CN102970294A - 安全网关的病毒检测方法及装置 - Google Patents

Abstract

本发明公开了一种安全网关的病毒检测方法及装置，该方法包括：对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，进行提示。通过本发明，按照预定大小的文件块对文件进行病毒检测，解决了相关技术中安全网关在防病毒过程中检测病毒的效率较低的问题，提高了检测病毒的效率。

Description

安全网关的病毒检测方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种安全网关的病毒检测方法及装置。

背景技术

伴随着网络和网民数量的持续增多，网络的带宽快速增大，为网络应用创造了良好的环境，继传统超文本传输协议（Hypertext Transfer Protocol，简称为HTTP）、电子邮件（Email）之后，网络视频会议、虚拟专用网络（Virtual Private Network，简称为VPN）企业私网、点对点（Peer to Peer，简称为P2P）视频、即时聊天、WEB 2.0、电子商务各种应用也随之兴起。伴随着网络规模的扩张，伴随着我们对网络依赖性的增强，网络威胁也日益增大，在这些威胁中，以应用为目标或载体的威胁日益增多。在这种情况下，安全网关应运而生了。

安全网关是指设置在不同网络或网络安全域之间的一系列部件的组合的统称。它可以通过监测、限制、更改跨越安全网关的数据流，尽可能的对外部屏蔽网络内部的信息、结构和运行状况，并通过检测阻断威胁，以及网路数据加密等手段来实现网络和信息的安全。

安全网关防病毒主要针对HTTP/HTTPS、文件传输协议（File Transfer Protocol，简称为FTP）、简单邮件传输协议（Simple Mail Transfer Protocol，简称为SMTP）、邮局协议的第3个版本（Post Office Protocol 3，简称为POP3）等协议流量进行双向的过滤扫描，来达到对企业内网用户和服务器的保护，并防止内网已感染病毒的客户端和服务器对外扩散病毒。同时对于企业而言，找寻性能和检测率、漏判之间的平衡，将成为企业防病毒成败的关键。为了提升病毒检测的性能，目前主流解决方案主要有两种：一种是串流扫描技术。串流扫描方案由于优先考虑用户的网络使用体验，不得不简化病毒扫描流程，对一些较复杂的文件不能进行深入的检测，会造成病毒的漏判；另外当网络流量较大时，很多扫描不能在文件传输之前完成，这就造成实际上的病毒扫描功能失效。另一种是借助专用集成电路（Application SpecificIntegrated Circuit，简称为ASIC）加速卡将由代理缓存下来的整个文件做深度内容扫描检测与特征匹配，该方案一定程度上提升了扫描性能问题和病毒检测率。

但是随着企业、用户接入带宽的不断提升和应用的不断增多，通过安全网关的网络流量也不断增大，应用在安全网关中现有的串流扫描技术和上述深度扫描技术在面对不断增加的网络流量已经显得力不从心；同时，虽然现在安全网关中较多的使用上述深度扫描技术，但该技术需要先将整个文件存储在缓存中，再对整个文件内容做深度内容扫描检测与特征匹配，且要等整个文件检测完成之后，才能进行下一次病毒检测，然而在文件的前部已经检测到病毒的情况下，已经可以判定该整个文件存在病毒，因此对该文件的后续部分的扫描是没有必要的，这种处理方式，随着单个文件的增大，病毒检测的效率将变得低下。

针对相关技术中安全网关在防病毒过程中检测病毒的效率低的问题，目前尚未提出有效的解决方案。

发明内容

本发明提供了一种安全网关的病毒检测方法及装置，以至少解决相关技术中安全网关在防病毒过程中检测病毒的效率低的问题。

根据本发明的一个方面，提供了一种安全网关的病毒检测方法，该方法包括：对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，进行提示。

优选地，对接收的文件按照预定大小的文件块分别进行病毒检测包括：对上述文件的文件块分别进行哈希HASH处理；对处理后的文件块分别进行病毒检测。

优选地，对接收的文件按照预定大小的文件块分别进行病毒检测包括：判断文件的大小是否大于预定大小；如果文件的大小大于预定大小，对该文件按照预定大小的文件块分别进行病毒检测；如果文件的大小不大于预定大小，上述方法还包括：直接对该文件进行病毒检测。

优选地，在对接收的文件按照预定大小的文件块分别进行病毒检测之后，上述方法还包括：将检测结果存储到安全网关的缓冲区中。

优选地，上述检测结果包括关键词及其对应的值，其中，上述关键词包括：进行HASH处理后的文件的统一资源定位符（Uniform Resource Locator，简称为URL）和进行HASH处理后的文件的预定大小的文件块的内容；上述对应的值包括：病毒检测的结果和检测时间。

优选地，在对接收的文件按照预定大小的文件块分别进行病毒检测之前，上述方法还包括：查找缓冲区中存储的检测结果：当上述文件的内容与缓冲区中的检测结果中的文件内容匹配时，以缓冲区中对应的检测结果进行提示。

优选地，在将检测结果存储到安全网关的缓冲区中之后，上述方法还包括：按照预定时间清理缓冲区中的检测结果。

优选地，进行提示包括：更改HTTP回应，返回错误提示码。

根据本发明的另一个方面，提供了一种安全网关的病毒检测装置，该装置包括：检测模块，用于对接收的文件按照预定大小的文件块分别进行病毒检测；提示模块，用于当检测到上述文件的文件块中有文件块携带病毒时，进行提示。

优选地，检测模块包括：处理单元，用于对文件的文件块分别进行哈希HASH处理；检测单元，用于对处理后的文件块分别进行病毒检测。

通过本发明，对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，进行提示，解决了相关技术中安全网关在防病毒过程中检测病毒的效率低的问题，进而提高了检测病毒的效率。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的安全网关的病毒检测方法的流程图；

图2是根据本发明实施例的安全网关的病毒检测装置的结构框图；

图3是根据本发明优选实施例的安全网关的病毒检测装置的结构框图一；

图4是根据本发明优选实施例的安全网关的病毒检测装置的结构框图二；

图5是根据本发明优选实施例的安全网关的病毒检测方法的流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

本发明实施例提供了一种安全网关的病毒检测方法，图1是根据本发明实施例的安全网关的病毒检测方法的流程图，如图1所示，包括如下的步骤：

步骤S102，对接收的文件按照预定大小的文件块分别进行病毒检测；

步骤S104，当检测到文件的文件块中有文件块携带病毒时，进行提示。

通过上述步骤，对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，进行提示，解决了相关技术中安全网关在防病毒过程中检测病毒的效率低的问题，进而提高了检测病毒的效率。

在一个优选的实施方式中，对在步骤S102中的病毒检测可以采用HASH处理的方式，即对文件块分别进行HASH处理；对处理后的文件块分别进行病毒检测。该方法通过先对预定大小的文件块进行HASH处理，得到一个固定长度的HASH值，然后将上述HASH值与病毒的特征码进行匹配，一般地，文件经HASH处理后的长度较小，对较小长度的文件进行病毒检测，发现病毒则及时提示，从而大大提高了检测病毒的效率。其中，预定大小可以是64Kbyte、32Kbyte、16Kbyte等，其中，选择32Kbyte，病毒检测效率的提高比较显著。实际应用中，可以根据实际需要选择合适的大小，此处并不做限定。上述预定大小的文件块可以是文件中的一个部分，该部分可以依赖于文件的其他部分而存在，例如，整个文件或者报文中的一定长度的二进制编码，该部分也可以独立于文件的其他部分而存在，例如，文件中的一个或者多个报文，在此处并不做限定。

需要说明的是，上述HASH处理方式仅仅是一种优选的处理方式，还可以采用其他的可以将文件处理为固定长度的处理方式对文件块进行病毒检测，无论是哪种处理方式，由于其均是对文件块进行检测，因此，均能够解决技术问题。

在一个优选的实施方式中，可以先判断接收的文件的大小是否大于预定大小，再根据判断结果进行病毒检测，本优选实施方式可以通过以下步骤实现：判断文件的大小是否大于预定大小；如果文件的大小大于预定大小，对该文件按照预定大小的文件块分别进行病毒检测；如果文件的大小不大于预定大小，上述方法还包括：直接对该文件进行病毒检测。本优选实施方式能够根据文件的大小灵活处理，增加了系统的实用性。

在一个优选实施方式中，可以将病毒检测结果存储起来，方便用户后续查看或使用，本优选实施方式可以通过以下步骤实现：在对接收的文件按照预定大小的文件块分别进行病毒检测之后，将检测结果存储到安全网关的缓冲区中。需要说明的是，该检测结果可以是检测出有病毒的文件的检测结果，也可以是检测出没有病毒的文件的检测结果，也可以是二者检测结果的总和，此处并没有限制该检测结果的内容。

较优地，检测结果可以包括关键词及其对应的值，其中，关键词包括：进行HASH处理后的文件的URL和进行HASH处理后的文件的预定大小的文件块的内容；对应的值包括：病毒检测的结果和检测时间。本优选实施方式提供了一种检测结果的具体的保存形式，其中使用URL或者上述文件块内容的HASH值保存病毒检测结果，通过匹配这些HASH值，能够使查找对应的检测结果的效率更高。当然，也可以采用其它的保存形式，例如，保存文件块的内容及其对应的病毒检测结果，保存文件块的内容、对应的病毒检测结果和检测时间，或者，文件的URL和对应的病毒检测结果等。无论采用怎样的保存形式，只要便于用户查看检测结果即可。

在缓冲区中保存有病毒检测结果的情况下，在对接收的文件按照预定大小的文件块分别进行病毒检测之前，上述方法还可以包括：查找缓冲区中存储的检测结果，当文件的内容与缓冲区中的检测结果中的文件内容匹配时，以缓冲区中对应的检测结果进行提示。本优选实施方式在对文件或者文件块进行病毒检测前，先查找缓冲区中是否存在与该文件或文件块内容相同的文件或文件块的检测结果，如果存在，则可以直接使用该检测结果进行提示，从而能够减少系统开销，同时提高检测效率。较优地，如果缓冲区中存储的检测结果是检测出有病毒的文件的检测结果，则对匹配该检测结果的文件或者文件块，使用对应的检测结果进行提示；如果缓冲区中存储的检测结果是检测出没有病毒的文件的检测结果，则对匹配该检测结果的文件或者文件块可以不再进行病毒检测，也可以不再进行提示；如果存储的检测结果是所有的文件或者文件块的检测结果，则可以结合前述的两种情况灵活处理。

在将检测结果存储到安全网关的缓冲区中之后，上述方法还可以包括：按照预定时间清理缓冲区中的检测结果。通过定期清理缓冲区中保存的过旧的或者失效的检测结果，能够节省缓冲区的空间，提高缓冲区的吞吐能力。较优地，可以根据检测时间，将预定时间段之前的检测结果删除，也可以在预定时间之后，将所有的检测结果删除。还有其他的触发清理缓冲区中的检测结果的方式，比如按照检测结果所占用的缓冲区的大小，将较旧的、且超出预定缓冲区大小的数据删除。

在上述步骤中，检测到病毒时，进行提示的方式可以是：更改HTTP回应，返回错误提示码。在检测出某个文件或者文件块存在病毒时，将阻止该文件或者文件块对应的文件通过安全网关，同时，更改HTTP的回应，调用提示模块，向用户返回存在病毒的错误提示码，从而达到了防病毒的功能并实现了与用户的交互，提升了用户的体验，提高了报告病毒的实时性。需要说明的是，在HTTP协议流量中使用的是HTTP回应，而在FTP、SMTP、POP3或者其他协议中也可以使用相对应的其他回应，此处并不做限定。

本发明实施例还提供了一种安全网关的病毒检测装置，该装置可以用于实现上述安全网关的病毒检测方法。图2是根据本发明实施例的安全网关的病毒检测装置的结构框图，如图2所示，该装置包括第一检测模块202和提示模块204，其中，第一检测模块202，用于对接收的文件按照预定大小的文件块分别进行病毒检测；提示模块204，耦合至第一检测模块202，用于当检测到文件的文件块中有文件块携带病毒时，进行提示。

通过上述装置，采用第一检测模块202对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，由提示模块204进行提示，解决了相关技术中安全网关在防病毒过程中检测病毒的效率低的问题，提高了检测病毒的效率。

图3是根据本发明优选实施例的安全网关的病毒检测装置的结构框图一，如图3所示，上述第一检测模块202可以包括：处理单元2022，用于对文件的文件块分别进行HASH处理；第一检测单元2024，耦合至处理单元2022，用于对处理后的文件块分别进行病毒检测。

如图4所示，第一检测模块202包括：判断单元2026，用于判断文件的大小是否大于预定大小；第二检测单元2028，耦合至判断单元2026，用于在文件的大小大于预定大小的情况下，对该文件按照预定大小的文件块分别进行病毒检测；上述装置还包括：第二检测模块206，耦合至第一检测模块202，用于在文件的大小不大于预定大小的情况下，直接对该文件进行病毒检测。

在实施过程中，上述装置还可以包括：存储模块208，耦合至第一检测模块202和提示模块204之间，用于将检测结果存储到安全网关的缓冲区中。

检测结果可以包括关键词及其对应的值，其中，关键词包括：进行HASH处理后的文件的URL和进行HASH处理后的文件的预定大小的文件块的内容；对应的值包括：病毒检测的结果和检测时间。

为了进一步提升病毒检测的效率，上述装置还可以包括：查找模块210，耦合至第一检测模块202和提示模块204，用于查找缓冲区中存储的检测结果，在这种情况下，提示模块204，用于在文件的内容与缓冲区中的检测结果中的文件内容匹配的情况下，以缓冲区中对应的检测结果进行提示。

较优地，上述装置还可以包括：清理模块212，耦合至提示模块204，用于按照预定时间清理缓冲区中的检测结果。

在实施过程中，提示模块204进行提示的方式可以包括：更改HTTP回应，返回错误提示码。

需要说明的是，装置实施例中描述的安全网关的病毒检测装置对应于上述的方法实施例，其具体的实现过程在方法实施例中已经进行过详细说明，在此不再赘述。

为了使本发明的技术方案和实现方法更加清楚，下面将结合优选的实施例对其实现过程进行详细描述。

图5是根据本发明优选实施例的安全网关的病毒检测方法的流程图，如图5所示，该方法是一种安全网关对HTTP协议的流量进行病毒检测的方法，其中，通过查询文件的文件头中的信息，可以将文件按照大小分类处理。该方法包括如下的步骤：

步骤S502，判断通过安全网关的文件是否大于预定大小32Kbyte，如果是，进入步骤S504，否则进入步骤S506；

步骤S504，在未收到文件的前32Kbyte内容之前，将内容缓存在缓冲区中不进行扫描，也不进行发送；当收到文件的前32Kbyte内容后，首先对这32Kbyte内容进行HASH处理，得到一个128bit的HASH值；

步骤S506，对整个文件进行HASH处理，得到一个128bit的HASH值；

步骤S508，扫描病毒前，先根据上述32Kbyte内容或整个文件的128bit的HASH值，查找缓冲区中的扫描结果，如果存在上述文件的扫描结果，则直接进入步骤S512，否则进入步骤S510；

步骤S510，扫描病毒，且每次扫描病毒后缓存扫描结果。即，存储Key-Value对在缓冲区中，其中，Key=HASH（URL，前32Kbyte文件内容）；Value=（扫毒结果，扫描时间）；

步骤S512，当扫描的32Kbyte内容存在病毒时，跳过该文件剩余部分的扫描；

步骤S514，更改HTTP回应，提示错误提示码，通知用户；

步骤S516，定时清理缓冲区中老化的扫描结果。

上述步骤利用缓存技术，提升了安全网关病毒检测警告的实时性及处理病毒的能力。利用32Kbyte缓存可以在发现病毒的早期就提示用户，而不是等到用户收到最后一个报文（或者文件块）才发出警告，同时，上述步骤还可以大大提高在互联网出口处重复的URL访问时，扫描病毒的速度。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

综上所述，根据本发明的上述实施例，安全网关对接收的文件按照预定大小的文件块分别进行病毒检测；当检测到上述文件的文件块中有文件块携带病毒时，立即拒绝上述文件通过安全网关，并进行提示，解决了相关技术中安全网关在防病毒过程中检测病毒的效率低的问题，进而提高了检测病毒的效率。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种安全网关的病毒检测方法，其特征在于包括：

对接收的文件按照预定大小的文件块分别进行病毒检测；

当检测到所述文件的文件块中有文件块携带病毒时，进行提示。

2.根据权利要求1所述的方法，其特征在于，对接收的文件按照预定大小的文件块分别进行病毒检测包括：

对所述文件的文件块分别进行哈希HASH处理；

对处理后的文件块分别进行病毒检测。

3.根据权利要求1或2所述的方法，其特征在于，

对接收的文件按照预定大小的文件块分别进行病毒检测包括：

判断所述文件的大小是否大于所述预定大小；

如果所述文件的大小大于所述预定大小，对所述文件按照预定大小的文件块分别进行病毒检测；

如果所述文件的大小不大于所述预定大小，所述方法还包括：直接对所述文件进行病毒检测。

4.根据权利要求1所述的方法，其特征在于，在对接收的文件按照预定大小的文件块分别进行病毒检测之后，所述方法还包括：

将检测结果存储到安全网关的缓冲区中。

5.根据权利要求4所述的方法，其特征在于，所述检测结果包括关键词及其对应的值，其中，所述关键词包括：进行HASH处理后的所述文件的统一资源定位符URL和进行HASH处理后的所述文件的预定大小的文件块的内容；所述对应的值包括：病毒检测的结果和检测时间。

6.根据权利要求4所述的方法，其特征在于，在对接收的文件按照预定大小的文件块分别进行病毒检测之前，所述方法还包括：

查找所述缓冲区中存储的所述检测结果：

当所述文件的内容与所述缓冲区中的检测结果中的文件内容匹配时，以所述缓冲区中对应的检测结果进行提示。

7.根据权利要求4所述的方法，其特征在于，在将检测结果存储到安全网关的缓冲区中之后，所述方法还包括：按照预定时间清理所述缓冲区中的检测结果。

8.根据权利要求1或2所述的方法，其特征在于，进行提示包括：

更改HTTP回应，返回错误提示码。

9.一种安全网关的病毒检测装置，其特征在于包括：

检测模块，用于对接收的文件按照预定大小的文件块分别进行病毒检测；

提示模块，用于当检测到所述文件的文件块中有文件块携带病毒时，进行提示。

10.根据权利要求9所述的装置，其特征在于，所述检测模块包括：

处理单元，用于对所述文件的文件块分别进行哈希HASH处理；

检测单元，用于对处理后的文件块分别进行病毒检测。

Images