[发明专利]基于深度协议分析的威胁检测方法

权利要求书

1.一种基于深度协议分析的威胁检测方法，其特征在于，包括如下步骤：由数据包捕获模块从以太网络中采集数据包，或者通过交换机端口镜像获取所有流经网络出口的数据包，将获取的原始数据包传递给协议识别模块，协议识别模块对原始数据包先进行IP重组，当发现具有TCP会话标识时则启动TCP会话重组，重组完成的网络层数据和应用层数据传递给深度协议分析模块，深度协议分析模块依据协议识别结果，从规则库中提取预先基于协议归类的规则模板，对协议数据进行指纹识别和统计特征匹配，当深度协议分析模块发现威胁事件，则生成告警信息发送给控制台模块，控制台模块将告警信息通知管理员。

2.如权利要求1所述的基于深度协议分析的威胁检测方法，其特征在于：其中IP重组具体如下：

1)根据抓取的报文中包含的标识符、不分片标志DF和更多分片标志MF来判断该数据报是否为分片，即DF＝0允许分片，MF＝1还有更多分片；

2)检查并删除超时IP数据报的二级分片树，记录不完整的IP数据报，查找满足该数据报源地址和目的地址的树节点，并返回所对应分组树的分片跟踪结构变量；

3)检查分片是否已经全部到达，利用二叉树遍历二级分片树的每一个节点，检查更多分片标志MF，如果MF为0，表明分片数据已经全部到达；

4)将所有已经到达的分片进行重组，利用二叉树遍历算法，将当前节点的数据填充到重组缓存中，如果重组后的数据长度超过65536，表明重组出错，产生告警信息，并停止重组，并丢弃该数据包；如果数据长度没有超过65536，则持续填充直至数据包填满。

3.如权利要求1所述的基于深度协议分析的威胁检测方法，其特征在于：其中TCP重组具体如下：

1)接收到三次握手的SYN、SYN+ACK和ACK报文段，根据该报文的源/目的IP地址、端口号来标记一个数据流连接，分配一个会话数据结构，设置初始序列号，最小时钟和滑动窗口大小；

2)根据接收到的数据报文段源IP地址和目的IP地址、端口号找到对应的TCP连接，并把该报文所载的数据存放在报文序列号对应的数据流缓存区中；

3)当数据流缓存区中的数据达到连续完整的会话数据包序列512KB及以上时，将数据递交上一层分析程序；

4)如果接收到关闭阶段的FIN报文段和ACK报文段，则向上一层的分析程序递交报告，并且将TCP数据结构收回。

4.如权利要求1所述的基于深度协议分析的威胁检测方法，其特征在于：其中深度协议分析具体如下：

1)将威胁识别的特征库按照底层协议分析和应用层协议分析划分规则集，将特征库划分为多个子集，每一个子集对应上述的一种协议；

2)将IP重组后的网络层数据和TCP重组后的应用层数据按照底层协议和应用层协议相应的规则分别交由对应的分析代理进行规则匹配；

3)分析代理以统计学分析、指纹匹配和异常检测技术的规则集来决定如何分析数据包，检测引擎将数据包中的数据与已知的攻击指纹进行深度匹配，判断是否存在恶意攻击，同时利用统计特征进行模式匹配来识别威胁。

5.如权利要求4所述的基于深度协议分析的威胁检测方法，其特征在于：其中底层协议分析包括IP、TCP、UDP、ICMP和IGMP，应用层协议分析包括FTP、SMTP、HTTP、TELNET和DNS。