02-应用层检测引擎配置-新华三集团-H3C

 应用层检测引擎

1.1  应用层检测引擎简介

应用层检测引擎服务于DPI业务模块，用于对报文的应用层信息（应用层协议以及应用行为）进行统一识别。DPI业务模块使用应用层检测引擎提供的识别结果，对报文进行相应的业务处理。

1.1.1  应用层检测引擎的基本功能

应用层检测引擎提供以下基本功能：

·     协议解析：识别并分析报文应用层字段，区分应用层协议，并对部分字段进行正规化和解压缩。

·     关键字匹配：根据检测规则对报文载荷内容进行关键字匹配，是应用层检测引擎的核心。

·     选项匹配：关键字匹配成功后，对其所属检测规则中的选项做进一步匹配。该过程与关键字匹配相比，匹配速度比较缓慢。

1.1.2  检测规则

应用层检测引擎使用检测规则对报文进行匹配，检测规则由各DPI业务的规则或特征转换而成，包含关键字和选项两种匹配项。

·     关键字：标识报文特征的不少于3个字节的字符串，也称作“AC关键字”。

·     选项：非关键字的辅助匹配项，例如报文的端口号、协议类型等。

检测规则中可以同时包含关键字和选项，或者仅包含选项。如果检测规则中同时包含关键字和选项，则两者都被匹配上才算是与该检测规则匹配成功；如果检测规则中仅包含选项，则只要匹配选项就算与该检测规则匹配成功。