[发明专利]一种基于有限自动机的深度报文检测方法

说明书

技术领域

本发明涉及高速交换网络中的数据报文领域，具体来讲是一种基于有限自动机的深度报文检测方法。

背景技术

国际互联网是20世纪发展最快的信息科技技术，随着宽带技术的提高和互联网规模的扩大，互联网的数据量也日益增大，信息安全技术更是日益成为保障国家安全的核心技术。在过去的十年里，以太网网络基础设施带宽从以10Gbit/s的规模扩展到40Gbit/s到100Gbit/s。相应的，网络通信设备为了适应高速增长的基于协议、内容、应用的可控制和可视性，必须要有相应的通信处理机制。特别是在信息安全的角度来看，军队等涉密单位、安全部门、以及大型运营商的主干交换网，都需要深度检测交换通过的报文内容，从而确保信息安全不受破坏。DPI（deep packet inspection，深度包检测）是一种先进的包过滤方法，它在开放系统互连（OSI）参考模型的应用层中起作用。使用深度包检测可以发现、识别、分类、重新路由或阻止具有特殊数据或代码有效载荷的数据包，而传统的包过滤只能检测数据包包头，不能解析数据包的有效载荷。使用深度包检测技术，通信服务提供商可以分配现有资源以精简信息流。

FA（Finite Automata，有限自动机）通过正则表达式去匹配敏感字符。匹配过程是一个状态机的跳转，只有当匹配到敏感字符列表中的字符时状态才会跳转到下一个状态，从而通过每一步跳转来判断当前报文中是否含有违禁信息。

新型的深度报文检测技术面对的主要技术难点就是TOA（Timeor Area）问题。如果追求更快的检测速度，就需要尽可能地展开检测电路，也就是说更大规模的检测电路来满足飞速膨胀的敏感字符；但是如果检测电路面积过于庞长，即使在最先进的22nm工艺下，也很难完整地将所有规则都做成逻辑电路，并集成在一个硅片上。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种基于有限自动机的深度报文检测方法，有效合并相关项，缩小逻辑电路的规模，从而满足工程实现要求。

为达到以上目的，本发明采取一种基于有限自动机的深度报文检测方法，包括步骤：S1.系统初始化阶段，CPU将所有默认配置通过下指令的方式写入三级存储器；其中，第一级存储器存储所有违规字符串的前两个字符，第二级存储器存储所有违规字符串所包括的字符，第三级存储器存储违规字符串经过哈希计算后对应的值和所属的违规集合编号；S2.根据预设配置将输入的数据包分解为多个连续的字符串，每个字符串内包括多个文本信息片段，并标明每一个文本信息片段所属的违规集合；S3.利用确定有限自动机匀速检测数据包中的文本信息片段，并通过查询三级存储器得到所述文本信息片段所属的违规集合；S4.将检测到的所有违规集合的编号，以集合的形式封装成新的数据包，将新的数据包发送到不确定的有限自动机；S5.通过预先设置的检测规则，判断当前数据包中包含的多种违规集合编号是否允许共存在同一数据包中，若是，正常转发；若否，进行丢期或其他处理。

在上述技术方案的基础上，所述第一级存储器以26个字母交叉索引作为地址项，每一条地址所对应的存储内容为：以该字母为首字母的违规字符串在第二级存储器中的起始地址。

在上述技术方案的基础上，所述第二级存储器中每个地址都配置了64个字节的存储内容。

在上述技术方案的基础上，所述S2中，每个字符串的大小不超过10个字节，每个文本信息片段是每个字符串中一个字符或几个连续的字符，所述文本信息片段分别归属于32个违规集合，且每个文本信息片段也不超过10个字节。

在上述技术方案的基础上，所述有限自动机匀的检测速度为1Gbps。

在上述技术方案的基础上，在上述步骤中，管理员的配置命令随时编译成指令，交给CPU对相应地址的各级存储器进行配置。

在上述技术方案的基础上，所述每个存储器在统一始终周期内，只能接收一个对象的一次查询；设计状态跳转时序，保证两个不同字符串的查询操作不会影响对方。

在上述技术方案的基础上，所述状态跳转时序，对于两个不同字符串的查询，两者查询操作的时钟周期间隔交叉设置。

本发明的有益效果在于：本发明优化了逻辑结构，节省检测电路的面积。采用流水线技术提高了检测电路的工作速度和数据吞吐率，保证主干网交换机上的检测需要，解决了传统检测方法中检测速度过慢的问题。同时，用户可自行配置违规字符内容及集合，增大了检测灵活性，留有可扩展空间。

附图说明

图1为基于有限自动机的深度报文检测方法涉及的深度报文检测引擎结构单元；