[发明专利]多重应用协议识别方法和装置

权利要求书

1.一种多重应用协议识别方法和应用协议识别引擎，其特征在于：

多重应用协议识别方法基于XML语言提供了特征条件、解密套件条件、应用协议特征、应用协议命中动作、多种检测识别模型及相应的规则描述方法；

应用协议识别引擎包括应用协议特征匹配单元、全流表存储单元、半流关联表存储单元、规则库存储单元、识别模块和配置模块。

2.根据权利要求1所述的特征条件，其特征在于：

所述的特征条件指定应用协议所应满足的基本条件约束，用以描述应用协议基本特征；

所述的特征条件包括特征字节码条件<hex>、特征字符串条件<string>、特征偏移量条件<offset>、特征长度条件<length>、特征字节序条件<endian>、特征运算符条件<operator>、IP条件<ip>、端口条件<port>和正则表达式条件<pcre>；

所述的特征字节码条件<hex>指定应用协议特征的内容由字节码描述，其内容取值为由十六进制字符组成并且固定为网络字节序的位串，并且由type属性指定内容取值为单值类型、区间类型、单值列表类型或单值/区间混合列表类型；

所述的特征字符串条件<string>指定应用协议特征的内容由ASCII字符串进行描述，并且由case属性指定内容取值是否为大小写敏感格式；

所述的特征偏移量条件<offset>指定应用协议特征的所述的特征字节码条件<hex>或所述的特征字符串条件<string>的固定或不固定位置的偏移量，并且由relative属性指定位置偏移量的相对参考方向；

所述的特征长度条件<length>指定应用协议特征的所述的特征字节码条件<hex>或所述的特征字符串条件<string>内容的长度；

所述的特征字节序条件<endian>指定数据包载荷中由所述的特征偏移量条件<offset>和所述的特征长度条件<length>指定位置处的内容的字节序；

所述的特征运算符条件<operator>指定数据包载荷中由所述的特征偏移量条件<offset>、所述的特征长度条件<length>和所述的特征字节序条件<endian>描述位置处的内容与所述的特征字节码条件<hex>或所述的特征字符串条件<string>的内容所应满足的运算关系；

所述的IP条件<ip>指定应用协议特征为IPv4或IPv6格式的IP地址，并且由ver和side属性分别设置IP地址的版本和归属端；

所述的端口条件<port>指定应用协议特征为端口，并且由type和side属性分别设定端口的单值或区间类型格式和归属端；

所述的正则表达式条件<pcre>指定应用协议特征为标准PCRE格式的正则表达式。