[发明专利]一种反病毒文件检测方法、装置及网络设备

权利要求书

1.一种反病毒文件检测方法，其特征在于，包括：

接收数据包；

判断所述数据包所属数据流承载的第一文件是否为可移植可执行文件类型；

若为可移植可执行文件类型，则按照预置的第一检测规则，对所述数据包的载荷内容进行反病毒文件检测，得到第一检出结果，其中，所述第一检测规则包括利用文件片段的特征标识作为检测手段，所述特征标识包括：文件片段的哈希值和特征码；

若第一检出结果指示所述数据包的载荷内容符合病毒文件的特征，则将所述数据包告警或者阻断；

若第一检出结果指示所述数据包的载荷内容符合正常文件的特征，则传输所述数据包；

若第一检出结果指示未知或继续检测，则缓存所述数据包的载荷内容以及所述数据流的后续数据包的载荷内容，得到完整的第一文件，按照预置的第二检测规则对所述完整的第一文件进行反病毒文件检测，得到第二检出结果；

所述缓存所述数据包的载荷内容，包括：

检测缓存资源占用量是否超过缓存阈值；

若超过缓存阈值，释放当前已缓存的部分第一文件所占用的存储资源；

若释放当前已缓存的部分第一文件所占用的存储资源后，所述缓存资源占用量仍超过缓存阈值，则对新接收到的数据包，按照所述第一检测规则，对所述新接收到的数据包的载荷内容进行反病毒文件检测，所述新接收到的数据包为所述数据流的后续数据包，或者用以承载第二文件的数据流中的数据包；

若未超过缓存阈值，则缓存所述数据包的载荷内容。

2.如权利要求1所述的方法，其特征在于，所述得到第二检出结果，包括：

若第二检出结果指示所述第一文件为病毒文件，则释放所述第一文件所占用的存储资源，并发送告警；

若第二检出结果指示所述第一文件为正常文件，则传输所述第一文件后释放所述第一文件占用的存储资源。

3.如权利要求1或2所述的方法，其特征在于，所述若第二检出结果指示所述第一文件为病毒文件，则释放所述第一文件所占用的存储资源之前，还包括：

获取并保存承载所述第一文件的数据流中的各数据包的特征标识。

4.如权利要求1所述的方法，其特征在于，

若为非可移植可执行文件类型，所述方法还包括：

缓存承载所述第一文件的数据流的后续数据包的载荷内容，得到完整的第一文件，按照预置的第三检测规则对所述完整的第一文件进行反病毒文件检测，得到第三检出结果。

5.如权利要求4所述的方法，其特征在于，所述得到第三检出结果，包括：

若第三检出结果指示所述完整的第一文件为病毒文件，释放所述第一文件所占用的存储资源，并发送告警；

若第三检出结果指示所述完整的第一文件为正常文件，则传输所述完整的第一文件后释放所述第一文件占用的存储资源。