CN111526134B - 一种报文检测系统、方法及装置 - Google Patents

Abstract

本说明书公开了一种报文检测系统、方法以及装置，系统针对接收到的待检测报文，可根据检测规则对应的检测字符串长度，将待检测报文拆分为若干子报文，使得三态内容可寻址存储器可针对各子报文以及自身存储的检测规则，进行检测规则的匹配，快速得到匹配结果，最后根据匹配结果以及待检测报文，确定检测结果。利用三态内容可寻址存储器可以快速寻址的特性，将检测规则对应的检测字符串长度作为地址长度，将待检测报文拆分为该地址长度的若干子报文，使通过三态内容可寻址存储器可以快速进行匹配，再根据匹配结果确定检测结果。避免了检测规则的频繁调用，减少了传输数据的压力，同时又保证了检测的速度，提高了报文检测的效率。

Description

一种报文检测系统、方法及装置

技术领域

本申请涉及信息技术领域，尤其涉及一种报文检测系统、方法以及装置。

背景技术

报文(message)是网络中进行数据传输时交换与传输的数据单元。设备在接收到报文后，为了保证网络安全或者系统安全，通常需要对报文进行检测。当检测出报文中存在敏感内容或者病毒特征时，可以对报文进行删除、丢弃等处理。

目前，随着技术的发展，高传输速度的网络环境对报文检测的提出了更高的要求，报文检测压力越来越大。在现有技术中，常用的几种报文检测方案中，通过专用集成电路进行报文检测，由于检测规则固化在电路内，导致检测规则不能灵活变化，难以适应当前快速变化的网络信息，而利用现场可编程逻辑门阵列(Field-Programmable Gate Array，FPGA)芯片进行报文检测的方案中，若利用FPGA内部资源存储检测规则，由于检测规则较多导致使用成本增加，而若利用外部存储设备存储检测规则，如，利用硬盘、双倍速率同步动态随机存储器(Double Data Rate SDRAM，DDR)存储检测规则，则FPGA与存储设备之间的接口又会限制性能。

发明内容

本说明书实施例提供的一种报文检测、方法及装置，用于部分解决现有技术中存在的问题。

本说明书实施例采用下述技术方案：

本说明书提供的报文检测系统，所述系统包括：数据拆分芯片、数据处理芯片以及三态内容可寻址存储器，其中：

所述数据拆分芯片，获取待检测报文，根据预设的检测规则对应的检测字符串长度，将所述待检测报文拆分为若干子报文，确定携带有拆分出的子报文的查询命令，将所述查询命令发送至所述三态内容可寻址存储器；以及，将所述待检测报文以及各子报文发送至所述数据处理芯片；

所述三态内容可寻址存储器，根据接收到的查询命令，查询是否存在与所述预设的检测规则匹配的子报文，并将匹配结果发送至所述数据处理芯片；

所述数据处理芯片，根据所述数据拆分芯片发送的所述待检测报文以及所述三态内容可寻址存储器发送的匹配结果，确定所述待检测报文的检测结果。

可选地，所述数据拆分芯片，根据所述检测规则中目标字符串的长度，确定重叠字符串的长度，按照所述待检测报文的字符顺序，根据所述检测字符串的长度以及所述重叠字符串的长度，将所述报文拆分为若干子报文，其中，连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在所述重叠字符串长度的相同字符串。

可选地，所述检测规则由若干检测条件构成，每条检测条件为由所述组检测规则对应的目标字符串以及掩码构成的长度为所述检测字符串长度的字符串组成；按照目标字符串在各检测条件中的位置，确定所述检测规则中各检测条件的排列顺序，使所述检测规则中相邻的检测条件的目标字符串的位置相差一个字符。

可选地，所述三态内容可寻址存储器中存储多组检测规则的集合，并且各组检测规则在所述三态内容可寻址存储器中的存储地址连续；所述三态内容可寻址存储器针对接收到的查询请求中包含的每个子报文，将该子报文与各检测条件匹配，确定匹配结果。

可选地，所述三态内容可寻址存储器在存储检测规则的集合后，将各组检测规则的首地址发送至所述数据处理芯片；

当匹配成功时，确定匹配的子报文以及检测条件，将确定出子报文、确定出检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

可选地，当匹配成功时，当匹配成功时，所述数据处理芯片，根据接收到的匹配结果、所述待检测报文以及各子报文，确定所述待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将所述目标字符串的内容以及所述命中位置作为检测结果。

可选地，所述系统还包括：所述系统还包括：第一至第三缓存器、接口以及规则更新芯片，所述第一缓存器与所述接口以及所述数据拆分芯片连接，所述第二缓存器与所述接口以及所述数据处理芯片连接，所述第三缓存器与所述接口以及所述规则更新芯片连接，所述规则更新芯片与所述三态内容可寻址存储器连接，所述接口与后端设备连接，其中：

所述第一缓存器，通过所述接口接收所述待检测报文并存储；

所述数据拆分芯片，当监测到所述第一缓存器非空时，从所述第一缓存器获取所述待检测报文；

所述第二缓存器，接收并存储所述数据处理芯片确定出的检测结果以及所述待检测报文，当通过所述接口接收到后端设备发送的获取请求时，将存储的所述检测结果以及所述待检测报文发送给后端设备；

所述第三缓存器，通过所述接口接收所述检测规则并存储；

所述规则更新芯片，当监测到所述第三缓存器非空时，将所述第三缓存器存储的所述检测规则发送至所述三态内容可寻址存储器；

所述三态内容可寻址存储器，根据所述规则更新芯片发送的检测规则，更新本地存储的检测规则。

可选地，所述系统还包括：第四缓存器，所述第四缓存器与所述数据拆分芯片以及所述数据处理芯片连接；

所述四缓存器，接收所述数据拆分芯片发送的所述待检测报文，并根据所述数据处理芯片的获取请求，将所述待检测报文提供给所述数据处理芯片。

本说明书提供的报文检测方法，包括：

获取待检测报文；

根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文；

根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果；

根据所述待检测报文以及所述匹配结果，确定所述待检测报文的检测结果。

可选地，根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文，具体包括：

根据所述检测规则中目标字符串的长度，确定重叠字符串的长度；

按照所述待检测报文的字符顺序，根据所述检测字符串的长度以及所述重叠字符串的长度，将所述报文拆分为若干子报文；

其中，连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在所述重叠字符串长度的相同字符串。

可选地，所述检测规则由若干检测条件构成，每条检测条件为由所述组检测规则对应的目标字符串以及掩码构成的长度为所述检测字符串长度的字符串组成；按照目标字符串在各检测条件中的位置，确定所述检测规则中各检测条件的排列顺序，使所述检测规则中相邻的检测条件的目标字符串的位置相差一个字符。

可选地，所述三态内容可寻址存储器中存储多组检测规则的集合，并且各组检测规则在所述三态内容可寻址存储器中的存储地址连续；

通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果，具体包括：

通过所述三态内容可寻址存储器，针对拆分得到的每个子报文，将该子报文与各检测条件匹配，确定匹配结果。

可选地，确定匹配结果，具体包括：

当匹配成功时，确定匹配的子报文以及检测条件；

将确定出子报文、确定出检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

可选地，根据所述待检测报文、各子报文以及所述匹配结果，确定所述待检测报文的检测结果，具体包括：

当匹配成功时，根据所述匹配结果、所述待检测报文以及各子报文，确定所述待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将所述目标字符串内容以及所述命中位置作为检测结果。

本说明书提供的报文检测装置，包括：

获取模块，获取待检测报文；

拆分模块，根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文；

匹配模块，根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果；

检测模块，根据所述待检测报文、各子报文以及所述匹配结果所述匹配结果，确定所述待检测报文的检测结果。

本说明书提供的计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述任一所述的方法。

本说明书实施例采用的上述至少一个技术方案能够达到以下有益效果：

系统针对接收到的待检测报文，可根据检测规则对应的检测字符串长度，将待检测报文拆分为若干子报文，使得三态内容可寻址存储器可针对各子报文以及自身存储的检测规则，进行检测规则的匹配，由于三态内容可寻址存储器的特性使得各子报文的匹配可同时进行，快速得到匹配结果，最后根据匹配结果以及待检测报文，确定检测结果。利用三态内容可寻址存储器可以快速寻址的特性，将检测规则对应的检测字符串长度作为地址长度，将待检测报文拆分为该地址长度的若干子报文，使通过三态内容可寻址存储器可以快速进行匹配，再根据匹配结果确定检测结果。避免了检测规则的频繁调用，减少了传输数据的压力，同时又保证了检测的速度，提高了报文检测的效率。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本说明书实施例提供的报文检测系统结构示意图；

图2为本说明书实施例提供的报文检测系统结构示意图；

图3为本说明书实施例提供的报文检测系统结构示意图；

图4为本说明书实施例提供的报文检测流程示意图；

图5为本说明书实施例提供的报文检测装置的结构示意图。

具体实施方式

为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为本说明书实施例提供的报文检测系统示意图，该系统包括：数据拆分芯片100、数据处理芯片102以及三态内容可寻址存储器104，上述三个部件之间互相相连，并可传输数据，该报文检测系统在网络拓扑中可位于防护墙与路由器之间，用于对接收到的报文进行检测。当然，只要是有对大量报文进行检测需求的场景，都可以应用本说明提供的报文检测系统进行报文检测，并且具体需要检测的内容也可根据需要设置，本说明书对应用场景以及检测内容军不做限定。当然，为了方便说明本说明书，以该报文检测系统位于防护墙与路由器之间，对报文进行敏感词检测为例进行后续说明。

在本说明书提供的报文检测系统中：

数据拆分芯片100，配置为用于获取待检测报文，并根据预设的检测规则对应的检测字符串长度，将该待检测报文拆分为若干子报文，确定携带有拆分出的子报文的查询命令，将该查询命令发送至该三态内容可寻址存储器104。以及，将该待检测报文以及各子报文发送至该数据处理芯片102。

三态内容可寻址存储器104，配置为用于根据接收到的查询命令，查询是否存在与该预设的检测规则匹配的子报文，并将匹配结果发送至该数据处理芯片102。

数据处理芯片102，配置为用于根据该数据拆分芯片100发送的该待检测报文以及该三态内容可寻址存储器104发送的匹配结果，确定该待检测报文的检测结果。

具体的，该系统中数据拆分芯片100和数据处处理芯片102可以是设置于处理器中的不同功能模块，或者独立的数据处理芯片，本说明书不做限定。为方便描述，后续以该数据拆分芯片100和数据处处理芯片102为现场可编程逻辑门阵列(Field ProgrammableGate Array，FPGA)芯片中的功能模块为例进行说明。该三态内容可寻址存储器104具体是基于0、1以及don’t care这三种状态进行内容寻址的存储器。在本说明书中，只要是利用三态内容可寻址存储器(Ternary Content Addressable Memory，TCAM)技术的存储设备，均可以应用在本说明提供的报文检测系统中，作为三态内容可寻址存储器104。

首先，在进行报文检测时，数据拆分芯片100可接收防火墙传输的待检测报文。

其次，由于在本说明书提供的系统中，系统利用三态内容可寻址存储器104 快速高并发寻址的特性，对报文进行检测，因此报文检测的检测规则需预先转换为符合三态内容可寻址存储器104寻址规则的检测规则。并且，对于待检测报文，也需要进行相应的处理，使三态内容可寻址存储器104可根据检测规则对待检测报文进行匹配。

例如，假设要检测的敏感词字符串为ABCD，三态内容可寻址存储器104 检测的地址长度为n位，则可预先构建检测规则，如表1所示。由于敏感词可能出现在报文中的任意位置，因此该检测规则可由多个检测条件组成，且每个检测条件对应的检测字符串长度为n位。

条件标识	检测条件
		条件1	ABCD*……*
条件2	*ABCD*……*
		……	……
条件n-1	*……*ABCD*
		条件n	*……*ABCD

表1

表1可见若干包含敏感词“ABCD”的检测条件，检测规则均为对敏感词“ABCD”的检测。其中，“ABCD”表示目标字符串，符号“*”表示掩码，即通常所说的三态寻址中“don’tcare”态。并且，在该检测规则中各检测条件按照目标字符串的位置顺序排序，如表1中所示的检测规则中相邻的检测条件的目标字符串的位置相差一个字符。按顺序排序主要为了方便后续命中检测条件后，快速确定敏感词在待检测报文中的位置。

而由于通常三态内容可寻址存储器104是用于网际互连协议(InternetProtocol，IP)寻址的，而IP地址的长度是有限的，且通常远小于报文的长度。即，表1中的规则内容可视为是寻址的规则，其长度n是有限的。于是，在本说明书中，为了使三态内容可寻址存储器104可根据检测规则对待检测报文进行匹配，该数据拆分芯片100在接收到待检测报文后，可根据预设的检测规则对应的检测字符串长度，将该待检测报文拆分为若干子报文，并确定携带有拆分出的子报文的查询命令。

另外，由于对报文进行了拆分，因此可能出现敏感词被拆分至两个子报文的情况。继续沿用上栗，假设待检测报文的字符串中存储在敏感词ABCD，即，“……ABCD……”，根据检测规则对应的检测字符串长度拆分后，得到的子报文包括“……ABC”以及“D……”，由于敏感词被切分导致后续针对子报文检测时可能匹配不到敏感词。于是，在本说明书中，该数据拆分芯片100在拆分待检测报文时，可根据检测规则中目标字符串的长度，确定重叠字符串长度。其中，目标字符串即为检测规则需要检测的敏感词对应的字符串，重叠字符串的长度比目标字符串的长度少一个字符。再按照该待检测报文的字符顺序，以该检测规则对应的检测字符串长度为步长，以该重叠字符串的长度为相邻的两个字符串中重复字符串的长度，将该报文拆分为若干子报文，使连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在该重叠字符串长度的相同字符串。

例如，继续假设敏感词为ABCD，也就是目标字符串的长度为4个字符，则可确定重叠字符串的长度为3个字符。并且，检测字符串的长度为10个字符，则数据拆分芯片100可将待检测报文中第1～10个字符拆分为第一个子报文，将第7～17个字符拆分为第二个子报文，依次类推直到将待检测报文拆分完毕为止。

之后，数据拆分芯片100在拆分得到各子报文之后，便可确定携带有拆分出的子报文的查询命令，并将查询命令发送至三态内容可寻址存储器104。当然，由于三态内容可寻址存储器104仅用于根据预设的检测规则，确定查询命令中携带的子报文是否命中任一检测条件，并返回匹配结果，而根据匹配结果确定检测结果的是数据处理芯片102，因此该数据拆分芯片100还可将待检测报文发送至数据处理芯片102，使数据处理芯片102可在接收到三态内容可寻址存储器104返回的匹配结果后，可根据待检测报文和匹配结果确定检测结果。

然后，该三态内容可寻址存储器104可接收查询请求，并根据该查询请求，查询是否存在与预设的检测规则匹配的子报文，并将匹配结果发送至数据处理芯片102。

其中，由于实际在进行敏感词检测时，通常不会只对一个敏感词进行匹配，因此在该三态内容可寻址存储器104中可预先存储有多个检测规则。并且，在该三态内容可寻址存储器104中各检测规则的存储地址连续。当该三态内容可寻址存储器104确定存在与子报文匹配的检测条件时，确定匹配的子报文以及检测条件，并将确定出的子报文、确定出的检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

当该三态内容可寻址存储器104确定不存在与子报文匹配的检测条件时，将未匹配到检测条件作为匹配结果。

最后，该数据处理芯片102可接收该匹配结果，当匹配结果为确定出的子报文、确定出的检测条件所属的检测规则的首地址以及检测条件的偏移地址时，可通过该首地址可以确定匹配的检测规则，也就是命中了哪个敏感词，通过该偏移地址可以确定具体是子报文中哪几位命中了敏感词，并且根据该子报文可进一步确定敏感词在待检测报文中的位置。具体的，该数据处理芯片102可根据匹配结果中包含的子报文、首地址以及偏移地址，确定该待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将该目标字符串的内容以及该命中位置作为检测结果。

当该匹配结果为未匹配到检测条件时，该数据处理芯片102可确定检测结果为正常，并按照正常的报文处理流程，将待检测报文发送至后端路由器。

另外，在本说明书中，该数据处理芯片102在确定检测结果为该目标字符串的内容以及在待检测报文中的命中位置时，可根据预设的报文处理流程，确定如何处理待检测报文。例如，丢弃待检测报文，或者按照命中的检测规则，将待检测报文发送至与该检测规则对应的指定端口，等等。

当然，这一处理过程也可由后端的路由器执行，本说明书提供的系统可以仅进行报文检测，并将检测结果以及待检测报文一并发送至后端设备，并由后端设备执行报文处理流程，本说明书对此不做限定。

进一步地，在本说明书中该检测规则可预设在三态内容可寻址存储器104 中，而接收待检测报文的数据拆分芯片100，则需要预先配置检测规则对应的检测字符串长度，以便对待检测报文进行处理。而由于三态内容可寻址存储器 104的逻辑是固定的，因此无论是检测内容是什么检测规则对应的检测字符串长度是固定的。

更进一步地，在本说明书中，由于检测规则包含的检测条件，受到目标字符串的长度影响，目标字符串的长度越长，则检测条件越多，以保证任何位置出现的敏感词(即，目标字符串)都可以被匹配到。但是，为了减少检测规则的数量，提高检测效率。在本说明书中，针对每种检测规则，无论该检测规则的目标字符串长度为多少，可仅配置指定数量的检测条件。并仍保持各检测条件在检测规则中的排列顺序，通过增加待检测报文划分出的子报文的方式，满足对待检测报文整体的检测。

例如，假设表1所示的检测规则中，由于数量限制，三态内容可寻址存储器104中存储的检测规则不包含检测条件“*……*ABCD”，则数据拆分芯片 100在将待检测报文拆分时，可对待检测报文后续补位。补位的数量与删除的检测条件数量一致，则通过检测条件“*……*ABCD*”也可对待检测报文中所有字符进行检测。

当然，由于三态内容可寻址存储器104中存储有多个检测规则，因此可根据各检测规则删除的检测条件的数量的，确定删除数量最多的检测规则，并按照该检测规则删除的数量，确定补位的数量。

基于图1所示的报文检测系统，该系统针对接收到的待检测报文，可根据检测规则对应的检测字符串长度，将待检测报文拆分为若干子报文，使得三态内容可寻址存储器可针对各子报文以及自身存储的检测规则，进行检测规则的匹配，由于三态内容可寻址存储器的特性使得各子报文的匹配可同时进行，快速得到匹配结果，最后根据匹配结果以及待检测报文，确定检测结果。利用三态内容可寻址存储器可以快速寻址的特性，将检测规则对应的检测字符串长度作为地址长度，将待检测报文拆分为该地址长度的若干子报文，使通过三态内容可寻址存储器可以快速进行匹配，再根据匹配结果确定检测结果。避免了检测规则的频繁调用，减少了传输数据的压力，同时又保证了检测的速度，提高了报文检测的效率。

另外，在本说明书中，该待检测报文的长度也可能小于检测字符串长度，因此该数据拆分芯片100在接收到待检测报文后，可对接收到的待检测报文，判断该报文的长度是否大于检测规则对应的检测字符串长度，若是，则根据预设的检测规则对应的检测字符串长度，将该待检测报文拆分为若干子报文，并确定携带有拆分出的子报文的查询命令，若否，则根据待检测报文确定查询命令。

进一步地，在本说明书中，该报文检测系统还可包括：第一缓存器106、第二缓存器108至第三缓存器110、接口112以及规则更新芯片114。其中，该第一缓存器106与该接口112以及该数据拆分芯片100连接，该第二缓存器 108与该接口112以及该数据处理芯片104连接，该第三缓存器110与该接口 112以及该规则更新芯片114连接，该规则更新芯片114与该三态内容可寻址存储器104连接，该接口112与后端设备连接，如与路由器连接，如图2所示。

具体的，该第一缓存器106，配置为用于通过该接口112接收该待检测报文并存储。

该数据拆分芯片100，配置为用于当监测到该第一缓存器106非空时，从该第一缓存器106获取该待检测报文。

该第二缓存器108，配置为用于接收并存储该数据处理芯片102确定出的检测结果以及该待检测报文，当通过该接口112接收到后端设备发送的获取请求时，将存储的该检测结果以及该待检测报文发送给后端设备。

该第三缓存器110，配置为用于通过该接口112接收检测规则并存储。

该规则更新芯片114，配置为用于当监测到该第三缓存器110非空时，将该第三缓存器110存储的该检测规则发送至该三态内容可寻址存储器104。

该三态内容可寻址存储器104，配置为用于根据该规则更新芯片114发送的检测规则，更新本地存储的检测规则。

在本说明书中，该系统在上电后，可先根据配置文件配置该接口112，使其满足接收发送报文的要求，使PFGA芯片实现I/O接口物理层功能。并且，也可配置三态内容可寻址存储器104内部的存储器，使其满足数据接收、发送以及寻址的要求。上述过程可视为是系统的初始化过程。

在本说明书中，上述第一缓存器106、第二缓存器108至第三缓存器110 均可为先进先出存储器(First Input First Output，FIFO)。该规则更新芯片114，在确定该第三缓存器110非空时，获取第三缓存器110存储的数据，并进行解码，按照三态内容可寻址存储器104中存储的检测规则的包含的检测条件数量上限，确定如表1所示的检测规则并发送至三态内容可寻址存储器104。

该三态内容可寻址存储器104，在接收到规则更新芯片114发送的检测规则后，可判断该检测规则是否可与已经存储的其他检测规则以存储地址连续的方式进行存储，若是，可根据已经存储的其他检测规则的存储地址，继续存储接收到的新的检测规则，若否，则重新确定空间足够的存储空间，存储各检测规则。

并且，在检测规则存储之后，该态内容可寻址存储器104还可将更新后的存储地址发送至该数据处理芯片102，使得数据处理芯片102可根据更新的存储地址，确定检测结果。

更进一步地，在本说明书中，该系统还可包括第四缓存器116，该第四缓存器116与数据拆分芯片100以及数据处理芯片连接102，如图3所示。配置为用于接收数据拆分芯片100发送的待检测报文，并根据数据处理芯片102的获取请求，将待检测报文提供给数据处理芯片102。该第四缓存器116也可以是FIFO，缓存待检测报文的目的是增加一个数据缓冲区，提高处理报文的数量，使得数据拆分芯片100在进行数据拆分后便可继续对下一个待检测报文进行拆分，减少在等待三态内容可寻址存储器104返回批评结果时，由于第一缓存器106空间不足而丢弃的待检测报文。

需要说明的是，上述报文检测系统进行报文检测的过程是基于对敏感词检测的过程为例进行说明的，该报文检测的对象也可以是访问控制列表(Acess Control List，ACL)策略的匹配等等其他报文检测内容，本说明书对此不做限制，只要将需要检测的内容按照格式制成类似表1的检测规则，即可应用在本说明书提供的报文检测系统中。这一过程如上所述可以由规则更新芯片114进行，或者也可由上游设备设置好后，通过接口112直接配置给该报文检测系统。

另外，由于通常访问三态内容可寻址存储器104，需要通过三态内容可寻址存储器控制器，即由该控制接收查询请求或者更新的待检测规则，并确定具体的指令发送至三态内容可寻址存储器104，再接收三态内容可寻址存储器104 返回的结果，确定返回该系统的哪个部件。当然，由于该控制器是通用的，执行的也是现有常见的动作，因此在本说明中省略了该三态内容可寻址存储器 104的控制器，该控制器具体可位于FPGA芯片中。

基于图1所示的报文检测系统，本说明书实施例还对应提供报文检测的流程示意图，如图4所示。

图4为本说明书实施例提供的报文检测流程示意图，具体可包括以下步骤：

S200：获取待检测报文。

S202：根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文。

S204：根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果。

S206：根据所述待检测报文以及所述匹配结果，确定所述待检测报文的检测结果。

在本说明书中，该报文检测过程可参考本说明书提供的报文检测系统进行报文检测的过程描述，该报文检测的执行主体为报文检测系统，由于报文检测过程已经在前文进行过详细描述，因此可参考前文本文不再重复说明。

基于图4所示的报文检测过程，本说明书实施例还对应提供报文检测装置的结构示意图，如图5所示。

图5为本说明书实施例提供的报文检测装置的结构示意图，所述装置包括：

获取模块200，获取待检测报文；

拆分模块202，根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文；

匹配模块204，根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果；

检测模块206，根据所述待检测报文、各子报文以及所述匹配结果所述匹配结果，确定所述待检测报文的检测结果。

可选地，所述拆分模块202，根据所述检测规则中目标字符串的长度，确定重叠字符串的长度，按照所述待检测报文的字符顺序，根据所述检测字符串的长度以及所述重叠字符串的长度，将所述报文拆分为若干子报文，其中，连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在所述重叠字符串长度的相同字符串。

可选地，所述检测规则由若干检测条件构成，每条检测条件为由所述组检测规则对应的目标字符串以及掩码构成的长度为所述检测字符串长度的字符串组成；按照目标字符串在各检测条件中的位置，确定所述检测规则中各检测条件的排列顺序，使所述检测规则中相邻的检测条件的目标字符串的位置相差一个字符。

可选地，所述三态内容可寻址存储器中存储多组检测规则的集合，并且各组检测规则在所述三态内容可寻址存储器中的存储地址连续，所述匹配模块 204，通过所述三态内容可寻址存储器，针对拆分得到的每个子报文，将该子报文与各检测条件匹配，确定匹配结果。

可选地，所述匹配模块204，当匹配成功时，确定匹配的子报文以及检测条件，将确定出子报文、确定出检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

可选地，所述检测模块206，当匹配成功时，根据所述匹配结果、所述待检测报文以及各子报文，确定所述待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将所述目标字符串内容以及所述命中位置作为检测结果。

本说明书实施例还提供了计算机可读存储介质，该存储介质存储有计算机程序，计算机程序可用于执行上述报文检测方法中的任一个。

当然，除了软件实现方式之外，本说明书并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray， FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL (RubyHardware Description Language)等，目前最普遍使用的是VHDL (Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、 CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/ 或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器 (RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、 CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本说明书的实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。

Claims (16)

1.一种报文检测系统，其特征在于，所述系统包括：数据拆分芯片、数据处理芯片以及三态内容可寻址存储器，其中：

所述数据拆分芯片，获取待检测报文，根据预设的检测规则对应的检测字符串长度，将所述待检测报文拆分为若干子报文，确定携带有拆分出的子报文的查询命令，将所述查询命令发送至所述三态内容可寻址存储器；以及，将所述待检测报文以及各子报文发送至所述数据处理芯片；

所述三态内容可寻址存储器，根据接收到的查询命令，查询是否存在与所述预设的检测规则匹配的子报文，并将匹配结果发送至所述数据处理芯片；

所述数据处理芯片，根据所述数据拆分芯片发送的所述待检测报文以及所述三态内容可寻址存储器发送的匹配结果，确定所述待检测报文的检测结果。

2.如权利要求1所述的系统，其特征在于，所述数据拆分芯片，根据所述检测规则中目标字符串的长度，确定重叠字符串的长度，按照所述待检测报文的字符顺序，根据所述检测字符串的长度以及所述重叠字符串的长度，将所述报文拆分为若干子报文，其中，连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在所述重叠字符串长度的相同字符串。

3.如权利要求2所述的系统，其特征在于，所述检测规则由若干检测条件构成，每条检测条件为由所述检测规则对应的目标字符串以及掩码构成的长度为所述检测字符串长度的字符串组成；按照目标字符串在各检测条件中的位置，确定所述检测规则中各检测条件的排列顺序，使所述检测规则中相邻的检测条件的目标字符串的位置相差一个字符。

4.如权利要求3所述的系统，其特征在于，所述三态内容可寻址存储器中存储多组检测规则的集合，并且各组检测规则在所述三态内容可寻址存储器中的存储地址连续；所述三态内容可寻址存储器针对接收到的查询请求中包含的每个子报文，将该子报文与各检测条件匹配，确定匹配结果。

5.如权利要求4所述的系统，其特征在于，所述三态内容可寻址存储器在存储检测规则的集合后，将各组检测规则的首地址发送至所述数据处理芯片；

当匹配成功时，确定匹配的子报文以及检测条件，将确定出子报文、确定出检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

6.如权利要求5所述的系统，其特征在于，当匹配成功时，所述数据处理芯片，根据接收到的匹配结果、所述待检测报文以及各子报文，确定所述待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将所述目标字符串的内容以及所述命中位置作为检测结果。

7.如权利要求1所述的系统，其特征在于，所述系统还包括：第一至第三缓存器、接口以及规则更新芯片，所述第一缓存器与所述接口以及所述数据拆分芯片连接，所述第二缓存器与所述接口以及所述数据处理芯片连接，所述第三缓存器与所述接口以及所述规则更新芯片连接，所述规则更新芯片与所述三态内容可寻址存储器连接，所述接口与后端设备连接，其中：

所述第一缓存器，通过所述接口接收所述待检测报文并存储；

所述数据拆分芯片，当监测到所述第一缓存器非空时，从所述第一缓存器获取所述待检测报文；

所述第二缓存器，接收并存储所述数据处理芯片确定出的检测结果以及所述待检测报文，当通过所述接口接收到后端设备发送的获取请求时，将存储的所述检测结果以及所述待检测报文发送给后端设备；

所述第三缓存器，通过所述接口接收所述检测规则并存储；

所述规则更新芯片，当监测到所述第三缓存器非空时，将所述第三缓存器存储的所述检测规则发送至所述三态内容可寻址存储器；

所述三态内容可寻址存储器，根据所述规则更新芯片发送的检测规则，更新本地存储的检测规则。

8.如权利要求7所述的系统，其特征在于，所述系统还包括：第四缓存器，所述第四缓存器与所述数据拆分芯片以及所述数据处理芯片连接；

所述四缓存器，接收所述数据拆分芯片发送的所述待检测报文，并根据所述数据处理芯片的获取请求，将所述待检测报文提供给所述数据处理芯片。

9.一种报文检测方法，其特征在于，包括：

获取待检测报文；

根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文；

根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果；

根据所述待检测报文以及所述匹配结果，确定所述待检测报文的检测结果。

10.如权利要求9所述的方法，其特征在于，根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文，具体包括：

根据所述检测规则中目标字符串的长度，确定重叠字符串的长度；

按照所述待检测报文的字符顺序，根据所述检测字符串的长度以及所述重叠字符串的长度，将所述报文拆分为若干子报文；

其中，连续拆分出的前后两个子报文中，前子报文的末尾与后子报文的头部存在所述重叠字符串长度的相同字符串。

11.如权利要求10所述的方法，其特征在于，所述检测规则由若干检测条件构成，每条检测条件为由所述检测规则对应的目标字符串以及掩码构成的长度为所述检测字符串长度的字符串组成；按照目标字符串在各检测条件中的位置，确定所述检测规则中各检测条件的排列顺序，使所述检测规则中相邻的检测条件的目标字符串的位置相差一个字符。

12.如权利要求11所述的方法，其特征在于，所述三态内容可寻址存储器中存储多组检测规则的集合，并且各组检测规则在所述三态内容可寻址存储器中的存储地址连续；

通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果，具体包括：

通过所述三态内容可寻址存储器，针对拆分得到的每个子报文，将该子报文与各检测条件匹配，确定匹配结果。

13.如权利要求12所述的方法，其特征在于，确定匹配结果，具体包括：

当匹配成功时，确定匹配的子报文以及检测条件；

将确定出子报文、确定出检测条件所属的检测规则的首地址以及检测条件的偏移地址，作为匹配结果。

14.如权利要求13所述的方法，其特征在于，根据所述待检测报文、各子报文以及所述匹配结果，确定所述待检测报文的检测结果，具体包括：

当匹配成功时，根据所述匹配结果、所述待检测报文以及各子报文，确定所述待检测报文中目标字符串的命中位置以及确定匹配的目标字符串，将所述目标字符串内容以及所述命中位置作为检测结果。

15.一种报文检测装置，其特征在于，包括：

获取模块，获取待检测报文；

拆分模块，根据预设的检测规则对应的检测字符串长度，将所述报文拆分为若干子报文；

匹配模块，根据预先存储在三态内容可寻址存储器中的检测规则，通过所述三态内容可寻址存储器查询是否存在与所述检测规则匹配的子报文，确定匹配结果；

检测模块，根据所述待检测报文、各子报文以及所述匹配结果所述匹配结果，确定所述待检测报文的检测结果。

16.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述权利要求9-14任一所述的方法。

Images