[发明专利]一种网络攻击检测方法

权利要求书

1、一种网络攻击检测方法，其特征在于，包括以下步骤：

步骤1.捕捉网络数据包；

步骤2.根据步骤1所捕捉的网络数据包所依据的协议的标准格式，对步骤1所捕捉的网络数据包进行解析，提取出网络数据包中的payload序列；

步骤3.计算步骤2提取的每个网络数据包的payload序列的任意位置开始可反汇编的合法指令的条数中的最大值MEL；

步骤4.若某个网络数据包的payload序列的任意位置开始可反汇编的合法指令的条数中的最大值MEL超过阈值，则认为该网络数据包是网络攻击数据包；若某个网络数据包的payload序列的任意位置开始可反汇编的合法指令的条数中的最大值MEL不超过阈值，则认为该网络数据包是是正常通信数据包。

2、根据权利要求1所述的网络攻击检测方法，其特征在于，对步骤1所捕捉的网络数据包进行筛选，以去掉不需要进行分析的网络数据包：去掉那些不会被用来做网络攻击的协议的网络数据包；去掉那些只有头部信息而没有payload的网络数据包。

3、根据权利要求1所述的网络攻击检测方法，其特征在于，所述步骤3具体包含以下步骤：

步骤31.从网络数据包的payload序列的任意字节位置开始进行反汇编，直到反汇编操作无法得到一个有效指令为止，得到一个可反汇编的有效的指令序列；

步骤32.计算步骤31得到的可反汇编的有效的指令序列所含指令条数EL；

步骤33.计算步骤32中得到的所有可反汇编的有效的指令序列所含指令条数EL中的最大值，作为这个网络数据包的payload序列的可反汇编的合法指令的条数中的最大值MEL。

4、根据权利要求3所述的网络攻击检测方法，其特征在于，步骤32具体计算步骤31得到的可反汇编的有效的指令序列所含指令条数EL时，具体包含以下步骤：

步骤321.首先计算步骤31得到的可反汇编的有效的指令序列本身的指令数量，记为L；

步骤322.如果步骤31得到的可反汇编的有效的指令序列的最后一条指令是跳转指令，并且跳转的目标地址不在指令序列中，那么网络数据包的payload序列的任意字节位置开始可反汇编的有效指令序列所含指令条数EL＝L+1；

步骤323.如果步骤31得到的可反汇编的有效的指令序列的最后一条指令是跳转指令，并且跳转指令的目标地址在指令序列中，得到以目标地址为开头的指令序列，计算从目标地址为开头的指令序列的指令数量记为L′，那么网络数据包的payload序列的任意字节位置开始可反汇编的有效指令序列所含指令条数EL＝L+L′。

5、根据权利要求1所述的网络攻击检测方法，其特征在于，步骤4中所述的阈值设置为20到250之间的自然数。