CN106209839B - 入侵报文的防护方法及装置 - Google Patents

Abstract

本申请提供一种入侵报文的防护方法及装置，所述方法包括：接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。在本申请中，由于预设的模拟系统为与服务器上的系统互为镜像的模拟系统，因此，当接收到导致预设的模拟系统出现状态异常的报文时，可以确定该报文会同样导致服务器上对应的系统出现状态异常。故，应用本申请可以通过阻断上述导致预设的模拟系统出现状态异常的报文来防护未知的入侵。

Description

入侵报文的防护方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种入侵报文的防护方法及装置。

背景技术

随着计算机网络的飞速发展，网络在带给人们巨大便利的同时也带来了各种安全问题。IPS(Intrusion Prevention System，入侵防护系统)是一种能够监视网络或网络设备的网络资料传输行为的计算机网络安全技术，它能够中断、调整或隔离一些异常或具有伤害性的网络资料传输行为。

相关技术中，当接收到报文时，IPS可以依赖入侵特征库对该报文进行检测和防护，即可以通过将该报文与入侵特征库中预存的入侵规则做匹配来检测和防护该报文。由于入侵特征库中的入侵规则一般为已经被发现或公布了的入侵规则，因此根据入侵特征库对报文进行检测和防护的方法存在滞后性，无法检测出未知的入侵，更无法防护未知的入侵。

发明内容

有鉴于此，本申请提供一种入侵报文的防护方法及装置，来解决相关技术中无法防护未知入侵的问题。

具体地，本申请是通过如下技术方案实现的：

根据本申请实施例的第一方面，提供一种入侵报文的防护方法，所述方法应用于网络设备，所述网络设备与入侵防护系统IPS设备和服务器相连，所述网络设备上预置了与所述服务器上的系统互为镜像的若干模拟系统，所述方法包括：

接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；

在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；

当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

可选的，所述阻断导致该模拟系统出现异常的报文包括：

获取导致该模拟系统出现状态异常的报文的报文属性特征；

丢弃符合所述报文属性特征的报文。

可选的，所述方法还包括：

将导致该模拟系统出现异常的报文作为入侵样本进行记录；

针对所述入侵样本进行分析获取报文入侵特征；

将所述报文入侵特征实时更新至所述IPS设备的入侵特征库中。

可选的，所述方法还包括：

当所述若干模拟模块均未出现状态异常时，将所述报文转发至所述服务器；或者，将所述报文返回至所述IPS设备，以由所述IPS设备将所述报文转发至所述服务器。

可选的，所述方法还包括：

当所述若干模拟系统中任一模拟系统出现异常时，立即重启该模拟系统。

根据本申请实施例的第二方面，提供一种入侵报文的防护装置，所述装置应用于网络设备，所述网络设备与入侵防护系统IPS设备和服务器相连，所述网络设备上预置了与所述服务器上的系统互为镜像的若干模拟系统，所述装置包括：

接收单元，用于接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；

监测单元，用于在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；

阻断单元，用于当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

可选的，所述阻断单元具体用于：

获取导致该模拟系统出现状态异常的报文的报文属性特征；

丢弃符合所述报文属性特征的报文。

可选的，所述装置还包括：

记录单元，用于将导致该模拟系统出现异常的报文作为入侵样本进行记录；

分析单元，用于针对所述入侵样本进行分析获取报文入侵特征；

更新单元，用于将所述报文入侵特征实时更新至所述IPS设备的入侵特征库中。

可选的，所述装置还包括：

转发单元，用于当所述若干模拟模块均未出现状态异常时，将所述报文转发至所述服务器；或者，将所述报文返回至所述IPS设备，以由所述IPS设备将所述报文转发至所述服务器。

可选的，所述装置还包括：

重启单元，用于当所述若干模拟系统中任一模拟系统出现异常时，立即重启该模拟系统。

在本申请中，网络设备可以接收与其相连的IPS设备发送的由该IPS设备完成初步过滤的报文，并在完成该报文的接收后，监测预设的与服务器上的系统互为镜像的若干模拟系统的运行状态，当该若干模拟系统中任一模拟系统出现状态异常时，网络设备可以阻断导致该模拟系统出现状态异常的报文。

在本申请中，由于预设的模拟系统为与服务器上的系统互为镜像的模拟系统，因此，当接收到导致预设的模拟系统出现状态异常的报文时，可以确定该报文会同样导致服务器上对应的系统出现状态异常。故，应用本申请可以通过阻断上述导致预设的模拟系统出现状态异常的报文来防护未知的入侵。

附图说明

图1是应用相关技术的一个应用场景图；

图2是本申请示出的一种入侵报文的防护方法的实施例流程图；

图3是本申请示出的报文的分析图；

图4是入侵报文的防护方法的一个应用场景图；

图5是入侵报文的防护方法的另一个应用场景图；

图6是本申请入侵报文的防护装置所在设备的一种硬件结构图；

图7是本申请入侵报文的防护装置的一个实施例框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

参见图1，为应用相关技术的一个应用场景图。图1中，IPS(Intrusion PreventionSystem，入侵防护系统)设备可以位于客户端和服务器之间，并对客户端发送至服务器的报文进行检测和防护。其中，IPS设备上可以预设入侵特征库，当IPS设备对报文进行检测时，可以基于该报文的特征与入侵特征库中的入侵特征的匹配结果来确定该报文是否为入侵报文，并在该报文为入侵报文时，对该报文进行阻断。

然而，入侵特征库中的入侵特征一般为已知的入侵行为的特征，当某一入侵行为因存在时间较短等原因还未被识别为入侵行为时，入侵特征库中不会包含该入侵特征。此时，当IPS设备基于入侵特征库对该入侵报文进行检测时，会因为未在入侵特征库中匹配到该入侵报文的特征而确定该入侵报文为正常报文，并放行该入侵报文至服务器，从而导致服务器出现异常。

有鉴于此，本申请提供一种入侵报文的防护方法，来解决相关技术无法防护未知入侵的问题。在本申请中，网络设备可以接收与其相连的IPS设备发送的由该IPS设备完成初步过滤的报文，并在完成该报文的接收后，监测预设的与服务器上的系统互为镜像的若干模拟系统的运行状态，当该若干模拟系统中任一模拟系统出现状态异常时，网络设备可以阻断导致该模拟系统出现状态异常的报文。

在本申请中，由于预设的模拟系统为与服务器上的系统互为镜像的模拟系统，因此，当接收到导致预设的模拟系统出现状态异常的报文时，可以确定该报文会同样导致服务器上对应的系统出现状态异常。故，应用本申请可以通过阻断上述导致预设的模拟系统出现状态异常的报文来防护未知的入侵，从而可以解决相关技术无法防护未知入侵的问题。

参见图2，是本申请示出的一种入侵报文的防护方法的实施例流程图，该方法应用于网络设备，包括以下步骤：

步骤201：接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文。

在本申请中，上述网络设备可以与IPS设备和服务器相连，其中，该网络设备可以通过IPS设备与服务器相连或位于IPS设备与服务器之间。

该网络设备上可以预置与服务器上的系统互为镜像的若干模拟系统，当该网络设备接收到会导致该若干模拟系统中的任一模拟系统出现状态异常的报文时，可以确定该报文为入侵报文，且当服务器接收该报文时，该报文会导致服务器上对应的系统出现状态异常。

在本申请中，当IPS设备接收到报文时，IPS设备可以先基于入侵特征库对该报文进行检测，以完成对发送至该网络设备的报文的初步过滤。其中，关于IPS设备基于入侵特征库对报文进行检测的技术为现有技术，因此，本申请在此不再赘述。

在完成对报文的初步过滤后，上述网络设备可以接收到IPS设备发送的由该IPS设备完成初步过滤的报文。

步骤202：在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态。

在本申请中，上述网络设备在接收到IPS设备发送的报文后，可以监测预设的若干模拟系统的运行状态。

在示出的一个实施例中，上述网络设备在接收到IPS设备发送的报文后，可以根据预设的规则将该报文分发至若干模拟系统中的某一模拟系统中。其中，该预设的规则可以为网络设备默认的规则，如根据模拟系统的编号按照从小到大的顺序分发，并在某一编号的模拟系统出现异常时，将该报文分发至下一编号的模拟系统；当然，上述预设的规则也可以由用户根据实际情况进行自定义设置，本申请对上述预设的规则不做限制，理论上只要满足将完成初步过滤的报文分发至上述若干模拟系统中某一运行正常的模拟系统即可。

将上述报文分发至若干模拟系统中的某一模拟系统后，网络设备可以检测若干模拟系统的运行状态。

步骤203：当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

当网络设备检测到若干模拟系统中的任一模拟系统出现状态异常时，可以确定导致该模拟系统出现状态异常的报文为入侵报文，此时网络设备可以对该报文进行阻断。

在一个实施例中，网络设备在对上述入侵报文进行阻断的过程中，可以先获取该报文的报文属性特征，其中，该报文属性特征可以包括五元组信息，即该报文的源IP地址、目的IP地址、源端口、目的端口以及传输协议。在获取该报文的报文属性特征后，网络设备可以丢弃后续符合该报文属性特征的报文。

在示出的一个实施例中，可以假设上述导致某一模拟系统出现状态异常的报文的报文属性特征如表1所示：

源IP地址	目的IP地址	源端口	目的端口	传输协议
					192.11.12.3	192.11.31.2	23	49	TCP

表1

由表1可知，当网络设备后续接收到源IP地址为192.11.12.3、目的IP地址为192.11.31.2、源端口为23、目的端口为49且传输协议为TCP(Transmission ControlProtocol，传输控制协议)的报文时，可以丢弃该报文。

在获取上述入侵报文的报文属性特征后，网络设备可以将该入侵报文作为入侵样本进行记录，然后，网络设备可以通过对该入侵样本的分析获取报文入侵特征，并将该报文入侵特征实时更新至IPS设备的入侵特征库中。

需要说明的是，在本申请中，网络设备在将上述入侵报文作为入侵样本进行记录后，也可以由安全分析人员或相关人员来完成对该入侵样本的分析以及报文入侵特征的获取，然后，安全分析人员或相关人员可以将获取的入侵特征实时更新至IPS设备的入侵特征库中。

在示出的一个实施例中，请参见图3，为本申请示出的报文的分析图。可以假设如图3所示的报文在被网络设备分发至某一模拟系统时，可以导致该模拟系统出现蓝屏重启的异常情况。网络设备在监测到该异常情况后，可以将该报文作为入侵样本进行存储。然后，网络设备或安全分析人员可以对该报文进行分析，并可以在分析后发现该报文的头部中的Range:bytes＝0-18446744073709551615会导致上述模拟系统内核错误，从而使得上述模拟系统出现蓝屏重启的情况。然后，网络设备或安全分析人员可以将“18446744073709551615”作为报文入侵特征，并将该报文入侵特征实时更新至IPS设备的入侵特征库中。

需要说明的是，在本申请中，当上述若干模拟系统出现状态异常时，网络设备可以重启该出现状态异常的模拟系统，并在该模拟系统重启后，将该模拟系统恢复至初始状态。

在本申请中，当网络设备预设的模拟系统未因分发的报文出现状态异常时，可以确定该报文不为入侵报文，此时，可以将该报文转发至服务器；或者，将该报文返回至IPS设备，以由IPS设备将该报文转发至服务器。

在示出的一个实施例中，网络设备可以位于IPS设备与服务器之间。如图4所示，为入侵报文的防护方法的一个应用场景图。网络设备在接收到IPS设备发送的报文后，可以将报文分发至预设的某一模拟系统，然后，网络设备可以将未使该模拟系统出现状态异常的报文发送至服务器。

在示出的另一个实施例中，网络设备可以与IPS设备相连，并通过IPS设备与服务器相连。如图5所示，为入侵报文的防护方法的另一个应用场景图。网络设备在接收到IPS设备发送的报文后，可以将报文分发至预设的某一模拟系统，然后，网络设备可以将未使该模拟系统出现状态异常的报文发送至IPS设备，并由IPS设备将该报文转发至服务器。

在本申请中，网络设备可以接收与其相连的IPS设备发送的由该IPS设备完成初步过滤的报文，并在完成该报文的接收后，监测预设的与服务器上的系统互为镜像的若干模拟系统的运行状态，当该若干模拟系统中任一模拟系统出现状态异常时，网络设备可以阻断导致该模拟系统出现状态异常的报文。

在本申请中，由于预设的模拟系统为与服务器上的系统互为镜像的模拟系统，因此，当接收到导致预设的模拟系统出现状态异常的报文时，可以确定该报文会同样导致服务器上对应的系统出现状态异常。故，应用本申请可以通过阻断上述导致预设的模拟系统出现状态异常的报文来防护未知的入侵。

与前述入侵报文的防护方法的实施例相对应，本申请还提供了入侵报文的防护装置的实施例。

本申请入侵报文的防护装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图6所示，为本申请入侵报文的防护装置所在设备的一种硬件结构图，除了图6所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网络设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等。

请参考图7，为本申请入侵报文的防护装置的一个实施例框图：

接收单元710，用于接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；

监测单元720，用于在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；

阻断单元730，用于当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

在一个可选的实现方式中，所述阻断单元730可以具体用于：

获取导致该模拟系统出现状态异常的报文的报文属性特征；

丢弃符合所述报文属性特征的报文。

在一个可选的实现方式中，所述装置还可以包括(图7中未示出)：

记录单元，用于将导致该模拟系统出现异常的报文作为入侵样本进行记录；

分析单元，用于针对所述入侵样本进行分析获取报文入侵特征；

更新单元，用于将所述报文入侵特征实时更新至所述IPS设备的入侵特征库中。

在一个可选的实现方式中，所述装置还可以包括(图7中未示出)：

转发单元，用于当所述若干模拟模块均未出现状态异常时，将所述报文转发至所述服务器；或者，将所述报文返回至所述IPS设备，以由所述IPS设备将所述报文转发至所述服务器。

在一个可选的实现方式中，所述装置还可以包括(图7中未示出)：

重启单元，用于当所述若干模拟系统中任一模拟系统出现异常时，立即重启该模拟系统。

在本申请中，网络设备可以接收与其相连的IPS设备发送的由该IPS设备完成初步过滤的报文，并在完成该报文的接收后，监测预设的与服务器上的系统互为镜像的若干模拟系统的运行状态，当该若干模拟系统中任一模拟系统出现状态异常时，网络设备可以阻断导致该模拟系统出现状态异常的报文。

在本申请中，由于预设的模拟系统为与服务器上的系统互为镜像的模拟系统，因此，当接收到导致预设的模拟系统出现状态异常的报文时，可以确定该报文会同样导致服务器上对应的系统出现状态异常。故，应用本申请可以通过阻断上述导致预设的模拟系统出现状态异常的报文来防护未知的入侵。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种入侵报文的防护方法，其特征在于，所述方法应用于网络设备，所述网络设备与入侵防护系统IPS设备和服务器相连，所述网络设备上预置了与所述服务器上的系统互为镜像的若干模拟系统，所述方法包括：

接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；

在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；

当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

2.根据权利要求1所述的方法，其特征在于，所述阻断导致该模拟系统出现异常的报文包括：

获取导致该模拟系统出现状态异常的报文的报文属性特征；

丢弃符合所述报文属性特征的报文。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

将导致该模拟系统出现异常的报文作为入侵样本进行记录；

针对所述入侵样本进行分析获取报文入侵特征；

将所述报文入侵特征实时更新至所述IPS设备的入侵特征库中。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述若干模拟系统均未出现状态异常时，将所述报文转发至所述服务器；或者，将所述报文返回至所述IPS设备，以由所述IPS设备将所述报文转发至所述服务器。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述若干模拟系统中任一模拟系统出现异常时，立即重启该模拟系统。

6.一种入侵报文的防护装置，其特征在于，所述装置应用于网络设备，所述网络设备与入侵防护系统IPS设备和服务器相连，所述网络设备上预置了与所述服务器上的系统互为镜像的若干模拟系统，所述装置包括：

接收单元，用于接收所述IPS设备发送的由所述IPS设备完成初步过滤的报文；

监测单元，用于在接收到所述IPS设备发送的报文后，监测所述若干模拟系统的运行状态；

阻断单元，用于当所述若干模拟系统中任一模拟系统出现状态异常时，阻断导致该模拟系统出现状态异常的报文。

7.根据权利要求6所述的装置，其特征在于，所述阻断单元具体用于：

获取导致该模拟系统出现状态异常的报文的报文属性特征；

丢弃符合所述报文属性特征的报文。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

记录单元，用于将导致该模拟系统出现异常的报文作为入侵样本进行记录；

分析单元，用于针对所述入侵样本进行分析获取报文入侵特征；

更新单元，用于将所述报文入侵特征实时更新至所述IPS设备的入侵特征库中。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

转发单元，用于当所述若干模拟系统均未出现状态异常时，将所述报文转发至所述服务器；或者，将所述报文返回至所述IPS设备，以由所述IPS设备将所述报文转发至所述服务器。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

重启单元，用于当所述若干模拟系统中任一模拟系统出现异常时，立即重启该模拟系统。