[发明专利]通过镜像网络流量提取文件的方法及装置在审
| 申请号： | 201910596715.0 | 申请日： | 2019-07-02 |
| 公开（公告）号： | CN110311914A | 公开（公告）日： | 2019-10-08 |
| 发明（设计）人： | 刘斐然 | 申请（专利权）人： | 北京微步在线科技有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06;G06F16/11;G06F16/16 |
| 代理公司： | 北京金信知识产权代理有限公司 11225 | 代理人： | 郭迎侠 |
| 地址： | 100086 北京市海*** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明提供了一种通过镜像网络流量提取文件的方法及装置，主要解决现有技术中提取文件需要安装监控软件，实施成本高，又存在被绕过的风险等问题。本发明的技术方案包括：监听镜像端口的网络数据包，根据网络数据包的五元组信息分配网络数据流；根据需要匹配的文件特征生成AC自动机，将网络数据流与AC自动机中内置的文件特征规则进行匹配，文件特征匹配过程是并发的；提取匹配后的网络数据流中的文件，存储文件并添加数据库。通过镜像网络流量提取文件，大大简化了文件提取的部署流程，无需改变现有流程和网络结构，又能为流量审计和病毒检测提供条件，增强企业安全监控的涵盖范围。 | ||
| 搜索关键词： | 提取文件 网络流量 文件特征 匹配 网络数据包 网络数据流 五元组信息 数据流 安装监控 病毒检测 存储文件 分配网络 镜像端口 匹配过程 企业安全 提供条件 网络结构 文件提取 监听 内置 绕过 并发 数据库 涵盖 监控 审计 部署 | ||
【主权项】：
1.一种通过镜像网络流量提取文件的方法，包括以下步骤：对监听的网络数据包进行分析，根据网络数据包的五元组信息将其分配给特定的网络数据流，所述网络数据流为在一定时间内具有一致的五元组的网络数据包的集合，输出所述网络数据流；以需要匹配的文件的起始特征及结束特征作为状态节点，生成AC自动机，将待匹配的所述网络数据流输入所述AC自动机，通过状态变换判断是否匹配到了文件特征；若同时匹配到了所述AC自动机内置的文件起始特征及结束特征，则证明网络数据流中包含所要匹配的文件，且确定了文件的起始位置及截止位置，输出匹配后的网络数据流；根据确定的文件位置提取所述匹配后的网络数据流中的文件。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于北京微步在线科技有限公司，未经北京微步在线科技有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201910596715.0/，转载请声明来源钻瓜专利网。
