CN101184088A

CN101184088A - 一种多点联动的局域网防火墙协同方法

Info

Publication number: CN101184088A
Application number: CNA2007101602499A
Authority: CN
Inventors: 王万良; 蒋一波; 赵燕伟; 郑建炜; 陈伟杰; 韩姗姗; 应时彦
Original assignee: Zhejiang University of Technology ZJUT
Current assignee: Zhejiang University of Technology ZJUT
Priority date: 2007-12-14
Filing date: 2007-12-14
Publication date: 2008-05-21
Anticipated expiration: 2027-12-14
Also published as: CN101184088B

Abstract

一种多点联动的局域网防火墙协同方法，该协同方法采用控制中心协同各个防火墙之间的防护规则，每个局域网中的独立防火墙之间建立信息共享连接，如果一个防火墙监测到危险数据报，进行拦截并提取其特征，把该数据报特征通报所有联动防火墙；联动防火墙在收到危险数据报的特征后，检查其是否能对该数据报做出反应，如果没有相关报警规则，则自动添加。本发明提供一种能有效防范多面性网络攻击、各个防火墙的报警规则信息共享、提高局域网的安全等级的一种多点联动的局域网防火墙协同方法。

Description

一种多点联动的局域网防火墙协同方法

技术领域

本发明属于局域网防火墙设置方法领域，尤其涉及一种局域网防火墙协同方法。

背景技术

防火墙就是一个位于计算机和它所连接的网络之间的软件。该计算机流入流出的所有网络通信均要经过此防火墙。防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。防火墙有不同类型。一个防火墙可以是硬件自身的一部分，可以将因特网连接和计算机都***其中。防火墙也可以在一个独立的机器上运行，该机器作为它背后网络中所有计算机的代理和防火墙。

防火墙是一类防范措施的总称，它使内网与Internet之间或其他外网络互相隔离、限制网络互访用来保护内部网络。防火墙简单的可以只用路由器实现，复杂的可以用主机甚至一个子网来实现。设置防火墙目的都是为了在内部网与外部网之间设立唯一的通道，简化网络的管理。

防火墙无法检测加密的Web流量，对于一个门户网站，希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求对于传统的网络防火墙而言是个大问题。由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。普通应用程序加密后，也能轻易躲过防火墙的检测。网络防火墙无法检测到的数据不仅仅是SSL加密的数据，对于应用程序加密的数据同样也不可见。现今大多数网络防火墙中，依赖的是静态的特征库。只有当应用层攻击行为的特征与防火墙中的数据库中已有的特征完全匹配时，防火墙才能识别和截获攻击数据。但如今，采用常见的编码技术，就能够地将恶意代码和其他攻击命令隐藏起来，转换成某种形式，既能欺骗前端的网络安全***，又能够在后台服务器中执行。这种加密后的攻击代码，只要与防火墙规则库中的规则不一样，就能够躲过网络防火墙，成功避开特征匹配。

目前的数据中心服务器，时常会发生变动，比如：定期需要部署新的应用程序；经常需要增加或更新软件模块；QA们经常会发现代码中的bug，已部署的***需要定期打补丁。在这样动态复杂的环境中，安全专家们需要采用灵活的、粗粒度的方法，实施有效的防护策略。虽然一些先进的网络防火墙供应商，提出了应用防护的特性，但只适用于简单的环境中。对于实际的企业应用来说，这些特征存在着局限性。在多数情况下，弹性概念的特征无法应用于现实生活中的数据中心上。比如，有些防火墙供应商曾经声称能够阻止缓存溢出：当黑客在浏览器的URL中输入太长数据，试图使后台服务崩溃或使试图非法访问的时候，网络防火墙能够检测并制止这种情况。这些供应商采用对80端口数据流中，针对URL长度进行控制的方法，来实现这个功能的。如果使用这个规则，将对所有的应用程序生效。如果一个程序或者是一个简单的Web网页，确实需要涉及到很长的URL时，就要屏蔽该规则。

网络防火墙的体系结构，决定了网络防火墙是针对网络端口和网络层进行操作的，因此很难对应用层进行防护，除非是一些很简单的应用程序。

正如现在对防火墙的定义一样，其必须是整个局域网与外部网络的唯一接口，但是随着企业网络的规模变得越来越庞大，企业网中的用户可能采用其他包括有线、无线的方式私自接入广域网。在局域网的几个主要入口设置防火墙已经不能很好的适应日期庞大的企业网，而且也不能防止由于局域网中用户独自连接广域网而产生的绕过防火墙的安全问题。

其次，防火墙仅能对来自局域网外部的攻击进行防护，但是当企业网络趋向于分布式的多个局域网的时候，这种防护措施就显得捉襟见肘了。各个局域网都分布在广域网的不同地域，它们之间都通过广域网进行通讯，因此每个局域网的防火墙不能对来自广域网的信息进行完全的过滤，这样就产生了很大的安全隐患。而且局域网内部的使用者也很可能因为误操作或无意中下载了广域网上的经过伪装的病毒与攻击程序，从而导致局域网工作陷入瘫痪，传统防火墙对于这种危险是没有办法防护的。

发明内容

为了克服已有的局域网防火墙设置方法的不能有效防范多面性网络攻击、各个防火墙的报警规则相互独立、安全性不高的不足，本发明提供一种能有效防范多面性网络攻击、各个防火墙的报警规则信息共享、提高局域网的安全等级的一种多点联动的局域网防火墙协同方法。

本发明解决其技术问题所采用的技术方案是：

一种多点联动的局域网防火墙协同方法，该协同方法采用控制中心协同各个防火墙之间的防护规则，每个局域网中的独立防火墙之间建立信息共享连接，如果一个防火墙监测到危险数据报，进行拦截并提取其特征，把该数据报特征通报所有联动防火墙；联动防火墙在收到危险数据报的特征后，检查其是否能对该数据报做出反应，如果没有相关报警规则，则自动添加。

作为优选的一种方案，所述的协同方法主要包括以下步骤：

(1)初始化局域网中各防火墙：在启动整个联动的防火墙体系时，先要初始化并开启所有的独立的防火墙，等待所有的防火墙都进入工作状态；检查所有的防火墙是否都能正常工作，能进行网络数据报过滤，能进行数据安全检查，能完成报警动作；

(2)防火墙设定协和开放协同工作的通讯端口：

(2.1)设定协同端口：每个联动的防火墙都设定一个用于协同的通讯端口；协同过程采用TCP协议连接，每个联动防火墙都开放对该TCP端口的流量限制。之后把该端口通过TCP连接发送给控制中心，由控制中心统一管理所有的协同端口；

(2.2)开放协同端口：为了防止该开放端口被网络攻击所利用，在通讯端口中发送和收取的数据报，其源地址和目的地址都必须是协同防火墙的网关地址；

(3)向控制中心发送注册信息：每个参与联动的局域网防火墙都要向控制中心发送注册信息，以使得整个联动***能够正常工作；注册信息包括：防火墙类型，防火墙网关地址，防火墙已有的报警规则，防火墙当前工作状态；

(4)从控制中心获取局域网中其他防火墙的信息：当防火墙向注册中心发送其自身的信息之后，再向控制中心获取其他联动防火墙的基础信息，用于在之后的联动过程中与其他防火前实施联动；

(5)监视网络数据：

(5.1)监测经过防火墙的网络数据报：截获网络基础数据报，检查其特征信息，包括源IP地址、目的IP地址、源端口、目的端口、协议类型、内容摘要；这些数据报的特征信息都是进行安全检查所必须的；

(5.2)检查是否存在与该数据报匹配的报警规则：对每个截获数据报的特征信息进行检查，遍历报警规则库中的每个规则，分别比对特征信息与报警规则；报警规则由网络管理人员手动设定，也可能是联动防火墙自动更新的报警规则；

(5.3)根据报警规则对该数据报进行操作：如果数据报特征信息与某条报警规则匹配成功，则表示该数据报是危险数据报，执行拦截操作；

(6)记录该数据报特征：对危险数据报的特征进行记录，记录内容包括：数据报源IP地址、目的IP地址、源端口、目的端口、与报警规则匹配的数据内容、截取时间；

(7)通报各联动防火墙：从控制中心获得当前所有参加联动的、正常工作的防火墙的协同信息，通过协同通讯端口把该危险数据报的特征发送给每个注册的联动防火墙；

(8)联动防火墙进行报警规则更新：

(8.1)各防火墙测试该数据报特征：每个联动防火墙在收到危险数据报的特征信息后，遍历自身的报警规则库中的每个报警规则；

(8.2)是否能识别该特征：检查在报警规则库中是否存在与危险数据报的特征信息匹配的报警规则，如果存在则表示能够识别该危险数据报，如果不存在则表示本防火墙对这种新的危险数据报还不能进行识别；

(8.3)获取原始报警规则：如果本防火墙不能识别该危险数据报，则向发出通报信息的原始防火墙调取相关报警规则。报警规则以文本的形式从通报防火墙发送到需要更新该规则的联动防火墙；

(8.4)添加新的报警规则：联动防火墙在自身的报警规则库中添加新的报警规则；之后，该防火墙也能识别该类型的危险数据报并进行报警动作；

(9)激活新添加的报警规则：联动防火墙在更新完新的报警规则之后，重新激活整个报警规则库，使其正常工作。

本发明的技术构思为：以现有的局域网防火墙技术为基础，将现有防火墙都作为独立的单元加入到整个联动***中来。加入了控制中心的概念，在统一的环境下协同各个防火墙之间的防护规则。在每个局域网中的独立防火墙之间建立信息共享连接，如果某一个防火墙监测到危险数据报，则进行拦截并提取其特征。之后，对危险数据报的特征进行记录，记录内容包括：数据报源IP地址、目的IP地址、源端口、目的端口、与报警规则匹配的数据内容、截取时间。接着，从控制中心获得最新的联动防火墙列表，把该数据报特征通报所有联动防火墙。联动防火墙在收到危险数据报的特征后，检查其是否能对该数据报做出反应，如果没有相关报警规则，则自动添加。

本发明提出了一种多点联动的局域网防火墙协同方法。该方法以现有的局域网防火墙技术为基础，将现有防火墙都作为独立的单元加入到整个联动***中来。在原有的防火墙体系中加入了控制中心的概念，所有的防火墙都可以通过统一的控制中心来进行协同，包括协同端口的设置、各防火墙信息的共享、危险数据报的通报、报警规则的更新等。每个局域网中的独立防火墙之间都建立了信息共享机制，当一个防火墙监测到危险数据报时，不但进行拦截动作，还提取其数据报特征，把该数据报特征通报所有联动防火墙。其他联动防火墙在收到危险数据报的特征后，以该特征为标准来检查本地的报警规则库是否能匹配，如果没有相关报警规则则自动更新新的报警规则。局域网中相互独立的防火墙就能够从静态的报警规则变成一体化的动态的报警规则，做到动态安全联动，使得局域网更加安全。

本发明的有益效果主要表现在：1、使用了控制中心的概念，使得各独立的防火墙之间能够进行信息共享；2、报警规则能够自动更新，能够把原有的局部静态报警规则转变为全局域网的动态报警规则；3、各联动防火墙之间能够进行协同防护，提高局域网安全等级。

附图说明

图1是一种多点联动的局域网防火墙协同方法的流程图。

图2是基于多点联动方法的局域网协同防火墙的结构图。

具体实施方式

下面结合附图对本发明作进一步描述。

所述的协同方法主要包括以下步骤：

(2)防火墙设定协和开放协同工作的通讯端口：

(5)监视网络数据：

(8)联动防火墙进行报警规则更新：

(8.4)添加新的报警规则：联动防火墙在自身的报警规则库中添加新的报警规则。之后，该防火墙也能识别该类型的危险数据报并进行报警动作；

参照图1，本实施例的一种多点联动的局域网防火墙协同方法，包括以下步骤：

第一步：在启动整个联动的防火墙体系时，先要初始化并开启所有的独立防火墙，并等待所有的防火墙都进入工作状态。检查所有的防火墙是否都能正常工作。

第二步：每个联动的防火墙都设定一个用于协同的通讯端口。协同过程采用TCP协议连接，每个联动防火墙都开放对该TCP端口的流量限制。

第三步：为了防止该开放端口被网络攻击所利用，在通讯端口中发送和收取的数据报，其源地址和目的地址都必须是协同防火墙的网关地址。

第四步：每个参与联动的局域网防火墙都要向控制中心发送注册信息，以使得整个联动***能够正常工作。

第五步：当防火墙向注册中心发送其自身的信息之后，再向控制中心获取其他联动防火墙的基础信息，用于在之后的联动过程中，可以与其他防火墙实施联动。

第六步：截获网络基础数据报，检查其特征信息，包括源IP地址、目的IP地址、源端口、目的端口、协议类型、内容摘要。

第七步：对每个截获数据报的特征信息进行检查，遍历报警规则库中的每个规则，分别比对特征信息与报警规则。

第八步：如果报警规则匹配失败，则跳转至第六步。

第九步：如果数据报特征信息与某条报警规则匹配成功，则表示该数据报是危险数据报，执行拦截操作。

第十步：对危险数据报的特征进行记录，记录内容包括：数据报源IP地址、目的IP地址、源端口、目的端口、与报警规则匹配的数据内容、截取时间。

第十一步：从控制中心获得当前所有参加联动的、正常工作的防火墙的协同信息，通过协同通讯端口把该危险数据报的特征发送给每个注册的联动防火墙。

第十二步：每个联动防火墙在收到危险数据报的特征信息后，遍历自身的报警规则库中的每个报警规则。

第十三步：检查在报警规则库中是否存在与危险数据报的特征信息匹配的报警规则，如果存在则跳转至第六步。

第十四步：向发出通报信息的原始防火墙调取相关报警规则。报警规则以文本的形式从通报防火墙发送到需要更新该规则的联动防火墙。

第十五步：联动防火墙在自身的报警规则库中添加新的报警规则。

第十六步：联动防火墙在更新完新的报警规则之后，重新激活整个报警规则库，使其正常工作。

参照图2，应用本方法实现的基于多点联动方法的局域网协同防火墙，主要包括：本地防火墙模块和协同模块。

所述的本地防火墙模块包括：

(1)网络数据报过滤模块：负责对经过防火墙网关的所有数据报进行截取，并能够进行拦截动作。

(2)报警规则管理模块：管理本地防火墙中的所有报警规则，包括载入、存储和添加。

(3)报警匹配模块：负责在报警规则库中查找与数据报特征相匹配的规则，搜索过程根据报警规则库的大小进行选择，包括顺序查找、二叉树查找等。

(4)数据报特征提取模块：将截取的原始数据报中的特征信息提取出来，包括数据报源IP地址、目的IP地址、源端口、目的端口、数据负载的内容摘要等。

所述的协同模块包括：

(1)控制中心注册模块：负责在本地防火墙与控制中心的信息交互工作，包括向控制中心注册联动防火墙、从控制中心获取其他联动防火墙的信息等。

(2)数据报通报模块：向其他联动防火墙发送和接收危险数据报通报信息，并进行基本的信息与规则共享工作。

Claims

1.一种多点联动的局域网防火墙协同方法，其特征在于：该协同方法采用控制中心协同各个防火墙之间的防护规则，每个局域网中的独立防火墙之间建立信息共享连接，如果一个防火墙监测到危险数据报，进行拦截并提取其特征，把该数据报特征通报所有联动防火墙；联动防火墙在收到危险数据报的特征后，检查其是否能对该数据报做出反应，如果没有相关报警规则，则自动添加。

2.如权利要求1所述的多点联动的局域网防火墙协同方法，其特征在于：所述协同方法主要包括以下步骤：

(1)、初始化局域网中各防火墙：在启动整个联动的防火墙体系时，先要初始化并开启所有的独立的防火墙，等待所有的防火墙都进入工作状态；

(2)、防火墙设定协和开放协同工作的通讯端口：

(2.1)、设定协同端口：每个联动的防火墙都设定一个用于协同的通讯端口；协同过程采用TCP协议连接，每个联动防火墙都开放对该TCP端口的流量限制；之后把该端口通过TCP连接发送给控制中心；

(2.2)、开放协同端口：在通讯端口中发送和收取的数据报，其源地址和目的地址都是协同防火墙的网关地址；

(3)、向控制中心发送注册信息：每个参与联动的局域网防火墙都要向控制中心发送注册信息；注册信息包括：防火墙类型，防火墙网关地址，防火墙已有的报警规则，防火墙当前工作状态；

(4)、从控制中心获取局域网中其他防火墙的信息：当防火墙向注册中心发送其自身的信息之后，再向控制中心获取其他联动防火墙的基础信息；

(5)、监视网络数据：

(5.1)、监测经过防火墙的网络数据报：截获网络基础数据报，检查其特征信息，包括源IP地址、目的IP地址、源端口、目的端口、协议类型、内容摘要；

(5.2)、检查是否存在与该数据报匹配的报警规则：对每个截获数据报的特征信息进行检查，遍历报警规则库中的每个规则，分别比对特征信息与报警规则；

(5.3)、根据报警规则对该数据报进行操作：如果数据报特征信息与某条报警规则匹配成功，则表示该数据报是危险数据报，执行拦截操作；

(6)、记录该数据报特征：对危险数据报的特征进行记录，记录内容包括：数据报源IP地址、目的IP地址、源端口、目的端口、与报警规则匹配的数据内容、截取时间；

(7)、通报各联动防火墙：从控制中心获得当前所有参加联动的、正常工作的防火墙的协同信息，通过协同通讯端口把该危险数据报的特征发送给每个注册的联动防火墙；

(8)、联动防火墙进行报警规则更新：

(8.1)、各防火墙测试该数据报特征：每个联动防火墙在收到危险数据报的特征信息后，遍历自身的报警规则库中的每个报警规则；

(8.2)、是否能识别该特征：检查在报警规则库中是否存在与危险数据报的特征信息匹配的报警规则，如果存在则表示能够识别该危险数据报，如果不存在则表示本防火墙对这种新的危险数据报还不能进行识别；

(8.3)、获取原始报警规则：如果本防火墙不能识别该危险数据报，则向发出通报信息的原始防火墙调取相关报警规则；

(8.4)、添加新的报警规则：联动防火墙在自身的报警规则库中添加新的报警规则；

(9)、激活新添加的报警规则：联动防火墙在更新完新的报警规则之后，重新激活整个报警规则库，使其正常工作。