[发明专利]一种用于网络数据流识别的协议特征库维护使用方法

摘要

一种用于网络数据流识别的协议特征库维护使用方法，其特征在于利用Lua语言描述协议特征库，业务识别系统的业务线程获取网络数据包，识别网络数据流量，所述业务线程包括业务线程0和其他业务线程；协议特征库支持两个实例，分别记为特征库实例0和特征库实例1，每个业务线程保持一个特征库实例的句柄；业务线程特征匹配时，使用对应的特征库实例进行匹配；协议特征库更新时，利用信号通知方式重新加载协议特征库。本发明利用运行时动态加载的方式实现应用协议特征库的升级，对于日益增多和变化的应用协议可以基本做到实时跟进，从而达到对各种应用协议的准确判断。

主权项

一种用于网络数据流识别的协议特征库维护使用方法，其特征在于：利用Lua语言描述协议特征库，业务识别系统的业务线程获取网络数据包，识别网络数据流量，所述业务线程包括业务线程0和其他业务线程；协议特征库支持两个实例，分别记为特征库实例0和特征库实例1，每个业务线程保持一个特征库实例的句柄；业务线程特征匹配时，使用对应的特征库实例进行匹配；系统进程的处理方式如下，首先，系统进程启动并加载协议特征库，同时保存协议特征库的修改时间；每个业务线程都使用特征库实例0，特征库实例1空闲；业务线程0维护一个数值consist_num，标识当前和业务线程0使用相同特征库实例的线程数目，启动时consist_num为业务线程总数目；然后，系统进程注册SIGHUP信号处理程序，启动所有业务线程，其中SIGHUP是自定义的信号名称，用于在协议特征库更新后通知重新加载协议特征库；SIGHUP信号处理程序捕获到SIGHUP信号后，设置g_reload_cfg_flag标志，其中g_reload_cfg_flag是自定义的标志名称，用于标识是否重新加载协议特征库；业务线程周期性的进行心跳检查，在业务线程0心跳检查时，若g_reload_cfg_flag标志被设置并且协议特征库的修改时间与保存的不一样，而且consist_num等于业务线程总数目，则进行如下操作，更新协议特征库修改时间；设置consist_num为1；重新加载协议特征库到空闲的特征库实例中；将业务线程0的特征库句柄切换到空闲的特征库实例；通知其他业务线程重新加载协议特征库，包括发出“重新加载特征库消息”；其它业务线程心跳检查时不做处理，收到“重新加载特征库消息”后，才将特征库句柄切换到空闲的特征库实例，并通知业务线程0“特征库重新加载完毕”；业务线程0收到其它业务线程发送来的“特征库重新加载完毕”的消息后，累加consist_num，当consist_num等于业务线程数目时，所有的业务线程都已经切换到新的协议特征库了，此时业务线程0释放空闲的特征库实例；重新加载协议特征库完成，其它线程将网络数据流与协议特征库进行匹配，判定该网络流所属的协议类型。