CN103051552B - 基于串接阻断、旁路分析相分离的智能管控方法和系统 - Google Patents

Abstract

本发明是有关于一种基于串接阻断、旁路分析相分离的智能管控方法和系统，其中的方法包括：串接在IDC与互联网之间的负载均衡设备将IDC以及互联网传输来的数据包传输给处于正常工作状态的数据流量阻断设备；数据流量阻断设备根据封堵条件将不符合封堵条件的数据包复制传输给深度包检测分析设备，并回传给负载均衡设备；数据流量阻断设备不再将符合封堵条件的数据包传输给深度包检测分析设备，并不再回传；深度包检测分析设备根据策略分发设备传输来的监测命令和其对数据包的协议分析结果产生基于五元组的封堵命令，并传输给数据流量阻断设备。本发明可满足监管机构的监管需求及IDC运营商自身的信息安全管理需求，从而实现了IDC的健康良性运行。

Description

基于串接阻断、旁路分析相分离的智能管控方法和系统

技术领域

本发明涉及互联网技术领域，特别是涉及一种基于串接阻断、旁路分析相分离的智能管控方法和系统。

背景技术

IDC(Internet Data Center，互联网数据中心)是互联网上各种应用和流量发起并汇聚的地方，也是各类网络信息安全事件的发源地。加强对IDC的管控是维护互联网事业健康有序发展，并杜绝各类不良信息以及有害信息在网络传播的重要保障，从而对IDC进行很好的管控，便可以从源头对网站和网络信息等安全事件进行安全掌控。

发明人在实现本发明过程中发现：现有的IDC管控方式存在诸多安全隐患，并不能满足目前社会对网站和网络信息等安全事件的各项要求，IDC的管控需要进一步加强。

有鉴于上述现有的IDC管控方式存在的技术问题，发明人基于从事此类产品设计制造多年丰富的实务经验以及专业知识，配合学理的运用，积极加以研究创新，以期创设一种新的基于串接阻断、旁路分析相分离的智能管控方法和系统，能够克服现有的IDC管控方式存在的问题，使其更具实用性。经过不断的研究设计,并经过反复试作样品及改进后，终于创设出确具实用价值的本发明。

发明内容

本发明的目的在于，克服现有的IDC管控方式存在的问题，而提供一种新的基于串接阻断、旁路分析相分离的方法和系统，所要解决的技术问题是，加强对互联网数据中心的管控，以满足目前社会对网站和网络信息等安全事件的各项要求。

本发明的目的及解决其技术问题可采用以下的技术方案来实现。

依据本发明提出的一种基于串接阻断、旁路分析相分离的智能管控系统，该系统包括：控制端和与其连接的执行端；所述控制端包括：策略分发设备，执行端包括：负载均衡设备、数据流量阻断设备和深度包检测分析设备；策略分发设备，与数据流量阻断设备和深度包检测分析设备均连接，用于向数据流量阻断设备下发基于IP地址和/或端口的封堵命令，向深度包检测分析设备下发监测命令；所述负载均衡设备，串接在互联网数据中心IDC与互联网之间，与数据流量阻断设备连接，用于在检测出与其连接的数据流量阻断设备处于正常工作状态时，将IDC以及互联网传输来的数据包传输给数据流量阻断设备，在检测出与其连接的数据流量阻断设备处于非正常工作状态时，将IDC传输来的数据包传输给互联网，将互联网传输来的数据包传输给IDC；还用于将所述数据流量阻断设备传输来的数据包转发至IDC或者互联网；数据流量阻断设备，与深度包检测分析设备连接，用于将负载均衡设备传输来的不符合其存储的封堵条件的数据包复制传输给深度包检测分析设备，并回传给负载均衡设备；根据其存储的封堵条件不再将负载均衡设备传输来的符合封堵条件的数据包传输给深度包检测分析设备，并不再回传给负载均衡设备；从策略分发设备下发的基于IP地址和/或端口的封堵命令以及深度包检测分析设备传输来的基于五元组的封堵命令中提取封堵条件并存储；深度包检测分析设备，与策略分发设备连接，用于对数据流量阻断设备传输来的数据包进行协议分析，并根据策略分发设备传输来的监测命令和所述协议分析的结果产生基于五元组的封堵命令，将所述基于五元组的封堵命令传输给数据流量阻断设备。

前述的基于串接阻断、旁路分析相分离的智能管控系统，其中所述执行端包括多个深度包监测分析设备，且所述数据流量阻断设备与多个深度包检测分析设备均连接，所述数据流量阻断设备根据五元组将其接收到的多个数据包分流传输给多个深度包检测分析设备。

前述的基于串接阻断、旁路分析相分离的智能管控系统，其中所述数据流量阻断设备的管理接口和深度包检测分析设备的管理接口均通过内网交换机与所述策略分发设备连接。

前述的基于串接阻断、旁路分析相分离的智能管控系统，其中所述策略分发设备、数据流量阻断设备和深度包检测分析设备通过内网交换机与日志文件存储设备连接。

前述的基于串接阻断、旁路分析相分离的智能管控系统，其中所述负载均衡设备通过1GE接口或者10GE接口串接在IDC与互联网之间。

本发明提供的一种基于串接阻断、旁路分析相分离的智能管控方法包括：串接在互联网数据中心IDC与互联网之间的负载均衡设备在检测出与其连接的数据流量阻断设备处于正常工作状态时，将IDC以及互联网传输来的数据包传输给数据流量阻断设备，在检测出与其连接的数据流量阻断设备处于非正常工作状态时，将IDC传输来的数据包传输给互联网，将互联网传输来的数据包传输给IDC；数据流量阻断设备根据其存储的封堵条件将负载均衡设备传输来的不符合所述封堵条件的数据包复制传输给深度包检测分析设备，并回传给负载均衡设备，由负载均衡设备将数据包转发至IDC或者互联网；数据流量阻断设备根据其存储的封堵条件不再将负载均衡设备传输来的符合封堵条件的数据包传输给深度包检测分析设备，并不再回传给负载均衡设备；深度包检测分析设备对数据流量阻断设备传输来的数据包进行协议分析，并根据策略分发设备传输来的监测命令和所述协议分析的结果产生基于五元组的封堵命令，将所述基于五元组的封堵命令传输给数据流量阻断设备；其中，所述封堵条件为从策略分发设备下发的基于IP地址和/或端口的封堵命令以及深度包检测分析设备传输来的基于五元组的封堵命令中提取出的封堵条件。

前述的基于串接阻断、旁路分析相分离的智能管控方法，其中数据流量阻断设备与多个深度包检测分析设备连接，所述数据流量阻断设备根据五元组将其接收到的多个数据包分流传输给多个深度包检测分析设备。

前述的基于串接阻断、旁路分析相分离的智能管控方法，其中所述数据流量阻断设备的管理接口和深度包检测分析设备的管理接口均通过内网交换机与所述策略分发设备连接。

前述的基于串接阻断、旁路分析相分离的智能管控方法，其中所述方法还包括：将所述策略分发设备、数据流量阻断设备和深度包检测分析设备产生的日志信息存储于日志文件存储设备。

前述的基于串接阻断、旁路分析相分离的智能管控方法，其中所述负载均衡设备通过1GE接口或者10GE接口串接在IDC与互联网之间。

借由上述技术方案，本发明的基于串接阻断、旁路分析相分离的智能管控方法和系统至少具有下列优点及有益效果：本发明通过设置串接在IDC与互联网之间的负载均衡设备、与该负载均衡设备连接的数据流量阻断设备、与该数据流量阻断设备连接的深度包检测分析设备、以及与数据流量阻断设备和深度包检测分析设备均连接的策略分发设备，使串接、数据包检测、数据包阻断操作由不同设备来实现，从而建立了串接、阻断以及分析检测相分离的针对IDC的智能管控系统；本发明可以通过对协议的还原与分析、关键词的监测与分析等等，实现对互联网数据中心的信息、上网日志、信息安全以及违法网站等的监控与管理，从而可以实现类旁路的UDP协议阻断和大流量的协议分析，并对网络性能影响低，且实现成本低；另外，本发明还满足了相关的监管机构的监管需求及IDC运营商自身的信息安全管理需求，最终实现了IDC的健康良性运行。

综上所述，本发明在技术上有显著的进步，并具有明显的积极技术效果，成为一新颖、进步、实用的新设计。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征以及优点能够更明显易懂，以下特举较佳实施例，并配合附图,详细说明如下。

附图说明

图1为本发明的基于串接阻断、旁路分析相分离的智能管控系统示意图。

具体实施方式

为更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明提出的基于串接阻断、旁路分析相分离的智能管控方法和系统其具体实施方式、结构、特征及其功效，详细说明如后。

下面结合附图1对本发明的针对互联网数据中心(IDC)的基于串接阻断、旁路分析相分离的智能管控系统和方法同时进行说明。

本发明的智能管控系统可以设置于IDC机房中，且一个IDC机房设置一个智能管控系统。

该基于串接阻断、旁路分析相分离的智能管控系统包括：控制端和执行端，控制端与执行端连接，另外，该系统还可以包括：与控制端和执行端均连接的日志文件存储设备。在实际应用中，日志文件存储设备可以同时与多个控制端和多个执行端均连接，如在图1中，日志文件存储设备同时与两个控制端和两个执行端均连接。

上述控制端主要包括：策略分发设备1。上述控制端主要包括：负载均衡设备2、数据流量阻断设备3以及深度包检测分析设备4。另外，该控制端还可以包括：交换设备，如路由器或者交换机等；一个具体的例子，策略分发设备1通过内网交换机与各深度包检测分析设备4以及各数据流量阻断设备3的管理接口均连接，且日志文件存储设备通过内网交换机与策略分发设备1、数据流量阻断设备3以及深度包检测分析设备4均连接。

需要说明的是，虽然在图1中，一个数据流量阻断设备3与两个深度包检测分析设备4连接，然而，在实际应用中，与数据流量阻断设备3连接的深度包检测分析设备4的数量也可以更多或者更少。

下面对该系统中的各部件分别进行说明。

策略分发设备1与数据流量阻断设备3以及深度包检测分析设备4均连接。策略分发设备1主要用于下发控制策略，如向数据流量阻断设备3下发封堵命令，并向深度包检测分析设备4下发监测命令。策略分发设备1向深度包检测分析设备4下发的封堵命令如基于IP地址的封堵命令、或者基于IP端口的封堵命令、或者基于IP地址和IP端口的封堵命令。上述监测命令包含有需要监测的对象的相关信息。

具体的，策略分发设备1可以根据其接收到的用户指令(如相关管理部门)生成相应的控制策略(如封堵命令以及监测命令)，并向数据流量阻断设备3下发其生成的封堵命令，向深度包检测分析设备4下发监测命令。策略分发设备1可以采用批量的方式生成并下发上述封堵命令以及监测命令，如一次性的批量生成并批量下发几万条、几十万条甚至几百万条封堵命令以及监测命令。该策略分发设备1应具有高速缓存功能，以快速的批量生成并下发上述封堵命令以及监测命令。在实际应用中，策略分发设备1可以采用运行有特定程序以执行上述操作的工控机来实现。

策略分发设备1向数据流量阻断设备3下发的封堵命令通常用于实现针对一个IP地址、一个IP端口或者一个IP地址和端口进行永久封堵，此时，上述基于IP地址和端口的封堵命令可以称为永久封堵命令，当然，针对一个IP地址和/或端口的封堵也可以是有时间限制的。

策略分发设备1向深度包检测分析设备4下发的监测命令可以为基于域名、网址、关键字以及协议等中的一个或者多个进行监测的命令。监测命令通常用于实现针对域名、网址、关键字以及协议等中的一个或者多个进行临时性封堵，此时，上述监测命令可以称为临时监测命令，当然，针对域名、网址、关键字以及协议等中的一个或者多个进行的监测也可以是没有时间限制的永久监测。

上述的协议的类型可以具体包括http、SMTP、POP3、FTP、DNS、Telnet、DHCP、RIP、NFS、IMAP、SNMP、Finger以及BOOTP等。本发明通过策略分发设备1下发的封堵命令和监测命令，可以使系统实现对协议的监控及阻断，对IP地址、IP地址段、IP端口、域名、URL以及协议中的账号关键词等信息的封堵。

本发明的策略分发设备1可以支持基于redis的通讯服务。

负载均衡设备2串接在IDC与互联网之间，也就是说，在IDC与互联网之间的传输的数据包必须流经负载均衡设备2。负载均衡设备2还与数据流量阻断设备3直接连接。

负载均衡设备2的一个主要作用在于，对与其连接的数据流量阻断设备3进行检测(如进行物理和逻辑的健康检测)，在检测出与其连接的数据流量阻断设备3处于正常工作状态时，负载均衡设备2处于管控工作模式下，即负载均衡设备2将IDC以及互联网传输来的数据包传输给数据流量阻断设备3；在检测出与其连接的数据流量阻断设备3处于非正常工作状态时，负载均衡设备2处于非管控模式下，即负载均衡设备2将IDC传输来的数据包直接传输给互联网，并将互联网传输来的数据包直接传输给IDC，以避免数据流量阻断设备3处于非正常工作状态时，影响IDC与互联网之间数据的正常传输。

负载均衡设备2的另一个主要作用在于，将数据流量阻断设备3传输来的数据包转发至IDC或者互联网，也就是说，针对互联网向IDC发送的数据包，先流经负载均衡设备2，再被传输至数据流量阻断设备3，如果数据流量阻断设备3将该数据包返回给负载均衡设备2，则负载均衡设备2将该数据包传输给IDC，而如果数据流量阻断设备3不将该数据包返回给负载均设备2，则该数据包不会被传输至IDC；而针对IDC向互联网发送的数据包，先流经负载均衡设备2，再被传输至数据流量阻断设备3，如果数据流量阻断设备3将该数据包返回给负载均衡设备2，则负载均衡设备2将该数据包传输给互联网，而如果数据流量阻断设备3不将该数据包返回给负载均设备2，则该数据包不会被传输至互联网。

由上述描述可知，在非管控模式下，流量通过负载均衡设备2，实现IDC出口与互联网直通，不经过数据流量阻断设备3；而在管控模式下，流量先经过负载均衡设备2的一端，流入数据流量阻断设备3，并从数据流量阻断设备3的另一端流回负载均衡设备2，实现IDC出口与互联网直通。

上述管控模式与非管控模式还可以通过负载均衡设备2上的硬件开关手动切换，亦可基于数据流量阻断设备3的加电而自动切换。

在实际应用中，负载均衡设备2可以利用心跳数据包检测与其连接的数据流量阻断设备3是否处于正常工作状态，即负载均衡设备2定时发送心跳数据包，如果定时发送的心跳数据包经由数据流量阻断设备2定时返回至负载均衡设备2，则负载均衡设备2可以确定出数据流量阻断设备3处于正常工作状态，则负载均衡设备2自身处于管控模式，否则，负载均衡设备2可以确定出数据流量阻断设备3处于非正常工作状态，则负载均衡设备2自身处于非管控模式，从而在数据流量阻断设备3出现掉电、阻断设备逻辑故障等现象时，立即切换到非管控模式

负载均衡设备2可以采用现有的具有bypass功能的设备。另外，负载均衡设备2应具有1GE接口或者10GE接口，并通过这样的接口串接在IDC以及互联网之间。

数据流量阻断设备3中存储有封堵条件，该封堵条件可以采用数据库或者表等多种方式来存储。数据流量阻断设备3中存储的封堵条件是基于策略分发设备1下发的基于IP地址和/或端口的封堵命令以及深度包检测分析设备4传输来的基于五元组(源IP地址、源端口、目的IP地址、目的端口和传输层协议)的封堵命令而建立的，例如，数据流量阻断设备3从策略分发设备1传输来的基于IP地址和/或端口的封堵命令中提取永久封堵的封堵条件并存储，且数据流量阻断设备3从深度包检测分析设备4传输来的基于五元组的封堵命令中提取暂时封堵的封堵条件并存储。

数据流量阻断设备3主要用于在接收到与其连接的负载均衡设备2传输来的数据包时，利用其自身存储的封堵条件对负载均衡设备2传输来的数据包进行封堵判别，如果该数据包符合其存储的某一个封堵条件，则数据流量阻断设备3不再将该数据包回传给负载均衡设备2，也不再将该数据包传输给深度包检测分析设备4；如果该数据包不符合其存储的任何一个封堵条件，则数据流量阻断设备3不但将该数据包回传给负载均衡设备2，还会将该数据包传输给深度包检测分析设备4。数据流量阻断设备3在向深度包检测分析设备4传输数据包时，如果需要传输的数据包的流量不大，则数据流量阻断设备3可以向某个深度包检测分析设备4传输其接收到的数据包；如果需要传输的数据包的流量较大，则数据流量阻断设备3可以将其接收到的数据包分流传输给多个深度包检测分析设备4，例如，数据流量阻断设备3根据五元组或者三元组将其接收到的多个数据包分流传输给多个深度包检测分析设备4，以减轻深度包检测分析设备4的处理负荷。

一个具体的例子，数据流量阻断设备3对符合其存储的永久封堵的封堵条件的某个IP地址发来的数据包进行永久性封堵，或者在预定时间间隔内数据流量阻断设备3对符合其存储的暂时封堵的封堵条件的数据包进行临时封堵。

深度包检测分析设备4与数据流量阻断设备3直接连接，如使用光纤直接连接。深度包检测分析设备4中存储有其接收到的监测命令所承载的监测信息；一个具体的例子，深度包检测分析设备4接收策略分发设备1传输来的监测命令，并存储该封堵命令中所承载的相关信息。深度包检测分析设备4可以以数据库或者表等形式存储封堵命令中所承载的相关信息。

深度包检测分析设备4主要用于对数据流量阻断设备3传输来的数据包进行深度协议分析，并根据其存储的监测命令中的相关信息以及上述深度协议分析的结果来判断是否产生基于五元组的封堵命令，如果判断结果为需要产生基于五元组的封堵命令，则深度包检测分析设备4根据该协议分析出的数据包中承载的特定信息产生基于五元组的封堵命令(即根据一定的规则转换为五元组)，并将该基于五元组的封堵命令传输给数据流量阻断设备2，以使数据流量阻断设备2可以根据该封堵命令进行相应的存储及封堵等操作，否则，深度包检测分析设备4不进行上述基于五元组的封堵命令产生操作以及上述封堵命令的传输操作。

在实际应用中，深度包检测分析设备4可以采用运行有特定程序以执行上述操作的工控机来实现。

在本发明中，负载均衡设备2、数据流量阻断设备3以及深度包检测分析设备4均可以根据实际需求(如相关管理部门的需求)生成相应的日志信息，并将其生产的日志信息通过内网交换机传输并存储于日志文件存储设备中，以备用户查询。该日志文件存储设备可以包括多个日志文件存储模块。另用户终端可以通过内网交换机接入日志文件存储设备。

以上所述仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰,均仍属于本发明技术方案的范围内。

Claims (10)

1.一种基于串接阻断、旁路分析相分离的智能管控系统，其特征在于包括：控制端和与其连接的执行端；所述控制端包括：策略分发设备，所述执行端包括：负载均衡设备、数据流量阻断设备和深度包检测分析设备；

所述策略分发设备，与数据流量阻断设备和深度包检测分析设备均连接，用于向数据流量阻断设备下发基于IP地址和/或端口的封堵命令，向深度包检测分析设备下发监测命令；

所述负载均衡设备，串接在互联网数据中心IDC与互联网之间，与数据流量阻断设备连接，用于在检测出与其连接的数据流量阻断设备处于正常工作状态时，将IDC以及互联网传输来的数据包传输给数据流量阻断设备，在检测出与其连接的数据流量阻断设备处于非正常工作状态时，将IDC传输来的数据包传输给互联网，将互联网传输来的数据包传输给IDC；还用于将所述数据流量阻断设备传输来的数据包转发至IDC或者互联网；

数据流量阻断设备，与深度包检测分析设备连接，用于将负载均衡设备传输来的不符合其存储的封堵条件的数据包复制传输给深度包检测分析设备，并回传给负载均衡设备；根据其存储的封堵条件不再将负载均衡设备传输来的符合封堵条件的数据包传输给深度包检测分析设备，并不再回传给负载均衡设备；从策略分发设备下发的基于IP地址和/或端口的封堵命令以及深度包检测分析设备传输来的基于五元组的封堵命令中提取封堵条件并存储；

深度包检测分析设备，与策略分发设备连接，用于对数据流量阻断设备传输来的数据包进行协议分析，并根据策略分发设备传输来的监测命令和所述协议分析的结果产生基于五元组的封堵命令，将所述基于五元组的封堵命令传输给数据流量阻断设备。

2.根据权利要求1所述的智能管控系统，其特征在于，所述执行端包括多个深度包监测分析设备，且所述数据流量阻断设备与多个深度包检测分析设备均连接，所述数据流量阻断设备根据五元组将其接收到的多个数据包分流传输给多个深度包检测分析设备。

3.根据权利要求1所述的智能管控系统，其特征在于，所述数据流量阻断设备的管理接口和深度包检测分析设备的管理接口均通过内网交换机与所述策略分发设备连接。

4.根据权利要求1或2或3所述的智能管控系统，其特征在于，所述所述策略分发设备、数据流量阻断设备和深度包检测分析设备通过内网交换机与日志文件存储设备连接。

5.根据权利要求1或2或3所述的智能管控系统，其特征在于，所述负载均衡设备通过1GE接口或者10GE接口串接在IDC与互联网之间。

6.一种基于串接阻断、旁路分析相分离的智能管控方法，其特征在于包括：

串接在互联网数据中心IDC与互联网之间的负载均衡设备在检测出与其连接的数据流量阻断设备处于正常工作状态时，将IDC以及互联网传输来的数据包传输给数据流量阻断设备，在检测出与其连接的数据流量阻断设备处于非正常工作状态时，将IDC传输来的数据包传输给互联网，将互联网传输来的数据包传输给IDC；

数据流量阻断设备根据其存储的封堵条件将负载均衡设备传输来的不符合所述封堵条件的数据包复制传输给深度包检测分析设备，并回传给负载均衡设备，由负载均衡设备将数据包转发至IDC或者互联网；

数据流量阻断设备根据其存储的封堵条件不再将负载均衡设备传输来的符合封堵条件的数据包传输给深度包检测分析设备，并不再回传给负载均衡设备；

深度包检测分析设备对数据流量阻断设备传输来的数据包进行协议分析，并根据策略分发设备传输来的监测命令和所述协议分析的结果产生基于五元组的封堵命令，将所述基于五元组的封堵命令传输给数据流量阻断设备；

其中，所述封堵条件为从策略分发设备下发的基于IP地址和/或端口的封堵命令以及深度包检测分析设备传输来的基于五元组的封堵命令中提取出的封堵条件。

7.根据权利要求6所述的智能管控方法，其特征在于，所述数据流量阻断设备与多个深度包检测分析设备连接，所述数据流量阻断设备根据五元组将其接收到的多个数据包分流传输给多个深度包检测分析设备。

8.根据权利要求7所述的智能管控方法，其特征在于，所述数据流量阻断设备的管理接口和深度包检测分析设备的管理接口均通过内网交换机与所述策略分发设备连接。

9.根据权利要求6或7或8所述的智能管控方法，其特征在于，所述方法还包括：

将所述策略分发设备、数据流量阻断设备和深度包检测分析设备产生的日志信息存储于日志文件存储设备。

10.根据权利要求6或7或8所述的智能管控方法，其特征在于，所述负载均衡设备通过1GE接口或者10GE接口串接在IDC与互联网之间。