CN100550893C - 数据过滤器管理装置 - Google Patents

数据过滤器管理装置 Download PDF

Info

Publication number
CN100550893C
CN100550893C CN03808919.XA CN03808919A CN100550893C CN 100550893 C CN100550893 C CN 100550893C CN 03808919 A CN03808919 A CN 03808919A CN 100550893 C CN100550893 C CN 100550893C
Authority
CN
China
Prior art keywords
main
rule
meta
data
auxiliary data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN03808919.XA
Other languages
English (en)
Other versions
CN1647486A (zh
Inventor
加埃唐·奥弗雷多
弗雷德里克·佩内拉特
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alcatel Lucent SAS
Original Assignee
Alcatel SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alcatel SA filed Critical Alcatel SA
Publication of CN1647486A publication Critical patent/CN1647486A/zh
Application granted granted Critical
Publication of CN100550893C publication Critical patent/CN100550893C/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Circuits Of Receivers In General (AREA)
  • Measurement And Recording Of Electrical Phenomena And Electrical Characteristics Of The Living Body (AREA)
  • Image Processing (AREA)
  • Communication Control (AREA)

Abstract

一种数据处理装置(1)，安装在一数据处理服务器(2)中，适于接收主要数据，并在通过控制装置(5)施用基于主要规则的专用处理的之后，传送所述主要数据。该装置首先包括一个第一表(T1)，其中以可参数化的形式并以与主要标识符对应的关系，存储称为“主要元规则”的至少一个主要规则的集合，并其次包括一管理装置(8)，其用来连接到控制装置(5)，并适于在由次要数据的服务器(2)接收之后，在接收表示由所述控制装置(5)提供的操作参数的辅助数据时，选择第一表(T1)中至少一个主要标识符，并使辅助数据与其相关联，以定义所述专用过程。

Description

数据过滤器管理装置
技术领域
本发明的领域是数据处理领域，更具体来说是在连接到其他公共或专用网络或用户终端的公用或专用网络中的一点过滤数据的领域。
技术背景
数据过滤一般是由装有称为防火墙的处理装置的数据处理服务器提供的。防火墙通常是为了保护专用(或内部)局域网(LAN)及孤立用户终端，免受一般来源于公共(或外部)广域网(WAN)诸如因特网的外部攻击或入侵。其还可用来限制专用网用户对公共网的访问和/或对内部或外部网络保护服务器。
防火墙必须配置为提供上述功能至少之一，或换言之能够过滤由装有防火墙的服务器接收的数据包。定义过滤器的主要(或基本)规则一般是为用于这一目的。因而配置防火墙就在于向其施加主动过滤器(active filter)的一个排序的序列(按术语的数学意义)。在接收数据包时，包的特征与排序序列的过滤器的特征比较，并只允许具备与过滤器特征可比特征的数据包通过。
配置防火墙是一种困难的操作，这要由其所属的网络的管理员人工进行。因为这一静态的人工干预，所得的配置可能在功能上正确，但可能是不适当或并非最优。其甚至是错误的。所有这些情形下，服务器的性能都要通常降低。
由于网络频繁地演变，防火墙必须经常重新配置，这不仅增加了出错或失当的危险，而且还占用网络管理员大量的时间。
发明内容
于是，本发明的一个目的是要通过提出一种防火墙管理装置而克服某些或所有上述缺陷，该装置实时考虑网络的参数或由网络提供的服务的修改和演变，以及不可预见的事件。
为此，提出了一种适于安装在数据处理服务器中的数据处理装置，该服务器适于接收主要数据(或数据包)，并在通过防火墙型的控制装置基于主要规则施用专用处理之后传送所述主要数据。
该装置的特征在于，其包括i)第一表，该表以可参数化的形式并以与主要标识符对应的关系，存储称为“主要元规则”的主要规则集的“定义/原型”(每一主要元规则或集合包括至少一个主要规则)，以及ii)管理装置，其适于连接到该控制装置，并在由服务器接收次要数据之后，在接收表示由控制装置提供的操作参数的辅助数据时，选择第一表中至少一个主要标识符，并使辅助数据与其相关联，以定义专用过程。
在本文中，表述“辅助数据”是指在服务器接收次要数据之后，必须分配给要在控制装置诸如防火墙中实现的元规则的主要规则操作参数的数据(或值)。并且本文中，表述“次要数据”是指，任何由服务器(或其控制装置)接收的、其内容被解释为对于重新配置控制装置的要求的信息。这可以指包含在主要数据包中的数据(或字段)或在网络中发生的事件，例如添加插件(card)。
这样，每当证明必要时，基于在第一表中定义并存储的主要元规则以及由服务器提供的信息(辅助数据)，该管理装置能够动态地、且无须人工干预重新配置控制装置。
根据本发明的另一特点，该装置可包括管理装置可访问的一个第二表(并如第一表那样最好结合在其中)，其中以对至少一个选择的(或激活的)与辅助数据相关的主要标识符对应的关系存储次要标识符(即指定在控制装置中采用的元规则，带有由辅助数据表示的操作参数)。这种情形下，如果管理装置在接收辅助数据时能够确定，在第二表中是否已存在对应的选择的次要标识符，以便使其与要适应专用过程的新的辅助数据相关联。这意味着，被修改的仅仅是需要修改的配置部分，而不是整个的配置。
在第二表中一定的选择的主要元规则，可被分组为也由与辅助数据相关联的第二标识符表示的次要元规则。
次要标识符可以或可以不与主要标识符等同。例如，如果其仅在防火墙中单一参数集合(或辅助数据集)下执行，则主要元规则在第一表和第二表中可具有相同的(主要)标识符。反之，如果其在防火墙中不同的参数集合下执行，则主要元规则应当带有与其主要标识符不同的次要标识符。
这些(主要)元规则与“超级”(次要)元规则进一步减少了(重新)配置时间。
管理装置最好包括多个管理子模块，每一个用于管理辅助数据与一个或多个主要或次要元规则的相关联(重要的是子模块划分了它们负责的主要或次要元规则)，并适于在接收辅助数据时确定哪些管理子模块对应于它们。这便于并缩短了重新配置。
此外，管理装置在接收一定的辅助数据时，适于从第二表删除至少一个存储的次要标识符(这相当于在控制装置级不选择或停用主要的或次要的元规则)。该管理装置在接收由服务器通信的补充数据时，可等同地适于适配，删除或修改主要或次要元规则，或在与主要或次要元规则相关联的第二表中的辅助数据。
此外，管理装置与表最好是一个“元防火墙”的部分，其管理配备于服务器并包括控制装置的防火墙。
本发明还提供了配备上述类型装置的防火墙。
本发明进而提供了动态处理数据的方法，该方法在于基于主要规则，对由数据处理服务器接收的主要数据施用专用过程，使得接收的主要数据在其由服务器传送之前被处理。
这一方法的特征在于，其包括一个预先步骤，在该步骤以可参数化的形式并与主要标识符对应的关系，在第一表存储称为“主要元规则”的至少一个主要规则，并在接收到次要数据之后接收由服务器传送的表示操作参数的辅助数据时，选择第一表中至少一个主要标识符，并使辅助数据与主要标识符相关联，以定义专用过程。
根据本发明的另一特征，在预先步骤中，在一个第二表中存储次要标识符，其每一个与至少一个选择的同辅助数据相关联的主要标识符有对应关系。
第二表中一定的主要元规则可分组为由次要标识符表示的次要元规则。
根据本发明的另一特征，并行地进行第一表中主要或次要元规则的选择，及次要表中与表示选择的主要或次要元规则的次要标识符相关联的辅助数据的修改。
此外，当收到一定的辅助数据时，该方法可删除存储在第二表中的主要或次要元规则至少之一。类似地，在收到由服务器传送的补充数据时，可向第二表添加，从其删除或修改主要或次要元规则。
根据本发明的装置和方法，虽然不是唯一的，但却特别适合用于过滤公共和专用远程通信网中的数据。
附图说明
在阅读以下详细的说明并研究附图时，本发明的其他特征和先进性将是明显可见的，其中：
图1很简略地示出与公共和专用网连接并装有根据本发明的装置的一服务器，以及
图2是根据本发明的装置的一个实施例的框图。
具体实施方式
附图是针对大部分特性的，因而构成了本发明描述的部分，如果必要也有助于本发明的定义。
以下的描述涉及安装在一个数据处理服务器2中的数据处理装置1，该服务器安装在公共(或外部)网络3与专用(或内部)网络4之间的连接结点(或点)，如图1所示。然而，该服务器可安装在许多其他地方，例如在服务供应商或有线运营者处。
例如，公共网3是因特网，而专用网4是连接到多个用户终端的局域网(LAN)。
当然，装置1可安装在与服务器2连接的辅助设备类的一个外部单元，这时它将直接连接到外部网络(因特网)。
在所示的例子中，就流入和流出(主要)的数据包基本上等同的意义上来说，服务器是“路由器”型的。例如，服务器2适于交换语音数据。例如，其装有通过内部网络4通信的多个电子电路卡。这些卡之一提供对外部网络3(这里是因特网)的访问，因而装有WAN接口(ADSL，ISDN，以太网)。每个卡有其自己的特许，特别是关于其可在内部网4上产生，给予内部网其他数据处理硬件的通信量类型。
服务器2最好还主控可配置或可参数化服务，例如电子邮件模块，因特网模块，虚拟专用网(VPN)模块等等。
服务器2还装有业内专业人员所周知的防火墙5，并主要是为过滤通过输入/输出接口6从外部网3，或通过输入/输出接口7从内部网4接收的主要数据包。
这样防火墙5保护用户终端Ti，或这里是专用网4，避免来自外部网3的侵扰与攻击。
可以设想任何类型的过滤，只要是基于向由服务器2接收的主要数据包施用可参数化基本(或主要)规则。这可推广到整个的网络或一个网络的一些部分，或适配于每一用户。如果其适配于每一用户，则过滤同样用于用户的认证。
当然，防火墙可配置为提供过滤以外的功能。其特别可存储用户终端与外部网之间交换的一定的信息。这个问题一般是在适当的存储器中保存先前接受的连接的坐标(用户地址，各种web站点上访问的网页的地址(例如URL)，访问的数据和时间)。其还可以配置为向较高层防火墙OSI模型馈送数据包分析，例如对于这样的防火墙，作为其应用层元件的一个功能，其能够决定接收还是拒绝一个包。进而其还可以配置为保留一定交换的包的轨迹(“LOG”模式)和/或修改一定的包的内容(网址转换(NAT)模式-例如用于屏蔽内部网的IP地址)。其还可以配置为检测病毒。
在所示的例子中，防火墙4构成根据本发明的装置1的一部分。然而，装置1另外可简单地与一“本地”防火墙连接，以便动态地管理并控制其配置。
以下参照图2详细描述本发明的处理装置1的一个例子。
如以上指出，这例子中装置1首先包括构成防火墙5的一个控制模块。由于这一防火墙基本上等同于标准(或本地)的防火墙，故不详述。具体来说，在以下忽略其分层结构，因为这对于业内专业人员是非常熟悉的。
防火墙模块5是为从服务器2通过其输入/输出接口6和7之一接收主要数据包，以便向其施加基于可参数化基本(或主要)规则定义的专用处理(或过滤)操作。
更准确来说，首先通过安装定义了主动过滤器的可参数化主要规则的一个排序序列而配置防火墙模块5，使得所述过滤器作为它们自身特征的一个函数，可相继地并按已排序的方式施加到包，诸如源和目标地址，输入与输出网址，通过IP协议的交换，诸如TCP，UDP或ICMP(例如在因特网的情形下)，或作为适用于交换协议的参数的函数，诸如在TCP及UDP情形下的源和目标端口，或在ICMP情形下的包类型。
防火墙的配置一般必须默认禁止所有通信，且主动过滤器应当只对必须被授权的通信量一定的子集授权。例如，连接内部网与因特网的路由器可采用以下简化的规则：
●接受与以前接受的包相关的包；
●接受来自内部网(LAN)及去向因特网的包，例如如果它们是HTTP或HTTPS(TCP/80与TCP/443)类型；
●接受来自LAN及去向路由器的包，例如如果它们是DNS(UDP/53)或Echo Request(ICMP，请求反应)类型；
●接受与公司LAN上规定地址“*@*”的邮件服务器相关的包，例如来自因特网并去向LAN上地址*@*的SMTP(TCP/25)包，或来自地址*@*并去向因特网的POP3(TCP/25与TCP/110)包。
由于过滤功能的结果，防火墙模块5向服务器2传送或者是被处理的主要数据，即当过滤并其中可施加完整的和/或修改时的主要数据，或者拒绝所收到的主要数据的消息。当然，主要数据在其由防火墙模块5接收之后还可仅仅是通过服务器。
装置1包括一管理模块8，用于优化定义服务器配置的基本规则的排序的序列，但更重要的是，每当服务器2(或其防火墙模块5)接收次要数据，例如该数据对应于内部网4上的修改，或对应于内部网4或外部网3上不可预见的事件，以及对其提供高级安全性时，使其能够动态地以最优的方式被重新配置。
更准确地说，管理模块8是为动态适配防火墙模块5的配置，这首先是对于服务器2的物理(或硬件)特性，例如其包含的电子电路卡的数目，卡的类型，或内部网4的拓扑结构，其次是对于服务器的操作配置，例如使其可提供一定的可参数化的内部和/或外部服务，因而这必定是会演变的，其中可采用对一定的用户终端和/或用户许可的出现的特别的限制，以及第三，不可预见内部和/或外部事件的发生，诸如未列出的攻击或列出的攻击，例如试图连接到主控服务(http，VPN，telnet)，端口扫描的企图，在LAN/WAN接口处通信量的修改，诸如向因特网站点或服务，带有远程终端的链路的连接或从其断开，或与认证过程相关联的安全(或加密)通道的出现/消失，或在由服务或由卡执行任务期间产生的刺激。
为了满足上述的功能，管理模块8包含一个配置模块9，其连接到又称为“元防火墙”模块并连接到防火墙模块5的“连接”模块10。
如果服务器2接收与物理(或硬件)特征修改，与服务参数(的修改)，或“上下文”信息(刺激)相关的次要数据，则它产生向管理模块8寻址的辅助(或补充)数据，以请求其(重新)配置它的防火墙模块5。在收到这一辅助数据时，管理模块8将其传送到它的第一配置模块9。
配置模块9是一决策单元，其决定对防火墙模块5当前配置进行修改的机会，而元防火墙10负责其实际的实现。
元防火墙10包含一个接口(或“引擎”)子模块，其连接到防火墙模块5并连接到至少第一存储器12，其中存储定义可参数化基本(或主要)规则与主要标识符之间的对应关系的第一表T1。
更准确地说，称为(主要)元规则的的基本(或主要)规则的集合(或类)的定义/原型存储在第一表中。每一元规则对于选定的过滤类别是特定的。每一集合或类(或主要元规则)包括至少一个基本的或主要规则，但为了定义一个过滤器一般需要多个基本规则。
主要标识符与每一个主要元规则或规则类相关联。因而元规则每一个具有在表T1中存储的定义(或原型)。这些定义最好在装置的设计阶段借助于编译工具产生，并考虑到防火墙5及其使用。实际上，编译工具产生其内容符合防火墙模块5的元规则(或其能够在可由防火墙模块5理解的等价的主要规则中反映)。
第一配置模块9知道元规则的主要标识符列表及它们对应的辅助数据的类型。于是，在接收辅助数据(例如指示新的ISDN型IP连接已由内部网4的终端请求)时，第一配置模块9可从其首先推导数据类型(多个)，并随之对于待(重新)配置的防火墙模块5，推导出必须与辅助数据相关联的元规则(多)。然后它对元防火墙10的引擎11提供主要标识符(多个)以及相关联的辅助数据(或参数值)。
在第一实施例中，在接收主要标识符(多个)与辅助数据(或参数值)时，引擎11从第一表T1提取相关联的定义，并对指定的主要元规则的参数分配收到的值(或辅助数据)。这样，其产生一个或多个新的主要元规则，传送给防火墙模块5，以便以这些元规则代替或添加到已变得不适用的规则(多个)。
这一实施例只修改了防火墙模块5与由服务器2提供的辅助数据相关的部分配置，且如果防火墙模块5能够简单而快速地提供其配置参数，则是有利的。这种情形下，引擎11能够告知防火墙模块5中当前的配置是什么配置，并只修改已经改变的参数。然而如果防火墙模块5没有设计为提供其配置参数，或不能简单并快速地这样作，则这第一实施例可能不是最优的实施例。实际上，由于不知道在防火墙模块5中已被激活的主要元规则，必须使用提供的参数值重新计算所有它的规则，如果这一类包含数目很大的基本规则，这可能证明是一冗长的过程。特别是在随机事件的情形下，这是更困难的或甚至不可能，因为这预示着要保存所有事件的所有特征数据，并设置防火墙模块5的主要规则的参数，如以下所述，这等于把表T2向上游处理级转移。
因而本发明的装置可采取与图2所示稍微不同的形式。在这第二实施例中，元防火墙10包括一个第二存储器13，其连接到引擎11并存储次要标识符与主要标识符之间的对应关系的一个第二表T2，其指定“激活的”(或选择的)主要元规则，因为它们是防火墙模块5当前配置的部分，这与定义作为该配置的一部分的元规则的参数的当前值的辅助数据相关联。换言之，第二存储器13存储防火墙模块5的当前配置。
例如如果主要元规则只与防火墙模块5中单个的参数集(或单个的辅助数据集)使用，则一定的次要标识符可能等同于一定的主要标识符。然而，如果对应的主要元规则与防火墙模块5中几个不同的参数集使用，则次要标识符不同于主要标识符。
第一配置模块9最好知道次要标识符的列表，及它们对应的辅助数据的类型。于是在接收由第一配置模块9提供的次要标识符(多个)与值时，引擎11首先检查第二表T2，以便确定其是否按与辅助数据(或值)的对应关系包含所述次要标识符(多个)，其中可使用的不同于所接收的数据。
如果不是这种情形，其按第一实施例中那样进行。因而其从第一表T1提取与收到的次要或主要标识符相关联的元规则定义，并向该元规则的参数分配收到的值(或辅助数据)。它还可决定从第二表T2删除元规则。这种情形下，其首先重新构成与老的辅助数据相关联的主要规则集，并从防火墙模块5删除它们。如果防火墙模块5不提供识别激活的主要规则的简单的装置(由于元防火墙提供使用次要标识符识别元规则的简单装置，因而可以假设为是这样的情形)，修改元规则还预示着先删除其老版本。
这样，产生了一类新的基本规则，并发送到防火墙模块5，以代替已变得不适用的规则，或添加到已被激活的元规则。然后元规则及相关的辅助数据的次要标识符存储在第二表T2，从现在起它们定义当前配置的部分。
然而，如果第二表T2中存在主要或次要标识符，则提取与主要标识符相关联的辅助数据，并只代替必须改变的数据。当然，如果已由第一配置模块9引入新的参数，则还可添加辅助数据(或值)。然后对防火墙模块5发送修改的元规则(多个)或定参数的新元规则(多个)，以便使它们替代或添加到已变得不适当的元规则。然后新的辅助数据以同相关联的次要标识符及主要标识符对应的的关系存储在第二表T2中，因为从现在起它们定义了当前配置的部分。
为了进一步加速重新配置的处理，构成次要元规则的类(或主要元规则类)的类还可在第二表T2中组成。这种情形下，如果次要元规则是以所述辅助数据而被激活(或选择)，则这些次要元规则与次要标识符相关联，它们也按对相关联的主要标识符和辅助数据对应的关系存储在第二表T2中。
还可在对应关系表中建立主要元规则的规则之间，或次要元规则的主要元规则之间，或主要或次要元规则之间的优先级。
引擎11最好适于按第一配置模块9的命令，从第二表T2删除与在防火墙模块5中不再有效的主要元规则相关联的次要标识符。引擎11最好还适于按第一配置模块9的命令，在第二表T2中添加或修改与新的主要或第二元规则相关联的次要标识符，或向次要元规则添加或从其去除一个或多个主要元规则。其还可适于按命令在同一个次要元规则内合并属于至少两个不同的主要或次要元规则的主要或次要元规则，或把一个主要或次要元规则分离为至少两个主要或次要元规则，以生成新的过滤器定义。
由第一配置模块11发送的命令最好是从服务器2接收的命令(或补充数据)的结果。
以下描述在第二表T2中保存数据的两个解释性例子。如上所述，第一表T1包括与主要标识符有对应关系的主要元规则的定义或原型。例如，主要标识符“Email”指定以下三个主要规则原型的集合：
●规则1：Flow＝FromLanToWan  Source＝$1 Protocol＝tcp
DestinationPort＝smtp Action＝ACCEPT
●规则2：Flow＝FromLanToWan    Source＝$1 Protocol＝tcp
DestinationPort＝pop3  Action＝ACCEPT
●规则3：Flow＝FromLanToWan   Destination＝$1 Protocol＝tcp
DestinationPort＝smtp Action＝ACCEPT
这一Email元规则用来在内部网(LAN)上的电子邮件服务器与因特网上的ISP服务器之间交换电子邮件。其只包括一个参数(辅助数据)“$1”，该参数对应于LAN上电子邮件服务器的ISP地址。
这一参数使用对三个主要规则原型特定的语法发送。
刻划主要规则的其他参数(“Protocol＝tcp”，“DestinationPort＝smtp”或“FromLanToWan”)在第一表的项中静态地定义。
如果希望使用服务器地址10.0.0.1(或辅助数据)激活主要元规则Email，则按与这一例子中也可以是Email的次要标识符的对应关系，在第二表T2中保存与地址10.0.0.1相关联的主要标识符Email。在第二表T2中，这可按以下的形式“Email→Email 10.0.0.1”表示。
可使用“元防火墙添加Email 10.0.0.1”类型的命令实现保存。
如果服务器地址必须随后被修改，或元规则Email必须随后被删除，则分别发出命令“元防火墙添加Email 20.0.0.1”及“元防火墙删除Email”。
如果安装演变，例如包含地址为“10.0.0.2”的第二电子邮件服务器，并希望使用单个的次要元规则管理两个服务器，则次要标识符“服务器”可与该次要元规则相关联。
为了保存在第二表T2中指定次要元规则及相关联辅助数据的这一次要标识符，发出“元防火墙addin Server Email 10.0.0.1”及“元防火墙appendin Server Email 10.0.0.2”的命令。
在第二表T2中这可表示为以下形式：
●Server→Email 10.0.0.1
Email 10.0.0.2
如果证明必须，则元规则服务器可通过“元防火墙删除Server”命令删除。
虽然这不是必须的，但第一配置模块9可被划分为多个配置子模块，每一个负责激活并设置(主要和/或次要)元规则的分开的集合的参数(辅助参数)，使得在接收主要数据时只调用与其相关联的模块。这种情形下，每一子模块适于对本身连接到第一表T1的一部分的引擎11的一部分寻址。模块之间可能存在以来关系。这种情形下，调用第一模块意味着模块本身转而调用其依赖的或与其相关联的模块。这可进而降低计算重新配置所需的时间。
以上以两个连接但分开的模块的形式描述了配置模块9和元防火墙10。然而它们可组成一个单个的模块8。
此外，已经描述了本身构成防火墙的一个装置。然而，当防火墙模块已按本地的形式安装在服务器2中时，本发明的装置不包含防火墙模块5是合理的。因而，这种情形下，本发明的装置只由管理模块8组成，这时该模块必须安装在服务器2中，以便在其中与本地防火墙模块连接。
此外，装置1的一定的模块，诸如第一配置模块9和引擎11，可采用软件的模块(多个)的形式。然而，它们可等同地至少部分地以电子电路(硬件)，或以软件模块与电子电路组合的形式实现。软件模块可以由Java，C或C++写成。
元防火墙10的功能(具体来说通过表T1和T2对规则的命名)也可集成到标准防火墙5中。
本发明还提供了动态数据处理的方法，用于对由数据处理服务器12接收的主要数据施加基于主要规则的专用过程，使得收到的主要数据在其由所述服务器传送之前被处理。
这一方法可使用上述的装置实现。通过该方法的步骤提供的主要的和可选的功能及子功能，基本上与由构成上述装置的各种装置提供的功能等同，只是根据本发明实现该方法主功能的步骤描述如下。
该方法包括一个预先步骤，其中以可参数化形式按与主要标识符对应的关系，在第一表T1中存储主要规则(称为“主要元规则”，由至少一个主要规则组成)的集合，此后在第一表T1中选择一定的主要标识符，并在接收次要数据接收之后由服务器2传送的表示操作参数的辅助数据时，在第一表中选择至少一个主要标识符，并使辅助数据与该主要标识符相关联，以定义专用过程。
此外，在预先步骤，次要标识符可存储在第二表T2中，每一个与至少一个选择的与辅助数据相关联的主要标识符有对应关系。
此外，第一表T1中主要元规则的选择，及与表示表T2中选择的主要或次要元规则的次要标识符相关联的辅助数据的修改，两者可并行执行。
本发明不限于以上仅以例子的方式描述的装置和方法的实施例，而是囊括属于以下权利要求范围业内专业人员可以设想的所有变种。

Claims (14)

1.一种数据处理装置(1)，适于安装在一数据处理服务器(2)中，所述服务器适于接收主要数据，并在通过控制装置(5)基于主要规则施用专用处理之后传送所述主要数据，所述装置的特征在于，其包括i)第一表(T1)，所述表以可参数化的形式并以与主要标识符对应的关系，存储称为“主要元规则”的至少一个主要规则的集合，以及ii)管理装置(8)，其适于连接到所述控制装置(5)，并在由服务器(2)接收次要数据之后，在接收表示由所述控制装置(5)提供的操作参数的辅助数据时，选择第一表(T1)中至少一个主要标识符，并使辅助数据与其相关联，以定义所述专用处理。
2.根据权利要求1的装置，其特征在于，包括一个对于所述管理装置(8)可访问的第二表(T2)，其中存储次要标识符，其每一个与至少一个选择的与辅助数据相关联的主要标识符有对应关系。
3.根据权利要求2的装置，其特征在于，所述管理装置(8)在接收所述辅助数据时适于确定选择的与其对应的主要标识符在所述第二表(T2)中是否存在，以便使新的用来适配所述专用处理的辅助数据与其相关联。
4.根据权利要求2的装置，其特征在于，第二表(T2)中一定的选择的主要元规则被分组为由次要标识符表示的次要元规则。
5.根据权利要求4的装置，其特征在于，所述管理装置(8)i)包括多个管理子模块，每一个适于管理辅助数据与至少一个主要或次要元规则的相关联，以及ii)在接收所述辅助数据时适于确定所述管理子模块的哪一个与之对应。
6.根据权利要求4的装置，其特征在于，所述管理装置(8)在接收由服务器(2)传送的所述辅助数据时，适于添加、删除或修改第二表(T2)中的主要或次要元规则或与所述主要或次要元规则相关联的辅助数据。
7.根据权利要求1的装置，其特征在于，所述管理装置(8)和所述第一表和第二表(T1，T2)是元防火墙的部分，适于管理配备于所述服务器(2)的防火墙。
8.一种防火墙系统，其特征在于，包括根据权利要求1到7任何之一的装置(1)。
9.一种数据处理方法，在于向由数据处理服务器(2)接收的主要数据施加基于主要规则的专用过程，使得收到的主要数据在由所述服务器传送之前被处理，所述方法的特征在于，其包括预先一个步骤，其中i)在第一表(T1)中以可参数化的形式并以与主要标识符对应的关系，存储称为“主要元规则”的至少一个主要规则的集合，以及ii)在接收次要数据之后在接收表示由服务器(2)传送的操作参数的辅助数据时，选择第一表(T1)中至少一个主要标识符，并使所述辅助数据与所述主要标识符相关联，以便定义所述专用过程。
10.根据权利要求9的方法，其特征在于，在预先步骤期间，在第二表(T2)中存储次要标识符，其每一个与至少一个选择的同辅助数据相关联的主要标识符有对应关系。
11.根据权利要求10的方法，其特征在于，在接收辅助数据时，确定所选择的与其对应的主要标识符在第二表(T2)中是否存在，以便使新的适于适配所述专用过程的辅助数据与其相关联。
12.根据权利要求10的方法，其特征在于，在第二表(T2)中一定的主要元规则被分组为由次要标识符表示的次要元规则。
13.根据权利要求9的方法，其特征在于，并行地执行i)在第一表(T1)中选择主要或次要元规则，以及ii)在第二表(T2)中修改与表示选择的主要或次要元规则的次要标识符相关联的辅助数据。
14.根据权利要求9的方法，其特征在于，在接收由所述服务器(2)传送的补充数据时，向第二表(T2)添加，从其删除或修改主要或次要元规则。
CN03808919.XA 2002-04-23 2003-04-22 数据过滤器管理装置 Expired - Fee Related CN100550893C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR02/05091 2002-04-23
FR0205091A FR2838843B1 (fr) 2002-04-23 2002-04-23 Dispositif d'adaptation dynamique de filtres de donnees

Publications (2)

Publication Number Publication Date
CN1647486A CN1647486A (zh) 2005-07-27
CN100550893C true CN100550893C (zh) 2009-10-14

Family

ID=28686310

Family Applications (1)

Application Number Title Priority Date Filing Date
CN03808919.XA Expired - Fee Related CN100550893C (zh) 2002-04-23 2003-04-22 数据过滤器管理装置

Country Status (8)

Country Link
US (1) US8914339B2 (zh)
EP (1) EP1357724B1 (zh)
JP (1) JP4308753B2 (zh)
CN (1) CN100550893C (zh)
AT (1) ATE500674T1 (zh)
DE (1) DE60336188D1 (zh)
FR (1) FR2838843B1 (zh)
WO (1) WO2003092241A1 (zh)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100388676C (zh) * 2004-12-06 2008-05-14 中兴通讯股份有限公司 电信设备性能报表的自动生成方法
CN100372331C (zh) * 2005-12-12 2008-02-27 华为技术有限公司 一种过滤数据的方法及系统
CN101083607B (zh) * 2006-05-30 2010-12-08 倪海生 一种用于内外网络隔离的因特网访问服务器及其处理方法
WO2008154556A1 (en) * 2007-06-11 2008-12-18 Blade Network Technologies, Inc. Sequential frame forwarding
US9667442B2 (en) * 2007-06-11 2017-05-30 International Business Machines Corporation Tag-based interface between a switching device and servers for use in frame processing and forwarding
US8867341B2 (en) * 2007-11-09 2014-10-21 International Business Machines Corporation Traffic management of client traffic at ingress location of a data center
WO2009061973A1 (en) * 2007-11-09 2009-05-14 Blade Network Technologies, Inc. Session-less load balancing of client traffic across servers in a server group
US8458769B2 (en) * 2009-12-12 2013-06-04 Akamai Technologies, Inc. Cloud based firewall system and service
CN101834843B (zh) * 2010-03-18 2012-12-05 吉林大学 建立防火墙吞吐率与过滤规则条数和排列顺序关系的方法
CN101977235B (zh) * 2010-11-03 2013-03-27 北京北信源软件股份有限公司 一种针对https加密网站访问的网址过滤方法
US9203704B2 (en) * 2011-08-22 2015-12-01 Verizon Patent And Licensing Inc. Discovering a server device, by a non-DLNA device, within a home network
KR101913313B1 (ko) * 2011-12-28 2018-10-31 삼성전자주식회사 게이트웨이에서 인터넷 프로토콜 기반 네트워크를 이용하여 컨텐츠 중심 네트워크를 구현하는 방법 및 그 게이트웨이
CN103259773A (zh) * 2012-02-21 2013-08-21 精品科技股份有限公司 一种因特网的数据封包防护系统及其方法
US9426067B2 (en) 2012-06-12 2016-08-23 International Business Machines Corporation Integrated switch for dynamic orchestration of traffic

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0856974A2 (en) * 1997-01-15 1998-08-05 AT&T Corp. Session cache and rule caching method for a dynamic filter
EP0909075A1 (en) * 1997-09-12 1999-04-14 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with cache query processing
CN1253685A (zh) * 1997-03-11 2000-05-17 西格技术公司 管理因特网和企业内部网活动的方法和装置

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6243815B1 (en) * 1997-04-25 2001-06-05 Anand K. Antur Method and apparatus for reconfiguring and managing firewalls and security devices
NO305420B1 (no) * 1997-09-02 1999-05-25 Ericsson Telefon Ab L M Anordning ved datakommunikasjonssystem, spesielt ved kommunikasjon via brannmurer
US7143438B1 (en) * 1997-09-12 2006-11-28 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with multiple domain support
US6691168B1 (en) * 1998-12-31 2004-02-10 Pmc-Sierra Method and apparatus for high-speed network rule processing
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
US6718535B1 (en) * 1999-07-30 2004-04-06 Accenture Llp System, method and article of manufacture for an activity framework design in an e-commerce based environment
US6704873B1 (en) * 1999-07-30 2004-03-09 Accenture Llp Secure gateway interconnection in an e-commerce based environment
US6839680B1 (en) * 1999-09-30 2005-01-04 Fujitsu Limited Internet profiling
US6901578B1 (en) * 1999-12-06 2005-05-31 International Business Machines Corporation Data processing activity lifecycle control
US6904449B1 (en) * 2000-01-14 2005-06-07 Accenture Llp System and method for an application provider framework
US6941355B1 (en) * 2000-09-08 2005-09-06 Bbnt Solutions Llc System for selecting and disseminating active policies to peer device and discarding policy that is not being requested
CA2347304C (en) * 2001-05-10 2010-10-05 Atreus Systems, Inc. Broadband network service delivery method and device
US20050086325A1 (en) * 2001-06-12 2005-04-21 Slipp Mark W. Method and apparatus for network content insertion and phase insertion
US6978383B2 (en) * 2001-07-18 2005-12-20 Crystal Voice Communications Null-packet transmission from inside a firewall to open a communication window for an outside transmitter
US7222359B2 (en) * 2001-07-27 2007-05-22 Check Point Software Technologies, Inc. System methodology for automatic local network discovery and firewall reconfiguration for mobile computing devices
US7131141B1 (en) * 2001-07-27 2006-10-31 At&T Corp. Method and apparatus for securely connecting a plurality of trust-group networks, a protected resource network and an untrusted network
US7822970B2 (en) * 2001-10-24 2010-10-26 Microsoft Corporation Method and apparatus for regulating access to a computer via a computer network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0856974A2 (en) * 1997-01-15 1998-08-05 AT&T Corp. Session cache and rule caching method for a dynamic filter
CN1253685A (zh) * 1997-03-11 2000-05-17 西格技术公司 管理因特网和企业内部网活动的方法和装置
EP0909075A1 (en) * 1997-09-12 1999-04-14 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with cache query processing

Also Published As

Publication number Publication date
FR2838843B1 (fr) 2004-12-17
JP4308753B2 (ja) 2009-08-05
ATE500674T1 (de) 2011-03-15
FR2838843A1 (fr) 2003-10-24
WO2003092241A1 (fr) 2003-11-06
DE60336188D1 (de) 2011-04-14
CN1647486A (zh) 2005-07-27
EP1357724B1 (fr) 2011-03-02
US20050182815A1 (en) 2005-08-18
JP2005524285A (ja) 2005-08-11
EP1357724A1 (fr) 2003-10-29
US8914339B2 (en) 2014-12-16

Similar Documents

Publication Publication Date Title
CN100550893C (zh) 数据过滤器管理装置
EP3449600B1 (en) A data driven intent based networking approach using a light weight distributed sdn controller for delivering intelligent consumer experiences
CN103650436B (zh) 业务路径分配方法、路由器和业务执行实体
CN103685467B (zh) 一种物联网互联互通平台及其通信方法
CN102132532B (zh) 用于避免不需要的数据分组的方法和装置
CN104205751A (zh) 网络系统、控制器和分组认证方法
CN107819732A (zh) 用户终端访问本地网络的方法和装置
CA2585808A1 (en) Method and system for implementing a secured and centrally managed virtual ip network on a common ip network infrastructure
CN102724175A (zh) 泛在绿色社区控制网络的远程通信安全管理架构与方法
CN103036810B (zh) 基于多外网出口的外网访问控制方法及接入设备
CN101662423A (zh) 单一地址反向传输路径转发的实现方法及装置
CN101202700B (zh) 一种点对点文件共享的流量控制方法、装置及系统
CN109768906B (zh) 一种子网专线配置方法及装置
CN100508453C (zh) 一种开放式真实IPv6源地址过滤与验证方法
CN104065514A (zh) 一种基于netconf中继的家庭网络管理方法
CN102823219B (zh) 保护对经由实现本方法的设备可访问的数据或服务的访问的方法和相应设备
CN110233834A (zh) 网络系统、攻击报文的拦截方法、装置和设备
CN107360089A (zh) 一种路由建立方法、业务数据转换方法及装置
CN101141396B (zh) 报文处理方法和网络设备
CN102833217B (zh) 客户/服务器应用的处理方法及集中处理系统
CN102281189A (zh) 一种基于第三方设备私有属性的业务实现方法及其装置
Furfaro et al. A simulation model for the analysis of DDOS amplification attacks
US20060159087A1 (en) Method for identifying personal information on a network
Kumar et al. Enhancing security management at software-defined exchange points
CN107682473A (zh) 一种ip地址分配方法及装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20091014