[发明专利]数据流检测方法和装置

权利要求书

1.一种数据流检测方法，其特征在于，该方法应用于数据流检测设备，包括：

接收数据流，将数据流匹配的本地N个规则的规则标识ID记录至第一匹配集，N大于或等于1，N个规则中的每一规则中至少定义一个正则表达式；

判断数据流是否为HTTP类型的数据流，如果是，针对第一匹配集中的每一规则ID，在本地规则所属域名表项中找到包含该规则ID的规则所属域名表项，在找到的规则所属域名表项中的第一域名字段为第一值时，将该规则ID记录至第二匹配集；第一值用于指示所述规则定义的固定字符串中不包含域名；

依据第二匹配集中规则ID对应的规则中定义的正则表达式对数据流进行匹配。

2.根据权利要求1所述的方法，其特征在于，所述依据第二匹配集中规则ID对应的规则中定义的正则表达式对数据流进行匹配包括：

依据所述数据流携带的域名信息确定对应的一级域名；

针对第二匹配集中的每一规则ID，在本地规则所属域名表项中查找满足以下条件的规则所属域名表项：包含该规则ID且第二域名字段为所述一级域名或者为第二值，如果查找到，将该规则ID记录至第三匹配集，第二值为用于代表任意域名的预设值；

检查第三匹配集是否为空，如果是，取消对数据流进行正则表达式匹配，如果否，依据第三匹配集中规则ID对应的规则中定义的正则表达式对数据流进行匹配。

3.根据权利要求2所述的方法，其特征在于，所述依据数据流携带的域名信息确定对应的一级域名包括：

在所述数据流携带的域名信息通过IP地址表示时，在本地域名与IP地址对应表中查找所述IP地址对应的一级域名，将查找到一级域名作为所述数据流携带的域名信息对应的一级域名。

4.根据权利要求3所述的方法，其特征在于，所述本地域名与IP地址对应表通过以下步骤建立：

实时检测来自保护区域访问非保护区域的域名系统DNS报文，从检测到的DNS报文中提取出一级域名和一级域名对应的IP地址，以提取出的一级域名和IP地址为关键字检查本地域名与IP地址对应表中是否存在包含该关键字的第一类域名与IP地址对应表项或者第二类域名与IP地址对应表项，如果否，将该提取出的一级域名和IP地址作为第一类域名与IP地址对应表项记录至本地域名与IP地址对应表；

接收云端下发的第三类域名与IP地址对应表项，依据第三类域名与IP地址对应表项中的应用标识确定是否需要获取第三类域名与IP地址对应表项中的一级域名和IP地址之间的对应关系，如果是，从第三类域名与IP地址对应表项中获取一级域名和IP地址之间的对应关系，将该获取的对应关系作为第二类域名与IP地址对应表项记录至本地域名与IP地址对应表。

5.根据权利要求4所述的方法，其特征在于，将提取出的一级域名和对应的IP地址作为第一类域名与IP地址对应表项记录至本地域名与IP地址对应表进一步包括：设置该第一类域名与IP地址对应表项的查询时间为当前时间；

将对应关系作为第二类域名与IP地址对应表项记录至本地域名与IP地址对应表进一步包括：设置该第二类域名与IP地址对应表项的查询时间为当前时间；

当检查出本地域名与IP地址对应表中存在包含该关键字的第一类域名与IP地址对应表项时，进一步包括：更新该存在的第一类域名与IP地址对应表项的查询时间为当前时间；

当检查出本地域名与IP地址对应表中存在包含该关键字的第二类域名与IP地址对应表项时，进一步包括：更新该存在的第二类域名与IP地址对应表项的查询时间为当前时间。

6.根据权利要求5所述的方法，其特征在于，该方法进一步包括：

在设定的数据上传时间到达时，将本地域名与IP地址对应表中的第一类域名与IP地址对应表项上传至云端；

在设定的数据更新时间到达时，将本地域名与IP地址对应表中满足老化时间的第一类域名与IP地址对应表项和第二类域名与IP地址对应表项删除。