信息为所述第一类型相对应的属性信息。

6.根据权利要求1所述的报文检测方法，其特征在于，

若所述报文中不包含任一类型的攻击报文的关键字，所述第一分类器确定所述报文为正常报文；

或者，若所述报文中不包含与所述第一疑似攻击相对应的属性信息，所述第二分类器确定所述报文为正常报文。

7.一种基于规则的报文检测装置，其特征在于，所述装置应用于防护引擎，所述装置包括：第一分类器和第二分类器；

其中，所述第一分类器包括：

第一检测模块，用于获取客户端发送的报文，并检测所述报文中是否包含各个类型的攻击报文的关键字；

第一确定模块，用于在所述第一检测模块确定所述报文中包含第一类型的攻击报文的关键字之后，确定所述报文为第一疑似攻击报文，并且确定所述报文的疑似攻击类型为第一疑似攻击，所述第一疑似攻击为所述第一疑似攻击报文的关键字对应的类型；

传输模块，用于确定与所述第一疑似攻击的属性信息对应的第二分类器，并将所述报文传输至各个所述第二分类器；

所述第二分类器包括：

第二检测模块，用于检测所述报文中是否包含与所述第一疑似攻击相对应的属性信息；

第二确定模块，用于在所述第二检测模块确定所述报文中包含与所述第一疑似攻击相对应的属性信息之后，确定是否完成检测；

第三确定模块，用于在所述第二确定模块确定完成检测之后，确定所述报文为攻击报文。