CN112291199A

CN112291199A - 一种报文处理方法、装置、电子设备及存储介质

Info

Publication number: CN112291199A
Application number: CN202011059233.0A
Authority: CN
Inventors: 安晓荣
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2020-09-30
Filing date: 2020-09-30
Publication date: 2021-01-29
Anticipated expiration: 2040-09-30
Also published as: CN112291199B

Abstract

本申请提供一种报文处理方法、装置、电子设备及存储介质，该方法应用于网络设备，该方法包括：在接收到访问报文后，确定访问报文的来源设备所属的用户和目的设备；根据当前存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级，确定用户对应的用户风险等级和目的设备对应的资产设备风险等级；在预设的安全访问策略库中，查找确定出的用户风险等级和确定出的资产风险等级对应的安全访问策略；根据查找到的安全访问策略，对访问报文进行处理。本申请实施例可提高网络的安全性。

Description

一种报文处理方法、装置、电子设备及存储介质

技术领域

本申请涉及信息安全技术领域，尤其涉及一种报文处理方法、装置、电子设备及存储介质。

背景技术

目前，通常在企业网络等网络的入口处部署防火墙设备、分布式拒绝服务攻击(Distributed Denial of Service，DDoS)设备、入侵防御系统(Intrusion PreventionSystem，IPS)设备等网络设备，在这些设备上配置静态的安全访问策略，后续这些设备在接收到用户的访问报文后，依据配置的静态的安全访问策略，对访问报文进行处理，以保证网络的安全。

但是，随着技术的发展，接入网络的方式越来越多，接入的用户的安全性风险在不断地发生变化，一旦合法用户被攻击，就容易导致网络的安全性较低。

发明内容

为克服相关技术中存在的问题，本申请提供了一种报文处理方法、装置、电子设备及存储介质。

根据本申请实施例的第一方面，提供一种报文处理方法，所述方法应用于网络设备，所述方法包括：

在接收到访问报文后，确定所述访问报文的来源设备所属的用户和目的设备；

根据当前存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级，确定所述用户对应的用户风险等级和所述目的设备对应的资产设备风险等级；

在预设的安全访问策略库中，查找确定出的用户风险等级和确定出的资产风险等级对应的安全访问策略；

根据查找到的安全访问策略，对所述访问报文进行处理。

根据本申请实施例的第二方面，提供一种报文处理装置，所述装置应用于网络设备，所述装置包括：

第一确定模块，用于在接收到访问报文后，确定所述访问报文的来源设备所属的用户和目的设备；

第二确定模块，用于根据当前存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级，确定所述用户对应的用户风险等级和所述目的设备对应的资产设备风险等级；

查找模块，用于在预设的安全访问策略库中，查找确定出的用户风险等级和确定出的资产风险等级对应的安全访问策略；

处理模块，用于根据查找到的安全访问策略，对所述访问报文进行处理。

本申请的实施例提供的技术方案可以包括以下有益效果：

在本申请实施例中，在接收到访问报文后，先确定访问报文的来源设备所属的用户和目的设备；然后，依据当前存储的风险用户数据库和风险资产设备数据库，进一步确定用户对应的用户风险等级和目的设备对应的资产设备风险等级；最后，依据确定出的相关风险等级，决策出相应的安全访问策略，对访问报文进行处理。这种报文的处理方式，可以根据用户的用户风险等级以及待访问的资产设备的资产设备风险等级，动态调整安全访问策略，从而提高了网络的安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本申请的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请实施例提供的一种报文处理方法的流程示意图；

图2为本申请实施例提供的一种报文处理装置的结构示意图；

图3为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

接下来对本申请实施例进行详细说明。

本申请实施例提供了一种报文处理方法，该方法应用于网络设备，该网络设备例如可以是防火墙设备、DDoS设备、IPS设备等，如图1所示，该方法可以包括如下步骤：

S11、在接收到访问报文后，确定访问报文的来源设备所属的用户和目的设备。

S12、根据当前存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级，确定用户对应的用户风险等级和目的设备对应的资产设备风险等级。

S13、在预设的安全访问策略库中，查找确定出的用户风险等级和确定出的资产风险等级对应的安全访问策略。

S14、根据查找到的安全访问策略，对访问报文进行处理。

需要说明的是，在本申请实施例中，为了企业网络等网络的安全性，事先在网络设备上设置了安全访问策略库，该安全访问策略库中配置有用户风险等级、资产设备风险等级和安全访问策略，其中，针对每一种用户风险等级，均对应不同的资产设备风险等级，并且均对应一条安全访问策略，具体内容可以如下表一所示，以便于后续网络设备在接收到访问报文时，可以依据该访问报文的来源设备所属的用户对应的用户风险等级和该访问报文的目的设备对应的资产设备风险等级，从安全访问策略库中决策相应的安全访问策略，并根据决策出的安全访问策略，对该访问报文进行处理。

表一

具体地，在上述步骤S11中，网络设备在接收到访问报文后，可以从访问报文中解析出该访问报文的源IP地址和目的IP地址，进而得到源IP地址对应的设备(即，该访问报文的来源设备)所属的用户和目的IP地址对应的目的设备。

在上述步骤S12中，网络设备可以通过以下方式确定用户的用户风险等级和目的设备的资产设备风险等级：

在风险用户数据库中，查找用户对应的用户风险等级；

如果查找到用户对应的用户风险等级，则将查找到的用户风险等级确定为用户对应的用户风险等级；

如果未查找到用户对应的用户风险等级，则确定用户对应的用户风险等级为默认的安全用户等级；以及

在风险资产设备数据库中，查找目的设备对应的资产设备风险等级；

如果查找到目的设备对应的资产设备风险等级，则将查找到的资产设备风险等级确定为目的设备对应的资产设备风险等级；

如果未查找到目的设备对应的资产设备风险等级，则确定目的设备的资产设备风险等级为默认的安全资产设备等级。

需要说明的是，在本申请实施例中，网络设备也可以先查找目的设备对应的资产风险等级，再查找用户对应的用户风险等级，本申请并不限定查找用户对应的用户风险等级和查找目的设备对应的资产风险等级的查找顺序。

进一步地，在本申请实施例中，为了根据用户的用户风险等级和用户访问的资产设备的资产设备风险等级，及时调整用户的安全访问策略，以进一步地提高网络的安全性，网络设备还可以执行以下操作：

从安全威胁发现与运营管理平台(Threat Discovery and Security OperationsPlatform)获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级；

根据获取的风险用户及其对应的用户风险等级，更新当前存储的风险用户数据库，以及根据获取的风险资产设备及其对应的资产设备风险等级，更新当前存储的风险资产设备数据库。

在一个例子中，网络设备可以周期性地从安全威胁发现与运营管理平台获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级。

在首个周期未结束时，网络设备存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级均为空。

当然，网络设备也可以采用其他方式从安全威胁发现与运营管理平台获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级，例如，按照设定的时间点获取等，本申请并不对具体的获取方式进行限定。

进一步地，在本申请实施例中，管理者可以根据网络设备所在网络的实际组网情况，调整上述安全访问策略库中的安全访问策略，以更进一步地提高网络安全性。

在这种场景下，网络设备还可以执行以下操作：

在接收到管理者输入的修改安全访问策略库中的安全访问策略的修改指令时，根据修改指令，修改对应的安全访问策略。

例如，仍以上述表一为例，假设网络设备接收到管理者输入的将用户风险等级为低危等级和资产设备风险等级为安全等级对应的安全访问策略修改为拒绝访问的修改指令，网络设备会根据此修改指令，将表一中用户风险等级为低危等级和资产设备风险等级为安全等级对应的安全访问策略修改为拒绝访问。

下面结合具体实施例，对上述报文处理方法进行详细说明。

假设网络设备为防火墙设备，假设预设的安全访问策略库的内容如上述表一所示，假设在某个时刻，该防火墙设备接收到防火墙设备所在网络中的用户1通过持有的设备发送的访问资产设备1的访问报文1，该防火墙设备从该访问报文1中解析出该访问报文1的源IP地址和目的IP地址，进而得到该访问报文1的来源设备所属的用户(即，用户1)和目的设备(即，资产设备1)。

然后，在当前存储的风险用户数据库中，该防火墙设备查找用户1对应的用户风险等级，假设查找到用户1对应的用户风险等级为低危等级，该防火墙设备确定用户1对应的用户风险等级为低危等级；该防火墙设备继续在当前存储的风险资产设备数据库中，查找资产设备1对应的资产设备风险等级，假设未查找到资产设备1对应的资产设备风险等级，该防火墙设备确定资产设备1对应的资产设备风险等级为安全等级。

之后，在表1中，该防火墙设备查找低危等级和安全等级对应的安全访问策略。

该防火墙设备查找到对应的安全访问策略为允许访问，此时，该防火墙设备对该访问报文1进行放行处理。

假设过了一段时间，该防火墙设备接收到用户1通过上述持有的设备发送的访问资产设备2的访问报文2，该防火墙设备从该访问报文2中解析出该访问报文2的源IP地址和目的IP地址，进而得到该访问报文2的来源设备所属的用户(即，用户1)和目的设备(即，资产设备2)。

然后，在当前存储的风险用户数据库中，该防火墙设备查找用户1对应的用户风险等级，假设查找到用户1对应的用户风险等级为高危等级，说明当前存储的风险用户数据库中的内容被更新过，该防火墙设备确定用户1对应的用户风险等级为高危等级；该防火墙设备继续在当前存储的风险资产设备数据库中，查找资产设备2对应的资产设备风险等级，假设查找到资产设备2对应的资产设备风险等级为已失陷等级，说明当前存储的风险资产设备数据库中的内容也被更新过，该防火墙设备确定资产设备2对应的资产设备风险等级为已失陷等级。

之后，在表1中，该防火墙设备查找高危等级和已失陷等级对应的安全访问策略。

该防火墙设备查找到对应的安全访问策略为拒绝访问，此时，该防火墙设备对该访问报文2进行阻断处理，例如，丢弃该访问报文2。

由以上技术方案可以看出，在本申请实施例中，在接收到访问报文后，先确定访问报文的来源设备所属的用户和目的设备；然后，依据当前存储的风险用户数据库和风险资产设备数据库，进一步确定用户对应的用户风险等级和目的设备对应的资产设备风险等级；最后，依据确定出的相关风险等级，决策出相应的安全访问策略，对访问报文进行处理。这种报文的处理方式，可以根据用户的用户风险等级以及待访问的资产设备的资产设备风险等级，动态调整安全访问策略，从而提高了网络的安全性。

基于同一发明构思，本申请还提供了一种报文处理装置，所述装置应用于网络设备，其结构示意图如图2所示，具体包括：

第一确定模块21，用于在接收到访问报文后，确定所述访问报文的来源设备所属的用户和目的设备；

第二确定模块22，用于根据当前存储的风险用户数据库中的风险用户及其对应的用户风险等级、和风险资产设备数据库中的风险资产设备及其对应的资产设备风险等级，确定所述用户对应的用户风险等级和所述目的设备对应的资产设备风险等级；

查找模块23，用于在预设的安全访问策略库中，查找确定出的用户风险等级和确定出的资产风险等级对应的安全访问策略；

处理模块24，用于根据查找到的安全访问策略，对所述访问报文进行处理。

优选地，所述第二确定模块22，具体用于：

在所述风险用户数据库中，查找所述用户对应的用户风险等级；

如果查找到所述用户对应的用户风险等级，则将查找到的用户风险等级确定为所述用户对应的用户风险等级；

如果未查找到所述用户对应的用户风险等级，则确定所述用户对应的用户风险等级为默认的安全等级；以及

在所述风险资产设备数据库中，查找所述目的设备对应的资产设备风险等级；

如果查找到所述目的设备对应的资产设备风险等级，则将查找到的资产设备风险等级确定为所述目的设备对应的资产设备风险等级；

如果未查找到所述目的设备对应的资产设备风险等级，则确定所述目的设备的资产设备风险等级为默认的安全等级。

优选地，所述装置还包括：

获取模块(图2中未示出)，用于从安全威胁发现与运营管理平台获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级；

更新模块(图2中未示出)，用于根据获取的风险用户及其对应的用户风险等级，更新当前存储的风险用户数据库，以及根据获取的风险资产设备及其对应的资产设备风险等级，更新当前存储的风险资产设备数据库。

优选地，所述装置还包括：

修改模块(图2中未示出)，用于在接收到管理者输入的修改安全访问策略库中的安全访问策略的修改指令时，根据所述修改指令，修改对应的安全访问策略。

本申请实施例还提供了一种电子设备，如图3所示，包括处理器31和机器可读存储介质32，所述机器可读存储介质32存储有能够被所述处理器1401执行的机器可执行指令，所述处理器31被所述机器可执行指令促使：实现上述报文处理方法的步骤。

上述的机器可读存储介质可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，机器可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本申请提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述报文处理方法的步骤。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种报文处理方法，其特征在于，所述方法应用于网络设备，所述方法包括：

根据查找到的安全访问策略，对所述访问报文进行处理。

2.根据权利要求1所述的方法，其特征在于，通过以下方式确定所述用户的用户风险等级和所述目的设备的资产设备风险等级：

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

从安全威胁发现与运营管理平台获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级；

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在接收到管理者输入的修改安全访问策略库中的安全访问策略的修改指令时，根据所述修改指令，修改对应的安全访问策略。

5.一种报文处理装置，其特征在于，所述装置应用于网络设备，所述装置包括：

6.根据权利要求5所述的装置，其特征在于，所述第二确定模块，具体用于：

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

获取模块，用于从安全威胁发现与运营管理平台获取风险用户及其对应的用户风险等级、以及风险资产设备及其对应的资产设备风险等级；

更新模块，用于根据获取的风险用户及其对应的用户风险等级，更新当前存储的风险用户数据库，以及根据获取的风险资产设备及其对应的资产设备风险等级，更新当前存储的风险资产设备数据库。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

修改模块，用于在接收到管理者输入的修改安全访问策略库中的安全访问策略的修改指令时，根据所述修改指令，修改对应的安全访问策略。

9.一种电子设备，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-4任一所述的方法步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-4任一所述的方法步骤。