CN102098291A - 一种基于fpga的网络安全日志处理方法和装置 - Google Patents

Abstract

本发明提供了一种基于FPGA的网络安全日志处理装置和方法，装置包括网络数据存储器，用户规则存储器，特征比较器。接收外部网络送入的数据包，并将该数据包暂存于网络数据存储器；检测网络数据包的源目IP地址，源目端口以及协议，并监控报文的控制比特；对于与设定的源目IP地址，源目端口以及协议一致的数据包，命中的数据包根据规则过滤结果，分析包头信息及过滤动作，判断是否发送日志包以及发送哪种类型的日志包；当特征值符合时，从网络数据存储器中取出数据包进行组包，并发送到要求贮存的主机内存中，进行数据分析。本发明可以及时的监控网络上的数据包内容，避免增加网络安全风险，保障网络安全。

Description

一种基于FPGA的网络安全日志处理方法和装置

技术领域

本发明涉及网络安全领域，具体涉及一种基于FPGA的网络安全日志处理方法的实现。

背景技术

随着网络的普及和发展，网络的安全越来越重要，现在网络的安全控制技术正飞速发展。一套网络安全的整体解决方案涉及很多方面，包括设置好密码策略、设置安全日志策略以及安全管理制度等等。其中设置安全日志策10略是通过在安全日志中记录一些重要信息以对网络的使用情况进行监控，通过监控的结果不断调整安全设置，提高网络安全性。

由于网络安全的重要性，考虑到交换机在网络中处于核心的地位，因此需要在交换机实现对用户的监控日志功能，从而可以查看各个用户上网情况，了解网上流量信息，对网络不法行为进行追查等。目前的安全日志可以包括以下几部分：

1、用户的上网记录，即用户的上下线时间、互联网协议(Intemet Protocal，简称“IP”)地址、介质访问控制(Media Access Control，简称“MAC”)、永久虚电路(Permanent Virtual Circuit，简称“PVC”)等信息进行保存；

2、用户的上网操作记录，即对用户所访问过的IP地址、协议类型、端口号等也进行保存；

3、对于做网络地址转换(Net Address Translation，简称“NAT”)的用户，还需要其报文的转发地址转换记录，以便必要时进行追踪。

现有的技术方案在生成安全日志时，软件在其中完成的功能较多，以下简称为安全日志的软件实现方案。该方案的实现有以下特点：

第一、由软件维护形成安全日志的规则，该规则一般以数据报文的五元组进行精确匹配查找。所谓五元组，即报文的一个套接字，包括协议、本地地址、本地端口、远程地址、远程端口。五元组中的项需要精确匹配，比如5某个五元组的组合。

第二、硬件在缓存中保存查找规则，软件为硬件维护查找规则缓存。该查找规则的组织形式可以为多种，例如采用哈希(HASH)表组织，该查找规则缓存以五元组为索引作精确匹配查找。

第三、硬件在接收到一个报文时，以它的五元组索引查找规则缓存。如10果有匹配，则按匹配表项的内容对该报文做处理；否则，将这个报文上报给软件。

第四、软件收到硬件上报的报文后，同样以它的五元组去索引查找规则，如果没有找到匹配结果，则要在查找规则缓存中添加一个记录，以使以后当硬件接收到的五元组完全相同的报文时可以通过查查找规则缓存转发。巧第五、软件定时按一定的策略，例如超时老化策略，刷新查找规则缓存。这样，通过这种首包上报的流转发机制，软件可以根据需要记录报文的信息，主要是五元组、接收客户端口，实现对网上流量的监控，实现安全日志功能。

在实际应用中，上述方案存在以下问题：软件处理速度慢，容易丢失报加文；对中央处理器的资源消耗大，导致整个系统的整体效率较低。

造成这种情况的一个主要原因在于在现有的安全日志的软件实现方案中，所有需要做日志的报文的首包都要上报给软件，由于软件的处理速度不高会形成处理瓶颈，对于数据流量瞬时突发度较大的情况，会导致报文丢失；该方案中，CPU需要花掉大量的时间执行软件去分析报文、计算索引、设置转发表项等等，因而会大大地增加CPU的负荷，进而导致整个系统的整体效率较低。

发明内容

为实现安全日志处理组包，本发明提供了一种基于FPGA的网络安全日志处理方法和装置。

一种基于FPGA的网络安全日志处理装置，包括网络数据存储器，用户规则存储器，特征比较器。

一种基于FPGA的网络安全日志处理方法，基于FPGA实现，步骤如下：

A、接收外部网络送入的数据包，并将该数据包暂存于网络数据存储器；

B、检测网络数据包的源目IP地址，源目端口以及协议，并监控报文的控制比特；

C、对于与设定的源目IP地址，源目端口以及协议一致的数据包，命中的数据包根据规则过滤结果，分析包头信息及过滤动作，判断是否发送日志包以及发送哪种类型的日志包；

D、当特征值符合时，从网络数据存储器中取出数据包进行组包，并发送到要求贮存的主机内存中，进行数据分析。

本发明可以及时的监控网络上的数据包内容，避免增加网络安全风险，保障网络安全。

附图说明

图1为日志包处理的结构框图

图2为状态定义

图3为附加包头的格式

图4为状态机状态转化图

图5为日志包组包状态图

具体实施方式

本发明包括网络数据存储器、用户规则存储器、特征比较器，其网络安全连接封堵的方法包括下列步骤：接收该外部网络所送入的数据封包；将所接收到的该数据包暂存于设置在网络数据存储器；并从数据包中提取特征值，根据该数据封包的一特征值与用户规则存储器中的某条规则比较，进行判断该数据包是否符合转发日志的条件；当该特征值符合时，该网络设备及时的从网络数据存储器中取出数据包，并进行组包，将数据包发送到要求存贮的主机主存中，便于分析数据。

图四为状态机状态转化图。各个状态的动作如下，

IDLE：初始状态，当PendingPktCMDBuf有数据，且存放日志包的缓冲区有空间时，则跳转到WAITACK状态，发出读请求；

WAITACK：向DDR2控制器发出读请求，等待返回Ack信号；

WAITDATA：等待DDR2控制器将所有数据返回，读取到最后一个数据时，跳转到APPHEADER。

APPHEADER：填写附加包头，总共需要两个字，填写完后，则跳转到CHECKSUM。

CHECKSUM：将之前计算的checksum折叠相加，最后得到32位的数据，写入到RAM地址0处，同时写入的还有长度信息。

日志包组包，也就是在上述模块的基础上加上MAC头、IP头以及UDP头；同时完成UDP checksum的计算；然后等待数据发送完成后即可处理下一个包。

图五为日志包组包状态图，其各状态操作如下；

IDLE：初始状态。当PendingLogPktBuf有数据包(简单日志包或详细日志包)准备好时，进入下一状态；

PRESTATE：预处理状态。向缓冲区中填写包头(MAC头、IP头、UDP头、附加包头)，所需时钟周期固定；进入CHECKSUM状态；

CHECKSUM：计算数据包CheckSum。读取缓冲区中数据，每一拍数据为128b，即16B，每次加法完成32b(4B)运算，需要进行四次加法运算；所有数据计算完后则进入下一状态；对最后一个字的处理是在写入数据的时候保证无效的数据位上填0，所有数据统一处理，对计算结果就没有影响。

WAITDONE：将CheckSum折叠相加，最后将稳定的CheckSum然后填入缓冲区中对应字段里，填写完CheckSum后则将数据包ready信号拉高。

TXLOWDATA：发送高64位数据。

TXHIGHDATA：发送低64位数据。

Claims (2)

1.一种基于FPGA的网络安全日志处理装置，其特征在于：包括网络数据存储器，用户规则存储器，特征比较器。

2.一种基于FPGA的网络安全日志处理方法，其特征在于：

基于FPGA实现，步骤如下：

A、接收外部网络送入的数据包，并将该数据包暂存于网络数据存储器；

B、检测网络数据包的源目IP地址，源目端口以及协议，并监控报文的控制比特；

C、对于与设定的源目IP地址，源目端口以及协议一致的数据包，命中的数据包根据规则过滤结果，分析包头信息及过滤动作，判断是否发送日志包以及发送哪种类型的日志包；

D、当特征值符合时，从网络数据存储器中取出数据包进行组包，并发送到要求贮存的主机内存中，进行数据分析。

Images