WO2010075728A1 - 一种报文处理方法、装置和系统 - Google Patents

一种报文处理方法、装置和系统 Download PDF

Info

Publication number
WO2010075728A1
WO2010075728A1 PCT/CN2009/075414 CN2009075414W WO2010075728A1 WO 2010075728 A1 WO2010075728 A1 WO 2010075728A1 CN 2009075414 W CN2009075414 W CN 2009075414W WO 2010075728 A1 WO2010075728 A1 WO 2010075728A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
filtering
rule
analysis
traffic
Prior art date
Application number
PCT/CN2009/075414
Other languages
English (en)
French (fr)
Inventor
李军辉
陆春华
云长江
秦二辉
韩雷
曾斯柯
王立业
雷新
刘悦
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2010075728A1 publication Critical patent/WO2010075728A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Definitions

  • the present invention relates to the field of network communications, and in particular, to a packet processing method, apparatus, and system.
  • the analysis device recognizes harmful information. In order to prevent the harmful information from continuing to be transmitted, it is necessary to block the data packets of the network, but continue to forward the normal packets.
  • the safety split router is intervened into the backbone through the splitter.
  • the secure traffic router When receiving a packet that is split or mirrored from the pre-stage device, the secure traffic router performs matching and actions according to the configuration of the Access Control List (ACL). Packets that do not match any of the ACLs are discarded. The matched packets are redirected to the corresponding port or port group. The ports in the port group are output in load balancing mode. This completes a traffic import, split, and load sharing system for downstream equipment to detect, analyze, and monitor traffic.
  • ACL Access Control List
  • Non-sensitive traffic refers to traffic that is not of interest to the analysis device. In-depth analysis is not required for non-sensitive traffic.
  • non-sensitive traffic includes P2P traffic, video traffic, etc., which reduces the efficiency of the analysis device. Divert all traffic, occupying a large amount of limited resources.
  • the increase in analytical equipment also increases the integration cost and efficiency of the analytical results. Summary of the invention
  • the object of the embodiments of the present invention is to provide a packet processing method and device, and a message processing system, which solves the problem that the traffic density of the traffic distribution device is large and the analysis device is inefficient.
  • a message processing method includes:
  • the offloaded message is analyzed, and the filter rule set is updated according to the analysis result.
  • a message processing system including a filtering device, a shunting device, and an analyzing device;
  • the filtering device is configured to: filter the non-sensitive traffic in the packet according to the filtering rule set configured by the analyzing device, and send the filtered packet to the traffic distribution device;
  • the offloading device is configured to offload the packet filtered by the filtering device to the analyzing device, and the analyzing device is configured to analyze, according to the analysis rule, the packet that is offloaded by the offloading device, and The filtering device updates the filter rule set according to the analysis result of the analysis device.
  • a filtering device located in front of the shunting device, comprising:
  • a rule maintenance module configured to maintain a set of filtering rules configured by the analysis device
  • a filtering module configured to filter out non-sensitive traffic in the packet according to the filtering rule set
  • a sending module configured to send the filtered packet to the offloading device, so that the offloading device offloads the filtered packet.
  • the technical solution provided by the embodiment of the present invention is used, because the pre-filtering of the packet before the traffic distribution is performed by the traffic distribution device can reduce the size of the packet that needs to be offloaded, thereby reducing the repeated analysis of the non-sensitive traffic by the analysis device.
  • the problem of large flow pressure of the flow dividing device and low efficiency of the analysis device is solved.
  • FIG. 1 is a flowchart of a packet processing method according to an embodiment of the present invention.
  • FIG. 2 is a block diagram of a filtering device according to another embodiment of the present invention.
  • FIG. 3 is a block diagram of a message processing system in still another embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a specific application scenario of a packet processing system according to another embodiment of the present invention
  • FIG. 5 is a schematic diagram of another specific application scenario of a packet processing system according to still another embodiment of the present invention.
  • FIG. 1 is a flow chart of a message processing method in an embodiment of the present invention. The method includes:
  • the filtering device filters out the non-sensitive traffic according to the filtering rule set configured by the analyzing device.
  • the non-sensitive traffic refers to the traffic that the analysis device does not care about, and the insensitive analysis does not require the in-depth analysis.
  • the non-sensitive traffic includes P2P traffic, video traffic, etc.).
  • the set of filtering rules may be composed of a quintuple rule (source address, destination address, source port, destination port, protocol number).
  • a quintuple rule can be either an exact match or a support mask. If the quintuple information in the packet matches the quintuple rule in the filter rule set, the packet is blocked. If the quintuple information in the packet does not match any quintuple rule in the filter rule set, the packet is allowed. by.
  • the traffic distribution device matches the packets that are filtered by the non-sensitive traffic (that is, the traffic that needs to be analyzed by the device) according to the configuration of the ACL.
  • the packets matching the ACL are offloaded to the analysis device and discarded. A message that does not match any entry in the access control list.
  • the application analysis rule of the packet that is offloaded is analyzed, the filter rule set is updated, and the new filter rule set is sent to the filtering device.
  • the analysis device collects statistics on the traffic, IP address, and online time of the packets that are offloaded, and analyzes the packets after the traffic distribution based on the port number and protocol number to check whether there is still non-sensitive traffic that does not need to be analyzed. If there is still non-sensitive traffic, the quintuple information of the non-sensitive traffic is sent to the filtering device to cause the filtering device to update the filtering rule set.
  • the update of the filter rule set may be one or more of adding a filter rule, deleting a filter rule, and aging a filter rule.
  • the aging filtering rules include static aging (such as daytime aging) and dynamic aging (such as excessive aging).
  • the analysis rules are configured in one or more of the following ways: by client configuration, by script configuration, by manual configuration.
  • FIG. 2 is a block diagram of a filtering device in another embodiment of the present invention.
  • the filtering device is located in front of the flow dividing device, and the filtering device includes: a rule maintenance module 202, a filtering module 204, and a sending module 206;
  • the rule maintenance module 202 is configured to maintain a set of filtering rules configured by the analysis device.
  • the filter rule set consists of a five-tuple rule.
  • a quintuple rule can be either an exact match or a support mask.
  • the rule maintenance module 2 02 maintains a filter rule set according to the filter rule set update information of the analysis device, including adding a filter rule.
  • the filtering module 204 is configured to filter non-sensitive traffic in the packet according to the filtering rule set. If the quintuple information in the packet matches the quintuple rule in the filter rule set, the packet is blocked. If the quintuple information in the packet does not match any quintuple rule in the filter rule set, the packet is allowed to pass.
  • the sending module 206 is configured to send the filtered packet to the offloading device to enable the offloading device to offload the filtered packet.
  • the filtering device can be located on a separate board or on a storage unit inside the board of the power distribution device.
  • FIG. 3 is a block diagram of a message processing system in still another embodiment of the present invention.
  • the system includes: a filtering device 302, a flow dividing device 304, and an analyzing device 306;
  • the filtering device 302 is configured to block the non-sensitive traffic in the packet from passing according to the filtering rule set configured by the analyzing device 306, and send the filtered packet to the traffic limiting device 304.
  • the filter rule set consists of a five-tuple rule.
  • a quintuple rule can be either an exact match or a support mask.
  • the offloading device 304 is configured to offload the packets filtered by the filtering device to the analyzing device 306. For example, the traffic distribution device 304 matches the packets filtered by the filtering device 302 according to the configuration of the access control list, and the packets matching the access control list are offloaded to the corresponding analysis device 306, and any entries that do not match the access control list are discarded. Message.
  • the analyzing device 306 is configured to analyze, according to the analysis rule, the packet that is offloaded by the offloading device 304, and obtain the packet that matches the non-sensitive traffic rule in the analysis rule, and the packet is updated according to the packet matching the non-sensitive traffic rule.
  • the rule set, and the information of the update filter rule set is sent to the filtering device 302 to cause the filtering device 302 to update the filter rule set according to the analysis result of the analysis device.
  • the analyzing device 306 performs statistics on the traffic, the address, and the online time, analyzes the non-sensitive traffic such as the P2P application by combining the user address and the port information, and sends the quintuple information of the non-sensitive traffic to the filtering device 302 to enable the filtering device.
  • 30 2 Update the filter rule collection.
  • the update of the filter rule set may be one or more of adding a filter rule, deleting a filter rule I", and aging a filter rule.
  • the analysis rules are configured in one or more of the following ways: by client configuration, by script configuration, by manual configuration.
  • the packet processing system includes a filtering device 402, a traffic splitting device 404, a splitting slot 406, and an analyzing device 408 on a separate board;
  • the filtering device 402 on the two independent hot-swappable boards, the two boards respectively filter the upstream and downstream flows. Filtering device 402 sends the filtered message to offload policy device 404.
  • the traffic policy device 404 includes two boards.
  • the two boards are respectively configured to perform a traffic distribution policy on the two packets filtered by the filtering device, and send the completed packet to the traffic distribution channel 406.
  • the splitter 406 including one or more veneers depending on the particular implementation.
  • the distribution slot 406 is configured to hash the traffic in the same port group and send the analysis device 408 according to the egress port.
  • Analysis device 408 including one or more analysis servers as a matter of implementation.
  • the analyzing device 4 08 is configured to analyze the packet that is matched by the non-sensitive traffic rule in the analysis rule according to the analysis rule, and update the filtering rule set according to the packet matching the non-sensitive traffic rule, and filter the packet.
  • the device 402 sends information that updates the set of filtering rules to cause the filtering device 402 to update the set of filtering rules.
  • the analyzing device 408 performs statistics on the traffic, the address, and the online time, analyzes the non-sensitive traffic such as the P2P application by combining the user address and the port information, and sends the quintuple information of the non-sensitive traffic to the filtering device 402 to enable the filtering device. 402 updates the filter rule set.
  • the filtering device 402 in the specific application scenario of the packet processing system in another embodiment of the present invention is not limited to two independent hot-swappable boards, and may be You need to configure one or more boards and decide whether to hot swap.
  • the split policy device 404 is not limited to include two boards, and one or more boards can be configured as needed.
  • FIG. 5 is a schematic diagram of another specific application scenario of a message processing system according to still another embodiment of the present invention.
  • the message processing system includes an interface board 502, a distribution slot 504, and an analysis device 506.
  • Interface board 502 including two boards.
  • the filtering device is located on the storage unit of the interface board 502 for filtering the upstream and downstream traffic.
  • the interface board 502 is configured to perform a traffic distribution policy on the filtered packet, and send the offloaded packet to the traffic distribution slot 504.
  • the splitter slot 504 includes one or more veneers depending on the particular implementation.
  • the splitter slot 504 is configured to hash traffic in the same port group and send it to the analysis device 506 according to the egress port.
  • the packet is configured to be matched according to the analysis rule, and the packet matching the non-sensitive traffic rule in the analysis rule is obtained, and the filter rule set is updated according to the packet matching the non-sensitive traffic rule, and is located in the interface board 502.
  • the filtering device on the storage unit sends the information of the updated filtering rule set to cause the filtering device located on the storage unit in the interface board 50 2 to update the filtering rule set.
  • the analyzing device 506 collects statistics on the traffic, the address, and the online time, analyzes the non-sensitive traffic such as the P2P application by combining the user address and the port information, and sends the quintuple information of the non-sensitive traffic to the interface board 502 to make the interface
  • the filtering device on the storage unit in board 502 updates the set of filtering rules.
  • interface board 502 is not limited to two boards in the specific application scenario of the packet processing system in another embodiment of the present invention, and one or more boards can be configured as needed.
  • the technical solution provided by the embodiment of the present invention is used, because the pre-filtering is performed before the packet is offloaded by the traffic distribution device, and the aging of the filtering rule is supported, the size of the packet that needs to be offloaded can be reduced, thereby reducing the same.
  • the repeated analysis of non-sensitive traffic by the analysis equipment can reduce the impact of uneven distribution, and solve the problem that the flow pressure of the flow-dividing equipment is large, the efficiency of the analysis equipment is low, and the uneven distribution is affected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及网络通信领域，尤其涉及一种报文处理方法、装置和系统。该方法包括：根据过滤规则集合，过滤掉报文中的非敏感流量；对所述过滤后的报文进行分流；分析所述分流后的报文，并根据分析结果更新所述过滤规则集合。采用本发明实施例提供的技术方案，因为在分流设备对报文分流前进行预过滤，可以减小需要进行分流的报文的规模，从而同时减少了分析设备对非敏感流量的重复分析，解决了分流设备流量压力大、分析设备效率低的问题。

Description

说明书
Title of Invention:一种报文处理方法、 装置和系统
[1] 本申请要求于 2008年 12月 31日提交中国专利局、 申请号为 200810242170.5、 发 明名称为"一种报文处理方法、 装置和系统"的中国专利申请的优先权， 其全部内 容通过引用结合在本申请中。
[2] 技术领域
[3] 本发明涉及网络通信领域， 尤其涉及一种报文处理方法、 装置和系统。
[4] 发明背景
[5] 随着信息技术的发展， 网络应用的日益广泛， 网络安全成为各运营商的重要工 作之一； 由于网络流量海量增长， 应用日趋复杂， 后台处理系统因平台局限无 法直接对流量进行处理， 需要专门的分流设备， 将网络中的数据报文， 分解成 适合处理系统或分析设备处理的粒度， 按要求重定向到特定的服务器进行分析 ， 同吋不影响网络流量传输。
[6] 分析设备识别到有害信息， 为了防止有害信息继续传递， 需要对网络的数据报 文进行阻断， 但对正常报文继续转发。
[7] 安全分流路由器通过分光器介入到骨干网中。 当接收到从前级设备分光或者镜 像过来的报文吋， 安全分流路由器根据访问控制列表 （Access Control List, ACL ) 的配置进行匹配和动作。 对不匹配任何 ACL中任何表项的报文直接丢弃， 匹 配的报文重定向到对应的端口或者端口组， 在端口组的各端口间以负载分担方 式输出。 这样就完成一个流量引入、 分流、 负载分担的系统， 供后级设备对流 量进行检测分析和监视。
[8] 随着互联网的快速发展， 网络流量呈快速增长趋势， 各种应用产生了大量数据 传输， 后台分析设备规模越来越大， 压力也不断增加， 导致分析设备需要处理 大量非敏感流量 （非敏感流量是指分析设备不关注的流量， 对非敏感流量不需 要深度分析， 一般情况下， 非敏感流量包括 P2P流量、 视频流量等） ， 降低了分 析设备的效率， 同吋分流设备也会对全部流量分流， 大量占用有限的资源。 分 析设备的增加也增加分析结果的整合成本和效率。 发明内容
本发明实施例的目的是提供一种报文处理方法和装置， 以及一种报文处理系统 ， 解决了分流设备流量压力大、 分析设备效率低的问题。
本发明实施例的目的是通过以下技术方案实现的：
一种报文处理方法， 包括：
根据过滤规则集合， 过滤掉报文中的非敏感流量；
对所述过滤后的报文进行分流；
分析所述分流后的报文， 并根据分析结果更新所述过滤规则集合。
一种报文处理系统， 包括过滤装置、 分流设备和分析设备； 其中，
所述过滤装置， 用于根据所述分析设备配置的过滤规则集合过滤掉报文中的非 敏感流量， 并向所述分流设备发送经过过滤的报文；
所述分流设备， 用于将所述经过过滤装置过滤的报文分流到所述分析设备； 所述分析设备， 用于根据分析规则对所述经过分流设备分流的报文进行分析， 并使所述过滤装置根据所述分析设备的分析结果更新所述过滤规则集合。
一种过滤装置， 位于分流设备之前， 包括：
规则维护模块， 用于维护分析设备配置的过滤规则集合；
过滤模块， 用于根据过滤规则集合过滤掉报文中的非敏感流量；
发送模块， 用于向分流设备发送经过过滤的所述报文以使所述分流设备分流所 述经过过滤的报文。
釆用本发明实施例提供的技术方案， 因为在分流设备对报文分流前进行预过滤 ， 可以减小需要进行分流的报文的规模， 从而同吋减少了分析设备对非敏感流 量的重复分析， 解决了分流设备流量压力大、 分析设备效率低的问题。
附图简要说明
图 1为本发明一个实施例中报文处理方法流程图；
图 2为本发明另一个实施例中过滤装置框图；
图 3为本发明又一个实施例中报文处理系统框图；
图 4为本发明又一个实施例中报文处理系统的一个具体应用场景示意图； 图 5为本发明又一个实施例中报文处理系统的另一个具体应用场景示意图。 [31] 实施本发明的方式
[32] 图 1为本发明一个实施例中报文处理方法流程图。 该方法包括：
[33] 102、 过滤装置根据分析设备配置的过滤规则集合过滤掉非敏感流量 （非敏感 流量是指分析设备不关注的流量， 对非敏感流量不需要深度分析， 一般情况下 ， 非敏感流量包括 P2P流量、 视频流量等） 。 举例来说， 所述过滤规则集合可以 由五元组规则 （源地址、 目的地址、 源端口、 目的端口、 协议号） 组成。 五元 组规则可以是完全匹配的或支持掩码的。 如果报文中五元组信息与过滤规则集 合中的五元组规则匹配则阻止报文通过， 如果报文中五元组信息不与过滤规则 集合中的任何五元组规则匹配则允许报文通过。
[34] 104、 对过滤掉非敏感流量后的报文进行分流。
[35] 例如， 分流设备按访问控制列表的配置对过滤掉非敏感流量后的报文 （即需要 分析设备分析的流量） 进行匹配， 将能够匹配访问控制列表的报文分流到分析 设备， 丢弃不匹配访问控制列表的任何表项的报文。
[36] 106、 分析分流后的报文， 并根据分析结果更新所述过滤规则集合。
[37] 本实施例中， 对经过分流的报文的应用分析规则进行分析， 更新过滤规则集合 ， 把新的过滤规则集合发送到过滤装置。 例如， 分析设备对经过分流的报文的 流量、 IP地址和在线吋间进行统计， 结合端口号、 协议号， 对分流后的报文进行 分析确认是否还存在不需要分析的非敏感流量， 如果仍然存在非敏感流量， 则 将非敏感流量的五元组信息向过滤装置发送以使过滤装置更新过滤规则集合。 当然， 对过滤规则集合的更新可以是增加过滤规则、 删除过滤规则、 老化过滤 规则中的一种或多种。 所述老化过滤规则包括静态老化 （如吋间老化） 和动态 老化 （如超吋不命中老化） 。 分析规则由以下方式中的一种或多种配置： 通过 客户端配置、 通过脚本配置、 手工进行配置。
[38] 图 2为本发明另一个实施例中过滤装置框图。 该过滤装置位于分流设备之前， 该过滤装置包括： 规则维护模块 202、 过滤模块 204和发送模块 206; 其中，
[39] 规则维护模块 202， 用于维护分析设备配置的过滤规则集合。 过滤规则集合由 五元组规则组成。 五元组规则可以是完全匹配的或支持掩码的。 规则维护模块 2 02根据分析设备的过滤规则集合更新信息维护过滤规则集合， 包括增加过滤规 贝 |J、 删除过滤规则、 老化过滤规则中的一种或多种。
[40] 过滤模块 204， 用于根据过滤规则集合过滤报文中的非敏感流量。 如果报文中 五元组信息与过滤规则集合中的五元组规则匹配则阻止报文通过。 如果报文中 五元组信息与过滤规则集合中的任何五元组规则不匹配则允许报文通过。
[41] 发送模块 206， 用于向分流设备发送经过过滤的报文以使所述分流设备分流所 述经过过滤的报文。
[42] 过滤装置， 可以位于独立的单板上， 也可以位于分流设备单板内部的存储单元 上。
[43] 以下结合图 3到图 5说明本发明又一个实施例。
[44] 图 3为本发明又一个实施例中报文处理系统框图。 该系统包括： 过滤装置 302、 分流设备 304和分析设备 306； 其中，
[45] 过滤装置 302， 用于根据分析设备 306配置的过滤规则集合阻止报文中的非敏感 流量通过， 并向分流设备 304发送经过过滤的报文。 过滤规则集合由五元组规则 组成。 五元组规则可以是完全匹配的或支持掩码的。
[46] 分流设备 304， 用于将经过过滤装置过滤的报文分流到分析设备 306。 例如， 分 流设备 304按访问控制列表的配置对经过过滤装置 302过滤的报文进行匹配， 将 能够匹配访问控制列表的报文分流到相应的分析设备 306， 丢弃不匹配访问控制 列表的任何表项的报文。
[47] 分析设备 306， 用于根据分析规则对经过分流设备 304分流的报文进行分析， 得 到与分析规则中非敏感流量规则匹配的报文， 根据与非敏感流量规则匹配的报 文更新过滤规则集合， 并向过滤装置 302发送更新过滤规则集合的信息以使过滤 装置 302根据所述分析设备的分析结果更新过滤规则集合。 例如， 分析设备 306 对流量、 地址和在线吋间进行统计， 结合用户地址和端口信息分析出 P2P应用等 非敏感流量， 并将非敏感流量的五元组信息向过滤装置 302发送以使过滤装置 30 2更新过滤规则集合。 对过滤规则集合的更新可以是增加过滤规则、 删除过滤规 贝 I」、 老化过滤规则中的一种或多种。 分析规则由以下方式中的一种或多种配置 ： 通过客户端配置、 通过脚本配置、 手工进行配置。
[48] 图 4为本发明又一个实施例中报文处理系统的一个具体应用场景示意图。 [49] 该具体应用场景中， 报文处理系统包括位于独立的单板上的过滤装置 402、 分 流策略设备 404、 分流槽 406和分析设备 408 ; 其中，
[50] 过滤装置 402， 在两块独立可热插拔的单板上， 两块单板分别对上行、 下行流 量进行过滤。 过滤装置 402将经过过滤的报文发送到分流策略设备 404。
[51] 分流策略设备 404， 包括两块单板。 两块单板分别用于对过滤装置 402发送的两 股经过过滤装置过滤的报文执行分流策略， 将完成分流的报文发送到分流槽 406
[52] 分流槽 406， 包括由具体实施情况而定的一块或多块单板。 分流槽 406用于对同 一端口组内流量进行散列 （Hash) ， 根据出端口上送分析设备 408。
[53] 分析设备 408， 包括由具体实施情况而定的一个或多个分析服务器。 分析设备 4 08用于根据分析规则对经过分流的报文进行分析， 得到与分析规则中非敏感流 量规则匹配的报文， 根据与非敏感流量规则匹配的报文更新过滤规则集合， 并 向过滤装置 402发送更新过滤规则集合的信息以使过滤装置 402更新过滤规则集 合。 例如， 分析设备 408对流量、 地址和在线吋间进行统计， 结合用户地址和端 口信息分析出 P2P应用等非敏感流量， 并将非敏感流量的五元组信息向过滤装置 402发送以使过滤装置 402更新过滤规则集合。
[54] 本领域相关技术人员可以理解， 本发明又一个实施例中报文处理系统的该具体 应用场景中过滤装置 402并不限定于在两块独立可热插拔的单板上， 可以根据需 要配置一块或多块单板和决定是否可热插拔。 分流策略设备 404也并不限定于包 括两块单板， 可以根据需要配置一块或多块单板。
[55] 图 5为本发明又一个实施例中报文处理系统的另一个具体应用场景示意图。
[56] 该具体应用场景中， 报文处理系统包括接口板 502、 分流槽 504和分析设备 506 ； 其中，
[57] 接口板 502， 包括两块单板。 过滤装置位于接口板 502中存储单元上， 用于对上 行、 下行流量进行过滤。 接口板 502并用于对经过过滤的报文执行分流策略， 将 完成分流的报文发送到分流槽 504。
[58] 分流槽 504， 包括由具体实施情况而定的一块或多块单板。 分流槽 504用于对同 一端口组内流量进行散列， 根据出端口发送至分析设备 506。 [59] 分析设备 506， 包括由具体实施情况而定的一个或多个分析服务器。 用于根据 分析规则对经过分流的报文进行分析， 得到与分析规则中非敏感流量规则匹配 的报文， 根据与非敏感流量规则匹配的报文更新过滤规则集合， 并向位于接口 板 502中存储单元上的过滤装置发送更新过滤规则集合的信息以使位于接口板 50 2中存储单元上的过滤装置更新过滤规则集合。 例如， 分析设备 506对流量、 地 址和在线吋间进行统计， 结合用户地址和端口信息分析出 P2P应用等非敏感流量 ， 并将非敏感流量的五元组信息向接口板 502发送以使位于接口板 502中存储单 元上的过滤装置更新过滤规则集合。
[60] 本领域相关技术人员可以理解， 本发明又一个实施例中报文处理系统的该具体 应用场景中接口板 502并不限定于两块单板， 可以根据需要配置一块或多块单板
[61] 釆用本发明实施例提供的技术方案， 因为在分流设备对报文分流前进行预过滤 ， 并且支持过滤规则的老化， 可以减小需要进行分流的报文的规模， 从而同吋 减少了分析设备对非敏感流量的重复分析， 并可以减少分流不均等带来的影响 ， 解决了分流设备流量压力大、 分析设备效率低、 分流不均影响大的问题。
[62] 本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以 通过程序来指令相关的硬件完成， 所述的程序可以存储于计算机可读存储介质 中， 所述存储介质可以是 ROM/RAM, 磁盘或光盘等。
[63] 以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不局限于 此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想到 的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围 应该以权利要求的保护范围为准。

Claims

权利要求书
一种报文处理方法， 其特征在于， 包括：
根据过滤规则集合， 过滤掉报文中的非敏感流量；
对过滤后的报文进行分流；
分析分流后的报文， 并根据分析结果更新所述过滤规则集合。 根据权利要求 1所述的报文处理方法， 其特征在于， 所述过滤规则 集合包括至少一种过滤规则， 所述过滤规则包括：
完全匹配的五元组规则； 或
支持掩码的五元组规则。
根据权利要求 1所述的报文处理方法， 其特征在于， 所述更新所述 过滤规则集合， 包括以下更新方式中的一种或多种：
增加过滤规则；
删除过滤规则；
老化过滤规则。
根据权利要求 1所述的报文处理方法， 其特征在于， 所述分流过滤 后的报文， 包括：
按访问控制列表的配置对所述经过过滤的报文进行匹配， 分流能 够匹配所述访问控制列表的报文。
根据权利要求 1所述的报文处理方法， 其特征在于， 所述分析分流 后的报文， 并根据分析结果更新所述过滤规则集合包括： 根据分析规则对分流后的报文进行分析， 得到与分析规则中非敏 感流量规则匹配的报文， 根据与非敏感流量规则匹配的报文更新 所述过滤规则集合。
根据权利要求 5所述的报文处理方法， 其特征在于， 所述分析规则 由以下方式中的一种或多种配置： 通过客户端配置、 通过脚本配 置、 手工进行配置。
一种报文处理系统， 其特征在于， 包括过滤装置、 分流设备和分 析设备； 其中， 所述过滤装置， 用于根据所述分析设备配置的过滤规则集合过滤 掉报文中的非敏感流量， 并向所述分流设备发送经过过滤的报文 所述分流设备， 用于将所述经过过滤装置过滤的报文分流到所述 分析设备；
所述分析设备， 用于根据分析规则对所述经过分流设备分流的报 文进行分析， 并使所述过滤装置根据所述分析设备的分析结果更 新所述过滤规则集合。
[Claim 8] 根据权利要求 7所述的报文处理系统， 其特征在于， 所述分析规则 由以下方式中的一种或多种配置：
通过客户端配置；
通过脚本配置；
手工进行配置。
[Claim 9] 根据权利要求 7所述的报文处理系统， 其特征在于， 所述报文过滤 装置， 位于独立的单板上， 或位于所述分流设备单板内部的存储 单元上。
[Claim 10] 根据权利要求 7所述的报文处理系统， 其特征在于， 所述分流设备 按访问控制列表的配置对所述经过过滤的报文进行匹配， 将能够 匹配所述访问控制列表的报文分流到所述分析设备。
[Claim 11] 一种过滤装置， 其特征在于， 位于分流设备之前， 包括：
规则维护模块， 用于维护过滤规则集合；
过滤模块， 用于根据过滤规则集合过滤掉报文中的非敏感流量； 发送模块， 用于向分流设备发送经过过滤的所述报文， 以使所述 分流设备分流所述经过过滤的报文。
[Claim 12] 根据权利要求 11所述的过滤装置， 其特征在于， 所述过滤装置， 位于独立的单板上， 或位于分流设备单板内部的存储单元上。
PCT/CN2009/075414 2008-12-31 2009-12-08 一种报文处理方法、装置和系统 WO2010075728A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNA2008102421705A CN101478478A (zh) 2008-12-31 2008-12-31 一种报文处理方法、装置和系统
CN200810242170.5 2008-12-31

Publications (1)

Publication Number Publication Date
WO2010075728A1 true WO2010075728A1 (zh) 2010-07-08

Family

ID=40839113

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/075414 WO2010075728A1 (zh) 2008-12-31 2009-12-08 一种报文处理方法、装置和系统

Country Status (2)

Country Link
CN (1) CN101478478A (zh)
WO (1) WO2010075728A1 (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统
CN101702726B (zh) * 2009-11-13 2012-06-27 曙光信息产业(北京)有限公司 用于ip包分类设备的五元组规则更新方法和装置
CN101764741B (zh) * 2009-11-27 2012-06-06 上海恒为信息科技有限公司 支持多业务功能的过滤分流装置及其方法
CN102238632B (zh) * 2010-04-21 2014-12-17 电信科学技术研究院 一种分流的处理方法、系统和设备
CN103004145B (zh) * 2011-07-21 2015-04-08 华为技术有限公司 一种虚拟专用网络的分流方法、分流设备和分流系统
CN102724119B (zh) * 2012-06-08 2015-05-20 南京贝伦思网络科技有限公司 一种网络负载均衡设备或分流设备规则同步方法
CN104349395A (zh) * 2013-08-06 2015-02-11 中国电信股份有限公司 用于处理数据报文的方法、用户终端和系统
CN103561001A (zh) * 2013-10-21 2014-02-05 华为技术有限公司 一种安全防护方法及路由设备
WO2015138265A1 (en) * 2014-03-14 2015-09-17 Intel IP Corporation Method and apparatus to assist network traffic
CN104735084A (zh) * 2015-04-13 2015-06-24 国家电网公司 一种防火墙基线策略审计方法
CN105282151B (zh) * 2015-09-18 2018-09-11 北京锐安科技有限公司 用于数据报文分离处理的系统
CN113168460A (zh) * 2018-11-23 2021-07-23 西门子股份公司 用于数据分析的方法、设备和系统
CN111343153A (zh) * 2020-02-10 2020-06-26 Oppo（重庆）智能科技有限公司 数据包检测方法、装置、服务器及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050125531A1 (en) * 1999-07-09 2005-06-09 Barry Singer System for collecting, analyzing, and reporting high volume multi-web server usage
CN101060521A (zh) * 2006-04-18 2007-10-24 华为技术有限公司 信息包过滤方法及网络防火墙
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050125531A1 (en) * 1999-07-09 2005-06-09 Barry Singer System for collecting, analyzing, and reporting high volume multi-web server usage
CN101060521A (zh) * 2006-04-18 2007-10-24 华为技术有限公司 信息包过滤方法及网络防火墙
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ZHANG ET AL.: "Research of Network Content Auditing and Monitoring Technology", CHINESE DOCTORAL DISSERTATIONS & MASTER'S THESES FULL-TEXT DATABASE (MASTER) INFORMATION SCIENCE AND TECHNOLOGY, 16 October 2005 (2005-10-16), pages 33 - 34 *

Also Published As

Publication number Publication date
CN101478478A (zh) 2009-07-08

Similar Documents

Publication Publication Date Title
WO2010075728A1 (zh) 一种报文处理方法、装置和系统
US11374905B2 (en) Methods and systems for efficient cyber protections of mobile devices
US7596806B2 (en) VPN and firewall integrated system
US8065719B2 (en) Method and apparatus for reducing firewall rules
JP6598382B2 (ja) ヒューリスティック及びビジネスポリシーに基づく、ネットワークトラフィックフローに対するリソースのインクリメンタルアプリケーション
US6854063B1 (en) Method and apparatus for optimizing firewall processing
US8117655B2 (en) Detecting anomalous web proxy activity
US7120931B1 (en) System and method for generating filters based on analyzed flow data
US8004998B2 (en) Capture and regeneration of a network data using a virtual software switch
US8874766B2 (en) System and method for flexible network access control policies in a network environment
US20130227672A1 (en) Next generation secure gateway
US9178851B2 (en) High availability security device
US9462001B2 (en) Computer network access control
US20100138909A1 (en) Vpn and firewall integrated system
TWI492090B (zh) 分散式阻斷攻擊防護系統及其方法
WO2011026336A1 (zh) 一种实现长短信过滤的系统和方法
Lewis et al. P4ID: P4 enhanced intrusion detection
US8161555B2 (en) Progressive wiretap
EP2321934B1 (en) System and device for distributed packet flow inspection and processing
CN113489652A (zh) 一种数据流放大方法、装置、汇聚分流器以及存储介质
CN117596252A (zh) 流量镜像方法及装置
CN106230640B (zh) 一种安全规则端口配置方法和设备
CN103004145B (zh) 一种虚拟专用网络的分流方法、分流设备和分流系统
Ahmed et al. A Linux-based IDPS using Snort
CN114745142A (zh) 一种异常流量处理方法、装置、计算机设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09836015

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09836015

Country of ref document: EP

Kind code of ref document: A1