[发明专利]基于对象分析的攻击识别方法及装置

权利要求书

1.一种基于对象分析的攻击识别方法，其特征在于，包括：

构建特征库，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；

构建多模库，所述多模库包括多条关键字，每条关键字具有对象的属性；所述多模库中的关键字与所述特征库中的一条或多条特征表达式具有映射关系，具有映射关系的关键字与特征表达式具有相同的属性；

基于所述特征库及所述多模库，对解析消息后获得的对象的数据进行匹配，确定是否存在攻击；

所述基于所述特征库及所述多模库，对解析消息后获得的对象的数据进行匹配，确定是否存在攻击包括：

对获取的消息进行协议分析，解析获得一个或多个对象的数据；

针对所述对象的数据，利用多模库进行多模匹配，如果匹配到针对该对象的关键字，则进行后续步骤，否则确定不存在攻击；

从特征库中匹配是否存在针对该对象的、与匹配的关键字具有映射关系的特征表达式，如果没有匹配到特征表达式，则确定不存在攻击，否则进行后续步骤；

基于所述针对该对象的、与匹配的关键字对应的特征表达式，对该对象的数据进行规则匹配，如果匹配成功，则确定存在攻击，否则确定不存在攻击；

其中：所述多模库根据所述特征库构建，每一条关键字代表一个模式。

2.如权利要求1所述的方法，其特征在于，

确定一条关键字是否为针对所述对象的关键字的方式为：确定该关键字的属性是否为所述对象；

确定一条特征表达式是否为针对所述对象的特征表达式的方式为：确定该特征表达式的属性是否为所述对象。

3.如权利要求1所述的方法，其特征在于，在构建所述特征库过程中，基于攻击的类型，按照主类、子类和规则的方式组织所述多条特征表达式；在构架所述多模库过程中，基于攻击的类型，按照主类、子类和规则的方式组织所述多条关键字。

4.一种基于对象分析的攻击识别装置，其特征在于，包括：

消息获取单元，用于获取消息；

消息解析单元，用于对获取的消息进行协议分析，解析获得一个或多个对象的数据；

特征库构建单元，用于构建所述特征库，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；

多模库构建单元，用于构建所述多模库，所述多模库包括多条关键字，每条关键字具有对象的属性；其中，所述多模库中的关键字与特征库中的一条或多条特征表达式具有映射关系，具有映射关系的关键字与特征表达式具有相同的属性；

匹配单元，用于基于所述特征库及所述多模库，对所述消息解析单元获得的对象的数据进行匹配，确定是否存在攻击；

所述匹配单元包括：

多模匹配子单元，用于针对所述对象的数据，利用多模库进行多模匹配；

映射确定子单元，用于从特征库中匹配是否存在针对该对象的、与匹配的关键字具有映射关系的特征表达式；

规则匹配子单元，用于基于所述针对该对象的、与匹配的关键字对应的特征表达式，对该对象的数据进行规则匹配；

结果确定子单元，用于根据多模匹配子单元、映射确定子单元及规则匹配子单元的确认结果确定是否存在攻击，其中，如果多模匹配子单元未匹配到针对该对象的关键字、所述映射确定子单元没有匹配到特征表达式或者所述规则匹配子单元没有匹配成功，则确定不存在攻击，如果所述规则匹配子单元匹配成功，则确定存在攻击。

5.如权利要求4所述的装置，其特征在于，所述多模库根据所述特征库构建，每一条关键字代表一个模式。

6.如权利要求4所述的装置，其特征在于，

所述映射确定子单元确定一条关键字是否为针对所述对象的关键字的方式为：确定该关键字的属性是否为所述对象；

所述规则匹配子单元确定一条特征表达式是否为针对所述对象的特征表达式的方式为：确定该特征表达式的属性是否为所述对象。