[发明专利]基于规则对网络数据包进行识别的方法和装置

摘要

本发明公开了基于规则对网络数据包进行识别的方法，包括步骤：根据第一规则集合构造第二规则集合，其中第一规则集合包括一条或者多条规则，每条规则定义了网络数据包的多个属性中的一个或者多个属性的取值以及相对应的数据包类型，第二规则集合包含一条或者多条在第一规则集合中的规则，并且根据网络数据包的预定属性进行分类；对接收的网络数据包进行内容分析，以获取该网络数据包的属性值；在第二规则集合中搜索与该网络数据包的属性值匹配的规则；以及在查找到与该网络数据包的属性值相匹配的规则时，将该网络数据包识别为与该规则相对应的数据包类型。本发明还提供了相应的基于规则对网络数据包进行识别的装置。

主权项

1.基于规则对网络数据包进行识别的方法，所述方法包括：根据第一规则集合构造第二规则集合，其中第一规则集合包括一条或者多条规则，每条规则定义了网络数据包的多个属性中的一个或者多个属性的取值以及相对应的数据包类型，并且当网络数据包的属性值和一条规则完全匹配时，则该网络数据包被识别为与该规则相对应的数据包类型，第二规则集合包含一条或者多条在第一规则集合中的规则，并且根据网络数据包的预定属性进行分类；对接收的网络数据包进行内容分析，以获取该网络数据包的属性值；在所述第二规则集合中搜索与该网络数据包的属性值匹配的规则；以及在查找到与该网络数据包的属性值相匹配的规则时，将该网络数据包识别为与该规则相对应的数据包类型，其中所述根据第一规则集合构造第二规则集合的步骤包括：步骤1：根据所述预定属性，从所述第一规则集合中随机选择第一预定个规则进行分类并构造第二规则集合；步骤2：针对所接收的数据包进行所述内容分析、规则搜索和数据包识别的处理步骤，并统计处理的数据包总数、第二规则集合中每条规则的匹配次数、数据包的识别率；步骤3：每当所处理的数据包总数达到第一预定数量的整数倍时，如果所述数据包的识别率不高于第一阈值，则从所述第一规则集合中另外随机选择第二预定个规则、并根据所述预定属性而分类到所述第二规则集合中；如果所述数据包的识别率高于第一阈值，则从所述第二规则集合中依序删除不超过第二阈值个匹配次数少的规则；利用新构造的第二规则集合，重复上述步骤2和步骤3的处理，直到所处理的数据包达到第二预定数量为止。