[发明专利]一种反病毒文件检测方法、装置及网络设备

摘要

本发明实施例公开了一种反病毒文件检测方法、装置及网络设备，该方法包括接收数据包，判断所述数据包所属数据流承载的第一文件是否为可移植可执行文件类型，若为可移植可执行文件类型，则按照预置的第一检测规则，对所述数据包的载荷内容进行反病毒文件检测，得到第一检出结果，并对第一检出结果进行相应处理。本发明实施例提供的反病毒文件检测方法，可有效降低网络所传输的数据进行反病毒文件检测时网络时延，提高反病毒检测性能。

主权项

一种反病毒文件检测方法，其特征在于，包括：接收数据包；判断所述数据包所属数据流承载的第一文件是否为可移植可执行文件类型；若为可移植可执行文件类型，则按照预置的第一检测规则，对所述数据包的载荷内容进行反病毒文件检测，得到第一检出结果，其中，所述第一检测规则包括利用文件片段的特征标识作为检测手段，所述特征标识包括：文件片段的哈希值和特征码；若第一检出结果指示所述数据包的载荷内容符合病毒文件的特征，则将所述数据包告警或者阻断；若第一检出结果指示所述数据包的载荷内容符合正常文件的特征，则传输所述数据包；若第一检出结果指示未知或继续检测，则缓存所述数据包的载荷内容以及所述数据流的后续数据包的载荷内容，得到完整的第一文件，按照预置的第二检测规则对所述完整的第一文件进行反病毒文件检测，得到第二检出结果；所述缓存所述数据包的载荷内容，包括：检测缓存资源占用量是否超过缓存阈值；若超过缓存阈值，释放当前已缓存的部分第一文件所占用的存储资源；若释放当前已缓存的部分第一文件所占用的存储资源后，所述缓存资源占用量仍超过缓存阈值，则对新接收到的数据包，按照所述第一检测规则，对所述新接收到的数据包的载荷内容进行反病毒文件检测，所述新接收到的数据包为所述数据流的后续数据包，或者用以承载第二文件的数据流中的数据包；若未超过缓存阈值，则缓存所述数据包的载荷内容。