[发明专利]用于提取和保存用于分析网络通信的元数据的系统和方法

权利要求书

1.一种方法，其包括：

通过处理器从网络获取数据包以便提供所获取的数据包；

对所获取的数据包执行分层会话解码以便提供解码的数据包；

从解码的数据包提取元数据；

存储所述元数据；以及

分析所述元数据以便检测网络上的高级持续性威胁。

2.根据权利要求1所述的方法，其特征在于，还包括处理器确定所获取的数据包的数据包类型。

3.根据权利要求1所述的方法，其特征在于，还包括处理器从解码的数据包重组会话。

4.根据权利要求1所述的方法，其特征在于，还包括处理器从网络代理服务器获取数据。

5.根据权利要求1所述的方法，其特征在于，还包括处理器从SMTP中心获取数据。

6.根据权利要求1所述的方法，其特征在于，还包括处理器根据配置提取元数据。

7.根据权利要求1所述的方法，其特征在于，还包括当执行分层会话解码时处理器使用应用协议解码器。

8.根据权利要求1所述的方法，其特征在于，还包括当执行分层会话解码时处理器使用格式解码器。

9.一种系统，其包括：

网络；

处理器，其耦联到网络并配置成；

从网络获取数据包以便提供所获取的数据包；

对所获取的数据包执行分层会话解码以便提供解码的数据包；以及

从解码的数据包提取元数据；

存储器，其耦联到所述处理器以便存储所述元数据；以及

其中，分析元数据以便检测网络上的高级持续性威胁。

10.根据权利要求9所述的系统，其特征在于，所述处理器进一步配置成确定所获取的数据包的数据包类型。

11.根据权利要求9所述的系统，其特征在于，所述处理器进一步配置成从解码的数据包重组会话。

12.根据权利要求9所述的系统，其特征在于，所述处理器进一步配置成从网络的网络代理服务器获取数据。

13.根据权利要求9所述的系统，其特征在于，所述处理器进一步配置成从网络的SMTP中心获取数据。

14.根据权利要求9所述的系统，其特征在于，还包括所述处理器根据配置提取元数据。

15.根据权利要求9所述的系统，其特征在于，还包括用于执行分层会话解码的应用协议解码器。

16.根据权利要求9所述的系统，其特征在于，还包括用于执行分层会话解码的格式解码器。

17.一种包含计算机程序产品的非暂时性计算机可读介质，所述计算机程序产品包括：

高级持续性威胁检测程序，其配置成：

通过处理器从网络获取数据包以便提供所获取的数据包；

对所获取的数据包执行分层会话解码以便提供解码的数据包；

从解码的数据包提取元数据；以及

分析元数据以便检测网络上的高级持续性威胁。

18.根据权利要求17所述的包含计算机程序产品的非暂时性计算机可读介质，其特征在于，高级持续性威胁检测程序进一步配置成确定所获取的数据包的数据包类型。

19.根据权利要求17所述的包含计算机程序产品的非暂时性计算机可读介质，其特征在于，高级持续性威胁检测程序进一步配置成从解码的数据包重组会话。

20.根据权利要求17所述的包含计算机程序产品的非暂时性计算机可读介质，其特征在于，高级持续性威胁检测程序进一步配置成根据配置提取元数据。