CN101626319A - 网关病毒检测方法、装置及系统 - Google Patents

Abstract

本发明实施例提供了一种网关病毒检测方法、装置及系统。该方法包括：获得接收到的报文请求信息中的断点请求信息；删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发；对根据所述新请求信息返回的文件进行病毒检测。该装置包括获取模块、转发模块和病毒检测模块。本发明实施例可有效对采用断点续传中文件在网关设备进行病毒检测，提高网络中文件传输的安全性和可靠性。

Description

网关病毒检测方法、装置及系统

技术领域

本发明涉及病毒检测技术，特别是一种网关病毒检测方法、装置及系统。

背景技术

断点续传是文件上传或下载的一项技术，客户端软件在上传或下载任务，如一个文件或一个压缩包时，通过将任务划分成几个部分，且每一个部分采用一个线程进行上传或下载，如果碰到网络故障时，客户端软件可从前次上传或下载的基础上下载未完成的部分，而不需要从头重新下载，可以有效提高上传或下载文件的速度，节省上传或下载时间，为用户提供了极大地方便。

同时，现有网络应用中，一般在客户端和服务器之间设置网关，客户端可通过网关访问服务器，而且，由于现有计算机病毒发展较快，为保证网络的安全性，需要在网关侧进行病毒的扫描和检测。目前的统一威胁管理(Unified Treat Management，UTM)网关病毒检测中，网关通过对经过流文件的数据包进行入侵防御系统(Instrustion Prevention System，IPS)协议解析、文件还原、调用防病毒引擎，对文件进行病毒检测，由于病毒一般是存在于整个文件的各部分中，在进行病毒检测时需要对网络中传播的文件进行提取和还原，获得完整的文件后进行病毒扫描。目前，非断点续传中文件的上传或下载是建立在一个会话上进行，UTM网关病毒检测时，UTM网关只需要管理客户端和服务器之间的会话，即可实现整个文件的提取和还原，完整对待下载文件的病毒检测。但是，对于断点续传中文件的下载，其要下载的文件是分成多个部分下载，下载过程是建立在多个会话基础上进行，此时，UTM网关病毒检测时只能提取每个会话对应的文件的一部分并对其进行病毒检测，由于病毒存在与文件的各部分中，对文件的一部分进行检测并不能有效地检测到病毒。

发明人在实现本发明的过程中发现现有技术至少存在以下缺陷：现有技术中UTM网关无法实现对采用断点续传文件的病毒检测。

发明内容

本发明的目的是提供一种网关病毒检测方法、装置及系统，可在网关设备中实现对采用断点续传文件的病毒的检测，提高网络中文件传输的安全性和可靠性。

为实现上述目的，本发明实施例提供了一种网关病毒检测方法，包括：

获取接收到的报文请求信息中的断点请求信息；

删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发；

对根据所述新请求信息返回的文件进行病毒检测。

本发明实施例提供了一种网关病毒检测装置，包括：

获取模块，用于获取接收到的报文请求信息中的断点请求信息；

转发模块，用于删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发；

病毒检测模块，用于对根据所述新请求信息返回的文件进行病毒检测。

本发明实施例提供了一种网关病毒检测系统，包括：

客户端，用于发起文件的报文请求信息，所述报文请求信息包含断点请求信息；

网关病毒检测装置，用于获取所述客户端发送的断点请求信息，删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发至服务器；

所述服务器，根据接收到的所述新请求信息相应完整的文件。

本发明实施例可在网关设备上实现对采用断点续传文件的病毒检测，提高网络中文件传输的安全性和可靠性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为全代理网关的总体框架示意图；

图2为本发明网关病毒检测方法实施例一的流程示意图；

图3为本发明网关病毒检测方法实施例二的流程示意图；

图4为本发明网关病毒检测方法实施例三的流程示意图；

图5为本发明网关病毒检测装置实施例的结构示意图；

图6为本发明网关病毒检测系统实施例的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例可应用于网关的病毒检测，其可对采用断点续传的文件在网关设备侧进行病毒的扫描和检测，提高文件上传或下载的安全性，有效阻止病毒文件的传播，本发明实施例可应用于全代理网关中对断点续传文件进行病毒扫描。

为对本发明实施例有更好的理解，下面对全代理网关进行说明。图1为全代理网关的总体框架示意图。客户端和服务器之间的各种报文信息均通过全代理网关进行，当客户端向服务器发送报文时，首先发送至全代理网关，由全代理网关中的代理适配层对客户端发送的报文进行适配后发送到客户端全代理，并由客户端全代理将适配后的报文转发给服务器全代理，并由服务器全代理将其通过代理适配层转发给服务器，同样地，服务器返回给客户端的响应报文，也是通过全代理网关将响应报文传输至客户端。这样，客户端和服务器之间即可通过全代理网关对它们之间相互传送的文件进行病毒检测，保证网络的安全性。

对于正常的HTTP业务，上述的全代理网关可以对经过HTTP传输的文件进行协议分析和文件提取。客户端可采用断点续传和非断点续传请求下载文件，其中，断点续传请求和非断点续传请求的不同之处在于，断点续传中含有区间(Range)字段且range字段中包含下载的部分文件的起始位置，该range字段即为get请求信息中标识所请求的部分文件的字段信息，标识文件从某一起始字节，如19589120字节，开始传输；而服务器使用的回应码为206状态值，标识文件为部分传输，即，206状态值表示传输的内容为文件的部分内容，而不是整个完整的文件内容。当客户端发起多个断点续传请求后，其从服务器端接收到响应报文后即可根据响应的Content-Range：bytes19589120-48974824/48974825(单位默认为字节)字段的偏移位置开始拼装文件，实现文件的断点多点下载。

图2为本发明网关病毒检测方法实施例一的流程示意图。如图2所示，该方法包括：

步骤101、获取接收到的报文请求信息中的断点请求信息；

步骤102、删除所述报文请求信息中的断点请求信息，将删除所述断点请求信息的报文请求信息作为新请求信息，转发所述新请求信息；

步骤103、对根据所述新请求信息返回的文件进行病毒检测。

本发明实施例中，可应用于UTM网关处理断点续传的文件的下载请求处理中，当接收到客户端发送来的断点续传请求的报文请求信息时，可将所述报文请求信息中的断点请求信息删除，并转发给服务器，向服务器请求下载完整的报文，这样，服务器返回的响应报文是对应于所述报文请求信息的完整的文件，因此，UTM网关可提取服务器返回的完整文件，对其进行病毒的扫描和检测，当检测到文件是无病毒文件后，转发给客户端。其中，网关对病毒的检测过程与现有技术相同或类似，在此不再赘述。

本发明实施例通过将客户端发送来的采用断点续传的报文请求中的断点请求信息进行删除，并将删除后的报文请求信息转发给服务器，直接向服务器请求下载完整的报文，并对下载的完整的报文进行病毒检测，无检测到病毒后，再将文件转发给客户端，可以有效保证文件下载的安全性和可靠性，实现对采用断点续传文件在网关设备侧进行病毒检测，可有效保证网络的安全性和可靠性。

图3为本发明网关病毒检测方法实施例二的流程示意图。如图3所示，该方法包括：

步骤201、客户端发起含Range字段的Get请求信息，并发送至UTM网关。

具体地，当客户端本地含有一个不完整的文件，如完整文件大小为20M，实际已完成下载10M时，可向服务器发起含Range字段的Get请求信息，请求从文件的第19589120字节开始下载文件资源，继续下载未完成的文件。

步骤202、UTM网关对接收到的Get请求信息中的Range字段进行删除，获得不含Range字段的新Get请求信息。

当UTM网关接收到Get请求信息后，可将Get请求信息中的Range：types＝19589120-移除，获得新Get请求信息，该新Get请求信息表示向服务器请求下载完整的文件。

步骤203、UTM网关将删除Range字段的新Get请求信息转发至服务器，请求下载完整文件。

步骤204、服务器根据接收到的新Get请求信息，向UTM回应完整的文件。

具体地，服务器可根据不含Range字段的新Get请求信息，向UTM网关回应完整的文件资源。

步骤205、UTM网关提取完整的文件，并对所述完整的文件进行病毒扫描和检测。

步骤206、UTM网关判断文件是否含有病毒，即文件是病毒文件时，则将文件作为病毒文件进行处理，结束，否则执行步骤207。

其中，将文件作为病毒文件进行处理包括：向客户端发送病毒警告信息，告知客户端下载的文件为病毒文件；或者停止文件的转发。

步骤207、UTM网关将不含病毒的文件转发给客户端。

步骤208、客户端可对接收到的文件进行合并、拼装，获得完整的文件。

具体地，客户端可根据自身文件的下载的需要，接收UTM网关转发过来的文件的部分内容，并与接收的其它部分文件进行合并及拼装，获得完整的文件。

图4为本发明网关病毒检测方法实施例三的流程示意图。具体地，如图4所示，该病毒检测方法包括：

步骤301、客户端发起对一个资源文件的Get请求信息，并发送至UTM网关。

步骤302、UTM网关对接收到的客户端的Get请求信息进行解析，将含有Range字段，且Range字段的起始位置为0的请求信息中的Range字段删除，获得不含Range字段的新Get请求信息。

由于一个新资源文件的下载请求信息中，一般均包括携带有起始位置为0的Range字段的Get请求信息，因此，本步骤中可只对Range字段中起始位置为0的请求信息进行删除。

步骤303、UTM网关将不含Range字段的新Get请求信息转发给服务器，向服务器请求下载完整的文件。

步骤304、服务器根据接收到的不含Range字段的新Get请求信息回应完整的文件到UTM网关。

步骤305、UTM网关提取服务器回应的完整文件，对该完整文件进行病毒扫描和检测。

步骤306、UTM网关判断该文件是否感染有病毒，即文件是病毒文件时，则将文件作为病毒文件进行处理，结束，否则执行步骤307。

其中，将文件作为病毒文件进行处理包括：向客户端发送病毒警告信息，告知客户端下载的文件为病毒文件；或者停止文件的转发。

步骤307、UTM网关将不含病毒的文件转发给客户端。

步骤308、客户端发起多个带有Range字段的Get请求信息，进行断点下载请求。

步骤309、UTM将接收到的多个带有Range字段的Get请求信息分别转发给服务器。

步骤310、服务器响应上述多个带有Range字段的Get请求信息，并返回相应的报文给UTM网关。

步骤311、UTM网关将服务器返回的多个报文转发给客户端。

步骤312、客户端对接收到的报文进行合并、拼装，获得完整的文件。

本发明实施例可应用于使用HTTP协议的任务下载中，当客户端在下载一资源文件时，UTM网关可首先将含有Range字段且Range字段的起始位置为0的Get请求信息中的Range字段删除，转发给服务器，向服务器请求下载完整的文件，并对服务器返回的完整文件进行病毒检测，将经过病毒检测的文件转发给客户端。这样，UTM网关在文件下载中，只需要对首次下载时进行一次病毒检测，后续的下载即可按照正常的断点请求下载，在保证文件下载安全性的同时，可有效保证文件下载的效率。

图5为本发明网关病毒检测装置实施例的结构示意图。如图5所示，该病毒检测装置包括获取模块1、转发模块2和病毒检测模块3，其中，

获取模块1，用于获取接收到的报文请求信息中的断点请求信息；

转发模块2，用于删除所述报文请求信息中的断点请求信息，将删除所述断点请求信息的报文请求信息作为新请求信息，转发所述新请求信息；

病毒检测模块3，用于对根据所述新请求信息返回的文件进行病毒检测。

本发明实施例中还可包括文件处理模块4，用于当检测得到所述文件是病毒文件时，则将所述文件作为病毒文件进行处理，否则，转发所述文件。其中，所述文件是病毒文件时，所述文件处理模块4可用于向客户端发送病毒警告信息或停止所述文件的转发。

本发明实施例中可对采用断点续传下载文件中的Get请求信息进行处理，将Get请求信息中的Range字段删除后再转发给服务器，使得服务器返回的均是完整的文件，同时，可对服务器返回的完整的文件进行病毒扫描和检测，实现对断点续传中文件的病毒检测，保证下载文件的安全性和可靠性，提高网络传输文件的安全性。具体地，本发明实施例可通过上述本发明网关病毒检测方法实施例所提供的步骤对断点续传中的文件进行处理，可有效保证网络传输文件的安全性和可靠性。

此外，本发明实施例中也可只对文件的首次下载时，对Range字段中起始位置为0的Get请求信息进行删除，向服务器请求下载完整的文件，并对服务器返回的完整的文件进行病毒扫描和检测，若文件不含病毒时，即可对其它起始位置不为0的Range字段的Get请求信息按正常的断点请求下载，在保证下载文件安全性的同时，可有效保证文件下载的速度，减少下载时间。

图6为本发明网关病毒检测系统实施例的结构示意图。具体地，如图6所示，该系统包括客户端10、网关病毒检测装置20和服务器30，其中，

客户端10，用于发起文件的报文请求信息，所述报文请求信息包含断点请求信息；

网关病毒检测装置20，用于获取客户端10发送的断点请求信息，删除所述报文请求信息中的断点请求信息，将删除所述断点请求信息的报文请求信息作为新请求信息，并将所述新请求信息转发至服务器；

服务器30，根据接收到的所述新请求信息相应完整的文件。

本发明实施例中的网关病毒检测装置20可与上述本发明网关病毒检测装置具有相同的结构和功能，在此不再赘述。

本发明实施例可实现对采用断点续传的文件在网关病毒检测装置进行病毒检测，可有效保证文件下载的安全性和可靠性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行限制，尽管参照较佳实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和范围。

Claims (10)

1、一种网关病毒检测方法，其特征在于，包括：

获取接收到的报文请求信息中的断点请求信息；

删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发；

对根据所述新请求信息返回的文件进行病毒检测。

2、根据权利要求1所述的网关病毒检测方法，其特征在于，所述获取接收到的报文请求信息中的断点请求信息包括：

解析接收到的报文请求信息，获取所述报文请求信息中作为断点请求信息的区间字段，所述区间字段为所述请求信息中标识所请求的部分文件的字段信息。

3、根据权利要求2所述的网关病毒检测方法，其特征在于，所述删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息包括：

删除所述报文请求信息中起始位置为0的区间字段，并将不含所述区间字段的报文请求信息作为所述新请求信息。

4、根据权利要求2所述的网关病毒检测方法，其特征在于，所述删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息包括：

删除所述报文请求信息中的区间字段，将不含所述区间字段的报文请求信息作为所述新请求信息。

5、根据权利要求1所述的网关病毒检测方法，其特征在于，还包括：

当检测得到所述文件是病毒文件时，则将所述文件作为病毒文件进行处理，否则，转发所述文件。

6、根据权利要求5所述的网关病毒检测方法，其特征在于，所述将所述文件作为病毒文件进行处理包括：

向客户端发送病毒警告信息或停止所述文件的转发。

7、一种网关病毒检测装置，其特征在于，包括：

获取模块，用于获取接收到的报文请求信息中的断点请求信息；

转发模块，用于删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发；

病毒检测模块，用于对根据所述新请求信息返回的文件进行病毒检测。

8、根据权利要求7所述的网关病毒检测装置，其特征在于，还包括：

文件处理模块，用于当检测得到所述文件是病毒文件时，则将所述文件作为病毒文件进行处理，否则，转发所述文件。

9、根据权利要求8所述的网关病毒检测装置，其特征在于，所述文件是病毒文件时，所述文件处理模块将所述文件作为病毒文件进行处理包括：向客户端发送病毒警告信息或停止所述文件的转发。

10、一种网关病毒检测系统，其特征在于，包括：

客户端，用于发起文件的报文请求信息，所述报文请求信息包含断点请求信息；

网关病毒检测装置，用于获取所述客户端发送的断点请求信息，删除所述报文请求信息中的断点请求信息，并将删除所述断点请求信息的报文请求信息作为新请求信息转发至服务器；

所述服务器，根据接收到的所述新请求信息响应完整的文件。

Images