报文的处理方法和装置、存储介质及处理器.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114301709A(43)申请公布日2022.04.08(21)申请号202111670460.1(22)申请日2021.12.30(71)申请人山石网科通信技术股份有限公司地址215163江苏省苏州市高新区景润路181号(72)发明人任丽娜徐林涛丁漪涟孟杨郑志崇(74)专利代理机构北京康信知识产权代理有限责任公司11240代理人黄海英(51)Int.Cl.H04L9/40(2022.01)权利要求书2页说明书10页附图2页(54)发明名称报文的处理方法和装置、存储介质及处理器(57)摘要本申请公开了一种报文的处理方法和装置、存储介质及处理器。该方法包括：探针依据威胁情报库对原始流量进行匹配分析，抓取到所述原始流量中的报文集合；从所述报文集合中选取目标报文，其中，所述目标报文是所述报文集合中属于威胁情报的概率最大的报文；所述探针对所述目标报文进行处理，得到目标数据，其中，所述目标数据用于发送至分析平台，以进行威胁情报分析。通过本申请，解决了相关技术中通过探针进行报文抓取，需要进行全流量报文抓取，导致浪费探针的性能的问题。CN114301709ACN114301709A权利要求书1/2页1.一种报文的处理方法，其特征在于，包括：探针依据威胁情报库对原始流量进行匹配分析，抓取到所述原始流量中的报文集合；从所述报文集合中选取目标报文，其中，所述目标报文是所述报文集合中属于威胁情报的概率最大的报文；所述探针对所述目标报文进行处理，得到目标数据，其中，所述目标数据用于发送至分析平台，以进行威胁情报分析。2.根据权利要求1所述的方法，其特征在于，在所述探针对所述目标报文进行处理，得到目标数据之后，所述方法还包括：所述探针将所述目标数据上传至所述分析平台；所述分析平台对所述探针上传的目标数据进行分析后，报出威胁事件的信号；依据所述目标数据，从所述分析平台中获取所述目标数据对应的目标报文。3.根据权利要求1所述的方法，其特征在于，在依据威胁情报库，探针对原始流量进行匹配，得到目标报文之前，所述方法还包括：所述探针向所述分析平台发送注册报文，并与所述分析平台建立对应的TCP连接，其中所述TCP连接用于所述探针与所述分析平台进行数据传输；所述分析平台按照预设时间周期更新所述威胁情报库；所述分析平台将更新后的威胁情报库推送至所有已经注册的探针。4.根据权利要求2所述的方法，其特征在于，所述探针对所述目标报文进行处理，得到目标数据，包括：所述探针按照预设的命名规则对所述目标报文进行命名并保存至本地，其中，所述目标报文的文件名至少包括：UUID和时间戳；所述探针将所述UUID和所述时间戳作为PacketID；所述探针将所述PacketID和所述探针的SN码添加到所述目标数据中；所述探针将带有所述PacketID和所述SN码的目标数据上传至分析平台。5.根据权利要求4所述的方法，其特征在于，所述探针按照预设的命名规则对所述目标报文进行命名并保存至本地，包括：确定目标文件的可存储空间；当所述目标报文占用的存储空间小于所述可存储空间时，则将所述目标报文保存在所述目标文件中。6.根据权利要求5所述的方法，其特征在于，所述方法还包括：当所述目标报文占用的存储空间不小于所述可存储空间时，创建新的文件，用于保存所述目标报文。7.根据权利要求4所述的方法，其特征在于，在依据所述目标数据，从所述分析平台中获取所述目标数据对应的目标报文之前，所述方法还包括：依据所述SN码，通过所述分析平台确定所述目标数据对应的探针；所述分析平台将所述PacketID发送至所述探针；所述探针对所述PacketID进行解析，得到所述PacketID对应的UUID和所述PacketID对应的时间戳；依据所述时间戳，查询得到存储所述目标数据的目标文件；2CN114301709A权利要求书2/2页依据所述UUID和所述时间戳，在所述目标文件中查询得到所述目标数据对应的目标报文；将所述目标数据对应的目标报文发送至所述分析平台。8.一种报文处理装置，其特征在于，包括：抓取单元，用于探针依据威胁情报库对原始流量进行匹配分析，抓取到所述原始流量中的报文集合；选取单元，用于从所述报文集合中选取目标报文，其中，所述目标报文是所述报文集合中属于威胁情报的概率最大的报文；处理单元，用于所述探针对所述目标报文进行处理，得到目标数据，其中，所述目标数据用于发送至分析平台，以进行威胁情报分析。9.一种存储介质，其特征在于，所述存储介质存储程序，其中，所述程序执行权利要求1至7中任意一项所述的报文的处理方法。10.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至7中任意一项所述的报文的处理方法。3CN114