[发明专利]数据流检测的方法和装置

权利要求书

1.一种数据流检测的方法，其特征在于，包括以下步骤：

判断数据流携带的特征信息是否与主流特征信息匹配；

若判断结果为是，将所述数据流的源IP信息和匹配结果记录在关联表中；若判断结果为否，在所述关联表中查找所述数据流的源IP信息记录，若查找到所述数据流的源IP信息记录，对所述数据流进行辅流特征匹配，所述关联表用于记录匹配上所述主流特征或辅流特征的数据流的源IP信息和匹配结果。

2.如权利要求1所述的方法，其特征在于，所述主流特征信息包括：标识数据流对应的协议类型的关键字信息或数据流长度信息。

3.如权利要求1所述的方法，其特征在于，所述关联表记录的内容包括：数据流的源IP、匹配的协议类型和辅流匹配标志。

4.如权利要求3所述的方法，其特征在于，所述关联表记录的内容还包括：

源IP的上线时间、主流五元组、辅流五元组群、主流特征或匹配的辅流特征，其中，匹配上主流特征的数据流的五元组为主流五元组，匹配上辅流特征信息的数据流的五元组为辅流五元组，所述辅流五元组群为多个辅流五元组的群。

5.如权利要求1所述的方法，其特征在于，所述判断数据流携带的特征信息是否与主流特征信息匹配之前，还包括：

设置不同的协议类型对应的主流特征信息和辅流特征信息。

6.如权利要求1所述的方法，其特征在于，所述对数据流进行辅流特征匹配包括：

判断所述数据流携带的特征信息与所述关联表中的该源IP记录对应的协议类型的辅流特征信息是否一致，若判断结果为是，则将所述数据流的源IP信息和匹配结果记录在所述关联表中。

7.如权利要求1至6任一项所述的方法，其特征在于，所述将所述数据流的源IP和匹配结果记录在关联表中之后，还包括：

若在第一时间阈值内没有携带所述源IP信息的数据流匹配所述辅流特征信息，则删除关联表中的所述源IP信息对应的记录。