CN111526121A - 入侵防御方法、装置、电子设备及计算机可读介质 - Google Patents

Abstract

本公开涉及一种入侵防御方法、装置、电子设备及计算机可读介质。该方法包括：对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。本公开涉及的入侵防御方法、装置、电子设备及计算机可读介质，大数据流量且不影响攻击流拦截率的情况下，对流量数据进行入侵检测，还能够实时控制入侵检测深度、减轻流量压力，提升交换机的设备性能。

Description

入侵防御方法、装置、电子设备及计算机可读介质

技术领域

本公开涉及计算机信息处理领域，具体而言，涉及一种入侵防御方法、装置、电子设备及计算机可读介质。

背景技术

随着网络地不断发展，网络环境日益复杂化，对网络设备的安全性要求也越来越高，尤其是对入侵检测设备来说，流量越大、复杂度越高，检测难度也就越大。为了保护网络内部数据安全及时阻止来自网络内外的各种未知攻击，一般会在服务器群组入口或网络入口处部署入侵防御设备(IPS)。IPS设备每天要防御大量的网络攻击，为了方便对网络状况进行分析和改进，系统要具备高可靠性、高灵活性的攻击特征匹配机制。

现有方案对于入侵防御系统的性能消耗重心基本在于特征匹配模块，在系统的性能提升上，常见的方式在于减少特征、提升特征查找引擎性能、优化策略匹配流程代码等。但是减少特征容易带来攻击拦截率下降，优化策略匹配流程对性能的提升微乎其微。提升引擎查找算法性能就成为了是常用手段，而引擎查找算法一般可优化空间非常有限。

因此，需要一种新的入侵防御方法、装置、电子设备及计算机可读介质。

在所述背景技术部分公开的上述信息仅用于加强对本公开的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。。

发明内容

有鉴于此，本公开提供一种入侵防御方法、装置、电子设备及计算机可读介质，大数据流量且不影响攻击流拦截率的情况下，对流量数据进行入侵检测，还能够实时控制入侵检测深度、减轻流量压力，提升交换机的设备性能。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开的一方面，提出一种入侵防御方法，该方法包括：对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

在本公开的一种示例性实施例中，对接收到的流量数据进行流量过滤，提取目标流量数据，包括：根据参数配置生成流量过滤策略；以及基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。

在本公开的一种示例性实施例中，根据参数配置生成流量过滤策略，包括：对报文接入口参数进行配置以生成流量过滤策略；对源网际互连协议地址行配置以生成流量过滤策略；对目标网际互连协议地址行配置以生成流量过滤策略；以及对虚拟局域网地址进行配置以生成流量过滤策略。

在本公开的一种示例性实施例中，根据参数配置生成流量过滤策略，还包括：通过钩子函数实现所述流量过滤策略。

在本公开的一种示例性实施例中，确定所述目标流量数据的传输协议的类别，包括：基于接收端口的标识确定所述目标流量数据的传输协议的类别；所述传输协议的类别包括：超文本传输协议，文件传输协议，邮件传送协议。

在本公开的一种示例性实施例中，根据所述传输协议的类别确定入侵检测深度，包括：根据所述传输协议的类别确定所述目标流量数据在请求方向的第一入侵检测深度；以及根据所述传输协议的类别确定所述目标流量数据在应答方向的第二入侵检测深度。

在本公开的一种示例性实施例中，基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果，包括：确定所述入侵检测深度为n，n为大于1的整数；将所述目标流量数据进解析，生成多个数据包；对所述多个数据包中的前n个数据包进行入侵检测以生成所述检测结果。

在本公开的一种示例性实施例中，基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果，包括：基于所述第一入侵检测深度对所述目标流量数据在请求方向的n个数据包进行入侵检测，生成第一检测结果；基于所述第二入侵检测深度对所述目标流量数据在应答方向的n个数据包进行入侵检测，生成第二检测结果；基于所述第一检测结果和所述第二检测结果生成所述检测结果。

在本公开的一种示例性实施例中，基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施，包括：将所述检测结果和所述安全策略进行对比确定所述目标流量数据的安全等级；以及基于所述安全等级生成所述目标流量数据的入侵防御措施。

在本公开的一种示例性实施例中，基于所述安全等级生成所述目标流量数据的入侵防御措施，包括：基于所述安全等级对所述目标流量数据进行告警处理；或基于所述安全等级对所述目标流量数据进行阻断处理；或基于所述安全等级对所述目标流量数据进行转发处理。

在本公开的一种示例性实施例中，基于所述安全等级对所述目标流量数据进行阻断处理，还包括：为所述目标流量数据设置特定标识；以及基于所述特定标识阻断所述目标流量数据的后续会话。

根据本公开的一方面，提出一种入侵防御装置，该装置包括：过滤模块，用于对接收到的流量数据进行流量过滤，提取目标流量数据；类别模块，用于确定所述目标流量数据的传输协议的类别；深度模块，用于根据所述传输协议的类别确定入侵检测深度；结果模块，用于基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及防御模块，用于基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

在本公开的一种示例性实施例中，所述过滤模块，包括：策略单元，用于根据参数配置生成流量过滤策略；以及过滤单元，用于基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。

在本公开的一种示例性实施例中，所述策略单元，还用于对报文接入口参数进行配置以生成流量过滤策略；对源网际互连协议地址行配置以生成流量过滤策略；对目标网际互连协议地址行配置以生成流量过滤策略；以及对虚拟局域网地址进行配置以生成流量过滤策略。

在本公开的一种示例性实施例中，所述策略单元，还用于通过钩子函数实现所述流量过滤策略。

在本公开的一种示例性实施例中，所述类别模块，包括：端口单元，用于基于接收端口的标识确定所述目标流量数据的传输协议的类别；所述传输协议的类别包括：超文本传输协议，文件传输协议，邮件传送协议。

在本公开的一种示例性实施例中，所述深度模块，包括：第一深度单元，用于根据所述传输协议的类别确定所述目标流量数据在请求方向的第一入侵检测深度；以及第二深度单元，用于根据所述传输协议的类别确定所述目标流量数据在应答方向的第二入侵检测深度。

在本公开的一种示例性实施例中，所述检测模块，包括：深度单元，用于确定所述入侵检测深度为n，n为大于1的整数；解析单元，用于将所述目标流量数据进解析，生成多个数据包；检测单元，用于对所述多个数据包中的前n个数据包进行入侵检测以生成所述检测结果。

在本公开的一种示例性实施例中，所述检测模块，包括：第一检测单元，用于基于所述第一入侵检测深度对所述目标流量数据在请求方向的n个数据包进行入侵检测，生成第一检测结果；第二检测单元，用于基于所述第二入侵检测深度对所述目标流量数据在应答方向的n个数据包进行入侵检测，生成第二检测结果；检测结果单元，用于基于所述第一检测结果和所述第二检测结果生成所述检测结果。

在本公开的一种示例性实施例中，所述防御模块，包括：等级单元，用于将所述检测结果和所述安全策略进行对比确定所述目标流量数据的安全等级；以及处理单元，用于基于所述安全等级生成所述目标流量数据的入侵防御措施。

在本公开的一种示例性实施例中，所述处理单元，还用于基于所述安全等级对所述目标流量数据进行告警处理；或基于所述安全等级对所述目标流量数据进行阻断处理；或基于所述安全等级对所述目标流量数据进行转发处理。

在本公开的一种示例性实施例中，所述处理单元，包括：标识单元，用于为所述目标流量数据设置特定标识；以及阻断单元，用于基于所述特定标识阻断所述目标流量数据的后续会话。

根据本公开的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。

根据本公开的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。

根据本公开的入侵防御方法、装置、电子设备及计算机可读介质，对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施的方式，大数据流量且不影响攻击流拦截率的情况下，对流量数据进行入侵检测，还能够实时控制入侵检测深度、减轻流量压力，提升交换机的设备性能。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。

附图说明

通过参照附图详细描述其示例实施例，本公开的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本公开的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据一示例性实施例示出的一种入侵防御方法及装置的系统框图。

图2是根据一示例性实施例示出的一种入侵防御方法的流程图。

图3是根据另一示例性实施例示出的一种入侵防御方法的流程图。

图4是根据另一示例性实施例示出的一种入侵防御方法的示意图。

图5是根据另一示例性实施例示出的一种入侵防御方法的示意图。

图6是根据另一示例性实施例示出的一种入侵防御方法的流程图。

图7是根据另一示例性实施例示出的一种入侵防御方法的示意图。

图8是根据一示例性实施例示出的一种入侵防御装置的框图。

图9是根据一示例性实施例示出的一种电子设备的框图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本公开概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。

本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的，因此不能用于限制本公开的保护范围。

本公开的发明人发现，目前市面上的入侵防御系统基本是分为三个功能单元：流量过滤、攻击特征匹配、安全动作响应。入侵防御流程基本是数据包进入设备之后，对于IPv4或IPV6的报文要建立会话处理，会话建立之后，经过一定策略的流量过滤之后，进入攻击特征过滤模块。攻击特征匹配模块大多是依靠特定的引擎对报文内容进行查找，将各种类型的特征命中之后，进行统一的结果存储，最后将特征查询结果送入安全动作响应模块进行响应处理，根据特征的严重性决定采取阻断或告警提示的方式进行响应。对于入侵防御系统的性能消耗重心基本在于特征匹配模块，在系统的性能提升上，常见的方式在于减少特征、提升特征查找引擎性能、优化策略匹配流程代码等。但是减少特征容易带来攻击拦截率下降，优化策略匹配流程对性能的提升微乎其微。提升引擎查找算法性能就成为了是常用手段，而引擎查找算法一般可优化空间非常有限。

有鉴于现有技术中的缺陷，本公开提出了的一种入侵防御方法和装置，旨在提高设备性能，即在大量背景流情况下，不影响攻击流拦截率的情况下，提升设备性能。下面结合具体的实施例对本公开的内容进行详细描述。

图1是根据一示例性实施例示出的一种入侵防御方法、装置、电子设备及计算机可读介质的系统框图。

如图1所示，系统架构10可以包括终端设备101、102、103，网络104和交换机105、内网服务器106。网络104用以在终端设备101、102、103和交换机105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与交换机105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

交换机105可以是提供各种数据交换服务的服务器，交换机105把终端设备101、102、103上要传输的信息送到符合要求的内网服务器106上。交换机105可内置有入侵防御系统(IPS)，IPS属于网络交换机的一个子项目，为有过滤攻击功能的特种交换机。一般布于防火墙和外来网络的设备之间，依靠对数据包的检测进行防御。IPS可检查入网的数据包，确定数据包的真正用途，然后决定是否允许其进入内网。交换机105还可内置有入侵检测系统(IDS)，IDS是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。

交换机105可例如对接收到的流量数据进行流量过滤，提取目标流量数据；交换机105可例如确定所述目标流量数据的传输协议的类别；交换机105可例如根据所述传输协议的类别确定入侵检测深度；交换机105可例如基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；交换机105可例如基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

需要说明的是，本公开实施例所提供的入侵防御方法可以由交换机105执行，相应地，入侵防御装置可以设置于交换机105中。而提供给用户进行访问请求，从而生成流量数据的用户端一般位于终端设备101、102、103中。

图2是根据一示例性实施例示出的一种入侵防御方法的流程图。入侵防御方法20至少包括步骤S202至S208。

如图2所示，在S202中，对接收到的流量数据进行流量过滤，提取目标流量数据。可包括：根据参数配置生成流量过滤策略；以及基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。

在一个实施例中，流量过滤策略可由管理员用户在页面上进行配置完成，流量过滤策略的内容可包括过滤报文的入接口、源IP地址、目的IP(Internet Protocol，网际互连协议)地址、Vlan(Virtual Local Area Network，虚拟局域网)等属性，流量过滤策略还可以根据不同的安全策略类型为每一个流量策略建立单独的节点(Node)来执行策略，更进一步的，还可为每一个流量策略创建Hook函数来进行流量过滤。“对接收到的流量数据进行流量过滤，提取目标流量数据”的详细内容将在图3对应的实施例中进行具体描述。

在S204中，确定所述目标流量数据的传输协议的类别。包括：基于接收端口的标识确定所述目标流量数据的传输协议的类别；其中，所述传输协议的类别包括：超文本传输协议，文件传输协议，邮件传送协议。

更进一步的，HTTP(超文本传输协议)一般情况下使用80端口，基于所有的WWW文件都必须遵守这个协议，HTTP是一个客户端和服务器端请求和应答的标准(TCP)，客户端是终端用户，服务器端是网站，通过使用Web浏览器、网络爬虫或者其它的工具，客户端发起一个到服务器上指定端口(默认端口为80)的HTTP请求。

更进一步的，FTP(文件传输协议)可使用20/21端口，FTP主要是用来传输文件，能操作任何类型的文件而不需要进一步处理。

更进一步的，SMTP(邮件传送协议)可使用25端口，SMTP定义了简单邮件传送协议，现在很多邮件服务器都用的是这个协议，用于发送邮件。如常见的免费邮件服务中用的就是这个邮件服务端口。

在S206中，根据所述传输协议的类别确定入侵检测深度。包括：根据所述传输协议的类别确定所述目标流量数据在请求方向的第一入侵检测深度；以及根据所述传输协议的类别确定所述目标流量数据在应答方向的第二入侵检测深度。

可通过管理员在页面上进行配置以确定入侵检测深度。值得一提的是，入侵检测的深度是基于会话方向的，深度的具体值则依赖于不同的网络协议、不同的安全业务需要。依据不同网络协议设定深度，该值一般为统计攻击命中深度得来的经验值。

值得一提的是，在交换机内部，每个业务模块可以有自己的深度，例如应用访问控制模块对于不同协议报文的深度设置值为集合A，流量分析模块对于不同协议报文的深度设置值为集合B。在流量数据进入不同的模块的时候，根据当前模块的深度设置进行入侵检测。

在S208中，基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果。包括：确定所述入侵检测深度为n，n为大于1的整数；将所述目标流量数据进解析，生成多个数据包；对所述多个数据包中的前n个数据包进行入侵检测以生成所述检测结果。

入侵检测深度可解释为，流量数据进入设备进行深度检测的报文个数。可例如HTTP协议的请求方向的入侵检测深度设置为10，应答方向的入侵检测深度设置为8，则表示在对HTTP协议会话进行入侵检测时，每条流量数据在请求方向只有前10个包进行深度检测，在应答方向只有前8个包进行深度检测。

“基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果”的详细内容将在图6对应的实施例中进行具体描述。

在S210中，基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。包括：将所述检测结果和所述安全策略进行对比确定所述目标流量数据的安全等级；以及基于所述安全等级生成所述目标流量数据的入侵防御措施。

在一个实施例中，基于所述安全等级生成所述目标流量数据的入侵防御措施，包括：基于所述安全等级对所述目标流量数据进行告警处理；或基于所述安全等级对所述目标流量数据进行阻断处理；或基于所述安全等级对所述目标流量数据进行转发处理。

可通过管理员用户在页面进行配置配置以生成安全策略，安全策略可判断指定协议、指定应用甚至指定特征等，满足安全策略则进行安全处理，基于该特征所属的动作去做出指定响应，阻断或者告警提示等。该模块建立的维度可以根据不同策略的需要来，根据协议、应用、特征等均可本公开不以此为限。

在一个实施例中，基于所述安全等级对所述目标流量数据进行阻断处理，还包括：为所述目标流量数据设置特定标识；以及基于所述特定标识阻断所述目标流量数据的后续会话。值得一提的是，在响应动作为阻断时，还可发送入侵防御阻断日志，且直接阻断当前会话，下发快转标记，后续该会话会直接直接进行阻断。

根据本公开的入侵防御方法，对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施的方式，大数据流量且不影响攻击流拦截率的情况下，对流量数据进行入侵检测，还能够实时控制入侵检测深度、减轻流量压力，提升交换机的设备性能。

根据本公开的入侵防御方法，入侵检测系统各个功能模块可以通过控制各个协议下各条会话请求、应答报文个数来控制设备性能。

根据本公开的入侵防御方法，能够在不影响或极小影响拦截率的情况下，提高了深度内容检测系统的执行效率，提升了设备性能。

应清楚地理解，本公开描述了如何形成和使用特定示例，但本公开的原理不限于这些示例的任何细节。相反，基于本公开公开的内容的教导，这些原理能够应用于许多其它实施例。

图3是根据另一示例性实施例示出的一种入侵防御方法的流程图。图3所示的流程是对图2所示的流程中S202“对接收到的流量数据进行流量过滤，提取目标流量数据”的详细描述。

如图3所示，在S302中，对报文接入口参数进行配置。在S304中，对源网际互连协议地址行配置。在S306中，对目标网际互连协议地址行配置。在S308中，对虚拟局域网地址进行配置。在S310中，生成流量过滤策略。图4是流量过滤策略的示意图。结合图4的实施例，对S302至S308中的内容进行解释。更具体的，可例如根据不同的报文接入口地址、源IP地址、目的IP地址生成不同的流量策略。可例如：

流量过滤策略1：对于报文入接口interface A1，源IP地址在B1网段，目的IP地址在C1网段的流量进行入侵检测。

流量过滤策略2：对于报文入接口interface A2，源IP地址在B2网段，目的IP地址在C2网段的流量进行入侵检测。

在S312中，通过钩子函数实现所述流量过滤策略。图5是另一个流量过滤策略的示意图。钩子函数(Hook)是Windows消息处理机制的一部分，通过设置“钩子”，应用程序可以在系统级对所有消息、事件进行过滤，访问在正常情况下无法访问的消息。钩子的本质是一段用以处理系统消息的程序，通过系统调用，把它挂入系统。将流量过滤策略通过Hook连接实现，基于Hook可对所有流量数据进行拦截，然后执行钩子函数可对流量数据中的内容进行检测。

在S314中，基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。

根据本公开的入侵防御方法实现的入侵防御、入侵检测之类的报文深度内容检测系统，通过控制进入检测系统的报文个数来调整设备性能。深度基于大量特征采样统计之后将最优值作为默认值，可配。在实际应用过程中，在不影响拦截率的情况下可以显著提升系统性能。如因场景特殊出现检测深度覆盖范围不到时候，只需要在页面或命令行下修改深度即可。

图6是根据另一示例性实施例示出的一种入侵防御方法的流程图。图6所示的流程是对图2所示的流程中“S208”的详细描述。如图6所示，在S602中，确定第一入侵检测深度a,和第二入侵检测深度b，a,b为大于1的整数。在S604中，对所述目标流量数据在请求方向的a个数据包进行入侵检测，生成第一检测结果。在S606中，对所述目标流量数据在应答方向的b个数据包进行入侵检测，生成第二检测结果。在S608中，基于所述第一检测结果和所述第二检测结果生成所述检测结果。

可基于不同协议建立对应的Node、对应协议的Hook函数。各协议拥有自己的入侵检测深度，例如SMTP协议的深度设置为请求方向16，应答方向5。那么SMTP的某一条流，请求方向只有前16个包进行攻击特征匹配，应答方向只有前5个包进行攻击特征匹配。

指的一提的是，入侵检测的深度控制可基于不同业务需求，每个业务模块可以拥有自己的深度，例如应用访问控制模块对于不同协议报文的深度设置值为集合A，流量分析模块对于不同协议报文的深度设置值为集合B。

对于HTTP协议来说，进行入侵检测的交换机中，可例如应用访问控制模块设定的深度为请求方向5，应答方向6；进行入侵检测的交换机中，还可例如流量分析模块设定的深度为请求方向8，应答方向4。流量数据中的报文进行入侵检测的时候，请求方向只有前5个包进入应用访问控制模块，应答方向只有前4个包进入流量分析模块；至于请求方向第6-8个包在应用访问控制模块的响应动作，继承前5个的结果即可。

根据本公开的入侵防御方法实现的入侵防御系统、入侵检测系统可由不同模块设置不同的入侵检测深度配合快转，控制流量压力。并且由于入侵检测的深度可配，想调整放入设备或各模块的流量时只需要在命令行或页面修改配置即可，实现方便。

图7是根据另一示例性实施例示出的一种入侵防御方法的示意图。图7示例性的说明了流量数据在交换机中进行入侵检测的全过程。借助于图7对本公开的具体应用实例进行详细说明。

入侵防御应用示例中可例如包含两条流量过滤策略：

流量过滤策略1：对于报文入接口interface A1，源IP地址在B1网段，目的IP地址在C1网段的流量进行攻击检测。

流量过滤策略2：对于报文入接口interface A2，源IP地址在B2网段，目的IP地址在C2网段的流量进行攻击检测。

入侵防御应用示例中可对3种协议的深度做如下配置：

HTTP协议：请求方向深度为HQ1，应答方向深度为HP1。

FTP协议：请求方向深度为FQ1，应答方向深度为FP1。

SMTP协议：请求方向深度为SQ1，应答方向深度为SP1。

入侵防御应用示例中还包含2条安全策略：

入侵防御策略1：基于FTP协议的特征，严重级别为严重的，均做告警提示。

入侵防御策略2：基于任意协议的特征，严重级别为致命的均做阻断处理，深度值与攻击匹配模块一致。

防病毒策略：对于HTTP协议的病毒，不区分流行度均做阻断处理，请求方向深度为HQ2,应答方向深度为HP2。

其中，HQ2>HQ1，HP2<HP1，入侵防御模块流程在防病毒流程之前。

根据以上的配置，在实际应用场景中流量数据进行判断的结果可如下所示：

应用场景一，当前数据包为FTP协议，应答方向存在攻击特征：

请求方向：前FQ1个包进行攻击特征匹配。

应答方向：前FP1个包进行攻击特征匹配。

检测出攻击特征之后，依次匹配入侵防御策略，如果该特征为致命级别，则最终命中了策略2，响应动作为阻断，则发送入侵防御阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。

如果该特征为严重级别，则命中策略1，响应动作为告警，发送入侵防御告警日志。如果该特征为其他级别，则不能命中已配置的入侵防御策略，则不做任何处理，正常转发即可。

应用场景二，当前数据包为SMTP协议，请求方向存在攻击特征：

请求方向：前SQ1个包进行攻击特征匹配。

应答方向：前SP1个包进行攻击特征匹配。

检测出攻击特征之后，依次匹配入侵防御策略，如果该特征为致命级别，则最终命中了策略2，响应动作为阻断，则发送入侵防御阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。

如果该特征为其他级别，则不能命中已配置的入侵防御策略，则不做任何处理，正常转发即可。

应用场景三，当前数据包为HTTP协议，不存在攻击特征，只存在病毒特征：

请求方向：前HQ2个包进行病毒特征匹配。

应答方向：前HP2个包进行病毒特征匹配。

检测出病毒特征之后，匹配了病毒策略，响应动作为阻断，则发送病毒阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。

应用场景四，当前数据包为HTTP协议，存在攻击特征，且存在病毒特征：

请求方向：前HQ1个包进行攻击特征匹配。

应答方向：前HP2个包进行攻击特征匹配。

如果在该阶段检测出致命级别的攻击，则发送入侵防御阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。

如是其他级别攻击，则进行病毒特征匹配，如果检测出病毒特征，则发送病毒阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。如还没有检测出病毒特征，则什么都不做，直接转发。

当请求方向报文在HQ1至HQ2之间，只做病毒特征匹配，如果命中则发送病毒阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。不命中则直接转发。

当应答方向报文在HP2至HP1直接，只做攻击特征匹配。如果能命中致命级别特征，则发送防御阻断日志，且直接阻断当前会话，下发快转标记，后续该会话直接在驱动快转模块直接进行阻断。如果命中其他级别攻击特征，或者不能命中攻击特征，直接转发即可。

指的一提的是，根据本公开的入侵防御方法进行的入侵防御等深度内容检测系统通过控制各个协议下各条会话请求、应答报文个数来控制设备性能。入侵检测深度可以基于协议细分，也可基于特征类型、业务类型进行区分。深度基于大量特征采样统计之后将最优值作为默认值，深度数值可配。

本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本公开提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。

此外，需要注意的是，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

下述为本公开装置实施例，可以用于执行本公开方法实施例。对于本公开装置实施例中未披露的细节，请参照本公开方法实施例。

图8是根据一示例性实施例示出的一种入侵防御装置的框图。如图8所示，入侵防御装置80包括：过滤模块802，类别模块804，深度模块806，检测模块808，防御模块810。

过滤模块802用于对接收到的流量数据进行流量过滤，提取目标流量数据；所述过滤模块802包括：策略单元，用于根据参数配置生成流量过滤策略；以及过滤单元，用于基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。所述策略单元，还用于对报文接入口参数进行配置以生成流量过滤策略；对源网际互连协议地址行配置以生成流量过滤策略；对目标网际互连协议地址行配置以生成流量过滤策略；以及对虚拟局域网地址进行配置以生成流量过滤策略。所述策略单元，还用于通过钩子函数实现所述流量过滤策略。

类别模块804用于确定所述目标流量数据的传输协议的类别；所述类别模块804包括：端口单元，用于基于接收端口的标识确定所述目标流量数据的传输协议的类别；所述传输协议的类别包括：超文本传输协议，文件传输协议，邮件传送协议。

深度模块806用于根据所述传输协议的类别确定入侵检测深度；所述深度模块806包括：第一深度单元，用于根据所述传输协议的类别确定所述目标流量数据在请求方向的第一入侵检测深度；以及第二深度单元，用于根据所述传输协议的类别确定所述目标流量数据在应答方向的第二入侵检测深度。

检测模块808用于基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；所述检测模块808包括：深度单元，用于确定所述入侵检测深度为n，n为大于1的整数；解析单元，用于将所述目标流量数据进解析，生成多个数据包；检测单元，用于对所述多个数据包中的前n个数据包进行入侵检测以生成所述检测结果。所述检测模块808包括：第一检测单元，用于基于所述第一入侵检测深度对所述目标流量数据在请求方向的n个数据包进行入侵检测，生成第一检测结果；第二检测单元，用于基于所述第二入侵检测深度对所述目标流量数据在应答方向的n个数据包进行入侵检测，生成第二检测结果；检测结果单元，用于基于所述第一检测结果和所述第二检测结果生成所述检测结果。

防御模块810用于基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。所述防御模块，包括：等级单元，用于将所述检测结果和所述安全策略进行对比确定所述目标流量数据的安全等级；以及处理单元，用于基于所述安全等级生成所述目标流量数据的入侵防御措施。所述处理单元810还用于基于所述安全等级对所述目标流量数据进行告警处理；或基于所述安全等级对所述目标流量数据进行阻断处理；或基于所述安全等级对所述目标流量数据进行转发处理。所述处理单元，包括：标识单元，用于为所述目标流量数据设置特定标识；以及阻断单元，用于基于所述特定标识阻断所述目标流量数据的后续会话。

根据本公开的入侵防御装置，对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施的方式，大数据流量且不影响攻击流拦截率的情况下，对流量数据进行入侵检测，还能够实时控制入侵检测深度、减轻流量压力，提升交换机的设备性能。

图9是根据一示例性实施例示出的一种电子设备的框图。

下面参照图9来描述根据本公开的这种实施方式的电子设备900。图9显示的电子设备900仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图9所示，电子设备900以通用计算设备的形式表现。电子设备900的组件可以包括但不限于：至少一个处理单元910、至少一个存储单元920、连接不同系统组件(包括存储单元920和处理单元910)的总线930、显示单元940等。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元910执行，使得所述处理单元910执行本说明书上述电子处方流转处理方法部分中描述的根据本公开各种示例性实施方式的步骤。例如，所述处理单元910可以执行如图2，图3，图6中所示的步骤。

所述存储单元920可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)9201和/或高速缓存存储单元9202，还可以进一步包括只读存储单元(ROM)9203。

所述存储单元920还可以包括具有一组(至少一个)程序模块9205的程序/实用工具9204，这样的程序模块9205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线930可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备900也可以与一个或多个外部设备900’(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备900交互的设备通信，和/或与使得该电子设备900能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口950进行。并且，电子设备900还可以通过网络适配器960与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器960可以通过总线930与电子设备900的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备900使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。该软件产品可以存储在一个计算机可读存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本公开实施方式的上述方法。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：对接收到的流量数据进行流量过滤，提取目标流量数据；确定所述目标流量数据的传输协议的类别；根据所述传输协议的类别确定入侵检测深度；基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

以上具体地示出和描述了本公开的示例性实施例。应可理解的是，本公开不限于这里描述的详细结构、设置方式或实现方法；相反，本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (14)

1.一种入侵防御方法，其特征在于，包括：

对接收到的流量数据进行流量过滤，提取目标流量数据；

确定所述目标流量数据的传输协议的类别；

根据所述传输协议的类别确定入侵检测深度；

基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及

基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

2.如权利要求1所述的方法，其特征在于，对接收到的流量数据进行流量过滤，提取目标流量数据，包括：

根据参数配置生成流量过滤策略；以及

基于所述流量过滤策略对流量数据进行流量过滤以提取所述目标流量数据。

3.如权利要求2所述的方法，其特征在于，根据参数配置生成流量过滤策略，包括以下至少一者：

对报文接入口参数进行配置以生成流量过滤策略；

对源网际互连协议地址行配置以生成流量过滤策略；

对目标网际互连协议地址行配置以生成流量过滤策略；以及

对虚拟局域网地址进行配置以生成流量过滤策略。

4.如权利要求2所述的方法，其特征在于，根据参数配置生成流量过滤策略，还包括：

通过钩子函数实现所述流量过滤策略。

5.如权利要求1所述的方法，其特征在于，确定所述目标流量数据的传输协议的类别，包括：

基于接收端口的标识确定所述目标流量数据的传输协议的类别；

其中，所述传输协议的类别包括：超文本传输协议，文件传输协议，邮件传送协议。

6.如权利要求1所述的方法，其特征在于，根据所述传输协议的类别确定入侵检测深度，包括：

根据所述传输协议的类别确定所述目标流量数据在请求方向的第一入侵检测深度；以及

根据所述传输协议的类别确定所述目标流量数据在应答方向的第二入侵检测深度。

7.如权利要求1所述的方法，其特征在于，基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果，包括：

确定所述入侵检测深度为n，n为大于1的整数；

将所述目标流量数据进解析，生成多个数据包；

对所述多个数据包中的前n个数据包进行入侵检测以生成所述检测结果。

8.如权利要求6或7所述的方法，其特征在于，基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果，包括：

基于所述第一入侵检测深度对所述目标流量数据在请求方向的n个数据包进行入侵检测，生成第一检测结果；

基于所述第二入侵检测深度对所述目标流量数据在应答方向的n个数据包进行入侵检测，生成第二检测结果；

基于所述第一检测结果和所述第二检测结果生成所述检测结果。

9.如权利要求1所述的方法，其特征在于，基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施，包括：

将所述检测结果和所述安全策略进行对比确定所述目标流量数据的安全等级；以及

基于所述安全等级生成所述目标流量数据的入侵防御措施。

10.如权利要求9所述的方法，其特征在于，基于所述安全等级生成所述目标流量数据的入侵防御措施，包括：

基于所述安全等级对所述目标流量数据进行告警处理；或

基于所述安全等级对所述目标流量数据进行阻断处理；或

基于所述安全等级对所述目标流量数据进行转发处理。

11.如权利要求10所述的方法，其特征在于，基于所述安全等级对所述目标流量数据进行阻断处理，还包括：

为所述目标流量数据设置特定标识；以及

基于所述特定标识阻断所述目标流量数据的后续会话。

12.一种入侵防御装置，其特征在于，包括：

过滤模块，用于对接收到的流量数据进行流量过滤，提取目标流量数据；

类别模块，用于确定所述目标流量数据的传输协议的类别；

深度模块，用于根据所述传输协议的类别确定入侵检测深度；

检测模块，用于基于所述入侵检测深度对所述目标流量数据进行入侵检测，生成检测结果；以及

防御模块，用于基于所述检测结果和安全策略生成所述目标流量数据的入侵防御措施。

13.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-11中任一所述的方法。

14.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-11中任一所述的方法。

Images