[发明专利]使用部分确定性有限自动模式匹配来进行网络攻击检测

权利要求书

1.一种用于检测网络流量中安全威胁的方法，包括：

存储一组完全确定性有限自动机fDFA节点，其中，fDFA节点表示完全确定性有限自动机fDFA，其接受符合符号模式的符号流；

生成一组pDFA节点，其中，所述pDFA节点表示部分确定性有限自动机pDFA，

其中，每个所述pDFA节点在fDFA节点中都具有对应的、超越访问阈的访问级的节点，

其中，当所述fDFA节点中所对应的节点规定了符号向fDFA节点中的具有超越所述访问阈的访问级的节点转换时，所述pDFA节点中的每个节点都规定所述符号向所述pDFA节点中的节点的转换，

其中，当所述fDFA节点中所对应的节点规定了符号向所述fDFA节点中的具有不超越所述访问阈的访问级的节点转换时，所述pDFA节点中的每个节点都规定所述符号向pDFA节点中的失败节点的转换；

接收符号流中的符号；

确定所述pDFA节点的当前节点是否为失败节点；

当所述pDFA节点的所述当前节点不是所述失败节点时，确定所述pDFA节点的所述当前节点是否规定所述符号向所述失败节点的转换；

当所述pDFA节点的所述当前节点规定了所述符号向所述失败节点转换时，访问所述一组fDFA节点以将所述fDFA节点中的对应于所述pDFA节点的所述当前节点的节点标识为所述fDFA节点的当前节点；以及

当所述pDFA节点的所述当前节点为所述失败节点时以及当所述fDFA节点的所述当前节点规定所述符号向正在接受的节点转换时，检测计算机安全威胁。

2.根据权利要求1所述的方法，其中，生成一组pDFA节点的步骤包括：在单个存储页面中保存所述pDFA节点。

3.根据权利要求1所述的方法，其中，所述符号模式与计算机安全威胁有关。

4.根据权利要求1所述的方法，其中，所述方法还包括：

接收来自第一计算机网络的网络流量；

从所述网络流量中提取所述符号流中至少一部分；以及

当所述符号流不使所述pDFA或所述fDFA转换至正在接受的节点时，在第二计算机网络上重新发送所述网络流量。

5.根据权利要求1所述的方法，

其中，所述方法还包括对表进行维护，所述表具有标识所述fDFA节点中的对应于所述pDFA节点中每个节点的节点的条目；以及

其中，标识所述fDFA节点中的节点的步骤包括：使用所述表来标识所述fDFA节点中的一个对应于所述pDFA中的所述当前节点的节点。

6.根据权利要求1所述的方法，其中，生成一组表示pDFA的节点的步骤包括：

当所述pDFA节点的所述当前节点规定了所述符号向所述失败节点转换时，确定所述pDFA节点的计数是否超过规模阈；

标识在所述fDFA节点中的一个fDFA节点，其中，所述fDFA节点中的所述当前节点规定了所述符号向这一个fDFA节点的转换；以及

当所述pDFA节点的计数不超过所述规模阈时，生成所述pDFA节点中的一个新pDFA节点，其对应于所述fDFA节点中的该fDFA节点。

7.根据权利要求6所述的方法，其中，生成一组pDFA节点的步骤还包括：

当所述pDFA节点的计数超过所述规模阈时以及当所述pDFA节点中的这一个节点的访问级超过第二节点的访问级时，从所述一组pDFA节点中删除所述第二节点；以及更新所述pDFA节点，使所述pDFA节点中的规定了向所述第二节点的转换的每一个pDFA节点都规定向所述pDFA的失败节点的转换，而不是向所述第二节点的转换。

8.根据权利要求1所述的方法，其中，生成一组pDFA节点的步骤包括：生成一组使用位图编码方案进行格式化的pDFA节点，以使每个所述pDFA节点都包括固定长度位图部分和节点索引的可变长度列表，

其中，每个所述节点索引都指示所述pDFA节点中的另一个节点被保存的存储位置，以及

其中，所述位图部分包括与不同符号有关的位。