[发明专利]一种面向IPv4和IPv6的网络病毒检测方法及系统

权利要求书

1.一种面向IPv4和IPv6的网络病毒检测方法，其特征在于，包括：

捕获网络数据包；

进行网络层协议识别，判断数据包IP地址协议，若数据包使用IPv4协议，则进行IPv4网络层协议识别，若数据包使用IPv6协议，则进行IPv6网络层协议识别；

根据数据包所使用的协议类型进行IP协议解码，获取数据包的TCP四元组，若数据包使用IPv4协议，则使用IPv4IP层解码，若数据包使用IPv6协议，则使用IPv6IP层解码；

将具有相同TCP四元组的数据包重组，使离散的数据包汇聚成数据流；

对各数据流的应用层协议进行识别，识别出发生文件传输行为的应用层协议；

根据应用层协议识别结果，将数据流中数据包顺序重新排列，还原为数据包的正确排列顺序；

对数据流进行协议解析，根据协议栈，判断数据流所使用的协议类型，若为IPv4协议，则使用IPv4协议解析，若为IPv6协议，则使用IPv6协议解析；

根据协议解析结果，对包含文件传输行为的数据流还原为文件，对非文件传输行为的数据流不作处理；

根据数据包的内容类型，将数据包发送到预设的对应检测引擎进行网络病毒检测，并生成检测报告；

将检测报告发送给外部处理程序。

2.如权利要求1所述的方法，其特征在于，所述的网络层协议识别至少包括TCP/IP、ARP和RARP协议的识别。

3.如权利要求1所述的方法，其特征在于，所述数据包的内容类型至少包括：文件和非文件内容的数据流。

4.一种面向IPv4和IPv6的网络病毒检测系统，其特征在于，包括：

捕包模块，用于捕获网络数据包；

网络层识别模块，用于进行网络层协议识别，判断数据包IP地址协议，若数据包使用IPv4协议，则进行IPv4网络层协议识别，若数据包使用IPv6协议，则进行IPv6网络层协议识别；

IP层识别模块，用于根据数据包所使用的协议类型进行IP协议解码，获取数据包的TCP四元组，若数据包使用IPv4协议，则使用IPv4IP层解码，若数据包使用IPv6协议，则使用IPv6IP层解码；

流汇聚模块，用于将具有相同TCP四元组的数据包重组，使离散的数据包汇聚成数据流；

应用协议识别模块，用于对各数据流的应用层协议进行识别，识别出发生文件传输行为的应用层协议；

流还原模块，用于根据应用层协议识别结果，将数据流中数据包顺序重新排列，还原为数据包的正确排列顺序；

协议解析模块，用于对数据流进行协议解析，根据协议栈，判断数据流所使用的协议类型，若为IPv4协议，则使用IPv4协议解析，若为IPv6协议，则使用IPv6协议解析；

文件还原模块，用于根据协议解析结果，对包含文件传输行为的数据流还原为文件，对非文件传输行为的数据流不进行处理；

检测引擎模块，用于根据数据包的内容类型，将数据包发送到预设的对应检测引擎进行网络病毒检测，并生成检测报告；

响应接口模块，用于将检测报告发送给外部处理程序。

5.如权利要求4所述的系统，其特征在于，所述的网络层识别模块对网络层协议的识别至少包括TCP/IP、ARP和RARP协议的识别。

6.如权利要求4所述的系统，其特征在于，所述数据包的内容类型至少包括：文件和非文件内容的数据流。