CN113992364A - 一种网络数据包阻断优化方法以及系统 - Google Patents

Abstract

本发明公开了一种网络数据包阻断优化方法以及系统，本方法包括将数据包解析信息与预设的若干个安全规则进行匹配，若数据包解析信息与其中一个安全规则之间完全匹配，对数据包进行阻断操作，并从数据包解析信息提取与其中一个安全规则对应的第一信息，将第一信息写入至对应的处理列表；将目标数据包解析信息与安全规则对应的处理列表中写入的数据进行匹配，若存在匹配，对目标数据包进行阻断操作。可以有效提高网络数据处理的性能，按照不同用户最常用安全规则设置，建立处理列表，处理列表中只提取对应信息，可以抛弃多余信息，节约存储空间，提高处理速度，通过处理列表与目标数据包解析信息之间匹配的方式实现快速监控和阻断数据传输。

Description

一种网络数据包阻断优化方法以及系统

技术领域

本发明涉及网络安全技术领域，特别涉及一种网络数据包阻断优化方法以及系统。

背景技术

在网络中，设备之间的通讯是通过多种网络协议实现的，为了对网络行为进行有效的监控，其安全规则往往基于深度数据包解析，包含多种复杂的数据包信息，并且由于网络的复杂性，定义网络安全规则的方法复杂度高，需要消耗大量的CPU资源，可能影响到网络正常通讯。

发明内容

本发明旨在至少解决现有技术中存在的技术问题。为此，本发明提出一种网络数据包阻断优化方法以及系统，能够节约CPU处理能力，提高网络传输效率。

本发明的第一方面，提供了一种网络数据包阻断优化方法，包括如下步骤：

获取并解析网络中的数据包，得到所述数据包对应的数据包解析信息；

将所述数据包解析信息与预设的若干个安全规则进行匹配，若所述数据包解析信息与其中一个所述安全规则之间完全匹配，对所述数据包进行阻断操作，并从所述数据包解析信息提取与所述其中一个所述安全规则对应的第一信息，将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表；

获取并解析网络中的目标数据包，得到所述目标数据包对应的目标数据包解析信息；

将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，若存在匹配，对所述目标数据包进行阻断操作。

根据本发明的一些实施例，所述处理列表为特定维度的分级表，其中所述特定维度包括所述数据包中的源地址、目标地址、网络协议名、端口号、数据特征码以及请求URL信息中的至少一种。

根据本发明的一些实施例，在所述将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表之后，还包括步骤：

将写入所述处理列表中的所述第一信息划分不同类型；

根据不同类型的所述第一信息的数量，为所述处理列表中的不同类型的所述第一信息进行排序。

根据本发明的一些实施例，所述将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，包括步骤：

按照所述处理列表中由高至低排序的所述第一信息依次与所述目标数据包解析信息之间进行匹配。

根据本发明的一些实施例，在所述对所述目标数据包进行阻断操作之后，还包括步骤：

若所述处理列表未写满，从所述目标数据包解析信息中提取与所述安全规则对应的目标第一信息；

将所述目标第一信息写入所述处理列表中。

根据本发明的一些实施例，在所述将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配之前，还包括步骤：

通过AI进程将所述目标数据包解析信息与所述预设的若干个安全规则进行匹配，若匹配几率超过阈值，则将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配。

本发明的第二方面，提供了一种网络数据包阻断优化系统，包括：

数据获取单元，用于获取网络中的数据包和目标数据包；

信息解析单元，用于解析所述数据包和所述目标数据包，得到所述数据包对应的数据包解析信息和所述目标数据包对应的目标数据包解析信息；

数据划分单元，用于将所述数据包解析信息与预设的若干个安全规则进行匹配，若所述数据包解析信息与其中一个所述安全规则之间完全匹配，从所述数据包解析信息提取与所述其中一个所述安全规则对应的第一信息，将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表；

数据阻断单元，用于在所述数据包解析信息与其中一个所述安全规则之间完全匹配时，对所述数据包进行阻断操作；以及用于将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，若存在匹配，对所述目标数据包进行阻断操作。

根据本发明的一些实施例，所述数据划分单元还用于将写入所述处理列表中的所述第一信息划分不同类型，并且根据不同类型的所述第一信息的数量，为所述处理列表中的不同类型的所述第一信息进行排序。

根据本发明的一些实施例，还包括数据存储单元，所述数据存储单元用于存储所述处理列表以及存储阻断操作之后产生的阻断记录。

根据本发明的一些实施例，所述数据获取单元从网络交换机、路由器或终端日志中获取所述数据包和所述目标数据包。

本申请第一方面提供了一种网络数据包阻断优化方法，首先获取并解析网络中的数据包，得到数据包对应的数据包解析信息；将数据包解析信息与预设的若干个安全规则进行匹配，若数据包解析信息与其中一个安全规则之间完全匹配，对数据包进行阻断操作，并从数据包解析信息提取与其中一个安全规则对应的第一信息，将第一信息写入至与其中一个安全规则对应的处理列表；获取并解析网络中的目标数据包，得到目标数据包对应的目标数据包解析信息；将目标数据包解析信息与处理列表中写入的数据进行匹配，若存在匹配，对目标数据包进行阻断操作。本方法可以有效提高网络数据处理的性能，按照不同用户最常用安全规则设置，建立处理列表，处理列表中只提取与匹配安全规则所对应的关键信息，可以抛弃多余信息，节约存储空间，提高处理速度，通过处理列表与目标数据包解析信息之间匹配的方式实现快速监控和阻断数据传输。

可以理解的是，上述第二方面与相关技术相比存在的有益效果与上述第一方面与相关技术相比存在的有益效果相同，可以参见上述第一方面中的相关描述，在此不再赘述。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明一个实施例提供的一种网络数据包阻断优化方法的流程示意图；

图2为本发明一个实施例提供的一种网络数据包阻断优化系统的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。

在网络中，设备之间的通讯是通过多种网络协议实现的，为了对网络行为进行有效的监控，其安全规则往往基于深度数据包解析，包含多种复杂的数据包信息，并且由于网络的复杂性，定义网络安全规则的方法复杂度高，需要消耗大量的CPU资源，可能影响到网络正常通讯。

为了解决上述缺陷，按照不同用户最常用安全规则设置，建立处理列表，处理列表中只提取与匹配安全规则所对应的关键信息，可以抛弃多余信息，节约存储空间，提高处理速度，通过处理列表与目标数据包解析信息之间匹配的方式实现快速监控和阻断数据传输。

参照图1，本申请的一个实施例，提供了一种网络数据包阻断优化方法，包括如下步骤：

步骤S101、获取并解析网络中的数据包，得到数据包对应的数据包解析信息。

在一种场景中，当用户终端与网络设备连接之后，监听用户终端与网络设备之间传输的数据包，在监听得到数据包之后，对数据包进行解析，得到数据包解析信息，这里的网络设备可以是交换机和路由器等，此处不限制。在一些实施例中，从数据包中解析出的数据包解析信息包括但不仅限于数据包的源地址、目标地址、网络协议名、端口号、数据特征码，请求域名信息以及请求时间等，例如一个数据包解析得到的数据包解析信息如下表1所示：

表1

需要注意的是，不同于传统的深度数据包解析(深度数据包解析出的信息往往比较复杂)，本申请所述的数据包解析信息是基于深度数据包和用户设定的若干个安全规则解析得出。

步骤S103、将数据包解析信息与预设的若干个安全规则进行匹配，若数据包解析信息与其中一个安全规则之间完全匹配，对数据包进行阻断操作，并从数据包解析信息提取与安全规则对应的第一信息，将第一信息写入至与安全规则对应的处理列表。

在步骤S103中，若干个安全规则可以由用户进行自定义设置，通常情况下，不同用户存在着不同的安全规则需求。当数据包解析信息与用户设置的若干个安全规则中的其中一个安全规则之间完全匹配时，则证明该数据包完全符合用户要求的安全规则，在数据层面达到安全规则标准，因此执行阻断操作，这里的阻断操作(即丢弃数据包)是通过系统内核标准函数，确保达到安全规则所需阻断效果。当数据包解析信息与其中一个安全规则之间完全匹配时，将从数据包解析信息提取与该安全规则对应的第一信息，如下表2所示：

用户设置分级数量	分级	请求域名信息	端口号	目标地址
					99	23	Baidu.com	80	220.181.38.150

表2

在表2中，数据包与其中一个安全规则完全匹配，该安全规则与请求域名信息、端口号和目标地址有关，因此在该数据包对应的数据包解析信息中提取出第一信息，此时数据包解析信息中的第一信息包括：(1)请求域名信息：Baidu.com；(2)端口号：80；(3)目标地址：220.181.38.150。然后将提取的第一信息存入相应的处理列表，表2表示将第一信息存储于相应的处理列表中。

在一些实施例中，处理列表为特定维度的分级表，如上表1所示，特定维度包括数据包解析信息中的源地址、目标地址、网络协议名、端口号、数据特征码以及请求URL信息中的至少一种。在本实施例中，处理列表与安全规则相对应，例如：安全规则要求是数据特征码，在存在完全匹配并执行阻断操作之后，将提取数据包解析信息中的第一信息，存入数据特征码对应的一个处理列表中；如果是其他安全规则(例如目标地址、网络协议名等等)，则存入对应的其他处理列表中。这样处理的优势在于只提取数据包解析信息中的与安全规则匹配的对应信息，抛弃一个数据包解析信息中的其它多余信息，节约存储空间，提高处理速度。

在一些实施例中，本方法还包括步骤：

步骤S1041、将写入处理列表中的第一信息划分不同类型。

步骤S1042、根据不同类型的第一信息的数量，为处理列表中的不同类型的第一信息进行排序。

例如：根据用户设定的安全规则，假设安全规则为请求域名信息，有一百个访问网络请求数据包，解析数据包，得到数据包解析信息，其中10个数据包访问QQ网站，阻断成功后，将这10个数据包对应的数据包解析信息中提取的第一信息将作为同一个类型被存入处理列表中，数据包访问QQ网站的分级主键值为10；另外90个数据包访问百度网站，同样在阻断成功后，将这90个数据包对应的数据包解析信息中提取的第一信息将作为同一个类型被存入处理列表中，数据包访问百度网站的分级主键值为90，需要注意的是，这里的分级主键值是指的一个进程中的主键值(进程、主键值为计算机领域的公知常识，此处不再细述)，通过分级主键值的大小对存入处理列表中的不同类型的第一信息进行排序，如处理列表中仅有百度网站和QQ网站，访问百度网站的分级主键值为90，访问QQ网站的分级主键值为10，那么访问百度网站排第一，访问QQ网站排第二。在此情况下，如果后续接收到目标数据包，目标数据包解析信息在处理列表中匹配时，分级主键值越大，匹配优先级别就越高，即优先匹配是百度网站，若百度网站匹配不成功，则继续匹配QQ网站。如表2所示，用户设置分级数量表示在该处理列表中，分级的总数量(99为示例值，不能作为限定)。分级表示该类型的第一信息在该处理列表中排序为22位(22作为示例值，不能作为限定)。

步骤S105、获取并解析网络中的目标数据包，得到目标数据包对应的目标数据包解析信息。这里的解析过程与步骤S101中的解析过程类似，此处不再细述。

步骤S107、将目标数据包解析信息与处理列表中写入的数据进行匹配，若存在匹配，对目标数据包进行阻断操作。

在一些实施例中，基于上述步骤S1041至步骤S1043，步骤S107具体包括：

按照处理列表中由高至低排序的第一信息与目标数据包解析信息之间进行匹配，若存在匹配，对目标数据包进行阻断操作。按照由高至低的排序与目标数据包解析信息之间进行匹配，能够提高匹配搜索速度和效率。

根据相关方案，每次接收一个数据包时，需要完全解析该数据包(即深度数据包解析)，得到解析结果，然后将解析结果与用户预设的若干个安全规则进行匹配，若匹配，则阻断，方案较为复杂，CPU资源耗损大。

相较于相关方案，本申请步骤S101至步骤S103首先得到每个数据包的数据包解析信息，然后与预设的安全规则进行匹配，若成功匹配并进行阻断操作之后，将从数据包解析信息提取出与匹配的安全规则对应的第一信息，并将第一信息存入与匹配的安全规则对应的处理列表中，这样处理的优势在于只提取数据包解析信息中的对应信息，可以抛弃其余多余信息。在步骤S105至步骤S107中，由于处理列表中已经写入数据，因此在得到目标数据包并且解析出目标数据包解析信息之后，直接将目标数据包解析信息与处理列表中写入的数据进行匹配，若存在匹配，则直接对该目标数据包进行阻断操作，若不匹配，则继续与预设的若干个安全规则进行匹配，直至与安全规则完全匹配，执行阻断操作，或者没有与安全规则完全匹配，不执行阻断。本方法在处理列表不为空的情况下，将目标数据包解析信息优先与处理列表中写入的数据进行匹配，由于处理列表中写入的数据比完整的安全规则少以及比完整的数据包解析信息少，数据量小，能够提升处理效率，节省CPU资源，也能提高网络传输效率。

进一步的，在步骤S1041至步骤S1043中，每一个处理列表都对写入的数据进行排序，在步骤S107中，可以按照处理列表中由高至低排序的第一信息与目标数据包解析信息之间进行匹配，这样可以进一步提高匹配搜索的速度和效率。

在一些实施例中，步骤S107在对目标数据包进行阻断操作之后，还包括步骤：

步骤S1081、若处理列表未写满，从目标数据包解析信息中提取与安全规则对应的目标第一信息。

步骤S1082、将目标第一信息写入处理列表中。

在本实施例中，当处理列表未写满时，可以将从目标数据包解析信息中提取的目标第一信息写入处理列表中，从而实现对处理列表的完善。在目标第一信息写入处理列表中之后，会判断与目标第一信息是属于同一类型的第一信息，从而可以提高对应第一信息的分级主键值，从而影响对应第一信息的排序。

在一些实施例中，还包括步骤：

步骤S106、通过AI进程将目标数据包解析信息与预设的若干个安全规则进行匹配，若匹配几率超过阈值，则将目标数据包解析信息与安全规则对应的处理列表中写入的数据进行匹配。通过AI进程对目标数据包解析信息与预设的若干个安全规则进行匹配，例如，有10条安全规则，其中超过8条安全规则能与目标数据包解析信息匹配，此时匹配几率为百分之八十，可以继续在处理列表中进行精确匹配。阈值可以设为百分之八十。

参照图2，本发明的一个实施例，提供了一种网络数据包阻断优化系统，包括数据获取单元100、信息解析单元200、数据划分单元300、数据阻断单元400以及数据存储单元500，其中：

数据获取单元100用于获取网络中的数据包和目标数据包。其中，数据获取单元100从网络交换机、路由器或终端日志中获取数据包和目标数据包。

信息解析单元200用于解析数据包和目标数据包，得到数据包对应的数据包解析信息和目标数据包对应的目标数据包解析信息。

数据划分单元300用于将数据包解析信息与预设的若干个安全规则进行匹配，若数据包解析信息与其中一个安全规则之间完全匹配，从数据包解析信息提取与其中一个安全规则对应的第一信息，将第一信息写入至与其中一个安全规则对应的处理列表。

在一些实施例中，数据划分单元300还用于将写入处理列表中的第一信息划分不同类型，并且根据不同类型的第一信息的数量，为处理列表中的不同类型的第一信息进行排序。

数据阻断单元400用于在数据包解析信息与其中一个安全规则之间完全匹配时，对数据包进行阻断操作。以及用于将目标数据包解析信息与安全规则对应的处理列表中写入的数据进行匹配，若存在匹配，对目标数据包进行阻断操作。

在一些实施例中，数据阻断单元400在执行将目标数据包解析信息与安全规则对应的处理列表中写入的数据进行匹配时，具体是按照处理列表中由高至低排序的第一信息与目标数据包解析信息之间进行匹配，这样可以进一步提高匹配搜索的速度和效率。

数据存储单元500用于存储处理列表以及存储阻断操作之后产生的阻断记录。

需要注意的是，本系统实施例与上述方法实施例是基于相同的发明构思，因此上述系统实施例的相关内容同样适用于本方法实施例，此处不再细述。

本申请的一个实施例，提供了一种电子设备，该设备包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序。

处理器和存储器可以通过总线或者其他方式连接。

存储器作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序以及非暂态性计算机可执行程序。此外，存储器可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施方式中，存储器可选包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至该处理器。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

需要说明的是，本实施例中的电子设备能够构成图2所示实施例中的系统架构的一部分，这些实施例均属于相同的发明构思，因此这些实施例具有相同的实现原理以及技术效果，此处不再详述。

实现上述实施例的网络数据包阻断优化方法所需的非暂态软件程序以及指令存储在存储器中，当被处理器执行时，执行上述实施例方法，例如，执行以上描述的图1中的方法步骤S101至S107。

以上所描述的终端实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

此外，本申请实施例的一个实施例还提供了一种计算机可读存储介质，该计算机可读存储介质存储有计算机可执行指令，该计算机可执行指令被一个处理器或控制器执行，可使得上述处理器执行上述实施例中的网络数据包阻断优化方法，例如，执行以上描述的图1中的方法步骤S101至S107。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统可以被实施为软件、固件、硬件及其适当的组合。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示意性实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims (10)

1.一种网络数据包阻断优化方法，其特征在于，包括如下步骤：

获取并解析网络中的数据包，得到所述数据包对应的数据包解析信息；

将所述数据包解析信息与预设的若干个安全规则进行匹配，若所述数据包解析信息与其中一个所述安全规则之间完全匹配，对所述数据包进行阻断操作，并从所述数据包解析信息提取与所述其中一个所述安全规则对应的第一信息，将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表；

获取并解析网络中的目标数据包，得到所述目标数据包对应的目标数据包解析信息；

将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，若存在匹配，对所述目标数据包进行阻断操作。

2.根据权利要求1所述的网络数据包阻断优化方法，其特征在于，所述处理列表为特定维度的分级表，其中所述特定维度包括所述数据包中的源地址、目标地址、网络协议名、端口号、数据特征码以及请求URL信息中的至少一种。

3.根据权利要求2所述的网络数据包阻断优化方法，其特征在于，在所述将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表之后，还包括步骤：

将写入所述处理列表中的所述第一信息划分不同类型；

根据不同类型的所述第一信息的数量，为所述处理列表中的不同类型的所述第一信息进行排序。

4.根据权利要求3所述的网络数据包阻断优化方法，其特征在于，所述将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，包括步骤：

按照所述处理列表中由高至低排序的所述第一信息依次与所述目标数据包解析信息之间进行匹配。

5.根据权利要求3所述的网络数据包阻断优化方法，其特征在于，在所述对所述目标数据包进行阻断操作之后，还包括步骤：

若所述处理列表未写满，从所述目标数据包解析信息中提取与所述安全规则对应的目标第一信息；

将所述目标第一信息写入所述处理列表中。

6.根据权利要求1所述的网络数据包阻断优化方法，其特征在于，在所述将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配之前，还包括步骤：

通过AI进程将所述目标数据包解析信息与所述预设的若干个安全规则进行匹配，若匹配几率超过阈值，则将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配。

7.一种网络数据包阻断优化系统，其特征在于，包括：

数据获取单元，用于获取网络中的数据包和目标数据包；

信息解析单元，用于解析所述数据包和所述目标数据包，得到所述数据包对应的数据包解析信息和所述目标数据包对应的目标数据包解析信息；

数据划分单元，用于将所述数据包解析信息与预设的若干个安全规则进行匹配，若所述数据包解析信息与其中一个所述安全规则之间完全匹配，从所述数据包解析信息提取与所述其中一个所述安全规则对应的第一信息，将所述第一信息写入至与所述其中一个所述安全规则对应的处理列表；

数据阻断单元，用于在所述数据包解析信息与其中一个所述安全规则之间完全匹配时，对所述数据包进行阻断操作；以及用于将所述目标数据包解析信息与所述处理列表中写入的数据进行匹配，若存在匹配，对所述目标数据包进行阻断操作。

8.根据权利要求7所述的网络数据包阻断优化系统，其特征在于，所述数据划分单元还用于将写入所述处理列表中的所述第一信息划分不同类型，并且根据不同类型的所述第一信息的数量，为所述处理列表中的不同类型的所述第一信息进行排序。

9.根据权利要求8所述的网络数据包阻断优化系统，其特征在于，还包括数据存储单元，所述数据存储单元用于存储所述处理列表以及存储阻断操作之后产生的阻断记录。

10.根据权利要求7所述的网络数据包阻断优化系统，其特征在于，所述数据获取单元从网络交换机、路由器或终端日志中获取所述数据包和所述目标数据包。

Images