CN101188612A - 一种黑名单实时管理的方法及其装置 - Google Patents

Abstract

本发明公开了一种黑名单实时管理的方法及其装置，其中，该方法包括：步骤一，转发模块将所检测到的具有攻击特征的报文的信息发送到黑名单管理模块，并丢弃所述报文；步骤二，所述黑名单管理模块查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入所述黑名单表项。本发明采用了模块优化处理方式，取得了技术和安全上的进步，真正达到了黑名单实时管理的效果。模块之间没有信息交互，这要求模块内的设计更加紧凑，逻辑性更强，使得黑名单管理实时性和稳定性更好，通信***安全性更高。

Description

一种黑名单实时管理的方法及其装置

技术领域

本发明涉及数据通讯领域的网络安全技术，特别是涉及一种黑名单实时管理的方法及其装置。

背景技术

在通信产品中，黑名单是根据报文的源IP地址和其它特征信息进行过滤的一种方式。黑名单最主要的一个特色是可以自动添加(动态生成)和删除(定时老化)其中定义的表项，这是大多数通信产品都具有的功能。该功能一方面通过管理模块来获取需要新增的黑名单表项信息，然后管理模块再将该信息传给信息模块，最后信息模块进行添加处理；另一方面，管理模块向信息模块传递信息之前，首先对已有的黑名单表项进行检查，若发现存在已老化的表项，则通知信息模块删除这些表项。除此之外，黑名单管理模块还可以根据需要随时手动配置、修改和删除。然而，这些黑名单管理即使在模块之间采用实时通信接口进行自动添加和删除，手动配置、修改和删除时，都会存在实时性不高，模块之间通信复杂且可靠性低，从而直接导致通信***的安全性降低，这对作为进出网络起过滤作用的数据通信产品提出了严峻的挑战。

发明内容

本发明所要解决的技术问题在于提供一种黑名单实时管理的方法及其装置，用于克服现有技术中数据通信产品的黑名单管理实时性低而引起的通信***安全性降低的缺陷。

为了实现上述目的，本发明提供了一种黑名单实时管理的方法，用于黑名单实时管理的装置，其特征在于，该方法包括：

步骤一，转发模块将所检测到的具有攻击特征的报文的信息发送到黑名单管理模块，并丢弃所述报文；

步骤二，所述黑名单管理模块查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入所述黑名单表项。

所述的黑名单实时管理的方法，其中，所述步骤一中，所述信息包括源IP地址信息、特征信息。

所述的黑名单实时管理的方法，其中，所述步骤一之前，进一步包括：在路由器上开启防火墙，配置可信区域和不可信区域，并在所述不可信区域上配置需要检测的报文攻击方式的步骤。

所述的黑名单实时管理的方法，其中，所述步骤一中，进一步包括：当对所述黑名单进行自动管理时，所述转发模块对所述报文进行黑名单过滤处理的步骤；若所述信息不在所述黑名单表项中，则所述报文为合法报文，对所述报文进行区域检测，否则丢弃所述报文。

所述的黑名单实时管理的方法，其中，所述步骤一中，所述对所述报文进行区域检测的步骤具体是：

所述转发模块根据所述报文的到达频度或所含的头部特征信息判断所述报文是否是具有攻击特征的报文，若是，获取所述信息；否则进入正常转发流程转发所述报文。

所述的黑名单实时管理的方法，其中，所述步骤二中，进一步包括：当对所述黑名单进行手动管理时，所述黑名单管理模块在删除已老化的黑名单表项后，将所述信息与剩余的黑名单表项进行匹配的步骤，具体是：

当匹配方式为配置且未匹配时，将所述信息加入所述黑名单表项；或

当匹配方式为配置且匹配时，提示所述信息已存在；或

当匹配方式为删除且匹配时，删除所述信息；或

当匹配方式为删除且未匹配时，提示所述信息不存在。

所述的黑名单实时管理的方法，其中，所述步骤二中，进一步包括：所述黑名单管理模块在根据预先设置的参数确定的老化时间将所述信息加入到所述黑名单表项中，并在未设置所述参数时，在默认老化时间将所述信息加入到所述黑名单表项中的步骤。

所述的黑名单实时管理的方法，其中，所述步骤二中，进一步包括：所述黑名单管理模块根据所述报文所含的头部特征信息获得所述报文的攻击类型，并根据所述攻击类型处理相应的网络攻击的步骤；和/或，根据所述转发模块对所述报文的处理结果获得报文通过和丢弃计数的步骤；和/或，以日志方式输出所述信息的步骤。

为了实现上述目的，本发明还提供了一种黑名单实时管理的装置，用于移动终端、路由器、外部网络的通信***，所述路由器的一个接口通过交换设备连接到所述移动终端，另一接口连接到所述外部网络，其特征在于，该装置还包括：

转发模块，设置于所述路由器上，用于将所检测到的具有攻击特征的报文的信息发送到所述路由器，并丢弃所述报文；

黑名单管理模块，设置于所述路由器上，用于接收所述转发模块发送的信息，查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入所述黑名单表项。

所述的黑名单实时管理的装置，其中，该装置还包括：

区域配置模块，设置于所述路由器上，用于配置可信区域和不可信区域，并在所述不可信区域上配置需要检测的报文攻击方式。

本发明的有益技术效果：

与现有技术相比，本发明的模块之间无信息交互，既降低通信复杂度，又提高通信***的安全性的黑名单实时管理方法采用了模块优化处理方式，因此取得了技术和安全上的进步，真正达到了黑名单实时管理的效果。模块之间没有信息交互，这要求模块内的设计更加紧凑，逻辑性更强，使得黑名单管理实时性和稳定性更好，通信***安全性更高。

由于本发明所述的模块之间无信息交互，既降低通信复杂度，又提高通信***的安全性的黑名单实时管理方法所包括的步骤，因而具有性能稳定、实时性高、安全可靠等优点。

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1是内网用户通过具有防火墙功能的路由器介入Internet的组网示意图；

图2是本发明黑名单实时管理装置结构示意图；

图3是本发明黑名单自动管理流程示意图；

图4是本发明黑名单手动管理流程示意图。

具体实施方式

下面结合附图和具体实施方式对本发明的技术方案作进一步更详细的描述。

如图1所示，是内网用户通过具有防火墙功能的路由器介入Internet的组网示意图。该图中的组网关系中的硬件部分包括一台以上的主机、一台集线器或交换机、一台具有防火墙功能的路由器、一台以上的普通路由器、百/千兆接口板和双绞线若干等。

在图1中，内网10包括但不限于以下设备：主机PC1、PC2、交换机30以及具有防火墙功能的路由器R1。

主机PC1和PC2通过交换机30连接到路由器R1的接口1，并从路由器R1的接口2连接到外网20，外网20即外部网络，可以是Internet网。

路由器R1主要功能包括但不限于以下功能：防火墙、黑名单、区域检测、网络地址转换NAT(Network Address Translation)和访问控制列表ACL(AccessControl List)。其中开启防火墙功能是实现黑名单和区域检测功能的前提条件，黑名单可以根据网络实际情况和配置需要对报文进行过滤，并将具有攻击性或病毒源的报文信息加入黑名单表项；检测区域功能根据某一报文的到达频度或头部特征信息来辨识其是否具有攻击性或病毒源的报文，并将具有攻击性或病毒源的报文信息传给黑名单管理模块；网络地址转换功能使得内网用户与Internet用户互访时将私网的IP地址与公网的IP地址互换；访问控制列表功能主要应用于上述网络地址之间的转换。

路由器R1在接口1上的主要配置包括但不限于以下配置：绑定到区域A和设置入方向的网络地址转换属性。

路由器R1在接口2上的主要配置包括但不限于以下配置：绑定到区域B和设置出方向的网络地址转换属性。

因为报文总是从接口进出的，而接口绑定在区域上，再根据区域的安全程度来决定是否需要进行区域检测，只有流经需要检测区域的报文才进行区域检测，因此划分区域有利于缩小检测的范围。

1、软件部分的处理步骤如下：

第1步：在路由器R1上配置访问控制列表ACL，应用于动态网络地址转换。

ip access-list extended 100

rule 1 permit 0 192.168.88.0 0.0.0.255 any

第2步：在路由器R1上启动防火墙功能，黑名单功能以及配置区域检测功能和扫描(screen)组。

firewall

blacklist enable

zone 1

zone 2

screen zxr

第3步：在路由器R1上启用网络地址转换NAT功能并配置动态网络地址转换规则。

a3)启用NAT模块

ip nat start

b3)动态网络地址转换规则，应用于内网用户访问Internet

ip nat pool zte 10.40.88.10 10.40.88.20 prefix_length 24

ip nat inside source list 100 pool zte

第4步：在接口1和接口2上配置IP地址和网络地址转换NAT属性。

a4)接口1；

ip address 192.168.88.1 255.255.255.0

ip nat inside

b4)接口2

ip address 10.40.88.1255.255.255.0

ip nat outside

第5步：在screen组zxr中配置检测攻击或病毒报文方式，攻击或病毒报文方式可根据需要定义，区域不能检测出未定义攻击方式或病毒类型的报文。

ip spoofing

icmp flood blacklist-timeout 10

第6步：在zone1和zone2上绑定接口名和扫描(screen)组，只有流经需要检测区域的报文才进行区域检测，假设从内网10发出的报文是安全的，不需要进行区域检测。

a6)zone 1

interface-bind fei_1/2

b6)zone 2

interface-bind fei_1/1

screen-bind zxr

2、从Internet发送报文至内网用户

第1步：报文从接口3到达接口2(接口名为fei_1/1)，首先提取报文头部信息，然后经黑名单检查，若是已知的非法报文，则直接过滤掉；否则进入

第2步；

第2步：报文经过防病毒和防攻击检查，若检查未通过，则进入第3步；否则进入第4步；

第3步：首先获取报文的源IP地址及其它特征信息传给黑名单管理模块并丢弃该报文，然后触发黑名单老化处理，最后生成新的黑名单表项，流程结束；

第4步：报文经过网络地址转换后，根据目的IP地址从接口1送出，最终到达内网用户，流程结束。

3、从内网用户发送报文至Internet

第1步：报文从内网用户到达接口1(接口名为fei_1/2)，由于假设从内网10发出的报文是安全的，所以不需要进行区域检测。若黑名单检查未通过，则直接丢弃该报文，流程结束；否则进入第2步；

第2步：根据目的IP地址，报文需要从接口2送出，且接口1和接口2满足网络地址转换的条件。经过网络地址转换后，报文从接口2送出，到达Internet，流程结束。

如图2所示，是本发明黑名单实时管理装置结构示意图，该装置22用于移动终端50、路由器40、外网(外部网络)20的通信***200，路由器40的一个接口通过交换设备30连接到移动终端50，另一接口连接到外网20。该装置20包括：设置于路由器40上的转发模块401和黑名单管理模块402。

转发模块401，设置于路由器40上，用于将所检测到的具有攻击特征的报文的信息发送到黑名单管理模块402，并丢弃所述报文；

黑名单管理模块402，设置于路由器40上，用于接收转发模块401发送的信息，查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入黑名单表项。

该装置22还包括区域配置模块403，设置于路由器40上，用于配置可信区域和不可信区域，并在不可信区域上配置需要检测的报文攻击方式。

当转发模块401检测到具有攻击性的报文时，首先，报文的源IP地址和其它特征信息被发送到黑名单管理模块402，并将该报文丢弃，接着，黑名单管理模块402对所有黑名单表项进行查找，将已老化的表项删除，然后，黑名单管理模块402将报文的源IP地址和其它特征信息加入黑名单表项，新加入黑名单表项的老化时间与预先设置的参数有关，未设置时采用默认老化时间。

当用户手动配置或删除黑名单表项时，首先，源IP地址和其它特征信息被发送到黑名单管理模块402；接着，黑名单管理模块402对所有黑名单表项进行查找，将已老化的表项删除；然后，黑名单管理模块402将源IP地址和其它特征信息与所有黑名单表项依次匹配：

i1)若是配置操作且未匹配，则将源IP地址和其它特征信息加入黑名单表项；

i2)若是配置操作且匹配，则提示该黑名单表项已存在；

i3)若是删除操作且匹配，则将该黑名单表项删除；

i4)若是删除操作且未匹配，则提示该黑名单表项不存在。

进一步地，黑名单管理模块402根据转发模块401检测到攻击报文的头部信息转化成相应的攻击类型，知道了攻击类型后便于定位故障类型并有效地解决网络攻击问题；

进一步地，黑名单管理模块402利用黑名单检查报文的处理结果，显示报文的通过和丢弃计数，便于统计外部网络安全性能指标，通过数与丢弃数之比越高，说明外部网络安全性越高，反之越低；

进一步地，黑名单管理模块402将攻击报文信息以日志方式输出，显示外部网络攻击频繁程度以及攻击时段；

进一步地，黑名单管理模块402在无触发操作时，使得黑名单定时删除已老化的表项，达到真正的智能化和实时性管理。

本发明黑名单实时管理的过程包括：

1)，在路由器40上开启防火墙功能，该功能决定了报文经过路由器40时需要进行黑名单检查，决定了具有攻击特征的报文将被自动加入黑名单表项，决定了黑名单表项具有自动老化的特性；当关闭该功能时，先前所有的黑名单信息将被清空；

2)，在路由器40上配置可信区域和不可信区域，并将连接外网20的接口和非安全的接口加入到不可信区域中；划分不同区域的目的是为了缩小黑名单检查的范围，仅仅检查不可信区域；接口的安全性并不是绝对，可以随时将任何接口加入到不可信区域；

3)，在不可信区域上配置需要检测的报文攻击方式，并设置检查的参数；报文攻击方式可根据不同的应用情况来配置，若不配置，则不会进行攻击检测；设置检查参数决定了报文检查的严格程度，若不设置，则采用默认值；

4)，若存在满足加入黑名单条件的报文，则该报文的源IP地址和其它特征信息被发送到黑名单管理模块402，黑名单管理模块402对所有黑名单表项进行查找，将已老化的表项删除，黑名单管理模块402将报文的源IP地址和其它特征信息加入黑名单表项，新加入黑名单表项的老化时间可以采用预先设置的参数或默认值，并对后续报文产生过滤作用；反之则按照正常的流程进行转发；

5)，若直接对黑名单表项操作，则需要将添加或删除的源IP地址和其它特征信息发送到黑名单管理模块402，黑名单管理模块402对所有黑名单表项进行查找，将已老化的表项删除，然后与黑名单中的所有表项进行匹配，未匹配到需要添加的表项时，直接加入，新加入黑名单表项的老化时间可以采用配置参数或默认值，并对后续报文产生过滤作用；匹配到需要删除的表项时，直接删除，并对后续报文无过滤作用；否则给出操作失败的提示信息。

本发明所述的数据通信产品的黑名单管理具有严格的实时性，转发模块401、黑名单管理模块402之间无信息交互，既降低了通信复杂度，同时又提高了通信***的安全性。

如图3所示，是本发明黑名单自动管理流程示意图。该流程具体包括：

步骤S301，报文经黑名单过滤；

该步骤中，若报文的源IP地址和其它特征信息不在黑名单表项中，则为合法报文；反之为非法报文。黑名单仅仅允许合法报文通过，合法报文转向步骤S302，而非法报文直接被丢弃。

步骤S302，报文经区域检测；

该步骤中，检测区域根据某一报文的到达频度或头部特征信息来辨识其是否具有攻击性或病毒源的报文，若满足攻击或病毒源报文的条件，则转向步骤S303；反之报文进入正常转发流程。

步骤S303，获取报文源IP地址及其它特征信息传给黑名单管理模块402，并丢弃该报文，转向步骤S304。

步骤S304，黑名单老化处理；

该步骤中，黑名单分为触发老化和定时老化两种方式，本图中仅给出触发老化方式，对黑名单管理模块402的任何操作都会启动老化处理，老化后的黑名单表项将被删除，转向步骤S305；当一段时间内没有对黑名单管理模块402进行操作时，定时器启动老化处理，老化后的黑名单表项将被删除。

步骤S305，生成新黑名单表项；

该步骤中，因为前面经过黑名单过滤，已知的具有攻击性或病毒源的报文都被直接丢弃，而未知的具有攻击性或病毒源的报文都是黑名单中没有的表项，所以直接加入即可，至此，黑名单管理模块402处理结束。

如图4所示，是本发明黑名单手动管理流程示意图。结合图2，该流程具体包括：

步骤S401，黑名单表项操作；

该步骤中，通过移动终端50向路由器40输入源IP地址及其它特征信息，源IP地址信息是必选项，其它特征信息为可选项，若为配置操作，则转向步骤S402；反之为删除操作，转向步骤S406。

步骤S402，提取源IP地址及其它特征信息传给黑名单管理模块402，转向步骤S403。

步骤S403，黑名单老化处理；

该步骤中，黑名单管理模块402的配置操作启动老化处理，老化后的黑名单表项将被删除，转向步骤S404。

步骤S404，黑名单表项查找；

该步骤中，若配置信息已存在于黑名单表项中，则提示该黑名单表项已存在，至此，黑名单管理模块402处理结束；反之转向步骤S405。

步骤S405，生成新黑名单表项，至此，黑名单管理模块402处理结束。

步骤S406，提取源IP地址及其它特征信息传给黑名单管理模块402，转向步骤S407。

步骤S407，黑名单老化处理；

该步骤中，黑名单管理模块402的删除操作启动老化处理，老化后的黑名单表项将被删除，转向步骤S408。

步骤S408，黑名单表项查找；

该步骤中，若删除信息已存在于黑名单表项中，则转向步骤S409；反之提示该黑名单表项不存在，至此，黑名单管理模块402处理结束。

步骤S409，删除该黑名单表项，至此，黑名单管理模块402处理结束；

本发明主要通过软件技术上的创新，优化黑名单管理流程，以增强数据通信产品的黑名单管理实时性和提高通信***安全性。

本发明通过对已有的黑名单管理方法进行改进和优化，使得黑名单管理模块之间无信息交互，既降低了通信复杂度，同时又提高了通信***的安全性，因而本发明具有性能稳定、实时性高、安全可靠等优点。本发明解决现有技术中存在的如何增强数据通信产品的黑名单管理实时性以及提高通信***安全性的问题，实现了对黑名单表项的自动添加和老化，手动配置、修改和删除。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (10)

1.一种黑名单实时管理的方法，用于黑名单实时管理的装置，其特征在于，该方法包括：

步骤一，转发模块将所检测到的具有攻击特征的报文的信息发送到黑名单管理模块，并丢弃所述报文；

步骤二，所述黑名单管理模块查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入所述黑名单表项。

2.根据权利要求1所述的黑名单实时管理的方法，其特征在于，所述步骤一中，所述信息包括源IP地址信息、特征信息。

3.根据权利要求1或2所述的黑名单实时管理的方法，其特征在于，所述步骤一之前，进一步包括：在路由器上开启防火墙，配置可信区域和不可信区域，并在所述不可信区域上配置需要检测的报文攻击方式的步骤。

4.根据权利要求3所述的黑名单实时管理的方法，其特征在于，所述步骤一中，进一步包括：当对所述黑名单进行自动管理时，所述转发模块对所述报文进行黑名单过滤处理的步骤；若所述信息不在所述黑名单表项中，则所述报文为合法报文，对所述报文进行区域检测，否则丢弃所述报文。

5.根据权利要求4所述的黑名单实时管理的方法，其特征在于，所述步骤一中，所述对所述报文进行区域检测的步骤具体是：

所述转发模块根据所述报文的到达频度或所含的头部特征信息判断所述报文是否是具有攻击特征的报文，若是，获取所述信息；否则进入正常转发流程转发所述报文。

6.根据权利要求3所述的黑名单实时管理的方法，其特征在于，所述步骤二中，进一步包括：当对所述黑名单进行手动管理时，所述黑名单管理模块在删除已老化的黑名单表项后，将所述信息与剩余的黑名单表项进行匹配的步骤，具体是：

当匹配方式为配置且未匹配时，将所述信息加入所述黑名单表项；或

当匹配方式为配置且匹配时，提示所述信息已存在；或

当匹配方式为删除且匹配时，删除所述信息；或

当匹配方式为删除且未匹配时，提示所述信息不存在。

7.根据权利要求1、2、4、5或6所述的黑名单实时管理的方法，其特征在于，所述步骤二中，进一步包括：所述黑名单管理模块在根据预先设置的参数确定的老化时间将所述信息加入到所述黑名单表项中，并在未设置所述参数时，在默认老化时间将所述信息加入到所述黑名单表项中的步骤。

8.根据权利要求1、2、4、5或6所述的黑名单实时管理的方法，其特征在于，所述步骤二中，进一步包括：所述黑名单管理模块根据所述报文所含的头部特征信息获得所述报文的攻击类型，并根据所述攻击类型处理相应的网络攻击的步骤；和/或，根据所述转发模块对所述报文的处理结果获得报文通过和丢弃计数的步骤；和/或，以日志方式输出所述信息的步骤。

9.一种黑名单实时管理的装置，用于移动终端、路由器、外部网络的通信***，所述路由器的一个接口通过交换设备连接到所述移动终端，另一接口连接到所述外部网络，其特征在于，该装置还包括：

转发模块，设置于所述路由器上，用于将所检测到的具有攻击特征的报文的信息发送到所述路由器，并丢弃所述报文；

黑名单管理模块，设置于所述路由器上，用于接收所述转发模块发送的信息，查找黑名单中的所有黑名单表项，删除已老化的黑名单表项，并将所述信息加入所述黑名单表项。

10.根据权利要求9所述的黑名单实时管理的装置，其特征在于，该装置还包括：

区域配置模块，设置于所述路由器上，用于配置可信区域和不可信区域，并在所述不可信区域上配置需要检测的报文攻击方式。

Images