[发明专利]获得防护策略集合、报文检测的方法、装置、系统及介质

权利要求书

1.一种获得防护策略集合的方法，其特征在于，所述方法包括：

通过统计方式获取各类待处理报文，其中，不同类的待处理报文是通过IP地址和端口号区分的；

获取与所述各类待处理报文分别对应的防护策略，得到防护策略集合。

2.根据权利要求1所述的方法，其特征在于，所述各类待处理报文包括第i类待处理报文，其中，所述第i类待处理报文为所述各类待处理报文中的任意一类；

所述获取与所述各类待处理报文分别对应的防护策略，得到防护策略集合，包括：

统计所述第i类待处理报文所对应的访问行为数据，其中，所述访问行为数据至少包括预设时间内所述第i类待处理报文的发包数量和传输时间；

基于所述访问行为数据，生成与所述第i类待处理报文对应的防护策略。

3.根据权利要求2所述的方法，其特征在于，所述防护策略包括检测阈值和防御阈值，其中，所述检测阈值用于判断是否触发预警，所述防御阈值用于判断是否执行防御动作，所述检测阈值至少通过所述发包数量获得，所述防御阈值至少包括出口流量、传输时间和发送源访问地址占比中的一种；

所述基于所述访问行为数据，生成与所述第i类待处理报文对应的防护策略，包括：

确认所述预设时间之内所述发包数量的最大值，以及所述传输时间的最大值、所述出口流量的最大值和所述发送源访问地址占比的最大值；

将所述发包数量的最大值作为所述检测阈值，并且将所述传输时间的最大值、所述出口流量的最大值和所述发送源访问地址占比的最大值中的至少一种作为所述防御阈值。

4.根据权利要求1-3任一项所述的方法，其特征在于，在所述通过统计方式获取各类待处理报文之前，所述方法还包括：

确认所述端口号满足预设的限制条件。

5.一种报文检测的方法，其特征在于，所述方法包括：

获得待检测报文；

根据防护策略集合对所述待检测报文进行检测，获得与所述待检测报文分别对应的检测结果。

6.根据权利要求5所述的方法，其特征在于，所述待检测报文为第j类待检测报文，所述防护策略集合中包括与所述第j类待检测报文对应的第j检测阈值和第j防御阈值；

所述根据防护策略集合对所述待检测报文进行检测，获得与所述待检测报文分别对应的检测结果，包括：

确认所述第j类待检测报文对应的发包数量大于所述第j检测阈值，则触发异常告警；并且，

确认所述第j类待检测报文对应的传输时间大于所述第j防御阈值，则执行防御动作。

7.一种报文检测的系统，其特征在于，所述系统包括：

网络安全设备，被配置为：

采用如权利要求5-6任一项所述的方法获得待检测报文的检测结果；

若确认所述检测结果为正常，则发送所述待检测报文；

接收设备，被配置为接收所述待检测报文。

8.一种获得防护策略集合的装置，其特征在于，所述装置包括：

报文获取模块，被配置为通过统计方式获取各类待处理报文，其中，不同类的待处理报文是通过IP地址和端口号区分的；

策略生成模块，被配置为获取与所述各类待处理报文分别对应的防护策略，得到防护策略集合。

9.一种电子设备，其特征在于，包括：处理器、存储器和总线；

所述处理器通过所述总线与所述存储器相连，所述存储器存储有计算机程序，所述计算机程序由所述处理器执行时可实现如权利要求1-6任一项所述方法。

10.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有计算机程序，该计算机程序被执行时可实现如权利要求1-6任一项所述方法。