WO2013097475A1 - 防火墙的数据检测方法及装置 - Google Patents

防火墙的数据检测方法及装置 Download PDF

Info

Publication number
WO2013097475A1
WO2013097475A1 PCT/CN2012/080569 CN2012080569W WO2013097475A1 WO 2013097475 A1 WO2013097475 A1 WO 2013097475A1 CN 2012080569 W CN2012080569 W CN 2012080569W WO 2013097475 A1 WO2013097475 A1 WO 2013097475A1
Authority
WO
WIPO (PCT)
Prior art keywords
application
data
application data
detection
threat
Prior art date
Application number
PCT/CN2012/080569
Other languages
English (en)
French (fr)
Inventor
李世光
蒋武
薛智慧
阮玲宏
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2013097475A1 publication Critical patent/WO2013097475A1/zh
Priority to US14/305,723 priority Critical patent/US9398027B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/082—Configuration setting characterised by the conditions triggering a change of settings the condition being updates or upgrades of network functionality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/67—Risk-dependent, e.g. selecting a security level depending on risk profiles

Definitions

  • firewall devices are typically deployed in the network.
  • the prior art firewall device usually includes a fast forwarder and a detection processor, and the fast forwarder sends the received application data to the detection processor for threat detection, and the fast forwarder passes again.
  • the application data detected by the detection processor is quickly forwarded to implement detection of the application data.
  • the embodiment of the invention provides a data detection method for a firewall, including:
  • the threat detection configuration item Querying the threat detection configuration item according to the application protocol type to determine whether the application data needs to be detected by the threat, where the threat detection configuration item includes an application protocol type that needs to perform threat detection, and/or an application that does not need to be detected. agreement type;
  • the application data is forwarded.
  • An embodiment of the present invention provides a data detecting apparatus for a firewall, including a fast forwarder.
  • the fast forwarder includes:
  • a receiving module configured to receive application data
  • An application identification module configured to acquire application information in the application data received by the receiving module, and determine, according to the application information and the application identification table, an application protocol type corresponding to the application data, where the application identification table includes application information and And the application information includes a destination internet protocol IP address, a destination port, and a transmission protocol type corresponding to the application data; and a determining module, configured to determine the type of the application protocol according to the application identification module Querying the threat detection configuration item to determine whether the application data needs to be detected by the threat, wherein the threat detection configuration item includes an application protocol type that needs to be detected by the threat, and/or does not need to be checked. Type of application protocol tested;
  • a forwarding module configured to forward the application data if the determining module determines that the application data does not need to perform threat detection.
  • FIG. 1 is a flowchart of a data detection method of a firewall according to an embodiment of the present invention
  • FIG. 2 is a flowchart of another method for detecting data of a firewall according to an embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of a data detecting apparatus of another firewall according to an embodiment of the present invention.
  • FIG. 1 is a flowchart of a method for detecting data of a firewall according to an embodiment of the present invention.
  • the firewall can be set in the gateway.
  • the data detection method of the firewall provided in this embodiment may be specifically implemented by a data detecting device of the firewall.
  • the data detecting device of the firewall may be disposed in a firewall, and may be implemented by software and/or hardware.
  • a fast repeater and a detection processor may be disposed in the firewall.
  • the fast forwarder is a high-speed device that can implement application data forwarding. It can be implemented by Field Programmable Gate Array (FPGA) or by Application Specific Integrated Circuit (ASIC). .
  • FPGA Field Programmable Gate Array
  • ASIC Application Specific Integrated Circuit
  • the implementation of the fast forwarder can be specifically set according to the actual application data forwarding requirement, and the fast forwarding of the application data can be implemented, which is not limited to this embodiment.
  • the data detection method of the firewall takes the operation of the fast forwarder as an example, and is specifically described as follows:
  • the method flow includes:
  • Step 101 Receive application data.
  • the terminal usually accesses the Internet through a gateway, and performs data interaction with a network device such as a server in the network.
  • the application data received by the fast forwarder may specifically be application data generated during data interaction between network devices in the network.
  • Step 102 Obtain application information in the received application data, and determine, according to the application information and the application identification table, an application protocol type corresponding to the application data.
  • the application information corresponding to the application data is specifically used to indicate information such as a destination host address and an application type of the application data.
  • the application protocol corresponding to the application data may be determined according to the application protocol type corresponding to the application information, and the application protocol type, that is, the service type may include multiple types, such as a Hyper Text Transfer Protocol (HTTP) service, and a simple mail transmission. Simple Mail Transfer Protocol (SMTP) service, instant messaging service, and corporate private service.
  • HTTP Hyper Text Transfer Protocol
  • SMTP Simple Mail Transfer Protocol
  • the application information corresponding to the application data may specifically include a destination internet protocol IP address, a destination port, and a transmission protocol type, and the foregoing three types of information constitute a triplet information.
  • the application information may also include other information that can be used to classify the application data, and is not limited to this embodiment.
  • the application identification table includes a mapping relationship between the application information and the application protocol type, for example, the destination IP address is 202.22.1.33, the destination port is 80, and the transmission protocol type is Transmission Control Protocol (TCP) triplet.
  • the application information corresponds to an HTTP service.
  • Step 103 Query a threat detection configuration item according to the application protocol type, to determine whether the application data needs to be detected by the threat;
  • the threat detection configuration item includes an application protocol type that needs to perform threat detection and/or an application protocol type that does not need to be detected.
  • the threat detection configuration item may be specifically obtained from the detection processor, or may be applied according to the detection processor.
  • the detection result of the data for threat detection is generated or dynamically updated.
  • the application data of different application types are easy to carry threats, and the application data may be set according to the application protocol type.
  • the network segment can be set in advance, and the application data of the destination host address in the network segment needs to be detected by threat. Then, it is determined whether the application data needs threat detection according to the destination host address of the application data. It is also possible to judge whether the application data needs to be threat-detected according to the application type of the application data.
  • the application data corresponding to the application type is not easy to carry the threat, and may not be Threat detection is required. If the detection result of the application data of the same application type is usually a threat, the application type may be considered as corresponding.
  • Application data is easy to carry threats and requires threat detection.
  • the threat detection configuration item is queried according to the application type, and it can be determined whether the application data needs to be detected. For example, the application data generated in the HTTP service is easy to carry threats, and threat detection is required.
  • the application data generated in the enterprise private service is not easy to carry threats, and no threat detection is required.
  • the threat detection configuration item may further store a corresponding relationship between the application information and the application type, and the application type described by the application information may be determined by querying the threat detection configuration item.
  • the fast forwarder can query the threat detection configuration item to know whether the application data needs to be detected by the threat, and the implementation is simple. , and the execution efficiency is high.
  • Step 104 If the application data does not need to perform threat detection, forward the application data.
  • the application information in the received application data is obtained by receiving the application data, and the application protocol type corresponding to the application data is determined according to the application information and the application identification table, according to the The application protocol type is used to query the threat detection configuration item to determine whether the application data needs to be detected by the threat. If the application data does not need to perform threat detection, the application data is forwarded. It avoids the problem of firewall performance degradation caused by sending all application data to the detection processor for detection, and improves the detection effect of the firewall on the application data.
  • FIG. 2 is a flowchart of another method for detecting data of a firewall according to an embodiment of the present invention. As shown
  • Step 201 Receive application data.
  • Step 202 Obtain application information in the received application data, and determine, according to the application information and the application identification table, an application protocol type corresponding to the application data.
  • Step 203 When the application information and the application identification table determine that the application protocol type corresponding to the application data is not available, send the application data to the detection processor.
  • the detection processor needs to perform protocol type identification on the application data, and determines whether the application data needs to be detected by the threat.
  • step 206 is performed; when the application data does not need to be detected by the threat, the execution is performed.
  • the detection processor also needs to generate update information for the newly identified application protocol type and/or threat detection result, and send the update information to the fast forwarder to update the fast forwarder local application identification table. And/or threat detection configuration items.
  • step 203 the fast forwarder needs to execute:
  • Step 203-a receiving update information from the detection processor, and updating the application identification table and the threat detection configuration item;
  • the update information is generated by the detection processor to perform application protocol identification and/or threat detection on the application data, where the update information includes an application protocol type corresponding to the application data and whether the application data is Information that requires threat detection.
  • Step 204 Query the threat detection configuration item according to the application protocol type to determine whether the application data needs to be detected by the threat, when the threat detection is not required, step 205 is performed; when threat detection is required, step 206 is performed;
  • Step 205 Forward the application data, and the process ends.
  • Step 206 Send the application data to the detection processor, and detect whether the application data has a threat. When it is detected that the application data does not have a threat, perform step 207; when detecting that the application data is threatening, Perform step 208;
  • the detection processor detects the received application data, including at least one of the following: the detection processor performs an Intrusion Prevention System (IPS) detection on the received application data;
  • IPS Intrusion Prevention System
  • the detection processor applies a distributed denial of service attack to the received application data.
  • FIG. 3 is a schematic structural diagram of a data detecting apparatus of a firewall according to an embodiment of the present invention. As shown in FIG. 3, the data detecting apparatus of the firewall provided in this embodiment may specifically implement the data detecting apparatus of the firewall provided by any embodiment of the present invention, and specifically includes the fast repeater 300.
  • the fast forwarder 300 includes:
  • the receiving module 310 is configured to receive application data.
  • the application identification module 320 is configured to acquire application information in the application data received by the receiving module 310, and determine an application protocol type corresponding to the application data according to the application information and the application identification table, where the application identification table includes an application.
  • the application information includes a destination Internet Protocol IP address, a destination port, and a transmission protocol type corresponding to the application data.
  • the determining module 330 is configured to determine, according to the application identification module 320.
  • the application protocol type queries the threat detection configuration item to determine whether the application data needs to be detected by the threat.
  • the threat detection configuration item includes an application protocol type that needs to be detected by the threat and/or an application protocol type that does not need to be detected. ;
  • the forwarding module 340 is configured to forward the application data if the determining module 330 determines that the application data does not need to perform threat detection.
  • the data detecting device of the firewall receives the application data by the receiving module, the application identifying module acquires the application information in the received application data, and determines the application protocol corresponding to the application data according to the application information and the application identification table. And the determining module queries the threat detection configuration item according to the application protocol type to determine whether the application data needs to be detected by the threat. If the application data does not need to perform threat detection, the forwarding module directly forwards the application data. According to the problem that the performance of the firewall is reduced due to the detection sent to the detection processor, the detection effect of the firewall on the application data is improved.
  • FIG. 4 is a schematic structural diagram of another data detecting apparatus of a firewall according to an embodiment of the present invention. As shown in FIG. 4, in this embodiment,
  • the fast repeater 400 includes, in addition to the receiving module 410, the application identification module 420, the determining module 430, and the forwarding module 440, the following:
  • the sending module 450 is configured to: if the determining module 430 determines that the application data needs to perform threat detection, send the application data to the detection processor;
  • the forwarding module 440 is further configured to: receive and forward the application data from the detection processor if the detection processor detects that the application data does not have a threat;
  • the blocking module 460 is configured to: when the detecting processor detects that the application data is threatening, receive a blocking instruction from the detecting processor, and block the application data.
  • the fast forwarder 400 further includes:
  • An update module 470 configured to receive update information from the detection processor, and update the application identification table and the threat detection configuration item, where the update information is performed by the detection processor on the application data
  • the result of the application protocol identification and/or threat detection is generated, and the update information includes an application protocol type corresponding to the application data and information about whether the application data needs to perform threat detection.
  • the fast forwarder can determine that the received application data is sufficient for threat detection, and directly forward the application data that does not need to perform threat detection, thereby avoiding all the
  • the problem that the application data is sent to the detection processor for detection and degradation of the performance of the firewall improves the detection effect of the firewall on the application data, and greatly improves the performance of the firewall device.
  • the identification process of the application data can be more conveniently realized, and the application identification table is updated by the actual detection result, so that the application identification table can adapt to the continuous development of the network application, and the identification application protocol is improved.
  • the number of types is used to determine that the received application data is sufficient for threat detection, and directly forward the application data that does not need to perform threat detection, thereby avoiding all the
  • the problem that the application data is sent to the detection processor for detection and degradation of the performance of the firewall improves the detection effect of the firewall on the application data, and greatly improves the performance of the firewall device.
  • the identification process of the application data can be more conveniently realized, and the application identification table is updated by the actual

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Alarm Systems (AREA)

Abstract

本发明实施例提供一种防火墙的数据检测方法及装置，该防火墙的数据检测方法包括：接收应用数据，获取接收到的应用数据中的应用信息，根据所述应用信息和应用识别表判断所述应用数据对应的应用协议类型，根据所述应用协议类型查询威胁检测配置项，以判断所述应用数据是否需要进行威胁检测，若所述应用数据不需要进行威胁检测，则将所述应用数据转发。本发明实施例提供的防火墙的数据检测方法及装置，避免了将所有的应用数据都发送给检测处理器进行检测而造成的防火墙性能下降的问题，提高了防火墙对应用数据的检测效果。

Description

防火墙的数据检测方法及装置
本申请要求于 2011 年 12 月 31 日提交中国专利局、 申请号为 201110459872.0、 发明名称为 "防火墙的数据检测方法及装置" 的中国专利 申请的优先权， 以及要求于 2012年 2 月 27 日提交中国专利局， 申请号为 201210045928.2 , 发明名称为 "防火墙的数据检测方法及装置" 的中国专利 申请的优先权， 上述两个专利申请的全部内容通过引用结合在本申请中。 技术领域
本发明实施例涉及网络安全技术， 尤其涉及一种防火墙的数据检测方法 及装置。 背景技术
随着计算机以及网络技术的快速发展与广泛应用， 现代信息技术对人类 的文明进步起到了巨大的推动作用。 但是， 信息网络因其自身的开放性导致 安全方面出现诸多漏洞。 黑客攻击、 蠕虫病毒、 恶意代码的大量涌现， 信息 网络所面临的风险逐日倍增。 为了实现防御，通常在网络中部署防火墙设备。 为了适应数据传输速率的不断提高， 现有技术的防火墙设备中通常包括快速 转发器和检测处理器， 快速转发器将接收到的应用数据发送给检测处理器进 行威胁检测，快速转发器再将通过检测处理器检测的应用数据进行快速转发， 以实现对应用数据的检测。
上述技术方案在实际应用中至少存在以下问题： 由于快速转发器需要将 接收到的所有应用数据发送给检测处理设备进行检测， 当接收到的应用数据 量很大时， 由于检测处理设备的处理能力有限， 对大量的应用数据进行检测 时， 检测效果不佳。 发明内容 本发明实施例提供一种防火墙的数据检测方法及装置， 以提高防火墙对 应用数据的检测效果。
本发明实施例提供一种防火墙的数据检测方法， 包括：
接收应用数据；
获取接收到的应用数据中的应用信息， 根据所述应用信息和应用识别表 判断所述应用数据对应的应用协议类型， 所述应用识别表包括应用信息与应 用协议类型的对应关系， 所述应用信息包括所述应用数据对应的目的互联网 协议 IP地址、 目的端口和传输协议类型；
根据所述应用协议类型查询威胁检测配置项， 以判断所述应用数据是否 需要进行威胁检测， 其中， 所述威胁检测配置项包括需要进行威胁检测的应 用协议类型和 /或不需要进行检测的应用协议类型；
若所述应用数据不需要进行威胁检测， 则将所述应用数据转发。
本发明实施例提供一种防火墙的数据检测装置， 包括快速转发器； 所述快速转发器包括：
接收模块， 用于接收应用数据；
应用识别模块，用于获取所述接收模块接收到的应用数据中的应用信息， 根据所述应用信息和应用识别表判断所述应用数据对应的应用协议类型， 所 述应用识别表包括应用信息与应用协议类型的对应关系， 所述应用信息包括 所述应用数据对应的目的互联网协议 IP地址、 目的端口和传输协议类型； 判断模块， 用于根据所述应用识别模块判断出的所述应用协议类型查询 威胁检测配置项， 以判断所述应用数据是否需要进行威胁检测， 其中， 所述 威胁检测配置项包括需要进行威胁检测的应用协议类型和 /或不需要进行检 测的应用协议类型；
转发模块， 用于若所述判断模块判断出所述应用数据不需要进行威胁检 测时， 转发所述应用数据。
由上述技术方案可知， 通过接收应用数据， 获取接收到的应用数据中的 应用信息， 根据所述应用信息和应用识别表判断所述应用数据对应的应用协 议类型， 根据所述应用协议类型查询威胁检测配置项， 以判断所述应用数据 是否需要进行威胁检测， 若所述应用数据不需要进行威胁检测， 则将所述应 所有的应用数据都发送给检测处理器进行检测而造成的防火墙性能下降的问 题， 提高了防火墙对应用数据的检测效果。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例提供的一种防火墙的数据检测方法流程图； 图 2为本发明实施例提供的另一种防火墙的数据检测方法流程图； 图 3为本发明实施例提供的一种防火墙的数据检测装置结构示意图； 图 4为本发明实施例提供的另一种防火墙的数据检测装置结构示意图。 具体实施方式 为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本发 明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于 本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
图 1 为本发明实施例提供的一种防火墙的数据检测方法流程图。 如图 1 数据的检测， 该防火墙可以设置在网关中。 本实施例提供的防火墙的数据检 测方法具体可以通过防火墙的数据检测装置来执行， 该防火墙的数据检测装 置可以设置在防火墙中， 可以通过软件和 /或硬件的方式来实现。
具体地， 防火墙中可以设置有快速转发器和检测处理器。 快速转发器为 可以实现应用数据转发的高速设备， 可以通过现场可编程门阵列 （Field Programmable Gate Array , 简称 FPGA )来实现， 也可以通过特殊应用集成电 路（ Application Specific Integrated Circuit, 简称 ASIC )来实现。 快速转发器 的实现方式可以根据实际的应用数据转发需求来具体设置， 可以实现对应用 数据的快速转发即可， 不以本实施例为限。
本实施例中提供的防火墙的数据检测方法， 以快速转发器的操作为例， 进行具体说明如下：
方法流程包括：
步骤 101、 接收应用数据；
本步骤中， 终端通常通过网关接入互联网， 与网络中的服务器等网络设 备进行数据交互。 快速转发器接收到的应用数据具体可以为网络中网络设备 之间数据交互过程中产生的应用数据。
步骤 102、 获取接收到的应用数据中的应用信息， 根据所述应用信息和 应用识别表判断所述应用数据对应的应用协议类型；
其中， 快速转发器对接收到的应用数据进行解析， 获取应用数据对应的 互联网目的协议 IP地址、 目的端口和传输协议类型， 根据目的 IP地址、 目 的端口和传输协议类型生成应用信息， 所述应用识别表包括应用信息与应用 协议类型的对应关系， 所述应用信息包括所述应用数据对应的目的互联网协 议 IP地址、 目的端口和传输协议类型；
其中， 应用数据对应的应用信息具体用以指示该应用数据的目的主机地 址和应用类型等信息。 可以根据该应用信息对应的应用协议类型来判断应用 数据所对应的应用协议， 应用协议类型即服务类型可以包括多种， 如超文本 传输协议（Hyper Text Transfer Protocol, 简称 HTTP )服务、 简单邮件传输 协议（ Simple Mail Transfer Protocol, 简称 SMTP )服务、 即时通讯服务和企 业私有服务等。 应用数据对应的应用信息中具体可以包括目的互联网协议 IP 地址、 目的端口和传输协议类型， 上述三种信息组成三元组信息。 应用信息 中还可以包括其他可以用以对应用数据分类的信息， 不以本实施例为限。 所 述应用识别表包括应用信息与应用协议类型的对应关系， 例如： 目的 IP地址 为 202.22.1.33 , 目的端口为 80,传输协议类型为传输控制协议（ Transmission Control Protocol, 简称 TCP ) 的三元组应用信息对应于 HTTP服务。
步骤 103、 根据所述应用协议类型查询威胁检测配置项， 以判断所述应 用数据是否需要进行威胁检测；
其中， 所述威胁检测配置项包括需要进行威胁检测的应用协议类型和 /或 不需要进行检测的应用协议类型，威胁检测配置项具体可以从检测处理器中获 取， 也可以根据检测处理器对应用数据进行威胁检测的检测结果生成， 也可以 动态更新， 不同应用类型的应用数据容易携带威胁的程度不同， 则可以根据应 用协议类型对应用数据是否需要进行威胁检测进行设置。 例如， 可以预先设置 网段， 目的主机地址在该网段内的应用数据都需要进行威胁检测。 则可以根据 应用数据的目的主机地址对该应用数据是否需要进行威胁检测进行判断。也可 以根据应用数据的应用类型对应用数据是否需要进行威胁检测进行判断。
检测处理器在对应用数据的检测过程中， 若对于具有相同应用信息即同 一应用类型的应用数据的检测结果通常为不存在威胁， 则可以认为该应用类 型对应的应用数据不易携带威胁， 可以不需要进行威胁检测。 若对于同一应 用类型的应用数据的检测结果通常为存在威胁， 则可以认为该应用类型对应 的应用数据容易携带威胁， 需要进行威胁检测。 根据应用类型对威胁检测配 置项进行查询， 可以确定该应用数据是否需要进行检测。 例如， HTTP服务 中产生的应用数据中易携带威胁， 需要进行威胁检测， 企业私有服务中产生 的应用数据中不易携带威胁， 不需要进行威胁检测。
具体地， 威胁检测配置项中还可以存储有应用信息和应用类型的对应关 系， 可以通过查询该威胁检测配置项确定应用信息所述的应用类型。
通过威胁检测配置项的设置， 可以对不同应用类型的应用数据是否需要 进行威胁检测情况进行管理， 快速转发器对该威胁检测配置项进行查询即可 获知该应用数据是否需要进行威胁检测， 实现简单， 且执行效率高。
步骤 104、 若所述应用数据不需要进行威胁检测， 则将所述应用数据转 发。
快速转发器若识别到应用数据不需要进行威胁检测时， 将应用数据直接 转发。
本实施例提供的防火墙的数据检测方法， 通过接收应用数据， 获取接收到 的应用数据中的应用信息，根据所述应用信息和应用识别表判断所述应用数据 对应的应用协议类型，根据所述应用协议类型查询威胁检测配置项， 以判断所 述应用数据是否需要进行威胁检测， 若所述应用数据不需要进行威胁检测， 则 将所述应用数据转发。避免了将所有的应用数据都发送给检测处理器进行检测 而造成的防火墙性能下降的问题， 提高了防火墙对应用数据的检测效果。
图 2为本发明实施例提供的另一种防火墙的数据检测方法流程图。 如图
2所示， 以快速转发器为例， 具体可以包括如下步骤：
步骤 201、 接收应用数据；
步骤 202、 获取接收到的应用数据中的应用信息， 根据所述应用信息和 应用识别表判断出所述应用数据对应的应用协议类型；
步骤 203、 根据所述应用信息和应用识别表判断不出所述应用数据对应 的应用协议类型时， 将所述应用数据发送给所述检测处理器； 该步骤中， 检测处理器需要对应用数据进行协议类型识别， 并判断应用 数据是否需要进行威胁检测，当应用数据需要进行威胁检测时，执行步骤 206; 当应用数据不需要进行威胁检测时， 执行步骤 205;
同时， 该步骤中， 检测处理器还需要针对新识别出的应用协议类型和 /或 威胁检测的结果生成更新信息， 并将更新信息发送给快速转发器， 以更新快 速转发器本地的应用识别表和 /或威胁检测配置项。
针对步骤 203 , 快速转发器需要执行：
步骤 203-a、接收来自所述检测处理器的更新信息， 并对所述应用识别表 和所述威胁检测配置项进行更新；
其中， 所述更新信息由所述检测处理器对所述应用数据进行应用协议识 别和 /或威胁检测的结果生成， 所述更新信息包括所述应用数据对应的应用协 议类型和所述应用数据是否需要进行威胁检测的信息。
步骤 204、 根据所述应用协议类型查询威胁检测配置项， 以判断所述应 用数据是否需要进行威胁检测， 当不需要进行威胁检测时， 执行步骤 205; 当需要进行威胁检测时， 执行步骤 206;
步骤 205、 转发所述应用数据， 流程结束；
步骤 206、 将所述应用数据发送给检测处理器， 检测所述应用数据是否 存在威胁， 当检测到所述应用数据不存在威胁时， 执行步骤 207; 当检测到 所述应用数据存在威胁时， 执行步骤 208;
本步骤中，检测处理器对接收到的应用数据进行检测包括下述至少一种： 检测处理器对接收到的应用数据进行入侵防御系统（ Intrusion Prevention System , 简称 IPS )检测；
检测处理器对接收到的应用数据进行反病毒（Anti Virus, 简称 AV )检 测；
检测处理器对接收到的应用数据进行应用分布式拒绝服务攻击
( Distributed Denial of Service , 简称 DDoS )检测。 步骤 207、 接收并转发来自所述检测处理器的所述应用数据； 步骤 208、 接收来自检测处理器的阻断指令， 并对所述应用数据进行阻断。 图 3为本发明实施例提供的一种防火墙的数据检测装置结构示意图。 如 图 3所示， 本实施例提供的防火墙的数据检测装置具体可以实现本发明任意 本实施例提供的防火墙的数据检测装置具体包括快速转发器 300。 快速 转发器 300包括：
接收模块 310 , 用于接收应用数据；
应用识别模块 320, 用于获取所述接收模块 310接收到的应用数据中的应 用信息，根据所述应用信息和应用识别表判断所述应用数据对应的应用协议类 型， 所述应用识别表包括应用信息与应用协议类型的对应关系， 所述应用信息 包括所述应用数据对应的目的互联网协议 IP地址、 目的端口和传输协议类型； 判断模块 330 , 用于根据所述应用识别模块 320判断出的所述应用协议 类型查询威胁检测配置项， 以判断所述应用数据是否需要进行威胁检测， 其 中， 所述威胁检测配置项包括需要进行威胁检测的应用协议类型和 /或不需要 进行检测的应用协议类型；
转发模块 340 , 用于若所述判断模块 330判断出所述应用数据不需要进 行威胁检测时， 转发所述应用数据。
本实施例提供的防火墙的数据检测装置， 通过接收模块接收应用数据， 应用识别模块获取接收到的应用数据中的应用信息， 根据所述应用信息和应 用识别表判断所述应用数据对应的应用协议类型， 判断模块根据所述应用协 议类型查询威胁检测配置项， 以判断所述应用数据是否需要进行威胁检测， 若所述应用数据不需要进行威胁检测， 转发模块将所述应用数据直接转发。 据都发送给检测处理器进行检测而造成的防火墙性能下降的问题， 提高了防 火墙对应用数据的检测效果。 图 4为本发明实施例提供的另一种防火墙的数据检测装置结构示意图。 如图 4所示， 在本实施例中，
所述快速转发器 400 , 除了包括接收模块 410、 应用识别模块 420、 判断 模块 430、 转发模块 440之外还包括：
发送模块 450 , 用于若所述判断模块 430判断出所述应用数据需要进行 威胁检测时， 则将所述应用数据发送给检测处理器；
所述转发模块 440, 还用于若所述检测处理器检测出所述应用数据不存 在威胁时， 接收并转发来自所述检测处理器的所述应用数据；
所述快速转发器， 还包括：
阻断模块 460 , 用于若所述检测处理器检测出所述应用数据存在威胁时， 接收来自检测处理器的阻断指令， 并对所述应用数据进行阻断。
所述发送模块 450, 还用于所述应用识别模块判断不出所述应用数据对 应的应用协议类型时， 将所述应用数据发送给所述检测处理器。
所述快速转发器 400 , 还包括：
更新模块 470 , 用于接收来自所述检测处理器的更新信息， 并对所述应 用识别表和所述威胁检测配置项进行更新， 所述更新信息由所述检测处理器 对所述应用数据进行应用协议识别和 /或威胁检测的结果生成， 所述更新信息 包括所述应用数据对应的应用协议类型和所述应用数据是否需要进行威胁检 测的信息。
本发明实施例提供的防火墙的数据检测方法及装置，快速转发器可以实现 对接收到的应用数据是够进行威胁检测的判断，对于不需要进行威胁检测的应 用数据直接转发，避免了将所有的应用数据都发送给检测处理器进行检测而造 成的防火墙性能下降的问题， 提高了防火墙对应用数据的检测效果， 也大大提 高了防火墙的设备性能。 而且通过应用识别表的设置， 可以更加方便地实现对 应用数据的识别过程， 再通过实际的检测结果对应用识别表进行更新，使得该 应用识别表可以适应网络应用的不断发展， 提升识别应用协议类型的数量。 本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步骤可 以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存 储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述的存储 介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对其 限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通技术 人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或 者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不使相应技 术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权 利 要 求
1、 一种防火墙的数据检测方法， 其特征在于， 包括：
接收应用数据；
获取接收到的应用数据中的应用信息， 根据所述应用信息和应用识别表 判断所述应用数据对应的应用协议类型， 所述应用识别表包括应用信息与应 用协议类型的对应关系， 所述应用信息包括所述应用数据对应的目的互联网 协议 IP地址、 目的端口和传输协议类型；
根据所述应用协议类型查询威胁检测配置项， 以判断所述应用数据是否 需要进行威胁检测， 其中， 所述威胁检测配置项包括需要进行威胁检测的应 用协议类型和 /或不需要进行检测的应用协议类型；
若所述应用数据不需要进行威胁检测， 则将所述应用数据转发。
2、 根据权利要求 1所述的防火墙的数据检测方法， 其特征在于， 所述方 法， 还包括：
若根据所述应用协议类型查询威胁检测配置项， 判断出所述应用数据需 要进行威胁检测时， 则将所述应用数据发送给检测处理器；
若所述检测处理器检测出所述应用数据不存在威胁时， 接收并转发来自 所述检测处理器的所述应用数据；
3、 根据权利要求 2所述的防火墙的数据检测方法， 其特征在于， 若所述 检测处理器检测出所述应用数据存在威胁时，
接收来自检测处理器的阻断指令， 并对所述应用数据进行阻断。
4、根据权利要求 1至 3中任意一项所述的防火墙的数据检测方法， 其特 征在于， 所述方法， 还包括：
根据所述应用信息和应用识别表判断不出所述应用数据对应的应用协议 类型时， 将所述应用数据发送给所述检测处理器。
5、 根据权利要求 4所述的防火墙的数据检测方法， 其特征在于， 所述方 法， 还包括：
接收来自所述检测处理器的更新信息， 并对所述应用识别表和所述威胁 检测配置项进行更新， 所述更新信息由所述检测处理器对所述应用数据进行 应用协议识别和 /或威胁检测的结果生成， 所述更新信息包括所述应用数据对 应的应用协议类型和所述应用数据是否需要进行威胁检测的信息。
6、 一种防火墙的数据检测装置， 其特征在于： 包括快速转发器； 所述快速转发器包括：
接收模块， 用于接收应用数据；
应用识别模块，用于获取所述接收模块接收到的应用数据中的应用信息， 根据所述应用信息和应用识别表判断所述应用数据对应的应用协议类型， 所 述应用识别表包括应用信息与应用协议类型的对应关系， 所述应用信息包括 所述应用数据对应的目的互联网协议 IP地址、 目的端口和传输协议类型； 判断模块， 用于根据所述应用识别模块判断出的所述应用协议类型查询 威胁检测配置项， 以判断所述应用数据是否需要进行威胁检测， 其中， 所述 威胁检测配置项包括需要进行威胁检测的应用协议类型和 /或不需要进行检 测的应用协议类型；
转发模块， 用于若所述判断模块判断出所述应用数据不需要进行威胁检 测时， 转发所述应用数据。
7、 根据权利要求 6所述的防火墙的数据检测装置， 其特征在于， 所述快 速转发器， 还包括： 发送模块， 用于若所述判断模块判断出所述应用数据需 要进行威胁检测时， 则将所述应用数据发送给检测处理器；
所述转发模块， 还用于若所述检测处理器检测出所述应用数据不存在威 胁时， 接收并转发来自所述检测处理器的所述应用数据；
8、 根据权利要求 7所述的防火墙的数据检测装置， 其特征在于， 所述快 速转发器， 还包括： 阻断模块， 用于若所述检测处理器检测出所述应用数据存在威胁时， 接 收来自检测处理器的阻断指令， 并对所述应用数据进行阻断。
9、根据权利要求 6至 8任意一项所述的防火墙的数据检测装置， 其特征 在于， 所述发送模块， 还用于所述应用识别模块判断不出所述应用数据对应 的应用协议类型时， 将所述应用数据发送给所述检测处理器。
10、 根据权利要求 7所述的防火墙的数据检测装置， 其特征在于， 所述 快速转发器， 还包括：
更新模块， 用于接收来自所述检测处理器的更新信息， 并对所述应用识 别表和所述威胁检测配置项进行更新， 所述更新信息由所述检测处理器对所 述应用数据进行应用协议识别和 /或威胁检测的结果生成， 所述更新信息包括 所述应用数据对应的应用协议类型和所述应用数据是否需要进行威胁检测的 信息。
PCT/CN2012/080569 2011-12-31 2012-08-24 防火墙的数据检测方法及装置 WO2013097475A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/305,723 US9398027B2 (en) 2011-12-31 2014-06-16 Data detecting method and apparatus for firewall

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CN201110459872.0 2011-12-31
CN201110459872 2011-12-31
CN201210045928.2A CN102594623B (zh) 2011-12-31 2012-02-27 防火墙的数据检测方法及装置
CN201210045928.2 2012-02-27

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/305,723 Continuation US9398027B2 (en) 2011-12-31 2014-06-16 Data detecting method and apparatus for firewall

Publications (1)

Publication Number Publication Date
WO2013097475A1 true WO2013097475A1 (zh) 2013-07-04

Family

ID=46482843

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/080569 WO2013097475A1 (zh) 2011-12-31 2012-08-24 防火墙的数据检测方法及装置

Country Status (3)

Country Link
US (1) US9398027B2 (zh)
CN (1) CN102594623B (zh)
WO (1) WO2013097475A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102594623B (zh) * 2011-12-31 2015-07-29 华为数字技术（成都）有限公司 防火墙的数据检测方法及装置
CN103051617B (zh) * 2012-12-18 2015-09-02 北京奇虎科技有限公司 识别程序的网络行为的方法、装置及系统
CN103067360B (zh) * 2012-12-18 2016-12-28 北京奇虎科技有限公司 程序网络行为识别方法及系统
CN104506548B (zh) * 2014-12-31 2018-05-04 北京天融信科技有限公司 一种数据包重定向装置、虚拟机安全保护方法及系统
CN105099821B (zh) * 2015-07-30 2020-05-12 奇安信科技集团股份有限公司 基于云的虚拟环境下流量监控的方法和装置
CN106936805B (zh) * 2015-12-31 2019-06-04 亿阳安全技术有限公司 一种网络攻击的防御方法和系统
CN107306255A (zh) * 2016-04-21 2017-10-31 阿里巴巴集团控股有限公司 防御流量攻击方法、预设列表生成方法、装置及清洗设备
CN106022150A (zh) * 2016-05-30 2016-10-12 宇龙计算机通信科技(深圳)有限公司 一种冻结应用方法以及装置
CN107204923B (zh) * 2017-05-24 2020-06-02 全讯汇聚网络科技（北京）有限公司 一种协议分流方法、系统及路由器
CN107465567B (zh) * 2017-06-29 2021-05-07 西安交大捷普网络科技有限公司 一种数据库防火墙的数据转发方法
CN107360162B (zh) * 2017-07-12 2020-01-21 北京奇艺世纪科技有限公司 一种网络应用防护方法和装置
CN108206828B (zh) * 2017-12-28 2021-03-09 浙江宇视科技有限公司 一种双重监测安全控制方法及系统
US11539741B2 (en) 2019-09-05 2022-12-27 Bank Of America Corporation Systems and methods for preventing, through machine learning and access filtering, distributed denial of service (“DDoS”) attacks originating from IoT devices
CN111193747B (zh) * 2019-12-31 2022-06-10 奇安信科技集团股份有限公司 报文的威胁检测方法、装置、电子设备和存储介质
CN112165460B (zh) * 2020-09-10 2023-07-25 杭州安恒信息技术股份有限公司 流量检测方法、装置、计算机设备和存储介质
KR20230068741A (ko) * 2021-11-11 2023-05-18 한국전자통신연구원 디지털 방송 송수신 방법 및 장치

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101052046A (zh) * 2007-05-22 2007-10-10 网御神州科技（北京）有限公司 一种用于防火墙的防病毒方法及装置
CN101459660A (zh) * 2007-12-13 2009-06-17 国际商业机器公司 用于集成多个威胁安全服务的方法及其设备
CN101599922A (zh) * 2008-06-02 2009-12-09 北京华凯兴网络科技有限公司 应用层协议病毒防护网关
CN102075503A (zh) * 2009-11-24 2011-05-25 北京网御星云信息技术有限公司 一种基于云计算的网络入侵防护系统
CN102594623A (zh) * 2011-12-31 2012-07-18 成都市华为赛门铁克科技有限公司 防火墙的数据检测方法及装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9392002B2 (en) * 2002-01-31 2016-07-12 Nokia Technologies Oy System and method of providing virus protection at a gateway
US8112800B1 (en) * 2007-11-08 2012-02-07 Juniper Networks, Inc. Multi-layered application classification and decoding
CN101834833B (zh) * 2009-03-13 2014-12-24 瞻博网络公司 对分布式拒绝服务攻击的服务器防护
CN101547207A (zh) 2009-05-07 2009-09-30 杭州迪普科技有限公司 一种基于应用行为模式的协议识别控制方法和设备
US8291258B2 (en) 2010-01-08 2012-10-16 Juniper Networks, Inc. High availability for network security devices
CN101789905A (zh) 2010-02-05 2010-07-28 杭州华三通信技术有限公司 防止未知组播攻击cpu的方法和设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101052046A (zh) * 2007-05-22 2007-10-10 网御神州科技（北京）有限公司 一种用于防火墙的防病毒方法及装置
CN101459660A (zh) * 2007-12-13 2009-06-17 国际商业机器公司 用于集成多个威胁安全服务的方法及其设备
CN101599922A (zh) * 2008-06-02 2009-12-09 北京华凯兴网络科技有限公司 应用层协议病毒防护网关
CN102075503A (zh) * 2009-11-24 2011-05-25 北京网御星云信息技术有限公司 一种基于云计算的网络入侵防护系统
CN102594623A (zh) * 2011-12-31 2012-07-18 成都市华为赛门铁克科技有限公司 防火墙的数据检测方法及装置

Also Published As

Publication number Publication date
US9398027B2 (en) 2016-07-19
CN102594623B (zh) 2015-07-29
CN102594623A (zh) 2012-07-18
US20140298466A1 (en) 2014-10-02

Similar Documents

Publication Publication Date Title
WO2013097475A1 (zh) 防火墙的数据检测方法及装置
US11171984B2 (en) Agent assisted malicious application blocking in a network environment
US12003485B2 (en) Outbound/inbound lateral traffic punting based on process risk
US10171475B2 (en) Cloud email message scanning with local policy application in a network environment
US11722509B2 (en) Malware detection for proxy server networks
US10454953B1 (en) System and method for separated packet processing and static analysis
US20210112091A1 (en) Denial-of-service detection and mitigation solution
US10855656B2 (en) Fine-grained firewall policy enforcement using session app ID and endpoint process ID correlation
US8869268B1 (en) Method and apparatus for disrupting the command and control infrastructure of hostile programs
US11451582B2 (en) Detecting malicious packets in edge network devices
US10142360B2 (en) System and method for iteratively updating network attack mitigation countermeasures
US20180191744A1 (en) System and method to implement cloud-based threat mitigation for identified targets
US10182071B2 (en) Probabilistic tracking of host characteristics
KR102642602B1 (ko) 프로세스 정보를 사용한 dns 보안을 제공하는 방법 및 시스템
Nainar et al. Network Analysis and Forensics

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12863304

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12863304

Country of ref document: EP

Kind code of ref document: A1