一种支持特征跨包的编码攻击检测方法和装置

摘要

本申请提供一种支持特征跨包的编码攻击检测方法和装置，应用于IPS设备，所述方法包括：在针对接收到的报文进行解码时，判断与所述报文所在会话对应的结构体中是否存在未解码字符；结构体用于存储对应于所述会话的未解码字符、编码方式和多模式匹配进度；当所述结构体存在未解码字符时，合并所述未解码字符和所述报文的报文负载；根据所述结构体中的编码方式，对合并后的所述未解码字符和所述报文的报文负载进行解码；基于预先配置的攻击特征，在所述多模式匹配进度的基础上，对解码后的未解码字符和所述报文的报文负载进行多模式匹配，以确定所述报文是否为攻击报文。本申请解决了报文经过编码，且攻击特征跨包时，无法检测到攻击报文的问题。

主权项

一种支持特征跨包的编码攻击检测方法，应用于IPS设备，其特征在于，包括：在针对接收到的报文进行解码时，判断与所述报文所在会话对应的结构体中是否存在未解码字符；所述结构体用于存储对应于所述会话的未解码字符、编码方式以及多模式匹配进度；当所述结构体存在未解码字符时，合并所述未解码字符和所述报文的报文负载；根据所述结构体中的编码方式，对合并后的所述未解码字符和所述报文的报文负载进行解码处理；基于预先配置的攻击特征，在所述多模式匹配进度的基础上，基于预设的多模式匹配算法对解码后的所述未解码字符和所述报文的报文负载进行多模式匹配，以确定所述报文是否为攻击报文。