[发明专利]异常操作的检测方法、装置和电子设备

权利要求书

1.一种异常操作的检测方法，其特征在于，包括：

获取网络数据流和协议规则签名，其中，所述协议规则签名携带有待检测协议的信息和所述待检测协议对应的异常功能码；

在所述网络数据流中获取与所述待检测协议相匹配的待检测网络数据流；

调用目标协议解析器对所述待检测网络数据流进行解析，并将解析结果与所述异常功能码进行匹配，其中，所述目标协议解析器为与所述待检测网络数据流的协议相同的协议解析器；

如果所述解析结果与所述异常功能码匹配，则将所述待检测网络数据流对应的操作确定为异常操作。

2.根据权利要求1所述的方法，其特征在于，在获取网络数据流和协议规则签名之前，所述方法还包括：

获取自定义的规则文件；

对所述规则文件进行解析，得到所述规则文件中所包含的所述待检测协议的信息和所述待检测协议对应的异常功能码的信息；

将所述异常功能码的信息注册到与所述待检测协议的信息对应的协议规则签名中，得到所述协议规则签名。

3.根据权利要求1所述的方法，其特征在于，获取网络数据流，包括：

调用内核模块获取网卡的初始网络数据流；

对所述初始网络数据流进行解码，得到解码后的网络数据流；

对所述解码后的网络数据流进行数据包重组，得到所述网络数据流。

4.根据权利要求1所述的方法，其特征在于，在在所述网络数据流中获取与所述待检测协议相匹配的待检测网络数据流之后，在调用目标协议解析器对所述待检测网络数据流进行解析之前，所述方法还包括：

判断所述待检测网络数据流对应的端口是否与所述目标协议解析器注册的端口相同；

如果相同，则调用所述目标协议解析器对所述待检测网络数据流进行解析。

5.根据权利要求1所述的方法，其特征在于，在所述网络数据流中获取与所述待检测协议相匹配的待检测网络数据流，包括：

对所述网络数据流进行解析，得到所述网络数据流对应的协议；

根据所述网络数据流对应的协议在所述网络数据流中获取与所述待检测协议相匹配的待检测网络数据流。

6.根据权利要求1所述的方法，其特征在于，调用目标协议解析器对所述待检测网络数据流进行解析，并将解析结果与所述异常功能码进行匹配，包括：

调用所述目标协议解析器对所述待检测网络数据流中的协议程序包进行解析，得到其中的功能码；

将所述功能码与所述异常功能码进行匹配。

7.根据权利要求1所述的方法，其特征在于，所述目标协议解析器为自定义注册的协议解析器，其中包含用于进行协议解析的功能函数。

8.一种异常操作的检测装置，其特征在于，包括：

第一获取单元，用于获取网络数据流和协议规则签名，其中，所述协议规则签名携带有待检测协议的信息和所述待检测协议对应的异常功能码；

第二获取单元，用于在所述网络数据流中获取与所述待检测协议相匹配的待检测网络数据流；

解析和匹配单元，用于调用目标协议解析器对所述待检测网络数据流进行解析，并将解析结果与所述异常功能码进行匹配，其中，所述目标协议解析器为与所述待检测网络数据流的协议相同的协议解析器；

确定单元，如果所述解析结果与所述异常功能码匹配，则将所述待检测网络数据流对应的操作确定为异常操作。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有机器可运行指令，所述机器可运行指令在被处理器调用和运行时，所述机器可运行指令促使所述处理器运行上述权利要求1至7中任一项所述的方法。