CN108566382A - 基于规则生命周期检测的防火墙自适应能力提升方法 - Google Patents

基于规则生命周期检测的防火墙自适应能力提升方法 Download PDF

Info

Publication number
CN108566382A
CN108566382A CN201810233995.4A CN201810233995A CN108566382A CN 108566382 A CN108566382 A CN 108566382A CN 201810233995 A CN201810233995 A CN 201810233995A CN 108566382 A CN108566382 A CN 108566382A
Authority
CN
China
Prior art keywords
rule
fire wall
life cycle
data packet
new
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810233995.4A
Other languages
English (en)
Other versions
CN108566382B (zh
Inventor
罗森林
王子文
潘丽敏
朱帅
张笈
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Institute of Technology BIT
Original Assignee
Beijing Institute of Technology BIT
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Institute of Technology BIT filed Critical Beijing Institute of Technology BIT
Priority to CN201810233995.4A priority Critical patent/CN108566382B/zh
Publication of CN108566382A publication Critical patent/CN108566382A/zh
Application granted granted Critical
Publication of CN108566382B publication Critical patent/CN108566382B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及基于规则生命周期检测的防火墙自适应能力提升方法，属于计算机与信息科学技术领域。本发明首先对防火墙日志中的匹配缺省规则的次数较多的数据包信息进行提取，根据数据包信息生成新的防火墙规则，将新生成的规则进行合并，把满足条件的新规则添加到规则集中；然后抓取到达防火墙的数据包，对合法的数据包进行入侵行为检测，若有入侵行为则生成警告信息，根据信息生成新规则添加到规则集中；最后，对新规则定期进行生命周期检测，及时删除生命周期结束的规则。本发明在不影响防火墙策略的情况下，分别采用日志分析和入侵检测两种方法生成防火墙规则，并加入了规则周期检测机制，解决了新规则过多造成的规则集臃肿问题，降低了数据包的平均匹配次数，提高了防火墙的过滤效率，有效的实现了防火墙的自适应能力。

Description

基于规则生命周期检测的防火墙自适应能力提升方法
技术领域
本发明涉及基于规则生命周期检测的防火墙自适应能力提升方法，属于计算机与信息科学技术领域。
背景技术
随着网络技术的快速发展，给我们的工作和生活带来了方便，但是各种网络安全问题也随之出现，防火墙作为保证网络安全的重要工具，其性能也应该不断地提高，来适应当前的网络情况。到目前为止，防火墙规则生成的触发条件比较单一；同时，现有防火墙技术只考虑了防火墙规则的生成，但是随着新规则越来越多，无效匹配次数也不断增加，最终导致防火墙过滤效率降低。因此，本发明将提供基于规则生命周期检测的防火墙自适应能力提升方法，来提高防火墙的安全性和过滤效率。
防火墙自适应能力提升方法需要解决的基本问题是：增加规则生成触发条件以及根据网络环境动态的增加和删除防火墙规则，提高防火墙的过滤效率和安全性。综合现有的防火墙自适应能力提升方法，通常使用方法可归为两类：
1.基于日志分析的防火墙规则生成方法
基于日志分析的防火墙规则生成方法是读取防火墙的日志记录，将日志记录中有攻击行为的记录标记，再从这些记录中提取攻击源的协议类型、源IP、源端口、目的IP、目的端口，根据这五元特征值生成规则，添加到防火墙规则集中。
2.基于入侵检测的防火墙规则生成方法
基于入侵检测的防火墙规则生成方法是通过抓取防火墙的数据包，将数据包的信息与入侵特征库的信息进行对比，如果其特征信息与特征库的信息匹配，则说明有攻击行为，根据数据包的来源信息生成防火墙规则并添加到规则集中。
综上所述，现有的防火墙自适应能力提升方法只生成新规则，并不会对规则进行删除，随着规则数目越来越多，导致过多的无效匹配次数进而降低了防火墙的过滤效率。所以本发明提出基于规则生命周期检测的防火墙自适应能力提升方法。
发明内容
本发明的目的是为了解决防火墙规则触发条件单一和无法动态删除新规则造成的防火墙过滤效率降低的问题，所以提出了基于规则生命周期检测的防火墙自适应能力提升方法。
本发明的设计原理为：本发明首先对防火墙日志中的匹配缺省规则的次数较多的数据包信息进行提取，根据数据包信息生成新的防火墙规则，将新生成的规则进行合并，把满足添加条件的新规则添加到规则集中；然后抓取到达防火墙的数据包，对合法的数据包进行入侵行为检测，若有入侵行为则生成警告信息，根据警告信息生成新规则并添加到规则集中；最后，对新规则定期进行生命周期检测，及时删除生命周期结束的规则。
本发明的技术方案是通过如下步骤实现的：
步骤1，根据防火墙日志信息生成防火墙规则。
步骤1.1，从防火墙日志中提取数据包信息。
步骤1.2，根据数据包信息生成新的防火墙规则。
步骤1.3，按照与防火墙原规则不冲突的原则，对新规则进行合并。
步骤1.4，将满足一定条件的防火墙规则添加到防火墙规则集中。
步骤2，根据入侵检测信息生成防火墙规则。
步骤2.1，对网络数据包进行捕获，将不符合防火墙规则的数据包丢弃。
步骤2.2，将剩下的数据包与入侵特征库中的特征信息进行匹配检测，若有入侵信息，则发出警告信息。
步骤2.3，根据警告信息生成新的防火墙规则。
步骤3，为新规则设定其生命周期。
步骤3.1，定期统计新添加规则的匹配命中率,计算规则删除条件，即规则的生命周期，将满足条件的规则进行删除。
有益效果
相比于日志分析及入侵检测的任意一种防火墙规则生成方法，本发明不仅结合了这两种方法生成规则，大大提高了防火墙的安全性；而且加入了规则生命周期检测机制，解决了因为生成新规则过多造成无效匹配次数增加问题，提高了防火墙的过滤效率。
附图说明
图1为本发明基于规则生命周期检测的防火墙自适应能力提升方法的原理图。
具体实施方式
为了更好的说明本发明的目的和优点，下面结合实例对本发明方法的实施方式做进一步详细说明。
具体流程为：
步骤1，根据防火墙日志信息生成新的防火墙规则。
步骤1.1，首先从防火墙日志中提取匹配缺省规则的数据包信息，然后按照协议类型、源IP、源端口、目的IP、目的端口属性对数据包进行分类并统计各类数据包占总数据包数的比例。
步骤1.2，用比例较高的数据包信息生成新规则，规则属性如下：规则号暂时为空，加入规则集时再确定；协议类型、源IP、源端口、目的IP、目的端口按照数据包信息确定；动作域默认为拒绝。
步骤1.3，将新规则按照协议类型进行分组，同组的规则进行合并，合并方法是：协议类型不变，源IP、源端口、目的IP、目的端口取所有规则的并集作为合并后的规则，动作域为拒绝；判定合并后的规则是否与规则集中规则有异常关系，有则说明规则不能合并，没有则说明可以合并。
步骤1.4，判断新规则是否满足不等式其中N为防火墙的原规则数，i为规则在规则集中的位置，Pnew为新规则的匹配命中率，Pdefault为缺省规则的匹配命中率，Pn为第n条规则的匹配命中率，α为常数因子，一般取值为1.05～1.2；满足上述不等式则可以添加到规则集中，其在规则集中的位置按照规则匹配命中率由高到低排列。
步骤2，根据入侵检测信息生成防火墙规则。
步骤2.1，首先抓取进入防火墙的数据包，然后将数据包与防火墙规则进行匹配，留下合法的数据包。
步骤2.2，将留下的数据包进行入侵行为检测，一旦发现有入侵行为，立刻产生报警信息。
步骤2.3，根据报警信息生成规则，并添加到防火墙规则集中最高优先集处。
步骤3，设定新规则的生命周期。
步骤3.1，定期统计新规则的匹配命中率Pcurrent，当其满足不等式时，说明新规则的生命周期结束，应予以删除。在不等式中，N为防火墙原规则数，Pdefault为缺省规则的匹配命中率，Pn为原规则中第n条规则的匹配命中率，β为常数因子，取值一般为1.05～1.2。
测试结果：实验基于规则生命周期检测的防火墙自适应能力提升方法，本发明在不影响防火墙策略的情况下，分别采用日志分析和入侵检测两种方法生成了防火墙规则，并加入了规则周期检测机制，解决了新规则过多造成的臃肿，降低了数据包的平均匹配次数，提高了防火墙的过滤效率，效果见表1和表2，有效的实现了防火墙的自适应。
表1.防火墙添加规则前实验结果
表2.防火墙添加规则后实验结果
以上所述的具体描述，对发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.基于规则生命周期检测的防火墙自适应能力提升方法，其特征在于所述方法包括如下步骤：
步骤1，将匹配缺省规则较多的日志信息生成新规则后进行合并，满足添加条件的合并后的新规则可添加到规则集中；
步骤2，将到达防火墙的合法数据包进行入侵检测，发现有入侵行为的数据包会产生警告信息，通过警告信息生成新规则，添加到规则集中；
步骤3，对新添加的规则进行生命周期检测，及时删除生命周期结束的新规则。
2.根据权利要求1所述的基于规则生命周期检测的防火墙自适应能力提升方法，其特征在于：步骤1中规则合并方法为构造规则树，根节点为整个规则集，它的子节点为动作域，动作域的子节点为协议类型、源端口、目的端口所对应的服务，服务节点的子节点为源IP地址，源IP地址的子节点为目的IP地址，节点属性连续且子节点属性值相同的规则可合并。
3.根据权利要求1所述的基于规则生命周期检测的防火墙自适应能力提升方法，其特征在于：步骤1中当新规则添加后减少的数据包平均匹配次数大于增加的数据包平均匹配次数乘以常数因子时，则允许添加新规则到规则集中。
4.根据权利要求1所述的基于规则生命周期检测的防火墙自适应能力提升方法，其特征在于：步骤2中生成的新规则要添加到防火墙规则集中的最高优先级。
5.根据权利要求1所述的基于规则生命周期检测的防火墙自适应能力提升方法，其特征在于：步骤3当删除新规则后数据包的平均匹配次数小于减少的数据包平均匹配次数乘以常数因子时，该规则生命周期结束。
CN201810233995.4A 2018-03-21 2018-03-21 基于规则生命周期检测的防火墙自适应能力提升方法 Expired - Fee Related CN108566382B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810233995.4A CN108566382B (zh) 2018-03-21 2018-03-21 基于规则生命周期检测的防火墙自适应能力提升方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810233995.4A CN108566382B (zh) 2018-03-21 2018-03-21 基于规则生命周期检测的防火墙自适应能力提升方法

Publications (2)

Publication Number Publication Date
CN108566382A true CN108566382A (zh) 2018-09-21
CN108566382B CN108566382B (zh) 2020-12-08

Family

ID=63532010

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810233995.4A Expired - Fee Related CN108566382B (zh) 2018-03-21 2018-03-21 基于规则生命周期检测的防火墙自适应能力提升方法

Country Status (1)

Country Link
CN (1) CN108566382B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109495504A (zh) * 2018-12-21 2019-03-19 东软集团股份有限公司 一种防火墙设备及其报文处理方法以及介质
CN110995693A (zh) * 2019-11-28 2020-04-10 杭州迪普信息技术有限公司 一种攻击特征的提取方法、装置及设备
US20220131893A1 (en) * 2019-02-15 2022-04-28 Verizon Patent And Licensing Inc. User-determined network traffic filtering

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101753542A (zh) * 2008-12-03 2010-06-23 北京天融信网络安全技术有限公司 一种加速防火墙过滤规则匹配的方法及装置
CN101931604A (zh) * 2009-06-18 2010-12-29 原少甫 根据网络安全报警自动调整安全策略的计算机防火墙
CN102790758A (zh) * 2011-05-18 2012-11-21 海尔集团公司 防火墙系统及其处理方法
CN103763323A (zh) * 2014-01-23 2014-04-30 杭州华三通信技术有限公司 一种防火墙规则管理方法及装置
CN104113516A (zh) * 2013-04-19 2014-10-22 中国移动通信集团设计院有限公司 一种识别防火墙的规则冲突的方法和终端
CN104954335A (zh) * 2014-03-27 2015-09-30 中国移动通信集团安徽有限公司 一种阻断高风险网络入侵的方法及系统
CN105187435A (zh) * 2015-09-24 2015-12-23 浪潮电子信息产业股份有限公司 一种防火墙规则过滤优化方法
CN107682312A (zh) * 2017-08-25 2018-02-09 中国科学院信息工程研究所 一种安全防护系统及方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101753542A (zh) * 2008-12-03 2010-06-23 北京天融信网络安全技术有限公司 一种加速防火墙过滤规则匹配的方法及装置
CN101931604A (zh) * 2009-06-18 2010-12-29 原少甫 根据网络安全报警自动调整安全策略的计算机防火墙
CN102790758A (zh) * 2011-05-18 2012-11-21 海尔集团公司 防火墙系统及其处理方法
CN104113516A (zh) * 2013-04-19 2014-10-22 中国移动通信集团设计院有限公司 一种识别防火墙的规则冲突的方法和终端
CN103763323A (zh) * 2014-01-23 2014-04-30 杭州华三通信技术有限公司 一种防火墙规则管理方法及装置
CN104954335A (zh) * 2014-03-27 2015-09-30 中国移动通信集团安徽有限公司 一种阻断高风险网络入侵的方法及系统
CN105187435A (zh) * 2015-09-24 2015-12-23 浪潮电子信息产业股份有限公司 一种防火墙规则过滤优化方法
CN107682312A (zh) * 2017-08-25 2018-02-09 中国科学院信息工程研究所 一种安全防护系统及方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
姚兰等: ""防火墙与入侵检测系统的联动分析"", 《信息安全与通信保密》 *
高飞等: ""基于默认规则及冲突检测的防火墙规则优化算法"", 《安徽理工大学学报(自然科学版)》 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109495504A (zh) * 2018-12-21 2019-03-19 东软集团股份有限公司 一种防火墙设备及其报文处理方法以及介质
CN109495504B (zh) * 2018-12-21 2021-05-25 东软集团股份有限公司 一种防火墙设备及其报文处理方法以及介质
US20220131893A1 (en) * 2019-02-15 2022-04-28 Verizon Patent And Licensing Inc. User-determined network traffic filtering
US11711395B2 (en) * 2019-02-15 2023-07-25 Verizon Patent And Licensing Inc. User-determined network traffic filtering
CN110995693A (zh) * 2019-11-28 2020-04-10 杭州迪普信息技术有限公司 一种攻击特征的提取方法、装置及设备

Also Published As

Publication number Publication date
CN108566382B (zh) 2020-12-08

Similar Documents

Publication Publication Date Title
Wang Don't follow me: Spam detection in twitter
CN111131137B (zh) 可疑封包检测装置及其可疑封包检测方法
CN104660594B (zh) 一种面向社交网络的虚拟恶意节点及其网络识别方法
CN107579956B (zh) 一种用户行为的检测方法和装置
CN107172022B (zh) 基于入侵途径的apt威胁检测方法和系统
CN100518076C (zh) 日志统计方法和系统
CN107733851A (zh) 基于通信行为分析的dns隧道木马检测方法
CN108566382A (zh) 基于规则生命周期检测的防火墙自适应能力提升方法
CN107370752B (zh) 一种高效的远控木马检测方法
DE112012002624T5 (de) Regex-Kompilierer
CN106850647B (zh) 基于dns请求周期的恶意域名检测算法
CN108183888A (zh) 一种基于随机森林算法的社会工程学入侵攻击路径检测方法
CN103746982A (zh) 一种http网络特征码自动生成方法及其系统
CN113810362A (zh) 一种安全风险检测处置系统及其方法
Ding et al. Research and implementation on snort-based hybrid intrusion detection system
CN103501302B (zh) 一种蠕虫特征自动提取的方法及系统
Aldwairi et al. n‐Grams exclusion and inclusion filter for intrusion detection in Internet of Energy big data systems
CN101795273B (zh) 一种垃圾邮件过滤方法及装置
CN114598499A (zh) 结合业务应用的网络风险行为分析方法
CN107766737B (zh) 一种数据库审计方法
CN109190408B (zh) 一种数据信息的安全处理方法及系统
CN103795565A (zh) 一种网络事件关联分析方法和装置
CN110912753A (zh) 一种基于机器学习的云安全事件实时检测系统及方法
Gomes et al. Improving Spam Detection Based on Structural Similarity.
Deng et al. Abnormal traffic detection of IoT terminals based on Bloom filter

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20201208

CF01 Termination of patent right due to non-payment of annual fee