网络入侵检测方法

1.一种网络入侵检测方法，其特征在于，包括以下步骤：
1)捕获网络中的数据包；
2)对所捕获的数据包进行全协议栈解析；
3)通过确定性有限状态机将正则表达式规则集编译成DFA状态转换表，对DFA状态转换表进行压缩；
4)将步骤2解析后的数据写入压缩后的DFA状态转换表做匹配；
5)输出匹配结果。
2.如权利要求1所述的方法，其特征在于，所述步骤2的具体方法包括：
1)协议解析器进行初始化，并加载编译后的正则规则表达集；
2)读取数据包，并对其进行分组处理；
3)识别分组后所述数据包的协议类型，并判断所述数据包是否需要解析，如不需要，则直接丢弃该数据包；否则，将协议类型相同的数据包进行归类；
4)根据正则表达式规则集查找到与数据协议类型对应的协议解码规则，再对包含该数据的数据包进行扫描，根据所述协议解析规则从数据包中提取所述数据的解析信息。
3.根据权利要求2所述的方法，其特征在于，所述对数据包进行分组的具体步骤包括：
首先设置输出端口分组规则和数据分组规则，输出端口分组规则的配置是首先将各输出端口按照对应的后端应用系统的业务处理类型进行分组，然后再根据组内各端口对应的后端系统的处理能力决定每个端口在该组中数据包处理流量的分配比例，数据分组规则的配置是根据IP地址信息或特殊字段将数据包划分到各个分组当中；再进行数据分组处理，先通过协议解析，从网络上接收到的原始数据包中提取出IP数据包，根据设置好的数据分组规则将与后续处理相关数据划分到各个输出端口分组中；然后将划分到每个组中的数据包的地址和端口信息进行Hash运算，Hash值再与该分组所包含的端口总数取模，得到的结果就是该数据包在所属的分组中对应的输出端口序号。
4.根据权利要求3所述的方法，其特征是，所述的输出端口分组的配置遵循以下原则：
1)输出端口的分组首先依据后端处理系统的业务需求，按照业务处理类型进行分组，当一个系统与多个系统分别在数据分组规则属性中互相有重叠时，同一个输出端口会出现在两个以上的分组中；
2)在每个分组内部，为了保证数据处理任务实现均衡分配，同一个输出端口可多次出现在同一个组中，即在分组内按照每个端口对应的后端系统的数据处理能力决定每个端口在该组中数据包流量的分配比例；
3)组内各输出端口的分配在保证负载均衡的同时，保证同一条TCP连接双向的所有数据包必须转发到同一个输出端口上，便于后端对所接收到的数据的汇总和还原。
5.根据权利要求3所述的方法，其特征在于，所述的数据分组规则的设置包括两种方式：
一种是将数据包的IP地址和端口信息作为直接监控对象，基于这些IP地址信息将规则设置在基于地址信息的数据分组规则表中，该规则表的格式如下：
另一种是基于特殊字段信息的规则设置方式，该规则表的格式如下：
规则号 字段偏移量 字段长度 匹配内容 数据分组行为

其中：
规则号：是每个规则的唯一标识序号；
源、目的IP地址：数据包传输的源端和目的端的IP地址值；
源、目的IP掩码：数据包传输的源端和目的端IP字段的子网掩码；
源、目的端口：数据包传输的源端和目的端的端口号；
字段偏移量：从IP数据包内容开始计算的需要匹配的特殊字段的偏移量；
字段长度：需要匹配的特殊字段的长度；
匹配内容：特殊字段的匹配值，这些特殊字段包括如URL地址、Email信件中的收信人和发信人地址字段；
数据分组行为：“0”表示将该数据包丢弃，“1”表示将该数据包转发到组1，“2”表示将该数据包转发到组2，……“N”表示将该数据报转发到组N，“-1”表示暂停使用该条规则，如果数据分组规则表中除数据分组行为字段外的所有字段都为0，则表示该条规则适用于所有数据包。
6.根据权利要求5所述的方法，其特征在于，由于动态设定的规则具有时效性，因此导入到内存的基于数据包的IP地址和端口信息的数据分组规则表增加“动态／静态”和“超时计数”两个字段，格式为：
7.根据权利要求2所述的方法，其特征在于，所述将协议类型相同的数据包进行归类的具体步骤包括：
1)在接收到新数据包时建立新的数据表；
2)当接收到数据报文时，先在所述数据表中查找与其对应的包号，若能找到，再判断所述数据报文是否为最后一个包，若不是，则将所述数据报文归入对应的数据包中；否则，删除该数据包；
3)当所述数据包出现乱序或重发且所述数据包没有被正常删除时，启动定时器在定时时间内将所述数据包删除。
8.如权利要求1所述的方法，其特征在于，所述步骤3中，对DFA状态转换表进行压缩的具体步骤包括：
对DFA状态转换表的每一行，将转换状态相同的输入字符分为同一组；
对DFA状态转换表的每一行，将分在同一组的相邻或邻近的输入字符及其转换状态用三元组信息来表示，该三元组信息为起始字符，位图和转换状态；
对DFA状态转换表的每一行，当分在同一组的输入字符不能被单个所述三元组信息编码时，由多个所述三元组来编码；
对DFA状态转换表的每一行，如果其包含的所述三元组的个数不超过预设的阀值，则该状态行用上述三元组编码的方式存放在高速存储器中；否则，该状态行不压缩，用一维线性数组的方式存储在片外DRAM中；
对状态值重新映射，使得存放三元组的高速存储器中存放的状态值都小于片外DRAM存放的状态值；将片外DRAM存放的状态值中的极小值作为分界值。
9.如权利要求8所述的方法，其特征在于，
所述起始字符为分组内最小的输入字符；
所述位图以二进制表示，计算该组各个输入字符相对于起始字符的偏移值，将位图上与这些偏移值相对应的比特位置为1，其余比特位置为0。
10.如权利要求1所述的方法，其特征在于，所述步骤4的具体方法包括：
4a)以DFA状态转换表的起始状态和报文首字符作为起始输入；
4b)如果该状态是终结状态则结束匹配；如果状态值小于所述分界值，则执行步骤4c查找存放三元组的高速存储器；否则，执行步骤4d查找片外DRAM；
4c)根据一维线性数组索引的方式，从存放三元组的高速存储器中读出该状态行的所有三元组编码，将每一个三元组编码中位图比特偏移值置1的字符与该输入字符进行匹配；如果匹配到，则取该字符所在三元组的转移状态和报文的下个字符作为输入，执行步骤
4b；如果没有匹配到任何三元组，则匹配失败并结束；
4d)根据二维线性数组索引的方式，从片外DRAM中读取对应的转移状态；如果有转移状态，则取该转移状态和报文的下个字符作为输入，执行步骤4b；如果没有转移状态，则匹配失败并结束。

暂无