CN108540480B - 一种网关以及基于网关的文件访问控制方法 - Google Patents

一种网关以及基于网关的文件访问控制方法 Download PDF

Info

Publication number
CN108540480B
CN108540480B CN201810355802.2A CN201810355802A CN108540480B CN 108540480 B CN108540480 B CN 108540480B CN 201810355802 A CN201810355802 A CN 201810355802A CN 108540480 B CN108540480 B CN 108540480B
Authority
CN
China
Prior art keywords
file
access control
transmission
file type
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810355802.2A
Other languages
English (en)
Other versions
CN108540480A (zh
Inventor
胡波
于运涛
石韬
王晔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Electronics Harvest Technology Co ltd
Original Assignee
China Electronics Harvest Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Electronics Harvest Technology Co ltd filed Critical China Electronics Harvest Technology Co ltd
Priority to CN201810355802.2A priority Critical patent/CN108540480B/zh
Publication of CN108540480A publication Critical patent/CN108540480A/zh
Application granted granted Critical
Publication of CN108540480B publication Critical patent/CN108540480B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种网关以及基于网关的文件访问控制方法，能够解决任意文件穿越网关边界时，存在巨大的安全隐患的问题。所述方法包括网关接收待转发的包含传输文件的报文；深度解析所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括所述传输文件的第一文件类型和第二文件类型；将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。能够有效控制内网的文件泄露和木马、敏感信息的传输，为内网增加一层安全壁垒。

Description

一种网关以及基于网关的文件访问控制方法
技术领域
本发明涉及安全防护领域，尤指一种网关以及基于网关的文件访问控制方法。
背景技术
目前的应用防火墙主要用来做常规的基于会话的访问控制和探测不同的攻击行为，但都缺少对文件传输安全性的控制。在现实的攻防对抗越来越激烈的态势下，整体防御、深度防御的安全理念逐渐深入人心。
网关作为安全防护的安全边界，允许任意文件穿越网关边界，存在着巨大的安全隐患，主要有两点：一是文件泄露，内网机密文件毫无觉察的传出外网；二是内网系统漏洞被黑客利用，向内网传输和植入木马等文件。
发明内容
为了解决上述技术问题，本发明提供了一种网关以及基于网关的文件访问控制方法，能够解决任意文件穿越网关边界，存在的巨大的安全隐患的问题。
为了达到本发明目的，本发明提供了一种基于网关的文件访问控制方法，包括：
网关接收待转发的包含传输文件的报文；
深度解析所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括所述传输文件的第一文件类型和第二文件类型；
将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。
进一步地，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：
解析所述报文的传输协议，获得文件名，从文件名中获取所述传输文件的第一文件类型；以及
使用文件类型识别器解析报文，根据传输文件内容获取所述传输文件的第二文件类型。
进一步地，所述获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
当所述访问控制元素包括源IP和/或目的IP时，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：解析所述报文的IP信息，获取所述报文的源IP和/或目的IP；
当所述访问控制元素包括主文件名时，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：解析所述报文的传输协议，获得文件名，从所述文件名中获取所述传输文件的主文件名。
进一步地，所述方法还包括：
根据所述报文的传输方向确定对应的预设访问控制策略。
进一步地，所述将获取的访问控制元素与预设访问控制策略进行匹配，包括：
判断所述第一文件类型、第二文件类型与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；判断所述第一文件类型、第二文件类型和第三文件类型中，只要任意两者不匹配，得到不匹配的匹配结果。
为了达到本发明目的，本发明还提供了一种网关，包括接收模块、解析模块和匹配模块，其中：
所述接收模块，用于接收待转发的包含传输文件的报文；
所述解析模块，用于深度解析所述接收模块接收的所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括第一文件类型和第二文件类型；
所述匹配模块，用于将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。
进一步地，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：
所述解析模块解析所述报文的传输协议，获得文件名，从文件名中获取所述传输文件的第一文件类型；
所述解析模块使用文件类型识别器解析报文，根据传输文件内容获取所述传输文件的第二文件类型。
进一步地，所述解析模块获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
所述访问控制元素包括源IP和/或目的IP时，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：所述解析模块解析所述报文的IP信息，获取所述报文的源IP和/或目的IP；
当所述访问控制元素包括主文件名时，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：所述解析模块解析所述报文的传输协议，获得文件名，从所述文件名中获取所述传输文件的主文件名。
进一步地，所述网关还包括确定模块：
所述确定模块，用于根据所述报文的传输方向确定对应的预设访问控制策略。
进一步地，所述匹配模块将获取的访问控制元素与预设访问控制策略进行匹配，包括：
所述匹配模块判断所述第一文件类型、第二文件类型与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；
所述匹配模块判断所述第一文件类型、第二文件类型和第三文件类型中，只要任意两者不匹配，得到不匹配的匹配结果。
为了达到本发明目的，本发明还提供了一种网关，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述方法中的步骤。
与现有技术相比，本发明包括网关接收待转发的包含传输文件的报文；深度解析所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括所述传输文件的第一文件类型和第二文件类型；将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。本发明能够有效控制内网的文件泄露和木马、敏感信息的传输，为内网增加一层安全壁垒。
本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。
附图说明
附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。
图1为本发明实施例一的基于网关的文件访问控制方法的流程图；
图2为本发明实施例二中步骤S22的流程图；
图3为本发明实施例三的网关的结构示意图；
图4为本发明实施例四的网关的另一种结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
实施例一
本实施例提供了一种基于网关的文件访问控制方法，本方法针对报文中包含传输文件时的访问控制。如图1所示，所述方法包括S11-S13：
S11、网关接收待转发的包含传输文件的报文；
S12、深度解析包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括传输文件第一文件类型和第二文件类型；
S13、将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。
所述第一文件类型从所述文件名中获取，为所述传输文件文件名表示的文件类型；所述第二文件类型根据文件内容获取，为所述传输文件真实的文件类型。
本发明实施例中，获取的访问控制元素包括传输文件第一文件类型和第二文件类型，将获取的访问控制元素与预设访问控制策略进行匹配。对于上行，可以防止重要文件伪装后传出导致泄密，对于下行，防止攻击文件伪装后入侵。由此，可以有效控制内网的文件泄露和木马、敏感信息的传输，为内网增加一层安全壁垒。
在一个可选实施例中，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：
解析报文的传输协议，获得文件名，从文件名中获取传输文件的第一文件类型；以及
使用文件类型识别器解析报文，根据传输文件内容获取传输文件的第二文件类型。
在一个可选实施例中，获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
当访问控制元素包括源IP和/或目的IP时，深度解析包含传输文件的报文，获取访问控制元素，包括：解析报文的IP信息，获取报文的源IP和/或目的IP；
当访问控制元素包括主文件名时，深度解析包含传输文件的报文，获取访问控制元素，包括：解析报文的传输协议，获得文件名，从文件名中获取传输文件的主文件名。
可选地，在步骤S13之前，上述方法还可包括以下步骤：根据报文的传输方向确定对应的预设访问控制策略。可针对上传和下载分别设置访问控制策略。例如针对上传，策略重点在于防止重要文件的泄露；针对下载，策略重点在于禁止下载可疑的可执行脚本文件。
在一个可选实施例中，所述将获取的访问控制元素与预设访问控制策略进行匹配，包括：
判断第一文件类型、第二文件类型与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；判断第一文件类型、第二文件类型和第三文件类型中，只要任意两者不匹配，得到不匹配的匹配结果。
本发明实施例中，网关接收待转发的包含传输文件的报文；深度解析所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括所述传输文件的第一文件类型和第二文件类型；将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。有效控制内网的文件泄露和木马、敏感信息的传输，为内网增加一层安全壁垒。
实施例二
本实施例对上述实施例方法进行具体描述，如图2所示，包括以下步骤：
步骤S21，获取流经网关的包含传输文件的报文；
当网关设备接收到待转发报文后，建立会话，其中包括源IP、目的IP、请求发起方向等信息。
步骤S22，深度解析包含传输文件的报文，获取访问控制元素；
具体包括S221和S222，其中：
步骤S221，解析IP信息、传输方向和传输协议，获取的访问控制元素包括：IP信息、主文件名、第一文件类型；
其中，解析IP信息可得到源IP和目的IP，具体使用哪个IP作为访问控制元素可根据控制策略确定，例如控制策略中可以仅包含源IP，也可以只包含目的IP，还可以既包含源IP又包含目的IP；
解析传输方向，根据会话的发起者确定所述传输方向是上传(上行)还是下载(下行)，访问控制策略可根据上传和下载进行分别设置，上行访问控制策略和下行访问控制策略可以相同也可以不同；在其他实施例中，不排除也可以针对IP信息设置相应的访问控制策略；
解析传输协议，获取主文件名和第一文件类型。传输协议例如为FTP协议或HTTP协议等。解析传输协议类似于协议还原，需要深度解析应用传输协议的字段和内容。比如对于使用HTTP POST的方法上传的文件，首先，解析HTTP请求头域，“Content-Type:multipart/form-data”表示该请求体的功能是传输文件，请求体中包含有文件名和文件内容；然后，解析请求体，找到关键字：“Content-Disposition:form-data；name＝"virus.exe"”，其中“name”字段中表示传输的文件名是virus.exe，主文件名为“virus”，扩展名(后缀名)为exe，此扩展名表示的文件类型即为第一文件类型。对于FTP传输，需要解析命令字：STOR<filename>，从“filename”中可获得主文件名和扩展名。第一文件类型包括但不限于：jpg、png、gif、tgz、rmvb、mp3、exe、msdoc、rar、pdf。为使主文件名和后缀名能够识别，文件名需要支持正则表达式。
步骤S222，通过文件类型识别器解析报文获取访问控制元素，本步骤中获取的访问控制元素包括第二文件类型；
在本实施例中，通过文件类型识别器获取文件的真实后缀名，即真实的文件类型，大部分文件类型都可以通过提取一定长度的头文件内容来判断，比如“FFD8FF”表示该文件后缀名为“jpg”，即获取的第二文件类型为jpg，“504B0304”表示该文件后缀名为“zip”，即获取的第二文件类型为zip，“3026B2758E66CF11”表示该文件后缀名为“asf”，即获取的第二文件类型为asf。第二文件类型包括但不限于：jpg、png、gif、tgz、rmvb、mp3、exe、msdoc、rar、pdf。
在本实施例中，步骤S221和步骤S222的执行顺序可以互换。
步骤S23，将获取的访问控制元素与预先配置的访问控制策略进行匹配，根据匹配结果，执行访问控制策略中对应的动作，并记录日志。
将获取的访问控制元素逐个与访问控制策略比较，只要有一项匹配，则停止比较，或者也可以设置为当全部匹配时，则停止比较。
访问控制策略中对应的动作例如可以配置为允许所述文件通过网关，也可以配置为不允许所述文件通过网关。
其中，在进行文件类型的访问控制时，需将第一文件类型与第二文件类型分别与访问控制策略中的内容进行匹配，即当获取的第一文件类型和第二文件类型均与访问控制策略中的第三文件类型匹配时，文件类型的匹配结果才为匹配。通过分别匹配第一文件类型与第二文件类型，能够确保传输文件的后缀名与真实的文件内容一致，避免出现通过手动修改后缀名来逃逸文件访问控制的情况，需要重点关注可执行文件的后缀名；在其他实施例中，也可以先进行第一文件类型与第二文件类型的比较，只要出现二者不一致的情况，则将其判定为可疑文件，如果一致，则可取二者任意其一再与访问控制策略中的第三文件类型进行匹配。
当获取的访问控制元素与访问控制策略中的访问控制元素逐个比较时，不限定比较顺序。
可选地，在步骤S23之前，还可以包括步骤S24；
步骤S24、根据获取的控制元素确定对应的访问控制策略。例如可以根据传输方向确定使用上行访问控制策略还是下行访问控制策略。可根据会话的发起者确定文件传输方向是上传还是下载。
本发明实施例中，在网关设备上实现细粒度文件访问控制的方法，通过对穿越网关的文件做深度解析，从传输文件的文件类型、源IP、目的IP、主文件名等方面进行多维度的访问控制，从而有效控制内网的文件泄露和木马、敏感信息的传输，为内网增加一层安全壁垒。
在一个可选实施例中，实现框架分为两层：控制平面和数据平面；控制平面负责用户的文件访问控制策略的维护，并下发到数据平面；数据平面完成对流经网关的报文流深度解析，控制匹配策略的报文动作。
用户通过控制平面对传输文件的访问控制策略进行设置，包括设置需要匹配的元素和要执行的动作；
其中，需要匹配的元素包括以下一种或多种：文件类型、源IP、目的IP、主文件名，数据平面将根据访问控制策略中设置的需要匹配的元素获取对应的访问控制元素；
要执行的动作包括：丢弃或者通过传输文件的报文，并记录日志。
本发明实施例中，用户细粒度配置文件传输的文件访问控制元素和执行动作，这些策略下发到处理报文流程的数据平面；传输文件的报文流穿越网关时，数据平面深度解析出传输文件的IP地址、传输方向、主文件名、后缀名；然后与访问控制策略做比较，匹配上某条策略，则执行策略中的动作。
实施例三
本实施例提供了一种网关，上述方法实施例中描述也适用于本实施例中，如图3所示，该网关包括接收模块31和解析模块32、匹配模块33，其中：
接收模块31，用于接收待转发的包含传输文件的报文；
解析模块32，用于深度解析接收模块31接收的包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括第一文件类型和第二文件类型；
匹配模块33，用于将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作。
在一个可选实施例中，解析模块32深度解析包含传输文件的报文，获取访问控制元素，包括：
解析模块32解析报文的传输协议，获得文件名，从文件名中获取传输文件的第一文件类型；
解析模块32使用文件类型识别器解析报文，根据传输文件内容获取传输文件的第二文件类型。
在一个可选实施例中，解析模块32获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
访问控制元素包括源IP和/或目的IP时，解析模块32深度解析包含传输文件的报文，获取访问控制元素，包括：解析模块32解析报文的IP信息，获取报文的源IP和/或目的IP；
访问控制元素包括主文件名时，解析模块32深度解析包含传输文件的报文，获取访问控制元素，包括：解析模块32解析报文的传输协议，获得文件名，从文件名中获取传输文件的主文件名。
在一个可选实施例中，所述网关还包括确定模块34：
确定模块34，用于根据报文的传输方向确定对应的预设访问控制策略。
在一个可选实施例中，匹配模块33将获取的访问控制元素与预设访问控制策略进行匹配，包括：
匹配模块33判断第一文件类型、第二文件类型与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；
匹配模块33判断第一文件类型、第二文件类型和第三文件类型中，只要任意两者不匹配，得到不匹配的匹配结果。
本实施例还提供了一种网关，如图3所示，该网关包括存储器41、处理器42以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时可实现实施例一或实施例二中部分或全部步骤。
虽然本发明所揭露的实施方式如上，但所述的内容仅为便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式及细节上进行任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (11)

1.一种基于网关的文件访问控制方法，其特征在于，包括：
网关接收待转发的包含传输文件的报文；
深度解析所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括所述传输文件的第一文件类型和第二文件类型；所述第一文件类型为从所述传输文件的文件名中获取的文件类型信息，所述第二文件类型为根据所述传输文件的内容获取的文件类型信息；
将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作；
其中，所述将获取的访问控制元素与预设访问控制策略进行匹配包括：
判断所述第一文件类型、第二文件类型均与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；判断所述第一文件类型、第二文件类型和第三文件类型中，任意两者不匹配，得到不匹配的匹配结果。
2.根据权利要求1所述的方法，其特征在于，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：
解析所述报文的传输协议，获得文件名，从文件名中获取所述传输文件的第一文件类型；以及
使用文件类型识别器解析报文，根据传输文件内容获取所述传输文件的第二文件类型。
3.根据权利要求1或2所述的方法，其特征在于，
所述获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
当所述访问控制元素包括源IP和/或目的IP时，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：解析所述报文的IP信息，获取所述报文的源IP和/或目的IP；
当所述访问控制元素包括主文件名时，所述深度解析所述包含传输文件的报文，获取访问控制元素，包括：解析所述报文的传输协议，获得文件名，从所述文件名中获取所述传输文件的主文件名。
4.根据权利要求1所述的方法，其特征在于，所述方法还包括：
根据所述报文的传输方向确定对应的预设访问控制策略。
5.根据权利要求1所述的方法，其特征在于，所述方法还包括：
解析所述报文的传输方向。
6.一种网关，其特征在于，包括接收模块、解析模块和匹配模块，其中：
所述接收模块，用于接收待转发的包含传输文件的报文；
所述解析模块，用于深度解析所述接收模块接收的所述包含传输文件的报文，获取访问控制元素，获取的访问控制元素包括第一文件类型和第二文件类型；所述第一文件类型为从所述传输文件的文件名中获取的文件类型信息，所述第二文件类型为根据所述传输文件的内容获取的文件类型信息；
所述匹配模块，用于将获取的访问控制元素与预设访问控制策略进行匹配，根据匹配结果，执行控制策略中对应的动作；
其中，述匹配模块将获取的访问控制元素与预设访问控制策略进行匹配，包括：
所述匹配模块判断所述第一文件类型、第二文件类型均与访问控制策略中的第三文件类型三者匹配时，得到匹配的匹配结果；
所述匹配模块判断所述第一文件类型、第二文件类型和第三文件类型中，任意两者不匹配，得到不匹配的匹配结果。
7.根据权利要求6所述的网关，其特征在于，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：
所述解析模块解析所述报文的传输协议，获得文件名，从文件名中获取所述传输文件的第一文件类型；
所述解析模块使用文件类型识别器解析报文，根据传输文件内容获取所述传输文件的第二文件类型。
8.根据权利要求6或7所述的网关，其特征在于，
所述解析模块获取的访问控制元素还包括以下元素中的一种或多种：源IP、目的IP、主文件名；
所述访问控制元素包括源IP和/或目的IP时，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：所述解析模块解析所述报文的IP信息，获取所述报文的源IP和/或目的IP；
当所述访问控制元素包括主文件名时，所述解析模块深度解析所述包含传输文件的报文，获取访问控制元素，包括：所述解析模块解析所述报文的传输协议，获得文件名，从所述文件名中获取所述传输文件的主文件名。
9.根据权利要求6所述的网关，其特征在于，所述网关还包括确定模块：
所述确定模块，用于根据所述报文的传输方向确定对应的预设访问控制策略。
10.根据权利要求6所述的网关，其特征在于，所述网关还包括确定模块：
所述确定模块，用于解析所述报文的传输方向。
11.一种网关，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5中任一权利要求所述方法中的步骤。
CN201810355802.2A 2018-04-19 2018-04-19 一种网关以及基于网关的文件访问控制方法 Active CN108540480B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810355802.2A CN108540480B (zh) 2018-04-19 2018-04-19 一种网关以及基于网关的文件访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810355802.2A CN108540480B (zh) 2018-04-19 2018-04-19 一种网关以及基于网关的文件访问控制方法

Publications (2)

Publication Number Publication Date
CN108540480A CN108540480A (zh) 2018-09-14
CN108540480B true CN108540480B (zh) 2021-01-08

Family

ID=63478637

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810355802.2A Active CN108540480B (zh) 2018-04-19 2018-04-19 一种网关以及基于网关的文件访问控制方法

Country Status (1)

Country Link
CN (1) CN108540480B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110011968A (zh) * 2019-02-28 2019-07-12 郑州轨道交通信息技术研究院 一种基于工控协议通用框架的策略访问控制方法
CN110138806B (zh) * 2019-06-12 2022-07-12 武汉通威电子有限公司 一种实现高可靠性的防火墙系统
CN111966630B (zh) * 2020-08-05 2024-04-19 北京锐安科技有限公司 文件类型的检测方法、装置、设备和介质
CN112751839B (zh) * 2020-12-25 2023-04-18 江苏省未来网络创新研究院 一种基于用户流量特性的防病毒网关处理加速策略

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102075404A (zh) * 2009-11-19 2011-05-25 华为技术有限公司 一种报文检测方法及装置
CN102571767A (zh) * 2011-12-24 2012-07-11 成都市华为赛门铁克科技有限公司 文件类型识别方法及文件类型识别装置
CN103428195B (zh) * 2012-12-27 2016-09-07 北京安天电子设备有限公司 一种未知病毒检测方法
CN103347092A (zh) * 2013-07-22 2013-10-09 星云融创（北京）信息技术有限公司 一种识别缓存文件的方法及装置
CN106506630B (zh) * 2016-10-27 2019-12-10 中国科学院信息工程研究所 一种基于http内容一致性的恶意网络行为发现方法
CN107872456A (zh) * 2017-11-09 2018-04-03 深圳市利谱信息技术有限公司 网络入侵防御方法、装置、系统及计算机可读存储介质

Also Published As

Publication number Publication date
CN108540480A (zh) 2018-09-14

Similar Documents

Publication Publication Date Title
CN108540480B (zh) 一种网关以及基于网关的文件访问控制方法
US10666686B1 (en) Virtualized exploit detection system
US10021129B2 (en) Systems and methods for malware detection and scanning
US10033755B2 (en) Securing web page content
US20190354709A1 (en) Enforcement of same origin policy for sensitive data
US10498736B2 (en) Third party program integrity and integration control in web based applications
US9313220B2 (en) Proxy gateway anti-virus method, pre-classifier, and proxy gateway
EP1904988B1 (en) Immunizing html browsers and extensions from known vulnerabilities
US8875220B2 (en) Proxy-based network access protection
US8170352B2 (en) String searching facility
US8407324B2 (en) Dynamic modification of the address of a proxy
Stasinopoulos et al. Commix: automating evaluation and exploitation of command injection vulnerabilities in Web applications
CA3159619C (en) Packet processing method and apparatus, device, and computer-readable storage medium
US9571390B2 (en) Path optimization for adaptive streaming
US20190116186A1 (en) Enterprise cloud access control and network access control policy using risk based blocking
EP3590061B1 (en) Managing data encrypting application
CN109508437B (zh) 一种搜索网站审计方法、系统及网关设备和存储介质
US9787711B2 (en) Enabling custom countermeasures from a security device
CN108282443B (zh) 一种爬虫行为识别方法和装置
KR20070079781A (ko) 하이퍼 텍스터 전송규약 요청 정보 추출을 이용한침입방지시스템 및 그를 이용한 유알엘 차단방법
US10360379B2 (en) Method and apparatus for detecting exploits
US10757118B2 (en) Method of aiding the detection of infection of a terminal by malware
US8676884B2 (en) Security configuration
Breński et al. Evil-AP-mobile man-in-the-middle threat
CN110311850A (zh) 一种基于网络的数据处理方法及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant