[发明专利]一种报文识别方法、装置、DPI设备及存储介质

说明书

本发明公开了一种报文识别方法、装置、DPI设备及存储介质，所述方法包括：DPI设备接收待识别的报文；按照协议层次由低到高的顺序，针对特征库中每个协议层次，根据该协议层次的上一协议层次中与所述报文匹配的目标协议的识别规则，在该协议层次中查找与所述目标协议的识别规则存在关联的待选协议的识别规则；根据每个待选协议的识别规则，在待选协议中确定该协议层次中与所述报文匹配的目标协议；根据与所述报文匹配的目标协议中对应协议层次最高的目标协议，确定所述报文的报文类型。用以提高报文识别的效率，并避免在特征库中重复记录部分协议的识别规则，节省特征库的开发和维护成本。

技术领域

本发明涉及通信技术领域，尤其涉及一种报文识别方法、装置、DPI设备及存储介质。

背景技术

深度报文(包)检测(Deep Packet Inspection，DPI)是一种协议识别技术，相对于普通的报文检测仅分析报文头中的IP、端口以及协议号等内容，DPI还增加对报文中应用层(载荷)的解析，当基于不同协议的各种报文类型的报文经过DPI设备时，通过解析报文的报文头和载荷的内容，识别出报文对应的协议，进行识别出报文的报文类型。

现有报文识别技术中，常用的一种方式是对需要支持的所有报文类型的协议的特征进行分类、归纳、抽象形成一个特征库，在进行报文识别时，DPI设备基于特征库运行解析软件，能够实现对特征库支持的所有报文类型的协议进行识别。然而，在现有特征库中记录的每种报文类型的识别规则中包含多种基础的协议，如TCP、UDP等，每种报文类型的识别规则是由多种协议的识别规则组合而成，这样就导致不同报文类型的识别规则中对某些协议的识别规则的描述产生了冗余，当存在冗余的协议的特征发生变化，需要修改识别规则时，会花费很大的成本去修改，增大了特征库的开发和维护的成本。并且，由于在对报文识别时，需要将报文与特征库中所有报文类型的识别规则进行比对匹配，才能得到识别结果，而特征库中不同报文类型的识别规则中存在着大量重复的协议的识别规则，降低了报文识别效率。

发明内容

本发明提供一种报文识别方法、装置、电子设备及存储介质，用以解决现有技术中存在报文识别效率低、特征库的开发和维护成本高的问题。

第一方面，本发明公开了一种报文识别方法，所述方法包括：

接收待识别的报文；

按照协议层次由低到高的顺序，针对特征库中每个协议层次，根据该协议层次的上一协议层次中与所述报文匹配的目标协议的识别规则，在该协议层次中查找与所述目标协议的识别规则存在关联的待选协议的识别规则；根据每个待选协议的识别规则，在待选协议中确定该协议层次中与所述报文匹配的目标协议；

根据与所述报文匹配的目标协议中对应协议层次最高的目标协议，确定所述报文的报文类型。

通过上述报文识别方法，按照协议层次由低到高的顺序，针对特征库中每个协议层次，按照逐层递进的方式，逐层确定与上一协议层次存在关联的待选协议的识别规则，并仅根据待选协议的识别规则识别该协议层次与待识别报文匹配的目标协议，进而确定出待识别报文的报文类型，避免在报文识别时匹配所有报文类型的识别规则，提高了报文识别的效率。同时按照特征库中每个协议层次和不同协议层次间的协议的识别规则之间的关联关系进行报文识别，避免了在特征库中重复记录部分协议的识别规则，也节省了特征库的开发和维护成本。

在一个可选的设计中，所述生成特征库的过程包括：

针对每种报文类型，将该报文类型对应所述特征库中每个协议层次的协议的识别规则，及每个协议层次的协议的识别规则与上一协议层次的协议的识别规则的关联关系写入所述特征库；

按照协议层次由低到高的顺序，针对所述特征库中每个协议层次，将该协议层次中协议的识别规则相同、且关联的上一协议层次中协议的识别规则相同的协议的识别规则进行合并去重。