CN111314347A - 一种非法流量的处理方法、装置、***和存储介质 - Google Patents

Abstract

本发明公开了一种非法流量的处理方法、装置、***和存储介质。该方法在用户面功能出口处的防火墙等网络安全设备上增设反馈机制，使其在检测到的非法访问信息后，将非法访问信息发送给会话管理功能；之后，会话管理功能根据该非法访问信息找到与之对应的协议数据单元会话，自动生成针对所述非法流量信息的包检测规则，并在所述协议数据单元会话中添加该包检测规则，然后修改所述协议数据单元会话以使该包检测规则生效。当该数据单元会话再次接收到这些非法信息时，就可以利用这些包检测规则识别出非法流量，并实现对非法流量的限速、阻断和停止计费。而用户面功能也就不会再转发这些非法信息，也不会对这些非法信息进行计费。

Description

一种非法流量的处理方法、装置、***和存储介质

技术领域

本发明涉及数据通信领域，尤其涉及一种非法流量的处理方法、装置、***和存储介质。

背景技术

在5G***会在用户面功能(UPF)出口处部署防火墙等网络安全设备用于中断来自5G***内部和外部互联网的非法访问入侵或病毒攻击。但是，问题产生在于流量在被防火墙阻断前，仍然被用户面功能转发、并计入收费流量，这样一方面会浪费转发资源，另一方面也会给客户带来不必要的开销。

发明内容

在5G***中，可以通过在协议数据单元(PDU)中配置包探测规则实现对非法流量的过滤、定向、计费、限流等，如果能根据用户面功能出口处部署防火墙等网络安全设备提供的非法访问信息自动生成包探测规则(Packet Detection Rule，PDR)，则可以避免类似的非法访问信息产生额外流量，也可以阻断其占用转发资源，解决以上问题。

基于以上发明思路，本发明人创造性地提供一种非法流量的处理方法、装置、***和存储介质。

根据本发明实施例第一方面，提供一种非法流量的处理方法，应用于会话管理功能，通过联动网络安全设备来实现对非法流量的早期过滤，该方法包括：接收网络安全设备反馈的非法流量信息；根据非法流量信息找到与之对应的协议数据单元会话；自动生成针对非法流量信息的包检测规则；在协议数据单元会话中添加包检测规则；修改协议数据单元会话以使包检测规则生效。

根据本发明实施例一实施方式，该方法还包括：将包探测规则的优先级设为最高优先级。

根据本发明实施例一实施方式，在添加针对非法流量信息的包探测规则之后，该方法还包括：生成针对非法流量信息的处理规则，其中处理规则包括转发行为规则、用量报告规则和服务质量执行规则中的至少一项规则；添加处理规则；建立包探测规则和处理规则的关联关系。

根据本发明实施例一实施方式，生成针对非法流量信息的处理规则，包括：接收网络安全设备对非法流量信息的建议操作；根据建议操作，生成针对非法流量信息的处理规则。

根据本发明实施例第二方面，提供一种非法流量的处理方法，应用于网络安全设备，该方法包括：向会话管理功能发送非法流量信息。

根据本发明实施例一实施方式，该方法还包括：向会话管理功能发送对非法流量信息的建议操作。

根据本发明实施例第三方面，提供一种非法流量的处理装置，应用于会话管理功能，该装置包括：接收模块，用于接收网络安全设备反馈的非法流量信息；会话确定模块，用于根据非法流量信息找到与之对应的协议数据单元会话；包探测规则生成模块，用于自动生成针对非法流量信息的包检测规则；包探测规则添加模块，用于在协议数据单元会话中添加针对非法流量信息的包检测规则；会话修改模块，用于修改协议数据单元会话以使包检测规则生效。

根据本发明实施例一实施方式，该装置还包括优先级设置模块，用于将包探测规则的优先级设为最高优先级。

根据本发明实施例一实施方式，该装置还包括：处理规则生成模块，用于生成针对非法流量信息的处理规则，其中处理规则包括转发行为规则、用量报告规则和服务质量执行规则中的至少一项规则；处理规则添加模块，用于添加处理规则；关联关系建立模块，用于建立包探测规则和处理规则的关联关系。

根据本发明实施例一实施方式，处理规则生成模块包括：接收单元，用于接收网络安全设备对非法流量信息的建议操作；处理规则添加单元，用于根据建议操作，添加针对非法流量信息的处理规则。

根据本发明实施例第四方面，提供一种非法流量的处理装置，应用于网络安全设备，该装置包括：发送模块，用于向会话管理功能发送非法流量信息。

根据本发明实施例一实施方式，发送模块还用于发送向会话管理功能发送对非法流量信息的建议操作。

根据本发明实施例第五方面，提供一种非法流量处理***，该***包括：会话管理功能，用于执行上述任一项应用于会话管理功能的非法流量的处理方法；网络安全设备，用于执行上述任一项应用于网络安全设备的非法流量的处理方法。

根据本发明实施例第六方面，提供一种计算机存储介质，存储介质包括一组计算机可执行指令，当指令被执行时用于执行上述任一项的非法流量的处理方法。

本发明公开了一种非法流量的处理方法、装置、***和存储介质。该方法在用户面功能出口处的防火墙等网络安全设备上增设反馈机制，使其在检测到的非法访问信息后，将非法访问信息发送给会话管理功能；之后，会话管理功能根据该非法访问信息找到与之对应的协议数据单元会话，自动生成针对非法流量信息的包检测规则，并在协议数据单元会话中添加该包检测规则，然后修改协议数据单元会话以使该包检测规则生效。当该数据单元会话再次接收到这些非法信息时，就可以利用这些包检测规则识别出非法流量，并实现对非法流量的限速、阻断和停止计费。而用户面功能也就不会再转发这些非法信息，也不会对这些非法信息进行计费。与此同时，转发资源也可以得到更多地用于转发合法流量，也为客户节省了不必要的开销。

需要理解的是，本发明的教导并不需要实现上面所述的全部有益效果，而是特定的技术方案可以实现特定的技术效果，并且本发明的其他实施方式还能够实现上面未提到的有益效果。

附图说明

通过参考附图阅读下文的详细描述，本发明示例性实施方式的上述以及其他目的、特征和优点将变得易于理解。在附图中，以示例性而非限制性的方式示出了本发明的若干实施方式，其中：

在附图中，相同或对应的标号表示相同或对应的部分。

图1为本发明实施例非法流量的处理方法的应用场景示意图；

图2为本发明实施例会话管理功能端非法流量处理方法的实现流程示意图；

图3为本发明实施例一应用会话管理功能端非法流量处理方法的具体流程示意图；

图4为本发明实施例会话管理功能端非法流量处理装置的组成结构示意图。

具体实施方式

为使本发明的目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而非全部实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。

首先结合图1描述下本发明实施例非法流量的处理方法的应用场景。如图1所示，会话管理功能10与用户终端(UE)建立协议数据单元会话后，用户面功能20就可以接收并转发用户的各种数据流量。假设用户面功能20初次收到非法流量11，此时在协议数据单元会话中还没有任何针对该非法流量11的包检测规则，该初次接收到的非法流量11就会发送到计费和转发模块202进行正常处理，之后在用户面功能20的出口处设置的网络安全设备30，例如防火墙，对该非法流量11进行检测，然后网络安全设备30发现该流量非法就会拦截该非法流量11，丢弃该流量请求或进行其它的相应操作。在现有的方案中，处理到此结束，而在本发明实施例中，网络安全设备30会根据检测结果将非法流量信息12反馈给会话管理功能10，会话管理功能10在接收到该非法流量信息12后，会根据非法流量信息12中找到相应的协议数据单元会话，然后生成针对该非法流量信息12的包检测规则添加到该协议数据单元会话中，并向用户面功能20发送更新该协议数据单元会话的指令13，使该包检测规则生效。这样，当用户面功能20再次收到该非法流量21时，根据该包检测规则就会将该非法流量拦截住，并在进行计费和转发之前将再次收到的非法流量21发送给丢弃或限流模块201进行相应的处理。如此，再次收到的非法流量21就不会进入计费和转发模块202，起到了早期过滤和提前预防的作用。而现有技术方案中，因为没有以上反馈机制，用户面功能中不能自动添加这样的包检测规则，当再次收到非法流量21时，用户面功能20还会将该非法流量发送给计费和转发模块202，从而造成资源浪费，并引发不必要的流量开销。

根据本发明实施例第一方面，提供一种非法流量的处理方法，应用于会话管理功能，通过联动网络安全设备来实现对非法流量的早期过滤，图2示出了本发明实施例会话管理功能端非法流量处理方法的实现流程。参考图2，该方法包括：操作210，接收网络安全设备反馈的非法流量信息；操作220，根据非法流量信息找到与之对应的协议数据单元会话；操作230，自动生成针对非法流量信息的包检测规则；操作240，在协议数据单元会话中添加包检测规则；操作250，修改协议数据单元会话以使包检测规则生效。

在操作210中，本发明实施例中的会话管理功能是通过提供OAM接口，并在特定的服务端口来接收网络安全设备反馈的非法流量信息的。而网络安全设备则可以通过命令行工具或REST API发送HTTP请求来发送这些非法流量信息。这里的网络安全设备通常指布置在用户面功能(UPF)出口处部署的防火墙，也可以是可以完成非法流量检测的其他网络安全设备。这里的非法流量信息通常包括非法流量的一些流特征，比如源IP地址、目的IP地址、目的端口、协议类型等。此外，除了这些非法流量信息，网络安全设备还可以将针对这些非法流量的建议操作也返回给会话管理功能。

在操作220中，这里主要是通过源IP地址找到与之对应的协议数据单元会话。这里与之对应的协议数据单元会话，是指元IP地址与非法流量信息的源IP地址匹配的协议数据单元会话。

在操作230中，自动生成针对非法流量信息的包检测规则，主要是根据非法流量信息中的流特征结合包检测规则的语法来生成的。生成方法可以是使用预置模板，通过用具体的流特征替换模板中的占位符来自动生成功能，也可以通过字符串拼接的方法来自动生成的。

在操作240中，每个协议数据单元会话中通常会维护一个包探测规则列表，该列表根据规则的优先级由高到低排列与该协议数据单元会话关联的所有包探测规则。而这里添加包探测规则的方式主要是将操作230中生成的包探测规则***到该包探测规则列表中。

在操作250中，会话管理功能通过N4接口与用户面功能进行通信，下达协议数据单元会话更改指令，而该指令中会指定与非法流量管理的协议数据单元会话标识，并携带有操作230中自动生成的包侦测规则。当会话修改指令完成时，该协议数据单元会话中的这一包侦测规则就会生效并用在后续的流量转发和计费中。

根据本发明实施例一实施方式，该方法还包括：将包探测规则的优先级设为最高优先级。

如前所述，每个协议数据单元会话中通常会维护一个包探测规则列表，该列表根据规则的优先级由高到低排列与该协议数据单元会话关联的所有包探测规则。此时，将操作230生成的包探测规则***到列表中的最前列作为第一条规则，就可以将该包探测规则的优先级设为最高。如此，用户面功能再一次接收到该非法流量时就可以最先利用该包探测规则识别出非法流量并进行相应的拦截操作。而且，通常情况下，非法流量是连续发送的，这样的技术方案可以更加快捷而高效地过滤非法流量。

根据本发明实施例一实施方式，在添加针对非法流量信息的包探测规则之后，该方法还包括：生成针对非法流量信息的处理规则，其中处理规则包括转发行为规则、用量报告规则和服务质量执行规则中的至少一项规则；添加处理规则；建立包探测规则和处理规则的关联关系。

会话管理功能与用户面功能之间的N4接口上可以管理四个不同规则，包检测规则和三个不同的处理规则：分别是转发行为规则FAR(Forwarding Action Rule，FAR)、用量上报规则(Usage Reporting Rule，URR)和服务质量(Quality of Service，QoS)执行规则(QoS Enforcement Rule，QER)。其中，转发行为规则可以包含是否将转发，丢弃或缓冲操作应用于报文的转发策略信息。这些处理规则可以关联到某个包探测规则，这样，当某些流量被包探测规则过滤出来后，就可以利用与包探测规则关联地处理规则对这些流量进行处理。

举例来说，报文经过N3接口到达用户面功能时，用户面功能首先根据包侦测规则对报文进行识别，识别报文的业务类型，根据报文的业务类型，选择该业务对应的转发行为规则、用量报告规则和服务质量执行规则进行转发控制。相应地，当会话管理功能需要修改用户面功能中的包侦测规则和处理规则时，会话管理功能可以向用户面功能发送会话修改请求，携带要修改的包侦测规则和处理规则，用户面接收到要修改的业务级包侦测规则和处理规则之后，按照修改后的包侦测规则和处理规则对后续接收到的报文进行转发处理。

根据本发明实施例一实施方式，生成针对非法流量信息的处理规则，包括：接收网络安全设备对非法流量信息的建议操作；根据建议操作，生成针对非法流量信息的处理规则。

正如之前提到的，网络安全设备在发送非法流量信息之外，还可以将针对该非法流量信息的建议操作一并发送给会话管理功能。这样在生成上述针对非法流量信息的处理规则时，就可以根据该建议操作生成相应的处理规则。例如，如果建议操作是丢弃(drop)，则可以生成转发行为规则，丢弃该流量，不做任何处理。

下面就结合图3描述本发明实施例一应用会话管理功能端非法流量处理方法的具体流程。

在步骤310中，收到网络安全设备发送的非法流量信息，并对该信息进行解析，进一步获得该非法流量的一些流特征，比如源IP，和针对该流量的建议操作；

在步骤320中，根据源IP查找与之匹配的协议数据单元，得到查找结果；

在步骤330中，根据查找结果进行判断，如果查找成功，则继续步骤340，如果查找不成功，则结束；

在步骤340中，根据非法流量的流特征生成包检测规则；

在步骤350中，根据接收到的建议操作生成处理规则，如果建议操作是丢弃(drop)，则继续步骤360，如果建议操作不是丢弃，则继续步骤370；

在步骤360中，生成新的转发行为规则丢弃该流量请求；

在步骤370中，生成新的服务质量执行规则对该流量请求进行限流等措施；

在步骤380中，将上述包检测规则和处理规则进行绑定，即建立关联关系，并向用户面发起协议数据单元会话修改指令。

根据本发明实施例第二方面，提供一种非法流量的处理方法，应用于网络安全设备，该方法包括：向会话管理功能发送非法流量信息。

根据本发明实施例一实施方式，该方法还包括：向会话管理功能发送对非法流量信息的建议操作。

在向会话管理功能发送非法流量信息时，通常是使用会话管理功能提供的OAM接口来发送的。发送方式可以是命令行的方式，例如执行下列命令行命令：

(smf)#firewall add rule 172.1.1.1 100.2.2.1 80http drop

也可以是通过发送REST API请求的方式，例如：

10.1.1.3/smf/firewall/add？sip＝172.1.1.1&dip＝100.2.2.1&dport＝80&protocol＝http&action＝drop

其中，利用参数sip指定的是源IP；利用参数dip指定的是目的IP；利用参数dport指定是目的端口；利用参数protocol指定的协议类型；利用参数action指定的是针对该非法流量的建议操作。

根据本发明实施例第三方面，提供一种非法流量的处理装置，应用于会话管理功能，如图4所示，该装置40包括：接收模块401，用于接收网络安全设备反馈的非法流量信息；会话确定模块402，用于根据非法流量信息找到与之对应的协议数据单元会话；包探测规则生成模块403，用于自动生成针对非法流量信息的包检测规则；包探测规则添加模块404，用于在协议数据单元会话中添加针对非法流量信息的包检测规则；会话修改模块405，用于修改协议数据单元会话以使包检测规则生效。

根据本发明实施例一实施方式，该装置40还包括优先级设置模块，用于将包探测规则的优先级设为最高优先级。

根据本发明实施例一实施方式，该装置40还包括：处理规则生成模块，用于生成针对非法流量信息的处理规则，其中处理规则包括转发行为规则、用量报告规则和服务质量执行规则中的至少一项规则；处理规则添加模块，用于添加处理规则；关联关系建立模块，用于建立包探测规则和处理规则的关联关系。

根据本发明实施例一实施方式，处理规则生成模块包括：接收单元，用于接收网络安全设备对非法流量信息的建议操作；处理规则添加单元，用于根据建议操作，添加针对非法流量信息的处理规则。

根据本发明实施例第四方面，提供一种非法流量的处理装置，应用于网络安全设备，该装置包括：发送模块，用于向会话管理功能发送非法流量信息。

根据本发明实施例一实施方式，发送模块还用于发送向会话管理功能发送对非法流量信息的建议操作。

根据本发明实施例第五方面，提供一种非法流量处理***，该***包括：会话管理功能，用于执行上述任一项应用于会话管理功能的非法流量的处理方法；网络安全设备，用于执行上述任一项应用于网络安全设备的非法流量的处理方法。

根据本发明实施例第六方面，提供一种计算机存储介质，存储介质包括一组计算机可执行指令，当指令被执行时用于执行上述任一项的非法流量的处理方法。

这里需要指出的是：以上针对非法流量的处理装置实施例的描述、以上针对非法流量的处理***实施例的描述和以上针对计算机存储介质实施例的描述，与前述方法实施例的描述是类似的，具有同前述方法实施例相似的有益效果，因此不做赘述。对于本发明对非法流量的处理装置实施例的描述、对非法流量的处理***实施例的描述和对计算机存储介质实施例的描述尚未披露的技术细节，请参照本发明前述方法实施例的描述而理解，为节约篇幅，因此不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个装置，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元；既可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以利用硬件的形式实现，也可以利用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储介质、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例方法的全部或部分。而前述的存储介质包括：移动存储介质、ROM、磁碟或者光盘等各种可以存储程序代码的介质。

以上，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种非法流量的处理方法，应用于会话管理功能，所述方法通过联动网络安全设备来实现对非法流量的早期过滤，所述方法包括：

接收网络安全设备反馈的非法流量信息；

根据所述非法流量信息找到与之对应的协议数据单元会话；

自动生成针对所述非法流量信息的包检测规则；

在所述协议数据单元会话中添加所述包检测规则；

修改所述协议数据单元会话以使所述包检测规则生效。

2.根据权利要求1所述的方法，所述方法还包括：

将所述包探测规则的优先级设为最高优先级。

3.根据权利要求1或2所述的方法，在所述添加针对所述非法流量信息的包探测规则之后，所述方法还包括：

生成针对所述非法流量信息的处理规则，其中所述处理规则包括转发行为规则、用量报告规则和服务质量执行规则中的至少一项规则；

添加所述处理规则；

建立所述包探测规则和所述处理规则的关联关系。

4.根据权利要求3所述的方法，所述生成针对所述非法流量信息的处理规则，包括：

接收网络安全设备对所述非法流量信息的建议操作；

根据所述建议操作，生成针对所述非法流量信息的处理规则。

5.一种非法流量的处理方法，应用于网络安全设备，所述方法包括：向所述会话管理功能发送非法流量信息。

6.根据权利要求5所述的方法，所述方法还包括：

向所述会话管理功能发送对所述非法流量信息的建议操作。

7.一种非法流量的处理装置，应用于会话管理功能，所述装置包括：

接收模块，用于接收网络安全设备反馈的非法流量信息；

会话确定模块，用于根据所述非法流量信息找到与之对应的协议数据单元会话；

包探测规则生成模块，用于自动生成针对所述非法流量信息的包检测规则；

包探测规则添加模块，用于在所述协议数据单元会话中添加针对所述非法流量信息的包检测规则；

会话修改模块，用于修改所述协议数据单元会话以使所述包检测规则生效。

8.一种非法流量的处理装置，应用于网络安全设备，所述装置包括：

发送模块，用于向所述会话管理功能发送非法流量信息。

9.一种非法流量的处理***，所述***包括：

会话管理功能，用于执行权利要求1至4任一项所述的、应用于会话管理功能的非法流量的处理方法；

网络安全设备，用于执行权利要求5至6任一项所述的、应用于网络安全设备的非法流量的处理方法。

10.一种存储介质，在所述存储介质上存储了程序指令，其中，所述程序指令在运行时用于执行如权利要求1至6任一项所述的非法流量的处理方法。

Images