CN105592053A - 一种匹配规则的匹配方法和装置 - Google Patents

Abstract

本发明提供一种匹配规则的匹配方法和装置，该方法包括：安全网关设备在接收到报文时，确定所述报文对应的安全检测业务；安全网关设备确定匹配规则对应的安全检测业务；当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，安全网关设备确定所述报文未匹配到所述匹配规则；当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，安全网关设备利用所述匹配规则包括的精确匹配特征确定所述报文未匹配到所述匹配规则或匹配到所述匹配规则。通过本发明的技术方案，缩短匹配时间，提高处理性能和处理效率。

Description

一种匹配规则的匹配方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种匹配规则的匹配方法和装置。

背景技术

安全网关设备一般部署在大中型企业的网络出口、企业内部网络、或数据中心的出口，用于对外网访问内网的报文进行检测，以实现保护内部网络安全的目的，对内网访问外网的报文进行检测，以实现企业敏感信息的控制。

对于经过安全网关设备的报文，则安全网关设备判断报文是否匹配到匹配规则。如果是，则基于匹配规则对应的安全检测业务对报文进行处理。

匹配规则中通常会包括多个匹配特征，如包括匹配特征1、匹配特征2和匹配特征3。在判断报文是否匹配到匹配规则时，需要依次判断该报文是否匹配到匹配特征1、匹配特征2和匹配特征3，只有报文能够匹配到匹配特征1、匹配特征2和匹配特征3时，才说明该报文匹配到该匹配规则。

由于需要依次判断报文是否匹配到匹配规则的各匹配特征，判断过程消耗的时间较长。由于每个匹配特征的判断过程均会耗费大量的CPU(CentralProcessingUnit，中央处理器)资源，导致安全网关设备的性能消耗。

发明内容

本发明提供一种匹配规则的匹配方法，所述方法包括以下步骤：

安全网关设备在接收到报文时，确定所述报文对应的安全检测业务；

所述安全网关设备确定粗略匹配特征与所述报文匹配的匹配规则，并确定所述匹配规则对应的安全检测业务；其中，所述匹配规则包括：粗略匹配特征和精确匹配特征；

当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则所述安全网关设备确定所述报文未匹配到所述匹配规则；

当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则所述安全网关设备利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则。

本发明提供一种匹配规则的匹配装置，所述匹配规则的匹配装置应用在安全网关设备上，且所述匹配规则的匹配装置具体包括：

查询模块，用于在接收到报文时，确定所述报文对应的安全检测业务；

粗略特征匹配模块，用于确定粗略匹配特征与所述报文匹配的匹配规则，并确定所述匹配规则对应的安全检测业务；其中，所述匹配规则包括：粗略匹配特征和精确匹配特征；

精确特征匹配模块，用于当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则确定所述报文未匹配到所述匹配规则；当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则。

基于上述技术方案，本发明实施例中，通过比较报文对应的安全检测业务和匹配规则对应的安全检测业务，当报文对应的安全检测业务中不包括与匹配规则对应的安全检测业务相同的安全检测业务时，安全网关设备可以直接确定该报文未匹配到该匹配规则，而不再判断该报文是否匹配到每个精确匹配特征。在匹配规则包括多个精确匹配特征时，不需要依次判断报文是否匹配到每个精确匹配特征，即可确定出报文未匹配到匹配规则，尽量减少不必要的匹配过程，判断过程消耗的时间较短，从而缩短匹配时间。而且可以降低安全网关设备的CPU资源的消耗，降低安全网关设备的性能消耗，并提高安全网关设备的处理性能和处理效率。

附图说明

图1是本发明一种实施方式中的匹配规则的匹配方法的流程图；

图2是本发明一种实施方式中的安全网关设备的硬件结构图；

图3是本发明一种实施方式中的匹配规则的匹配装置的结构图。

具体实施方式

针对现有技术中存在的问题，本发明实施例中提出了一种匹配规则的匹配方法，该方法可以应用在安全网关设备上。其中，该安全网关设备一般部署在大中型企业的网络出口、企业内部网络、或者数据中心的出口。该安全网关设备可以用于对外网访问内网的报文进行检测，以实现保护内部网络安全的目的，和/或，对内网访问外网的报文进行检测，以实现企业敏感信息的控制。

如图1所示，该匹配规则的匹配方法具体可以包括以下步骤：

步骤101，安全网关设备在接收到报文时，确定该报文对应的安全检测业务。

本发明实施例中，安全网关设备确定报文对应的安全检测业务的过程，具体可以包括但不限于如下方式：方式一、安全网关设备利用本安全网关设备上接收到报文的端口，查询预先配置的端口与安全检测业务之间的对应关系，获得接收该报文的接口对应的安全检测业务，将获得的安全检测业务作为该报文对应的安全检测业务。或者，方式二、安全网关设备利用报文的地址信息，查询预先配置的地址信息与安全检测业务之间的对应关系，获得该地址信息对应的安全检测业务，将获得的安全检测业务作为该报文对应的安全检测业务。或者，方式三、安全网关设备确定报文的地址信息对应的用户信息，并利用该用户信息查询预先配置的用户信息与用户策略信息之间的对应关系，获得该用户信息对应的用户策略信息，并从该用户策略信息中获得报文对应的安全检测业务。其中，用户策略信息中会包含用户信息对应的安全检测业务。

对于方式三，需要说明的是，安全网关设备在对报文进行安全检测之前，会对用户进行认证。在认证的过程中，安全网关设备便可以通过认证报文的源地址和认证报文携带的用户信息(如，用户名、密码等信息)，得到发送该认证报文的用户设备的地址与用户信息的对应关系。因此，在后续安全网关设备接收到其它报文时，便可以根据该对应关系查找到报文的地址信息(如，报文的源地址)对应的用户信息。

在实际应用中，在预先配置端口与安全检测业务之间的对应关系时，可以配置端口与一个安全检测业务或者多个安全检测业务之间的对应关系，后续以配置端口与多个安全检测业务之间的对应关系为例进行说明。在预先配置地址信息与安全检测业务之间的对应关系时，可以配置地址信息与一个安全检测业务或者多个安全检测业务之间的对应关系，后续以配置地址信息与多个安全检测业务之间的对应关系为例进行说明。在预先配置用户信息与用户策略信息之间的对应关系时，该用户策略信息中可以包含一个安全检测业务或者多个安全检测业务，后续以用户策略信息中包含多个安全检测业务为例进行说明。

其中，安全检测业务可以包括但不限于：APR(ApplicationRecognition，应用识别)业务，IPS(IntrusionPreventionSystem，入侵防御系统)业务，AVC(ApplicationVisualizationControl，应用可视化控制)业务，URL(UniformResoureLocator，统一资源定位符)过滤业务，内容过滤业务，AV(AntiVirus，防病毒)业务，文件过滤业务等。

安全网关设备支持的不同安全检测业务可以使用不同的业务标识表示。例如，APR业务使用业务标识0x0001表示，IPS业务使用业务标识0x0002表示，AVC业务使用业务标识0x0004表示，URL过滤业务使用业务标识0x0008表示，内容过滤业务使用业务标识0x0010表示，AV业务使用业务标识0x0020表示，文件过滤业务使用业务标识0x0040表示等。基于此，在安全网关设备上配置端口/地址信息与安全检测业务之间的对应关系时，可以配置端口/地址信息与业务标识之间的对应关系，如通过配置端口1/地址信息1与业务标识0x0002之间的对应关系，以表示端口1/地址信息1与IPS业务之间的对应关系，或者通过配置端口1/地址信息1与业务标识0x0022(由标识0x0002与标识0x0020组合得到)之间的对应关系，以表示端口1/地址信息1与IPS业务(基于标识0x0002确定)、AV业务(基于标识0x0020确定)之间的对应关系。在配置用户信息与用户策略信息之间的对应关系时，在用户策略信息中配置相应的业务标识，如在配置用户信息1与用户策略信息1之间的对应关系时，在用户策略信息1中配置业务标识0x0002，以表示该用户策略信息1中包含IPS业务，或者配置业务标识0x0022，以表示用户策略信息1中包含IPS业务(基于业务标识0x0002确定)和AV业务(基于业务标识0x0020确定)。

步骤102，安全网关设备确定粗略匹配特征与报文匹配的匹配规则，并确定该匹配规则对应的安全检测业务。

其中，该匹配规则具体包括：规则标识，粗略匹配特征和精确匹配特征。

本发明实施例中，安全网关设备获得匹配规则对应的安全检测业务的过程，具体包括但不限于如下方式：安全网关设备确定匹配规则的规则标识对应的业务标识，将业务标识对应的安全检测业务，作为匹配规则对应的安全检测业务。

在一个例子中，安全网关设备预先设置一个8比特的二进制初始值，安全网关设备提取匹配规则的规则标识的高N位得到第一数值X，N为大于0的整数，然后将预设的初始值向左偏X位，得到第二数值Y，将Y转换为16进制的第三数值Z，第三数值Z即为该规则标识对应的业务标识。

例如，安全网关设备预先设置的8比特的二进制初始值为00000001。匹配规则的规则标识通常可以为0x010000001234或者0x0500000012345678等。安全网关设备可以提取出匹配规则的规则标识的最高的2位。在从0x010000001234中提取出最高的2位01后，对初始值00000001向左偏移1位，得到00000010，而二进制数值00000010对应的16进制为0x0002，因此规则标识0x010000001234对应的业务标识为0x0002。在从0x0500000012345678中提取出最高的2位05后，对初始值00000001向左偏移5位，得到00100000，而二进制数值00100000对应的16进制为0x0020，因此规则标识0x0500000012345678对应的业务标识为0x0020。在得到业务标识后，可以将业务标识对应的安全检测业务，作为匹配规则对应的安全检测业务，如将业务标识0x0002对应的IPS业务作为匹配规则对应的安全检测业务，将业务标识0x0020对应的AV业务作为匹配规则对应的安全检测业务等。

步骤103，安全网关设备比较报文对应的安全检测业务(即步骤101中获得的安全检测业务)与匹配规则对应的安全检测业务(即步骤102中获得的安全检测业务)。当报文对应的安全检测业务中不包括与匹配规则对应的安全检测业务相同的安全检测业务时，则执行步骤104。当报文对应的安全检测业务中包括与匹配规则对应的安全检测业务相同的安全检测业务时，则执行步骤105。

步骤104，安全网关设备确定报文未匹配到相应的匹配规则。

步骤105，安全网关设备利用匹配规则包括的精确匹配特征，确定报文未匹配到相应的匹配规则，或者确定报文匹配到相应的匹配规则。

例如，假设报文对应的安全检测业务为IPS业务和AV业务，假设匹配规则对应的安全检测业务为IPS业务，基于此，安全网关设备确定报文对应的安全检测业务(IPS业务和AV业务)中包括与匹配规则对应的安全检测业务(IPS业务)相同的安全检测业务，则利用该匹配规则对应的精确匹配特征，确定报文未匹配到相应的匹配规则，或者确定报文匹配到相应的匹配规则。

例如，假设报文对应的安全检测业务为IPS业务和业务，假设匹配规则的对应的安全检测业务为URL过滤业务，基于此，安全网关设备确定报文对应的安全检测业务(IPS业务和AV业务)中不包括与匹配规则对应的安全检测业务(URL过滤业务)相同的业务业务，则确定报文未匹配到相应的匹配规则。

本发明实施例中，安全网关设备利用匹配规则包括的精确匹配特征，确定报文未匹配到相应的匹配规则，或者确定报文匹配到相应的匹配规则的过程，具体可以包括但不限于如下方式：当匹配规则包括的精确匹配特征具体包括一个精确匹配特征时，则安全网关设备判断报文是否匹配到该精确匹配特征；如果匹配到该精确匹配特征，则安全网关设备确定报文匹配到该匹配规则；如果未匹配到该精确匹配特征，则安全网关设备确定报文未匹配到该匹配规则。

当匹配规则包括的精确匹配特征具体包括多个精确匹配特征时，安全网关设备依次判断报文是否匹配到每个精确匹配特征；如果匹配到所有的精确匹配特征，则安全网关设备确定报文匹配到该匹配规则；否则安全网关设备确定报文未匹配到该匹配规则(即报文未匹配到至少一个精确匹配特征时，便确定该报文未匹配到该匹配规则)。

本发明实施例中，粗略匹配特征具体包括但不限于：AC(Aho-Corasick，多模式匹配)特征。精确匹配特征具体包括但不限于：选项特征，和/或，PCRE(PerlCompatibleRegularExpressions，正则表达式)特征。

其中，选项特征具体包括但不限于以下之一或者任意组合：协议类型(如HTTP(HyperTextTransferProtocol，超文本传输协议)类型、TCP(TransmissionControlProtocol，传输控制协议)类型等)、报文方向、内容偏移等。

本发明实施例中，当确定报文匹配到相应的匹配规则时，则安全网关设备还可以基于该匹配规则对应的安全检测业务对该报文进行处理，具体处理方式不再赘述。

本发明实施例的上述过程中，可以由流量检测模块确定报文是否匹配到相应的匹配规则，并由业务模块(如URL过滤模块、入侵防御模块、防病毒模块等)对报文进行相应处理。在此应用场景下，匹配规则是业务模块下发给流量检测模块的，且不同的业务模块可以根据自身的业务需要，向流量检测模块下发匹配规则。流量检测模块基于收到的报文和各业务模块下发的匹配规则，流量检测模块执行上述步骤102-步骤105。

其中，流量检测模块具体可以包括但不限于DPI(DeepPacketInspect，深度报文检测)模块、或者DFI(DeepFlowInspect，深度流检测)模块。

基于上述技术方案，本发明实施例中，通过比较报文对应的安全检测业务和匹配规则对应的安全检测业务，当报文对应的安全检测业务中不包括与匹配规则对应的安全检测业务相同的安全检测业务时，安全网关设备可以直接确定该报文未匹配到该匹配规则，而不再判断该报文是否匹配到每个精确匹配特征。在匹配规则包括多个精确匹配特征时，不需要依次判断报文是否匹配到每个精确匹配特征，即可以确定出报文未匹配到匹配规则，尽量减少不必要的匹配过程，判断过程消耗的时间较短，从而缩短匹配时间。而且可以降低安全网关设备的CPU资源的消耗，降低安全网关设备的性能消耗，并提高安全网关设备的处理性能和处理效率。

基于与上述方法同样的发明构思，本发明实施例中还提供了一种匹配规则的匹配装置，该匹配规则的匹配装置应用在安全网关设备上。该匹配规则的匹配装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的安全网关设备的处理器，将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本发明提出的匹配规则的匹配装置所在的安全网关设备的一种硬件结构图，除了图2所示的处理器、网络接口、内存以及非易失性存储器外，安全网关设备还可以包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该安全网关设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图3所示，为本发明提出的匹配规则的匹配装置的结构图，所述匹配规则的匹配装置具体包括：

查询模块11，用于在接收到报文时，确定所述报文对应的安全检测业务；

粗略特征匹配模块12，用于确定粗略匹配特征与所述报文匹配的匹配规则，并确定所述匹配规则对应的安全检测业务；其中，所述匹配规则包括：粗略匹配特征和精确匹配特征；

精确特征匹配模块13，用于当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则确定所述报文未匹配到所述匹配规则；当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则。

所述查询模块11，具体用于确定所述报文的地址信息对应的用户信息，并利用所述用户信息查询预先配置的用户信息与用户策略信息之间的对应关系，获得所述用户信息对应的用户策略信息，并从所述用户策略信息中获得所述报文对应的安全检测业务。

所述粗略特征匹配模块12，具体用于确定所述匹配规则的规则标识对应的业务标识，并将所述业务标识对应的安全检测业务，作为所述匹配规则对应的安全检测业务。

所述精确特征匹配模块13，具体用于当所述匹配规则包括的精确匹配特征为多个时，依次判断所述报文是否匹配到每个精确匹配特征；如果匹配到所有的精确匹配特征，则确定所述报文匹配到所述匹配规则；否则确定所述报文未匹配到所述匹配规则。

本发明实施例中，所述粗略匹配特征具体包括：多模式匹配AC特征；所述精确匹配特征具体包括：选项特征，和/或，正则表达式PCRE特征。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (10)

1.一种匹配规则的匹配方法，其特征在于，所述方法包括以下步骤：

安全网关设备在接收到报文时，确定所述报文对应的安全检测业务；

所述安全网关设备确定粗略匹配特征与所述报文匹配的匹配规则，并确定所述匹配规则对应的安全检测业务；其中，所述匹配规则包括：粗略匹配特征和精确匹配特征；

当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则所述安全网关设备确定所述报文未匹配到所述匹配规则；

当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则所述安全网关设备利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则。

2.根据权利要求1所述的方法，其特征在于，所述安全网关设备确定所述报文对应的安全检测业务的过程，具体包括：

所述安全网关设备确定所述报文的地址信息对应的用户信息，并利用所述用户信息查询预先配置的用户信息与用户策略信息之间的对应关系，获得所述用户信息对应的用户策略信息，并从所述用户策略信息中获得所述报文对应的安全检测业务。

3.根据权利要求1所述的方法，其特征在于，所述安全网关设备确定所述匹配规则对应的安全检测业务的过程，具体包括：

所述安全网关设备确定所述匹配规则的规则标识对应的业务标识，并将所述业务标识对应的安全检测业务，作为所述匹配规则对应的安全检测业务。

4.根据权利要求1所述的方法，其特征在于，

所述安全网关设备利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则的过程，具体包括：

当所述匹配规则包括的精确匹配特征为多个时，所述安全网关设备依次判断所述报文是否匹配到每个精确匹配特征；如果匹配到所有的精确匹配特征，则所述安全网关设备确定所述报文匹配到所述匹配规则；否则所述安全网关设备确定所述报文未匹配到所述匹配规则。

5.根据权利要求1-4任一项所述的方法，其特征在于，

所述粗略匹配特征具体包括：多模式匹配AC特征；

所述精确匹配特征具体包括：选项特征，和/或，正则表达式PCRE特征。

6.一种匹配规则的匹配装置，其特征在于，所述匹配规则的匹配装置应用在安全网关设备上，且所述匹配规则的匹配装置具体包括：

查询模块，用于在接收到报文时，确定所述报文对应的安全检测业务；

粗略特征匹配模块，用于确定粗略匹配特征与所述报文匹配的匹配规则，并确定所述匹配规则对应的安全检测业务；其中，所述匹配规则包括：粗略匹配特征和精确匹配特征；

精确特征匹配模块，用于当所述报文对应的安全检测业务中不包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则确定所述报文未匹配到所述匹配规则；当所述报文对应的安全检测业务中包括与所述匹配规则对应的安全检测业务相同的安全检测业务时，则利用所述匹配规则包括的精确匹配特征，确定所述报文未匹配到所述匹配规则或者匹配到所述匹配规则。

7.根据权利要求6所述的装置，其特征在于，

所述查询模块，具体用于在获得所述报文对应的安全检测业务的过程中，确定所述报文的地址信息对应的用户信息，并利用所述用户信息查询预先配置的用户信息与用户策略信息之间的对应关系，获得所述用户信息对应的用户策略信息，并从所述用户策略信息中获得所述报文对应的安全检测业务。

8.根据权利要求6所述的装置，其特征在于，

所述粗略特征匹配模块，具体用于确定所述匹配规则的规则标识对应的业务标识，并将所述业务标识对应的安全检测业务，作为所述匹配规则对应的安全检测业务。

9.根据权利要求6所述的装置，其特征在于，

所述精确特征匹配模块，具体用于当所述匹配规则包括的精确匹配特征为多个时，依次判断所述报文是否匹配到每个精确匹配特征；如果匹配到所有的精确匹配特征，则确定所述报文匹配到所述匹配规则；否则确定所述报文未匹配到所述匹配规则。

10.根据权利要求6-9任一项所述的装置，其特征在于，

所述粗略匹配特征具体包括：多模式匹配AC特征；

所述精确匹配特征具体包括：选项特征，和/或，正则表达式PCRE特征。