CN102790758B - 防火墙系统及其处理方法 - Google Patents

Abstract

本发明提供了一种防火墙系统，包括：设置在用户终端的防火墙引擎模块，用于捕获用户终端接收到的来自因特网的数据包或用户执行的应用程序的进程，并根据其具有的防火墙的部分规则判断是拦截或放行，并将非确定的数据包或应用程序进程的信息上传至安全平台服务器，根据安全平台服务器返回的结果执行拦截或放行；设置在安全平台服务器的防火墙引擎模块，用于根据其具有的防火墙的全部规则判断用户终端上传的非确定的数据包或应用程序进程信息是拦截或放行，并将判断结果返回给用户终端。本发明适用于电视、手机、PDA等难以安装完整的防火墙规则库的用户终端。

Description

防火墙系统及其处理方法

技术领域

本发明涉及信息安全技术，特别是指一种防火墙系统及其处理方法。

背景技术

对于智能电视来说，除了具有电视节目的接收功能外，还可以连接互联网，以及安装各种应用程序的功能。为了避免网络上的非法信息，如病毒数据、黑客信息、垃圾信息等被下载或安装，也需要为电视提供防火墙，以对非法或可疑的信息进行拦截，以及对用户执行的具有风险的程序进行拦截。

目前，对于计算机来说，由于其内置的存储器容量大、CPU性能高，因此，其防火墙的部署方式均是：在该终端上安装相应的防火墙，以及相应的庞大的规则库，并定期的通过互联网上的防火墙软件服务商提供的服务器下载并更新规则库，以保证防火墙的更新。

而对于电视、手机、PDA等用户终端来说，其内置的存储器容量较小，CPU性能远远低于计算机上使用的CPU的性能，因此，在诸如电视等上述装置上安装防火墙和庞大的规则库，会大大降低这些装置的运行性能，甚至影响用户的使用。即使目前存在手机上的防火墙软件，其也是功能简单、规则库非常小，并不能达到真正意义上的防护能力。

发明内容

有鉴于此，本发明的主要目的在于提供一种防火墙及其处理方法，以适用于电视、手机、PDA等难以安装完整的防火墙规则库的用户终端。

本发明提供的一种防火墙系统，包括：

设置在用户终端的防火墙引擎模块1，用于捕获用户终端接收到的来自因特网的数据包或用户执行的应用程序的进程，并根据其具有的防火墙的部分规则判断是拦截或放行，并将非确定的数据包或应用程序进程的信息上传至安全平台服务器，根据安全平台服务器返回的结果执行拦截或放行；

设置在安全平台服务器的防火墙引擎模块3，用于根据其具有的防火墙的全部规则判断用户终端上传的非确定的数据包或应用程序进程信息是拦截或放行，并将判断结果返回给用户终端。

由上，电视、手机、PDA等用户终端不必安装完整的防火墙的规则库，由安全平台服务器侧具有完整的规则库。

其中，所述设置在用户终端的防火墙引擎模块1包括：

子规则库13，存储有所述防火墙的部分规则；

捕获子模块11，用于捕获所述数据包或所述应用程序进程；

特征分析子模块12，用于对所捕获的数据包、应用程序进程的信息，根据子规则库13中的规则进行分析和判断，确定是拦截或放行，并将非确定的数据包或应用程序进程的信息上传至安全平台服务器，根据安全平台服务器返回的结果作为其判断结果执行拦截或放行。

由上，用户终端的防火墙引擎模块上设置子规则库，仅存储有部分规则，可以实现基本、常用的防火墙功能，实现对数据包、应用进程的快速判断。

其中，所述设置在安全平台服务器的防火墙引擎模块3包括：

规则库32，存储有所述防火墙的全部规则；

特征分析子模块31，用于接收用户终端上传的数据包或应用程序进程的信息，并根据规则库32中的规则进行分析和判断，确定是拦截或放行，并将结果返回给用户终端。

由上，安全平台服务器的防火墙引擎模块设置完整的防火墙规则库，在用户终端不能判断的情况下，由安全平台服务器使用其完整的防火墙规则库对数据包或应用程序的进程进行判断，保证判断的全面性。

可选的，用户终端还设置有配置信息上传模块2，用于将用户终端的硬件和内置软件的信息上传至安全平台服务器；

所述安全平台服务器还设置有子规则库生成模块4，用于根据用户终端上传的所述信息为该用户终端创建所述子规则库13。

由上，客户端的子规则库是由安全平台服务器根据用户终端的配置信息所创建，实现了不同的用户终端具有与其性能、软件所匹配的子规则库。

本发明提供的防火墙的处理方法，包括步骤：

A、设置在用户终端的防火墙引擎模块捕获用户终端接收到的来自因特网的数据包或用户执行的应用程序的进程，并根据其子规则库分析，以判断是拦截或放行，不能根据子规则库确定时，将数据包或应用程序进程的信息上传至安全平台服务器；

B、设置在安全平台服务器的防火墙引擎模块接收所述数据包或应用程序进程的信息，并根据其规则库分析，以判断是拦截或放行，并将确定的结果返回给用户终端；所述规则库规则数量大于所述子规则库的规则数量

C、设置在用户终端的防火墙引擎模块根据接收的所述结果对所述数据包或应用程序进程拦截或放行。

可选的，步骤A前还包括：

将用户终端的配置信息上传至安全平台服务器；

安全平台服务器根据所述配置信息为该用户终端创建所述子规则库并传输给该用户终端。

由上，用户终端侧的子规则库是根据其配置信息创建的，实现子规则库的复杂度与配置信息的匹配。

其中，所述配置信息包括硬件配置的信息、内置软件的信息；

所述创建所述子规则库的步骤包括：

确定用户终端硬件配置的性能，根据相应性能值创建相应复杂度的子规则库；

生成与所述内置软件信息中的软件对应的规则，写入所述子规则库。

由上，子规则库是根据用户终端硬件信息，以及所具有的内置软件信息所生成的，其中的规则与用户终端更为匹配。

可选的，创建的所述相应复杂度的子规则库包括：

第一复杂度：包括对进程名字分析、程序MD5值分析、网络基本信息分析的规则；

第二复杂度：包括对IO操作的信息分析、资源消耗信息分析的规则；

第三复杂度：包括对数据包内容分析、数据关键字分析、网络协议特征分析的规则。

由上，设置在用户终端侧防火墙引擎模块的规则库是根据用户终端性能、包含的软件进行不同的设置，与用户终端性能和具有的软件相匹配。

可选的，步骤C还包括：设置在用户终端侧防火墙引擎模块根据接收的所述结果所对应的规则加入其子规则库。

可选的，还包括：设置在用户终端侧防火墙引擎模块对其子规则库中一定时期未被使用的规则进行删除。

由上可以看出，子规则库可以动态调整，使得其规则为该电视用户常用规则，减少了不常用的规则，增加常用的规则，使得子规则库更与用户的使用相贴切，相符合。

附图说明

图1为本发明防火墙系统的示意图；

图2为创建子规则库的流程图；

图3为本发明防火墙的处理流程图。

具体实施方式

在下述的例子中，均以在电视上设置本发明所述防火墙为例对本发明进行说明。

首先，对图1示出的本发明的防火墙系统进行说明，包括：

设置在电视侧的防火墙引擎模块1、电视的配置信息上传模块2。

其中，该防火墙引擎模块1用于捕获电视接收到的来自因特网的数据包或用户执行的某应用程序的进程，并判断是否拦截或放行，并将非确定的数据包和应用程序进程信息上传至安全平台服务器，根据安全平台服务器返回的结果执行拦截或放行。其包括以下子模块：

子规则库13，存储有防火墙的部分规则。此处所存放的规则包括基本的规则，例如禁止或允许的IP地址、端口等，可不包括数据包所承载内容的特征码级别的复杂规则。子规则库13的创建可参见步骤202。

捕获子模块11，用于捕获数据包或未识别的应用程序的进程的信息。

特征分析子模块12，用于对所捕获的数据包、应用程序的进程信息，根据子规则库13中的规则进行分析和判断，确定是否为放行或给予拦截，并对于非确定的数据包和应用程序进程信息上传至安全平台服务器，根据安全平台服务器返回的信息作为其判断结果。

电视配置信息上传模块2用于将包括电视的硬件配置的信息、内置软件的信息上传至安全平台服务器。

其中，硬件配置的信息可以通过检测得到，硬件信息包括：CPU的ID，内存ID，网卡MAC，其他重要的硬件特征代码CPU主频，内存大小等性能有关信息；整个系统板子的编号信息等。

内置软件的信息可通过检测得到，软件信息包括：启动软件的名字和版本信息；系统内核的名字和版本信息，主要系统库的版本信息等；所安装的应用程序清单以及这些应用程序清单所对应的服务代码等。

上述信息均可以以一个配置文件的方式进行存储。

设置在安全平台服务器侧的防火墙引擎模块3、子规则库生成模块4。

其中，该防火墙引擎模块3用于对电视侧上传的非确定的数据包和应用程序进程信息，根据规则库32中的规则进行分析和判断，确定是否为放行或给予拦截，并返回给电视侧。其包括下述子模块：

规则库32，存储有防火墙的全部规则。即，此处所存放的规则不仅包括基本的规则，例如禁止或允许的IP地址、端口等，还包括判断数据包所承载内容的特征码等复杂规则。

其中，规则库32的设置方式与现有技术规则库的设置相同。并且，还可根据本发明下述步骤202中的方式将规则库设置不同的复杂度。当规则库32与上述子规则库13均设置了对应的复杂度时(不难理解，子规则库13包含的复杂度少于规则库)，则特征分析子模块31可仅使用高于子规则库13中的复杂度的规则进行分析和判断，这样就可以避免了对电视侧根据子规则库13的规则判断过的部分采用同样规则的重复判断。

特征分析子模块31，用于接收电视上传的数据包、应用程序的进程信息，并根据完整的规则库32进行分析和判断，确定是否为放行或给予拦截，并将结果返回给电视侧防火墙引擎模块。

子规则库生成模块4用于根据电视上传的电视的硬件配置信息、内置软件信息为该电视创建上述子规则库13，并提供给该电视。创建过程从参见下述步骤202。

由上可以看出，本发明根据电视的硬软件信息创建适合该电视的子规则库13存放于该电视，完整的规则库32仍存储在安全平台服务器侧。子规则库13中规则的数量、复杂度远远小于完整的规则库32，目的是实现电视侧用户常用信息的本地快速判断。完整规则库32则用于在电视不能明确判断时由安全平台服务器侧进行判断，实现了快速判断与保证判断的全面的平衡。

下面参见图2所示，对本发明的防火墙系统为电视侧创建子规则库13的过程进行详细说明。

在电视出厂之前，其可不预设子规则库13，在出厂后，当首次连接网线，接入网络后，由安全平台服务器侧为其进行创建，包括以下步骤：

步骤201：由电视上设置的电视配置信息上传模块2将电视硬件配置信息、内置软件信息发送至互联网侧的安全平台服务器。

其中，电视硬件配置信息包括电视CPU型号、存储器大小等，内置软件信息为电视出厂时所预先安装的应用程序信息，如程序名、程序所占端口号等。上述信息可存储于电视的一配置文件中，由电视读取该配置文件进行上传。

另外，安全平台服务器的IP地址也预先设置于电视中，便于电视的根据该IP地址向安全平台服务器发送上述信息。

步骤202：安全平台服务器接收上述配置信息，由其子规则库生成模块4根据该配置信息为电视创建子规则库13，并返回给电视。

在创建子规则库13时，按照下述规则生成：

预先，规则库中的规则预先根据简单到复杂进行区分，例如，简单的规则包括：包括数据包的IP的规则，对所使用的端口的规则，这些不需要分析数据包内容，可设置为复杂度1；比复杂的规则包括：数据包所承载内容的分析，如信息的特征码，可设置为复杂度2；依次类推，越复杂的规则，复杂度越高。下面以三个复杂度为例说明：

复杂度1：进程名字相关，程序MD5值，网络基本信息相关的分析规则，例如：服务端IP和端口，本地端口；

复杂度2：IO操作相关信息的分析规则，例如：IO操作的频度，是否涉及敏感和系统数据和文件的操作。资源消耗信息的分析规则，CPU占用率，内存占用率，网络带宽占用率等；

复杂度3：数据内容分析，数据关键字分析，网络协议特征分析的分析规则，如，所访问的服务地址和内容分析等。

A、根据硬件配置信息创建子规则库13，包括：根据电视的硬件配置，即根据电视CPU性能和存储器的大小计算一个性能值。

B、根据该性能值创建与该性能值对应的子规则库13。其中，可预先设定不同的性能值所对应的子规则库13，根据该设定创建所述子规则库13。

其中根据CPU和存储模块计算性能值可以采用下述表1示出的查表方式的例子进行确定。

表1

C、根据所述电视内置软件信息继续创建子规则库13，以实现根据所具有的内置软件列表进行规则库的定制化。

例如，针对各个内置软件按照下述方式分类创建相应的规则，作为子规则库13的一部分：

a、有无本地IO操作，操作的权限级别，IO的频度，IO是否涉及系统软件数据；

b、CPU消耗如何，百分比；

c、内存消耗如何；

d、是否联网，联网的服务有多少，本地端口，服务器端IP地址和端口，网络协议数据。

步骤203：电视根据接收并保存所述子规则库13。

下面参见图3，再对电视防火墙的执行方法进行说明，包括以下步骤：

步骤301：当电视的要接收网络数据，或用户安装某未知的应用程序时，由电视机上的捕获子模块11捕获所述数据包，或者应用程序的进程，并由特征分析子模块12进行特征分析，包括分析其数据包的IP地址、要访问的端口、所述应用程序对应的进程所要访问的IP地址、端口等。

电视根据这些特征进行归类和筛选，属于安全百名单的，设置安全放行标志，属于黑名单的进行设置禁止放行标志，属于未知情况的，根据应用的操作特点，例如访问的权限，应用的动作，网络的使用情况进行判断，看是否超出了特征信息所描述和限定的范围，看是否进行和携带了隐藏的连接信息，然后如下述步骤302所述与规则库进行匹配，同样，匹配到的安全信息，放行，匹配到不安全信息则禁止。如果经过分析，没有匹配的，提交到安全平台服务器进行进一步分析判定。

步骤302：由电视机上的特征分析子模块12根据自规则库13进行判断，判断出是否为放行或者给予拦截的数据包或进程，若子规则库13中有对应的规则(如白名单或黑名单)，可以做出明确的判断，则根据本地子规则库13的做出判断结果，拦截或放行，并结束本次流程。若本地子规则库13中不存在相应的规则，即无法对数据包或应用程序进程给予明确的判断，则执行下一步。

步骤303：电视上的特征分析子模块12将所述数据包或应用进程信息发送至安全平台服务器。

具体来说，所发送的信息包括：程序文件名字，MD5值，应用权限信息，进程ID，内存消耗信息，CPU占用信息，IO资源信息，网络链接信息，包括本地IP和端口，连接服务器端IP和端口信息，网络通讯的协议信息等。

步骤304：由安全平台服务器侧的特征分析子模块31接收所述数据包或应用程序进程信息，并进一步进行特征分析，除了上述的IP地址、端口的分析，还包括对数据包所承载的数据内容的分析，对应用进程名称的分析等。

本步骤安全平台服务器规则库中的规则数量更大，其可处理的规则复杂度最高，特征分析也更加全面准确。其具体的特征分析包括：

收到上述信息后，根据下述特征进行归类和筛选：属于安全白名单的，设置安全放行标志；属于黑名单的进行设置禁止放行标志；属于未知情况的，根据应用的操作特点，例如访问的权限，应用的动作，网络的使用情况进行判断，判断是否超出了特征信息所描述和限定的范围，或是否进行和携带了隐藏的连接信息，然后再如下述步骤305所述，与规则库进行匹配，同样，匹配到的安全信息，放行，匹配到不安全信息则禁止，如果未匹配到信息的，无危险操作的，放行，且记录信息，并提示用户，有危险操作的，则禁止放行，并提示用户。

对于特征分析的技术，并非本发明重点，也可采用现有防火墙的特征分析方法，故不再赘述。

步骤305：安全平台服务器侧的特征分析子模块31根据规则库32进行判断，并将判断结果，即拦截或放行的结果返回给电视机。

步骤306：电视机的特征分析子模块12接收所述判断结果，根据该结果执行相应的拦截或放行操作，并将该结果对应的规则记录入子规则库13。

对于子规则库13，不仅可根据步骤306新增近期所使用的规则，通过需要动态增加内容，还可以动态删除内容，例如，当子规则库13中的某规则超过一定时间未被使用时，则认为该规则不适用于该电视(即用户所访问的数据或程序未涉及该规则)，则可删除该规则，保证电视子规则库13维持在小容量下。且这样动态调整子规则库13，使得其规则为该电视用户常用规则，减少了不常用的规则，使得子规则库13更与用户的使用相贴切，相符合，去除了长久不使用的规则。例如对于某电视的某客户从来不使用电视去打开word文件时，或不使用邮件功能时，则所有与word、邮件收发有关的规则、病毒库在该电视判断超过一定时间未被使用，则子规则库13相应规则就删除。可见，子规则库13虽然精简，但却更针对于不同用户进行不同的常用所设置。

另一方面，在服务器保留完整的规则库32，又可以作为用户本地子规则库13的一个补充，在电视本地的小型化的子规则库13和服务器的完整规则库32的协调工作，使得在防火墙的快速执行和全面安全上取得了平衡。

另一方面，防火墙模块还可对不同的规则根据拦截的频率动态调制该规则对应的安全级别。尤其，安全平台服务器由于会接入多个电视，为多个电视提供服务，因此，其可根据每次对各个电视上传的数据包和应用程序的判断结果进行统计，再去调整对应规则的安全度，以调制处理方式，并可定期更新具有该规则的电视的子规则库13中的该条规则。

对于步骤302中，当电视本地的防火墙模块做出明确的判断后，也可将其判断结果上传给服务器侧的防火墙模块，从而服务器防火墙模块可以调整规则库，对所匹配的规则提高或降低安全度。

上述虽然以电视为例进行说明，不难理解，同样适用于手机、PDA等用户终端。并且，本发明应用于计算机上也有一定的意义。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种防火墙系统，其特征在于，包括：

设置在用户终端的防火墙引擎模块(1)，用于捕获用户终端接收到的来自因特网的数据包或用户执行的应用程序的进程，并根据其具有的防火墙的部分规则判断是拦截或放行，并将非确定的数据包或应用程序进程的信息上传至安全平台服务器，根据安全平台服务器返回的结果执行拦截或放行；

设置在安全平台服务器的防火墙引擎模块(3)，用于根据其具有的防火墙的全部规则判断用户终端上传的非确定的数据包或应用程序进程信息是拦截或放行，并将判断结果返回给用户终端；

其中，所述设置在用户终端的防火墙引擎模块(1)包括：

子规则库(13)，存储有所述防火墙的部分规则；

捕获子模块(11)，用于捕获所述数据包或所述应用程序进程；

特征分析子模块(12)，用于对所捕获的数据包、应用程序进程的信息，根据子规则库(13)中的规则进行分析和判断，确定是拦截或放行，并将非确定的数据包或应用程序进程的信息上传至安全平台服务器，根据安全平台服务器返回的结果作为其判断结果执行拦截或放行；

其中，所述设置在安全平台服务器的防火墙引擎模块(3)包括：

规则库(32)，存储有所述防火墙的全部规则；

特征分析子模块(31)，用于接收用户终端上传的数据包或应用程序进程的信息，并根据规则库(32)中的规则进行分析和判断，确定是拦截或放行，并将结果返回给用户终端；

其中，用户终端还设置有配置信息上传模块(2)，用于将用户终端的硬件和内置软件的信息上传至安全平台服务器；

所述安全平台服务器还设置有子规则库生成模块(4)，用于根据用户终端上传的所述信息为该用户终端创建所述子规则库(13)。

2.一种防火墙的处理方法，其特征在于，包括步骤：

A、设置在用户终端的防火墙引擎模块捕获用户终端接收到的来自因特网的数据包或用户执行的应用程序的进程，并根据其子规则库分析，以判断是拦截或放行，不能根据子规则库确定时，将数据包或应用程序进程的信息上传至安全平台服务器；

B、设置在安全平台服务器的防火墙引擎模块接收所述数据包或应用程序进程的信息，并根据其规则库分析，以判断是拦截或放行，并将确定的结果返回给用户终端；所述规则库规则数量大于所述子规则库的规则数量

C、设置在用户终端的防火墙引擎模块根据接收的所述结果对所述数据包或应用程序进程拦截或放行；

其中，步骤A前还包括：

将用户终端的配置信息上传至安全平台服务器；

安全平台服务器根据所述配置信息为该用户终端创建所述子规则库并传输给该用户终端。

3.根据权利要求2所述的方法，其特征在于，所述配置信息包括硬件配置的信息、内置软件的信息；

所述创建所述子规则库的步骤包括：

确定用户终端硬件配置的性能，根据相应性能值创建相应复杂度的子规则库；

生成与所述内置软件信息中的软件对应的规则，写入所述子规则库。

4.根据权利要求3所述的方法，其特征在于，创建的所述相应复杂的子规则库包括：

第一复杂度：包括对进程名字分析、程序MD5值分析、网络基本信息分析的规则；

第二复杂度：包括对IO操作的信息分析、资源消耗信息分析的规则；

第三复杂度：包括对数据包内容分析、数据关键字分析、网络协议特征分析的规则。

5.根据权利要求2所述的方法，其特征在于，步骤C还包括：

设置在用户终端侧防火墙引擎模块根据接收的所述结果所对应的规则加入其子规则库。

6.根据权利要求5所述的方法，其特征在于，还包括：

设置在用户终端侧防火墙引擎模块对其子规则库中一定时期未被使用的规则进行删除。