一种支持特征跨包的编码攻击检测方法和装置

摘要

本申请提供一种支持特征跨包的编码攻击检测方法和装置，应用于IPS设备，所述方法包括：在针对接收到的报文进行解码时，判断与所述报文所在会话对应的结构体中是否存在未解码字符；结构体用于存储对应于所述会话的未解码字符、编码方式和多模式匹配进度；当所述结构体存在未解码字符时，合并所述未解码字符和所述报文的报文负载；根据所述结构体中的编码方式，对合并后的所述未解码字符和所述报文的报文负载进行解码；基于预先配置的攻击特征，在所述多模式匹配进度的基础上，对解码后的未解码字符和所述报文的报文负载进行多模式匹配，以确定所述报文是否为攻击报文。本申请解决了报文经过编码，且攻击特征跨包时，无法检测到攻击报文的问题。