CN103428209A - 一种生成特征的方法及安全网关设备 - Google Patents

Abstract

本发明提供了生成特征的方法和安全网关设备。该方法包括：在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；安全网关设备根据预先设置的所述特征生成条件进行检测，判断当前是否有满足所述特征生成条件的情况，如果是，则根据预先设置的攻击行为特征的特征字段，生成特征。本发明中，安全网关设备能够自动在满足特征生成条件时，自动生成特征，因而实现灵活。

Description

一种生成特征的方法及安全网关设备

技术领域

本发明涉及通信技术，尤其涉及一种生成特征的方法及安全网关设备。

背景技术

安全网关设备，是以保障网络安全为目的的设备，在企业网中，充分利用公共网络来构建的私有专用网络，安全网关设备可以为该网络提供企业网络的安全、可靠和可管理环境。安全网关设备具有入侵检测、入侵防御、防病毒、抗攻击等特性。

随着网络技术的不断发展，网络攻击的目标和方式都在不断的增加，为了应对攻击行为的变化，通常厂商采用事先写好特征，对安全网关设备进行升级特征库、允许自定义特征等方法进行特征库升级。升级特征库可以应对很多已知的攻击行为，自定义特征可以通过定制特征来解决一些用户特有的需求。

通过以上描述，不难发现，目前升级特征库、允许自定义特征等方法进行安全网关升级所使用的特征是事先写好的，相对固定。随着攻击形式的越来越多元化，使用这种固定特征的方式存在一些缺点：不够灵活，没有针对性的问题。

发明内容

（一）要解决的技术问题

预先固定设置特征的方式不够灵活，针对性不强。

（二）技术方案

为解决上述问题，本发明提供一种生成特征的方法，在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段，该方法还包括：

安全网关设备根据预先设置的所述特征生成条件进行实时检测，判断当前是否有满足所述特征生成条件的情况，如果是，则根据预先设置的攻击行为特征的特征字段，生成特征。

所述在安全网关设备上设置特征生成条件包括：

根据报文中指定字段的信息在安全网关设备上设置特征生成条件；或者，

根据指定行为的发生频率在安全网关设备上设置特征生成条件；或者，

根据高层协议的指定字段在安全网关设备上设置特征生成条件。

当根据报文中指定字段的信息在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则确定当前有满足所述特征生成条件的情况；

当根据指定行为的发生频率在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则确定当前有满足所述特征生成条件的情况；

当根据高层协议的指定字段在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则确定当前有满足所述特征生成条件的情况。

设置的所述特征生成条件与所述攻击行为特征的特征字段相同或部分相同或不同。

该方法进一步包括：将生成的特征提供给用户，接收用户修改的特征。

针对不同的网络，在安全网关设备上设置不同的特征生成条件，以及设置不同的自动生成的攻击行为特征的特征字段

安全网关设备，包括：

设置模块，用于设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；

检测模块，用于根据所述设置模块设置的所述特征生成条件进行检测，判断当前是否有满足所述特征生成条件的情况，如果是，则触发生成模块；

生成模块，用于在被触发后，根据所述设置模块设置的攻击行为特征的特征字段，生成特征。

所述设置模块包括：

第一设置子模块，根据报文中指定字段的信息设置特征生成条件；或者，

第二设置子模块，根据指定行为的发生频率设置特征生成条件；

或者，

第三设置子模块，根据高层协议的指定字段设置特征生成条件。

所述检测模块包括：

第一检测子模块，根据第一设置子模块的设置，判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则触发生成模块；

或者，

第二检测子模块，根据第二设置子模块的设置，判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则触发生成模块；

或者，

第三检测子模块，根据第三设置子模块的设置，对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则触发生成模块。

该安全网关设备进一步包括：

交互模块，用于将所述生成模块生成的特征提供给用户，接收用户修改的特征。

（三）有益效果

由上述的技术方案可见，本发明实施例具有如下有益效果：

本发明实施例中，提供了特征自动生成的方法，丰富了当前安全网关设备特征形成的方法。

另外，本发明实施例中，可以根据网络的情况，实时在安全网关设备上设置特征生成条件以及设置自动生成的攻击行为特征的特征字段，因此，形式灵活，针对性强，更适用于多变的网络环境。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例方法流程图；

图2是本发明实施例某视频网站智能生成特征方法流程图；

图3是本发明实施例安全网关设备内部的结构示意图；

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了在安全网关遇到网络异常时及时且具有针对性的进行特征生成，本发明的实施例提出一种安全网关的智能生成特征方法，参见图1，包括：

S1、在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；

S2、安全网关设备根据预先设置的所述特征生成条件进行实时检测，判断当前是否有满足所述特征生成条件的情况，如果是，执行步骤S3；否则，返回步骤S2；

S3、根据预先设置的攻击行为特征的特征字段，生成特征。

本发明实施例中，提供了特征自动生成的方法，丰富了当前安全网关设备特征形成的方法。

另外，本发明实施例中，可以根据网络的情况，实时在安全网关设备上设置特征生成条件以及设置自动生成的攻击行为特征的特征字段，因此，形式灵活，针对性强，更适用于多变的网络环境。

本发明实施例中进行上述步骤S1，在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段，可以是管理员或用户通过页面、命令行或其他方式进行上述设置，完成定制过程。

定制特征生成条件可允许用户自己定制：

可根据报文任一字段的信息来定义；

也可针对高层协议的某些有意义的字段来定义，在解析协议的基础上添加相应的字段；

也可根据某些行为的发生频率来定义，方式非常灵活。如：为了检测DDOS攻击，或者为了检测P2P下载行为，可通过统计某网段向某服务器的连接次数和连接频率等信息来作为条件。

当满足了定制特征生成条件后，特征就能自动生成了。

因此，上述步骤S1中，在安全网关设备上设置特征生成条件的过程可以是：

根据用户指定的报文段区域在安全网关设备上设置特征生成条件；或者，根据指定行为的发生频率在安全网关设备上设置特征生成条件；或者，根据协议的指定通用字段在安全网关设备上设置特征生成条件。

自动生成的特征和定制特征生成条件可以相同，部分相同，也可以不同。

比如定制特征生成条件包含10个因素，而自动生成的特征也只包含这10个因素，此时它们是相同的；

当定制特征生成条件包含2个因素，而自动生成的特征包含的不是或不只是这2个因素，此时它们是不相同的。

比如对于某攻击来说，攻击服务器的攻击IP地址有多个，定制特征生成条件时更多的是关注它的连接频率，而自动生成特征则不是基于连接频率，而是根据攻击报文特征，比如IP地址段等信息来生成。

在上述步骤S2中，当根据用户指定的报文段区域在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前接收到的报文中是否包括所述报文段区域，或者，判断当前接收到的报文中的所述报文段区域是否被修改，如果是，则确定当前有满足所述特征生成条件的情况；

当根据指定行为的发生频率在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则确定当前有满足所述特征生成条件的情况；

当根据协议的指定通用字段在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定通用字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则确定当前有满足所述特征生成条件的情况。

自动生成特征后，可以通知用户，使得用户及时知道特征的生成原因与生成情况。并可以进一步接收用户修改的特征。

当然，在具体实现时，针对不同的网络，在安全网关设备上设置不同的特征生成条件，以及设置不同的自动生成的攻击行为特征的特征字段。

当根据不同网络，对安全网关定制特征的生成条件，并对定制特征的生成条件，定制相应特征匹配的特征字段，当满足定制特征的特征生成条件是，安全网关将根据定制相应也正匹配的特征字段，及时生成相应的特征，进行特征库升级。

下面以某视频网站安全网关在遇到访问频率为5000次/秒的异常和连续10分钟内网络上传和下载达到1G/秒的异常进行详细说明智能特征生成方法，参见图2，该方法包括：

步骤S201、根据视频网站的特点，定制视频网站安全网关网络异常时的特征生成条件。

对于视频网站的安全网关，其特征生成条件，可能是数据下载流量异常，访问次数异常等。假设视频网站工作人员认为访问频率为2000次/秒，针对访问频率为5000次/秒的异常，定制的特征生成条件可以在协议的通用字段，用户自定义的至少一个报文段，包括访问频率大于2000次/秒的字段信息，为特征生成条件。

假设视频网站工作人员，认为连续超过9分钟上传和下载量达到1G/S为异常情况，而协议通用字段和自定义的报文段不能或者无法充分反映这种需要进行特征生成的情况，网站工作人员根据自己的经验总结，自定义连续9分钟以上上传和下载达到1G/S的特征生成条件，例如，上传下载连续9分钟超过1G/S的命令表达式，以便在网络异常情况发生时，根据定制生成特征条件，进行特征生成。

步骤S202、管理员或者用户通过页面、命令行或其他方式，将定制的特征生成条件写入视频网站的安全网关。

步骤S203、根据定制的生成条件的不同，定制相应的生成特征匹配的特征字段。

对于访问频率为5000次/秒的网络异常，视频网站定制的特征生成条件是访问频率大于2000的协议通用字段，和用户自定义的至少一个报文访问频率大于2000次/秒的字段信息。因此定制的匹配特征的特征字段，包含协议通用字段2000次/秒的协议通用字段，至少一个报文访问频率大于2000次/秒的字段信息，还可以是访问频率超过频率设定的网络IP地址段。

针对定制的上传下载连续9分钟超过1G/S的命令表达式，其匹配特征的特征字段，为用户自定义的分时段下载，限流等自定义特征字段。

步骤S204、管理员或者用户通过页面、命令行或其他方式，将定制的相应的生成特征匹配的特征字段写入安全网关。

定制的相应的生成特征匹配的特征字段需要写入安全网关才能进行生成特征，因此需要管理员或者用户通过页面、命令行或其他方式将其写入安全网关。

步骤S205、当视频网站遇到网络异常情况，满足定制的特征生成条件时，根据定制相应的特征匹配的特征字段，生成特征。

本发明的另一个实施例中还提出了一种安全网关设备，参见图3，该设备包括：

安全网关设备，包括：

设置模块，用于设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；

检测模块，用于根据所述设置模块设置的所述特征生成条件进行检测，判断当前是否有满足所述特征生成条件的情况，如果是，则触发生成模块；

生成模块，用于在被触发后，根据所述设置模块设置的攻击行为特征的特征字段，生成特征。

所述设置模块包括：

第一设置子模块，根据报文中指定字段的信息设置特征生成条件；或者，

第二设置子模块，根据指定行为的发生频率设置特征生成条件；

或者，

第三设置子模块，根据高层协议的指定字段设置特征生成条件。

所述检测模块包括：

第一检测子模块，根据第一设置子模块的设置，判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则触发生成模块；

或者，

第二检测子模块，根据第二设置子模块的设置，判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则触发生成模块；

或者，

第三检测子模块，根据第三设置子模块的设置，对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则触发生成模块。

该安全网关设备进一步包括：

交互模块，用于将所述生成模块生成的特征提供给用户，接收用户修改的特征。

在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法或者设备所固有的要素。在没有更多限制的情况下，由语句“至少一个……”限定的要素，并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

本发明的实施例是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显而易见的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (10)

1.一种生成特征的方法，其特征在于，在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段，该方法还包括：

安全网关设备根据预先设置的所述特征生成条件进行实时检测，判断当前是否有满足所述特征生成条件的情况，如果是，则根据预先设置的攻击行为特征的特征字段，生成特征。

2.如权利要求1所述安全网关智能生成特征的方法，其特征在于，所述在安全网关设备上设置特征生成条件包括：

根据用户指定的报文段区域在安全网关设备上设置特征生成条件；或者，

根据指定行为的发生频率在安全网关设备上设置特征生成条件；或者，

根据协议的指定通用字段在安全网关设备上设置特征生成条件。

3.如权利要求2所述安全网关智能生成特征的方法，其特征在于，

当根据用户指定的报文段区域在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前接收到的报文中是否包括所述报文段区域，或者，判断当前接收到的报文中的所述报文段区域是否被修改，如果是，则确定当前有满足所述特征生成条件的情况；

当根据指定行为的发生频率在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则确定当前有满足所述特征生成条件的情况；

当根据协议的指定通用字段在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定通用字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则确定当前有满足所述特征生成条件的情况。

4.如权利要求1所述安全网关智能生成特征的方法，其特征在于，设置的所述特征生成条件与所述攻击行为特征的特征字段相同或部分相同或不同。

5.如权利要求1所述安全网关智能生成特征的方法，其特征在于，该方法进一步包括：将生成的特征提供给用户，接收用户修改的特征。

6.如权利要求1～5任一所述安全网关智能生成特征的方法，其特征在于，

针对不同的网络，在安全网关设备上设置不同的特征生成条件，以及设置不同的自动生成的攻击行为特征的特征字段。

7.安全网关设备，其特征在于，包括：

设置模块，用于设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；

检测模块，用于根据所述设置模块设置的所述特征生成条件进行检测，判断当前是否有满足所述特征生成条件的情况，如果是，则触发生成模块；

生成模块，用于在被触发后，根据所述设置模块设置的攻击行为特征的特征字段，生成特征。

8.如权利要求7所述的安全网关设备，其特征在于，

所述设置模块包括：

第一设置子模块，根据报文中指定字段的信息设置特征生成条件；或者，

第二设置子模块，根据指定行为的发生频率设置特征生成条件；

或者，

第三设置子模块，根据高层协议的指定字段设置特征生成条件。

9.如权利要求8所述的安全网关设备，其特征在于，

所述检测模块包括：

第一检测子模块，根据第一设置子模块的设置，判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则触发生成模块；

或者，

第二检测子模块，根据第二设置子模块的设置，判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则触发生成模块；

或者，

第三检测子模块，根据第三设置子模块的设置，对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则触发生成模块。

10.如权利要求7、8或9所述的安全网关设备，其特征在于，该安全网关设备进一步包括：

交互模块，用于将所述生成模块生成的特征提供给用户，接收用户修改的特征。

Images