[发明专利]网络数据包的检测方法

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络数据包的检测方法。

背景技术

网络入侵检测作为目前最主要的主动网络安全措施之一，它通过对计算机和网络资源上的恶意网络连接进行识别和响应，有效地补充和完善了诸如访问控制、数据加密、防火墙、病毒防范等安全措施，提高了信息安全基础结构的完整性，已成为信息系统安全解决方案中不可或缺的环节。

高级隐遁技术（AET，Advanced Evasion Technique）、隐遁攻击的叠加网络力量(cyber‐force)渗透到各国政治斗争的计算机攻击的案例略见不鲜，最近发生的韩国银行计算机网络故障、美国的纽约时报和华尔街日报受到的攻击足以说明这种情况。显然黑客的攻击手段和能力已经发生了质的变化，根据Garter的报告，从2011年来，网络防御的能力已经远远滞后于攻击的手段。而高级隐遁技术(AET)毫无疑问对IDS/IPS厂商来说是尤为头疼的技术难题，从NSS Lab公布的最新的IPS测试标准《NSS_Labs_ips group test methodology v6.2》中单独增加了AET的测试（4.15章节部分）可以看出对AET的重视程度。

防火墙和IPS是网络中核心的安全保障设备，防火墙通常根据数据流端口、地址、协议等进行数据的过滤，而IPS则进一步进行数据包的深度检测。为了真正的理解和检测网络数据包，IPS则需要深度理解数据流所采用的协议。表面上如果彻底分析透数据流的协议格式就足够了，但事实证明并非如此。早在1998年，来自Secure Network公司的Tim Newsham和Thomas Ptacek发表了有关如何穿透IDS/IPS的技术文章《插入、隐遁和拒绝服务攻击：避开网络入侵检测》。近两年，国内相关的研究，总参某研究所的徐金伟研究员曾就AET发表过多篇文章。常用的AET手段有：字符串混淆、加密和隧道技术、碎片技术和协议的违规四种。

针对高级隐遁攻击应当考虑新的拦截模式，单纯的特征库匹配模式不再能够完全达到拦截目的，因此，本发明将提出一种全新的自动调整匹配算法的入侵检测方法，该方法将大大提高网络的安全系数。

发明内容

为了克服现有技术的缺陷，本发明的目的在于提出一种能够提高网络安全系数的网络数据包的检测方法。

为实现上述目的，本发明所述的网络数据包的检测方法，其包含如下具体步骤：

A）捕获网络中的数据包；

B）对所捕获的数据包进行全协议栈解析，得到协议变量，即原始报文数据包的各协议层数据；

C）根据预先设定的模式特征和协议变量特征选择最合适的多模式匹配算法，然后加载模式匹配算法库，并在检测过程中根据当前网络状态来动态调整匹配算法。

进一步地，所述步骤B中进行全协议栈解析是指按照协议的层次划分从底到顶逐层进行解析，对包括应用层协议在内的所有协议数据进行重组后，再进一步继续进行解析。

进一步地，对协议数据进行重组的具体步骤包括：

从捕获的原始数据包中提取与TCP协议相关的描述特征，分析其中的TCP报文；

对分析后的TCP报文按照其规范进行重新拼装，并保存到特定的内存结构中

所述步骤B中各协议层数据包括：MAC地址、IP地址、http_url、telnet_user等协议类型数据和其他特征数据。

进一步地，所述步骤C包括统计分析模块、匹配模块和评估切换模块；其中，所述统计分析模块用于对模式匹配输入规则树进行统计分析，并根据分析结果选择最优的多模式匹配算法；所述匹配模块用于通过统一调用接口为外部调用模块提供快速多模式匹配服务，并将模式匹配结果描述事件反馈给评估切换模块；所述评估切换模块用于根据匹配模块反馈的事件信息来获知当前网络状态，并据此做出调整当前多模式匹配算法的决定。

进一步地，所述统计分析模块，根据事件配置文件建立模式匹配规则树，规则树中每一树节点代表某一类型模式匹配子任务包括对协议变量或报文数据载荷进行模式匹配；统计分析规则树中每一节点的协议变量特征和相关模式特征；考察算法库中每一备选多模式匹配算法特征，选择一种最适合该规则树节点的多模式匹配算法。

进一步地，所述匹配模块，利用当前选择的匹配算法为外部调用模块提供快速多模式匹配服务，即对外部模块输入的网络报文或协议变量值执行多关键词搜索操作，并返回最后模式匹配结果；同时有选择地根据本次模式匹配的输入和结果生成相应的模式匹配反馈事件，供评估切换模块统计分析处理。