一种网络行为检测方法及装置

摘要

本发明提供一种网络行为检测方法及装置，属于网络审计领域。该方法及装置，通过横向扩张采集缓冲区技术开设多个缓冲区，实现万兆网络环境下的高速数据采集，并基于树状逻辑模型构建网络通信行为特征知识库，以及通过对通信行为特征知识库解析后得到的四个分别对应于数据链路层、网络层、传输层及应用层的字典树建立确定有限自动机以改进多模式匹配算法AC‑BM，实现网络通信行为特征的快速匹配。该种网络行为检测方法及装置，相对于传统的数据包检测及数据审计技术，具有更高的特征匹配效率及更低的算法复杂度，且知识库的设计更合理，利于升级和扩展。

主权项

一种网络行为检测方法，其特征在于，该方法包括：捕获网络数据包；分析网络通信行为特征，并采用树状逻辑模型构建网络通信行为特征知识库；解析所述网络通信行为特征知识库，以根据解析结果分别在数据链路层、网络层、传输层及应用层建立与该协议层相对应的通信行为特征字典树；对每一个所述通信行为特征字典树建立确定有限自动机；及对捕获到的网络数据包进行协议解析，采用多模式匹配算法将协议解析后得到的分别对应数据链路层、网络层、传输层及应用层的待匹配字节流与该协议层的所述通信行为特征字典树进行匹配，得到所述网络数据包的网络行为检测结果。