报文分流方法、装置、网络安全检测设备及存储介质制造方法及图纸

本发明专利技术涉及一种报文分流方法、装置、网络安全检测设备及存储介质，属于通信领域。该方法包括：网络安全检测设备通过获取待处理报文并进行解析，得到报文特征，并根据检测模型检测报文特征，得到与待处理报文对应的检测系数和，然后网络安全检测设备将待处理报文分配给当前的检测系数总和最小的缓存队列进行处理，同时将检测系数和累加到被分配的缓存队列的当前的检测系数总和上。由于与检测系数总和最小的缓存队列对应的CPU核心的负载压力最小，因此，待处理报文能够被尽快地处理，此外，还可以使得各个CPU核心的负载达到均衡，从而充分利用每个CPU核心的计算能力。

Message diversion method, device, network security detection equipment and storage medium

【技术实现步骤摘要】
报文分流方法、装置、网络安全检测设备及存储介质
本申请属于通信领域，具体涉及一种报文分流方法、装置、网络安全检测设备及存储介质。
技术介绍
网络安全检测设备串接在网络中，用于对经过网络的数据包进行实时检测，并阻断各种网络攻击，网络安全监测设备在网络安全层面起着重要作用。由于网络安全检测设备在对数据包进行检测的过程需要耗费的检测时间较长，所以，在网络安全检测设备的CPU(CentralProcessingUnit，中央处理器)为多核的前提下，为了提高检测效率，通常将网络安全检测设备的多个CPU核心设置为分工协作，即一部分CPU核心用来管理收发数据包，将数据包放入各个缓存队列，剩余的每个CPU核心从与自身对应的缓存队列中读取数据，使得各个CPU核心以并行处理的方式对读取到的数据进行检测。在上述前提下，需要将流经网络安全检测设备的数据包合理地分流放入各个缓存队列，以便充分利用每个CPU核心的计算能力，尽可能地保障数据包尽快得到处理。在现有技术中，通常根据每个CPU核心的使用率对流经网络安全检测设备的数据包进行分流，即将当前获取本文档来自技高网...

【技术保护点】
1.一种报文分流方法，其特征在于，应用于网络安全检测设备，所述网络安全检测设备包括多个缓存队列及CPU，所述CPU包括多个CPU核心，每个所述缓存队列对应不同的CPU核心，所述方法包括：/n获取待处理报文并进行解析，得到报文特征；/n根据预先建立的检测模型检测所述报文特征，得到与所述待处理报文对应的检测系数和，所述检测系数和用于表征所述待处理报文所需要消耗的CPU资源；/n将所述待处理报文分配给当前的检测系数总和最小的缓存队列进行处理；/n将所述检测系数和累加到被分配的缓存队列的当前的检测系数总和上，对所述被分配的缓存队列的当前的检测系数总和进行更新。/n

【技术特征摘要】
1.一种报文分流方法，其特征在于，应用于网络安全检测设备，所述网络安全检测设备包括多个缓存队列及CPU，所述CPU包括多个CPU核心，每个所述缓存队列对应不同的CPU核心，所述方法包括：
获取待处理报文并进行解析，得到报文特征；
根据预先建立的检测模型检测所述报文特征，得到与所述待处理报文对应的检测系数和，所述检测系数和用于表征所述待处理报文所需要消耗的CPU资源；
将所述待处理报文分配给当前的检测系数总和最小的缓存队列进行处理；
将所述检测系数和累加到被分配的缓存队列的当前的检测系数总和上，对所述被分配的缓存队列的当前的检测系数总和进行更新。


2.根据权利要求1所述的方法，其特征在于，在所述将所述待处理报文分配给当前的检测系数总和最小的缓存队列进行处理之前，所述方法还包括：
确定不存在与所述待处理报文对应的连接信息；
相应的，在所述将所述待处理报文分配给当前的检测系数总和最小的缓存队列进行处理之后，所述方法还包括：
建立与所述待处理报文对应的连接信息。


3.根据权利要求2所述的方法，其特征在于，所述方法还包括：
在确定存在所述连接信息时，将所述待处理报文分配给所述连接信息建立之时所确定的缓存队列进行处理。


4.根据权利要求1-3任一项所述的方法，其特征在于，所述方法还包括：
在确定任一缓存队列中的报文出队列时，将该缓存队列的当前的检测系数总和减去出队列的报文的检测系数和，并对该缓存队列的当前的检测系数总和进行更新。


5.根据权利要求1所述的方法，其特征在于，在所述根据预先建立的检测模型检测所述报文特征，得到与所述待处理报文对应的检测系数和之前，所述方法还包括：
测试各种单一报文特征对应的检测系数；
将所述各种单一报文特征与其对应的检测系数建立对应关系表保存在所述检测模型内。

【专利技术属性】
技术研发人员：张晓锋，钦良柱，
申请(专利权)人：北京天融信网络安全技术有限公司，北京天融信科技有限公司，北京天融信软件有限公司，
类型：发明
国别省市：北京;11