[发明专利]基于信息萃取的流量记录方法和系统

权利要求书

1.基于信息萃取的流量记录方法，其特征在于，包括：

构建信息萃取策略，建立流量信息和需要萃取的信息之间的关系集合；

捕获实时流量；

对实时流量进行深度分析并获取流量信息；

对获取的流量信息进行威胁检测；

根据获取的流量信息和威胁检测结果，查询对应的信息萃取策略；

基于信息萃取策略，对实时流量进行信息萃取；

把萃取出的信息按照流或会话方式保存；

信息萃取策略包括：只记录流信息；记录流信息、连接信息和应用协议信息；记录流信息、连接信息、应用协议信息或者带应用协议头的原始报文；记录流信息、连接信息、应用协议信息或者带应用协议头的原始报文、传输中的文件/特定内容。

2.如权利要求1所述的方法，其特征在于：所述信息萃取策略的建立方法包括：(1)直接内置到系统中；(2)根据用户的实际需求进行定制；(3)根据威胁检测结果动态调整。

3.如权利要求1所述的方法，其特征在于：所述对实时流量进行深度分析并获取流量信息，具体为：针对实时流量以及TCP和UDP报文进行深度分析，识别出TCP和UDP报文所属的流和会话，识别出实时流量中的基本协议类型、应用协议类型、地址信息、应用协议信息以及传输的负载内容。

4.如权利要求1所述的方法，其特征在于：所述对实时流量进行信息萃取包括萃取流信息、会话信息、协议信息、原始报文、负载传输文件。

5.基于信息萃取的流量记录系统，其特征在于，包括：

构建模块，用于构建信息萃取策略，建立流量信息和需要萃取的信息之间的关系集合；

捕获模块，用于捕获实时流量；

分析模块，用于对实时流量进行深度分析并获取流量信息；

检测模块，用于对获取的流量信息进行威胁检测；

查询模块，用于根据获取的流量信息和威胁检测结果，查询对应的信息萃取策略；

萃取模块，用于基于信息萃取策略，对实时流量进行信息萃取；

保存模块，用于把萃取出的信息按照流或会话方式保存；

萃取策略包括：只记录流信息；记录流信息、连接信息和应用协议信息；记录流信息、连接信息、应用协议信息或者带应用协议头的原始报文；记录流信息、连接信息、应用协议信息或者带应用协议头的原始报文、传输中的文件/特定内容。

6.如权利要求5所述的系统，其特征在于：所述构建模块中的关系集合建立方法包括：(1)直接内置到系统中；(2)根据用户的实际需求进行定制；(3)根据威胁检测结果动态调整。

7.如权利要求5所述的系统，其特征在于：所述分析模块具体用于：针对实时流量以及TCP和UDP报文进行深度分析，识别出TCP和UDP报文所属的流和会话，识别出实时流量中的基本协议类型、应用协议类型、地址信息、应用协议信息以及传输的负载内容。

8.如权利要求5所述的系统，其特征在于：所述萃取模块中对实时流量进行信息萃取包括萃取流信息、会话信息、协议信息、原始报文、负载传输文件。