[发明专利]一种数据报文处理方法、装置、内网交换机及存储介质

权利要求书

1.一种数据报文处理方法，其特征在于，包括：

接收传入的待转发的数据报文；

根据所述数据报文获取转发行为特征；

判断所述转发行为特征是否满足预设转发规则；所述预设转发规则基于包含恶意内容的数据报文进行横向传播时表现出的转发行为特征总结得到；

若不满足，则对所述数据报文执行转发操作；

若满足，则不对所述数据报文执行所述转发操作。

2.根据权利要求1所述的数据报文处理方法，其特征在于，所述转发行为特征包括：端口号、发送时间、发送数量、发送间隔、数据类型、计算机设备的身份信息或权限信息中的至少一项；对应的，所述预设转发规则包括：端口号规则、发送时间规则、发送数量规则、发送间隔规则、数据类型规则、计算机设备的身份规则或权限规则中的至少一项。

3.根据权利要求2所述的数据报文处理方法，其特征在于，当所述转发行为特征具体为所述端口号时，根据所述数据报文获取转发行为特征，包括：

从所述数据报文中提取得到目的端口号；

对应的，所述判断所述转发行为特征是否满足预设转发规则，包括：

判断所述目的端口号是否属于恶意端口号；

对应的，所述若不满足，则对所述数据报文执行转发操作，包括：

若所述目的端口不属于所述恶意端口，则对所述数据报文执行转发操作；

对应的，所述若满足，则不对所述数据报文执行所述转发操作，包括：

若所述目的端口号属于所述恶意端口号，则不对所述数据报文执行所述转发操作。

4.根据权利要求2所述的数据报文处理方法，其特征在于，当所述转发行为特征具体为所述发送数量和所述发送间隔时，根据所述数据报文获取转发行为特征，包括：

在预设时长内，统计得到由相同计算机设备发出的数据报文的实际数量，以及前后两个数据报文之间的实际发送间隔；

对应的，所述判断所述转发行为特征是否满足预设转发规则，包括：

判断所述实际数量是否大于预设的报文异常发送量；

若所述实际数量不大于所述报文异常发送量，则判断所述实际发送间隔是否小于预设的报文异常发送间隔；

对应的，所述若不满足，则对所述数据报文执行转发操作，包括：

若所述实际数量不大于所述报文异常发送量，且所述实际发送间隔不小于所述报文异常发送间隔，则对所述数据报文执行转发操作；

对应的，所述若满足，则不对所述数据报文执行转发操作，包括：

若所述实际发送数量大于所述报文异常发送量，或所述实际发送间隔小于所述报文异常发送间隔时，则不对所述数据报文执行转发操作。

5.根据权利要求1所述的数据报文处理方法，其特征在于，还包括：

记录通过所述预设转发规则对首次获取到的转发行为特征进行判别后得到的判别结果；

生成所述判别结果与相对应的转发行为特征之间的对应关系，以根据所述对应关系直接得到与相同的转发行为特征对应的判别结果。

6.根据权利要求1所述的数据报文处理方法，其特征在于，在对所述数据报文执行转发操作之前，还包括：

从所述数据报文中获取数据内容；

通过第一预设路径转发所述数据内容至目标计算机设备，以接收所述目标计算机设备对所述数据内容进行恶意分析后传回的分析结果；

当所述分析结果为不包含恶意内容时，执行转发所述数据报文的步骤。

7.根据权利要求1至6任一项所述的数据报文处理方法，其特征在于，还包括：

记录对每一个所述数据报文的判断结果，得到数据报文转发处理日志。

8.根据权利要求7所述的数据报文处理方法，其特征在于，在不对所述数据报文执行所述转发操作之后，还包括：

通过第二预设路径上报包含所述数据报文的恶意报文信息。