(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211019726.0 (22)申请日 2022.08.24 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 崔益豪　王开路　鲍晓玲　孙峰　 梁雅静　范雪俭　 (74)专利代理 机构 北京开阳星知识产权代理有 限公司 1 1710 专利代理师 陈洁 (51)Int.Cl. H04L 9/40(2022.01) H04L 61/251(2022.01)H04L 67/06(2022.01) H04L 69/14(2022.01) (54)发明名称 多连接协议报文的检测方法、 装置、 设备及 存储介质 (57)摘要 本公开涉及一种多连接协议报文的检测方 法、 装置、 设备及存储介质， 其中， 方法包括： 在待 检测报文为父连接报文的情况下， 若报文方向为 请求方向， 且待检测报文所属连接存在与协议类 型对应的转换标识， 或者， 在待检测报文为子连 接报文的情况下， 若待检测报文所属父连接存在 与协议类型对应的转换标识， 则确定待检测报文 为第一报文； 对第一报文进行还原处理生成第二 报文， 并对述第二报文进行安全检测； 根据安全 检测的结果对第二报文执行预设处置操作。 根据 本公开的技术方案， 能够对NAT64模式下的多连 接协议报文进行完整的病毒查杀， 提高检测结果 的准确性。 权利要求书2页 说明书10页 附图2页 CN 115412330 A 2022.11.29 CN 115412330 A 1.一种多连接协议报文的检测方法， 其特 征在于， 包括： 获取待检测报文； 在所述待检测报文为父连接报文的情况下， 若所述待检测报文的报文方向为请求方 向， 且所述待检测报文所属连接存在与所述待检测报文的协议类型对应的转换标识， 则确 定所述待检测报文为第一报文； 在所述待检测报文为子连接报文的情况下， 若所述待检测报文所属父连接存在与 所述 待检测报文的协议类型对应的转换 标识， 则确定所述待检测报文为第一报文； 根据所述第 一报文所属连接的请求方向五元组对所述第 一报文进行还原处理， 生成第 二报文并打上还原标记， 并对所述第二报文 进行安全检测； 根据安全检测的结果对所述第二报文执 行预设处置操作。 2.如权利要求1所述的方法， 其特 征在于， 所述获取待检测报文， 包括： 若接收的目标报文满足预设条件， 则对所述目标报文进行报文转换， 以生成所述待检 测报文和转换 标识。 3.如权利要求2所述的方法， 其特 征在于， 在获取待检测报文之后， 还 包括： 若所述待检测报文所属连接存在转换标识， 则将所述待检测报文转换前的源地址和源 端口、 转换后的目的地址和目的端口记录 到指定域中。 4.如权利要求1所述的方法， 其特征在于， 在对所述第二报文进行安全检测之前， 还包 括： 建立第一连接， 以记录待检测报文的五元组信息； 根据父连接上接收到的工作模式命令， 建立对应的期待子连接 。 5.如权利要求4所述的方法， 其特征在于， 所述多连接协议为FTP协议， 所述根据父连接 上接收到的工作模式命令， 建立对应的期待子连接， 包括： 当FTP命令为PORT时， 获取 父连接在请求方向转换 前的IPv4报文； 将IPv4报文所属连接的目的地址和指定端口号分别作为期待源地址和期待源端口， 以 及将IPv4报文所属连接的源地址和从PORT命令行中解析的端口分别作为期待目的地址和 期待目的端口， 以建立所述期待子连接； 当FTP命令为PASV时， 获取 父连接在响应方向上转换后的IPv4报文； 将IPv4报文所属连接的源地址作为期待源地址， 以及将IPv4报文所属连接的目的地址 和基于PASV响应包解析的端口分别作为期待目的地址和期待目的端口， 以建立所述期待子 连接。 6.如权利要求5所述的方法， 其特征在于， 所述根据父连接上接收到的工作模式， 建立 对应的期待子连接， 包括： 当FTP命令为EPRT时， 获取 父连接在请求方向转换 前的IPv6报文； 将IPv6报文所属连接的目的地址和指定端口号分别作为期待源地址和期待源端口， 以 及将IPv6报文所属连接的源地址和从EPRT命令行中解析的端口作为期待目的地址和期待 目的端口， 以建立所述期待子连接； 当FTP命令为EP SV时， 获取 父连接在响应方向上转换后的IPv6报文； 将IPv6报文所属连接的源地址作为期待源地址， 以及将IPv6报文所属连接的目的地址 和从EPSV应答字符串中解析的端口分别作为期待目的地址和期待目的端口， 以建立所述期权　利　要　求　书 1/2 页 2 CN 115412330 A 2待子连接 。 7.如权利要求3所述的方法， 其特征在于， 所述根据安全检测的结果对所述第 二报文执 行预设处置操作， 包括： 若所述安全检测的结果为存在风险， 则向所述待检测报文的来源端和目的端分别发送 reset报文， 并根据所述指定域中记录的地址和端口记录日志； 若所述安全检测的结果为安全且已打上还原标记， 则根据报文所属连接响应方向五元 组对所述第二报文 进行报文转换并放行。 8.一种多连接协议报文的检测装置， 其特 征在于， 包括： 获取模块， 用于获取待检测报文； 第一确定模块， 用于在所述待检测报文为父连接报文的情况下， 若所述待检测报文的 报文方向为请求方向， 且所述待检测报文 所属连接存在与所述待检测报文的协 议类型对应 的转换标识， 则确定所述待检测报文为第一报文； 第二确定模块， 用于在所述待检测报文为子连接报文的情况下， 若所述待检测报文所 属父连接存在与所述待检测报文的协议类型对应的转换标识， 则确定所述待检测报文为第 一报文； 检测模块， 用于根据 所述第一报文所属连接的请求方向五元组对所述第 一报文进行还 原处理， 生成第二报文并打上还原标记， 并对所述第二报文 进行安全检测； 发送模块， 用于根据安全检测的结果对所述第二报文执 行预设处置操作。 9.一种电子设备， 其特 征在于， 包括： 处理器； 用于存 储所述处 理器可执行指令的存 储器； 所述处理器， 用于从所述存储器中读取所述可执行指令， 并执行所述指令以实现上述 权利要求1 ‑7中任一所述的多连接协议报文的检测方法。 10.一种计算机可读存储介质， 其特征在于， 所述存储介质存储有计算机程序， 所述计 算机程序被处理器执行时实现上述权利要求1 ‑7中任一所述的多连接协议报文的检测方 法。权　利　要　求　书 2/2 页 3 CN 115412330 A 3