一种数据流内容过滤的方法及装置

摘要

本发明公开了一种数据流内容过滤的方法及装置，用以检测出特征码分布在多个报文的网络蠕虫病毒，提供防火墙的预防能力。该包括：获取数据报文，确定所述数据报文所属数据流的流记录，以及所述数据报文的方向；将所述流记录中与所述方向对应的有限状态自动机的记录状态作为所述有限状态自动机的输入状态，将所述数据报文中的字符读入所述有限状态自动机中；当所述有限状态自动机输出特征码命中时，对所述数据报文所属数据流进行过滤处理；否则，根据所述有限状态自动机中对应的输出状态，更新所述流记录中与所述方向对应的有限状态自动机的记录状态。

主权项

一种数据流内容过滤的方法，其特征在于，包括：获取数据报文，确定所述数据报文所属数据流的流记录，以及所述数据报文的方向，其中，一个数据流对应一个流记录；将所述流记录中与所述方向对应的有限状态自动机的记录状态作为所述有限状态自动机的输入状态，将所述数据报文中的字符读入所述有限状态自动机中，其中，所述有限状态自动机为在系统初始化时由所有待检测的特征码构造生成，并且所述流记录中与所述方向对应的有限状态自动机的记录状态为与数据流对应的流记录中保存的与所述数据报文的方向对应的所述有限状态自动机的状态；当接收的数据报文是对应数据流的首报文时，流记录中与其同方向的所述有限状态自动机的记录状态为状态“0”，当接收的数据报文不是对应数据流的首报文时，流记录中与其同方向的所述有限状态自动机的记录状态为所述有限状态自动机处理上一同方向的数据报文后的输出状态；当所述有限状态自动机输出特征码命中时，对所述数据报文所属数据流进行过滤处理；否则，根据所述有限状态自动机中对应的输出状态，更新所述流记录中与所述方向对应的有限状态自动机的记录状态；其中，所述确定所述数据报文所属数据流的流记录包括：在保存的流记录中查找是否有与所述数据报文的五元组相匹配的流记录，其中，所述五元组包括：源IP地址、目的IP地址、协议类型，源端口和目的端口，若有，将查找到的流记录作为所述数据报文所属数据流的流记录，若没有，判断所述数据报文是否符合创建新的流记录的条件，当所述数据报文符合所述条件时，建立所述数据报文所属数据流的流记录；所述确定所述数据报文的方向包括：当数据报文的源IP地址与数据报文所属数据流的流记录的源IP地址一致，且数据报文的目的IP地址与数据报文所属数据流的流记录的目的IP地址一致 时，确定数据报文为正向数据报文；当数据报文的源IP地址与数据报文所属数据流的流记录的目的IP地址一致，且数据报文的目的IP地址与数据报文所属数据流的流记录的源IP地址一致时，确定数据报文为反向数据报文。