[发明专利]深度报文检测方法和装置

说明书

本申请公开了一种深度报文检测方法和装置。该方法包括：Suricata启动后加载告警规则库，告警规则库中包括多个用正则表达式描述的告警规则；Suricata将告警规则库传入Hyperscan进行编译后存储在数据库中；Suricata将接收到的第一数据包进行数据分析处理，得到处理后的数据；Hyperscan利用数据库中的告警规则库对处理后的数据进行规则匹配；若处理后的数据与告警规则库中的告警规则匹配成功，则Hyperscan向Suricata返回对第一数据包进行控制处理的控制信息；Suricata按照控制信息对第一数据包进行控制处理，通过本申请，解决了相关技术中深度报文检测的准确度较低的问题。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种深度报文检测方法、装置、存储介质及处理器。

背景技术

随着网络技术的飞速发展，互联网、云计算、移动通信、物联网等已深入到生产和生活中的各个方面，成为像水电气一样必不可少的基础设施，全球互联网用户已经突破40亿，每月的互联网流量已经达到了121694PB。伴随网络技术迅速发展和普及的是层出不穷的安全事件。近几年爆发的Heartbleed、WannaCry、Memcache放大攻击等安全威胁已经给互联网服务商带来了数百亿的损失。网络安全问题已成为社会无法回避、并且需要高度重视的关键问题之一。

当前，越来越多的网络应用需要依赖深度报文检测技术对报文进行识别，如协议识别，入侵检测，基于应用的带宽管理等。深度报文检测用预定义的特征集对报文的负载进行匹配，以判断负载部分是否符合规则集中的某条特征。早期，深度检测通常使用字符串匹配算法。经典的字符串匹配算法有Knuth-Morris-Pratt(KMP)，Boyer-Moore(BM)，Aho-Corasick(AC)和Wu-Manber(WM)等。随着网络服务和应用的不断发展，待检测的特征变得越来越复杂，难以用精准字符串进行准确的描述。正则表达式使用单个字符串可以描述一系列满足某个语法规则的字符串集合，因此语意表达能力和灵活性远远高于精确字符串。正则表达式以其强大而灵活的表达能力而广泛应用于深度报文检测中的特征描述。正则表达式的匹配通常需要借助自动机来实现，而当前网络应用中特征集的规模不断增加，这给自动机的编译，配置及性能带来极大的挑战。另一方面，骨干链路网络速率的提升也对报文检测的性能提出了更高的要求。这些都将会影响深度报文检测的准确度，导致深度报文检测的准确度较低。

针对相关技术中深度报文检测的准确度较低的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种深度报文检测方法、装置、存储介质及处理器，以解决相关技术中深度报文检测的准确度较低的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种深度报文检测方法。该方法包括：

Suricata启动后加载告警规则库，其中，所述告警规则库中包括多个告警规则，所述告警规则用正则表达式描述；

Suricata将所述告警规则库传入Hyperscan进行编译后存储在数据库中；

Suricata将接收到的第一数据包进行数据分析处理，得到处理后的数据；

Hyperscan利用所述数据库中的所述告警规则库对所述处理后的数据进行规则匹配；

若所述处理后的数据与所述告警规则库中的告警规则匹配成功，则Hyperscan向Suricata返回对所述第一数据包进行控制处理的控制信息；

Suricata按照所述控制信息对所述第一数据包进行控制处理。

进一步地，Suricata将接收到的第一数据包进行数据分析处理，得到处理后的数据包括：

对所述第一数据包进行解码后计算第一哈希值；