抗特徵壓界的數據包檢測方法及裝置的製作方法
2023-12-01 13:58:01 1
專利名稱：抗特徵壓界的數據包檢測方法及裝置的製作方法
技術領域：
本發明涉及網絡安全檢測領域，特別涉及一種抗特徵壓界的數據包檢測方法及裝置。
背景技術：
網絡安全檢測領域中，特徵碼檢測是目前主流的惡意代碼檢測技術，通過從以往惡意代碼中提取的具有普適性的特徵碼來檢測可疑代碼，以達到初步判斷該可疑代碼是否屬於惡意代碼。特徵碼檢測技術在檢測數據包過程中，可能遇到的問題是單一特徵碼被包含在多個數據包中，導致檢測不出該特徵碼，從而將一段惡意代碼誤判為安全代碼，發生誤判
發明內容
本發明提供了一種抗特徵壓界的數據包檢測方法及裝置，解決了傳統單一特徵碼被包含在多個數據包中，從而發生誤判的情況。一種抗特徵壓界的數據包檢測方法，包括
將傳統特徵碼拆分，形成特徵碼組；
將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。所述的方法中，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。一種抗特徵壓界的數據包檢測裝置，包括
存儲模塊，用於存儲將傳統特徵碼拆分，形成的特徵碼組；
匹配模塊，用於將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。所述的裝置中，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。本發明提供一種抗特徵壓界的數據包檢測方法及裝置，在傳統特徵碼檢測技術基礎上，將傳統特徵碼拆分，形成特徵碼組，將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。以特徵碼組來檢測數據包，有效避免了因傳統單一特徵碼在一個數據包中出界的情況，增加數據包中疑似惡意代碼與特徵碼匹配的機率。
為了更清楚地說明本發明或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發明中記載的一些實施例，對於本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他的附圖。圖I為抗特徵壓界的數據包檢測方法流程圖；圖2為抗特徵壓界的數據包檢測裝置結構 圖3為傳統數據包檢測技術示意 圖4為抗特徵壓界的數據包檢測技術示意圖。
具體實施例方式為了使本技術領域的人員更好地理解本發明實施例中的技術方案，並使本發明的上述目的、特徵和優點能夠更加明顯易懂，下面結合附圖對本發明中技術方案作進一步詳細的說明。本發明提供了一種抗特徵壓界的數據包檢測方法及裝置，解決了傳統單一特徵碼被包含在多個數據包中，從而發生誤判的情況。
一種抗特徵壓界的數據包檢測方法，如圖I所示，包括
5101:將傳統特徵碼拆分，形成特徵碼組；
5102:將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。所述的方法中，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。一種抗特徵壓界的數據包檢測裝置，如圖2所示，包括
存儲模塊201，用於存儲將傳統特徵碼拆分，形成的特徵碼組；
匹配模塊202，用於將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。所述的裝置中，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。數據包的特徵碼檢測過程是在數據包順序重新排列後進行的，為說明本發明的技術方案，以兩個特徵碼為一組的特徵碼組來說明抗特徵壓界的數據包檢測技術，但不限於其他特徵碼組的方式。如圖3所示，為傳統數據包檢測技術示意圖傳統特徵碼可能被包含在連續的多個數據包中，因此根據已有的傳統特徵碼檢測技術來匹配網絡數據包時，如果傳統特徵碼301分別被包含在數據包a302、數據包b303中，則在檢測時由於無法檢測出完整的傳統特徵碼301，得出該系列數據包中不含特徵碼的結果。這種特徵碼在不同數據包中的情況，稱為特徵壓界。如圖4所示，為本發明抗特徵壓界的數據包檢測技術示意圖將上述傳統特徵碼301拆分，形成特徵碼組，包含特徵碼a401和特徵碼b402 ;將特徵碼組中的特徵與排序後的數據包內容順序匹配，即將特徵碼a401與數據包a403匹配，由於產生特徵壓界情況，因此在數據包a403中無法檢測到特徵碼a401，但數據包b404中則一定包含特徵碼b402，因此判斷數據包為惡意數據包。本發明提供一種抗特徵壓界的數據包檢測方法及裝置，在傳統特徵碼檢測技術基礎上，將傳統特徵碼拆分，形成特徵碼組，將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。以特徵碼組來檢測數據包，有效避免了因傳統單一特徵碼在一個數據包中出界的情況，增加數據包中疑似惡意代碼與特徵碼匹配的機率。本發明中所述的將傳統特徵碼拆分，形成特徵碼組，是將傳統特徵碼分段，因此每段特徵碼之間是連續的，因此其他能夠表明相同形式的特徵碼提取方式，如連續獲取特徵碼等，皆在本專利保護範圍內。雖然通過實施例描繪了本發明，本領域普通技術人員知道，本發明有許多變形和 變化而不脫離本發明的精神，希望所附的權利要求包括這些變形和變化而不脫離本發明的精神。
權利要求
1.一種抗特徵壓界的數據包檢測方法，其特徵在於，包括 將傳統特徵碼拆分，形成特徵碼組； 將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。
2.如權利要求I所述的方法，其特徵在於，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。
3.一種抗特徵壓界的數據包檢測裝置，其特徵在於，包括 存儲模塊，用於存儲將傳統特徵碼拆分，形成的特徵碼組； 匹配模塊，用於將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。
4.如權利要求3所述的裝置，其特徵在於，所述的特徵碼組中特徵碼按照傳統特徵碼順序排列。
全文摘要
本發明提供一種抗特徵壓界的數據包檢測方法及裝置，在傳統特徵碼檢測技術基礎上，將傳統特徵碼拆分，形成特徵碼組，將特徵碼組中的特徵與排序後的數據包內容順序匹配，若任一特徵匹配成功，則確定數據包為惡意數據包，否則為安全數據包。以特徵碼組來檢測數據包，有效避免了因傳統單一特徵碼在一個數據包中出界的情況，增加數據包中疑似惡意代碼與特徵碼匹配的機率。
文檔編號H04L12/26GK102790704SQ20111038710
公開日2012年11月21日 申請日期2011年11月29日 優先權日2011年11月29日
發明者劉靜, 肖新光, 邱勇良 申請人:北京安天電子設備有限公司