[发明专利]基于IPv6网络环境的入侵检测系统及方法

权利要求书

1.基于IPv6网络环境的入侵检测方法，其特征在于，包括下述步骤：

(1)系统启动时，系统首先解析用户输入的命令行参数、配置文件以及 系统设置的协议集合和规则库，然后将网卡设置成混杂模式，数据包捕获模块 用抓包软件循环捕获原始以太网数据包，数据包过滤器判断所捕获数据包是否 为IPv6数据包，如果不是则执行步骤(2)操作，如果是则执行步骤(3)操 作；

(2)数据包捕获模块将捕获的非IPv6数据包丢弃，并根据丢弃的包生成 相应的记录发送并存储在报警及日志模块的警告日志中；

(3)如果是IPv6数据包，则首先解析该IPv6数据包的以太头，接着解 析其IPv6的固定头，最后依次解析其扩展头，判断该IPv6数据包是否是IPv6 碎片包，如果是则进行步骤(4)操作，不是则进行步骤(5)操作；

(4)根据IPv6碎片包扩展头将具有相同源地址、目的地址的数据包进行 地址覆盖并根据各个IPv6碎片包ID进行IPv6碎片包重组得到完整的IPv6数 据包，然后将完整的IPv6数据包发送到IPv6协议解析模块，然后进行步骤(5) 操作；

(5)IPv6协议解析模块根据系统设置的协议集合，按照网络各层协议的 数据结构对数据包捕获模块传来的完整的IPv6数据包进行协议解码，得出该 数据包真正承载的应用数据并发送到协议分析和状态跟踪模块；

(6)协议分析和状态跟踪模块根据系统设置的规则库，对接收到的数据 包真正承载的应用数据进行协议分析和状态跟踪，若协议分析中进行状态跟踪 得到异常数据，则生成相应记录发送并存储在报警及日志模块，同时将协议分 析得到的符合预设协议数据结构的数据包发送到规则分析及包检测模块；

(7)规则分析及包检测模块对系统设置的规则特征库中的规则进行规则 分析，并根据规则分析后的规则对协议分析和状态跟踪模块传来的数据包进行 模式匹配检测，最后将检测结果发送到报警及日志模块；

(8)报警及日志模块根据检测结果进行写报警日志、显示报警信息。

2.根据权利要求1所述的基于IPv6网络环境的入侵检测方法，其特征在 于：步骤(4)所述对IPv6碎片包进行IPv6碎片包重组得到完整的IPv6数据 包，该重组后得到完整的IPv6数据包中的碎片载荷长度(PL.orig)的计算方 法如下：

PL.orig＝PL.first-FL.first-8+(8*FO.last)+FL.last

其中，PL.first表示第一个碎片载荷长度，FL.first表示第一个碎片的碎片长度， 8表示碎片头的长度，8*FO.last表示最后一个碎片偏移量，FL.last表示最后一 个碎片的碎片长度。

3.根据权利要求1所述的基于IPv6网络环境的入侵检测方法，其特征在 于：步骤(6)所述协议分析和状态跟踪模块根据系统设置的协议集合，对接 收到的数据包真正承载的应用数据进行协议分析和状态跟踪，其协议分析包括 IP层协议分析、传输层协议和网络层协议分析，协议分析和状态跟踪的具体方 法如下：根据系统设置的协议集合，首先对重组好的完整的IPv6数据包进行 IP层协议分析，判断该IPv6数据包的传输层协议是TCP协议、UDP协议或者 ICMPv6协议，然后对该IPv6数据包具体的传输层协议进一步解析；解析完成 后，如果该IPv6数据包是ICMPv6协议则分析该IPv6数据包是否有异常数据， 若发现异常数据则生成相应的记录发送并存储在报警及日志模块的警告日志 中；如果是TCP协议则判断该IPv6数据包是否要进行TCP流的重组；如果需 要则进行重组，将重组好的TCP协议数据包进行应用层协议分析，而不需要 重组的TCP协议数据包和解析好的UDP协议数据包直接进行应用层协议分 析，若应用层协议分析TCP协议数据包、UDP协议数据包时发现数据包错误， 则生成相应的记录发送并存储在报警及日志模块的警告日志中。