[发明专利]一种报文检测方法、装置及设备

权利要求书

1.一种报文检测方法，其特征在于，该方法应用于网络设备上的CPU，包括：

对第一报文进行第一检测操作，所述第一报文为携带了第五层数据RAW-PACKET的报文，所述RAW-PACKET包括五层协议头和载荷FILE-DATA；所述第一检测操作包括：剥离所述第一报文的五层协议头得到第二报文，按照已配置的第一检测方式对第二报文执行检测以获得第一检测结果；

获得所述网络设备上模式匹配协处理器HFA按照已配置的第二检测方式对所述第一报文执行检测得到的第二检测结果；

依据所述第一检测结果和所述第二检测结果在已配置的特征库中确定所述第一报文匹配的目标规则，所述目标规则用于指示所述第一报文的处理方式。

2.根据权利要求1所述的方法，其特征在于，所述按照已配置的第一检测方式对第二报文执行检测以获得第一检测结果，包括：

从已构建的字典树中查找与所述第二报文中的所述数据相匹配的至少一个目标模式串；其中，所述字典树中的节点指示一个对应的模式串，所述字典树中从树根节点到任一终结节点之间经由的各节点所对应的模式串用于组成所述特征库中的一条规则；

依据与所述数据相匹配的至少一个目标模式串确定所述第一检测结果。

3.根据权利要求2所述的方法，其特征在于，

所述从已构建的字典树中查找与所述第二报文中的所述数据相匹配的至少一个目标模式串，包括：

当所述第一报文为所属业务流的首个报文时，从所述树根节点开始顺序查找与所述第二报文中的所述数据相匹配的至少一个目标模式串，若所述目标模式串中不存在与所述字典树中一个终结节点对应的模式串，则记录所述业务流对应的匹配节点；所述匹配节点为所述字典树中与所述第二报文中的所述数据相匹配的最后一个节点；

当所述第一报文为所属业务流的非首个报文时，从已记录的所述业务流对应的匹配节点开始顺序查找与所述第二报文中的所述数据相匹配的至少一个目标模式串，若所述目标模式串中不存在与所述字典树中一个终结节点对应的模式串，则更新已记录的所述业务流对应的匹配节点为所述字典树中与所述第二报文中的所述数据相匹配的最后一个节点，直至所述目标模式串中存在与所述字典树中一个终结节点对应的模式串。

4.根据权利要求2所述的方法，其特征在于，所述第二检测结果包括：

已构建的配置文件中与所述第一报文匹配的配置文件数据；

所述配置文件是依据所述特征库中的规则生成的，所述配置文件数据表示至少一条规则；

所述依据所述第一检测结果和所述第二检测结果在已配置的特征库中确定所述第一报文匹配的目标规则包括：

将从所述树根节点至所述终结节点之间各节点对应的目标模式串按顺序组成的至少一条规则、以及所述配置文件数据表示的至少一条规则确定为所述目标规则。

5.根据权利要求1所述的方法，其特征在于，所述对第一报文进行第一检测操作之前还包括：

向模式匹配协处理器HFA发送第一报文，并指示模式匹配协处理器HFA按照第二检测方式对所述第一报文执行检测。

6.一种报文检测装置，其特征在于，该装置应用于网络设备上的CPU，包括：

检测单元，用于对第一报文进行第一检测操作，所述第一报文为携带了第五层数据RAW-PACKET的报文，所述RAW-PACKET包括五层协议头和载荷FILE-DATA；所述第一检测操作包括：剥离所述第一报文的五层协议头得到第二报文，按照已配置的第一检测方式对第二报文执行检测以获得第一检测结果；

获得单元，用于获得所述网络设备上模式匹配协处理器HFA按照已配置的第二检测方式对所述第一报文执行检测得到的第二检测结果；

确定单元，用于依据所述第一检测结果和所述第二检测结果在已配置的特征库中确定所述第一报文匹配的目标规则，所述目标规则用于指示所述第一报文的处理方式。