CN104079545A - 一种提取数据包过滤规则的方法、装置和*** - Google Patents

Abstract

本发明实施方式公开了一种提取数据包过滤规则的方法、装置和***。方法包括：获取预定时间段内的网络流量；解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及该相应数据包的特征字段集生成数据包过滤规则。本发明实施方式实现了自动生成数据包过滤规则，而且生成的过滤规则与真实的应用环境相匹配。

Description

一种提取数据包过滤规则的方法、装置和***

技术领域

本发明涉及计算机网络安全技术领域，特别是涉及一种提取数据包过滤规则的方法、装置和***。

背景技术

防火墙(firewall)是一项协助确保信息安全的设备，它会依照特定的规则，允许或是限制传输的数据通过。防火墙可以是一台专属的硬件也可以是架设在一般硬件上的一套软件。防火墙通常位于私有网络和外部互联网之间的入口点处，所有的流入数据包和流出数据包都需要穿越它。防火墙的功能是过滤数据包，比如检查所有的流入数据包和流出数据包以确定接受或丢弃数据包。该功能通常由一系列的数据包过滤规则所指定。如果数据包符合过滤规则，数据包过滤器将丢弃（drop）该数据包，或拒绝该数据包（丢弃数据包，并向源头发出“错误响应”信息）。

防火墙规则是网络安全的核心要素。然而，管理这些规则很复杂而且易于出错，尤其对于企业网络而言更是如此。需要仔细地书写和组织数据包过滤规则以正确执行安全政策。

在现有技术中，基本是由专业人士手动撰写生成数据包过滤规则。这种手动生成数据包过滤规则的处理方式主要存在两个问题。首先，手动书写规则非常耗时且需要大量的专业知识，这对于终端用户而言具有不小的难度。另外，手动书写规则容易出错，而且在***真正上线之前手动写出的规则，不一定能够精确匹配真实的应用环境。

发明内容

本发明实施方式提出一种提取数据包过滤规则的方法、装置和***，以实现自动生成数据包过滤规则，而且生成的过滤规则与真实的应用环境相匹配。

根据本发明实施方式的技术方案如下：

一种提取数据包过滤规则的方法，该方法包括：

获取预定时间段内的网络流量；

解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

所述获取预定时间段内的网络流量具体包括：获取防火墙关闭状态下预定时间段内的网络流量。

预先生成包括语法关键字、参数名称和参数值的数据包过滤规则模板；

所述基于该操作行为信息以及该数据包的特征字段集生成数据包过滤规则包括：

将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

所述数据包过滤规则模板为数据包基本过滤规则模板。

该数据包基本过滤规则模板的参数名称包括：报文方向、除了互联网控制报文协议（ICMP）以外的协议类型、源IP地址、目的IP地址、源端口和目的端口。

该数据包基本过滤规则模板的参数名称包括：报文方向、ICMP类型、源IP地址、目的IP地址和ICMP协议子类型。

所述数据包过滤规则模板为流量整型规则模板。

该流量整型规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

该流量整型规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

所述数据包过滤规则模板为连接状态跟踪规则模板。

该连接状态跟踪规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

该连接状态跟踪规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和连接状态。

该连接状态跟踪规则模板适用于采取被动模式的文件传输协议数据包或采取主动模式的文件传输协议数据包，而且该连接状态跟踪规则模板的参数名称包括：报文方向、协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

一种提取数据包过滤规则的装置，包括网络流量获取单元、特征字段集解析单元和过滤规则生成单元，其中：

网络流量获取单元，用于获取预定时间段内的网络流量；

特征字段集解析单元，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成单元，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

网络流量获取单元，具体用于获取防火墙关闭状态下预定时间段内的网络流量。

过滤规则生成单元，具体用于获取预先生成的包括语法关键字、参数名称和参数值的数据包过滤规则模板，将对应于参数名称的特征字段添加到该数据包基本过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

一种提取数据包过滤规则的***，包括网络流量捕获器、解析器、过滤规则生成器和防火墙；

网络流量获取器，用于获取预定时间段内在防火墙处的网络流量；

解析器，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成器，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则，并将该数据包过滤规则发送到防火墙；

防火墙，用于接收该数据包过滤规则。

防火墙，具体用于在网络流量捕获器获取网络流量的过程中处于关闭状态，在接收该数据包过滤规则之后被设置为开启状态，并且执行该数据包过滤规则。

从上述技术方案可以看出，在发明实施方式中，获取预定时间段内的网络流量；解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。由此可见，应用本发明实施方式之后，首先实现了基于操作行为信息以及该数据包的特征字段集自动生成数据包过滤规则，无需再由专业人士手动撰写生成数据包过滤规则，对于终端用户而言明显降低了操作难度。而且，本发明实施方式可以基于真实的网络流量来提取数据包过滤规则，由于真实的网络流量可以精确反映网络性能，本发明实施方式生成的过滤规则还非常准确。

附图说明

为了使本发明的技术方案及优点更加清楚明白，以下结合附图及实施方式，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施方式仅仅用以阐述性说明本发明，并不用于限定本发明的保护范围。

图1为根据本发明实施方式的提取数据包过滤规则的方法流程图；

图2为根据本发明实施方式的提取数据包过滤规则的装置结构图；

图3为根据本发明实施方式的提取数据包过滤规则的***结构图。

具体实施方式

在本发明实施方式中，基于真实的网络流量来提取数据包过滤规则。真实的网络流量可以精确反映网络性能，从而可以生成准确的数据包过滤规则。而且，对于终端用户（end user）而言，基于网络流量提取过滤规则是直观的以及易于操作的，而无需防火墙或网络安全方面的专业知识。

在本发明实施方式中，优选支持以下特性：生成基于IP地址、端口和协议类型等的基本数据包过滤规则；生成诸如带宽遏流、流量分类和管理之类的流量整型规则；生成数据包的状态过滤或连接跟踪规则。

图1为根据本发明实施方式的提取数据包过滤规则的方法流程图。

如图1所示，该方法包括：

步骤101：获取预定时间段内的网络流量（network traffic）。

防火墙通常位于私有网络和外部互联网之间的入口点处，所有的流入数据包和流出数据包都需要穿越它。网络流量就是网络上传输的数据量。

在一个实施方式中，可以预先针对防火墙设置手工设置一些简单过滤规则，在步骤101中获取预定时间段内工作于该简单过滤规则下的防火墙网络流量，后续方法步骤利用该网络流量来提取数据包过滤规则，并应用所提取的数据包过滤规则对预先设置的简单过滤规则进行优化。

在另一个实施方式中，可以在步骤101中获取防火墙关闭状态下预定时间段内的网络流量。此时，后续方法步骤基于防火墙关闭状态下的网络流量来提取数据包过滤规则。在这种情形中，在捕获网络流量之前，防火墙的过滤功能被关闭，即防火墙处于ACCEPT模式，允许任意的数据包（包括合法和非法数据包）进入或者传出网络。

在具体实施中，可以利用各种嗅探工具（sniffer）来捕获网络流量。使用嗅探工具可以捕获进入或者传出网络的每个数据包，从而可以获取网络上传输的数据量的实际情况。

假设通过嗅探工具在预定时间内捕获有数据包集合P，集合P中的每个数据包标识为P₁、P₂、P₃…P_n。每个数据包依次标有时间戳，分别为t₁、t₂、t₃…t_n。t₁为时间戳的起点，其值可以设置为0，其他时间戳的值从时间戳起点开始计数，t_i为第i个时间戳，i的取值范围为1到n之间的任意自然数。

比如，本发明实施方式可以采用Tcpdump或Wireshark嗅探器来捕获防火墙关闭状态下预定时间段内的网络流量。TcpDump可以将网络中传送的数据包的包头完全截获下来提供分析，它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来去掉无用的信息。类似地，Wireshark（前称Ethereal）是一个网络封包分析软件。在GNUGPL通用许可证的保障范围下，使用者可以免费取得Wireshark软件与其源代码，并拥有针对其源代码修改及客制化的权利。

本领域技术人员可以意识到，以上虽然详细罗列了网络流量嗅探工具的具体实例，本发明实施方式并不局限于此，而是可以采用任意的网络流量嗅探工具或通过其它方式来获取所需的网络流量。

步骤102：解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段。

在这里，从步骤101中获取到的每个数据包中，解析出对应于该数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段，特征字段可以用于后续生成数据包过滤规则。

比如，特征字段具体可以包括报文方向、源IP地址、目的IP地址、源端口、目的端口、协议类型、ICMP类型、报文长度、状态和时间戳等信息。

对于数据包P_i，可以解析出其特征字段集为F_i，F_i为{DI_i,IPs_i,IPd_i,PTs_i,PTd_i,PRoto_i,ICMPt_i,L_i,STA_i,t_i}。其中：

DI_i为报文方向，可以通过将防火墙的IP地址与源IP地址IPs_i或目的IP地址IPd_i进行比较得到报文方向；IPs_i为数据包的源IP地址；IPd_i为数据包的目的IP地址；PTs_i为源端口；PTd_i为目的端口；PRoto_i为协议类型，通过检查数据包P_i的IP头（header）可以获取协议类型PRoto_i；ICMPt_i为ICMP子类型；L_i为数据包长度；STA_i为数据包状态标志，t_i为时间戳。另外，为了支持FTP协议的状态包过滤，可以通过检查目的端口识别出FTP连接。如果目的端口为21，则该数据包属于FTP连接。

表1为示范性的特征字段说明表。

在表1中列出了具体的字段名称、字段的含义描述以及字段的示范性取值。本领域技术人员可以意识到，这些特征字段及取值仅用于阐述目的，并不用于对本发明实施方式的保护范围进行限定。

表1

步骤103：接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

在这里，可以接收针对每个或多个数据包的操作行为信息，该操作行为信息可以来自于人工（比如***管理员）。***管理员针对每个数据包发出操作行为信息，操作行为信息包含针对当前数据包P_i的特定动作A_i。特定动作Ai可以包括：允许（ACCEPT）、丢弃（DROP）或拒绝（REJECT）等。基于针对数据包的操作行为信息以及数据包的特征字段集，可以生成用于防火墙的数据包过滤规则。当多个数据包之间具有某些共同的传输属性时，***管理员可以针对这些数据包设置相同的操作行为信息。

在一个实施方式中，可以预先生成包括语法关键字、参数名称和参数值的数据包过滤规则模板，该数据包过滤规则模板需要符合具体防火墙规则语法。在数据包过滤规则模板中，参数值开始默认为零。可以将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，从而以生成数据包过滤规则。

数据包过滤规则模板可以为数据包基本过滤规则模板、流量整型规则模板或连接状态跟踪规则模板，等。数据包基本过滤规则模板用于生成基本数据包过滤规则；流量整型规则模板用于生成流量整型规则；连接状态跟踪规则模板用于生成连接状态跟踪规则。

在一个实施方式中，数据包基本过滤规则模板的参数名称可以包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口和目的端口。可选地，数据包基本过滤规则模板的参数名称还可以包括：报文方向、ICMP类型、源IP地址、目的IP地址、ICMP协议子类型。

在一个实施方式中，流量整型规则模板的参数名称可以包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和流量限制参数。可选地，流量整型规则模板的参数名称还可以包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和流量限制参数。

在一个实施方式中，连接状态跟踪规则模板的参数名称可以包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。可选地，连接状态跟踪规则模板的参数名称可以包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和连接状态。

在一个实施方式中，连接状态跟踪规则模板适用于采取被动模式的文件传输协议数据包或采取主动模式的文件传输协议数据包，而且该连接状态跟踪规则模板的参数名称包括：报文方向、协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

下面以Linux***的Iptable防火墙为例，对生成数据包过滤规则的方式进行示范性详细说明。

（1）、生成基本过滤规则：

比如，对于除了ICMP协议以外的报文，数据包基本过滤规则模板可以为：

iptables–A-p-s-d--sport--dport-j；

然后，在该数据包基本过滤规则模板的相应位置加入数据包的特征字段DI_i、PRoto_i、IPs_i、IPd_i、PTs_iPTd_i以及操作行为信息A_i；得到规则如下：

iptables–A DI_i-p PRoto_i-s IPs_i-d IPd_i--sport PTs_i--dport PTd_i-j A_i。

该规则的语义是：对于符合“报文方向是DI_i；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目的端口是PTd_i”的报文，采取的动作为A_i。

类似地，对于ICMP协议的报文，数据包基本过滤规则模板可以为：

iptables–A-p ICMP-s-d--icmp-type-j；

然后，在该数据包基本过滤规则模板的相应位置加入数据包的特征字段DI_i、IPs_i、IPd_i、ICMPt_i以及操作行为信息A_i，得到规则如下：

iiptables–A DI_i-p ICMP-s IPs_i-d IPd_i--icmp-type ICMPt_i-j A_i。

该规则的语义是：对于符合“报文方向是DI_i；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型是ICMPt_i”的报文，采取的动作为A_i。

由于各个数据包之间的类似性，可能会生成一些相同的规则。因此在基于上述流程自动生成基本过滤规则之前，优选对具有预定数目的相同特征字段的数据包予以合并。其中：在合并过程中，对于除了ICMP协议以外的报文，可以基于下列原则：只要报文的特征字段相同，比如，对于“报文方向DI_i；协议类型PRoto_i；源IP地址IPs_i；目的IP地址IPd_i；源端口PTs_i；目的端口PTd_i”相同的数据包，即可合并。对于ICMP协议的报文，可以基于下列原则：只要报文的基本特征字段相同，即“报文方向是DI_i；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型ICMPt_i”相同的数据包，即可合并。

（2）生成流量整型规则：

比如，对于除了ICMP协议以外的报文，流量整型规则模板可以为：

iptables–A-p-s-d--sport--dport-m limit–limit–j；

iptables–A-p-s-d--sport--dport–j。

首先，根据特征字段数据包长度和时间戳计算出带宽门限B，其中：

$B=\frac{\underset{1}{\overset{n}{\mathrm{\Σ}}}{L}_i}{t_n};$

然后在流量整型规则模板的相应位置加入数据包的相应特征字段以及相应操作行为信息，得到规则如下：

iptables–A DI_i-p PRoto_i-s IPs_i-d IPd_i--sport PTs_i--dport PTd_i-m limit–limitB-j ACCEPT；

iptables–A DI_i-p PRoto_i-s IPs_i-d IPd_i--sport PTs_i--dport PTd_i-j DROP。

该规则的语义是：对于符合“报文方向是DI_i；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目的端口是PTd_i”的报文，若流量小于等于B，则采取的动作为“接受”；若流量大于B，则采取的动作为“拒绝”。

类似地，对于ICMP协议的报文，流量整型规则模板可以为：

iptables–A-p-s-d--icmp-type-m limit–limit-j；

iptables–A-p-s-d--icmp-type–j。

首先，根据特征字段计算出带宽门限B，其中：

$B=\frac{\underset{1}{\overset{n}{\mathrm{\Σ}}}{L}_i}{t_n};$

然后在流量整型规则模板的相应位置加入数据包的相应特征字段以及相应操作行为信息，得到规则如下：

iptables–A DI_i-p ICMP-s IPs_i-d IPd_i--icmp-type ICMPt_i-m limit–limit B-jACCEPT

iptables–A DI_i-p ICMP-s IPs_i-d IPd_i--icmp-type ICMPt_i-j DROP。

该规则的语义是：对于符合“报文方向是DI_i；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型是ICMPt_i”的报文，若流量小于等于B，则采取的动作为“接受”；若流量大于B，则采取的动作为“拒绝”。

由于各个数据包之间的类似性，可能会生成一些相同的规则。因此在基于上述流程自动生成流量整型规则之前，优选对具有预定数目的相同特征字段的数据包予以合并。其中：在合并过程中，对于除了ICMP协议以外的报文，可以基于下列原则：只要报文的特征字段相同，即“报文方向DI_i；协议类型PRoto_i；源IP地址IPs_i；目的IP地址IPd_i；源端口PTs_i；目的端口PTd_i”相同的数据包，即可合并。对于ICMP协议的报文，可以基于下列原则：只要报文的特征字段相同，即“报文方向是DI_i；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型ICMPt_i”相同的数据包，即可合并。

（3）、生成连接状态跟踪规则（可以由用户指定模式）：

比如，对于除了ICMP协议以外的报文，连接状态跟踪规则模板可以包括：

iptables–A FORWARD-p-s-d--sport--dport-m state–state ESTABLISHED-j；

iptables–A FORWARD-p-s-d--sport--dport-m state–state NEW,ESTABLISHED–j。

其中，报文的连接状态可以由特征字段集中的数据包状态标志获得。

然后，在连接状态跟踪规则模板的相应位置加入数据包的特征字段以及操作行为信息；得到规则如下：

iptables–A FORWARD-p PRoto_i-s IPs_i-d IPd_i--sport PTs_i--dport PTd_i-m state–state ESTABLISHED-j A_i；

iptables–A FORWARD-p PRoto_i-s IPd_i-d IPs_i--sport PTd_i--dport PTs_i-m state–state NEW,ESTABLISHED-j A_i。

该规则的语义是：对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目的端口是PTd_i；连接状态为新建或已创建”的报文，采取的动作为A_i；对于符合“报文方向是转发”；协议类型是PRoto_i；源IP地址是IPd_i；目的IP地址是IPs_i；源端口是PTd_i；目的端口是PTs_i；连接状态为新建或已创建”的报文，采取的动作为A_i。

类似地，对于ICMP协议的报文，连接状态跟踪规则模板可以包括：

iptables–A FORWARD-p ICMP-s-d--icmp-type-m state–state NEW,ESTABLISHED,RELATED–j；

iptables–A FORWARD-p ICMP-s-d--icmp-type-m state–state ESTABLISHED,RELATED-j。

然后在该连接状态跟踪规则模板相应位置加入数据包的特征字段以及操作行为信息，得到规则如下：

iptables–A FORWARD-p ICMP-s IPs_i-d IPd_i--icmp-type ICMPt_i-m state–state NEW,ESTABLISHED,RELATED-j A_i

iptables–A FORWARD-p ICMP-s IPd_i-d IPs_i--icmp-type ICMPt_i-m state–stateESTABLISHED,RELATED-j A_i。

该组规则的语义是：对于符合“报文方向是转发；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型ICMPt_i；连接状态为新建或已创建或相关”的报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是ICMP；源IP地址是IPd_i；目的IP地址是IPs_i；ICMP子类型ICMPt_i；连接状态为已创建或相关”的报文，采取的动作为A_i。

对于采取被动模式的FTP协议的报文，连接状态跟踪规则模板可以包括：

iptables–A FORWARD-p tcp-s-d--sport--dport21-m state–state NEW,ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport21--dport-m state–state ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport--dport20-m state–state ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport20--dport-m state–state ESTABLISHED,RELATED-j。

然后在该连接状态跟踪规则模板相应位置加入数据包的特征字段以及操作行为信息，得到规则如下：

iptables–A FORWARD-p tcp-s IPs_i-d IPd_i--sport PTs_i--dport21-m state–state NEW,ESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPd_i-d IPs_i--sport21--dport PTs_i-m state–stateESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPs_i-d IPd_i--sport PTs_i--dport20-m state–stateESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPd_i-d IPs_i--sport20--dport PTs_i-m state–stateESTABLISHED,RELATED-j A_i。

该组规则的语义是：对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目标端口是21；连接状态为新建或已创建”的FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPd_i；目的IP地址是IPs_i；源端口是21；目的端口是PTs_i；连接状态为已创建”的FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目标端口是20；连接状态为已创建”的FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPd_i；目的IP地址是IPs_i；源端口是20；目标端口是PTs_i；连接状态为已创建或相关”的FTP协议报文，采取的动作为A_i。

对于采取主动模式的FTP协议的报文，连接状态跟踪规则模板可以包括：

iptables–A FORWARD-p tcp-s-d--sport--dport21-m state–state NEW,ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport21--dport-m state–state ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport1024:--dport1024:-m state–state ESTABLISHED-j

iptables–A FORWARD-p tcp-s-d--sport1024:--dport1024:-m state–state ESTABLISHED,RELATED-j；

然后在该连接状态跟踪规则模板相应位置加入数据包的特征字段以及操作行为信息，得到规则如下：

iptables–A FORWARD-p tcp-s IPs_i-d IPd_i--sport PTs_i--dport21-m state–state NEW,ESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPd_i-d IPs_i--sport21--dport PTs_i-m state–stateESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPs_i-d IPd_i--sport1024:--dport1024:-m state–stateESTABLISHED-j A_i；

iptables–A FORWARD-p tcp-s IPd_i-d IPs_i--sport1024:--dport1024:-m state–stateESTABLISHED,RELATED-j A_i。

该组规则的语义是：对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口是PTs_i；目标端口是21；连接状态为新建或已创建”的主动模式FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPd_i；目的IP地址是IPs_i；源端口是21；目的端口是PTs_i；连接状态为已创建”的FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPs_i；目的IP地址是IPd_i；源端口和目标端口是1024；连接状态为已创建”的FTP协议报文，采取的动作为A_i；对于符合“报文方向是转发；协议类型是PRoto_i；源IP地址是IPd_i；目的IP地址是IPs_i；源端口和目标端口是1024；连接状态为已创建或相关”的FTP协议报文，采取的动作为A_i。

由于各个数据包之间的类似性，可能会生成一些相同的规则。因此在基于上述流程自动生成连接状态跟踪规则之前，优选对具有预定数目的相同特征字段的数据包予以合并。其中：在合并过程中，对于除了ICMP协议以外的报文，可以基于下列原则：只要报文的基本特征字段相同，即“报文方向DI_i；协议类型PRoto_i；源IP地址IPs_i；目的IP地址IPd_i；源端口PTs_i；目的端口PTd_i”相同的数据包，即可合并。对于ICMP协议的报文，可以基于下列原则：只要报文的基本特征字段相同，即“报文方向是DI_i；协议类型是ICMP；源IP地址是IPs_i；目的IP地址是IPd_i；ICMP子类型ICMPt_i”相同的数据包，即可合并规则。对于采取被动模式的FTP协议的报文，只要报文的基本特征字段相同，即“报文方向DI_i；协议类型PRoto_i；源IP地址IPs_i；目的IP地址IPd_i；源端口PTs_i；目的端口PTd_i”相同，即可合并。

以上以Iptable防火墙为例对本发明实施方式进行了详细说明。本领域技术人员可以意识到，本发明实施方式并不仅局限于Iptable防火墙，而是可以适用于任意的网络防火墙。

基于上述详细分析，本发明实施方式还提出了一种提取数据包过滤规则的装置。

图2为根据本发明实施方式提取数据包过滤规则的装置结构图。

如图2所示，包括网络流量获取单元201、特征字段集解析单元202和过滤规则生成单元203，其中：

网络流量获取单元201，用于获取预定时间段内的网络流量；

特征字段集解析单元202，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成单元203，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

在一个实施方式中，过滤规则生成单元203，用于获取预先生成的包括语法关键字、参数名称和参数值的数据包过滤规则模板，将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

在一个实施方式中，可以预先针对防火墙设置手工设置一些简单过滤规则，网络流量获取单元201获取预定时间段内工作于该简单过滤规则下的防火墙网络流量，过滤规则生成单元203再利用该网络流量来提取数据包过滤规则，并应用所提取的数据包过滤规则对预先设置的简单过滤规则进行优化。

在另一个实施方式中，网络流量获取单元201获取防火墙关闭状态下预定时间段内的网络流量。此时，过滤规则生成单元203基于防火墙关闭状态下的网络流量来提取数据包过滤规则。

基于上述详细分析，本发明实施方式还提出了一种提取数据包过滤规则的***。

图3为根据本发明实施方式提取数据包过滤规则的***结构图。

如图3所示，包括网络流量捕获器301、解析器302、过滤规则生成器303和防火墙304；

网络流量获取器301，用于获取预定时间段内在防火墙304处的网络流量；

解析器302，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成器303，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则，并将该数据包过滤规则发送到防火墙；

防火墙304，用于接收该数据包过滤规则。

在一个实施方式中，防火墙304，在网络流量捕获器获取网络流量的过程中处于关闭状态，进一步在接收该数据包过滤规则之后被设置为开启状态，并且执行该数据包过滤规则。

在一个实施方式中，过滤规则生成器303，用于获取预先生成的包括语法关键字、参数名称和参数值的数据包过滤规则模板，将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

下面基于该***详细描述防火墙的一个过滤规则生成过程，假设该防火墙为Iptable防火墙；网络流量捕获器为Wireshark工具。

首先，配置Iptable防火墙以允许所有数据包经过（包括进入和离开）防火墙，并且使用Wireshark工具以捕获预定时间内的网络流量，并形成pcap文件，比如该文件为P。然后，解析器分析该文件P以提取出每个数据包P_i的特征字段集，其中该特征字段集可以为{DI_i,IPs_i,IPd_i,PTs_i,PTd_i,PRoto_i,ICMPt_i,L_i,STA_i,t_i}。过滤规则生成器再根据协议类型，将每个数据包特征字段集与针对该数据包的操作行为信息转化为具体的过滤规则，其中。如果用户需要生成连接跟踪规则，需要将状态信息附加到相应的过滤规则中。

可以通过指令或指令集存储的储存方式将本发明实施方式所提出的提取数据包过滤规则方法存储在各种机器可读的存储介质上。这些存储介质数据包括但是不局限于：软盘、光盘、DVD、硬盘、闪存、U盘、CF卡、SD卡、MMC卡、SM卡、记忆棒（Memory Stick）、xD卡等。另外，还可以将本发明实施方式所提出的提取数据包过滤规则方法应用到基于闪存（Nand flash）的存储介质中，比如U盘、CF卡、SD卡、SDHC卡、MMC卡、SM卡、记忆棒、xD卡等。

还可以将当本发明实施方式所提出的提取数据包过滤规则方法具体实施为各种形式的计算机指令。这些计算机指令在机器中被执行时，可以使机器执行本发明实施方式所提出的提取数据包过滤规则方法。

综上所述，在发明实施方式中，首先获取预定时间段内的网络流量；解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。由此可见，应用本发明实施方式之后，首先实现了基于操作行为信息以及该数据包的特征字段集自动生成数据包过滤规则，无需再由专业人士手动撰写生成数据包过滤规则，对于终端用户而言明显降低了操作难度。而且，本发明实施方式基于真实的网络流量来提取数据包过滤规则，由于真实的网络流量可以精确反映网络性能，本发明实施方式生成的过滤规则还非常准确。

以上所述仅为本发明的较佳实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应数据包含在本发明的保护范围之内。

Claims (15)

1.一种提取数据包过滤规则的方法，该方法包括：

获取预定时间段内的网络流量；

解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

2.根据权利要求1所述的提取数据包过滤规则的方法，其特征在于，所述获取预定时间段内的网络流量具体包括：

获取防火墙关闭状态下预定时间段内的网络流量。

3.根据权利要求1或2所述的提取数据包过滤规则的方法，其特征在于，预先生成包括语法关键字、参数名称和参数值的数据包过滤规则模板；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：

将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

4.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为数据包基本过滤规则模板，该数据包基本过滤规则模板的参数名称包括：报文方向、除了互联网控制报文协议ICMP以外的协议类型、源IP地址、目的IP地址、源端口和目的端口。

5.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为数据包基本过滤规则模板，该数据包基本过滤规则模板的参数名称包括：报文方向、ICMP类型、源IP地址、目的IP地址和ICMP协议子类型。

6.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为流量整型规则模板，该流量整型规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

7.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为流量整型规则模板，该流量整型规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

8.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

9.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和连接状态。

10.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板适用于采取被动模式的文件传输协议数据包或采取主动模式的文件传输协议数据包，而且该连接状态跟踪规则模板的参数名称包括：报文方向、协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

11.一种提取数据包过滤规则的装置，其特征在于，包括网络流量获取单元、特征字段集解析单元和过滤规则生成单元，其中：

网络流量获取单元，用于获取预定时间段内的网络流量；

特征字段集解析单元，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成单元，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

12.根据权利要求10所述的提取数据包过滤规则的装置，其特征在于，

所述网络流量获取单元，具体用于获取防火墙关闭状态下预定时间段内的网络流量。

13.根据权利要求11或12所述的提取数据包过滤规则的装置，其特征在于，

所述过滤规则生成单元，具体用于获取预先生成的包括语法关键字、参数名称和参数值的数据包过滤规则模板，将对应于参数名称的特征字段添加到该数据包基本过滤模板的参数值处，并将操作行为信息添加到该数据包过滤模板中，以生成数据包过滤规则。

14.一种提取数据包过滤规则的***，其特征在于，包括网络流量捕获器、解析器、过滤规则生成器和防火墙；

网络流量获取器，用于获取预定时间段内在防火墙处的网络流量；

解析器，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成器，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则，并将该数据包过滤规则发送到防火墙；

防火墙，用于接收该数据包过滤规则。

15.根据权利要求14所述的提取数据包过滤规则的***，其特征在于，

所述防火墙，具体用于在网络流量捕获器获取网络流量的过程中处于关闭状态，在接收该数据包过滤规则之后被设置为开启状态，并且执行该数据包过滤规则。