CN113923002A - 计算机网络入侵防御方法、装置、存储介质及处理器 - Google Patents

Abstract

本申请公开了一种计算机网络入侵防御方法、装置、存储介质及处理器。该方法包括：在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。通过本申请，解决了相关技术中对网络威胁数据进行防御检测时效率较低的问题。

Description

计算机网络入侵防御方法、装置、存储介质及处理器

技术领域

本申请涉及网络威胁防御检测技术领域，具体而言，涉及一种计算机网络入侵防御方法、装置、存储介质及处理器。

背景技术

基于snort规则实现的入侵防御检测大都利用了fast pattern进行快速匹配，fast pattern可以理解为从一条snort规则的特征集合中挑选出的最不常见的字符串。但因为fast pattern在流中出现的位置不确定，需要缓存流数据便于单个规则推导时向前回溯。

为保证规则的检出率，需要尽量缓存数据块，现有技术方案一般从流的开始就缓存数据块，而且最大缓存比较大，可能一条流最大能缓存1M，另外每次有新数据过来都需要将整个缓存数据块逐一扫描推导下通过fast pattern预过滤出来的规则。因此，检测效率较低。

针对相关技术中对网络威胁数据进行防御检测时效率较低的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种计算机网络入侵防御方法、装置、存储介质及处理器，以解决相关技术中对网络威胁数据进行防御检测时效率较低的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种计算机网络入侵防御方法。该方法包括：在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

进一步地，从缓存数据块中获取缓存数据之前，该方法还包括：判断网络数据的传输协议的模式是否属于流模式；若网络威胁数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

进一步地，若缓存数据块数量增加时，从缓存数据块中获取缓存数据包括：判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；通过目标内存空间读取缓存数据。

进一步地，在对位图进行检测分析，得到分析结果之前，该方法还包括：根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；对位图进行检测分析，得到分析结果包括：若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

进一步地，在确定目标规则被匹配成功之后，该方法还包括：执行目标规则的响应动作使得防御系统能够应对网络威胁数据。

进一步地，该方法还包括：在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

为了实现上述目的，根据本申请的另一方面，提供了一种计算机网络入侵防御装置。该装置包括：第一获取单元，用于在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；第一过滤单元，用于对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；第一分析单元，用于对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

进一步地，该装置还包括：第一判断单元，用于从缓存数据块中获取缓存数据之前，判断网络数据的传输协议的模式是否属于流模式；第二获取单元，用于若网络数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；第二过滤单元，用于若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

进一步地，若缓存数据块数量增加时，第一获取单元包括：第一判断模块，用于判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；第一确定模块，用于若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；第一读取模块，用于通过目标内存空间读取缓存数据。

进一步地，该装置还包括：第一分组单元，用于在对位图进行检测分析，得到分析结果之前，根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；第一遍历单元，用于对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；第一分析单元包括：第一遍历模块，用于若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；第二遍历模块，用于若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；第二判断模块，用于在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

进一步地，该装置还包括：第一执行单元，用于在确定目标规则被匹配成功之后，执行目标规则的响应动作使得防御系统能够应对网络威胁数据。

进一步地，该装置还包括：第一确定单元，用于在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

根据本申请实施例的另一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述任意一项的方法。

根据本申请实施例的另一方面，还提供了一种计算机可读存储介质，其上存储有计算机程序/指令，该计算机程序/指令被处理器执行时执行上述任意一项的方法。

通过本申请，采用以下步骤：在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示，对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败，解决了相关技术中对网络威胁数据进行防御检测时效率较低的问题。通过将目标规则以位图的形式进行展示，对位图进行检测分析，得到分析结果，进而达到了对网络威胁数据进行防御检测时效率提升的效果。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例提供的计算机网络入侵防御方法的流程图；

图2是根据本申请实施例提供的计算机网络入侵防御方法的目标规则检测流程图；

图3是根据本申请实施例提供的计算机网络入侵防御方法的新增缓存数据时缓存队列示意图；

图4是根据本申请实施例提供的计算机网络入侵防御方法的目标规则位图形式示意图；

图5是根据本申请实施例提供的计算机网络入侵防御方法的目标规则扫描推导过程流程图；

图6是根据本申请实施例提供的计算机网络入侵防御装置的示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

根据本申请的实施例，提供了一种计算机网络入侵防御方法。

图1是根据本申请实施例的计算机网络入侵防御方法的流程图。如图1所示，该方法包括以下步骤：

步骤S101，在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据。

例如，在TCP传输协议下，网络传输协议模式为流模式，获取网络数据中的缓存数据。

可选地，在本申请实施例提供的计算机网络入侵防御方法中，从缓存数据块中获取缓存数据之前，该方法还包括：判断网络数据的传输协议的模式是否属于流模式；若网络数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

图2是根据本申请实施例提供的计算机网络入侵防御方法的目标规则检测流程图，如图2所示，例如，防御系统在抓取网络数据时，需要判断传输网络数据的传输模式是否属于流模式，当传输网络数据的传输模式属于流模式时，将缓存数据块与新来的数据块拼成一块，通过端口下fast pattern匹配规则对数据进行预过滤，当传输网络数据的传输模式不属于流模式时候，通过端口下no fast pattern匹配规则对数据进行预过滤。

可选地，在本申请实施例提供的计算机网络入侵防御方法中，若缓存数据块数量增加时，从缓存数据块中获取缓存数据：判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；通过目标内存空间读取缓存数据。

具体的，图3是根据本申请实施例提供的计算机网络入侵防御方法的新增缓存数据时缓存队列示意图，如图3所示，在数据块链表的缓存队列中临时每次分配512字节的内存，当缓存队列中不满时，也即若当前缓存数据块的需要的内存空间值小于数据流中的缓存数据块的内存的初始预设空间值时，新增的缓存数据块先将未填满的内存空间先填充至初始预设空间(对应于图3中的512字节的空间)；当缓存队列中已满时，也即本申请中的若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，系统将不再向新增缓存数据块分配新的地址空间，而是从缓存数据块链表的头部开始摘取内存块用于存储新增的缓存数据块，并插入到当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间，通过从缓存数据块链表的头部开始摘取内存块存储新增的缓存数据块，当缓存数据块过大且多并发时，避免了大量内存被占用而导致的系统检测效率较低的问题。

需要说明的是，如图3所示。尽管对网络数据进行缓存时，默认每个方向的最大缓存为2K，当接收的网络数据特征的跨度超过2K时，根据系统对目标规则(也即入侵检测系统snort规则)的扫面评估结果进一步判定是否需要扩展，若评估结果(对应于本申请中的分析结果)是需要更多数据，则即使当前缓存数据已达到默认的2K，也会继续扩展，最大可扩展到16K，扩展后若后面某次新来的数据块的评估结果不再是需要更多数据，则已扩展的缓存数据块需要及时回收扩展部分的数据块，避免缓存数据块过大而消耗大量内存，进一步节省了内存资源，提高了系统的防御检测效率。

步骤S102，对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示。

具体的，单个规则扫描推导时，为了提升性能，将每一个目标规则生成一个位图，通过对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，然后将预过滤后的目标规则按照其在位图中的位置进行扫描推导。

图4是根据本申请实施例提供的计算机网络入侵防御方法的目标规则位图形式示意图，如图4所示，规则解析阶段，将一个规则进行分组，有位置依赖关系的分为一组，同时做成一个位图。示例分为了3组，生成的位图就是第三位的值，且值为7。

步骤S103，对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

具体的，本申请通过对位图进行检测分析，避免了当增加新的缓存数据块时，对已经扫描过的其他目标规则特征进行二次重复扫描，进一步地提升了防御系统的检测效率。

可选地，在本申请实施例提供的计算机网络入侵防御方法中，在对位图进行检测分析，得到分析结果之前，该方法还包括：根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；对位图进行检测分析，得到分析结果包括：若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

具体的，图5是根据本申请实施例提供的计算机网络入侵防御方法的目标规则扫描推导过程流程图，如图5所示，遍历目标规则下特征的所有分组，若当前特征分组在位图中的值为0(对应于本申请中的第一预设值)，则表示当前特征分组之前已经被检查通过，跳过对当前特征分组的检测分析，检查下一个特征分组，若当前特征分组在位图中的值不为0，则对当前特征分组的中的所有特征进行遍历检测，得到检测结果，其中，检测结果(对应于本申请中的遍历结果)包括命中(对应于本申请中目标特征被匹配成功)、未命中(对应于本申请中目标特征被匹配失败)、需要更多数据，在当前特征分组中目标特征被命中的情况下，将当前特征分组在位图中的位置的设置为0。然后检查目标规则的位图的值是否为0(对应于本申请中的第二预设值)，若目标规则的位图的值为0，则表示整个规则推导成功(对应于本申请中的确定目标规则被匹配成功)，并执行应对网络威胁数据的响应动作。

具体的，在本申请实施例提供的计算机网络入侵防御方法中，在确定目标规则被匹配成功之后，该方法还包括：执行目标规则的响应动作使得防御系统能够应对网络威胁数据，也即在在确定目标规则被匹配成功之后，确定该网络数据为网络威胁数据。

可选地，在本申请实施例提供的计算机网络入侵防御方法中，该方法还包括：在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

如图5所示，在当前特征分组中目标特征未被命中的情况下，或者在对当前特征分组进行检测时，检测结果为需要更多数据时，则表示对目标规则检查失败，退出当前目标规则检查，并将目标规则进行删除处理，如果当前分组检测结果是需要更多数据，则继续检测下一个分组的特征，当前分组待有新的缓存数据过来时再进行下一步检查，进一步体现了本申请的防御检测系统的精准以及高效性。

本申请实施例提供的计算机网络入侵防御方法，通过在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示，对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败，解决了相关技术中对网络威胁数据进行防御检测时效率较低的问题。通过将目标规则以位图的形式进行展示，对位图进行检测分析，得到分析结果，进而达到了对网络威胁数据进行防御检测时效率提升的效果。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例还提供了一种计算机网络入侵防御装置，需要说明的是，本申请实施例的计算机网络入侵防御装置可以用于执行本申请实施例所提供的用于计算机网络入侵防御方法。以下对本申请实施例提供的计算机网络入侵防御装置进行介绍。

图6是根据本申请实施例的计算机网络入侵防御装置的示意图。如图6所示，该装置包括：第一获取单元601、第一过滤单元602、第一分析单元603。

具体的，第一获取单元601，用于在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；

第一过滤单元602，用于对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；

第一分析单元603，用于对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

本申请实施例提供的计算机网络入侵防御装置，通过第一获取单元601在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；第一过滤单元602对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；第一分析单元603对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败，解决了相关技术中对网络威胁数据进行防御检测时效率较低的问题。通过将目标规则以位图的形式进行展示，对位图进行检测分析，得到分析结果，进而达到了对网络威胁数据进行防御检测时效率提升的效果。

可选地，在本申请实施例提供的计算机网络入侵防御装置中，该装置还包括：第一判断单元，用于从缓存数据块中获取缓存数据之前，判断网络数据的传输协议的模式是否属于流模式；第二获取单元，用于若网络数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；第二过滤单元，用于若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

可选地，在本申请实施例提供的计算机网络入侵防御装置中，若缓存数据块数量增加时，第一获取单元601包括：第一判断模块，用于判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；第一确定模块，用于若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；第一读取模块，用于通过目标内存空间读取缓存数据。

可选地，在本申请实施例提供的计算机网络入侵防御装置中，该装置还包括：第一分组单元，用于在对位图进行检测分析，得到分析结果之前，根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；第一遍历单元，用于对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；第一分析单元603包括：第一遍历模块，用于若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；第二遍历模块，用于若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；第二判断模块，用于在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

可选地，在本申请实施例提供的计算机网络入侵防御装置中，该装置还包括：第一执行单元，用于在确定目标规则被匹配成功之后，执行目标规则的响应动作使得防御系统能够应对网络威胁数据。

可选地，在本申请实施例提供的计算机网络入侵防御装置中，该装置还包括：第一确定单元，用于在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

计算机网络入侵防御装置包括处理器和存储器，上述的第一获取单元601、第一过滤单元602、第一分析单元603等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。

处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来进行计算机网络入侵防御。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本发明实施例提供了一种存储介质，其上存储有程序，该程序被处理器执行时实现计算机网络入侵防御方法。

本发明实施例提供了一种处理器，处理器用于运行程序，其中，程序运行时执行计算机网络入侵防御方法。

本发明实施例提供了一种设备，设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，处理器执行程序时实现以下步骤：在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

处理器执行程序时还实现以下步骤：从缓存数据块中获取缓存数据之前，判断网络数据的传输协议的模式是否属于流模式；若网络数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

处理器执行程序时还实现以下步骤：若缓存数据块数量增加时，从缓存数据块中获取缓存数据包括：判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；通过目标内存空间读取缓存数据。

处理器执行程序时还实现以下步骤：在对位图进行检测分析，得到分析结果之前，根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；对位图进行检测分析，得到分析结果包括：若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

处理器执行程序时还实现以下步骤：在确定目标规则被匹配成功之后，执行目标规则的响应动作使得防御系统能够应对网络威胁数据。

处理器执行程序时还实现以下步骤：在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

本文中的设备可以是服务器、PC、PAD、手机等。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行初始化有如下方法步骤的程序：在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，缓存数据为根据网络数据确定的缓存数据块中的数据；对缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将目标规则以位图的形式进行展示；对位图进行检测分析，得到分析结果，其中，分析结果包括以下至少之一：目标规则被匹配成功、目标规则被匹配失败。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：从缓存数据块中获取缓存数据之前，判断网络数据的传输协议的模式是否属于流模式；若网络数据的传输协议的模式属于流模式，获取网络数据中的缓存数据块；若网络数据的传输协议的模式不属于流模式，通过目标匹配规则对数据进行预过滤。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：若缓存数据块数量增加时，从缓存数据块中获取缓存数据包括：判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将当前缓存数据块链表的头部的内存空间插入当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；通过目标内存空间读取缓存数据。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：在对位图进行检测分析，得到分析结果之前，根据位图中不同位置对目标规则的特征进行分组，其中，每个特征分组中至少包括目标规则的一个特征；对每个特征分组进行遍历，并判断特征分组在位图中位置的设置值是否为第一预设值；对位图进行检测分析，得到分析结果包括：若目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对目标规则中剩余的特征分组进行遍历；若当前特征分组在位图中的位置的设置值不为第一预设值，对当前特征分组中每个特征进行遍历，得到遍历结果，其中，遍历结果包括以下至少之一：当前特征分组中目标特征被匹配成功、当前特征分组中目标特征被匹配失败；在当前特征分组中目标特征被匹配成功的情况下，将当前特征分组在位图中的位置的设置为第一预设值，并判断目标规则的位图的值是否为第二预设值，若目标规则的位图的值为第二预设值，确定目标规则被匹配成功。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：在确定目标规则被匹配成功之后，执行目标规则的响应动作使得防御系统能够应对网络威胁数据。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：在当前特征分组中目标特征被匹配失败的情况下，则确定目标规则被匹配失败，并将目标规则进行删除处理。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种计算机网络入侵防御方法，其特征在于，包括：

在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，所述缓存数据为根据网络数据确定的缓存数据块中的数据；

对所述缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将所述目标规则以位图的形式进行展示；

对所述位图进行检测分析，得到分析结果，其中，所述分析结果包括以下至少之一：所述目标规则被匹配成功、所述目标规则被匹配失败。

2.根据权利要求1所述的方法，其特征在于，从缓存数据块中获取缓存数据之前，所述方法还包括：

判断所述网络数据的传输协议的模式是否属于流模式；

若所述网络数据的传输协议的模式属于流模式，获取所述网络数据中的缓存数据块；

若所述网络数据的传输协议的模式不属于流模式，通过目标匹配规则对所述数据进行预过滤。

3.根据权利要求1所述的方法，其特征在于，若缓存数据块数量增加时，从缓存数据块中获取缓存数据包括：

判断当前缓存数据块的需要的内存空间是否大于数据流中的缓存数据块的内存的初始预设空间；

若当前缓存数据块的需要的内存空间值大于数据流中的缓存数据块的内存的初始预设空间值时，将所述当前缓存数据块链表的头部的内存空间插入所述当前缓存数据块链表的尾部，进而确定新增缓存数据块的目标内存空间；

通过所述目标内存空间读取所述缓存数据。

4.根据权利要求1所述的方法，其特征在于，在对所述位图进行检测分析，得到分析结果之前，所述方法还包括：

根据所述位图中不同位置对所述目标规则的特征进行分组，其中，每个特征分组中至少包括所述目标规则的一个特征；

对所述每个特征分组进行遍历，并判断所述特征分组在位图中位置的设置值是否为第一预设值；

对所述位图进行检测分析，得到分析结果包括：

若所述目标规则的当前特征分组在位图中的位置的设置值为第一预设值，按照预设顺序对所述目标规则中剩余的特征分组进行遍历；

若当前特征分组在位图中的位置的设置值不为所述第一预设值，对所述当前特征分组中每个特征进行遍历，得到遍历结果，其中，所述遍历结果包括以下至少之一：所述当前特征分组中目标特征被匹配成功、所述当前特征分组中目标特征被匹配失败；

在所述当前特征分组中目标特征被匹配成功的情况下，将所述当前特征分组在位图中的位置的设置为所述第一预设值，并判断所述目标规则的位图的值是否为第二预设值，若所述目标规则的位图的值为所述第二预设值，确定所述目标规则被匹配成功。

5.根据权利要求4所述的方法，其特征在于，在确定所述目标规则被匹配成功之后，所述方法还包括：

执行所述目标规则的响应动作使得防御系统能够应对网络威胁数据。

6.根据权利要求4所述的方法，其特征在于，所述方法还包括：

在所述当前特征分组中目标特征被匹配失败的情况下，则确定所述目标规则被匹配失败，并将所述目标规则进行删除处理。

7.一种计算机网络入侵防御装置，其特征在于，包括：

第一获取单元，用于在网络传输协议模式为流模式的情况下，从缓存数据块中获取缓存数据，其中，所述缓存数据为根据网络数据确定的缓存数据块中的数据；

第一过滤单元，用于对所述缓存数据对应的规则进行预过滤，得到过滤后的目标规则，并将所述目标规则以位图的形式进行展示；

第一分析单元，用于对所述位图进行检测分析，得到分析结果，其中，所述分析结果包括以下至少之一：所述目标规则被匹配成功、所述目标规则被匹配失败。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一判断单元，用于从缓存数据块中获取缓存数据之前，判断所述网络数据的传输协议的模式是否属于流模式；

第二获取单元，用于若所述网络数据的传输协议的模式属于流模式，获取所述网络数据中的缓存数据块；

第二过滤单元，用于若所述网络数据的传输协议的模式不属于流模式，通过目标匹配规则对所述数据进行预过滤。

9.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至6中任意一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质包括存储的程序，其中，所述程序执行权利要求1至6中任意一项所述的方法。

Images