[发明专利]一种报文检测方法、装置、设备及存储介质

权利要求书

1.一种报文检测方法，其特征在于，包括：

根据预设的至少一个文件类型，将用于检测报文体的特征集合通过AC算法生成第一AC树和至少一个第二AC树，一个第二AC树对应唯一的文件类型；

获取待检测报文的报文体；

判断所述报文体是否属于所述至少一个文件类型；

若是，则基于所述报文体的文件类型对应的第二AC树对所述报文体进行检测；若否，则基于所述第一AC树对所述报文体进行检测。

2.根据权利要求1所述的方法，其特征在于，所述根据预设的至少一个文件类型，将用于检测报文体的特征集合通过AC算法生成第一AC树和至少一个第二AC树，包括：

针对每一个文件类型，从用于检测报文体的特征集合中确定该文件类型对应的特征串；

根据该文件类型对应的特征串，通过AC算法生成该文件类型对应的第二AC树；

生成各个文件类型对应的第二AC树之后，将所述特征集合中剩余的特征串，通过AC算法生成第一AC树。

3.根据权利要求1或2所述的方法，其特征在于，所述根据预设的至少一个文件类型，将用于检测报文体的特征集合通过AC算法生成第一AC树和至少一个第二AC树之后，还包括：

根据AC树中状态节点的数量，确定所述第一AC树和所述至少一个第二AC树中每个AC树的内存分配方式，以在报文检测时根据所需AC树的内存分配方式对AC树进行内存分配。

4.根据权利要求3所述的方法，其特征在于，所述根据AC树中状态节点的数量，确定所述第一AC树和所述至少一个第二AC树中每个AC树的内存分配方式，并按照所述内存分配方式进行内存分配，包括：

当AC树的状态节点数量在第一范围内时，采用第一数据类型形式的全矩阵存储方式进行内存分配；

当AC树的状态节点数量在第二范围内时，采用第二数据类型形式的全矩阵存储方式进行内存分配；

当AC树的状态节点数量在第三范围内时，采用第三数据类型形式的全矩阵存储方式进行内存分配。

5.根据权利要求1或2所述的方法，其特征在于，所述文件类型包括可执行文件、图片文件、文档文件、浏览器相关文件、脚本文件和媒体文件中的至少一项。

6.一种报文检测装置，其特征在于，包括：

AC树生成模块，用于根据预设的至少一个文件类型，将用于检测报文体的特征集合通过AC算法生成第一AC树和至少一个第二AC树，一个第二AC树对应唯一的文件类型；

获取模块，用于获取待检测报文的报文体；

检测模块，用于判断所述报文体是否属于所述至少一个文件类型；若是，则基于所述报文体的文件类型对应的第二AC树对所述报文体进行检测；若否，则基于所述第一AC树对所述报文体进行检测。

7.根据权利要求6所述的装置，其特征在于，所述AC树生成模块，具体用于：

针对每一个文件类型，从用于检测报文体的特征集合中确定该文件类型对应的特征串；

根据该文件类型对应的特征串，通过AC算法生成该文件类型对应的第二AC树；

生成各个文件类型对应的第二AC树之后，将所述特征集合中剩余的特征串，通过AC算法生成第一AC树。

8.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

内存分配模块，用于在所述AC树生成模块根据预设的至少一个文件类型，将用于检测报文体的特征集合通过AC算法生成第一AC树和至少一个第二AC树之后，根据AC树中状态节点的数量，确定所述第一AC树和所述至少一个第二AC树中每个AC树的内存分配方式，以在报文检测时根据所需AC树的内存分配方式对AC树进行内存分配。