CN103095709A - 安全防护方法及装置 - Google Patents

Abstract

本发明涉及一种安全防护方法，包括：获取数据包，提取所述数据包对应的节点地址；获取所述节点地址对应的服务类型；根据所述服务类型获取安全规则；根据所述安全规则过滤所述数据包。此外，还包括一种安全防护装置。上述安全防护方法及装置可以提高准确度。

Description

安全防护方法及装置

技术领域

本发明涉及网络安全技术领域，特别是涉及一种安全防护方法及装置。

背景技术

传统技术中，网络运营商通常建有放置多台服务器的机房，机房中的服务器通常通过网关与外网连接。在对机房中的服务器进行安全防护时，通常通过在网关或网关内的服务节点上安装防火墙对请求的数据包进行校验，根据校验结果对数据包进行拦截，从而防止非法入侵。

然而，传统技术中的安全防护方法对请求的数据包进行安全校验时，均为通过同一的校验规则对其进行校验，使得出现漏判和误判的情况较多，从而使得拦截数据包的准确度不高。

发明内容

基于此，有必要提供一种能提高准确度的安全防护方法。

一种安全防护方法，包括：

获取数据包，提取所述数据包对应的节点地址；

获取所述节点地址对应的服务类型；

根据所述服务类型获取安全规则；

根据所述安全规则过滤所述数据包。

在其中一个实施例中，所述方法还包括：

获取连接信息，所述连接信息包括节点地址；

根据所述连接信息发送探测数据包；

根据返回的探测响应生成服务类型与节点地址的对应关系。

在其中一个实施例中，所述获取所述节点地址对应的服务类型的步骤为：

根据所述服务类型与节点地址的对应关系获取由所述数据包提取到的节点地址对应的服务类型。

在其中一个实施例中，所述提取所述数据包对应的节点地址的步骤之后还包括：

获取自定义安全规则配置；

根据所述自定义安全规则配置获取与所述提取到的节点地址对应的安全规则；

继续执行所述根据所述安全规则过滤所述数据包的步骤。

在其中一个实施例中，所述根据所述安全规则过滤所述数据包的步骤之前还包括：

根据所述服务类型解析所述数据包，获取安全特征信息；

所述根据所述安全规则过滤所述数据包的步骤为：

判断所述安全特征信息是否与所述安全规则匹配，若否，则过滤所述数据包。

此外，还有必要提供一种能提高准确度的安全防护装置。

一种安全防护装置，包括：

数据包获取模块，用于获取数据包，提取所述数据包对应的节点地址；

服务类型获取模块，用于获取所述节点地址对应的服务类型；

安全规则获取模块，用于根据所述服务类型获取安全规则；

数据包过滤模块，用于根据所述安全规则过滤所述数据包。

在其中一个实施例中，所述装置还包括地址与类型映射模块，用于获取连接信息，所述连接信息包括节点地址，根据所述连接信息发送探测数据包，根据返回的探测响应生成服务类型与节点地址的对应关系。

在其中一个实施例中，所述服务类型获取模块还用于根据所述服务类型与节点地址的对应关系获取由所述数据包提取到的节点地址对应的服务类型。

在其中一个实施例中，所述装置还包括自定义安全规则获取模块，用于获取自定义安全规则配置，根据所述自定义安全规则配置获取与所述提取到的节点地址对应的安全规则。

在其中一个实施例中，所述装置还包括数据包解析模块，用于根据所述服务类型解析所述数据包，获取安全特征信息；

所述数据包过滤模块还用于判断所述安全特征信息是否与所述安全规则匹配，若否，则过滤所述数据包。

上述安全防护方法和装置，根据数据包的节点地址获取其对应的服务类型，并根据服务类型获取相应的安全规则，并根据安全规则对数据包进行过滤。和传统技术相比，对数据包的过滤考虑了该数据包所属应用的服务类型，使得用于获取到的用于对数据包过滤的安全规则更加适应该数据包，从而使得过滤的准确度更高。

同时，由于在获知数据包的服务类型后，仅需通过与该服务类型对应的安全规则对其进行过滤即可，而不用采用多种安全规则对数据包进行混合过滤，使得匹配过程得到简化，从而提高了执行效率。

附图说明

图1为一个实施例中安全防护方法的流程图；

图2为一个实施例中安全防护装置的结构示意图；

图3为另一个实施例中安全防护装置的结构示意图。

具体实施方式

在一个实施例中，如图1所示，一种安全防护方法，包括如下步骤：

步骤S102，获取数据包，提取数据包对应的节点地址。

在一个实施例中，安全防护的流程可运行于网关内。网关截获外网发送而来的数据包，并获取该数据包对应的将要转发的目标地址，并根据该目标地址获取节点地址。例如，若通过解析数据包的头部，获取到的数据包将要转发的IP地址为192.168.0.100，则获取到的数据包对应的节点地址即为192.168.0.100。

步骤S104，获取节点地址对应的服务类型。

服务类型即为服务节点上运行的web服务器的类型，包括系统平台、程序语言及版本信息中的至少一种，例如，系统平台可以是apache、iis、tomcat等。系统平台也包括版本信息，例如，现有技术中仍在使用的tomcat包括5.x（x为子版本号）、6.x和7.x多个版本。

在一个实施例中，可根据服务类型与节点地址的对应关系获取由数据包提取到的节点地址对应的服务类型。

在本实施例中，可获取连接信息，连接信息包括节点地址，根据连接信息发送探测数据包，根据返回的探测响应生成服务类型与节点地址的对应关系。

连接信息即服务节点与网关的连接状态信息。网关内存储有所有与其连接的设备的连接信息。可遍历获取到的连接信息中的服务节点对应的节点地址，并向遍历到的节点地址发送探测数据包。

探测数据包为模拟的web请求。例如，可通过发送http连接数据包获取服务节点返回的响应信息。响应信息中则会包含该服务节点对应的服务器应用类型（即系统平台）、版本号等信息。

在本实施例中，在根据连接信息遍历节点地址，通过发送探测数据包获取到遍历到的节点地址对应的服务节点的服务类型之后，可建立服务类型与节点地址对应表来存储服务类型与节点地址的对应关系。若服务节点与网关之间的连接更新时，例如更换服务节点或服务节点重装系统或服务节点更换端口时，可重新发送探测数据包，然后根据返回的服务节点的响应更新服务类型与节点地址对应表。

步骤S106，根据服务类型获取安全规则。

安全规则即防火墙准入规则。不同服务类型的服务节点通常存在不同的漏洞。针对不同服务类型的web服务器通常有响应的多种安全规则。例如，若服务类型为tomcat7.x，则获取与web服务器tomcat7.x对应的安全规则；若服务类型为iis6.x，则获取与web服务器iis6.x对应的安全规则。

步骤S108，根据安全规则过滤数据包。

在一个实施例中，根据安全规则过滤数据包的步骤之前还可根据服务类型解析数据包，获取安全特征信息。

在本实施例中，根据安全规则过滤数据包的步骤可具体为：判断安全特征信息是否与安全规则匹配，若是，则转发该数据包；否则，则过滤该数据包。

不同的服务类型的web服务器对应的数据包的数据定义标准不同，通常不同服务类型的web服务器各自均由各自的数据定义标准。因此，可根据数据包对应的服务类型获取其对应的数据定义标准，然后根据该数据定义标准对数据包进行解析，得到与漏洞相关的安全特征信息。安全特征信息可以是关键字，例如，SQL（Structured Query Language，结构化查询语句）注入攻击中url包含的SQL关键字。

判断安全特征信息是否与安全规则匹配的步骤则可通过字符串匹配或正则表达式的方式实现。例如，若安全特征信息中包含安全规则定义的SQL关键字，则匹配失败，数据包存在入侵风险，需要过滤掉。

在一个实施例中，提取数据包对应的节点地址的步骤之后还可获取自定义安全规则配置，根据自定义安全规则配置获取与提取到的节点地址对应的安全规则，继续执行根据安全规则过滤数据包的步骤。

在本实施例中，可获取输入的自定义安全规则配置请求，并根据自定义安全规则配置请求生成节点地址与安全规则的对应关系，并存储为配置文件。若根据自定义安全规则配置获取到与提取到的节点地址对应的安全规则，则根据获取到的与提取到的节点地址对应的安全规则过滤数据包；若获取不到，则继续获取与节点地址对应的服务类型。

也就是说，若用户希望为某个节点地址对应的web服务器设置多个安全规则进行匹配，则可预先通过自定义安全规则配置请求在配置文件中定义该节点地址与多个安全规则的对应关系。若网关获取到的数据包对应的节点地址在该配置文件中对应有相应的安全规则，则优先根据该安全规则对数据包进行过滤。

例如，若用户预先配置节点地址192.168.0.100对应的安全规则为tomcat7.x的安全规则和iis6.x的安全规则，则在接收到需要转发至192.168.0.100的数据包时，根据上述两种安全规则对数据包进行过滤。

在一个实施例中，如图2所示，一种安全防护装置，包括数据包获取模块102、服务类型获取模块104、安全规则获取模块106和数据包过滤模块108，其中：

数据包获取模块102，用于获取数据包，提取数据包对应的节点地址。

在一个实施例中，安全防护的流程可运行于网关内。网关截获外网发送而来的数据包，并获取该数据包对应的将要转发的目标地址，并根据该目标地址获取节点地址。例如，若通过解析数据包的头部，获取到的数据包将要转发的IP地址为192.168.0.100，则获取到的数据包对应的节点地址即为192.168.0.100。

服务类型获取模块104，用于获取节点地址对应的服务类型。

服务类型即为服务节点上运行的web服务器的类型，包括系统平台、程序语言及版本信息中的至少一种，例如，系统平台可以是apache、iis、tomcat等。系统平台也包括版本信息，例如，现有技术中仍在使用的tomcat包括5.x（x为子版本号）、6.x和7.x多个版本。

在一个实施例中，服务类型获取模块104可用于根据服务类型与节点地址的对应关系获取由数据包提取到的节点地址对应的服务类型。

在本实施例中，如图3所示，安全防护装置还包括地址与类型映射模块110，用于获取连接信息，连接信息包括节点地址，根据连接信息发送探测数据包，根据返回的探测响应生成服务类型与节点地址的对应关系。

连接信息即服务节点与网关的连接状态信息。网关内存储有所有与其连接的设备的连接信息。可遍历获取到的连接信息中的服务节点对应的节点地址，并向遍历到的节点地址发送探测数据包。

探测数据包为模拟的web请求。例如，可通过发送http连接数据包获取服务节点返回的响应信息。响应信息中则会包含该服务节点对应的服务器应用类型（即系统平台）、版本号等信息。

在本实施例中，在根据连接信息遍历节点地址，通过发送探测数据包获取到遍历到的节点地址对应的服务节点的服务类型之后，可建立服务类型与节点地址对应表来存储服务类型与节点地址的对应关系。若服务节点与网关之间的连接更新时，例如更换服务节点或服务节点重装系统或服务节点更换端口时，可重新发送探测数据包，然后根据返回的服务节点的响应更新服务类型与节点地址对应表。

安全规则获取模块106，用于根据服务类型获取安全规则。

安全规则即防火墙准入规则。不同服务类型的服务节点通常存在不同的漏洞。针对不同服务类型的web服务器通常有响应的多种安全规则。例如，若服务类型为tomcat7.x，则获取与web服务器tomcat7.x对应的安全规则；若服务类型为iis6.x，则获取与web服务器iis6.x对应的安全规则。

数据包过滤模块108，用于根据安全规则过滤数据包。

在一个实施例中，如图3所示，装置还包括数据包解析模块112，用于根据服务类型解析数据包，获取安全特征信息。

在本实施例中，数据包过滤模块108可用于判断安全特征信息是否与安全规则匹配，若是，则转发该数据包；否则，则过滤该数据包。

不同的服务类型的web服务器对应的数据包的数据定义标准不同，通常不同服务类型的web服务器各自均由各自的数据定义标准。因此，可根据数据包对应的服务类型获取其对应的数据定义标准，然后根据该数据定义标准对数据包进行解析，得到与漏洞相关的安全特征信息。安全特征信息可以是关键字，例如，SQL（Structured Query Language，结构化查询语句）注入攻击中url包含的SQL关键字。

数据包过滤模块108可用于通过字符串匹配或正则表达式判断安全特征信息是否与安全规则匹配。例如，若安全特征信息中包含安全规则定义的SQL关键字，则匹配失败，数据包存在入侵风险，需要过滤掉。

在一个实施例中，如图3所示，装置还包括自定义安全规则获取模块114，用于获取自定义安全规则配置，根据自定义安全规则配置获取与提取到的节点地址对应的安全规则。

在本实施例中，可获取输入的自定义安全规则配置请求，并根据自定义安全规则配置请求生成节点地址与安全规则的对应关系，并存储为配置文件。若自定义安全规则获取模块114根据自定义安全规则配置获取到与提取到的节点地址对应的安全规则，则根据获取到的与提取到的节点地址对应的安全规则过滤数据包；若获取不到，则继续获取与节点地址对应的服务类型。

也就是说，若用户希望为某个节点地址对应的web服务器设置多个安全规则进行匹配，则可预先通过自定义安全规则配置请求在配置文件中定义该节点地址与多个安全规则的对应关系。若网关获取到的数据包对应的节点地址在该配置文件中对应有相应的安全规则，则优先根据该安全规则对数据包进行过滤。

例如，若用户预先配置节点地址192.168.0.100对应的安全规则为tomcat7.x的安全规则和iis6.x的安全规则，则在接收到需要转发至192.168.0.100的数据包时，根据上述两种安全规则对数据包进行过滤。

上述安全防护方法和装置，根据数据包的节点地址获取其对应的服务类型，并根据服务类型获取相应的安全规则，并根据安全规则对数据包进行过滤。和传统技术相比，对数据包的过滤考虑了该数据包所属应用的服务类型，使得用于获取到的用于对数据包过滤的安全规则更加适应该数据包，从而使得过滤的准确度更高。

同时，由于在获知数据包的服务类型后，仅需通过与该服务类型对应的安全规则对其进行过滤即可，而不用采用多种安全规则对数据包进行混合过滤，使得匹配过程得到简化，从而提高了执行效率。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种安全防护方法，包括：

获取数据包，提取所述数据包对应的节点地址；

获取所述节点地址对应的服务类型；

根据所述服务类型获取安全规则；

根据所述安全规则过滤所述数据包。

2.根据权利要求1所述的安全防护方法，其特征在于，所述方法还包括：

获取连接信息，所述连接信息包括节点地址；

根据所述连接信息发送探测数据包；

根据返回的探测响应生成服务类型与节点地址的对应关系。

3.根据权利要求2所述的安全防护方法，其特征在于，所述获取所述节点地址对应的服务类型的步骤为：

根据所述服务类型与节点地址的对应关系获取由所述数据包提取到的节点地址对应的服务类型。

4.根据权利要求1至3任一项所述的安全防护方法，其特征在于，所述提取所述数据包对应的节点地址的步骤之后还包括：

获取自定义安全规则配置；

根据所述自定义安全规则配置获取与所述提取到的节点地址对应的安全规则；

继续执行所述根据所述安全规则过滤所述数据包的步骤。

5.根据权利要求1至3任一项所述的安全防护方法，其特征在于，所述根据所述安全规则过滤所述数据包的步骤之前还包括：

根据所述服务类型解析所述数据包，获取安全特征信息；

所述根据所述安全规则过滤所述数据包的步骤为：

判断所述安全特征信息是否与所述安全规则匹配，若否，则过滤所述数据包。

6.一种安全防护装置，其特征在于，包括：

数据包获取模块，用于获取数据包，提取所述数据包对应的节点地址；

服务类型获取模块，用于获取所述节点地址对应的服务类型；

安全规则获取模块，用于根据所述服务类型获取安全规则；

数据包过滤模块，用于根据所述安全规则过滤所述数据包。

7.根据权利要求6所述的安全防护装置，其特征在于，所述装置还包括地址与类型映射模块，用于获取连接信息，所述连接信息包括节点地址，根据所述连接信息发送探测数据包，根据返回的探测响应生成服务类型与节点地址的对应关系。

8.根据权利要求7所述的安全防护装置，其特征在于，所述服务类型获取模块还用于根据所述服务类型与节点地址的对应关系获取由所述数据包提取到的节点地址对应的服务类型。

9.根据权利要求6至8任一项所述的安全防护装置，其特征在于，所述装置还包括自定义安全规则获取模块，用于获取自定义安全规则配置，根据所述自定义安全规则配置获取与所述提取到的节点地址对应的安全规则。

10.根据权利要求6至8任一项所述的安全防护装置，其特征在于，所述装置还包括数据包解析模块，用于根据所述服务类型解析所述数据包，获取安全特征信息；

所述数据包过滤模块还用于判断所述安全特征信息是否与所述安全规则匹配，若否，则过滤所述数据包。

Images