[发明专利]一种基于流量学习的白名单生成方法、装置和系统

权利要求书

1.一种基于流量学习的白名单生成方法，其特征在于，包括：

持续接收各个第一设备发送的第一数据流报文，其中，每接收到一个所述第一数据流报文，执行以下操作：根据预设的解析规则，对所述第一数据流报文进行解析，获得所述第一数据流报文的第一目标解析结果，以及根据指定的协议规范和所述第一目标解析结果，判定所述第一数据流报文为合法报文时，将预设的模板标识至少与所述第一目标解析结果进行关联保存；

在确定满足预设的触发条件时，获取对应所述模板标识保存的各个第一目标解析结果；

将获得的各个第一目标解析结果添加至所述模板标识对应的模板中，获得白名单。

2.如权利要求1所述的方法，其特征在于，根据预设解析规则，对所述第一数据流报文进行解析，获得所述第一数据流报文的第一目标解析结果，包括：

基于预设的第一协议栈解析规则，对所述第一数据流报文进行数据链路层解析，获得第一解析结果，其中，所述第一解析结果至少包括源媒体访问控制MAC地址、目的媒体访问控制MAC地址；

基于针对数据链路层预设的第二协议栈解析规则，对经过数据链路层解析的所述第一数据流报文进行网络层解析，获得第二解析结果，其中，所述第二解析结果至少包括源互联网通讯协议IP地址、目的互联网通讯协议IP地址；

基于针对网络层预设的第三协议栈解析规则，对经过网络层解析的所述第一数据流报文进行传输层解析，获得第三解析结果，其中，所述第三解析结果至少包括源端口号和目的端口号；

基于所述第三解析结果，确定所述第一数据流报文所属的应用层协议，以及基于针对应用层预先配置的深度解析规则，进行应用层解析，获得第四解析结果，其中，所述第四解析结果至少包括操作指令；

基于所述第一解析结果、所述第二解析结果、所述第三解析结果和所述第四解析结果，获得相应的所述第一目标解析结果。

3.如权利要求1所述的方法，其特征在于，根据指定的协议规范和所述第一目标解析结果，判定所述第一数据流报文是否为合法报文，包括：

基于指定的所述协议规范和所述第一目标解析结果，判断所述第一目标解析结果包含的各个字段的取值，与所述协议规范中对应的字段的取值是否一致，若是，则判定所述第一数据流报文为合法报文，否则，判定所述第一数据流报文为非法报文。

4.如权利要求3所述的方法，其特征在于，根据指定的协议规范和所述第一目标解析结果，判定所述第一数据流报文为非法报文，执行以下操作：

停止执行所述第一数据流报文的传输，并基于所述第一数据流报文的第二解析结果，生成告警信息。

5.如权利要求1-4任一项所述的方法，其特征在于，所述预设的触发条件，包括：

持续接收各个第一设备发送的所述第一数据流报文的持续时长达到设定阈值；或者，

接收到停止接收所述第一数据流报文的指示信息。

6.如权利要求1-4任一项所述的方法，其特征在于，将获得的各个第一目标解析结果添加至所述模板标识对应的模板中，获得白名单，包括：

获取所述模板标识对应的模板，确定所述模板中包括的各个待添加字段，将对应的各个第一目标解析结果添加至所述模板中，获得白名单。

7.如权利要求1-4任一项所述的方法，其特征在于，获得所述白名单，还包括：

在接收到第二设备发送的第二数据流报文时，根据预设的解析规则，对所述第二数据流报文进行解析，获得所述第二数据流报文的第二目标解析结果；

判断所述第二目标解析结果与所述白名单包含的内容是否匹配；

若是，则将所述第二数据流报文进行转发；

否则，将所述第二数据流报文进行阻断，并生成相应的告警信息。