CN101252443B

CN101252443B - 检测报文安全性的方法和装置

Info

Publication number: CN101252443B
Application number: CN2008100851215A
Authority: CN
Inventors: 文良君
Original assignee: Huawei Symantec Technologies Co Ltd
Current assignee: Huawei Digital Technologies Chengdu Co Ltd
Priority date: 2008-03-20
Filing date: 2008-03-20
Publication date: 2011-02-16
Anticipated expiration: 2028-03-20
Also published as: CN101252443A

Abstract

本发明公开了一种检测报文安全性的方法和装置，属于通讯技术领域。所述方法包括：接收客户端向服务端发送的服务请求报文；从所述服务请求报文中解析出所述客户端请求的服务内容的标识；根据预设的范围和所述服务内容的标识判断所述服务内容是否需要阻止，如果不需要阻止，则从所述服务端返回的响应报文中解析出所述服务内容，扫描所述服务内容，根据所述扫描的结果确定所述服务内容的安全性。所述装置包括：接收模块、解析模块和检测模块。本发明通过先对服务内容的标识进行检测，并对标识安全的服务内容进行扫描，减小了安全网关装置对服务内容进行扫描检测的机率，降低了安全网关装置的性能开销，提高了对服务内容的安全检测效率。

Description

检测报文安全性的方法和装置

技术领域

本发明涉及通讯技术领域，特别涉及一种检测报文安全性的方法和装置。

背景技术

近年来人们面对来自网络的安全威胁越来越普遍，病毒的大规模传播和泛滥越来越频繁，网络入侵和非法访问往往带有某种利益目的，企业和部门面对的来自内部和外部网络的安全风险越来越大。在这种形势下，传统的包过滤防火墙以及单纯的入侵检测或入侵防御系统很难做到对内部网络的有效保护。为了抵御网络安全威胁，融合了传统包过滤防火墙功能，入侵防御系统功能，以及应用层内容安全检测功能的综合性安全网关出现了，这种安全网关被称为UTM(Unified Threat Management，统一威胁管理)系统。

如图1所示，UTM系统包括：入侵检测模块、内容安全检测模块、应用层协议分析模块、会话管理模块和报文捕获器。其中，报文捕获器捕获流经安全网关的数据报文，会话管理模块建立和维护传输层会话，入侵检测模块发现数据报文中的攻击特征并做出相应的反应，应用层协议分析模块是内容安全检测模块的基础，为内容检测模块提供服务内容和服务类型等信息，内容安全检测模块对数据报文传输的服务内容进行检测。这种安全网关被部署在内部网络的出口处，用来监视从内部网络进和出的数据流量，实时发现各种安全事件并采取防御措施。

上述安全网关进行内容检测的方式是检测客户端请求的服务内容的URI，通过确定URI的类型来判断URI所标识的内容的类别是否安全。Internet上的服务提供者提供的各种服务内容都具有独一无二的URI(Uniform Resource Identifier，统一资源标志符)，URI可以在Internet的范围内唯一标识一项服务内容。如WWW服务的URL(Uniform Resource Locator，统一资源定位)就是一种URI，每一张网页都有一个唯一的URL，FTP提供下载的每个文件也具有唯一的URI。在安全网关装置上预先设置本地的URI黑名单与白名单，和/或通过网络获取第三方对URI的评级服务，检测时安全网关装置捕获每一次客户端向服务端发出的服务请求，解析出服务类型和所请求内容的URI，然后根据本地设置的URI黑名单与白名单，和/或通过第三方的URI评级服务确定所述URI标识的服务内容的安全级别，并根据该安全级别对此次请求采取动作消除安全威胁。如属于URI黑名单的服务请求，则拒绝发送该请求给服务端，属于URI白名单的服务请求，则发送给请求给服务端。

在实现本发明的过程中，发明人经过研究发现上述现有技术至少具有以下缺点：

检测主要依赖于安全网关装置本地配置的URI黑名单与白名单，和/或第三方URI评级服务，而URI黑名单与白名单，以及URI评级服务通常都是技术人员依据经验手工配置的，检测安全威胁的准确率比较低。

发明内容

本发明实施例提供了一种检测报文安全性的方法和装置，可提高检测的准确率。

一方面，本发明实施例提供了一种检测报文安全性的方法，所述方法包括：

接收客户端向服务端发送的服务请求报文；

从所述服务请求报文中解析出所述客户端请求的服务内容的标识；

根据预设的范围和所述服务内容的标识判断所述服务内容是否需要阻止，如果不需要阻止，则从所述服务端返回的响应报文中解析出所述服务内容，扫描所述服务内容，根据所述扫描的结果确定所述服务内容的安全性；如果根据所述扫描的结果确定所述服务内容安全，则将所述服务内容转发给所述客户端；如果根据所述扫描的结果确定所述服务内容不安全，则拒绝转发所述服务内容给所述客户端。

另一方面，本发明实施例还提供了一种检测报文安全性的装置，所述装置包括：

接收模块，用于接收客户端向服务端发送的服务请求报文；

解析模块，用于从所述接收模块收到的服务请求报文中解析出所述客户端请求的服务内容的标识；

检测模块，用于根据预设的范围和所述解析模块解析出的标识判断所述服务内容是否需要阻止，如果不需要阻止，则从所述服务端返回的响应报文中解析出所述服务内容，扫描所述服务内容，根据所述扫描的结果确定所述服务内容的安全性；

控制模块，用于当所述检测模块根据所述扫描的结果确定所述服务内容安全时，将所述服务内容转发给所述客户端；当所述检测模块根据所述扫描的结果确定所述服务内容不安全时，拒绝转发所述服务内容给所述客户端。

本发明实施例通过先对服务内容的标识进行检测，并对标识安全的服务内容进行扫描，减小了安全网关装置对服务内容进行扫描检测的机率，降低了安全网关装置的性能开销，提高了对服务内容的安全检测效率。

附图说明

图1是现有技术中的安全网关装置的结构示意图；

图2是本发明实施例1提供的检测报文安全性的方法流程图；

图3是本发明实施例1提供的在黑名单中添加标识的流程示意图；

图4是本发明实施例2提供的检测报文安全性的装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

本发明实施例提供的检测报文安全性的方法，具体包括：接收客户端向服务端发送的服务请求报文；从服务请求报文中解析出客户端请求的服务内容的标识；根据预设的范围和该标识判断客户端请求的服务内容是否需要阻止，如果不需要阻止，则从服务端返回的响应报文中解析出客户端所请求的服务内容，扫描该服务内容，根据扫描的结果确定该服务内容的安全性。

本发明实施例中的URI包括但不限于：URL、email发件人的邮件地址等等。本发明实施例中被检测的内容有多种，包括但不限于web页面、HTTP上传或下载的文件、FTP下载的文件，以及其他各种应用层协议传输的内容等等。

实施例1

参见图2，本发明实施例提供了一种检测报文安全性的方法，具体包括：

步骤101：在安全网关装置上预先设置需要阻止的范围，本实施例以黑名单为例进行说明。该黑名单中包括需要阻止的服务内容的标识，在本实施例中黑名单中包含需要阻止的服务内容的URI，初始化时该黑名单可以为空。

步骤102：安全网关装置接收客户端向服务端发送的服务请求报文。

步骤103：安全网关装置从该服务请求报文中解析出客户端请求的服务内容的标识。

步骤104：安全网关装置判断该标识是否在预设的黑名单中，如果是，则执行步骤105；否则，执行步骤106。

步骤105：该标识在黑名单中，则确定该标识对应的服务内容不安全，需要阻止，进一步地，安全网关装置拒绝转发客户端的服务请求报文给服务端，即阻挡此次请求，然后结束。

步骤106：该标识未在黑名单中，则确定该标识对应的服务内容不需要阻止，因此放行此次请求，将客户端的服务请求报文转发给服务端。

步骤107：服务端收到服务请求报文后，返回相应的响应报文，该响应报文中包含客户端所请求的服务内容。

步骤108：安全网关装置收到服务端返回的响应报文后，从该响应报文中解析出服务内容，扫描该服务内容，并根据扫描的结果确定该服务内容的安全性，然后结束。

进一步地，如果扫描后确定该服务内容安全，则安全网关装置将该服务内容转发给客户端，即放行此服务内容；如果扫描后确定该服务内容不安全，则安全网关装置拒绝转发该服务内容给客户端，即阻挡此服务内容。

为了更有效地利用黑名单，进一步地，还可以对预设的黑名单进行更新，即上述方法还包括：当确定服务内容不安全后，还可以将该服务内容的标识添加到黑名单中，并记录加入该标识的时间；当该标识在黑名单内的生存时间达到指定的有效时间时，删除该标识。每个标识在黑名单中的有效时间可以指定为不同的时间，如URI1的有效时间为1天，URI2的有效时间为2天，检测标识是否超时可以采取定时轮询的机制，发现超时的标识，则删除；也可以在当前标识命中黑名单中的一个标识时，检测该标识是否超时，如果超时，则删除，这种情况下，忽略此次命中，即认为当前标识未命中黑名单。通过更新黑名单，加入新确定的内容不安全的服务标识，可以保证下一次请求该服务时，该服务被直接阻止，而无需再次对该服务的内容进行扫描，因此可以降低安全网关装置对服务内容进行扫描检测的机率，降低了安全网关装置的性能开销，提高用户的体验。

另外，参见图3，当确定客户端当前请求的服务内容不安全，向黑名单中加入该服务内容的标识时，先判断该黑名单的存储容量是否达到指定的值，如果是，即黑名单满时，则删除黑名单中最久未命中的标识；否则，直接将新的标识添加到黑名单中。其中，在黑名单中加入新的标识时，将其排在黑名单的首部，当命中黑名单中的一个标识时，也将该标识排在黑名单的首部，因此未命中的标识会排在黑名单的尾部，当黑名单满时，可以将黑名单最末尾的标识删除，从而可以添加新的标识在黑名单中。

本实施例以黑名单为例进行说明，类似地，还可以在安全网关装置上配置白名单，即不需要阻止的列表，它包含不需要阻止的服务内容的标识，当客户端所请求的服务内容的标识在白名单内时，确定该标识所对应的服务内容不需要阻止，则安全网关装置放行该请求；当该标识不在白名单时，确定该标识所对应的服务内容需要阻止，则根据服务端返回的响应报文，解析出服务内容进行扫描，以进一步确定服务内容的安全性。类似地，还可以对预设的白名单进行更新，当确定服务内容安全后，将该服务内容的标识添加到白名单中，具体过程与对黑名单进行更新的过程相同，此处不再赘述。

本发明实施例中安全网关装置还可以既设置黑名单，又设置白名单，或者不设置名单，通过第三方对URI的评级服务对标识进行检测，以确定该标识所对应的服务内容是否需要阻止。

本实施例通过先对服务内容的标识进行检测，并对标识安全的服务内容进行扫描，提高了对服务内容的安全检测效率，而没有降低检测的准确率。通过根据扫描的结果动态更新预设的范围，并相应地维护该范围，使安全网关装置可以根据最新的范围进行检测，降低了安全网关装置对服务内容进行扫描检测的机率，降低了安全网关装置的性能开销，提高用户的体验。

实施例2

参见图4，本发明实施例还提供了一种检测报文安全性的装置，具体包括：

接收模块，用于接收客户端向服务端发送的服务请求报文；

解析模块，用于从接收模块收到的服务请求报文中解析出客户端请求的服务内容的标识；

检测模块，用于根据预设的范围和解析模块解析出的标识判断该服务内容是否需要阻止，如果不需要阻止，则从服务端返回的响应报文中解析出该服务内容，扫描该服务内容，根据扫描的结果确定该服务内容的安全性。

其中，检测模块具体包括：

判断单元，用于判断解析模块解析出的标识是否在预设的黑名单内，如果在，则判定该服务内容需要阻止；否则，判定该服务内容不需要阻止；

检测单元，用于当判断单元判断出该服务内容不需要阻止时，从服务端返回的响应报文中解析出服务内容，扫描该服务内容，根据扫描的结果确定该服务内容的安全性。

进一步地，图4所示的装置还可以包括：

阻止模块，用于当检测模块根据预设的范围和解析模块解析出的标识判断出该服务内容需要阻止时，确定客户端请求的服务内容不安全，拒绝转发服务请求报文给服务端。

进一步地，图4所示的装置还可以包括：

控制模块，用于当检测模块根据扫描的结果确定该服务内容安全时，将该服务内容转发给客户端；当检测模块根据扫描的结果确定该服务内容不安全时，拒绝转发该服务内容给客户端。

为了更有效地利用黑名单，进一步地，图4所示的装置还包括：

添加模块，用于当检测模块根据所述扫描的结果确定该服务内容不安全时，将该服务内容的标识添加到预设的黑名单中，并记录加入该服务内容的标识的时间，即对预设的黑名单进行更新。

当上述装置包括添加模块时，进一步地，还可以包括：

维护模块，用于当添加模块添加的标识在预设的黑名单内的生存时间达到指定的有效时间时，删除该标识；当该黑名单的存储容量达到指定的值时，删除该黑名单内最久未命中的标识。

本实施例中的装置除了预设黑名单外，还可以预设白名单，或者通过第三方对URI的评级服务对标识进行检测。对预设的黑名单、白名单进行维护更新的方式与实施例1中的过程相同，此处不再赘述。

本实施例通过先对服务内容的标识进行检测，并对标识安全的服务内容进行扫描，提高了对服务内容的安全检测效率，而没有降低检测的准确率。通过根据扫描的结果动态更新预设的范围，并相应地维护该范围，使安全网关装置可以根据最新的范围进行检测，降低了安全网关装置对服务内容进行扫描检测的机率，降低了安全网关装置的性能开销，提高了用户的体验。

本发明实施例中的方法可以利用软件实现，所述软件可以存储于一计算机可读取存储介质中，所述的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种检测报文安全性的方法，其特征在于，所述方法包括：

接收客户端向服务端发送的服务请求报文；

2.根据权利要求1所述的检测报文安全性的方法，其特征在于，所述根据预设的范围和所述服务内容的标识判断所述服务内容是否需要阻止，具体包括：

判断所述服务内容的标识是否在预设的黑名单内，如果在，则判定所述服务内容需要阻止；否则，判定所述服务内容不需要阻止。

3.根据权利要求1所述的检测报文安全性的方法，其特征在于，所述根据预设的范围和所述服务内容的标识判断所述服务内容是否需要阻止，具体包括：

判断所述服务内容的标识是否在预设的白名单内，如果在，则判定所述服务内容不需要阻止；否则，判定所述服务内容需要阻止。

4.根据权利要求1所述的检测报文安全性的方法，其特征在于，所述方法还包括：

如果根据预设的范围和所述服务内容的标识判断出所述服务内容需要阻止，则确定所述服务内容不安全，拒绝转发所述服务请求报文给所述服务端。

5.根据权利要求2所述的检测报文安全性的方法，其特征在于，所述方法还包括：

如果根据所述扫描的结果确定所述服务内容不安全，则将所述服务内容的标识添加到所述黑名单中，并记录加入所述服务内容的标识的时间。

6.根据权利要求5所述的检测报文安全性的方法，其特征在于，所述方法还包括：

当所述服务内容的标识在所述黑名单内的生存时间达到指定的有效时间时，删除所述服务内容的标识；

当所述黑名单的存储容量达到指定的值时，删除所述黑名单内最久未命中的标识。

7.根据权利要求3所述的检测报文安全性的方法，其特征在于，所述方法还包括：

如果根据所述扫描的结果确定所述服务内容安全，则将所述服务内容的标识添加到所述白名单中。

8.一种检测报文安全性的装置，其特征在于，所述装置包括：

接收模块，用于接收客户端向服务端发送的服务请求报文；

9.根据权利要求8所述的检测报文安全性的装置，其特征在于，所述检测模块具体包括：

判断单元，用于判断所述解析模块解析出的标识是否在预设的黑名单内，如果在，则判定所述服务内容需要阻止；否则，判定所述服务内容不需要阻止；

检测单元，用于当所述判断单元判断出所述服务内容不需要阻止时，从所述服务端返回的响应报文中解析出所述服务内容，扫描所述服务内容，根据所述扫描的结果确定所述服务内容的安全性。

10.根据权利要求8所述的检测报文安全性的装置，其特征在于，所述装置还包括：

阻止模块，用于当所述检测模块根据预设的范围和所述解析模块解析出的标识判断出所述服务内容需要阻止时，确定所述服务内容不安全，拒绝转发所述服务请求报文给所述服务端。

11.根据权利要求9所述的检测报文安全性的装置，其特征在于，所述装置还包括：

添加模块，用于当所述检测模块根据所述扫描的结果确定所述服务内容不安全时，将所述服务内容的标识添加到所述黑名单中，并记录加入所述服务内容的标识的时间。

12.根据权利要求11所述的检测报文安全性的装置，其特征在于，所述装置还包括：

维护模块，用于当所述添加模块添加的标识在所述黑名单内的生存时间达到指定的有效时间时，删除所述标识；当所述黑名单的存储容量达到指定的值时，删除所述黑名单内最久未命中的标识。