[发明专利]一种数据包检测方法和装置

权利要求书

1.一种数据包检测方法，其特征在于，所述方法应用于网络设备，所述网络设备中已存储当前特征库，所述当前特征库包括至少一个用于对当前流量进行特征匹配的第一特征项，所述第一特征项用于构建原始特征树，所述方法包括：

接收用户输入的目标特征项集合，其中，所述目标特征项集合包括所述用户输入的第二特征项；

将所述第二特征项与所述第一特征项进行比对处理，得到差异特征项；

根据所述差异特征项，对所述原始特征树中的特征节点以及特征节点的失配跳转指针进行更新处理；

当接收到待检测数据包时，根据更新处理过程中生成的中间状态特征树，对所述待检测数据包进行匹配检测；

其中，所述中间状态特征树包括已生效子树和未生效子树，所述已生效子树包括所述原始特征树中未进行更新处理的特征节点以及特征节点的失配跳转指针，所述未生效子树包括更新处理过程中变化的特征节点以及特征节点的失配跳转指针。

2.根据权利要求1所述的方法，其特征在于，所述根据所述差异特征项，对所述原始特征树中的特征节点以及特征节点的失配跳转指针进行更新处理，包括：

当所述差异特征项属于所述当前特征库、且不属于所述目标特征项集合时，确定所述差异特征项包含的各字符在所述原始特征树中对应的差异特征节点；

当所述差异特征节点是所述差异特征项的末端字符对应的特征节点时，判断所述差异特征节点是否存在子节点；

如果所述差异特征节点存在子节点，则从匹配结果节点集中删除所述差异特征节点，其中，所述匹配结果节点集由所述当前特征库包含的第一特征项的末端字符对应的特征节点构成；

如果所述差异特征节点不存在子节点，则从所述原始特征树中删除所述差异特征节点。

3.根据权利要求2所述的方法，其特征在于，所述判断所述差异特征节点是否存在子节点，还包括：

当所述差异特征节点为所述差异特征项中除末端字符以外的其他字符对应的特征节点时，按照所述原始特征树中子节点至根节点的顺序，依次判断每一所述差异特征节点是否存在子节点；

如果所述差异特征节点不存在子节点，且所述差异特征节点不属于所述匹配结果节点集，则从所述原始特征树中删除所述差异特征节点，并将指向所述差异特征节点的失配跳转指针修改为指向所述根节点。

4.根据权利要求1所述的方法，其特征在于，所述根据所述差异特征项，对所述原始特征树中的特征节点以及特征节点的失配跳转指针进行更新处理，包括：

当所述差异特征项属于所述目标特征项集合、且不属于所述当前特征库时，按照所述原始特征树中根节点至子节点的顺序，依次判断所述原始特征树中除根节点之外的其他特征节点是否与所述差异特征项中的首字符匹配；

如果所述其他特征节点与所述差异特征项中的首字符匹配，则判断所述其他特征节点的子节点中是否存在与所述首字符的下一字符相匹配的特征节点；

如果所述其他特征节点与所述差异特征项中的首字符不匹配，则在所述根节点处创建所述未生效子树，所述未生效子树与所述其他特征节点虚连接，所述未生效子树包括的特征节点与所述差异特征项对应匹配；

根据预设的指针创建规则，为所述未生效子树包括的特征节点创建失配跳转指针。