CN101547127A - 一种内、外网络报文的识别方法 - Google Patents

Abstract

本发明涉及一种内、外网络报文的识别方法，是一种广泛用于对网络报文进行监测的安全***、网络审计安全***防止网络入侵的方法。本发明包括：互联网、局域网、电脑终端，服务器、工作站，路由器，其所述的方法的步骤是：读取网络报文的步骤；获得TTL数值的步骤；分析的步骤；记录的步骤。本发明提出一种根据网络报文的特征，识别内网、外网报文。即根据TTL数值减量的多少确定内外网报文，又根据TTL数值和内外网络标识字的关系而确定是内网还是外网报文，以及非正常报文。本方法无需特殊的配置，处理性方法十分简单，资源使用自然也十分有限，所以可以到达很高的速度。区分内外网报文的作用是可以确定攻击事件发出的区域。

Description

一种内、外网络报文的识别方法

技术领域

本发明涉及一种内、外网络报文的识别方法，是一种保障计算机网络安全的方法，是一种广泛用于对网络报文进行监测的安全***、网络审计安全***防止网络入侵的方法。

背景技术

计算机网络安全已经成为一个十分重要的问题，作为任何一种网络监测***，都希望能够区分所监测网络报文的传输方向属性，以便区分处理，并进行内网向外网攻击、外网向内网攻击等的结果分析。其中内网指本地的局域网络，外网指internet国际互联网，内网报文指内网发向外网的报文，外网报文指外网发向内网的报文。目前多通过定义内网地址的方法，识别内、外网络报文，但该方法在使用中需要配置，且进行多次地址比较，影响处理性能，并且无法识别伪造地址的报文。

对一个用户而言，知道一个网络违规行为的发起方向非常重要。比如，一个从外部向内部发起的攻击，说明本地网络的某个主机受到了一次攻击，有必要进行一次检查，以便确定该主机是否仍然安全；如果一个内部向外部发起的攻击，则说明内部该主机可能已经被感染了病毒，或者该主机的操作人员进行了非法操作，应该尽快分析处理。因此确定一次网络违规行为的报警事件，其发起方向，非常重要，而该信息，只能够从相关报文的传输方向中获得。

发明内容

为了克服现有技术的不足，本发明提供一种内、外网络报文的识别方法，所述方法检查路由器上通过文件的报文的TTL数值，识别攻击事件或有害文件。

本发明解决其技术问题所采用的技术方案是：一种内、外网络报文的识别方法，所述方法使用的硬件包括：互联网、局域网、电脑终端，服务器、工作站，路由器，其所述的方法的步骤如下：

读取网络报文的步骤；

获得TTL数值的步骤，对获取的网络报文进行协议解析，并获取当前报文的TTL数值；

分析的步骤，以当前报文TTL为下标，得到所获取报文的内外标识字；

记录的步骤，记录内外标识字，确定非正常报文、外网报文、内网报文。

本发明的有益效果：本发明提出一种根据网络报文的特征，识别内网、外网报文。即根据TTL数值减量的多少确定内外网报文，又根据TTL数值和内外网络标识字的关系而确定是内网还是外网报文，以及非正常报文。本方法无需特殊的配置，处理性方法十分简单，资源使用自然也十分有限，所以可以到达很高的速度。区分内外网报文的作用是可以确定攻击事件发出的区域，这一点对网络安全十分重要。

附图说明

图1为本发明实施例一所述方法的应用环境示意图；

图2为本发明实施例一所述方法流程示意图；

图3为本发明实施例二所述内外网络报文的TTL分布表。

下面结合附图和实施例对本发明进一步说明。

具体实施方式

实施例一：

本实施例是一种内、外网络报文的识别方法，所述方法使用的硬件包括：互联网、局域网、电脑终端，服务器、工作站、路由器组成应用环境，如图1所示。应用环境用内、外网络的观点看可以分为下列部分：

●内部网络：指用于用户工作的内部局域网络环境，一般包括主机、服务器、网络设备等；

●外部网络：指internet国际互联网络；

●网络交换设备：指完成内部网络、外部网络之间数据交换的网络设备，如各类路由器、代理服务器等；

安全监测设备：指连接在网络交换设备上，接收所有内外网络发送的报文，进行安全分析，给出相应的安全警示信息的安全监测设备。在该设备里，当分析处理内外网络报文时，就需要使用本项目所需的内外网络识别技术。所述的方法的步骤包括：

读取网络报文的步骤；

获得TTL数值的步骤，对获取的网络报文进行协议解析，并获取当前报文的TTL数值；

分析的步骤，以当前报文TTL为下标，得到所获取报文的内外标识字；

记录的步骤，记录内外标识字，确定非正常报文、外网报文、内网报文。

■读取网络数据：读取网络数据，以便后续分析；读取报文的方法，应该使用原始套接字(如标准C语言中的RawSocket接口函数)的方法，或者特殊编制的高速网卡驱动接口等方法，以便保证读取到完整的IP报文头；因为TTL信息在Ip报文头中；

■提取TTL数值：通过协议解析(解析IP层网络报文协议)，获取报文中的TTL数值；TTL协议字段是IP报文头中的第9个字节；

■读取内外网络标识字：通过查询内外网络报文的TTL分布表，获得当前报文的内外标识字。TTL分布表是一个常数表，在***代码编制阶段就已经设置了数据，并且在运行中数值不会变化。

通过内外标识字的记录可以对所有报文进一步分析。

实施例二：

本实施例是实施例一的细化，是关于实施例一中分析的步骤中的子步骤：

根据TTL数值的减值多少确定是外网报文还是内网报文；

同时读取内外网络报文的TTL分布表，通过确认网络标识字的关系：0标识非正常报文、1标识外网报文、2标识内网报文，确定非正常报文、外网报文和内网报文。

图2描述内外网络报文的TTL分布表。TTL是一个网络报文生存时间数值，每当报文通过一个路由器时，该数值会减一。由于内部网络都比较简单，路由器的个数少，甚至没有，因此TTL的数值，从报文发出点到监测点，减值不会超过5次。而国际互联网的报文，一般都至少经过10个以上的路由器。因此，内网发出报文的TTL数值在初始值的附近(5个数值以内)，而外网发出报文的TTL数值，离其初始值比较远(10个数值以上)。同时，由于不同***发出的报文，TTL初始值不同，但正常的数值都是下面3个之一：64、128、255。因此TTL数值和内外网络标识字的关系可以有如图中的关系。其中，0标识非正常报文、1标识外网报文、2标识内网报文。

Claims (2)

1.一种内、外网络报文的识别方法，所述方法使用的硬件包括：互联网、局域网、电脑终端，服务器、工作站，路由器，其特征在于所述的方法的步骤：

读取网络报文的步骤，使用原始套接字(如标准C语言中的RawSocket接口函数)RawSocket的方法，读取到完整的IP报文头；

获得TTL数值的步骤，对获取的网络报文进行协议解析，并获取当前报文的TTL数值；

分析的步骤，以当前报文TTL为下标，得到所获取报文的内外标识字；

记录的步骤，记录内外标识字，确定非正常报文、外网报文、内网报文。

2.根据权利要求1所述的一种内、外网络报文的识别方法，其特征在于所述的分析的步骤中的子步骤：

根据TTL数值的减值多少确定是外网报文还是内网报文；

同时读取内外网络报文的TTL分布表，通过确认网络标识字的关系：0标识非正常报文、1标识外网报文、2标识内网报文，确定非正常报文、外网报文和内网报文。

Images