[发明专利]异常报文检测方法、装置、电子设备和介质

权利要求书

1.一种异常报文检测方法，包括：

获取待监测终端的第一报文；

通过解析所述第一报文，获取所述第一报文的特征信息；

判断所述第一报文的特征信息在预先构建的特征信息库中是否有匹配的特征信息，其中，所述预先构建的特征信息库包括第二报文的特征信息，所述第二报文为可信设备的报文；以及

根据匹配结果判断所述第一报文是否为异常报文。

2.根据权利要求1所述的方法，其中，所述获取待监测终端的第一报文，包括：

通过旁路镜像的方式获取待所述监测终端的第一报文。

3.根据权利要求2所述的方法，其中，所述特征信息包括以下信息中的一种或多种：源地址信息、目的地址信息和协议信息。

4.根据权利要求1至3中任一项所述的方法，还包括：

获取可信设备的第二报文；

通过解析所述第二报文，获取所述第二报文的特征信息；以及

根据所述第二报文的特征信息，建立所述特征信息库。

5.根据权利要求4所述的方法，其中，所述获取可信设备的第二报文包括：

获取来自可信设备的第三报文；

确定所述第三报文是否为所述可信设备主动发起的报文；以及

如果确定所述第三报文为所述可信设备主动发起的报文，则将所述第三报文作为所述第二报文。

6.根据权利要求5所述的方法，其中，所述确定所述第三报文是否为所述可信设备主动发起的报文，包括：

通过解析所述第三报文，获取所述第三报文的传输方向；

若所述第三报文的传输方向为上行方向，则确定所述第三报文为所述终端设备主动发起的报文。

7.一种异常报文检测装置，包括：

第一获取模块，获取待监测终端的第一报文；

解析模块，通过解析所述第一报文，获取所述第一报文的特征信息匹配模块，用于判断所述第一报文的特征信息在预先构建的特征信息库中是否有匹配的特征信息，其中，所述预先构建的特征信息库包括第二报文的特征信息，所述第二报文为可信设备的报文；以及

判断模块，用于根据匹配结果判断所述第一报文是否为异常报文。

8.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个计算机程序，

其中，当一个或多个计算机程序被一个或多个处理器执行时，使得一个或多个处理器实现权利要求1至6中任一项的方法。

9.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现权利要求1至6中任一项的方法。

10.一种计算机程序产品，包括计算机可读指令，其中，所述计算机可读指令被执行时用于执行根据权利要求1-6之一所述的方法。