CN101478478A - 一种报文处理方法、装置和系统 - Google Patents

一种报文处理方法、装置和系统 Download PDF

Info

Publication number
CN101478478A
CN101478478A CNA2008102421705A CN200810242170A CN101478478A CN 101478478 A CN101478478 A CN 101478478A CN A2008102421705 A CNA2008102421705 A CN A2008102421705A CN 200810242170 A CN200810242170 A CN 200810242170A CN 101478478 A CN101478478 A CN 101478478A
Authority
CN
China
Prior art keywords
message
filtering
shunting
filtering rule
filter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2008102421705A
Other languages
English (en)
Inventor
李军辉
陆春华
云长江
秦二辉
韩雷
曾斯柯
王立业
雷新
刘悦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CNA2008102421705A priority Critical patent/CN101478478A/zh
Publication of CN101478478A publication Critical patent/CN101478478A/zh
Priority to PCT/CN2009/075414 priority patent/WO2010075728A1/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及网络通信领域，尤其涉及一种报文处理方法、装置和系统。该方法包括：根据过滤规则集合，过滤报文中的非敏感流量；对所述过滤后的报文进行分流；分析所述分流后的报文，并根据分析结果更新所述过滤规则集合。采用本发明实施例提供的技术方案，因为在分流设备对报文分流前进行预过滤，可以减小需要进行分流的报文的规模，从而同时减少了分析设备对非敏感流量的重复分析，解决了分流设备流量压力大、分析设备效率低的问题。

Description

一种报文处理方法、装置和系统
技术领域
本发明涉及网络通信领域，尤其涉及一种报文处理方法、装置和系统。
背景技术
随着信息技术的发展，网络应用的日益广泛，网络安全成为各运营商、国家安全部门的重要工作之一；由于网络流量海量增长，应用日趋复杂，后台处理系统因平台局限无法直接对流量进行处理，需要专门的分流设备，将网络中的数据报文，分解成适合处理系统或分析设备处理的粒度，按要求重定向到特定的服务器进行分析，同时不影响网络流量传输。
分析设备识别到有害信息，为了防止有害信息继续传递，需要对网络的数据报文进行阻断，但对正常报文继续转发。
安全分流路由器通过分光器介入到骨干网中。当接收到从前级设备分光或者镜像过来的报文时，安全分流路由器根据访问控制列表(Access Control List，ACL)的配置进行匹配和动作。对不匹配任何ACL中任何表项的报文直接丢弃，匹配的报文重定向到对应的端口或者端口组，在端口组的各端口间以负载分担方式输出。这样就完成一个流量引入、分流、负载分担的系统，供后级设备对流量进行检测分析和监视。
随着互联网的快速发展，网络流量呈快速增长趋势，各种应用产生了大量数据传输，后台分析设备规模越来越大，压力也不断增加，导致分析设备需要处理大量非敏感流量(如电驴，迅雷等点对点流量)，降低了分析设备的效率，同时分流设备也会对非敏感数据流量分流，大量占用有限的资源。分析设备的增加也增加分析结果的整合成本和效率。
发明内容
本发明实施例的目的是提供一种报文处理方法和装置，以及一种报文处理系统，解决了分流设备流量压力大、分析设备效率低的问题。
本发明实施例的目的是通过以下技术方案实现的：
一种报文处理方法，包括：
根据过滤规则集合，过滤报文中的非敏感流量；
对所述过滤后的报文进行分流；
分析所述分流后的报文，并根据分析结果更新所述过滤规则集合。
一种报文处理系统，包括过滤装置、分流设备和分析设备；其中，
所述过滤装置，用于根据所述分析设备配置的过滤规则集合过滤报文中的非敏感流量，并向所述分流设备发送经过过滤的报文；
所述分流设备，用于将所述经过过滤装置过滤的报文分流到所述分析设备；
所述分析设备，用于根据分析规则对所述经过分流设备分流的报文进行分析，并使所述过滤装置根据所述分析设备的分析结果更新所述过滤规则集合。
一种过滤装置，位于分流设备之前，包括：
规则维护模块，用于维护分析设备配置的过滤规则集合；
过滤模块，用于根据过滤规则集合过滤报文中的非敏感流量；
发送模块，用于向分流设备发送经过过滤的所述报文以使所述分流设备分流所述经过过滤的报文。
采用本发明实施例提供的技术方案，因为在分流设备对报文分流前进行预过滤，可以减小需要进行分流的报文的规模，从而同时减少了分析设备对非敏感流量的重复分析，解决了分流设备流量压力大、分析设备效率低的问题。
附图说明
图1为本发明一个实施例中报文处理方法流程图；
图2为本发明另一个实施例中过滤装置框图；
图3为本发明又一个实施例中报文处理系统框图；
图4为本发明又一个实施例中报文处理系统的一个具体应用场景示意图；
图5为本发明又一个实施例中报文处理系统的另一个具体应用场景示意图。
具体实施方式
图1为本发明一个实施例中报文处理方法流程图。该方法包括：
102、过滤装置根据分析设备配置的过滤规则集合过滤报文中的非敏感流量。举例来说，所述过滤规则集合可以由五元组规则(源地址、目的地址、源端口、目的端口、协议号)组成。五元组规则可以是完全匹配的或支持掩码的。如果报文中五元组信息与过滤规则集合中的五元组规则匹配则阻止报文通过，如果报文中五元组信息不与过滤规则集合中的任何五元组规则匹配则允许报文通过。
104、对过滤后的报文进行分流。例如，分流设备按访问控制列表的配置对经过过滤的报文进行匹配，将能够匹配访问控制列表的报文分流到相应的分析设备，丢弃不匹配访问控制列表的任何表项的报文。
106、分析分流后的报文，并根据分析结果更新所述过滤规则集合。对经过分流的报文应用分析规则进行分析，得到与分析规则中非敏感流量规则匹配的报文，根据与非敏感流量规则匹配的报文更新过滤规则集合，并向过滤装置发送更新过滤规则集合的信息以使过滤装置更新过滤规则集合。例如，分析设备对流量、地址和在线时间进行统计，结合用户地址和端口信息分析出点对点(peer-to-peer，P2P)应用等非敏感流量，并将非敏感流量的五元组信息向过滤装置发送以使过滤装置更新过滤规则集合。对过滤规则集合的更新可以是增加过滤规则、删除过滤规则、老化过滤规则中的一种或多种。所述老化过滤规则包括静态老化(如时间老化)和动态老化(如超时不命中老化)。分析规则由以下方式中的一种或多种配置：通过客户端配置、通过脚本配置、手工进行配置。
图2为本发明另一个实施例中过滤装置框图。该装置位于分流设备之前，该装置包括：规则维护模块202、过滤模块204和发送模块206；其中，
规则维护模块202，用于维护分析设备配置的过滤规则集合。过滤规则集合由五元组规则组成。五元组规则可以是完全匹配的或支持掩码的。规则维护模块202根据分析设备的过滤规则集合更新信息维护过滤规则集合，包括增加过滤规则、删除过滤规则、老化过滤规则中的一种或多种。
过滤模块204，用于根据过滤规则集合过滤报文中的非敏感流量。如果报文中五元组信息与过滤规则集合中的五元组规则匹配则阻止报文通过。如果报文中五元组信息不与过滤规则集合中的任何五元组规则匹配则允许报文通过。
发送模块206，用于向分流设备发送经过过滤的报文以使所述分流设备分流所述经过过滤的报文。
过滤装置，可以位于独立的单板上，也可以位于分流设备单板内部的存储单元上。
以下结合图3到图5说明本发明又一个实施例。
图3为本发明又一个实施例中报文处理系统框图。该系统包括：过滤装置302、分流设备304和分析设备306；其中，
过滤装置302，用于根据分析设备306配置的过滤规则集合阻止报文中的非敏感流量通过，并向分流设备304发送经过过滤的报文。过滤规则集合由五元组规则组成。五元组规则可以是完全匹配的或支持掩码的。
分流设备304，用于将经过过滤装置过滤的报文分流到分析设备306。例如，分流设备304按访问控制列表的配置对经过过滤装置过滤的报文进行匹配，将能够匹配访问控制列表的报文分流到相应的分析设备306，丢弃不匹配访问控制列表的任何表项的报文。
分析设备306，用于根据分析规则对经过分流设备分流的报文进行分析，得到与分析规则中非敏感流量规则匹配的报文，根据与非敏感流量规则匹配的报文更新过滤规则集合，并向过滤装置发送更新过滤规则集合的信息以使过滤装置302根据所述分析设备的分析结果更新过滤规则集合。例如，分析设备306对流量、地址和在线时间进行统计，结合用户地址和端口信息分析出P2P应用等非敏感流量，并将非敏感流量的五元组信息向过滤装置302发送以使过滤装置302更新过滤规则集合。对过滤规则集合的更新可以是增加过滤规则、删除过滤规则、老化过滤规则中的一种或多种。分析规则由以下方式中的一种或多种配置：通过客户端配置、通过脚本配置、手工进行配置。
图4为本发明又一个实施例中报文处理系统的一个具体应用场景示意图。
该具体应用场景中，报文处理系统包括位于独立的单板上的过滤装置402、分流策略设备404、分流槽406和分析设备408；其中，
过滤装置402，在两块独立可热插拔的单板上，两块单板分别对上行、下行流量进行过滤。过滤装置402将经过过滤的报文发送到分流策略设备404。
分流策略设备404，包括两块单板。两块单板分别用于对过滤装置402发送的两股经过过滤装置过滤的报文执行分流策略，将完成分流的报文发送到分流槽406。
分流槽406，包括由具体实施情况而定的一块或多块单板。分流槽406用于对同一端口组内流量进行散列，根据出端口上送分析设备408。
分析设备408，包括由具体实施情况而定的一个或多个分析服务器。分析设备408用于根据分析规则对经过分流的报文进行分析，得到与分析规则中非敏感流量规则匹配的报文，根据与非敏感流量规则匹配的报文更新过滤规则集合，并向过滤装置402发送更新过滤规则集合的信息以使过滤装置402更新过滤规则集合。例如，分析设备408对流量、地址和在线时间进行统计，结合用户地址和端口信息分析出P2P应用等非敏感流量，并将非敏感流量的五元组信息向过滤装置402发送以使过滤装置402更新过滤规则集合。
本领域相关技术人员可以理解，本发明又一个实施例中报文处理系统的该具体应用场景中过滤装置402并不限定于在两块独立可热插拔的单板上，可以根据需要配置一块或多块单板和决定是否可热插拔。分流策略设备404也并不限定于包括两块单板，可以根据需要配置一块或多块单板。
图5为本发明又一个实施例中报文处理系统的另一个具体应用场景示意图。
该具体应用场景中，报文处理系统包括接口板502、分流槽504和分析设备506；其中，
接口板502，包括两块单板。过滤装置位于接口板502中存储单元上，用于对上行、下行流量进行过滤。接口板502并用于对经过过滤的报文执行分流策略，将完成分流的报文发送到分流槽504。
分流槽504，包括由具体实施情况而定的一块或多块单板。分流槽504用于对同一端口组内流量进行散列，根据出端口上送分析设备506。
分析设备506，包括由具体实施情况而定的一个或多个分析服务器。用于根据分析规则对经过分流的报文进行分析，得到与分析规则中非敏感流量规则匹配的报文，根据与非敏感流量规则匹配的报文更新过滤规则集合，并向位于接口板502中存储单元上的过滤装置发送更新过滤规则集合的信息以使位于接口板502中存储单元上的过滤装置更新过滤规则集合。例如，分析设备506对流量、地址和在线时间进行统计，结合用户地址和端口信息分析出P2P应用等非敏感流量，并将非敏感流量的五元组信息向接口板502发送以使位于接口板502中存储单元上的过滤装置更新过滤规则集合。
本领域相关技术人员可以理解，本发明又一个实施例中报文处理系统的该具体应用场景中接口板502并不限定于两块单板，可以根据需要配置一块或多块单板。
采用本发明实施例提供的技术方案，因为在分流设备对报文分流前进行预过滤，并且支持过滤规则的老化，可以减小需要进行分流的报文的规模，从而同时减少了分析设备对非敏感流量的重复分析，并可以减少分流不均等带来的影响，解决了分流设备流量压力大、分析设备效率低、分流不均影响大的问题。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质可以是R0M/RAM，磁盘或光盘等。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1、一种报文处理方法，其特征在于，包括：
根据过滤规则集合，过滤报文中的非敏感流量；
对过滤后的报文进行分流；
分析分流后的报文，并根据分析结果更新所述过滤规则集合。
2、根据权利要求1所述的方法，其特征在于，所述过滤规则集合包括至少一种过滤规则，所述过滤规则包括：
完全匹配的五元组规则；或
支持掩码的五元组规则。
3、根据权利要求1所述的方法，其特征在于，所述更新所述过滤规则集合，包括以下更新方式中的一种或多种：
增加过滤规则；
删除过滤规则；
老化过滤规则。
4、根据权利要求1所述的方法，其特征在于，所述分流过滤的报文，包括：
按访问控制列表的配置对所述经过过滤的报文进行匹配，分流能够匹配所述访问控制列表的报文。
5、一种报文处理系统，其特征在于，包括过滤装置、分流设备和分析设备；其中，
所述过滤装置，用于根据所述分析设备配置的过滤规则集合过滤报文中的非敏感流量，并向所述分流设备发送经过过滤的报文；
所述分流设备，用于将所述经过过滤装置过滤的报文分流到所述分析设备；
所述分析设备，用于根据分析规则对所述经过分流设备分流的报文进行分析，并使所述过滤装置根据所述分析设备的分析结果更新所述过滤规则集合。
6、根据权利要求5所述的系统，其特征在于，所述分析规则由以下方式中的一种或多种配置：
通过客户端配置；
通过脚本配置；
手工进行配置。
7、根据权利要求5所述的系统，其特征在于，所述报文过滤装置，位于独立的单板上，或位于所述分流设备单板内部的存储单元上。
8、根据权利要求5所述的系统，其特征在于，所述分流设备按访问控制列表的配置对所述经过过滤的报文进行匹配，将能够匹配所述访问控制列表的报文分流到所述分析设备。
9、一种过滤装置，其特征在于，位于分流设备之前，包括：
规则维护模块，用于维护过滤规则集合；
过滤模块，用于根据过滤规则集合过滤报文中的非敏感流量；
发送模块，用于向分流设备发送经过过滤的所述报文，以使所述分流设备分流所述经过过滤的报文。
10、根据权利要求9所述的装置，其特征在于，所述过滤装置，位于独立的单板上，或位于分流设备单板内部的存储单元上。
CNA2008102421705A 2008-12-31 2008-12-31 一种报文处理方法、装置和系统 Pending CN101478478A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CNA2008102421705A CN101478478A (zh) 2008-12-31 2008-12-31 一种报文处理方法、装置和系统
PCT/CN2009/075414 WO2010075728A1 (zh) 2008-12-31 2009-12-08 一种报文处理方法、装置和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CNA2008102421705A CN101478478A (zh) 2008-12-31 2008-12-31 一种报文处理方法、装置和系统

Publications (1)

Publication Number Publication Date
CN101478478A true CN101478478A (zh) 2009-07-08

Family

ID=40839113

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2008102421705A Pending CN101478478A (zh) 2008-12-31 2008-12-31 一种报文处理方法、装置和系统

Country Status (2)

Country Link
CN (1) CN101478478A (zh)
WO (1) WO2010075728A1 (zh)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010075728A1 (zh) * 2008-12-31 2010-07-08 华为技术有限公司 一种报文处理方法、装置和系统
CN102238632A (zh) * 2010-04-21 2011-11-09 电信科学技术研究院 一种分流的处理方法、系统和设备
CN101764741B (zh) * 2009-11-27 2012-06-06 上海恒为信息科技有限公司 支持多业务功能的过滤分流装置及其方法
CN101702726B (zh) * 2009-11-13 2012-06-27 曙光信息产业(北京)有限公司 用于ip包分类设备的五元组规则更新方法和装置
CN102724119A (zh) * 2012-06-08 2012-10-10 南京贝伦思网络科技有限公司 一种网络负载均衡设备或分流设备规则同步方法
WO2012159338A1 (zh) * 2011-07-21 2012-11-29 华为技术有限公司 一种虚拟专用网络的分流方法、分流设备和分流系统
CN103561001A (zh) * 2013-10-21 2014-02-05 华为技术有限公司 一种安全防护方法及路由设备
CN104349395A (zh) * 2013-08-06 2015-02-11 中国电信股份有限公司 用于处理数据报文的方法、用户终端和系统
CN104735084A (zh) * 2015-04-13 2015-06-24 国家电网公司 一种防火墙基线策略审计方法
CN105282151A (zh) * 2015-09-18 2016-01-27 北京锐安科技有限公司 用于数据报文分离处理的系统
CN106256147A (zh) * 2014-03-14 2016-12-21 英特尔Ip公司 协助网络流量的方法和装置
CN111343153A (zh) * 2020-02-10 2020-06-26 Oppo（重庆）智能科技有限公司 数据包检测方法、装置、服务器及存储介质

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6789115B1 (en) * 1999-07-09 2004-09-07 Merrill Lynch & Company System for collecting, analyzing, and reporting high volume multi-web server usage
CN101060521B (zh) * 2006-04-18 2011-06-08 华为技术有限公司 信息包过滤方法及网络防火墙
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010075728A1 (zh) * 2008-12-31 2010-07-08 华为技术有限公司 一种报文处理方法、装置和系统
CN101702726B (zh) * 2009-11-13 2012-06-27 曙光信息产业(北京)有限公司 用于ip包分类设备的五元组规则更新方法和装置
CN101764741B (zh) * 2009-11-27 2012-06-06 上海恒为信息科技有限公司 支持多业务功能的过滤分流装置及其方法
CN102238632A (zh) * 2010-04-21 2011-11-09 电信科学技术研究院 一种分流的处理方法、系统和设备
WO2012159338A1 (zh) * 2011-07-21 2012-11-29 华为技术有限公司 一种虚拟专用网络的分流方法、分流设备和分流系统
CN102724119A (zh) * 2012-06-08 2012-10-10 南京贝伦思网络科技有限公司 一种网络负载均衡设备或分流设备规则同步方法
CN104349395A (zh) * 2013-08-06 2015-02-11 中国电信股份有限公司 用于处理数据报文的方法、用户终端和系统
CN103561001A (zh) * 2013-10-21 2014-02-05 华为技术有限公司 一种安全防护方法及路由设备
CN106256147A (zh) * 2014-03-14 2016-12-21 英特尔Ip公司 协助网络流量的方法和装置
CN104735084A (zh) * 2015-04-13 2015-06-24 国家电网公司 一种防火墙基线策略审计方法
CN105282151A (zh) * 2015-09-18 2016-01-27 北京锐安科技有限公司 用于数据报文分离处理的系统
CN105282151B (zh) * 2015-09-18 2018-09-11 北京锐安科技有限公司 用于数据报文分离处理的系统
CN111343153A (zh) * 2020-02-10 2020-06-26 Oppo（重庆）智能科技有限公司 数据包检测方法、装置、服务器及存储介质

Also Published As

Publication number Publication date
WO2010075728A1 (zh) 2010-07-08

Similar Documents

Publication Publication Date Title
CN101478478A (zh) 一种报文处理方法、装置和系统
CN102025535B (zh) 虚拟机管理方法、装置及网络设备
CN101179583B (zh) 一种防止用户假冒上网的方法及设备
US8004998B2 (en) Capture and regeneration of a network data using a virtual software switch
CN101692649B (zh) 数据多线监控的方法和设备
CA2480455A1 (en) System and method for detecting an infective element in a network environment
CN110266654A (zh) 一种基于安全域策略分析的方法和电子设备
CN111818077A (zh) 一种基于sdn技术的工控混合蜜罐系统
CN102148715A (zh) 虚拟网络配置迁移的方法及设备
US10419392B2 (en) Method, device and system for implementing address sharing
CN101188558B (zh) 访问控制方法、单元及网络设备
CN109714345A (zh) 一种用户无感知的字符堡垒机方法及系统
CN101119383B (zh) 目标端和发起端建立iSCSI会话的方法及设备
CN114095184A (zh) 一种数据传输系统及其传输方法
CN102045309A (zh) 一种用于防止计算机病毒攻击的方法和装置
CN103004145B (zh) 一种虚拟专用网络的分流方法、分流设备和分流系统
CN112702311B (zh) 一种基于端口的报文过滤方法和装置
CN104601578A (zh) 一种攻击报文识别方法、装置及核心设备
CN101707535B (zh) 检测仿冒网络设备的方法和装置
CN112511562A (zh) 一种基于单向隔离一体机及云桌面技术的跨网数据传送系统
CN111541694B (zh) 一种采用融合式技术解决网络安全的方法
CN103501292A (zh) 利用备用手机实现保护数据安全的方法及系统
CN102594616B (zh) 网络安全检测方法及装置
CN104363235A (zh) 一种通信方法、装置、系统及通信通道建立方法和装置
CN111371765A (zh) 基于链路阻断的在线异构通信方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Open date: 20090708