[发明专利]业务消息处理方法、装置、设备及存储介质

权利要求书

1.一种业务消息处理方法，其特征在于，应用于包括旁路流量分析系统和匹配服务器的系统中，所述旁路流量分析系统包括n个分析节点，所述n为大于1的整数；所述方法包括：

所述匹配服务器接收各个所述分析节点发送的消息标识；

所述匹配服务器从接收到的各个所述消息标识中，确定存在与第一业务消息的消息标识相匹配的第二业务消息的消息标识；其中，所述第一业务消息的消息标识是接收到的各个所述消息标识中的任意一个消息标识，所述第一业务消息和所述第二业务消息是属于同一会话的请求消息和响应消息；

所述匹配服务器获取所述第一业务消息的数据量和所述第二业务消息的数据量；

若所述第一业务消息的数据量小于所述第二业务消息的数据量，则所述匹配服务器向第一分析节点发送匹配结果信息，所述匹配结果信息中包括所述第一业务消息的消息标识和第二分析节点的节点标识，所述匹配结果信息用于将所述第一业务消息和所述第二业务消息路由至所述第二分析节点进行处理，以检测是否存在网络攻击；所述第一分析节点根据所述匹配结果信息中包括的所述消息标识获取所述第一业务消息，以及根据所述匹配结果信息中包括的所述节点标识，向所述第二分析节点发送所述第一业务消息；

若所述第一业务消息的数据量大于所述第二业务消息的数据量，则所述匹配服务器向第二分析节点发送匹配结果信息，所述匹配结果信息中包括所述第二业务消息的消息标识和第一分析节点的节点标识，所述匹配结果信息用于将所述第一业务消息和所述第二业务消息路由至所述第一分析节点进行处理，以检测是否存在网络攻击；所述第二分析节点根据所述匹配结果信息中包括的所述消息标识获取所述第二业务消息，以及根据所述匹配结果信息中包括的所述节点标识，向所述第一分析节点发送所述第二业务消息；

其中，所述第一分析节点是所述第一业务消息所在的分析节点，所述第二分析节点是所述第二业务消息所在的分析节点。

2.根据权利要求1所述的方法，其特征在于，所述第一业务消息的消息标识包括所述第一业务消息的五元组信息；所述第二业务消息的消息标识包括所述第二业务消息的五元组信息；

其中，所述第一业务消息的五元组信息包括源互联网协议IP地址、源端口号、目的IP地址、目的端口号和响应号；所述第二业务消息的五元组信息包括目的IP地址、目的端口号、源IP地址、源端口号和序列号。

3.根据权利要求1所述的方法，其特征在于，所述第一业务消息的消息标识包括所述第一业务消息的五元组信息的摘要；所述第二业务消息的消息标识包括所述第二业务消息的五元组信息的摘要；

所述第一业务消息的五元组信息包括源IP地址、源端口号、目的IP地址、目的端口号和响应号；所述第二业务消息的五元组信息包括目的IP地址、目的端口号、源IP地址、源端口号和序列号。

4.根据权利要求1所述的方法，其特征在于，所述匹配服务器接收各个所述分析节点发送的消息标识之前，还包括：

所述第一分析节点获取所述第一业务消息；

所述第一分析节点生成所述第一业务消息的消息标识；

所述第一分析节点向所述匹配服务器发送所述第一业务消息的消息标识。

5.根据权利要求4所述的方法，其特征在于，所述第一分析节点生成所述第一业务消息的消息标识，包括：

所述第一分析节点获取所述第一业务消息的五元组信息；

所述第一分析节点生成所述五元组信息的摘要，得到所述第一业务消息的消息标识。

6.根据权利要求4所述的方法，其特征在于，所述第一分析节点向所述匹配服务器发送所述第一业务消息的消息标识，包括：

所述第一分析节点向所述匹配服务器发送匹配请求，所述匹配请求中包括所述第一业务消息的消息标识、所述第一业务消息的数据量和所述第一分析节点的节点标识。