[发明专利]用于检测和过滤数据报文的方法和设备

权利要求书

1.一种用于检测和过滤数据报文的方法，包括：

a)在操作系统的数据报文发送接口和/或数据报文接收接口处拦截待发送和/或已接收的数据报文；

b)根据一个或多个检测规则，对所述数据报文进行匹配；以及

c)针对与所述一个或多个检测规则中的至少一个检测规则相匹配的数据报文，执行与所述至少一个检测规则相对应的过滤处理。

2.根据权利要求1所述的方法，其中，拦截待发送和/或已接收的数据报文的步骤包括：使用钩子函数来拦截待发送和/或已接收的数据报文。

3.根据权利要求1所述的方法，其中，所述方法在步骤a)和步骤b)之间还包括：

判断所述数据报文是否完整：

如果所述数据报文完整，则继续执行后续步骤；

否则，直接丢弃所述数据报文并结束所述方法。

4.根据权利要求1所述的方法，其中，每一个检测规则包括以下至少一项：

应用协议；

目标地址；

源地址；以及

应用名称。

5.根据权利要求4所述的方法，其中，对所述数据报文进行匹配的步骤包括：如果所述数据报文是待发送的数据报文，则根据所述数据报文的源端口来确定发送所述数据报文的应用的应用名称，然后将所述数据报文的应用协议、所述数据报文的目标地址、所述数据报文的源地址、以及所述应用名称中至少一项与所述一个或多个检测规则中的至少一个检测规则的相应项进行比较，以确定所述数据报文是否匹配所述一个或多个检测规则中的至少一个检测规则。

6.根据权利要求4所述的方法，其中，对所述数据报文进行匹配的步骤包括：如果所述数据报文是已接收的数据报文，则根据所述数据报文的目标端口来确定要接收所述数据报文的应用的应用名称，然后将所述数据报文的应用协议、所述数据报文的目标地址、所述数据报文的源地址、以及所述应用名称中至少一项与所述一个或多个检测规则中的至少一个检测规则的相应项进行比较，以确定所述数据报文是否匹配所述一个或多个检测规则中的至少一个检测规则。

7.根据权利要求1所述的方法，其中，所述过滤处理包括以下各项之一：

允许匹配的数据报文通过；以及

禁止匹配的数据报文通过。

8.根据权利要求1所述的方法，还包括：向用户提供用于设置和查看所述一个或多个检测规则的能力。

9.根据权利要求1所述的方法，还包括：向用户提供用于设置和查看所述过滤处理的能力。

10.根据权利要求1所述的方法，其中，在检测到匹配的数据报文的情况下，所述方法还包括：记录与匹配的数据报文相关的日志。

11.根据权利要求10所述的方法，还包括：向用户提供用于查看所述日志的能力。

12.一种用于检测和过滤数据报文的设备，包括：

拦截单元，用于在操作系统的数据报文发送接口和/或数据报文接收接口处拦截待发送和/或已接收的数据报文；

匹配单元，用于根据一个或多个检测规则，对所述数据报文进行匹配；以及

过滤单元，用于针对与所述一个或多个检测规则中的至少一个检测规则相匹配的数据报文，执行与所述至少一个检测规则相对应的过滤处理。

13.根据权利要求12所述的设备，其中，所述拦截单元还用于：使用钩子函数来拦截待发送和/或已接收的数据报文。

14.根据权利要求12所述的设备，其中，所述设备还包括：

判断单元，用于判断所述数据报文是否完整：

如果所述数据报文完整，则继续执行后续步骤；

否则，直接丢弃所述数据报文。

15.根据权利要求12所述的设备，其中，每一个检测规则包括以下至少一项：

应用协议；

目标地址；

源地址；以及

应用名称。