[发明专利]入侵防御系统的升级方法和装置

权利要求书

1.一种入侵防御系统的升级方法，其特征在于，包括：

创建进程，在创建的进程中下载对入侵防御系统进行升级的升级包；

在所述进程中，加载所述升级包中的引擎，设置并记录加载的引擎的标 识；通过所述加载的引擎加载并编译所述升级包中的特征库，生成状态机， 升级所述入侵防御系统；

根据接收到的报文的报文头中的信息和记录的引擎的标识确定对所述报 文进行检测的引擎，通过确定的引擎调用生成的状态机，对所述报文进行检 测。

2.根据权利要求1所述的方法，其特征在于，所述根据接收到的报文 的报文头中的信息和记录的引擎的标识确定对所述报文进行检测的引擎包 括：

根据所述报文的报文头中的信息判断所述报文是否为数据流的首报文；

当所述报文是数据流的首报文时，根据所述记录的引擎的标识确定最新 加载的引擎，所述最新加载的引擎为对所述报文进行检测的引擎；记录所述 报文的报文头中的五元组信息，建立所述五元组信息与对所述报文进行检测 的引擎的标识的对应关系；

当所述报文不是数据流的首报文时，根据所述报文的报文头中的五元组 信息，利用在所述数据流的首报文时建立的五元组信息与引擎的标识的对应 关系，在所述记录的引擎的标识中查找与所述五元组信息对应的引擎的标识， 确定所述标识对应的引擎为对所述报文进行检测的引擎。

3.根据权利要求1所述的方法，其特征在于，还包括：根据创建进程 的时间，设置并记录创建的进程的标识；

所述在创建的进程中下载对入侵防御系统进行升级的升级包包括：

当已创建的进程的个数达到预设的第一阈值时，根据记录的进程的标 识确定最先创建的进程，卸载所述最先创建的进程中的引擎；在所述最先 创建的进程中下载对所述入侵防御系统进行升级的升级包。

4.根据权利要求3所述的方法，其特征在于，在所述通过所述加载的引 擎加载并编译所述升级包中的特征库，生成状态机之前，还包括：

当对所述入侵防御系统的引擎和特征库一同升级，并且已创建的进程 的个数小于预设的第一阈值，并且已生成的状态机的数量达到预设的第二阈 值时，根据记录的进程的标识确定最先创建的进程，卸载所述最先创建的 进程中的引擎或者卸载所述最先创建的进程中的一个状态机；

当仅需对所述入侵防御系统的特征库进行升级，并且已生成的状态机的 数量达到预设的第二阈值时，根据记录的进程的标识确定最先创建的进程， 释放所述最先创建的进程中的一个状态机；或者，卸载所述最先创建的进 程中的引擎。

5.根据权利要求3所述的方法，其特征在于，还包括：若仅需对所述入 侵防御系统的特征库进行升级，则根据记录的进程的标识确定最新创建的进 程，在所述最新创建的进程中下载对所述特征库进行升级的升级包；通过所 述最新创建的进程中加载的引擎，加载并编译所述升级包中的特征库，生成 状态机。

6.一种入侵防御系统的升级装置，其特征在于，包括：

创建模块，用于创建进程；

下载模块，用于在所述创建模块创建的进程中下载对入侵防御系统进行 升级的升级包；

加载模块，用于在所述创建模块创建的进程中，加载所述下载模块下载 的升级包中的引擎，设置并记录加载的引擎的标识；

编译模块，用于在所述创建模块创建的进程中，通过所述加载模块加载 的引擎加载并编译所述下载模块下载的升级包中的特征库，生成状态机，升 级所述入侵防御系统；

检测模块，用于根据接收到的报文的报文头中的信息和所述加载模块记 录的引擎的标识确定对所述报文进行检测的引擎，通过确定的引擎调用所述 编译模块生成的状态机，对所述报文进行检测。