CN105939314A - 网络防护方法和装置 - Google Patents

Abstract

本发明提供一种网络防护方法和装置，该方法包括：当接收到报文时，判断报文的协议类型是否为预设类型；若是，则将报文与其所属会话的其他报文进行重组，得到重组报文流；判断是否从预设的病毒信息库中匹配到重组报文流的报文信息，病毒信息库包括不同的报文信息与病毒类型的对应关系；若匹配到，则根据与重组报文流的报文信息对应的病毒类型，对重组报文流进行防病毒处理。应用本发明实施例，对同一个会话的报文进行重组，得到重组报文流，将重组报文流作为一个整体进行查毒处理，从而能够避免由于病毒跨包、乱序或分片存在于报文中，而无法准确地检测到病毒，进而提高病毒检测的准确率，降低误报率或者漏报率，为网络安全提供保障。

Description

网络防护方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种网络防护方法和装置。

背景技术

网络应用已深入人们的生活和工作，而各种网络病毒也层出不穷，尤其是一些重要的网络节点，时时刻刻都面临着大量网络病毒的威胁。相关技术中的网络设备，比如，IPS(Intrusion Prevention System，入侵防御系统)设备，可以通过对单个报文进行病毒检测，以实现网络防护，然而，基于这种病毒检测机制，如果在同一个会话中，该会话包括多个报文，病毒通过跨包、乱序或者分片的方式存在于多个报文中，而网络设备只对单个报文进行病毒检测，则将不能准确地识别病毒，产生误报或者漏报，从而给网络带来安全隐患。

发明内容

有鉴于此，本发明提供一种网络防护方法和装置，能够准确地识别病毒，降低病毒误报率或者漏报率，从而给网络安全提供保障。

具体地，本发明是通过如下技术方案实现的：

本发明一方面提供一种网络防护方法，所述方法包括：

当接收到报文时，判断所述报文的协议类型是否为预设类型；

若是，则将所述报文与其所属会话的其他报文进行重组，得到重组报文流；

判断是否从预设的病毒信息库中匹配到所述重组报文流的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

若匹配到，则根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理。

本发明的另一方面提供一种网络防护装置，所述装置包括：

第一判断单元，用于当接收到报文时，判断所述报文的协议类型是否为预设类型；

重组单元，用于当所述报文的协议类型为预设类型时，将所述报文与其所属会话的其他报文进行重组，得到重组报文流；

第二判断单元，用于判断是否从预设的病毒信息库中匹配到所述重组报文流的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

第一处理单元，用于当从预设的病毒信息库中匹配到所述重组报文流的报文信息时，根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理。

应用本发明实施例，网络设备接收到报文后，将同一个会话的报文进行重组，得到重组报文流，将重组报文流作为一个整体进行查毒处理，从而能够避免由于病毒跨包、乱序或分片存在于报文中，而无法准确地检测到病毒，进而提高病毒检测的准确率，降低误报率或者漏报率，为网络安全提供保障。

附图说明

图1是本发明一示例性实施例示出的一种应用场景示意图；

图2是本发明一示例性实施例示出的一种网络防护方法的流程示意图；

图3是本发明一示例性实施例示出的另一种网络防护方法的流程示意图；

图4是本发明一示例性实施例示出的一种网络防护装置所在设备的一硬件结构示意图；

图5是本发明一示例性实施例示出的一种网络防护装置的结构框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

在本发明使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本发明可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本发明范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

图1是本发明一示例性实施例示出的一种应用场景示意图。

如图1所示，包括客户端设备、服务器以及网络设备，其中，客户端设备可以包括便携式终端(比如，手机)、PC(Personal Computer，个人计算机)等，网络设备可以分别与客户端设备和服务器进行通信，在所属组网中用于防病毒处理，比如，IPS设备，为网络安全保驾护航。在本发明实施例中，网络设备在接收到来自客户端设备或者服务器的报文时，可以判断报文的协议类型是否为预设类型，若是，网络设备可以将该报文与所属会话的其他报文进行重组，得到重组报文流，并对重组报文流进行病毒检查，若确定该重组报文流中携带病毒，则根据该病毒的病毒类型，对重组报文流进行防病毒处理。

图2是本发明一示例性实施例示出的一种网络防护方法的流程示意图。

如图2所示，一种网络防护方法，该方法包括如下步骤：

步骤201，判断是否从预设的协议识别表中匹配到报文的报文特征，其中，协议识别表包括不同的报文特征与协议类型的对应关系。若匹配到，则执行步骤202。

本发明中，在网络设备中预先配置协议识别表，该协议识别表中包括不同的报文特征与协议类型的对应关系，从而可以根据报文的报文特征识别报文的协议类型，这里所述的报文特征包括报文的五元组信息。

步骤202，获取与报文的报文特征对应的协议类型。

在步骤201中确定从协议识别表中匹配到该报文的报文特征时，在步骤202获取与报文的报文特征对应的协议类型，即为该报文的协议类型。

步骤203，判断报文的协议类型是否为预设类型，若是，则执行步骤204，反之，执行步骤207。

本技术领域人员可以理解的是，实际网络环境中，可以通过对历史数据进行处理，确定携带病毒概率较大的协议类型，比如，FTP(File TransferProtocol，文件传输协议)、TFTP(Trivial File Transfer Protocol，简单文件传输协议)、HTTP(Hypertext Transfer Protocol，超文本传送协议)、POP3(Post Office Protocol-Version 3，邮局协议版本3)以及SMTP(Simple MailTransfer Protocol，简单邮件传输协议)，因此，可以将这几种协议类型作为预设类型，在本发明实施例中，当网络设备确定接收到的报文的协议类型后，可以判断该报文的协议类型是否为预设类型，若是，执行步骤204，反之，执行步骤207。

步骤204，将报文与其所属会话的其他报文进行重组，得到重组报文流。

在步骤203中确定报文的协议类型为预设类型后，在本步骤中，将报文与其所属会话的其他报文进行重组，以得到重组报文流。

根据本发明的可选实施例，可以利用缓冲区对同一个会话的报文进行重组，具体来说，当报文的协议类型为预设类型时，在执行步骤203之前，可以先判断是否有与报文的报文特征匹配的缓冲区的标识特征，如果有，则将报文存入缓冲区中，反之，则创建缓冲区，且该缓冲区的标识特征为该报文的报文特征。进一步地，在步骤204，可以获取缓冲区中每个报文的序列号，并按照序列号从小到大的顺序对缓冲区中的报文进行组合，最终得到重组报文流。

步骤205，判断是否从预设的病毒信息库中匹配到重组报文流的报文信息，其中，病毒信息库包括不同的报文信息与病毒类型的对应关系。若匹配到，则执行步骤206。反之，若没有匹配到，则可以确定重组报文流中没有携带病毒，从而可以直接放通重组报文流。

管理员或者技术人员可以通过对历史攻击报文(即携带病毒的报文)进行处理，从而提取大量攻击报文的报文信息，以这类报文信息作为病毒特征信息，并建立病毒特征信息与病毒类型的对应关系，从而形成病毒信息库，在本步骤中，基于步骤204得到的重组报文流，判断是否从预设的病毒信息库中匹配到重组报文流的报文信息，若能够匹配到，则可以确定重组报文流中携带的病毒的病毒类型。

步骤206，根据与重组报文流的报文信息对应的病毒类型，对重组报文流进行防病毒处理。结束本流程。

根据本发明的可选实施例，在步骤206中，可以判断是否从预设的病毒处理表中匹配到重组报文流的报文信息对应的病毒类型，其中，病毒处理表包括不同的病毒类型与处理动作的对应关系，如果匹配到重组报文流的报文信息，则可以对该重组报文流执行与病毒类型对应的处理动作，该病毒类型与该重组报文流的报文信息对应，处理动作包括但不限于丢包、告警、放通等，具体可以根据病毒对网络的危害程度，配置相应的处理动作，比如，对于恶性病毒(对网络危害较大)，其对应的处理动作可以为丢包。反之，如果没有从预设的病毒处理表中匹配到重组报文流的报文信息对应的病毒类型，则可以放通重组报文流。

在上述实施例中，原理性地对本发明的技术方案进行了详细说明，为了使本发明的技术方案更加清楚易懂，下面将通过具体示例进一步描述。

图3是本发明一示例性实施例示出的另一种网络防护方法的流程示意图。

如图3所示，网络设备接收到报文，比如，报文1至报文6，对报文进行协议识别，假设通过报文特征(比如，五元组信息)确定报文1至报文3属于第一会话，且协议类型为HTTP，另外，确定报文4至报文6属于第二会话，协议类型为SMTP，协议类型均为预设类型，则将报文存入对应的缓冲区，比如，网络设备中包括缓冲区1和缓冲区2，且缓冲区1的标识特征与第一会话中报文的报文特征匹配，缓冲区2的标识特征与第二会话中报文的报文特征匹配，因此，将报文1至报文3存入缓冲区1，报文4至报文6存入缓冲区2，再假设，报文1的序列号为002，报文2的序列号为001以及报文3的序列号为003，根据序列号从小到大的顺序进行组合，则在缓冲区1中重组报文流如下表1所示：

表1

表1中所示为缓冲区1的重组报文流的示意，缓冲区2中的重组报文流与表1中重组过程和原理相同，按照缓冲区2中报文的序列号按照从小到大顺序组合即可，在此不再一一赘述。

按照上述实施例，在完成报文流的重组得到重组报文流之后，将对重组报文流进行整体查毒处理，具体来说，可以提取重组报文流的报文信息，并在预设的病毒信息库中查找该报文信息，要能够查找到，则可以确定缓冲区中的重组报文流携带有病毒，并基于病毒信息库确定病毒类型，比如，确定缓冲区1中的重组报文流携带病毒的病毒类型为恶性病毒，比如，冲击波病毒，对网络危害较大，则根据预设的病毒处理表，可以确定丢弃第一会话中的报文，从而对缓冲区1中的重组报文流执行丢弃这一处理动作，进而防止重组报文流中病毒对网络造成危害，再假设，缓冲区2中的重组报文流携带的病毒为良性病毒，对网络几乎不造成危害，因此，可以放通缓冲区2中的重组报文流。

根据本发明一可选实施例，在步骤203中，如果确定报文的协议类型不是预设类型，则不对同一会话的报文进行重组，而对单个报文执行查毒处理，具体，如步骤207至步骤209。

步骤207，提取报文的报文信息。

步骤208，判断是否从预设的病毒信息库中匹配到报文的报文信息，其中，病毒信息库包括不同的报文信息与病毒类型的对应关系。若匹配到，则执行步骤209。

步骤209，根据与报文的报文信息对应的病毒类型，对报文进行防病毒处理。结束本流程。

应用上述实施例，网络设备接收到报文后，将同一个会话的报文进行重组，得到重组报文流，将重组报文流作为一个整体进行查毒处理，从而能够避免由于病毒跨包、乱序或分片存在于报文中，而无法准确地检测到病毒，进而提高病毒检测的准确率，降低误报率或者漏报率，为网络安全提供保障。

与前述网络防护方法的实施例相对应，本发明还提供了网络防护装置的实施例。

本发明网络防护装置500的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在网络设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为本发明网络防护装置所在设备的一种硬件结构图，除了图4所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网络设备通常根据该网络设备的实际功能，还可以包括其他硬件，对此不再赘述。

图5是本发明一示例性实施例示出的一种网络防护装置的结构框图。如图5所示，一种网络防护装置500，可以包括第一判断单元501、重组单元502、第二判断单元503以及第一处理单元504。

第一判断单元501用于当接收到报文时，判断所述报文的协议类型是否为预设类型；

重组单元502用于当所述报文的协议类型为预设类型时，将所述报文与其所属会话的其他报文进行重组，得到重组报文流；

第二判断单元503用于判断是否从预设的病毒信息库中匹配到所述重组报文流的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

第一处理单元504用于当从预设的病毒信息库中匹配到所述重组报文流的报文信息时，根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理。

根据本发明的可选实施例，第一处理单元504可以包括判断子单元和执行子单元，其中，判断子单元用于判断是否从预设的病毒处理表中匹配到所述重组报文流的报文信息对应的病毒类型，所述病毒处理表包括不同的病毒类型与处理动作的对应关系，执行子单元，用于当从预设的病毒处理表中匹配到所述重组报文流的报文信息对应的病毒类型时，对所述重组报文流执行与病毒类型对应的处理动作，该病毒类型与所述重组报文流的报文信息对应。

根据本发明另一可选实施例，网络防护装置500还可以包括第三判断单元和类型获取单元，其中，第三判断单元用于在判断所述报文的协议类型是否为预设类型之前，判断是否从预设的协议识别表中匹配到所述报文的报文特征，所述协议识别表包括不同的报文特征与协议类型的对应关系，类型获取单元用于当从预设的协议识别表中匹配到所述报文的报文特征时，获取与所述报文的报文特征对应的协议类型。

根据本发明的另一可选实施例，网络防护装置500还可以包括第四判断单元、第一存储单元、创建单元以及第二存储单元，其中，第四判断单元用于当确定所述报文的协议类型为预设类型时，在将所述报文与其所属会话的其他报文进行重组之前，判断是否有与所述报文的报文特征匹配的缓冲区的标识特征，第一存储单元当有与所述报文的报文特征匹配的缓冲区的标识特征时，将所述报文存入所述缓冲区，创建单元用于当没有与所述报文的报文特征匹配的缓冲区的标识特征时，创建缓冲区，该缓冲区的标识特征为所述报文的报文特征，第二存储单元用于将所述报文存入所述缓冲区。进一步地，重组单元502可以包括获取子单元和组合子单元，其中，获取子单元用于获取缓冲区中每个报文的序列号，组合子单元用于按照所述序列号从小到大的顺序对所述缓冲区中的报文进行组合。

根据本发明的另一可选实施例，网络防护装置500还可以包括提取单元、第五判断单元以及第二处理单元，其中，提取单元用于当所述报文的协议类型不是预设类型时，提取所述报文的报文信息，第五判断单元用于判断是否从预设的病毒信息库中匹配到所述报文的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系，第二处理单元用于当从预设的病毒信息库中匹配到所述报文的报文信息时，根据与所述报文的报文信息对应的病毒类型，对所述报文进行防病毒处理。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种网络防护方法，其特征在于，所述方法包括：

当接收到报文时，判断所述报文的协议类型是否为预设类型；

若是，则将所述报文与其所属会话的其他报文进行重组，得到重组报文流；

判断是否从预设的病毒信息库中匹配到所述重组报文流的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

若匹配到，则根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在判断所述报文的协议类型是否为预设类型之前，判断是否从预设的协议识别表中匹配到所述报文的报文特征，所述协议识别表包括不同的报文特征与协议类型的对应关系；

当匹配到时，获取与所述报文的报文特征对应的协议类型。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当确定所述报文的协议类型为预设类型时，在将所述报文与其所属会话的其他报文进行重组之前，判断是否有与所述报文的报文特征匹配的缓冲区的标识特征；

若有，则将所述报文存入所述缓冲区；

若没有，则创建缓冲区，该缓冲区的标识特征为所述报文的报文特征；

将所述报文存入所述缓冲区。

4.根据权利要求3所述的方法，其特征在于，所述将所述报文与其所属会话的其他报文进行重组，包括：

获取缓冲区中每个报文的序列号；

按照所述序列号从小到大的顺序对所述缓冲区中的报文进行组合。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述报文的协议类型不是预设类型时，提取所述报文的报文信息；

判断是否从预设的病毒信息库中匹配到所述报文的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

若匹配到，则根据与所述报文的报文信息对应的病毒类型，对所述报文进行防病毒处理。

6.根据权利要求1所述的方法，其特征在于，所述根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理，包括：

判断是否从预设的病毒处理表中匹配到所述重组报文流的报文信息对应的病毒类型，所述病毒处理表包括不同的病毒类型与处理动作的对应关系；

当匹配到时，对所述重组报文流执行与病毒类型对应的处理动作，该病毒类型与所述重组报文流的报文信息对应。

7.一种网络防护装置，其特征在于，所述装置包括：

第一判断单元，用于当接收到报文时，判断所述报文的协议类型是否为预设类型；

重组单元，用于当所述报文的协议类型为预设类型时，将所述报文与其所属会话的其他报文进行重组，得到重组报文流；

第二判断单元，用于判断是否从预设的病毒信息库中匹配到所述重组报文流的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

第一处理单元，用于当从预设的病毒信息库中匹配到所述重组报文流的报文信息时，根据与所述重组报文流的报文信息对应的病毒类型，对所述重组报文流进行防病毒处理。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第三判断单元，用于在判断所述报文的协议类型是否为预设类型之前，判断是否从预设的协议识别表中匹配到所述报文的报文特征，所述协议识别表包括不同的报文特征与协议类型的对应关系；

类型获取单元，用于当从预设的协议识别表中匹配到所述报文的报文特征时，获取与所述报文的报文特征对应的协议类型。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第四判断单元，用于当确定所述报文的协议类型为预设类型时，在将所述报文与其所属会话的其他报文进行重组之前，判断是否有与所述报文的报文特征匹配的缓冲区的标识特征；

第一存储单元，当有与所述报文的报文特征匹配的缓冲区的标识特征时，将所述报文存入所述缓冲区；

创建单元，用于当没有与所述报文的报文特征匹配的缓冲区的标识特征时，创建缓冲区，该缓冲区的标识特征为所述报文的报文特征；

第二存储单元，用于将所述报文存入所述缓冲区。

10.根据权利要求9所述的装置，其特征在于，所述重组单元，包括：

获取子单元，用于获取缓冲区中每个报文的序列号；

组合子单元，用于按照所述序列号从小到大的顺序对所述缓冲区中的报文进行组合。

11.根据权利要求7所述的装置，其特征在于，所述装置还包括：

提取单元，用于当所述报文的协议类型不是预设类型时，提取所述报文的报文信息；

第五判断单元，用于判断是否从预设的病毒信息库中匹配到所述报文的报文信息，所述病毒信息库包括不同的报文信息与病毒类型的对应关系；

第二处理单元，用于当从预设的病毒信息库中匹配到所述报文的报文信息时，根据与所述报文的报文信息对应的病毒类型，对所述报文进行防病毒处理。

12.根据权利要求7所述的装置，其特征在于，所述第一处理单元，包括：

判断子单元，用于判断是否从预设的病毒处理表中匹配到所述重组报文流的报文信息对应的病毒类型，所述病毒处理表包括不同的病毒类型与处理动作的对应关系；

执行子单元，用于当从预设的病毒处理表中匹配到所述重组报文流的报文信息对应的病毒类型时，对所述重组报文流执行与病毒类型对应的处理动作，该病毒类型与所述重组报文流的报文信息对应。