[发明专利]一种入侵检测方法、装置、存储介质和电子设备

权利要求书

1.一种入侵检测方法，其特征在于，包括：

获取面向服务的数据交互中间件SOME/IP报文，其中，所述SOME/IP报文是通过对待检测的以太网报文进行解析后获得的；

若通过所述SOME/IP报文的预设检测流程确定所述SOME/IP报文存在异常，则确定所述以太网报文为入侵报文；

所述SOME/IP报文的头部字段包括报文类型字段和请求地址字段；

其中，所述预设检测流程包括所述SOME/IP报文的会话状态的检测流程，所述若通过所述SOME/IP报文的预设检测流程确定所述SOME/IP报文存在异常，则确定所述以太网报文为入侵报文，包括：

若确定所述SOME/IP报文的报文类型字段为响应信息或者报错信息，则将所述SOME/IP报文中的请求地址字段和会话状态链表进行匹配；其中，所述会话状态链表包括至少一个会话信息结构体，且所述至少一个会话信息结构体中每个会话信息结构体均包括待匹配报文类型字段；

若确定所述请求地址字段和所述会话状态链表中目标会话信息结构体匹配且所述目标会话信息结构体中的待匹配报文类型字段为不期待响应的请求，则确定所述以太网报文为所述入侵报文；以及，

若确定所述请求地址字段和所述会话状态链表中的任意一个会话信息结构体均不匹配，则确定所述以太网报文为所述入侵报文；

所述每个会话信息结构体均包括遍历记录次数字段，所述入侵检测方法还包括：

在确定所述遍历记录次数字段对应的次数大于等于预设次数的情况下，则确定所述以太网报文为所述入侵报文。

2.根据权利要求1所述的入侵检测方法，其特征在于，所述头部关键字段包括以下字段中的至少一个字段：数据包长度字段、协议版本字段、报文类型字段和返回值字段。

3.根据权利要求1所述的入侵检测方法，其特征在于，所述SOME/IP报文的头部字段包括地址识别码字段和请求地址字段，所述地址识别码字段包括服务标识符，所述请求地址字段包括客户识别码；

其中，所述预设检测流程包括所述SOME/IP报文的规则的检测流程，所述若通过所述SOME/IP报文的预设检测流程确定所述SOME/IP报文存在异常，则确定所述以太网报文为入侵报文，包括：

若确定所述服务标识符或者所述客户识别码与预设的白名单不匹配，则确定所述以太网报文为所述入侵报文；或者，

若确定所述服务标识符和所述客户识别码不匹配，则确定所述以太网报文为所述入侵报文。

4.根据权利要求1所述的入侵检测方法，其特征在于，所述SOME/IP报文的头部字段包括接口版本字段；

其中，所述预设检测流程包括所述SOME/IP报文的规则的检测流程，所述若通过所述SOME/IP报文的预设检测流程确定所述SOME/IP报文存在异常，则确定所述以太网报文为入侵报文，包括：

若确定所述接口版本字段和预设的接口版本列表不匹配，则确定所述以太网报文为所述入侵报文。

5.根据权利要求1所述的入侵检测方法，其特征在于，所述以太网报文包括IP头部字段，所述IP头部字段包括源IP地址，所述SOME/IP报文的头部字段包括请求地址字段和报文类型字段，所述请求地址字段包括客户识别码；

其中，所述预设检测流程包括所述SOME/IP报文的规则的检测流程，所述若通过所述SOME/IP报文的预设检测流程确定所述SOME/IP报文存在异常，则确定所述以太网报文为入侵报文，包括：

若确定所述源IP地址和所述客户识别码不匹配且所述报文类型字段为请求类型信息，则确定所述以太网报文为所述入侵报文。