[发明专利]数据检测方法、装置及电子设备

权利要求书

1.一种数据检测方法，其特征在于，应用于电子设备，所述方法包括：

获取待检测数据包的集合；

根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；

根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；

根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；

根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。

2.根据权利要求1所述的方法，其特征在于，所述电子设备预存一威胁等级表，所述等级表中记录有数据包不同的通信特征信息对应威胁等级；所述根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级的步骤，包括：

获取所述第一样本集中各待检测数据包的通信特征信息，所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息；

根据所述威胁等级表及所述第一样本集中各待检测数据包的通信特征信息，查找确定所述第一样本集中各待检测数据包对应的威胁等级。

3.根据权利要求1所述的方法，其特征在于，所述获取待检测数据包的集合的步骤，包括：

根据数据包的通信特征信息，获取属于同一数据流的数据包组成所述待检测数据包的集合；所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息中的一项或多项。

4.根据权利要求1所述的方法，其特征在于，所述根据所述第一样本集中的待检测数据包的威胁等级，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集的步骤之后，所述方法还包括：

根据所述第二样本集中各待检测数据包的数据包类型、发送时间及通信特征中的一项或多项，采用相似度检测模型从所述第一样本集中获取与所述第二样本集中各待检测数据包类型相同的相似数据包加入所述第二样本。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

响应于用户的配置操作，获取用户配置的所述第一抽样方式及第二抽样方式。

6.一种数据检测装置，其特征在于，所述装置包括获取模块、第一抽样模块、第二抽样模块、第一检测模块和第二检测模块：

所述获取模块，用于获取待检测数据包的集合；

所述第一抽样模块，用于根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；

所述第一检测模块，用于根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；

所述第二抽样模块，用于根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；

所述第二检测模块，用于根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。

7.根据权利要求6所述的数据检测装置，其特征在于，所述第一检测模块，具体用于：

获取所述第一样本集中各待检测数据包的通信特征信息，所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息；

根据所述威胁等级表及所述第一样本集中各待检测数据包的通信特征信息，查找确定所述第一样本集中各待检测数据包对应的威胁等级。