WO2015018200A1 - 防火墙设备中检测引擎的升级方法及装置 - Google Patents

防火墙设备中检测引擎的升级方法及装置 Download PDF

Info

Publication number
WO2015018200A1
WO2015018200A1 PCT/CN2014/072541 CN2014072541W WO2015018200A1 WO 2015018200 A1 WO2015018200 A1 WO 2015018200A1 CN 2014072541 W CN2014072541 W CN 2014072541W WO 2015018200 A1 WO2015018200 A1 WO 2015018200A1
Authority
WO
WIPO (PCT)
Prior art keywords
session
functional component
version
new version
detection engine
Prior art date
Application number
PCT/CN2014/072541
Other languages
English (en)
French (fr)
Inventor
李世光
蒋武
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2015018200A1 publication Critical patent/WO2015018200A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 

Definitions

  • the embodiments of the present invention relate to network technologies, and in particular, to a method and an apparatus for upgrading a detection engine in a firewall device.
  • BACKGROUND A basic requirement of a gateway device is the reliability of the device operation. For example, user traffic is not interrupted by the upgrade of the software version, and the user's service is not affected.
  • gateway devices such as Next Generation Firewall (NGFW)
  • NGFW Next Generation Firewall
  • IPS intrusion prevention and removal systems
  • AV Anti-Virus
  • URL Uniform Resource Locator
  • DLP Data Leak Prevention
  • the threat of attacks against application layer services also changes rapidly.
  • the components on the NGFW device that detect the above threats such as the threat signature database or the detection engine, can be upgraded in a timely manner.
  • the new detection engine replaces the old detection engine, and the old detection engine will not be available after the upgrade succeeds; the other is that after the new detection engine is successfully loaded, the new detection engine is running.
  • the old detection engine is still used, that is, for a long period of time, multiple detection engines are running simultaneously in the NGFW device.
  • the embodiments of the present invention provide a detection engine upgrade processing method and apparatus, which are used to reduce the missed detection problem caused by the detection engine upgrade in the prior art.
  • an embodiment of the present invention provides a method for upgrading a detection engine in a firewall device, including: generating a new version of a first functional component according to a software upgrade data packet of a detection engine, and operating the detection engine in the detection engine a first functional component of the new version, configured to detect the first session by using the first functional component of the new version, where the first session refers to running the new functional version of the first functional component with the firewall a newly established session of the device;
  • the first function component of the old version is used to detect subsequent messages of the second session until all the second sessions are aged, and the second session refers to running the The session of the new version of the first functional component has been established with the firewall device;
  • the method further includes:
  • the first functional component of the new version is used for detection; if the packet belongs to the second session, the first functional component of the old version is used for detection.
  • a second implementation manner of the first aspect if there is at least one second session, using the first functional component of the old version to follow the second session The message is detected until all the second sessions are aged, and includes:
  • a correspondence between the first functional component of the old version, the second session, and the session state of the second session is established and stored for determining whether all of the second sessions are aged.
  • the method further includes:
  • the session state of the session to which the message belongs is set to an aging state in the corresponding relationship.
  • the method further includes:
  • the software upgrade data package further includes an upgrade data package of the at least one second function component, generating a new version of the second function component, and running the new version of the second function component in the detection engine.
  • an embodiment of the present invention provides an apparatus for upgrading a detection engine in a firewall device, including:
  • a installing module configured to generate a new version of the first functional component according to the software upgrade data package of the detection engine, and run the new version of the first functional component in the detection engine;
  • a detecting module configured to detect, by using the new functional component of the new version generated and run by the installation module, the first session refers to running the first functional component of the new version a newly established session of the firewall device;
  • the detecting module is further configured to: if there is at least one second session, use a first functional component of the old version to detect subsequent packets of the second session, until all the second sessions are aged,
  • the second session refers to a session that has been established with the firewall device when the first functional component of the new version is run;
  • the destroying module is configured to, according to the triggering of the detecting module, destroy the first functional component of the old version after all the second sessions are aging.
  • the device further includes: a receiving module, configured to receive a packet, and determine, according to a packet header of the packet, that the packet belongs to the first a message of one session, or a message belonging to the second session;
  • the detecting module is further configured to: if the packet belongs to the first session, apply the first functional component of the new version for detection; if the packet belongs to the second session, apply the old version The first functional component is tested.
  • the device further includes:
  • a storage module configured to establish and store a correspondence between the first functional component of the old version, the second session, and the session state of the second session, for the detecting module to Whether the second session is aging or not.
  • the storage module is further configured to:
  • the session to which the message belongs is the second session, the session of the session belongs to the "3 ⁇ 4 text" in the corresponding relationship.
  • the session state is set to the aging state.
  • the installing module is further configured to:
  • the software upgrade data package further includes an upgrade data package of the at least one second function component, generating a new version of the second function component, and running the new version of the second function component in the detection engine.
  • the method and device for upgrading a detection engine in a firewall device by generating a new version of the first functional component according to the software upgrade data packet of the detection engine, and running the first function of the new version in the detection engine a component, configured to detect, by using the new functional version of the first functional component, the first session is a session newly established with the firewall device after running the new functional component of the new version; If there is at least one second session, the subsequent message of the second session is detected by using the first functional component of the old version until all the second sessions are aged, and the second session refers to running the new session.
  • the first functional component of the version has been established with the firewall device; after all the second sessions are aged, the first functional component of the old version is destroyed, because only the corresponding functional component that needs to be upgraded is upgraded. Not the entire detection engine is upgraded, and the old session will be detected after all the second sessions are aged The functional components are destroyed, and the resource consumption is small and the upgrade efficiency is high compared with the prior art update of the entire detection engine.
  • the smooth upgrade of the various functional components of the detection engine on the next-generation firewall and the existing service traffic are realized. The security check is not affected.
  • FIG. 1 is a flowchart of Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 2 is a schematic diagram of an application scenario of Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 3 is a schematic diagram 1 of a functional component upgrade state in Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 4 is a second schematic diagram of a functional component upgrade state according to Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 5 is a third schematic diagram of a functional component upgrade state according to Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 6 is a schematic structural diagram of Embodiment 1 of a device for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 7 is a schematic structural diagram of Embodiment 2 of a device for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 1 is a flowchart of Embodiment 1 of a method for upgrading a detection engine in a firewall device according to the present invention.
  • FIG. 2 is a schematic diagram of an application scenario of a method for upgrading a detection engine in a firewall device according to the present invention
  • FIG. 3 is a schematic diagram of a firewall device in the present invention.
  • FIG. 4 is a schematic diagram of a functional component upgrade state of a first embodiment of a method for upgrading a detection engine in a firewall device according to the present invention.
  • FIG. FIG. 3 is a schematic diagram of the upgrade status of the functional component in the first embodiment of the upgrade method.
  • the execution body of this embodiment is an upgrade device of the detection engine in the firewall device, and the device can be implemented by software and/or hardware.
  • the solution of this embodiment is applied to a network access device or a network switching device, such as a gateway device, a firewall, and an NGFW.
  • the method in this embodiment may include:
  • Step 101 Generate a new version of the first functional group according to the software upgrade data packet of the detection engine. And running a new version of the first functional component in the detection engine to detect the first session using the first functional component of the new version, the first session refers to running the new functional version of the first functional component with the firewall device Newly established session.
  • the upgrade device of the detection engine in the firewall device of the embodiment may be set in the NGFW, and the NGFW is mainly deployed on the Internet egress and the office network egress to protect the user host of the server and the office network.
  • NGFW Based on application identification, NGFW performs security detection on application layer traffic in the network, such as IPS detection, AV detection, and URL filtering.
  • An upgrade server is deployed in the network.
  • the upgrade server or the NGFW has a software upgrade packet of a new version of the function component of the detection engine, such as an IPS function component
  • the detection device of the detection engine detects a functional component in the detection engine, such as If the IPS function component or the AV function component needs to be upgraded, a new version of the first functional component is generated according to the detection engine software upgrade data package, and a new version of the first functional component is run in the detection engine to use the new version.
  • the first functional component detects the first session, and the first session refers to a newly established session with the firewall device after running the first functional component of the new version, if the first functional component of the new version, such as the AV functional component, corresponds to
  • the new signature library also loads updates, such as information including multiple viruses.
  • the detection of the upgrade of the function component can be triggered periodically.
  • the upgrade server and the NGFW communication can obtain the version status of each function component of the detection engine in the NGFW in real time, and compare with the version status in the upgrade server to learn whether to upgrade, or If the upgrade server does not communicate with the NGFW, you can manually download the software upgrade package to the NGFW.
  • the upgrade component in the NGFW determines whether the upgrade is required. If multiple functional components need to be upgraded at the same time, each functional component can be upgraded simultaneously or sequentially, that is, after one functional component is upgraded, the next functional component is upgraded.
  • Step 102 If there is at least one second session, use the first functional component of the old version to detect subsequent messages of the second session until all the second sessions are aged, and the second session refers to running the first version of the new version.
  • a functional component has been established with a firewall device.
  • the second session is a session established with the firewall device when running the first functional component of the new version, such as session 1, the first functional component of the old version, such as the IPS functional component version, is used.
  • the security detection is performed on the subsequent packets of the second session, and the subsequent packets in the second session are the packets that belong to the second session after the first functional component of the new version is run, due to the AV function.
  • the component is not upgraded.
  • the session 1 packet is protected by the IPS function component version 1. After full detection, it is sent to the AV function component version 1 for security detection; if the first session is a newly established session with the firewall device after running the first version of the new functional component, such as session 2, the first functional component of the new version is used.
  • the IPS function component version 2 performs security detection on the first session. As shown in FIG. 4, if the AV function component is upgraded to generate a new version 2 and is already running in the detection engine before being sent to the AV function component, the session 2 The message will be checked using the new version of the function component AV function component version 2, as shown in Figure 3. If the AV function component is not upgraded, continue to use the AV function component version 1 for security detection.
  • application identification is performed, that is, application identification is performed on the received message to find a corresponding functional component for security detection.
  • Figure 3 shows the IPS function component and the AV function component as examples.
  • the actual application can include more functional components, such as URL filtering function components and DLP function components.
  • the corresponding actions are performed according to the result of the security check, such as blocking, alarm, log, release, and the like.
  • Step 103 After all the second sessions are aged, destroy the first functional component of the old version.
  • the functional component of the old version of the detection engine used by the session 1 is destroyed.
  • the IPS function component version 1 and session 2 continue to use the IPS function component version 2 and the AV function component version 1 for security detection.
  • the aging refers to a transmission control protocol (TCP) connection.
  • TCP transmission control protocol
  • FIN or connection reset RST message If the upgrade device of the subsequent detection engine detects that the IPS function component in the detection engine needs to be upgraded again, a new version of the first functional component, such as the IPS function component version 3, is generated in the detection engine according to the obtained software upgrade data packet. And run this function component.
  • the newly established session 3 uses the new IPS function component version 3 and the AV function component version 2 for security detection.
  • session 2 ages (and no other session uses IPS function component version 2 and AV function)
  • the component version 1 is detected.
  • the IPS function component version 2 and the AV function component version 1 in the detection engine used by the session 2 are destroyed.
  • first and second in the first functional component, the second functional component, the first session, and the second session in this embodiment are not meant to represent a sequential relationship, but to distinguish different functional components and sessions,
  • the first, second, etc. mentioned in the file are also used to distinguish between different components, versions, sessions, and so on.
  • a new version of the first functional component is generated according to the software upgrade data packet of the detection engine, and the new functional version of the first functional component is used in the detection engine for use.
  • the first functional component of the new version detects the first session, where the first session refers to a session newly established with the firewall device after running the new functional component of the new version; if there is at least one second In the session, the first function component of the old version is used to detect subsequent messages of the second session until all the second sessions are aged, and the second session refers to running the first function of the new version.
  • the component has been established with the firewall device; after all the second sessions are aged, the first functional component of the old version is destroyed, because only the corresponding functional component that needs to be upgraded is upgraded instead of the entire detection engine.
  • the upgrade is performed, and after all the second sessions are aged, the functional components of the old version that detect the second session are destroyed, the resource occupation is small, and the upgrade efficiency is high, and the functions of the detection engine on the next-generation firewall are implemented.
  • the smooth upgrade of components and the security detection of existing traffic are not affected.
  • the method may further include:
  • the first functional component of the new version is applied for detection; if the packet belongs to the second session, the first functional component of the old version is used for detection.
  • the NGFW receives the packet, and determines, according to the packet header of the packet, the packet that belongs to the first session, such as session 2, or the packet that belongs to the second session, such as session 1. If the session is in the session 2, the first function component of the new version, such as the IPS function component version 2, is applied. If the second session is the session 1, the first functional component of the old version, such as the IPS function, is applied. Component version 1 is tested.
  • the subsequent function of the second session is detected by using the first functional component of the old version, until all the second sessions are aged, before the embodiment is
  • the method also includes:
  • the correspondence between the first version of the first functional component, the first session, and the session state of the first session may be established and stored, so that when the first functional component is upgraded again, Whether a session is aging or not.
  • IPS function component version 1 and AV function component version 1, session 1 and session 1 session state correspondence IPS function component version 2 and AV function component version 1, session 2 and session 2 session state correspondence Relationship, as shown in Figure 4, the correspondence between Session 2 and IPS function component version 2 and AV function component version 2, as shown in Table 1, for judging whether all sessions are aging, it is convenient to judge whether each functional component is destroyed.
  • Table 1 which version of the functional component of the subsequent message of the session is used for security detection, as shown in Table 1, the first column represents the correspondence number, the second column represents the functional component version, the third column represents the session, and the fourth column represents the session state. .
  • the method may further include:
  • the session state is set to the aging state.
  • the session state of the session to which the message belongs is set to an aging state in the corresponding relationship.
  • the corresponding relationship corresponding to the session 1 is The session state in 2 is set to the aging state. If no other sessions are detected using the IPS function component version 1, all the sessions detected by using the IPS function component version 1 are aged, so the IPS function component version is used. 1 Destroy, the packets of the newly established session are detected by the IPS function component version 2 and the AV function component version 1. Further, the method may further include:
  • the software upgrade package further includes an upgrade package of at least one second functional component, a new version of the second functional component is generated, and a new version of the second functional component is run in the detection engine.
  • the software upgrade data package further includes an upgrade data package of the at least one second function component, such as an upgrade data package including the IPS function component and the AV function component, generating a new version of the first function component, such as an IPS function component. Version 2 and generating a new version of the second functional component such as the AV function component version 2, and running the new version of the second functional component in the detection engine; if the software upgrade package also includes the upgrade package of the two second functional components For example, the AV function component and the upgrade package of the DLP function component generate two new versions of the second function component such as the AV function component version 2 and the DLP function component version 2.
  • the correspondence between the first version of the first functional component, the first session, and the session state of the first session is established and stored, so as to determine whether all the first sessions are aged, and establish and store the old Corresponding relationship between the first functional component of the version, the second session, and the session state of the second session, for judging whether all of the second sessions are aging; receiving the packet, determining the packet according to the packet header of the packet If the packet belongs to the first session, the packet belongs to the first session, and if the packet belongs to the second session, the first function component of the new session is used for detecting, and if the packet belongs to the second session, the old application is applied. The first functional component of the version is detected.
  • the session state of the session to which the message belongs is set to an aging state, and at least one of the software upgrade data packets is included.
  • the upgrade package of the second functional component generates a new version of the second functional component, and runs a new version of the second functional component in the detection engine. Source occupy a smaller, high-efficiency upgrade, to achieve a smooth upgrade safety testing and has not affected the various functional components of the detection engine on a next-generation firewall traffic flow.
  • FIG. 6 is a schematic structural diagram of Embodiment 1 of an apparatus for upgrading a detection engine in a firewall device according to the present invention.
  • the apparatus 50 of this embodiment may include: an installation module 501, a detection module 502, and a destruction module 503, where The module 501 is configured to generate a new version of the first functional component according to the software upgrade data package of the detection engine, and run the new version of the first functional component in the detection engine; the detection module 502 is configured to use the The first functional component of the new version generated and executed by the installation module 501 detects the first session, where the first session refers to a newly established session with the firewall device after running the new functional component of the new version.
  • the detecting module 502 is further configured to: if there is at least one second session, use the first functional component of the old version to the second session The subsequent message of the voice is detected until all the second sessions are aged, and the second session refers to a session that has been established with the firewall device when the first functional component of the new version is run; According to the triggering of the detecting module 502, after all the second sessions are aged, the first functional component of the old version is destroyed.
  • the device in this embodiment can be used to implement the technical solution of the method embodiment shown in FIG. 1.
  • the principle and the technical effect are similar, and details are not described herein again.
  • FIG. 7 is a schematic structural diagram of Embodiment 2 of a device for upgrading a detection engine in a firewall device according to the present invention.
  • the device 50 of the present embodiment may further include:
  • the receiving module 504 is configured to receive a packet, and determine, according to the packet header of the packet, the packet that belongs to the first session or the packet that belongs to the second session.
  • the detecting module 502 is further configured to: if the packet belongs to the first session, apply the first functional component of the new version for detection; if the packet belongs to the second session, apply the old version The first functional component is tested.
  • apparatus of this embodiment may further include:
  • a storage module 505 configured to establish and store a correspondence between the first functional component of the old version, the second session, and the session state of the second session, for the detection module to Whether the second session is aging or not is judged.
  • the storage module 505 is further configured to establish and store a correspondence between the first functional component of the old version, the first session, and the session state of the first session, for the detection module to Whether all of the first sessions are aged or not is judged.
  • the storage module 505 is further configured to:
  • the storage module 505 stores In the corresponding relationship, the session state of the session to which the message belongs is set to an aging state.
  • the storage module 505 is further configured to:
  • the storage is stored in the storage module 505.
  • the session state of the session to which the message belongs is set to an aging state.
  • the installation module 501 is further configured to:
  • the software upgrade data package further includes an upgrade data packet of at least one second functional component
  • a new version of the second functional component is then generated and the new version of the second functional component is run in the detection engine.
  • the device in this embodiment may be used to implement the technical solution in the second embodiment of the method, and the implementation principle and the technical effect are similar, and details are not described herein again.
  • FIG. 8 is a schematic structural diagram of Embodiment 1 of an upgrade device of a detection engine according to the present invention.
  • the upgrade device 70 of the detection engine provided in this embodiment includes a bus 701, a receiver 702, a processor 703, and a memory 704.
  • the bus 701 is used to connect the receiver 702, the processor 703 and the memory 704, and to transmit information; the receiver 702 is configured to receive the message, and the memory 704 stores the execution instruction.
  • the processor 703 In communication with the memory 704, the processor 703 runs the code stored in the memory 704 and performs the following operations:
  • the first function component of the old version is used to detect subsequent messages of the second session until all the second sessions are aged, and the second session refers to running the The session of the new version of the first functional component has been established with the firewall device;
  • the subsequent function of the second session is detected by using the first functional component of the old version, until the storage of all the second sessions is before the memory 704 Also used for:
  • a correspondence between the first functional component of the old version, the second session, and the session state of the second session is established and stored for determining whether all of the second sessions are aged.
  • the memory 704 is further configured to establish and store a correspondence between the first version of the first functional component, the first session, and the session state of the first session, for performing aging on all of the first sessions.
  • the processor 703 is further configured to determine, according to the packet header of the packet of the receiver 702, the packet that the packet belongs to the first session, or the packet that belongs to the second session. If the packet belongs to the first session, the first functional component of the new version is applied for detection; and if the packet belongs to the second session, the first functional component of the old version is applied. Check Measurement.
  • the processor 703 is further configured to: when the flag of the message received by the receiver 702 is an end connection FIN or a connection reset RST, if the message belongs to the session In the second session, the session state of the session to which the message belongs is set to an aging state in the corresponding relationship.
  • processor 703 is further configured to:
  • the session to which the message belongs is the first session, in the corresponding relationship
  • the session state of the session to which the packet belongs is set to an aging state.
  • processor 703 is further configured to:
  • the software upgrade data package further includes an upgrade data package of the at least one second function component, generating a new version of the second function component, and running the new version of the second function component in the detection engine.
  • the device in this embodiment may be used to implement the technical solution of the method embodiment, and the implementation principle and the technical effect are similar, and details are not described herein again.
  • the disclosed apparatus and method may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or otherwise.
  • the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of hardware plus software functional units.
  • the above integrated unit implemented in the form of a software functional unit can be stored in a computer Readable in storage media.
  • the software functional unit is stored in a storage medium and includes instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor to perform the method of various embodiments of the present invention. Part of the steps.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program code. .

Abstract

本发明实施例提供一种防火墙设备中检测引擎的升级方法及装置。本发明防火墙设备中检测引擎的升级方法，包括：根据检测引擎的软件升级数据包生成一个新版本的第一功能组件，并在检测引擎中运行新版本的第一功能组件，用以使用新版本的第一功能组件对第一会话进行检测；若存在至少一个第二会话，则使用旧版本的第一功能组件对第二会话的后续报文进行检测，直到所有第二会话老化为止；在所有第二会话老化后，销毁旧版本的第一功能组件。本发明实施例只是对需要升级的功能组件进行升级，并在会话老化后对该会话进行检测的功能组件进行销毁，资源占用较小，升级效率高，且已有的业务流量的安全检测不受影响。

Description

防火墙设备中检测引擎的升级方法及装置 本申请要求于 2013 年 8 月 8 日提交中国专利局、 申请号为 201310344399.0、 发明名称为 "防火墙设备中检测引擎的升级方法及装置" 的 中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明实施例涉及网络技术， 尤其涉及一种防火墙设备中检测引擎的升 级方法及装置。
背景技术 网关设备的一个基本要求是设备工作的可靠性， 例如用户流量不因软件版 本的升级而中断， 用户的业务不受影响。 对下一代防火墙（Next Generation Firewall, 简称 NGFW )这种网关设备来说， 需要有更高的要求。 NGFW不仅 有传统防火墙的基本转发控制功能， 还有基于应用、 用户等策略控制， 并且 根据特定的策略对流经该设备的应用层流量做安全检测， 这些安全检测包括 入侵防 4卸系统 ( Intrusion Prevention System, 简称 IPS )、 反病毒 ( Anti- Virus, 简称 AV )、 统一资源定位符（Uniform Resource Locator, 简称 URL )过滤、 数据泄漏防护 （ Data Leak Prevention, 简称 DLP )等。
由于网络上应用层流量的内容变化很快， 针对应用层业务的攻击威胁同 样变化很快。 为了能够对这些变化的威胁进行及时检测， 就需要保证 NGFW 设备上用以检测上述威胁的组件， 比如威胁特征库或者检测引擎， 能够及时 进行升级。 现有技术中的升级方式， 一种是新的检测引擎替换旧的检测引擎， 升级成功后旧的检测引擎将不可用； 另一种是新的检测引擎成功加载后， 在 运行新的检测引擎时仍然继续使用旧的检测引擎， 也就是在相当长的一段时 间内， NGFW设备中同时运行多种检测引擎。
上述第一种方式， 由于升级完成后旧的检测引擎不可用， 那么为了保证 流经 NGFW设备的流量不受影响， 就需要对升级之前已经建立的会话的后续 报文流量做通过（ bypass )处理， 实际上对这部分流量的应用层检测已经失效， 此时如果发生攻击， 则 NGFW设备无法检测出来会造成漏检； 第二种方式， 同时运行多份检测引擎， 对 NGFW设备的处理资源的消耗很大， 影响效率。 发明内容 本发明实施例提供一种检测引擎升级处理方法及装置， 用以减少现有技 术中由于检测引擎升级导致的漏检问题。
第一方面， 本发明实施例提供一种防火墙设备中检测引擎的升级处理方 法， 包括： 根据检测引擎的软件升级数据包生成一个新版本的第一功能组件， 并在所述检测引擎中运行所述新版本的第一功能组件， 用以使用所述新版本 的第一功能组件对第一会话进行检测， 所述第一会话是指运行所述新版本的 第一功能组件后与所述防火墙设备新建立的会话；
若存在至少一个第二会话 ， 则使用旧版本的第一功能组件对所述第二会 话的后续报文进行检测， 直到所有所述第二会话老化为止， 所述第二会话是 指运行所述新版本的第一功能组件时已与所述防火墙设备建立的会话；
在所有所述第二会话老化后， 销毁所述旧版本的第一功能组件。
结合第一方面， 在第一方面的第一种实现方式中， 所述在所述检测引擎 中运行所述新版本的第一功能组件之后， 还包括：
接收报文， 根据所述报文的报文头确定所述报文属于所述第一会话的报 文， 或者属于所述第二会话的报文；
若属于所述第一会话的报文， 则应用所述新版本的第一功能组件进行检 测； 若属于所述第二会话的报文， 则应用所述旧版本的第一功能组件进行检 测。
结合第一方面的第一种实现方式， 在第一方面的第二种实现方式中， 所 述若存在至少一个第二会话， 则使用旧版本的第一功能组件对所述第二会话 的后续报文进行检测， 直到所有所述第二会话老化为止之前， 还包括：
建立并存储旧版本的第一功能组件、 所述第二会话以及所述第二会话的 会话状态三者的对应关系， 以供对所有所述第二会话是否老化进行判断。
结合第一方面的第二种实现方式， 在第一方面的第三种实现方式中， 所 述接收报文之后， 还包括：
当所述 文的标志位为结束连线 FIN或连线复位 RST时， 如果所述 4艮文 所属会话为所述第二会话， 则在所述对应关系中将所述 ·艮文所属会话的会话 状态设置为老化状态。
结合第一方面、 或上述第一方面的任意一种实现方式， 在第一方面的第 四种实现方式中， 还包括：
若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
第二方面， 本发明实施例提供一种防火墙设备中检测引擎的升级装置， 包括：
安装模块， 用于根据所述检测引擎的软件升级数据包生成一个新版本的 第一功能组件， 并在所述检测引擎中运行所述新版本的第一功能组件；
检测模块， 用于使用所述安装模块生成并运行的所述新版本的第一功能 组件对第一会话进行检测， 所述第一会话是指运行所述新版本的第一功能组 件后与所述防火墙设备新建立的会话；
所述检测模块， 还用于若存在至少一个第二会话 ， 则使用旧版本的第一 功能组件对所述第二会话的后续报文进行检测， 直到所有所述第二会话老化 为止， 所述第二会话是指运行所述新版本的第一功能组件时已与所述防火墙 设备建立的会话；
所述销毁模块， 用于根据所述检测模块的触发， 在所有所述第二会话老 化后， 销毁所述旧版本的第一功能组件。
结合第二方面， 在第二方面的第一种实现方式中， 所述装置还包括： 接收模块， 用于接收报文， 根据所述报文的报文头确定所述报文属于所 述第一会话的报文， 或者属于所述第二会话的报文；
所述检测模块， 还用于若属于所述第一会话的报文， 则应用所述新版本 的第一功能组件进行检测； 若属于所述第二会话的报文， 则应用所述旧版本 的第一功能组件进行检测。
结合第二方面的第一种实现方式， 在第二方面的第二种实现方式中， 所 述装置还包括：
存储模块， 用于建立并存储旧版本的第一功能组件、 所述第二会话以及 所述第二会话的会话状态三者的对应关系， 以供所述检测模块对所有所述第 二会话是否老化进行判断。
结合第二方面的第二种实现方式， 在第二方面的第三种实现方式中， 所 述存储模块还用于：
当所述接收模块接收的所述报文的标志位为 FIN或 RST时， 如果所述报 文所属会话为所述第二会话， 则在所述对应关系中将所述 "¾文所属会话的会 话状态设置为老化状态。
结合第二方面、 或上述第二方面的任意一种实现方式， 在第二方面的第 四种实现方式中， 所述安装模块还用于：
若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
本发明实施例防火墙设备中检测引擎的升级方法及装置， 通过根据检测 引擎的软件升级数据包生成一个新版本的第一功能组件 ， 并在所述检测引擎 中运行所述新版本的第一功能组件， 用以使用所述新版本的第一功能组件对 第一会话进行检测， 所述第一会话是指运行所述新版本的第一功能组件后与 所述防火墙设备新建立的会话； 若存在至少一个第二会话 ， 则使用旧版本的 第一功能组件对所述第二会话的后续报文进行检测， 直到所有所述第二会话 老化为止， 所述第二会话是指运行所述新版本的第一功能组件时已与所述防 火墙设备建立的会话； 在所有所述第二会话老化后， 销毁所述旧版本的第一 功能组件， 由于只是对需要升级的相应功能组件进行升级而不是对整个检测 引擎进行升级， 且在所有的第二会话老化之后将对所述第二会话进行检测的 旧版本的功能组件销毁， 与现有技术更新整个检测引擎的方案相比， 资源占 用较小， 升级效率高， 实现了在下一代防火墙上检测引擎的各个功能组件的 平滑升级且已有的业务流量的安全检测不受影响。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图是本发明的一些实施例， 对于本领域普通技术人员来讲， 在 不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。 图 1为本发明防火墙设备中检测引擎的升级方法实施例一的流程图； 图 2 为本发明防火墙设备中检测引擎的升级方法实施例一的应用场景示 意图；
图 3 为本发明防火墙设备中检测引擎的升级方法实施例一的功能组件升 级状态示意图一；
图 4 为本发明防火墙设备中检测引擎的升级方法实施例一的功能组件升 级状态示意图二；
图 5 为本发明防火墙设备中检测引擎的升级方法实施例一的功能组件升 级状态示意图三；
图 6为本发明防火墙设备中检测引擎的升级装置实施例一的结构示意图； 图 7为本发明防火墙设备中检测引擎的升级装置实施例二的结构示意图； 图 8为本发明检测引擎升级设备实施例一的结构示意图。 具体实施方式 为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本发 明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于 本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
图 1为本发明防火墙设备中检测引擎的升级方法实施例一的流程图，图 2 为本发明防火墙设备中检测引擎的升级方法实施例一的应用场景示意图，图 3 为本发明防火墙设备中检测引擎的升级方法实施例一的功能组件升级状态示 意图一， 图 4为本发明防火墙设备中检测引擎的升级方法实施例一的功能组 件升级状态示意图二， 图 5 为本发明防火墙设备中检测引擎的升级方法实施 例一的功能组件升级状态示意图三。 本实施例的执行主体为防火墙设备中检 测引擎的升级装置， 该装置可以通过软件和 /或硬件实现。 本实施例的方案应 用在网络接入设备或者网络交换设备中，例如网关设备、防火墙、以及 NGFW 中。
如图 1所示， 本实施例的方法可以包括：
步骤 101、根据检测引擎的软件升级数据包生成一个新版本的第一功能组 件， 并在检测引擎中运行新版本的第一功能组件， 用以使用新版本的第一功 能组件对第一会话进行检测， 第一会话是指运行新版本的第一功能组件后与 防火墙设备新建立的会话。
具体地， 如图 2所示， 本实施例的防火墙设备中检测引擎的升级装置例 如可以设置在 NGFW中， NGFW主要部署在互联网出口、 办公网出口， 对服 务器以及办公网的用户主机进行防护。 NGFW主要以应用识别为基础， 对于 网络中的应用层流量进行安全检测， 如 IPS检测、 AV检测、 URL过滤等安全 防护功能。 其中在网络中部署有升级服务器， 若升级服务器或 NGFW中有检 测引擎中新版本的功能组件如 IPS 功能组件的软件升级数据包， 且检测引擎 的升级装置检测获知到检测引擎中一功能组件如 IPS功能组件或 AV功能组件 需要进行升级， 则根据检测引擎的软件升级数据包生成一个新版本的第一功 能组件 ， 并在检测引擎中运行新版本的第一功能组件， 用以使用新版本的第 一功能组件对第一会话进行检测， 第一会话是指运行新版本的第一功能组件 后与防火墙设备新建立的会话， 如果新版本的第一功能组件如 AV功能组件， 对应的还有新的特征库则同时加载更新， 特征库例如包括多种病毒的信息。
本实施例中对功能组件升级的检测可以定时触发检测如升级服务器与 NGFW通信实时获取 NGFW中检测引擎的各功能组件的版本状态，与升级服 务器中的版本状态进行比较获知是否进行升级， 也可以手动触发检测如在升 级服务器与 NGFW 没有通信的情况下， 可以手动将软件升级数据包下载到 NGFW中， 由 NGFW中的升级组件判断是否需要升级。 如多个功能组件需要 同时升级， 则可以对每个功能组件分别同时升级也可以按顺序升级， 即一个 功能组件升级完成后再升级下一个功能组件。
步骤 102、 若存在至少一个第二会话 ， 则使用旧版本的第一功能组件对 第二会话的后续报文进行检测， 直到所有第二会话老化为止， 第二会话是指 运行新版本的第一功能组件时已与防火墙设备建立的会话。
具体地， 如图 3 所示， 若第二会话为运行新版本的第一功能组件时已与 防火墙设备建立的会话， 如会话 1 , 则使用旧版本的第一功能组件， 如 IPS功 能组件版本 1 对第二会话的后续报文进行安全检测， 第二会话的后续报文是 指运行所述新版本的第一功能组件后， 接收到的属于所述第二会话的报文， 由于 AV功能组件没有进行升级，会话 1的报文由 IPS功能组件版本 1进行安 全检测之后， 发送到 AV功能组件版本 1进行安全检测； 若第一会话为运行 新版本的第一功能组件后与防火墙设备新建立的会话， 如会话 2, 则使用新版 本的第一功能组件如 IPS功能组件版本 2对第一会话进行安全检测， 如图 4 所示， 若在发送到 AV功能组件之前， AV功能组件进行升级生成新的版本 2 并且已经在检测引擎中运行， 则会话 2 的报文将使用新版本的功能组件 AV 功能组件版本 2进行安全检测， 如图 3所示， 若 AV功能组件没有进行升级 则继续使用 AV功能组件版本 1进行安全检测。
本实施例中， 如图 3 所示， 进行会话流分发后会进行应用识别， 即对收 到的报文进行应用识别查找相应的功能组件进行安全检测。 附图 3 只是以功 能组件为 IPS功能组件和 AV功能组件为例进行说明，实际应用中可以包含更 多的功能组件， 例如 URL过滤功能组件、 DLP功能组件等。 进行安全检测之 后， 根据安全检测的结果进行相应的动作， 如阻断、 告警、 日志、 放行等。
步骤 103、 在所有第二会话老化后， 销毁旧版本的第一功能组件。
具体地， 如图 5 所示， 在检测引擎中运行新版本的第一功能组件之前已 与防火墙设备建立的会话如会话 1全部老化后， 则销毁会话 1使用的检测引 擎中旧版本的功能组件如 IPS功能组件版本 1 ,会话 2继续使用 IPS功能组件 版本 2及 AV 功能组件版本 1 进行安全检测， 老化是指一个传输控制协议 ( Transmission Control Protocol , 简称 TCP )连接的双方都已经发送结束连 线 FIN或者连线复位 RST报文。 若后续检测引擎的升级装置检测获知到检 测引擎中 IPS 功能组件需要再次进行升级处理， 则根据获取的软件升级数据 包在检测引擎中生成一新版本的第一功能组件如 IPS功能组件版本 3 ,并运行 此功能组件，此时新建立的会话 3使用新的 IPS功能组件版本 3及 AV功能组 件版本 2进行安全检测， 当会话 2老化之后 (且没有其他会话使用 IPS功能 组件版本 2及 AV功能组件版本 1进行检测 ) 则销毁会话 2使用的检测引擎 中 IPS功能组件版本 2及 AV功能组件版本 1。
本实施例上述第一功能组件、 第二功能组件、 第一会话和第二会话中的 "第一"、 "第二 "并不是表示顺序关系， 而是为了区别不同的功能组件和会话， 以下文件中提到的第一、 第二等也是为了区别不同的组件、 版本、 会话等。
本实施例， 通过根据检测引擎的软件升级数据包生成一个新版本的第一 功能组件 ， 并在所述检测引擎中运行所述新版本的第一功能组件， 用以使用 所述新版本的第一功能组件对第一会话进行检测， 所述第一会话是指运行所 述新版本的第一功能组件后与所述防火墙设备新建立的会话； 若存在至少一 个第二会话 ， 则使用旧版本的第一功能组件对所述第二会话的后续报文进行 检测， 直到所有所述第二会话老化为止， 所述第二会话是指运行所述新版本 的第一功能组件时已与所述防火墙设备建立的会话； 在所有所述第二会话老 化后， 销毁所述旧版本的第一功能组件， 由于只是对需要升级的相应功能组 件进行升级而不是对整个检测引擎进行升级， 且在所有的第二会话老化之后 将对所述第二会话进行检测的旧版本的功能组件销毁， 资源占用较小， 升级 效率高， 实现了在下一代防火墙上检测引擎的各个功能组件的平滑升级且已 有的业务流量的安全检测不受影响。
在本发明防火墙设备中检测引擎的升级方法实施例二中， 在图 1 所示方 法实施例的基石出上， 进一步地， 所述方法还可以包括：
接收报文， 根据报文的报文头确定报文属于第一会话的报文， 或者属于 第二会话的报文；
若第一会话的报文， 则应用新版本的第一功能组件进行检测； 若属于第 二会话的报文， 则应用旧版本的第一功能组件进行检测。
具体地， 如图 3所示， NGFW接收报文， 根据报文的报文头确定报文属 于第一会话如会话 2的报文， 或者属于第二会话如会话 1 的报文； 若第一会 话如会话 2的报文， 则应用新版本的第一功能组件如 IPS功能组件版本 2进 行检， 若属于第二会话如会话 1的报文， 则应用旧版本的第一功能组件如 IPS 功能组件版本 1进行检测。
进一步地， 所述若存在至少一个第二会话， 则使用旧版本的第一功能组 件对所述第二会话的后续报文进行检测， 直到所有所述第二会话老化为止之 前， 本实施例的方法还包括：
建立并存储旧版本的第一功能组件、 第二会话以及第二会话的会话状态 三者的对应关系， 以供对所有所述第二会话是否老化进行判断；
可选地， 还可以建立并存储新版本的第一功能组件、 第一会话以及第一 会话的会话状态三者的对应关系， 以便于所述第一功能组件再次升级时， 对 所有所述第一会话是否老化进行判断。
具体地， 如图 3 所示， 在防火墙设备中检测引擎的升级装置中例如可以 建立并存储： IPS功能组件版本 1及 AV功能组件版本 1、 会话 1 以及会话 1 的会话状态的对应关系， IPS功能组件版本 2及 AV功能组件版本 1、 会话 2 以及会话 2的会话状态的对应关系， 如图 4所示， 会话 2与 IPS功能组件版 本 2及 AV功能组件版本 2的对应关系， 如表 1所示， 以供对所有会话是否 老化进行判断， 便于判断各个功能组件是否进行销毁以及会话的后续报文使 用哪个版本的功能组件进行安全检测， 如表 1 所示， 第一列表示对应关系编 号， 第二列表示功能组件版本， 第三列表示会话， 第四列表示会话状态。
表 1
Figure imgf000010_0001
进一步地， 所述接收报文之后， 还可以包括:
当 ·艮文的标志位为结束连线 FIN或连线复位 RST时， 如果所述>¾文所述 会话为所述第二会话， 则在所述对应关系中将所述 >¾文所属会话的会话状态 设置为老化状态。
可选地， 如果所述 4艮文所述会话为所述第一会话， 则在所述对应关系中 将所述报文所属会话的会话状态设置为老化状态。
具体地， 如表 1所示， 当发送的业务报文的标志位为结束连线 FIN或连 线复位 RST时， 且报文所属的会话为会话 1 , 将会话 1所对应的对应关系 1、 2中的会话状态设置为老化状态，此时如果没有其他的会话在使用 IPS功能组 件版本 1进行检测， 则由于使用 IPS功能组件版本 1进行检测的所有会话都 已老化， 因此将 IPS功能组件版本 1进行销毁， 后续新建立的会话的报文， 都使用 IPS功能组件版本 2和 AV功能组件版本 1进行检测。 进一步地， 所述方法还可以还包括：
若软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生 成新版本的第二功能组件， 并在检测引擎中运行新版本的第二功能组件。
具体地， 若软件升级数据包中还包括至少一个第二功能组件的升级数据 包，如同时包括 IPS功能组件及 AV功能组件的升级数据包，则生成新版本的 第一功能组件如 IPS功能组件版本 2以及生成新版本的第二功能组件如 AV功 能组件版本 2, 并在检测引擎中运行新版本的第二功能组件； 若软件升级数据 包中还包括两个第二功能组件的升级数据包， 如 AV功能组件以及 DLP功能 组件的升级数据包，则生成两个新版本的第二功能组件如 AV功能组件版本 2 以及 DLP功能组件版本 2。
本实施例， 通过建立并存储新版本的第一功能组件、 第一会话以及第一 会话的会话状态三者的对应关系， 以供对所有所述第一会话是否老化进行判 断， 建立并存储旧版本的第一功能组件、 第二会话以及第二会话的会话状态 三者的对应关系， 以供对所有所述第二会话是否老化进行判断； 接收报文， 根据报文的报文头确定报文属于第一会话的报文， 或者属于第二会话的报文， 若第一会话的报文， 则应用新版本的第一功能组件进行检测， 若属于第二会 话的报文， 则应用旧版本的第一功能组件进行检测， 当报文的标志位为结束 连线 FIN或连线复位 RST时， 将报文所属会话的会话状态设置为老化状态， 若软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新 版本的第二功能组件， 并在检测引擎中运行新版本的第二功能组件， 资源占 用较小， 升级效率高， 实现了在下一代防火墙上检测引擎的各个功能组件的 平滑升级且已有的业务流量的安全检测不受影响。
图 6为本发明防火墙设备中检测引擎的升级装置实施例一的结构示意图， 如图 6所示， 本实施例的装置 50可以包括： 安装模块 501、 检测模块 502和 销毁模块 503 , 其中， 安装模块 501用于根据所述检测引擎的软件升级数据包 生成一个新版本的第一功能组件， 并在所述检测引擎中运行所述新版本的第 一功能组件； 检测模块 502用于使用所述安装模块 501生成并运行的所述新 版本的第一功能组件对第一会话进行检测， 所述第一会话是指运行所述新版 本的第一功能组件后与所述防火墙设备新建立的会话； 所述检测模块 502, 还 用于若存在至少一个第二会话 ， 则使用旧版本的第一功能组件对所述第二会 话的后续报文进行检测， 直到所有所述第二会话老化为止， 所述第二会话是 指运行所述新版本的第一功能组件时已与所述防火墙设备建立的会话； 销毁 模块 503用于根据所述检测模块 502的触发， 在所有所述第二会话老化后， 销毁所述旧版本的第一功能组件。
本实施例的装置， 可以用于执行图 1 所示方法实施例的技术方案， 其实 现原理和技术效果类似， 此处不再贅述。
图 7为本发明防火墙设备中检测引擎的升级装置实施例二的结构示意图， 如图 7所示， 本实施例的装置 50在图 5所示装置结构的基础上， 进一步地， 还可以包括： 接收模块 504, 该接收模块 504用于接收报文， 根据所述报文的 报文头确定所述报文属于所述第一会话的报文， 或者属于所述第二会话的报 文； 所述检测模块 502, 还用于若属于所述第一会话的报文， 则应用所述新版 本的第一功能组件进行检测； 若属于所述第二会话的报文， 则应用所述旧版 本的第一功能组件进行检测。
进一步地， 本实施例的装置， 还可以包括：
存储模块 505, 该存储模块 505用于建立并存储旧版本的第一功能组件、 所述第二会话以及所述第二会话的会话状态三者的对应关系， 以供所述检测 模块对所有所述第二会话是否老化进行判断。
可选地， 该存储模块 505还可以用于建立并存储旧版本的第一功能组件、 所述第一会话以及所述第一会话的会话状态三者的对应关系， 以供所述检测 模块对所有所述第一会话是否老化进行判断。
所述存储模块 505还用于：
当所述接收模块 504接收的所述报文的标志位为结束连线 FIN或连线复 位 RST时， 如果所述报文所属会话为所述第二会话， 则在所述存储模块 505 存储的所述对应关系中将所述报文所属会话的会话状态设置为老化状态。
可选地， 所述存储模块 505还用于：
当所述接收模块 504接收的所述报文的标志位为结束连线 FIN或连线复 位 RST时， 如果所述报文所属会话为所述第一会话， 则在所述存储模块 505 存储的所述对应关系中将所述报文所属会话的会话状态设置为老化状态。
可选地， 所述安装模块 501还用于：
若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
本实施例的装置， 可以用于执行方法实施例二的技术方案， 其实现原理 和技术效果类似， 此处不再贅述。
图 8为本发明检测引擎的升级设备实施例一的结构示意图。 如图 8所示， 本实施例提供的检测引擎的升级设备 70包括总线 701、 接收器 702、 处理器 703和存储器 704。 其中， 总线 701用于连接接收器 702、 处理器 703和存储 器 704, 并传输信息； 接收器 702用于接收报文， 存储器 704存储执行指令， 当检测引擎的升级设备 70运行时， 处理器 703与存储器 704之间通信， 处理 器 703运行存储器 704中存储的代码， 执行如下操作：
根据检测引擎的软件升级数据包生成一个新版本的第一功能组件， 并在 所述检测引擎中运行所述新版本的第一功能组件， 用以使用所述新版本的第 一功能组件对第一会话进行检测， 所述第一会话是指运行所述新版本的第一 功能组件后与所述防火墙设备新建立的会话；
若存在至少一个第二会话， 则使用旧版本的第一功能组件对所述第二会 话的后续报文进行检测， 直到所有所述第二会话老化为止， 所述第二会话是 指运行所述新版本的第一功能组件时已与所述防火墙设备建立的会话；
在所有所述第二会话老化后， 销毁 所述旧版本的第一功能组件。
优选地， 所述若存在至少一个第二会话， 则使用旧版本的第一功能组件 对所述第二会话的后续报文进行检测， 直到所有所述第二会话老化为止之前， 所述存储器 704还用于：
建立并存储旧版本的第一功能组件、 第二会话以及第二会话的会话状态 三者的对应关系， 以供对所有所述第二会话是否老化进行判断。
可选地， 所述存储器 704还用于建立并存储新版本的第一功能组件、 第 一会话以及第一会话的会话状态三者的对应关系， 以供对所有所述第一会话 是否老化进行判断。
可选地， 所述处理器 703还用于根据所述接收器 702所述报文的报文头 确定所述报文属于所述第一会话的报文， 或者属于所述第二会话的报文； 若属于所述第一会话的报文， 则应用所述新版本的第一功能组件进行检 测； 若属于所述第二会话的报文， 则应用所述旧版本的第一功能组件进行检 测。
可选地， 所述处理器 703还用于当所述接收器 702接收的所述报文的标 志位为结束连线 FIN或连线复位 RST时， 如果所述报文所属会话为所述第二 会话， 则在所述对应关系中将所述报文所属会话的会话状态设置为老化状态。
可选地， 所述处理器 703还用于：
当所述接收器 702接收的所述报文的标志位为结束连线 FIN或连线复位 RST 时， 如果所述 ·艮文所属会话为所述第一会话， 则在所述对应关系中将所 述报文所属会话的会话状态设置为老化状态。
可选地， 所述处理器 703还用于：
若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
本实施例的设备， 可以用于执行方法实施例的技术方案， 其实现原理和 技术效果类似， 此处不再贅述。
在本发明所提供的几个实施例中， 应该理解到， 所揭露的装置和方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可以有另外 的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个系统， 或 一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之间的耦合或 直接耦合或通信连接可以是通过一些接口， 装置或单元的间接耦合或通信连 接， 可以是电性， 机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的， 作 为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的部分或 者全部单元来实现本实施例方案的目的。
另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一个单 元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用硬件加软件 功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元， 可以存储在一个计算机 可读取存储介质中。 上述软件功能单元存储在一个存储介质中， 包括若干指 令用以使得一台计算机设备（可以是个人计算机， 服务器， 或者网络设备等） 或处理器（processor )执行本发明各个实施例所述方法的部分步骤。 而前述的 存储介质包括： U盘、 移动硬盘、 只读存储器（Read-Only Memory, ROM ) 、 随机存取存储器 ( Random Access Memory, RAM ) 、 磁碟或者光盘等各种可 以存储程序代码的介质。
本领域技术人员可以清楚地了解到， 为描述的方便和简洁， 仅以上述各 功能模块的划分进行举例说明， 实际应用中， 可以根据需要而将上述功能分 配由不同的功能模块完成， 即将装置的内部结构划分成不同的功能模块， 以 完成以上描述的全部或者部分功能。 上述描述的装置的具体工作过程， 可以 参考前述方法实施例中的对应过程， 在此不再贅述。
最后应说明的是： 以上各实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述各实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或者对其中部分或者全部技术特征进行等同替换； 而这些修改或者替换， 并 不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权 利 要 求
1、 一种防火墙设备中检测引擎的升级方法， 其特征在于， 包括： 根据所述检测引擎的软件升级数据包生成一个新版本的第一功能组件 , 并在所述检测引擎中运行所述新版本的第一功能组件， 用以使用所述新版本 的第一功能组件对第一会话进行检测， 所述第一会话是指运行所述新版本的 第一功能组件后与所述防火墙设备新建立的会话；
若存在至少一个第二会话， 则使用旧版本的第一功能组件对所述第二会 话的后续报文进行检测， 直到所有所述第二会话老化为止， 所述第二会话是 指运行所述新版本的第一功能组件时已与所述防火墙设备建立的会话；
在所有所述第二会话老化后， 销毁所述旧版本的第一功能组件。
2、 根据权利要求 1所述的方法， 其特征在于， 所述在所述检测引擎中运 行所述新版本的第一功能组件之后， 还包括：
接收报文， 根据所述报文的报文头确定所述报文属于所述第一会话的报 文， 或者属于所述第二会话的报文；
若属于所述第一会话的报文， 则应用所述新版本的第一功能组件进行检 测； 若属于所述第二会话的报文， 则应用所述旧版本的第一功能组件进行检 测。
3、 根据权利要求 2所述的方法， 其特征在于， 所述若存在至少一个第二 会话， 则使用旧版本的第一功能组件对所述第二会话的后续报文进行检测， 直到所有所述第二会话老化为止之前， 还包括：
建立并存储旧版本的第一功能组件、 所述第二会话以及所述第二会话的 会话状态三者的对应关系， 以供对所有所述第二会话是否老化进行判断。
4、 根据权利要求 3所述的方法， 其特征在于， 所述接收报文之后， 还包 括：
当所述 文的标志位为结束连线 FIN或连线复位 RST时， 如果所述 4艮文 所属会话为所述第二会话， 则在所述对应关系中将所述 ·艮文所属会话的会话 状态设置为老化状态。
5、 根据权利要求 1至 4中任一所述的方法， 其特征在于， 还包括： 若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
6、 一种防火墙设备中检测引擎的升级装置， 其特征在于， 包括： 安装模块， 用于根据所述检测引擎的软件升级数据包生成一个新版本的 第一功能组件， 并在所述检测引擎中运行所述新版本的第一功能组件；
检测模块， 用于使用所述安装模块生成并运行的所述新版本的第一功能 组件对第一会话进行检测， 所述第一会话是指运行所述新版本的第一功能组 件后与所述防火墙设备新建立的会话；
所述检测模块， 还用于若存在至少一个第二会话 ， 则使用旧版本的第一 功能组件对所述第二会话的后续报文进行检测， 直到所有所述第二会话老化 为止， 所述第二会话是指运行所述新版本的第一功能组件时已与所述防火墙 设备建立的会话；
销毁模块， 用于根据所述检测模块的触发， 在所有所述第二会话老化后， 销毁所述旧版本的第一功能组件。
7、 根据权利要求 6所述的装置， 其特征在于， 所述装置还包括： 接收模块， 用于接收报文， 根据所述报文的报文头确定所述报文属于所 述第一会话的报文， 或者属于所述第二会话的报文；
所述检测模块， 还用于若属于所述第一会话的报文， 则应用所述新版本 的第一功能组件进行检测； 若属于所述第二会话的报文， 则应用所述旧版本 的第一功能组件进行检测。
8、 根据权利要求 7所述的装置， 其特征在于， 所述装置还包括： 存储模块， 用于建立并存储旧版本的第一功能组件、 所述第二会话以及 所述第二会话的会话状态三者的对应关系， 以供所述检测模块对所有所述第 二会话是否老化进行判断。
9、 根据权利要求 8所述的装置， 其特征在于， 所述存储模块还用于： 当所述接收模块接收的所述报文的标志位为 FIN或 RST时， 如果所述报 文所属会话为所述第二会话， 则在所述对应关系中将所述 "¾文所属会话的会 话状态设置为老化状态。
10、 根据权利要求 6至 9中任一所述的装置， 其特征在于， 所述安装模 块还用于：
若所述软件升级数据包中还包括至少一个第二功能组件的升级数据包， 则生成新版本的第二功能组件， 并在所述检测引擎中运行所述新版本的第二 功能组件。
PCT/CN2014/072541 2013-08-08 2014-02-26 防火墙设备中检测引擎的升级方法及装置 WO2015018200A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310344399.0 2013-08-08
CN201310344399.0A CN104348660B (zh) 2013-08-08 2013-08-08 防火墙设备中检测引擎的升级方法及装置

Publications (1)

Publication Number Publication Date
WO2015018200A1 true WO2015018200A1 (zh) 2015-02-12

Family

ID=52460606

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/072541 WO2015018200A1 (zh) 2013-08-08 2014-02-26 防火墙设备中检测引擎的升级方法及装置

Country Status (2)

Country Link
CN (1) CN104348660B (zh)
WO (1) WO2015018200A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10037768B1 (en) 2017-09-26 2018-07-31 International Business Machines Corporation Assessing the structural quality of conversations
CN113839882A (zh) * 2021-09-26 2021-12-24 杭州迪普信息技术有限公司 一种报文流分流方法及装置

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106059790A (zh) * 2016-05-13 2016-10-26 杭州华三通信技术有限公司 一种防火墙升级方法及装置
CN112866238B (zh) * 2021-01-15 2022-07-05 杭州迪普科技股份有限公司 会话控制方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040049701A1 (en) * 2002-09-05 2004-03-11 Jean-Francois Le Pennec Firewall system for interconnecting two IP networks managed by two different administrative entities
CN101122934A (zh) * 2006-08-11 2008-02-13 珠海金山软件股份有限公司 一种可对文件实时监控的防治计算机病毒的装置及其升级方法
CN101695031A (zh) * 2009-10-27 2010-04-14 成都市华为赛门铁克科技有限公司 入侵防御系统的升级方法和装置
CN101854334A (zh) * 2009-03-30 2010-10-06 华为技术有限公司 接纳控制系统、装置及方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102118296B (zh) * 2009-12-30 2015-05-27 华为技术有限公司 一种规则库升级方法和通信设备
CN101938460B (zh) * 2010-06-22 2014-04-09 北京中兴网安科技有限公司 全程全网安全协同防御系统的协同防御方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040049701A1 (en) * 2002-09-05 2004-03-11 Jean-Francois Le Pennec Firewall system for interconnecting two IP networks managed by two different administrative entities
CN101122934A (zh) * 2006-08-11 2008-02-13 珠海金山软件股份有限公司 一种可对文件实时监控的防治计算机病毒的装置及其升级方法
CN101854334A (zh) * 2009-03-30 2010-10-06 华为技术有限公司 接纳控制系统、装置及方法
CN101695031A (zh) * 2009-10-27 2010-04-14 成都市华为赛门铁克科技有限公司 入侵防御系统的升级方法和装置

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10037768B1 (en) 2017-09-26 2018-07-31 International Business Machines Corporation Assessing the structural quality of conversations
US10297273B2 (en) 2017-09-26 2019-05-21 International Business Machines Corporation Assessing the structural quality of conversations
US10311895B2 (en) 2017-09-26 2019-06-04 International Business Machines Corporation Assessing the structural quality of conversations
US10424319B2 (en) 2017-09-26 2019-09-24 International Business Machines Corporation Assessing the structural quality of conversations
CN113839882A (zh) * 2021-09-26 2021-12-24 杭州迪普信息技术有限公司 一种报文流分流方法及装置
CN113839882B (zh) * 2021-09-26 2023-09-26 杭州迪普信息技术有限公司 一种报文流分流方法及装置

Also Published As

Publication number Publication date
CN104348660B (zh) 2018-08-21
CN104348660A (zh) 2015-02-11

Similar Documents

Publication Publication Date Title
US11050786B2 (en) Coordinated detection and differentiation of denial of service attacks
TWI294726B (zh)
CN102291441B (zh) 一种防范SYN Flood攻击的方法及安全代理装置
US8661522B2 (en) Method and apparatus for probabilistic matching to authenticate hosts during distributed denial of service attack
US20140337977A1 (en) Automated deployment of protection agents to devices connected to a distributed computer network
US20150058983A1 (en) Revival and redirection of blocked connections for intention inspection in computer networks
US10129286B2 (en) Zero day threat detection using host application/program to user agent mapping
CN111800401B (zh) 业务报文的防护方法、装置、系统和计算机设备
WO2021082834A1 (zh) 报文处理方法、装置、设备及计算机可读存储介质
US20140115705A1 (en) Method for detecting illegal connection and network monitoring apparatus
JP2010520566A (ja) 外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法
ES2738106T3 (es) Procedimiento de procesamiento para tecnología de traducción de direcciones de red, dispositivo de NAT y dispositivo de BNG
WO2018157626A1 (zh) 一种威胁检测方法及装置
CN117378174A (zh) 保护容器化应用
WO2015018200A1 (zh) 防火墙设备中检测引擎的升级方法及装置
US20140283057A1 (en) Tcp validation via systematic transmission regulation and regeneration
Huang et al. An authentication scheme to defend against UDP DrDoS attacks in 5G networks
WO2023040303A1 (zh) 网络流量控制方法以及相关系统
KR101887544B1 (ko) Sdn 기반의 마이크로 서버 관리 시스템에 대한 네트워크 공격 차단 시스템
CN104125213A (zh) 一种防火墙抗分布式拒绝服务ddos攻击的方法和装置
US9686311B2 (en) Interdicting undesired service
CN107395550B (zh) 一种网络攻击的防御方法及服务器
WO2013097493A1 (zh) Ips检测处理方法、网络安全设备和系统
EP3133790B1 (en) Message sending method and apparatus
Gao et al. Detecting DOS/DDOS attacks under IPv6

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14834209

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14834209

Country of ref document: EP

Kind code of ref document: A1