CN111654474B

CN111654474B - 一种安全检测的方法和装置

Info

Publication number: CN111654474B
Application number: CN202010427053.7A
Authority: CN
Inventors: 左虹; 叶倩; 吴庆
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2020-05-19
Filing date: 2020-05-19
Publication date: 2022-11-01
Anticipated expiration: 2040-05-19
Also published as: CN111654474A

Abstract

本申请提供一种安全检测的方法和装置。一种安全检测的方法，应用于网络设备，所述网络设备配置有多个虚拟CPU，包括：接收到GRE封装后的报文；对所述报文进行GRE解封，并提取出所述报文的内层五元组信息；对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CUP；将GRE解封后的报文上送给确定的虚拟CPU进行安全检测。本申请所述安全检测的方法，可以提高安全检测的效率。

Description

一种安全检测的方法和装置

技术领域

本申请涉及通信技术领域，特别涉及一种安全检测的方法和装置。

背景技术

GRE(Generic Routing Encapsulation，通用路由封装)定义了在任意一种网络层协议上封装任意一个其它网络层协议的协议。GRE采用了隧道技术，隧道是一个虚拟的点对点连接，可以提供一条通路使数据报文能够在这个通路上传输，并且在隧道的两端分别对数据报文进行封装和解封。

为了网络安全，需要对流经隧道的GRE报文进行安全检测，以判断是否存在攻击，如何提高安全检测的效率是亟待解决的技术问题。

发明内容

有鉴于此，本申请提供一种安全检测的方法和装置。

具体地，本申请是通过如下技术方案实现的：

一种安全检测的方法，应用于网络设备，所述网络设备配置有多个虚拟CPU，所述方法包括：

接收到GRE封装后的报文；

对所述报文进行GRE解封，并提取出所述报文的内层五元组信息；

对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CUP；

将GRE解封后的报文上送给确定的虚拟CPU进行安全检测。

一种安全检测的装置，应用于网络设备，所述网络设备配置有多个虚拟CPU，所述方法包括：

接收单元，用于接收到GRE封装后的报文；

提取单元，用于对所述报文进行GRE解封，并提取出所述报文的内层五元组信息；

确定单元，用于对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CUP；

上送单元，用于将GRE解封后的报文上送给确定的虚拟CPU进行安全检测。

本申请所述安全检测的方法，可以为网络设备配置多个虚拟CPU，网络设备接收到GRE封装后的报文后，可以对所述报文进行GRE解封并提取出内层五元组信息，将所述内层五元组信息进行哈希运算，然后基于运算结果确定对应的虚拟CPU，将GRE解封后的报文上送给对应的虚拟CPU进行安全检测。

本申请所述方案，可以将各报文离散地上送给各个虚拟CPU进行安全检测，能够将各个虚拟CPU都利用起来，从整体上大大提高了安全检测的效率。

附图说明

图1是本申请一示例性实施例示出的一种安全检测的方法的流程示意图；

图2为本申请一示例性实施例示出的一种GRE封装报文的格式示意图；

图3为本申请一示例性实施例示出的一种安全检测装置的一结构示意图；

图4为本申请一示例性实施例示出的一种安全检测装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

图1是本申请一示例性实施例示出的一种安全检测的方法流程示意图。

所述安全检测方法可以应用于网络设备，例如防火墙、交换机等等。

本实施例中，所述网络设备可以配置有多个虚拟CPU，这些多个虚拟CPU可以来自同一个物理CPU，也可以来自多个物理CPU，本申请对此不作特殊限制。

在一个例子中，网络设备为多核网络设备，那么每个CPU核中可以配置有一个虚拟CPU。较优的，由于控制核不用于处理业务，那么可不在控制核中配置虚拟CPU，而是在用于处理业务的数据核中配置虚拟CPU。

本实施例中，为网络设备配置多个虚拟CPU后，还可以为每个虚拟CPU添加标识，比如标识可以为虚拟CPU的名称、编号等等。

请参考图1，所述安全检测的方法可以包括以下步骤：

步骤102，接收到GRE封装后的报文。

步骤104，对所述报文进行GRE解封，并提取出所述报文的内层五元组信息。

本实施例中，报文进入GRE隧道后会被封装。可参见图2，图2为本申请一示例性实施例示出的一种GRE封装报文的格式示意图。具体封装过程可以为：

在报文进入GRE隧道之前，报文中包括五元组信息和报文载荷(即图2中的“数据”)。报文进入GRE隧道后，会对报文进行GRE封装，首先会在报文的外层新增一个GRE头，那么报文原本携带的五元组信息则被封装在内层，本申请中将所述五元组信息称为内层五元组信息。然后在报文的外层再新增一个新的五元组信息，称之为外层五元组信息，这样封装处理后的报文就可完全由IP层负责转发。

其中，内存五元组信息包括报文的源IP、目的IP、源端口、目的端口和协议。

本实施例中，网络设备可以获取GRE封装后的报文，然后对所述封装后的报文进行GRE解封，以提取出报文的内层五元组信息。

在一个例子中，网络设备可以对进入GRE隧道的报文进行监测，每监测到一个GRE封装后的报文，就获取所述报文。

本实施例中，可以提取出报文的内层五元组，然后在步骤106中对内层五元组进行哈希运算，这是由于：报文的内层五元组一般为私网内的五元组，各个报文的内层五元组很可能都不相同，那么不同报文的内层五元组经哈希运算后也会得到不同的哈希值，就能基于这些不同的哈希值将报文尽可能离散地、平均地上送给各个虚拟CPU，使得各个虚拟CPU都能被利用起来。

当然，在其它实施例中，也可以仅对内层五元组中的部分数据进行哈希运算，比如仅对源IP、目的IP进行哈希运算，或者仅对源IP、目的IP、源端口进行哈希运算，然后基于运算结果确定报文对应的虚拟CPU。本申请对此不作特殊限制。

步骤106，对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CUP。

本实施例中，网络设备获取报文的内层五元组信息后，可以对所述内存五元组信息进行哈希运算，以得到所述内层五元组信息对应的哈希值。

其中，哈希运算的具体方法可参照现有技术，本申请对此不作特殊限制。

在一个例子中，网络设备可以维护一张哈希值和虚拟CPU的映射表，那么可基于内层五元组哈希运算后得到的哈希值和所述映射表，确定所述哈希值对应的虚拟CPU。

在另一个例子中，网络设备也可以维护一张转换值和虚拟CPU的映射表。那么通过上述方法获取哈希值后，还可以将哈希值按照预设的计算规则进行计算，然后基于计算结果查找转换值和虚拟CPU的映射表，以找到对应的虚拟CPU。

比如，假设网络设备共配置有7个虚拟CPU，预设的计算规则为“对哈希值除以7后取余数”，哈希值和虚拟CPU的映射表可以为下表所示，下表示例性地示出了一种映射表：

哈希值	虚拟CPU标识
		除以7后余数为0	CPU 1
除以7后余数为1	CPU 2
		除以7后余数为2	CPU 3
除以7后余数为3	CPU 4
		除以7后余数为4	CPU 5
除以7后余数为5	CPU 6
		除以7后余数为6	CPU 7

若对报文A的内层五元组进行哈希运算，得到的哈希值为49，那么可对该哈希值除以7后取余数，49除以7后取余为0，然后查找上表得到对应的虚拟CPU的标识为CPU 1；

若对报文B的内层五元组进行哈希运算，得到的哈希值为50，那么可对该哈希值除以7后取余数，50除以7后取余为1，然后查找上表得到对应的虚拟CPU标识为CPU 2。

采用上述方法，就可以对每个报文的内层五元组进行哈希运算，然后基于哈希运算的结果确定对应的虚拟CPU。

当然，上述例子仅仅是示例性的说明，在实际应用中还可以采取其它方法确定内层五元组对应的虚拟CPU，比如预设的计算规则还可以为其它形式的规则，本申请对此不作特殊限制。

本实施例中，确定报文对应的虚拟CPU后，还可以对“报文的内层五元组—虚拟CPU”的对应关系进行记录，那么后续若再接收到内层五元组相同的报文，可不对该内层五元组进行再次的哈希计算，而是基于上述对应关系，直接确定该报文对应的虚拟CPU。

本实施例中，在一些情况下，也可能出现将报文内层五元组转换为哈希值，并将哈希值按照预设的计算规则进行计算后，计算得到的结果不匹配所述映射表中的任一表项，即无法确定该报文对应的虚拟CPU。那么在这种情况下，还可以将任意一个空闲的虚拟CPU作为所述报文对应的虚拟CPU。

举例来说，可以对网络设备配置的各个虚拟CPU进行轮询，若轮询到空闲的虚拟CPU，则将所述空闲的虚拟CPU作为所述报文对应的虚拟CPU。

其中，可以从多个角度来判断虚拟CPU是否空闲。

比如，可以判断虚拟CPU是否正在处理报文，若否，则确定所述虚拟CPU为空闲CPU；反之，则不为空闲CPU。

再比如，还可以获取虚拟CPU当前的使用率，若使用率未超过阈值，则确定所述虚拟CPU为空闲CPU；反之，则不为空闲CPU。

当然，也可以从其它角度来判断虚拟CPU是否空闲，或者也可以结合多个角度来判断，本申请对此不作特殊限制。

值得说明的是，本实施例中可以由网络设备来判断各个虚拟CPU是否空闲，较优地，也可以由独立于网络设备的一监测装置来判断各个虚拟CPU是否空闲，那么网络设备需要获取各个虚拟CPU是否空闲的状态信息时，可以向该监测装置发起请求，监测装置接收到请求后可以将各个虚拟CPU是否空闲的状态返回给所述网络设备。

步骤108，将所述报文上送给确定的虚拟CPU进行安全检测。

本实施例中，确定所述报文对应的虚拟CPU后，可以将所述报文转发给对应的虚拟CPU，由虚拟CPU对该报文进行安全检测。

其中，安全检测的目的是判断所述报文是否为攻击报文。举例来说，可以通过以下方式来判断所述报文是否为攻击报文：

比如，可以判断所述报文的源IP、目的IP等是否存在于预设的黑名单中，若存在，则确定所述报文为攻击报文。其中，黑名单中可以预先记载有若干个可能存在攻击的IP地址。

再比如，还可以提取出报文内层的详细信息，判断所述详细信息中是否存在可疑字段，若存在，则确定所述报文为攻击报文。

再比如，还可以为报文的五元组进行计数，若在预设的时间段内接收到同一五元组的报文的数量达到数量阈值，则确定该五元组对应的报文为攻击报文。

当然，还可以通过其它方式进行安全检测，或者也可以结合上述多个方法进行安全检测，本说明书对此不作特殊限制。

本实施例中，对报文进行安全检测后，可以按照预设的安全策略对所述检测后的报文进行处理。

在一个例子中，预设的安全策略可以为：拦截攻击报文，转发非攻击攻击。

那么基于该安全策略，若对报文进行安全检测后确定该报文为攻击报文，那么可以拦截所述攻击报文，并且还可以记录攻击报文的相关信息，比如可以记录攻击报文的攻击字段信息、接收到该攻击报文的数量信息等等。

当然，也可以对攻击报文按照攻击等级高、低进行划分，然后仅拦截攻击等级高的报文，而不拦截攻击等级低的报文。

若对报文进行安全检测后确定该报文为非攻击报文，则由于网络设备在步骤102中对所述报文进行了GRE解封，那么为了该报文能够在GRE隧道中正常流通，可以对该报文进行GRE封装，将封装后的报文转发出去。

在另一个例子中，预设的安全策略可以为：转发所有报文，对攻击报文进行告警。

那么基于该安全策略，若对报文进行安全检测后，无论该报文为攻击报文还是非攻击报文，均对该报文进行GRE封装然后转发出去。并且若检测到攻击报文，则记录攻击报文相关信息，然后基于所述相关信息进行告警，以使操作人员来决定该采取何种应对措施。

当然，在实际情况下也可以采取其它安全策略，可根据实际情况选择所需的安全策略，本申请对此不作特殊限制。

本实施例实现了，网络设备接收到GRE封装后的报文后，可以对所述报文进行GRE解封并提取出内层五元组信息，将所述内层五元组信息进行哈希运算，然后基于运算结果确定对应的虚拟CPU，将GRE解封后的报文上送给对应的虚拟CPU进行安全检测。

采用本实施例的方案，可以为网络设备配置多个虚拟CPU，并且通过对报文的内层五元组信息进行哈希运算，将各报文离散地上送给各个虚拟CPU进行安全检测，能够将各个虚拟CPU都利用起来，从整体上大大提高了安全检测的效率。

与前述安全检测的方法的实施例相对应，本申请还提供了安全检测的装置的实施例。

本申请安全检测的装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在网络设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图3所示，为本申请安全检测的装置所在网络设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网络设备通常根据该网络设备的实际功能，还可以包括其他硬件，对此不再赘述。

请参考图4，图4是本申请一示例性实施例示出的一种安全检测装置的框图。所述安全检测的装置300可以应用在前述图3所示的网络设备中，包括有：接收单元310、提取单元320、确定单元330、上送单元340。

其中，接收单元310，用于接收到GRE封装后的报文；

提取单元320，用于对所述报文进行GRE解封，并提取出所述报文的内层五元组信息；

确定单元330，用于对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CUP；

上送单元340，用于将GRE解封后的报文上送给确定的虚拟CPU进行安全检测。

可选的，所述基于运算结果确定所述内层五元组对应的虚拟CPU，包括：

对所述内层五元组信息进行哈希运算得到哈希值；

将所述哈希值按照预设的计算规则进行计算，得到转换值；

判断预设的映射表中是否存在所述转换值对应的虚拟CPU；

若存在，则将所述报文上送给所述对应的虚拟CPU进行安全检测。

可选的，所述装置还包括：

若不存在，则将所述报文上送给所述多个虚拟CPU中的任意一个空闲的虚拟CPU。

可选的，虚拟CPU对所述报文进行安全检测后，所述装置还包括：

判断所述报文是否为攻击报文；

若否，则所述虚拟CPU对所述报文进行GRE封装，并转发封装后的报文；

若是，则拦截所述报文。

可选的，所述网络设备为多核CPU设备，其中，每个CPU核中配置有一个虚拟CPU。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种安全检测的方法，其特征在于，应用于网络设备，所述网络设备配置有多个虚拟CPU，所述方法包括：

接收到GRE封装后的报文；

对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CPU；

将GRE解封后的报文上送给确定的虚拟CPU进行安全检测；

所述基于运算结果确定所述内层五元组对应的虚拟CPU，将GRE解封后的报文上送给确定的虚拟CPU进行安全检测，包括：

对所述内层五元组信息进行哈希运算得到哈希值；

将所述哈希值按照预设的计算规则进行计算，得到转换值；

判断预设的映射表中是否存在所述转换值对应的虚拟CPU；

若存在，则将GRE解封后的报文上送给所述对应的虚拟CPU进行安全检测；

若不存在，则将GRE解封后的报文上送给所述多个虚拟CPU中的任意一个空闲的虚拟CPU。

2.根据权利要求1所述方法，其特征在于，虚拟CPU对所述GRE解封后的报文进行安全检测后，所述方法还包括：

判断所述GRE解封后的报文是否为攻击报文；

若否，则所述虚拟CPU对所述GRE解封后的报文进行GRE封装，并转发封装后的报文；

若是，则拦截所述GRE解封后的报文。

3.根据权利要求1所述方法，其特征在于，所述网络设备为多核CPU设备，其中，每个CPU核中配置有一个虚拟CPU。

4.一种安全检测的装置，其特征在于，应用于网络设备，所述网络设备配置有多个虚拟CPU，所述装置包括：

接收单元，用于接收到GRE封装后的报文；

确定单元，用于对所述内层五元组信息进行哈希运算，基于运算结果确定所述内层五元组信息对应的虚拟CPU；

上送单元，用于将GRE解封后的报文上送给确定的虚拟CPU进行安全检测；

对所述内层五元组信息进行哈希运算得到哈希值；

将所述哈希值按照预设的计算规则进行计算，得到转换值；

判断预设的映射表中是否存在所述转换值对应的虚拟CPU；

5.根据权利要求4所述装置，其特征在于，虚拟CPU对所述GRE解封后的报文进行安全检测后，所述装置还包括：

判断所述GRE解封后的报文是否为攻击报文；

若是，则拦截所述GRE解封后的报文。

6.根据权利要求4所述装置，其特征在于，所述网络设备为多核CPU设备，其中，每个CPU核中配置有一个虚拟CPU。