[发明专利]规则编译匹配方法及装置

摘要

本发明实施例提供一种规则编译匹配方法及装置，涉及计算机领域，在对网络数据流规则匹配时，无需对所有规则全部遍历匹配，减少了需要匹配的规则的个数，有效提高了搜索匹配的效率。具体方案为首先获取待匹配数据，根据待匹配数据对应的协议类型、端口类型对待匹配数据进行应用识别后在规则树中确定对应的子规则树，然后确定待匹配数据中包括的多个特征元的特征元类别，并根据特征元类别在子规则树中获取对应的规则子集，最后根据规则子集中包括的规则，对待匹配数据进行匹配。本发明的实施例用于入侵检测。

主权项

一种规则编译匹配方法，其特征在于，包括：获取待匹配数据，根据所述待匹配数据对应的协议类型、端口类型对所述待匹配数据进行应用识别后在规则树中确定对应的子规则树；其中，所述规则树包括分别与多个端口类型对应的多个所述子规则树；确定所述待匹配数据中包括的多个特征元的特征元类别，并根据所述特征元类别在所述子规则树中获取对应的规则子集；其中，所述子规则树中包括多个规则子集，各规则子集中包括对应的特征元类别下所有用于对所述待匹配数据进行匹配的规则；根据所述规则子集中包括的规则，对所述待匹配数据进行匹配；其中，若所述特征元类别为正则表达式型，则所述根据所述规则子集中包括的规则，对所述待匹配数据进行匹配包括：将所述待匹配数据输入到状态机中进行匹配，所述状态机由所述规则子集编译得到；根据所述状态机的输出结果判断所述待匹配数据是否匹配成功；若所述特征元类别为数值型，则所述根据所述规则子集中包括的规则，对所述待匹配数据进行匹配包括：将所述待匹配数据中的数值型的特征元与所述规则子集中规则的数值型特征元进行比较；根据所述比较的结果判断所述待匹配数据是否匹配成功；所述规则编译匹配方法还包括，创建所述规则树的步骤，具体包括：根据每条原始规则中特征元的逻辑运算关系创建对应的新规则；根据所述原始规则中特征元的类别对所有新规则进行分组；根据所述分组结果对所述所有新规则创建索引表结构的规则树并存储；其中，所述根据所述分组结果对所述所有新规则创建索引表结构的规则树并存储包括：根据所述分组结果按照协议字段重构所述新规则的逻辑存储关系；按照字典序固化存储所述新规则得到基于索引表结构的所述规则树并存储。