CN113726689B

CN113726689B - 一种安全业务处理方法以及装置

Info

Publication number: CN113726689B
Application number: CN202110852441.4A
Authority: CN
Inventors: 李闯
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2021-07-27
Filing date: 2021-07-27
Publication date: 2023-06-13
Anticipated expiration: 2041-07-27
Also published as: CN113726689A

Abstract

本说明书提供一种安全业务处理方法以及装置，涉及通信技术领域。一种安全业务处理方法，应用于安全设备，包括：接收客户端所发送的数据流；对数据流中的数据报文进行解析，获取数据报文的目的IP地址；若在本地的第一映射表中未匹配到与目的IP地址相对应的应用类型，则将目的IP地址发送到云平台，以使云平台根据目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给安全设备；在第一映射表中记录目的IP地址和接收到的应用类型的对应关系；根据接收到的应用类型对数据报文进行安全业务处理。通过上述方法能够降低安全设备的处理压力。

Description

一种安全业务处理方法以及装置

技术领域

本说明书涉及通信技术领域，尤其涉及一种安全业务处理方法以及装置。

背景技术

DPI(Deep Packet Inspection，深度报文检测)功能是一种基于应用层信息对经过安全设备的数据流进行检测和控制的安全机制。在日益复杂的网络安全威胁中，很多恶意行为都是隐藏在数据报文的应用层载荷中。传统安全防护技术仅仅依靠网络层和传输层的安全检测技术已经无法满足网络安全要求。因此，安全设备需要具备DPI功能，实现对网络应用层载荷的检测和控制，以保证数据内容的安全，提高网络的安全性。

在当前的安全设备中，在接收到数据流时，逐一对数据流中的数据报文的应用层载荷进行解析，直至确定数据流所对应的应用类型。在长时间的使用过程中，安全设备需要频繁地进行应用层载荷进行解析，这样一来，将会给安全设备带来较大的处理压力。

发明内容

为克服相关技术中存在的问题，本说明书提供了一种安全业务处理方法以及装置。

结合本说明书实施方式的第一方面，本申请提供了一种安全业务处理方法，应用于安全设备，包括：

接收客户端所发送的数据流；

对数据流中的数据报文进行解析，获取数据报文的目的IP地址；

若在本地的第一映射表中未匹配到与目的IP地址相对应的应用类型，则将目的IP地址发送到云平台，以使云平台根据目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给安全设备；

在第一映射表中记录目的IP地址和接收到的应用类型的对应关系；

根据接收到的应用类型对数据报文进行安全业务处理。

可选的，在获取数据报文的目的IP地址之后，还包括：

若在本地的第一映射表中匹配到与目的IP地址相对应的应用类型，则根据匹配到的应用类型对数据报文进行安全业务处理。

可选的，在将目的IP地址发送到云平台之后，还包括：

若在预设时间内未接收到云平台发送的应用类型，或者，在预设时间内接收到云平台发送的未匹配通知，则对数据报文进行DPI，确定数据报文的应用类型；

在第一映射表中记录数据报文的目的IP地址和所确定的应用类型的对应关系。

进一步的，在对数据报文进行DPI，确定数据报文的应用类型之后，还包括：

将目的IP地址和所确定的应用类型的对应关系发送至云平台，以使云平台在第二映射表中记录。

可选的，第一映射表还包括老化时间；

方法，还包括：

若到达老化时间，则从第一映射表中清除与该老化时间对应的、目的IP地址与应用类型的对应关系。

结合本说明书实施方式的第二方面，本申请提供了一种安全业务处理装置，应用于安全设备，包括：

接收单元，用于接收客户端所发送的数据流；

获取单元，用于对数据流中的数据报文进行解析，获取数据报文的目的IP地址；

发送单元，用于若在本地的第一映射表中未匹配到与目的IP地址相对应的应用类型，则将目的IP地址发送到云平台，以使云平台根据目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给安全设备；

记录单元，用于在第一映射表中记录目的IP地址和接收到的应用类型的对应关系；

处理单元，用于根据接收到的应用类型对数据报文进行安全业务处理。

可选的，处理单元，还用于若在本地的第一映射表中匹配到与目的IP地址相对应的应用类型，则根据匹配到的应用类型对数据报文进行安全业务处理。

可选的，在将目的IP地址发送到云平台之后，还包括：

深度检测单元，用于若在预设时间内未接收到云平台发送的应用类型，或者，在预设时间内接收到云平台发送的未匹配通知，则对数据报文进行DPI，确定数据报文的应用类型；

记录单元，还用于在第一映射表中记录数据报文的目的IP地址和所确定的应用类型的对应关系。

进一步的，该装置，还包括：

发送单元，还用于将目的IP地址和所确定的应用类型的对应关系发送至云平台，以使云平台在第二映射表中记录。

可选的，第一映射表还包括老化时间；

该装置，还包括：

老化单元，用于若到达老化时间，则从第一映射表中清除与该老化时间对应的、目的IP地址与应用类型的对应关系。

本说明书的实施方式提供的技术方案可以包括以下有益效果：

本说明书实施方式中，通过在安全设备中设置第一映射表，在云平台设置第二映射表，在第一映射表和第二映射表中记录数据流中的数据报文的目的IP地址和应用类型的对应关系，从而在安全设备从数据报文获取到目的IP地址后，能够快速地从本地或云平台获取到目的IP地址相对应的应用类型，以减少安全设备进行DPI的频度，降低安全设备的处理压力。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施方式，并与说明书一起用于解释本说明书的原理。

图1是本申请所涉及的一种安全业务处理方法的流程图；

图2是本申请实施方式所涉及的一种网络结构图；

图3是本申请所涉及的一种安全业务处理装置的结构示意图。

具体实施方式

这里将详细地对示例性实施方式进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施方式中所描述的实施方式并不代表与本说明书相一致的所有实施方式。

本申请提供了一种安全业务处理方法，应用于安全设备，如图1所示，包括：

S100、接收客户端所发送的数据流。

S101、对数据流中的数据报文进行解析，获取数据报文的目的IP地址。

如图2所示，在包含安全设备的组网中，设置有位于外部网络的客户端以及位于内部网络的网络设备以及与网络设备相连接的服务器。客户端可以通过网络连接到安全设备，安全设备可以将外部网络与内部网络进行隔离。在如图2所示的组网中，还可以包括有与安全设备连接的云平台，该云平台可以提供运算和交互的功能，在该云平台中可以与安全设备进行交互。

在客户端向服务器传输数据流的后，安全设备可以对数据流中的数据报文进行解析，获取数据报文中的元组信息，比如目的IP地址、源IP地址、目的端口、源端口和传输层协议等。

为了实现进一步地安全监控，在安全设备上还可以实现有DPI，通过DPI可以获取到数据报文中载荷的相关信息，即四层网络至七层网络中的信息，比如，位于应用层的应用类型等信息。但是，安全设备对数据报文中的载荷进行解析的过程，需要消耗大量的时间，因此，在安全设备中可以基于以往对数据报文的DPI进行记录已经解析出的应用类型与目的IP地址的对应关系。

该对应关系可以存储在第一映射表中，以表项的形式进行存储，如下表1所示，在表1中记录有IP地址1、IP地址2和IP地址3与应用1的对应关系，以及IP地址4、IP地址5和IP地址6与应用2的对应关系。

表1

通过该映射表可以根据目的IP地址确定出该目的IP地址所对应的应用类型，这是因为在客户端进行访问的过程中，目的IP地址可以反映该数据报文(或数据流)所发送至的目的。那么，可以理解为相同的目的IP地址表示该数据报文将发送至对应的对应提供服务的服务器，因此，在针对进行数据报文的DPI后，可以解析出数据报文中的应用类型，并基于应用类型和报文头中的目的IP地址，来记录目的IP地址和应用类型形成一份对应关系，即安全设备中所记录的第一映射表。需要说明的是，在第一映射表中，一个应用类型可以对应多个目的IP地址。

这样一来，在安全设备接收到数据报文时，可以在对数据报文的报文头进行解析的基础上获取目的IP地址，并基于该目的IP地址查找该第一映射表来确定出应用类型。

该第一映射表可以是在安全设备运行过程中进行目的IP地址和应用类型的获取后所记录的，也可以是通过定时地向云平台请求而获取到的。

S102、若在本地的第一映射表中未匹配到与目的IP地址相对应的应用类型，则将目的IP地址发送到云平台，以使云平台根据目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给安全设备。

S103、在第一映射表中记录目的IP地址和接收到的应用类型的对应关系。

在安全设备获取到数据报文的目的IP地址后，可以基于该目的IP地址查找第一映射表，以确定该第一映射表中是否存储有与数据报文的目的IP地址相对应的应用类型。假设，数据报文中所携带的目的IP地址为IP地址7，则可以确定在安全设备中并未存储IP地址7与应用类型的对应关系。此时，可以认为该数据报文为安全设备尚未记录过，则需要将该IP地址7发送至云平台。

此后，可选的，在将目的IP地址发送到云平台之后，还包括：

S105、若在预设时间内未接收到云平台发送的应用类型，或者，在预设时间内接收到云平台发送的未匹配通知，则对数据报文进行DPI，确定数据报文的应用类型。

该云平台可以理解为是一台服务器，在该服务器上可以存储有第二映射表。该第二映射表与第一映射表的功能相类似，同样记录有目的IP地址与应用类型的映射关系，该第二映射表可以是来源于图2所示的安全设备，也可以是来源于图2中未示出的其他安全设备。在本实施方式中，该第二映射表所记录的内容与表1中的第一映射表相同，因此，云平台经过查找也可以确认出，在第二映射表中未记录IP地址7和应用类型的对应关系。

此时，云平台可以选择向安全设备发送未匹配通知，以告知安全设备自身也未记录IP地址7与应用类型的对应关系，或者，可以丢弃安全设备所上送的IP地址7的消息不进行处理等待超时。

相对应的，在安全设备一侧，如果能够在预设时间内接收到未匹配通知，或者在预设时间超时后仍未能接收到云平台所发送的对应关系，则可以认为在云平台一侧也未记录该IP地址7所对应的应用类型。此时，安全设备需要启动DPI对数据报文进行深度解析，从而获取到数据报文的载荷中的应用类型，具体的DPI过程与当前的实现相似，在此不再展开描述。

S106、在第一映射表中记录数据报文的目的IP地址和所确定的应用类型的对应关系。

在确定数据报文的应用类型后，可以在第一映射表中创建一个映射表项，分别写入解析出的应用类型和所获取的数据报文的IP地址7之间的对应关系，从而形成更新后的第一映射表，如表2所示，生成IP地址7与应用3之间的映射表项，即对应关系。

表2

进一步的，在步骤S105、对数据报文进行DPI，确定数据报文的应用类型之后，还包括：

S107、将目的IP地址和所确定的应用类型的对应关系发送至云平台，以使云平台在第二映射表中记录。

在安全设备自身确定出应用类型和目的IP地址的对应关系后，可以将该对应关系发送至云平台。因为，安全设备进行DPI获取应用类型表示该目的IP地址是云平台一侧也未进行记录的对应关系，所以，安全设备可以将该对应关系发送至云平台以便于云平台可以详尽地在第二映射表中记录目的IP地址和应用类型的对应关系，从而更好地提供后续的查找服务，提升安全设备的安全策略执行效率，以及更快的数据报文转发效率。

S104、根据接收到的应用类型对数据报文进行安全业务处理。

继而，安全设备可以基于安全策略确定该应用3是否满足要求，以确定该数据报文是否能够被放行。

通过在安全设备中设置第一映射表，在云平台设置第二映射表，在第一映射表和第二映射表中记录数据流中的数据报文的目的IP地址和应用类型的对应关系，从而在安全设备从数据报文获取到目的IP地址后，能够快速地从本地或云平台获取到目的IP地址相对应的应用类型，以减少安全设备进行DPI的频度，降低安全设备的处理压力。

为了避免安全设备中所记录的第一映射表过度扩张，从而占用了安全设备上过多的存储空间，可选的，第一映射表还包括老化时间。

该方法，还包括：

S108、若到达老化时间，则从第一映射表中清除与该老化时间对应的、目的IP地址与应用类型的对应关系。

安全设备中所存储的第一映射表，如表3所示，目的IP地址1～3相对应的老化时间为30秒，目的IP地址4～6相对应的老化时间为40秒。

表3

针对每一条记录的映射表项，可以形成有一个老化时间，在映射表项生成时该老化时间被设置为预设值，例如30秒，并启动计时。在计时的过程中，如果接收到能够命中该映射表项的数据报文，则老化时间被刷新重置回预设值，如果在预设值之内，安全设备未能接收到命中该映射表项的数据报文，则在老化时间到达时，该老化时间所对应的映射表项将被清除，即清除了目的IP地址与应用类型的对应关系，如下表4所示。假设IP地址1和IP地址2的对应关系的被清除。

表4

这样一来，在第一映射表中的映射表项中所设置的老化时间超出预设值的情况下，即可以将该映射表项清除，从而避免安全设备中过多的存储映射表项而导致的、过度占用安全设备的存储空间的问题，同时也避免了在安全设备查找应用类型时消耗时间过长的问题，提升了安全设备的运行效率。

可选的，在步骤S101、获取数据报文的目的IP地址之后，还包括：

S109、若在本地的第一映射表中匹配到与目的IP地址相对应的应用类型，则根据匹配到的应用类型对数据报文进行安全业务处理。

在安全设备根据自身的DPI生成IP地址7和应用3的对应关系，或者，从云平台获取到IP地址7和应用3的对应关系后，在对后续的数据报文进行处理时，则可以根据查找第一映射表快速地确认到目的IP地址所对应的应用类型，从而基于所匹配到的应用3进行安全业务处理，即根据安全策略确认该数据报文是否能够被放行。

相对应的，本申请提供了一种安全业务处理装置，应用于安全设备，如图3所示，包括：

接收单元，用于接收客户端所发送的数据流；

可选的，在将目的IP地址发送到云平台之后，还包括：

进一步的，该装置，还包括：

可选的，第一映射表还包括老化时间；

该装置，还包括：

应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。

以上所述仅为本说明书的较佳实施方式而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims

1.一种安全业务处理方法，其特征在于，应用于安全设备，包括：

接收客户端所发送的数据流；

对所述数据流中的数据报文进行解析，获取所述数据报文的目的互联网协议IP地址；

若在本地的第一映射表中未匹配到与所述目的IP地址相对应的应用类型，则将所述目的IP地址发送到云平台，以使所述云平台根据所述目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给所述安全设备；

在所述第一映射表中记录所述目的IP地址和接收到的应用类型的对应关系；

根据接收到的应用类型对所述数据报文进行安全业务处理；

在所述将所述目的IP地址发送到云平台之后，还包括：

若在预设时间内未接收到所述云平台发送的应用类型，或者，在预设时间内接收到所述云平台发送的未匹配通知，则对所述数据报文进行深度报文检测DPI，确定所述数据报文的应用类型；

在所述第一映射表中记录所述数据报文的目的IP地址和所确定的应用类型的对应关系。

2.根据权利要求1所述的方法，其特征在于，在获取所述数据报文的目的IP地址之后，还包括：

若在本地的第一映射表中匹配到与所述目的IP地址相对应的应用类型，则根据匹配到的应用类型对所述数据报文进行安全业务处理。

3.根据权利要求1所述的方法，其特征在于，在对所述数据报文进行DPI，确定所述数据报文的应用类型之后，还包括：

将所述目的IP地址和所确定的应用类型的对应关系发送至所述云平台，以使所述云平台在所述第二映射表中记录。

4.根据权利要求1所述的方法，其特征在于，所述第一映射表还包括老化时间；

所述方法，还包括：

若到达所述老化时间，则从所述第一映射表中清除与该老化时间对应的、目的IP地址与应用类型的对应关系。

5.一种安全业务处理装置，其特征在于，应用于安全设备，包括：

接收单元，用于接收客户端所发送的数据流；

获取单元，用于对所述数据流中的数据报文进行解析，获取所述数据报文的目的IP地址；

发送单元，用于若在本地的第一映射表中未匹配到与所述目的IP地址相对应的应用类型，则将所述目的IP地址发送到云平台，以使所述云平台根据所述目的IP地址查找自身所维护的第二映射表，并将所确定的应用类型发送给所述安全设备；

记录单元，用于在所述第一映射表中记录所述目的IP地址和接收到的应用类型的对应关系；

处理单元，用于根据接收到的应用类型对所述数据报文进行安全业务处理；

深度检测单元，用于若在预设时间内未接收到所述云平台发送的应用类型，或者，在预设时间内接收到所述云平台发送的未匹配通知，则对所述数据报文进行DPI，确定所述数据报文的应用类型；

所述记录单元，还用于在所述第一映射表中记录所述数据报文的目的IP地址和所确定的应用类型的对应关系。

6.根据权利要求5所述的装置，其特征在于，所述处理单元，还用于若在本地的第一映射表中匹配到与所述目的IP地址相对应的应用类型，则根据匹配到的应用类型对所述数据报文进行安全业务处理。

7.根据权利要求5所述的装置，其特征在于，还包括：

所述发送单元，还用于将所述目的IP地址和所确定的应用类型的对应关系发送至所述云平台，以使所述云平台在所述第二映射表中记录。

8.根据权利要求5所述的装置，其特征在于，所述第一映射表还包括老化时间；

所述装置，还包括：

老化单元，用于若到达所述老化时间，则从所述第一映射表中清除与该老化时间对应的、目的IP地址与应用类型的对应关系。