[发明专利]一种基于报文标记数据流的并行检测方法、系统及存储介质

说明书

本发明涉及一种基于报文标记的数据流并行检测方法、系统及存储介质。其中，数据流到达所述流分发节点入口；将数据流发送到联合控制节点；获得标识数据流；将所述标识数据流发送回所述流分发节点；根据所述流表策略将所述标识数据流发送到检测节点；对所述标识数据流进行检测，并将检测结果发送回所述联合控制节点。本方法所提出的并行检测实现高性能入侵检测的重要技术手段，并行检测系统通过多检测引擎进行并行检测，具有高性能和可扩展的特点，通过在数据报文中加入特征识别码的方式，以实现高效率的网络数据流的并行检测方法；并通多个检测模块实现多形式的检测手段，以提高数据流检测的准确率。

技术领域

本发明涉及网络入侵检测领域，尤其是一种基于报文标记的数据流并行检测方法、系统及存储介质。

背景技术

随着互联网的普及，网络的规模和传输速度也急剧增长，网络入侵检测系统的处理速度难以跟上网络的速度，基于单检测引擎的网络入侵检测系统依靠改进硬件和检测算法来提高处理性能，已无法适应10Gb/s以上流量的线性处理要求，使用多个检测模块并行处理网络数据流可以大幅度提高网络入侵检测系统的性能，而使用方法的关键是如何将网络数据进行标记，保证划分数据流后不丢失检测攻击所需的信息。

目前网络入侵检测系统需要处理大量的数据，每个数据都需要检测漏洞攻击、病毒、行为分析等一系列的检测模块处理，处理能力的不足会引起入侵事件的漏报，并加大网络的延时。

发明内容

本发明实施例旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明实施例的目的是提供一种基于报文标记的数据流并行检测方法、系统及存储介质，能够实现高性能入侵检测，并通过在数据报文中增加标识解决了并行检测中数据包的识别问题。

本发明所采用的技术方案是：

第一方面，本发明实施例提供一种基于报文标记数据流的并行检测方法，包括以下步骤：

管理节点根据节点设置，在流分发节点中生成流表策略，数据流到达所述流分发节点入口；

所述流分发节点根据所述流表策略将数据流发送到联合控制节点；

所述联合控制节点判断所述流分发节点发送的所述数据流是否需要检测，对需要检测的所述数据流中的数据报文进行标记，获得标识数据流；

所述联合控制节点将所述经过标记后的所述数据报文缓存，并将所述标识数据流发送回所述流分发节点；

所述流分发节点接收所述联合控制节点发送的所述标识数据流，根据所述流表策略将所述标识数据流发送到检测节点；

所述检测节点中的各功能模块对所述标识数据流进行检测，并将检测结果发送回所述联合控制节点；

所述联合控制节点接收所述检测结果，确定发送或者丢弃报文。

进一步的，所述联合控制节点判断所述流分发节点发送的数据流是否需要检测，对需要检测的所述数据流进行标记，获得标识数据流，具体为，根据检测到的节点信息，生成初始汇聚节点掩码，并在所述数据流中需要检测的数据报文上添加标识码以实现标记，获得标识数据流。

进一步的，所述检测节点中的各子节点包括入侵检测节点和/或病毒检测节点和/或行为分析节点和/或大数据分析节点。

进一步的，所述功能模块对所述标识数据流进行检测，具体为：所述功子节点接收所述标识数据流，并对接收的所述标识数据流进行流应用协议识别、会话管理、报文重组，根据所述标识数据流中数据报文的识别码和所述子节点ID生成检测结果。