[发明专利]一种基于DPI的应用层协议识别方法及系统

说明书

本发明公开了一种基于DPI的应用层协议识别方法及系统，所述方法为：导入应用特征库文件，基于Hyperscan框架，将ASCII特征关键字预编译到Hyperscan框架中，同时为每个特征关键字生成唯一的从零开始的正整数ID，对应用特征库文件解析后进行应用特征预编译；导入应用规则列表文件，解析应用规则列表文件，读取每条列表，获取列表中每段应用特征结点的信息并生成规则树。本发明解决了现有应用层协议识别功能单一、不支持多特征、易出现误识别的问题。

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于DPI的应用层协议识别方法及系统。

背景技术

当前深度数据包检测(Deep packet inspection，缩写为DPI)技术是安全领域的关键技术点之一，围绕DPI技术衍生出的安全产品类型也非常的多样。主要体现在两个方面：1、从攻击防御的角度看，Web类的安全风险正在成为目前安全风险的主流攻击形式，针对Web类应用层安全攻击的防护，依靠传统的防火墙是无法实现的，具备深度报文检测能力的IPS设备或者WAF设备开始为大家所熟知。2、从业务应用识别分析的角度看，单纯的分析报文的头字段内容无法识别该报文所承载的具体的业务类型，要想深度了解报文所承载的业务应用类型及流量大小等信息，必须要跟踪业务应用的协议交互过程，并对报文的负载payload进行深度的识别。如果用户希望网络安全设备具备针对应用层的风险防护能力且能够对互联网出口的流量应用进行精细化的管理控制，DPI技术的能很好的满足客户的需求

现有的应用层协议识别技术也有使用了DPI技术，但是功能比较单一，或是不支持多特征；或是支持但是支持不够理想，当多种协议的特征相近,特征关键字相，位置顺序不同，这些情况容易产生误识别。

发明内容

为此，本发明提供一种基于DPI的应用层协议识别方法及系统，以解决现有应用层协议识别功能单一、不支持多特征、易出现误识别的问题。

为了实现上述目的，本发明提供如下技术方案：

根据本发明的第一方面，公开了一种基于DPI的应用层协议识别方法，所述方法为：导入应用特征库文件，基于Hyperscan框架，将ASCII特征关键字预编译到Hyperscan框架中，同时为每个特征关键字生成唯一的从零开始的正整数ID，对应用特征库文件解析后进行应用特征预编译；

导入应用规则列表文件，解析应用规则列表文件，读取每条列表，获取列表中每段应用特征结点的信息并生成规则树。

进一步地，所述应用特征库文件进行解析，获取每个PATTERN的ASCII特征关键字和生成的特征ID，预编译到Hyperscan框架中，同时把PATTERN存储到可变长数组中，以ID为数组下标，便于查找。

进一步地，所述应用规则列表包括应用协议结点和应用特征结点，所述应用特征结点为规则列表的结点，包含唯一ID、唯一名称和特征关键字，所述应用协议的结点包含唯一协议号PID，等级LEVEL。

进一步地，所述应用协议结点后依次对应多个特征结点，先生成规则树根结点，再获取特征结点，将特征结点转换为PATTERN的特征ID值，通过特征ID值给数组下标进行赋值。

进一步地，所述规则树生成过程中，树由数组的方式存储，通过idx表示规则树结点在数组中的下标，通过idxs[]表示子结点的下标列表，通过PID表示应用协议号，应用规则列表中最后一个应用特征结点生成的规则树结点大于等于零时有效，为-1时则为无效。

根据本发明的第二方面，公开了一种基于DPI的应用层协议识别系统，所述系统包括：应用特征提取模块、应用特征匹配模块、应用特征检测模块和应用规则匹配模块。

进一步地，所述特征提取模块对应用特征库中的特征关键字进行提取，提取后发送至应用特征匹配模块。