CN103561001A - 一种安全防护方法及路由设备 - Google Patents

Abstract

本发明实施例公开了一种安全防护方法，包括：过滤单元接收转发引擎重定向的报文；对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较；判断所述报文是否为非法报文；若所述报文是非法报文，则过滤所述报文。本发明实施例还公开了一种路由设备。采用本发明，可以保护网络设备和网络***的正常工作，确保网络业务的连续性。

Description

一种安全防护方法及路由设备

技术领域

本发明涉及通信技术领域，尤其涉及一种安全防护方法及路由设备。

背景技术

在网络部署中，路由设备需要和周边的其他网络设备、接入的用户设备以及网络管理***等多方建立通信连接，因此路由设备很容易成为网络攻击的目标。为了保证正常业务的需要，路由器设备通常必须要对外开放IP访问能力，这为攻击提供了必要的条件。怀有恶意的攻击者，通过向特定的路由设备发送IP报文，可以实施多种攻击，如破解管理用户权限、注入恶意代码实施设备控制、对设备及服务进行破坏等。

在现有技术中，路由设备中的转发引擎面向高性能转发设计，在接收到报文时，其将会直接将报文转发给路由设备中的处理单元，由于处理单元主要负责处理控制协议、计算路由等，由于处理单元的处理能力通常是按照处理正常的业务报文设计的，对于非法的攻击类报文，其不具备进行深度判断的能力。因此面对恶意攻击，现有路由设备无法实现对攻击类报文的有效处理，包括路由设备在内的网络设备甚至整个网络***的安全无法得到有效的保障，当接收到攻击类报文时，网络业务的连续性也将受到影响。

发明内容

本发明实施例所要解决的技术问题在于，提供一种安全防护方法及路由设备，以保护网络设备和网络***的正常工作，确保网络业务的连续性。

本发明实施例第一方面提供了一种安全防护方法，可包括：

过滤单元接收转发引擎重定向的报文；

对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较；

判断所述报文是否为非法报文；

若所述报文为非法报文，则过滤所述报文。

在第一方面的第一种可能的实现方式中，还包括：

若所述报文为合法报文，则所述过滤单元将所述报文发送至路由设备的处理单元进行处理，或将所述报文发送至所述转发引擎，以便所述转发引擎将所述报文转发给所述处理单元进行处理。

结合第一方面的第一种可能的实现方式，在第二种可能的实现方式中，所述过滤单元接收所述处理单元提供的所述路由设备的关键控制信息，所述关键控制信息用于与所述预设特征数据库结合，判断所述报文是否为合法报文。

结合第一方面的第二种可能的实现方式，在第三种可能的实现方式中，还包括：

所述过滤单元将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

结合第一方面或结合第一方面的第一或第二或第三种可能的实现方式，在第四种可能的实现方式中，还包括：

所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。

结合第一方面的第四种可能的实现方式，在第五种可能的实现方式中，若所述报文为非法报文，则过滤所述报文之后，还包括：

所述过滤单元记录所述报文的五元组信息；

根据所述五元组信息生成所述转发引擎支持的过滤规则；

将所述过滤规则发送给所述转发引擎，以便所述转发引擎在下一次重定向报文之前对接收到的报文进行过滤。

本发明实施例第二方面提供了一种路由设备，可包括：

转发引擎，用于接收报文，并将接收到的报文重定向转发；

过滤单元，用于接收所述转发引擎重定向的报文，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较，判断所述报文是否为合法报文，若所述报文不是合法报文，则过滤所述报文。

在第二方面的第一种可能的实现方式中，还包括：

处理单元，用于若所述报文为合法报文，则接收所述过滤单元发送的所述报文并进行处理，或接收所述转发引擎转发的所述报文并进行处理。

结合第二方面的第一种可能的实现方式，在第二种可能的实现方式中，所述过滤单元还用于接收所述处理单元提供的所述路由设备的关键控制信息，所述关键控制信息用于与所述预设特征数据库结合，判断所述报文是否为合法报文。

结合第二方面的第二种可能的实现方式，在第三种可能的实现方式中，所述过滤单元还用于将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

结合第二方面或结合第二方面的第一或第二或第三种可能的实现方式，在第四种可能的实现方式中，所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。

结合第二方面的第四种可能的实现方式，在第五种可能的实现方式中，若所述报文为非法报文，则在所述过滤单元过滤所述报文之后，所述过滤单元还用于记录所述报文的五元组信息，根据所述五元组信息生成所述转发引擎支持的过滤规则，将所述过滤规则发送给所述转发引擎；

所述转发引擎还用于在下一次重定向报文之前对接收到的报文进行过滤。

实施本发明实施例，具有如下有益效果：

通过增加可对报文进行深度分析的过滤单元，从而可以实现对转发引擎转发的报文进行检测和过滤，将非法的报文进行拦截、删除，避免了非法报文对网络设备、网络***以及网络业务的影响，通过将非法报文阻止在路由设备的处理单元之外，从而确保了设备的安全与业务的连续性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明安全防护方法的第一实施例的流程示意图；

图2是本发明安全防护方法的第二实施例的流程示意图；

图3是本发明安全防护方法的第三实施例的流程示意图；

图4是本发明安全防护方法的第四实施例的流程示意图；

图5是本发明路由设备的第一实施例的组成示意图；

图6是本发明路由设备的第二实施例的流程示意图。

图7是本发明路由设备的第三实施例的流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参照图1，为本发明安全防护方法的第一实施例的流程示意图，在本实施例中，所述方法包括以下步骤：

S101，过滤单元接收转发引擎重定向的报文。

具体地，转发引擎在接收到目的地址为本路由设备的地址时，不再直接将报文转发给路由设备控制面的处理单元进行处理，而是先重定向至过滤单元。过滤单元具备相对处理单元而言要大得多的处理能力以及具备对报文进行深度分析并进行攻击检测的能力。

S102，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较。

具体地，此处的预设特征数据库可以根据经验进行不断的积累和丰富。例如，在分析比较之后发现当前报文为非法报文，则此时可以将该报文的特征信息加入该预设特征数据库，通过不断的更新和累加，可以实现对非法报文的准确过滤。且所述预设特征数据库既可以是合法报文的特征数据库，也可以是非法报文的特征数据库，还可以是两者的综合。此处不作任何限定。

优选地，所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。当然，这些信息也可以通过新建报文来进行携带。这些信息可用于计算路由、处理控制协议使用，还可以用于后续过滤单元生成基于五元组信息的过滤规则。

S103，判断所述报文是否为非法报文。若是，则执行步骤S104。

若预设特征数据库为合法报文的数据库，则判断时，只要符合特征的报文均视为合法报文，不符合特征的报文则视为非法报文；预设特征数据库为非法报文的数据库情况类似；若预设数据库为两者的综合，则直接进行特征匹配即可。

S104，过滤所述报文。

当判定报文为非法报文时，将对网络设备、网络***或网络正常业务造成影响，此时可以对非法报文进行过滤处理，具体地，可以隔离该报文至独立存储空间、或者在记录必要信息后直接删除、丢弃均可。

在本实施例中，通过增加可对报文进行深度分析的过滤单元，从而可以实现对转发引擎转发的报文进行检测和过滤，将非法的报文进行拦截、删除，避免了非法报文对网络设备、网络***以及网络业务的影响，通过将非法报文阻止在路由设备的处理单元之外，从而确保了设备的安全与业务的连续性。

请参照图2，为本发明安全防护方法的第二实施例的流程示意图，在本实施例中，所述方法包括以下步骤：

S201，过滤单元接收转发引擎重定向的报文。

S202，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较。

S203，判断所述报文是否为非法报文。若是，则执行步骤S204，否则执行步骤S205。

S204，过滤所述报文。

S205，将所述报文发送至路由设备的处理单元进行处理，或将所述报文发送至所述转发引擎，以便所述转发引擎将所述报文转发给所述处理单元进行处理。

具体地，在现有技术中，转发引擎接收到报文时，将转发至处理单元进行处理，而增加了过滤单元之后，在不改变转发引擎的工作模式时，可以在过滤单元对报文实施过滤之后，再将合法的报文返回给转发引擎，这样，转发引擎就可以将合法报文按照原有模式转发给处理单元进行处理；当然，也可以在过滤单元对报文实施过滤之后，直接将合法的报文发送给处理单元进行处理。

请参照图3，为本发明安全防护方法的第三实施例的流程示意图，在本实施例中，所述方法包括以下步骤：

S301，过滤单元接收转发引擎重定向的报文。

S302，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较。

S303，接收所述处理单元提供的所述路由设备的关键控制信息。

优选地，所述关键控制信息可以包括但不限于所述路由设备的拓扑关系、接口信息、协议使能信息、业务使能信息、已经建立的连接信息、传输控制协议（Transmission Control Protocol，简称TCP）/用户数据包协议（User DatagramProtocol，简称UDP）端口开放信息等。通过了解这些关键控制信息，有利于过滤单元实现对报文更准确的过滤。

S304，判断所述报文是否为非法报文。若是，则执行步骤S305-S306，否则执行步骤S307。

S305，过滤所述报文。

S306，将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

这样既可以及时的提示用户，还利于用户后续的查看、研究和总结等处理。

S307，将所述报文发送至路由设备的处理单元进行处理，或将所述报文发送至所述转发引擎，以便所述转发引擎将所述报文转发给所述处理单元进行处理。

请参照图4，为本发明安全防护方法的第四实施例的流程示意图，在本实施例中，所述方法包括以下步骤：

S401，过滤单元接收转发引擎重定向的报文。

S402，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较。

S403，接收所述处理单元提供的所述路由设备的关键控制信息。

S404，判断所述报文是否为非法报文。若是，则执行步骤S405-S409，否则执行步骤S410。

S405，过滤所述报文。

S306，记录所述报文的五元组信息。

具体地，五元组信息是由源IP地址，源端口，目的IP地址，目的端口，和传输层协议号这五个量组成的一个集合。通过这些信息便可以实现对报文基本的了解报文。

S307，根据所述五元组信息生成所述转发引擎支持的过滤规则。

由于五元组信息相对简单且转发引擎支持，因此转发引擎具备足够的处理能力来进行处理这样的过滤规则。

S408，将所述过滤规则发送给所述转发引擎，以便所述转发引擎在下一次重定向报文之前对接收到的报文进行过滤。

S409，将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

S410，将所述报文发送至路由设备的处理单元进行处理，或将所述报文发送至所述转发引擎，以便所述转发引擎将所述报文转发给所述处理单元进行处理。

在本实施例中，通过配置基于五元组信息的过滤规则，可以充分发挥转发引擎的作用，在过滤单元进行过滤之前，由转发引擎先进行一次过滤，从而降低了过滤单元分析比较的压力，利于提升过滤的效率和设备的过滤能力。

请参照图5，为本发明路由设备的第一实施例的组成示意图，在本实施例中，所述路由设备包括：转发引擎100和过滤单元200。

转发引擎100，用于接收报文，并将接收到的报文重定向转发；

过滤单元200，用于接收所述转发引擎100重定向的报文，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较，判断所述报文是否为合法报文，若所述报文不是合法报文，则过滤所述报文。

请参照图6，为本发明路由设备的第二实施例的组成示意图，在本实施例中，所述路由设备包括：转发引擎100、过滤单元200和处理单元300。

转发引擎100，用于接收报文，并将接收到的报文重定向转发；

过滤单元200，用于接收所述转发引擎100重定向的报文，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较，判断所述报文是否为合法报文，若所述报文不是合法报文，则过滤所述报文。

处理单元300，用于若所述报文为合法报文，则接收所述过滤单元200发送的所述报文并进行处理，或接收所述转发引擎100转发的所述报文并进行处理。

优选地，所述过滤单元200还用于接收所述处理单元300提供的所述路由设备的关键控制信息，所述关键控制信息用于与所述预设特征数据库结合，判断所述报文是否为合法报文。

更优选地，所述过滤单元200还用于将判断为非法报文的报文信息发送至所述处理单元300，以便所述处理单元300发布警告信息并进行证据保存。

所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。

若所述报文为非法报文，则在所述过滤单元200过滤所述报文之后，所述过滤单元200还用于记录所述报文的五元组信息，根据所述五元组信息生成所述转发引擎100支持的过滤规则，将所述过滤规则发送给所述转发引擎100；

所述转发引擎100还用于在下一次重定向报文之前对接收到的报文进行过滤。

需要说明的是，以上路由设备实施例中过滤单元和/或处理单元可以以硬件的形式独立于路由设备的处理器单独设置，且设置形式可以是微处理器的形式；也可以以硬件形式内嵌于路由设备的处理器中，还可以以软件形式存储于路由设备的存储器中，以便于路由设备的处理器调用执行以上过滤单元和/或处理单元对应的操作。

例如，以上过滤单元可以由1到多个单核或多核CPU组成的CPU阵列，比如标准的PC服务器集群，或者为专用的安全分析芯片组成的阵列；当然还可以是可编程的FPGA阵列；其在和转发引擎配合时，可以作为路由设备的一个插板，通过交换网来与转发引擎互连，也可以作为路由设备的一个插卡，通过高速总线与转发引擎互连，当然还可以作为独立于路由设备之外的设备，通过高速接口与路由设备的转发引擎实现互连。

请参照图7，为本发明路由设备的第三实施例的组成示意图。在本实施例中，所述路由设备包括：处理器400和与所述处理器400相配合的存储器500。其中存储器500用于存储一组程序代码，处理器400用于调用存储器500中存储的程序代码，执行本发明安全防护方法的第一至第四任一实施例中所述的操作。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

通过上述实施例的描述，本发明具有以下优点：

通过增加可对报文进行深度分析的过滤单元，从而可以实现对转发引擎转发的报文进行检测和过滤，将非法的报文进行拦截、删除，避免了非法报文对网络设备、网络***以及网络业务的影响，通过将非法报文阻止在路由设备的处理单元之外，从而确保了设备的安全与业务的连续性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，简称ROM）或随机存储记忆体（Random Access Memory，简称RAM）等。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (12)

1.一种安全防护方法，其特征在于，包括：

过滤单元接收转发引擎重定向的报文；

对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较；

判断所述报文是否为非法报文；

若所述报文是非法报文，则过滤所述报文。

2.如权利要求1所述的方法，其特征在于，若所述报文为合法报文，则所述过滤单元将所述报文发送至路由设备的处理单元进行处理，或将所述报文发送至所述转发引擎，以便所述转发引擎将所述报文转发给所述处理单元进行处理。

3.如权利要求2所述的方法，其特征在于，还包括：

所述过滤单元接收所述处理单元提供的所述路由设备的关键控制信息，所述关键控制信息用于与所述预设特征数据库结合，判断所述报文是否为合法报文。

4.如权利要求3所述的方法，其特征在于，还包括：

所述过滤单元将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

5.如权利要求1-4任一项所述的方法，其特征在于，所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。

6.如权利要求5所述的方法，其特征在于，若所述报文为非法报文，则过滤所述报文之后，还包括：

所述过滤单元记录所述报文的五元组信息；

根据所述五元组信息生成所述转发引擎支持的过滤规则；

将所述过滤规则发送给所述转发引擎，以便所述转发引擎在下一次重定向报文之前对接收到的报文进行过滤。

7.一种路由设备，其特征在于，包括：

转发引擎，用于接收报文，并将接收到的报文重定向转发；

过滤单元，用于接收所述转发引擎重定向的报文，对所述报文进行分析，将所述报文的特征信息与预设特征数据库进行比较，判断所述报文是否为合法报文，若所述报文不是合法报文，则过滤所述报文。

8.如权利要求7所述的路由设备，其特征在于，还包括：

处理单元，用于若所述报文为合法报文，则接收所述过滤单元发送的所述报文并进行处理，或接收所述转发引擎转发的所述报文并进行处理。

9.如权利要求8所述的路由设备，其特征在于，所述过滤单元还用于接收所述处理单元提供的所述路由设备的关键控制信息，所述关键控制信息用于与所述预设特征数据库结合，判断所述报文是否为合法报文。

10.如权利要求9所述的路由设备，其特征在于，所述过滤单元还用于将判断为非法报文的报文信息发送至所述处理单元，以便所述处理单元发布警告信息并进行证据保存。

11.如权利要求7-10任一项所述的路由设备，其特征在于，所述报文中携带接收所述报文的入接口信息和接收所述报文的时间信息。

12.如权利要求11所述的路由设备，其特征在于，若所述报文为非法报文，则在所述过滤单元过滤所述报文之后，所述过滤单元还用于记录所述报文的五元组信息，根据所述五元组信息生成所述转发引擎支持的过滤规则，将所述过滤规则发送给所述转发引擎；

所述转发引擎还用于在下一次重定向报文之前对接收到的报文进行过滤。

Images