[发明专利]一种面向IPv4和IPv6的网络病毒检测方法及系统

摘要

本发明提供一种面向IPv4和IPv6的网络病毒检测方法及系统，方法包括：捕获网络数据包；对使用IPv4协议或IPv6协议的数据包分别进行网络层和IP层协议识别；将具有相同TCP四元组的数据包重组；对数据流的应用层协议识别，将数据流中数据包顺序重新排列，还原为文件的正确排列顺序；对使用IPv4协议或IPv6协议的数据流进行协议解析，跟据协议解析结果，将包含文件传输行为的数据流还原为文件；将数据流发送到检测引擎进行网络病毒检测，并生成检测报告；将检测报告提供给外部处理程序。本发明还提供了一种面向IPv4和IPv6的网络病毒检测系统，通过本发明的方法及系统，有效解决了现行IPv4向IPv6迁移过程中网络安全难以监控的问题。

主权项

一种面向IPv4和IPv6的网络病毒检测方法，其特征在于，包括：捕获网络数据包；进行网络层协议识别，判断数据包IP地址协议，若数据包使用IPv4协议，则进行IPv4网络层协议识别，若数据包使用IPv6协议，则进行IPv6网络层协议识别；根据数据包所使用的协议类型进行IP协议解码，获取数据包的TCP四元组，若数据包使用IPv4协议，则使用IPv4IP层解码，若数据包使用IPv6协议，则使用IPv6IP层解码；将具有相同TCP四元组的数据包重组，使离散的数据包汇聚成数据流；对各数据流的应用层协议进行识别，识别出发生文件传输行为的应用层协议；根据应用层协议识别结果，将数据流中数据包顺序重新排列，还原为数据包的正确排列顺序；对数据流进行协议解析，根据协议栈，判断数据流所使用的协议类型，若为IPv4协议，则使用IPv4协议解析，若为IPv6协议，则使用IPv6协议解析；根据协议解析结果，对包含文件传输行为的数据流还原为文件，对非文件传输行为的数据流不作处理；根据数据包的内容类型，将数据包发送到预设的对应检测引擎进行网络病毒检测，并生成检测报告；将检测报告发送给外部处理程序。