CN117579386A - 网络流量安全管控方法、装置及存储介质 - Google Patents
网络流量安全管控方法、装置及存储介质 Download PDFInfo
- Publication number
- CN117579386A CN117579386A CN202410057238.1A CN202410057238A CN117579386A CN 117579386 A CN117579386 A CN 117579386A CN 202410057238 A CN202410057238 A CN 202410057238A CN 117579386 A CN117579386 A CN 117579386A
- Authority
- CN
- China
- Prior art keywords
- data packet
- control
- kernel
- management
- outbound
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 89
- 238000007726 management method Methods 0.000 claims abstract description 127
- 230000008569 process Effects 0.000 claims abstract description 44
- 238000011217 control strategy Methods 0.000 claims abstract description 39
- 230000006870 function Effects 0.000 claims description 119
- 230000000903 blocking effect Effects 0.000 claims description 27
- 238000013507 mapping Methods 0.000 claims description 13
- 230000005540 biological transmission Effects 0.000 claims description 7
- 238000011161 development Methods 0.000 claims description 7
- 238000006243 chemical reaction Methods 0.000 claims description 6
- 238000012550 audit Methods 0.000 abstract description 4
- 230000001360 synchronised effect Effects 0.000 abstract description 4
- 230000003287 optical effect Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 239000013307 optical fiber Substances 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 238000012552 review Methods 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000005111 flow chemistry technique Methods 0.000 description 1
- 238000013467 fragmentation Methods 0.000 description 1
- 238000006062 fragmentation reaction Methods 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 230000008707 rearrangement Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明实施例公开了一种网络流量安全管控方法、装置及存储介质，可以利用查询策略接口从用户空间接收用户自定义设置的管控策略，并将其转换为内核空间可用的内核空间管控数据表。并利用设定的内核功能模块按照内核空间管控数据表对流量包进行检查并进行处理，还能够针对特定的流量包进行抓取复制并存储，供用户对其进行进一步安全审计。可以在内核空间执行用户自定义的管控策略，并防止管控策略被绕开。同时，可在内核空间执行抓取和同步复制，在不影响出站效率的前提下，灵活抓取流量包供用户进行进行安全审计，减少了从内核空间到用户空间产生的开销。
Description
技术领域
本发明涉及网络安全技术领域，尤其涉及一种网络流量安全管控方法、装置及存储介质。
背景技术
网络攻击手段日益复杂,网络流量可能包含各类威胁信息的线索,因此必须对网络流量实施细粒度的安全管控。需要更精细化地识别和管控网络流量,发现并抵御网络威胁。基于Linux操作***开发网络安全管控应用的需求越来越多，利用操作***的流量处理能力来实现更智能化的网络管控，这样不仅可以帮助组织和企业更好地保护自己，还可以满足日益严格的数据保护和合规性要求。
现有技术中，通常在用户空间设定管控策略，通过底层抓取网络流量包，并将网络流量包传输至用户空间进行管控处理，由于在用户空间的管控机制容易被绕过，且将所有网络流量包由底层传输至用户空间也会大大增加***开销，降低了网络流量安全管控效率和能力。
发明内容
本发明实施例提供了一种网络流量安全管控方法、装置及存储介质，以解决现有技术中网络流量安全管控效率和能力较低的技术问题。
第一方面，本发明实施例提供了一种网络流量安全管控方法，包括：
从查询策略接口接收用户空间下发的管控策略；
根据所述管控策略生成用户空间管控链表；
将所述用户空间管控链表转换为内核空间管控数据表；
利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；
否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
第二方面，本发明实施例还提供了一种网络流量安全管控装置，包括：
获取模块，用于从查询策略接口接收用户空间下发的管控策略；
生成模块，用于根据所述管控策略生成用户空间管控链表；
转换模块，用于将所述用户空间管控链表转换为内核空间管控数据表；
检查模块，用于利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；
复制模块，否则，用于对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
第三方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如上述实施例提供的网络流量安全管控方法。
本发明实施例提供的网络流量安全管控方法、装置及存储介质，从查询策略接口接收用户空间下发的管控策略；根据所述管控策略生成用户空间管控链表；将所述用户空间管控链表转换为内核空间管控数据表；利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。可以利用查询策略接口从用户空间接收用户自定义设置的管控策略，并将其转换为内核空间可用的内核空间管控数据表。并利用设定的内核功能模块按照内核空间管控数据表对流量包进行检查并进行处理，还能够针对特定的流量包进行抓取复制并存储，供用户对其进行复核。可以在内核空间执行用户自定义的管控策略，并防止管控策略被绕开。同时，可在内核空间执行抓取和同步复制，在不影响出站效率的前提下，灵活抓取流量包供用户进行参考，减少了从内核空间到用户空间产生的开销。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1是本发明实施例一提供的网络流量安全管控方法的流程示意图；
图2是本发明实施例二提供的网络流量安全管控方法的流程示意图；
图3是本发明实施例三提供的网络流量安全管控方法装置的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
实施例一
图1是本发明实施例一提供的网络流量安全管控方法的流程图，本实施例可适用于在Linux***中对网络流量进行安全管控的情况，该方法可以由网络流量安全管控装置来执行，具体包括如下步骤：
步骤110,从查询策略接口接收用户空间下发的管控策略。
在本实施例中，用户可在用户空间按照需求灵活自定义设定管控策略，该管控策略可以包括应用程序的进程号，或者网络五元组信息，以及对应的管控方式，例如：阻断或者抓取等。网络五元组是用于唯一标识网络数据流的五个字段。包括如下五个字段：源IP地址、目标IP地址、源端口号、目标端口号、传输层协议（如TCP、UDP）。
步骤120，根据所述管控策略生成用户空间管控链表。
在获取到管控策略后，将上述管控策略对应的信息转换为链表方式存入内存中，生成用户空间管控链表，便于内核空间获取，以及后期对管控策略进行维护。
步骤130，将所述用户空间管控链表转换为内核空间管控数据表。
为节省内核存储空间，以及为了提高匹配性能，在内核中策略只包含网络五元组信息，只根据五元组信息来匹配数据包，在接收到上层下发的策略之后，将所述用户空间管控链表进行格式转换为内核态策略内核空间及时内核空间管控数据表。
步骤140，利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃。
在本实施例中，所述第一内核功能模块、第二内核功能模块、第三内核功能模块和第四内核功能模块为eBPF程序模块，所述第三内核功能模块为快速数据路径XDP挂载的eBPF程序模块。
扩展的伯克利包过滤器（extended Berkeley Packet Filter，eBPF），在向内核添加新功能，需要修改内核源代码或者编写内核模块来实现。而 eBPF 允许程序在不修改内核源代码，或添加额外的内核模块情况下运行。
快速数据路径（eXpress Data Path，XDP）XDP是Linux网络处理流程中的一个eBPF钩子，能够挂载eBPF程序，它能够在网络数据包到达网卡驱动层时对其进行处理。
此外，还可采用第二种方式，即所述第一内核功能模块和第二内核功能也可采用基于netfilter的第一出站钩子函数，所述第三内核功能模块和第四内核功能模块为基于netfilter的第一入站钩子函数。
在本实施例中，内核态的策略使用BPF_MAP_TYPE_HASH类型的Map保存。在使用eBPF程序时，在多个eBPF程序之间共享使用。在负责对网络流量抓取和阻断的eBPF中，可以通过这个内核态策略表进行快速匹配。
针对出站的网络流量，使用TC的BPF接口，在TC层实现对网络流量的数据包抓取和阻断操作；应用程序的出站流量先经过eBPF程序1先检查网络数据包的五元组是否在内核空间管控数据表中，若在，则马上进行阻断，丢弃该数据包。
在采用第二组方式时，则需要首先通过KO内核模块的形式，将Hook函数1、Hook函数2动态加载到内核中针对出站的网络流量，使用netfilter 中的出站Hook（NF_INET_LOCAL_OUT或NF_INET_POST_ROUTING）中实现对网络流量的数据包抓取和阻断操作；应用程序的出站流量先经过Hook函数1先检查网络数据包的五元组是否在内核空间管控数据表中，若在，则马上进行阻断，丢弃该数据包。
步骤150，否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
在第一种方式中，如果不在内核空间管控数据表中，则复制一份网络数据包到一个Map中，同时放行该数据包（避免复杂操作影响网络性能）；同时，另一个eBPF程序2负责根据抓取列表检查上述存放网络数据包的Map，若与抓取列表匹配，则放到perf eventbuffer中， 供用户态程序读取抓取结果，若不在则直接跳过。
在第二种方式中，则复制一份网络数据包发给工作队列1程序，同时放行该数据包，以避免复杂操作影响网络性能。同时，在内核中的工作队列1中，接到网络数据包之后，负责根据抓取列表检查是否匹配，若与抓取列表匹配，则将该网络数据包保存到一个环形队列中，供用户态程序读取抓取结果，则不在则直接跳过。内核中使用环形队列保存抓取的数据，并通过字符设备的形式，供用户空间的程序读取。采用环形队列，可以方便实现生产者，即捕捉数据包和消费者，即读取数据的传递方式，可以高效地管理内存，并避免频繁地动态分配内存带来的开销和内存碎片问题。同时，利用字符型设备提供数据流形式进行数据传输的方式，更加方便网络流量传输。
利用上述方式，还可对入站流量进行管控，相应的，所述方法还包括：利用第三内核功能模块对入站流量数据包进行检查，确定所述入站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述入站流量数据包进行阻断并丢弃；
否则，对所述入站流量数据包进行复制，并将复制的入站流量数据包写入入站流量抓取队列中，同时对所述入站流量数据包进行放行，利用第四内核功能模块获取入站流量抓取队列中的入站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述入站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述入站流量数据包，所述第三内核功能模块和第四内核功能模块不对原有内核代码进行修改。同样，也可采用两种方式实现，第一种，第一内核功能模块、第二内核功能模块、第三内核功能模块和第四内核功能模块为eBPF程序模块，所上述第三功能模块为驱动层快速数据路径中XDP挂载的eBPF程序模块。
第二种采用钩子函数，第一内核功能模块和第二内核功能模块为基于netfilter的第一出站钩子函数，所述第三内核功能模块和第四内核功能模块为基于netfilter的第一入站钩子函数。
具体的，第一种方式，针对入站的网络流量，使用XDP的Hook中获取入站流量以及阻断操作。此时，XDP是在驱动层， 数据包并未进入网络协议栈。此时采用的流程与出站流量类似。通过eBPF程序3中先检查当前网络数据包的五元组是否在阻断策略表中，若在，则马上进行阻断操作，丢弃该数据包；若不在，则进一步在eBPF程序4中检查是否在抓取策略表中，若在，则将该数据包放到perf event buffer中，供用户态程序读取；若不在，则直接跳过。
第二种方式中，针对入站的网络流量，使用netfilter 的入站Hook（NF_INET_LOCAL_IN或NF_INET_PRE_ROUTING）中获取入站流量以及阻断操作。此时采用的流程与出站流量类似。通过hook函数2中先检查当前网络数据包的五元组是否在阻断策略表中，若在，则马上进行阻断操作，丢弃该数据包；若不在，则复制一份网络数据包发给工作队列2中检查是否在抓取策略表中，同时在"工作队列2"中，根据抓取列表检查是否匹配，若匹配成功，则将该网络数据包放到环形队列，供用户态程序读取；若不在，则直接跳过。
本实施例从查询策略接口接收用户空间下发的管控策略；根据所述管控策略生成用户空间管控链表；将所述用户空间管控链表转换为内核空间管控数据表；利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。可以利用查询策略接口从用户空间接收用户自定义设置的管控策略，并将其转换为内核空间可用的内核空间管控数据表。并利用设定的内核功能模块按照内核空间管控数据表对流量包进行检查并进行处理，还能够针对特定的流量包进行抓取复制并存储，供用户对其进行安全审计。可以在内核空间执行用户自定义的管控策略，并防止管控策略被绕开。同时，可在内核空间执行抓取和同步复制，在不影响出站效率的前提下，灵活抓取流量包供用户进行参考，减少了从内核空间到用户空间产生的开销。
在本实施例的一个优选实施方式中，所述方法还可增加如下步骤：接收开发接口发送的管控规则；基于所述管控规则生成用户空间的管控策略。利用接口层为应用开发者提供统一的开发接口，解决现有的开发库接口不统一的问题，通过开发库可以直接基于这些接口实现对当前操作***的网络流量进行抓取和阻断功能，并且支持策略的方式进行针对性的操作，以便进一步实现相应的安全审计和阻断的业务功能。策略支持进程名称、进程PID、网络五元组信息等字段。主要提供下面几种接口：下发网络流量抓取的策略接口、下发网络流量阻断的策略接口、获取抓取的网络流量数据接口、获取网络流量阻断的相关日志接口。用户可利用开发接口灵活自定义设置各种管控规则。
实施例二
图2是本发明实施例二提供的网络流量安全管控方法的流程示意图，本实施例以上述实施例为基础进行优化，将所述用户空间管控链表转换为内核空间管控数据表,具体优化为：根据所述用户空间管控链表获取不完全的进程信息和网络五元组信息；利用多个内核功能模块，分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息；利用所述网络五元组信息生成内核空间管控数据表，并将所述内核空间管控数据表存储于内存中。
参见图2，所述网络流量安全管控方法，包括：
步骤210，从查询策略接口接收用户空间下发的管控策略，根据所述管控策略生成用户空间管控链表。
步骤220，根据所述用户空间管控链表获取不完全的进程信息和网络五元组信息，并利用多个内核功能模块，分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息。
接收到上层下发的策略之后，需要进行格式转换为内核态策略，用户定义的策略可能只包含进程信息，也可能只有五元组信息中的几项。因此，需要对其进行完善。示例性的，对于进程信息的捕获，可以使用eBPF技术，使用多个BPF程序，分别在网络端口的绑定和解绑相关函数中捕获进程信息和网络五元组信息，并将抓取到的信息更新到同一个Map数据表中。这里针对不同的网络协议，会有多个函数位置需要加入eBPF程序。对于TCP协议，在下面几个内核函数上使用eBPF程序：tcp_connect()、inet_csk_accept()、tcp_close()、tcp_fin()、__inet_bind()和_inet6_bind()；对于UDP协议，由于没有连接的建立和释放的过程，在下面函数上使用eBPF程序：udp_lib_unhash()、udp_recvmsg()和udpv6_recvmsg()。利用上述信息可以获取到进程和五元组信息，完善管控信息。
此外，还可额外设置一个eBPF程序，对该数据表进行维护，例如进行定义清理标记为释放状态的记录的旧数据。
步骤230，利用所述网络五元组信息生成内核空间管控数据表，并将所述内核空间管控数据表存储于内存中。
利用上述步骤获取到的五元组信息，生成内核空间管控数据表。
步骤240，利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃。
步骤250，否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
本实施例通过将所述用户空间管控链表转换为内核空间管控数据表,具体优化为：根据所述用户空间管控链表获取不完全的进程信息和网络五元组信息；利用多个内核功能模块，分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息；利用所述网络五元组信息生成内核空间管控数据表，并将所述内核空间管控数据表存储于内存中。可以在用户空间设定的管控策略中五元组信息缺失的情况下，利用内核功能模块快速获取准确的五元组信息，进而完善内核空间管控数据表，便于准确对网络流量进行安全管控。
在本实施例的一个优选实施方式中，所述方法还可增加如下步骤：从出站流量抓取队列中读取所述出站流量包中的进程号、时间和网络五元组信息；基于所述出站流量包中时间和网络五元组信息，匹配入站流量抓取队列中与所述出站流量包对应的入站流量包；根据所述出站流量包或中的进程号或者完善的用户空间管控链表对匹配对应的入站流量包的进程号进行修改。由于在抓取入站流量时，获取当前进程信息的代码，得到的进程信息是不准确的，有时会获取到进程号为0，而不是流量所属的应用进程的信息。而出站流量得到的进程信息代码是对的。利用上述特点，可针对错误的进程号进行修正。此外，还可根据上述方法完善的用户空间管控链表对错误的进程号进行修正。实现所有抓取流量都能正确匹配上所属的进程信息。
实施例三
图3是本发明实施例三提供的网络流量安全管控方法装置的结构示意图，参见图3，所述网络流量安全管控方法装置，包括：
获取模块，用于从查询策略接口接收用户空间下发的管控策略；
生成模块，用于根据所述管控策略生成用户空间管控链表；
转换模块，用于将所述用户空间管控链表转换为内核空间管控数据表；
检查模块，用于利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；
复制模块，否则，用于对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
本实施例提供的网络流量安全管控方法装置，从查询策略接口接收用户空间下发的管控策略；根据所述管控策略生成用户空间管控链表；将所述用户空间管控链表转换为内核空间管控数据表；利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。可以利用查询策略接口从用户空间接收用户自定义设置的管控策略，并将其转换为内核空间可用的内核空间管控数据表。并利用设定的内核功能模块按照内核空间管控数据表对流量包进行检查并进行处理，还能够针对特定的流量包进行抓取复制并存储，供用户对其进行复核。可以在内核空间执行用户自定义的管控策略，并防止管控策略被绕开。同时，可在内核空间执行抓取和同步复制，在不影响出站效率的前提下，灵活抓取流量包供用户进行参考，减少了从内核空间到用户空间产生的开销。
在上述各实施例的基础上，所述装置还包括：
入站检查模块，用于利用第三内核功能模块对入站流量数据包进行检查，确定所述入站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述入站流量数据包进行阻断并丢弃；
入站复制模块，用于对所述入站流量数据包进行复制，并将复制的入站流量数据包写入入站流量抓取队列中，同时对所述入站流量数据包进行放行，利用第四内核功能模块获取入站流量抓取队列中的入站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述入站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述入站流量数据包，所述第三内核功能模块和第四内核功能模块不对原有内核代码进行修改。
在上述各实施例的基础上，所述第一内核功能模块、第二内核功能模块、第三内核功能模块和第四内核功能模块为eBPF程序模块，所上述第三功能模块为驱动层快速数据路径中XDP挂载的eBPF程序模块。
在上述各实施例的基础上，所述第一内核功能模块和第二内核功能模块为基于netfilter的第一出站钩子函数，所述第三内核功能模块和第四内核功能模块为基于netfilter的第一入站钩子函数。
在上述各实施例的基础上，所述转换模块包括：
获取单元，用于根据所述用户空间管控链表获取不完全的进程信息和网络五元组信息；
捕获单元，用于利用多个内核功能模块，分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息；
生成单元，用于利用所述网络五元组信息生成内核空间管控数据表，并将所述内核空间管控数据表存储于内存中。
在上述各实施例的基础上，所述多个内核功能模块，包括：
多个eBPF程序,
相应的，所述捕获单元，用于：
针对TCP协议网络流量包，分别在tcp连接、tcp关闭、tcp接收被动关闭、传输层接收和绑定函数根据所述管控策略捕获进程信息和网络五元组信息；
针对UDP协议网络流量包，分别在摘除套接字四元组函数、定义传输数据和结构体函数根据所述管控策略捕获进程信息和网络五元组信息。
在上述各实施例的基础上，所述装置还包括：
信息读取模块，用于从出站流量抓取队列中读取所述出站流量包中的进程号、时间和网络五元组信息；
入站流量包抓取模块，用于基于所述出站流量包中时间和网络五元组信息，匹配入站流量抓取队列中与所述出站流量包对应的入站流量包；
修改模块，用于根据所述出站流量包或中的进程号或者完善的用户空间管控链表对匹配对应的入站流量包的进程号进行修改。
在上述各实施例的基础上，所述装置还包括：
管控规则接收模块，用于接收开发接口发送的管控规则；
管控策略生成模块，用于基于所述管控规则生成用户空间的管控策略。
本发明实施例所提供的网络流量安全管控方法装置可执行本发明任意实施例所提供的网络流量安全管控方法，具备执行方法相应的功能模块和有益效果。
实施例四
本发明实施例四还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如上述实施例提供的任一所述的网络流量安全管控方法。
本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器（RAM）、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或设备上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机（例如利用因特网服务提供商来通过因特网连接）。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。
Claims (10)
1.一种网络流量安全管控方法，其特征在于，包括：
从查询策略接口接收用户空间下发的管控策略；
根据所述管控策略生成用户空间管控链表；
将所述用户空间管控链表转换为内核空间管控数据表；
利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；
否则，对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
利用第三内核功能模块对入站流量数据包进行检查，确定所述入站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述入站流量数据包进行阻断并丢弃；
否则，对所述入站流量数据包进行复制，并将复制的入站流量数据包写入入站流量抓取队列中，同时对所述入站流量数据包进行放行，利用第四内核功能模块获取入站流量抓取队列中的入站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述入站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述入站流量数据包，所述第三内核功能模块和第四内核功能模块不对原有内核代码进行修改。
3.根据权利要求2所述的方法，其特征在于，所述第一内核功能模块、第二内核功能模块、第三内核功能模块和第四内核功能模块为eBPF程序模块，所述第三内核功能模块为快速数据路径XDP挂载的eBPF程序模块。
4.根据权利要求2所述的方法，其特征在于，所述第一内核功能模块和第二内核功能模块为基于netfilter的第一出站钩子函数，所述第三内核功能模块和第四内核功能模块为基于netfilter的第一入站钩子函数。
5.根据权利要求1所述的方法，其特征在于，所述将所述用户空间管控链表转换为内核空间管控数据表,包括：
根据所述用户空间管控链表获取不完全的进程信息和网络五元组信息；
利用多个内核功能模块，分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息；
利用所述网络五元组信息生成内核空间管控数据表，并将所述内核空间管控数据表存储于内存中。
6.根据权利要求5所述的方法，其特征在于，所述多个内核功能模块，包括：
多个eBPF程序,相应的，所述分别在网络端口的绑定和解绑相关函数中根据所述管控策略捕获进程信息和网络五元组信息，包括：
针对TCP协议网络流量包，分别在tcp连接、tcp关闭、tcp接收被动关闭、传输层接收和绑定函数根据所述管控策略捕获进程信息和网络五元组信息；
针对UDP协议网络流量包，分别在摘除套接字四元组函数、定义传输数据和结构体函数根据所述管控策略捕获进程信息和网络五元组信息。
7.根据权利要求2所述的方法，其特征在于，所述方法还包括：
从出站流量抓取队列中读取所述出站流量包中的进程号、时间和网络五元组信息；
基于所述出站流量包中时间和网络五元组信息，匹配入站流量抓取队列中与所述出站流量包对应的入站流量包；
根据所述出站流量包或中的进程号或者完善的用户空间管控链表对匹配对应的入站流量包的进程号进行修改。
8.根据权利要求1所述的方法，其特征在于，所述方法还包括：
接收开发接口发送的管控规则；
基于所述管控规则生成用户空间的管控策略。
9.一种网络流量安全管控方法装置，其特征在于，包括：
获取模块，用于从查询策略接口接收用户空间下发的管控策略；
生成模块，用于根据所述管控策略生成用户空间管控链表；
转换模块，用于将所述用户空间管控链表转换为内核空间管控数据表；
检查模块，用于利用流量控制器设置的第一内核功能模块对出站流量数据包进行检查，确定所述出站流量数据包是否符合内核空间管控数据表中管控数据要求，在符合时，对所述出站流量数据包进行阻断并丢弃；
复制模块，否则，用于对所述出站流量数据包进行复制，并将复制的出站流量数据包写入出站流量抓取队列中，同时对所述出站流量数据包进行放行，利用第二内核功能模块获取出站流量抓取队列中的出站流量数据包，并与抓取流量映射表中的流量数据包特征进匹配，在匹配成功时，将所述出站流量数据包存入数据交换环形缓冲区中，用户空间抓取接口从所述数据交换环形缓冲区中读取并存储所述出站流量数据包，所述第一内核功能模块和第二内核功能模块不对原有内核代码进行修改。
10.一种包含计算机可执行指令的存储介质，其特征在于，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1-8任一所述的网络流量安全管控方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202410057238.1A CN117579386B (zh) | 2024-01-16 | 2024-01-16 | 网络流量安全管控方法、装置及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202410057238.1A CN117579386B (zh) | 2024-01-16 | 2024-01-16 | 网络流量安全管控方法、装置及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN117579386A true CN117579386A (zh) | 2024-02-20 |
| CN117579386B CN117579386B (zh) | 2024-04-12 |
Family
ID=89886567
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202410057238.1A Active CN117579386B (zh) | 2024-01-16 | 2024-01-16 | 网络流量安全管控方法、装置及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117579386B (zh) |
Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20040010473A1 (en) * | 2002-07-11 | 2004-01-15 | Wan-Yen Hsu | Rule-based packet selection, storage, and access method and system |
| WO2009072755A2 (en) * | 2007-12-07 | 2009-06-11 | Markany Inc. | Digital information security system, kernel driver apparatus and digital information security method |
| US20090225767A1 (en) * | 2008-03-05 | 2009-09-10 | Inventec Corporation | Network packet capturing method |
| US20110170412A1 (en) * | 2010-01-11 | 2011-07-14 | Krishna Ramadas | Radio access network load and condition aware traffic shaping control |
| CN103391256A (zh) * | 2013-07-25 | 2013-11-13 | 武汉邮电科学研究院 | 一种基于Linux***的基站用户面数据处理优化方法 |
| US20140293893A1 (en) * | 2013-03-28 | 2014-10-02 | Samsung Electronics Co., Ltd. | Aggregation of fdd and tdd cells |
| US20170099228A1 (en) * | 2015-10-02 | 2017-04-06 | Headwater Partners I Llc | Mobile Device With In-Situ Network Activity Management |
| US20170185680A1 (en) * | 2014-10-17 | 2017-06-29 | Surfilter Network Technology Co., Ltd | Chinese website classification method and system based on characteristic analysis of website homepage |
| CN112148488A (zh) * | 2020-09-22 | 2020-12-29 | 杭州电魂网络科技股份有限公司 | 一种基于多重循环缓存的消息处理方法及*** |
| WO2021164262A1 (zh) * | 2020-02-18 | 2021-08-26 | 平安科技（深圳）有限公司 | 虚拟网络的流量采集方法、装置、计算机设备及存储介质 |
| US11588586B2 (en) * | 2019-10-30 | 2023-02-21 | Qualcomm Incorporated | HARQ operation for broadcast in FR2 |
| CN115834448A (zh) * | 2022-11-24 | 2023-03-21 | 上海交通大学 | 基于eBPF的主机侧轻量级容器流量监控***及方法 |
| US20230136134A1 (en) * | 2021-08-24 | 2023-05-04 | Tambora Systems Singapore Pte. Ltd. | Light mobile core for networks |
-
2024
- 2024-01-16 CN CN202410057238.1A patent/CN117579386B/zh active Active
Patent Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20040010473A1 (en) * | 2002-07-11 | 2004-01-15 | Wan-Yen Hsu | Rule-based packet selection, storage, and access method and system |
| WO2009072755A2 (en) * | 2007-12-07 | 2009-06-11 | Markany Inc. | Digital information security system, kernel driver apparatus and digital information security method |
| US20090225767A1 (en) * | 2008-03-05 | 2009-09-10 | Inventec Corporation | Network packet capturing method |
| US20110170412A1 (en) * | 2010-01-11 | 2011-07-14 | Krishna Ramadas | Radio access network load and condition aware traffic shaping control |
| US20140293893A1 (en) * | 2013-03-28 | 2014-10-02 | Samsung Electronics Co., Ltd. | Aggregation of fdd and tdd cells |
| CN103391256A (zh) * | 2013-07-25 | 2013-11-13 | 武汉邮电科学研究院 | 一种基于Linux***的基站用户面数据处理优化方法 |
| US20170185680A1 (en) * | 2014-10-17 | 2017-06-29 | Surfilter Network Technology Co., Ltd | Chinese website classification method and system based on characteristic analysis of website homepage |
| US20170099228A1 (en) * | 2015-10-02 | 2017-04-06 | Headwater Partners I Llc | Mobile Device With In-Situ Network Activity Management |
| US11588586B2 (en) * | 2019-10-30 | 2023-02-21 | Qualcomm Incorporated | HARQ operation for broadcast in FR2 |
| WO2021164262A1 (zh) * | 2020-02-18 | 2021-08-26 | 平安科技（深圳）有限公司 | 虚拟网络的流量采集方法、装置、计算机设备及存储介质 |
| CN112148488A (zh) * | 2020-09-22 | 2020-12-29 | 杭州电魂网络科技股份有限公司 | 一种基于多重循环缓存的消息处理方法及*** |
| US20230136134A1 (en) * | 2021-08-24 | 2023-05-04 | Tambora Systems Singapore Pte. Ltd. | Light mobile core for networks |
| CN115834448A (zh) * | 2022-11-24 | 2023-03-21 | 上海交通大学 | 基于eBPF的主机侧轻量级容器流量监控***及方法 |
Non-Patent Citations (1)
| Title |
|---|
| 马相林;张红旗;杜学绘;曹利峰;: "Netfilter框架下多策略边界网关的研究与设计", 计算机工程与设计, no. 17, 16 September 2010 (2010-09-16), pages 3758 - 3761 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN117579386B (zh) | 2024-04-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN111262784B (zh) | 报文转发方法、报文转发装置、存储介质及电子设备 | |
| US9876701B1 (en) | Arrangement for efficient search and retrieval of indexes used to locate captured packets | |
| CN109547580B (zh) | 一种处理数据报文的方法和装置 | |
| US9356844B2 (en) | Efficient application recognition in network traffic | |
| US20090092057A1 (en) | Network Monitoring System with Enhanced Performance | |
| US20070022474A1 (en) | Portable firewall | |
| US8307417B2 (en) | Port enablement | |
| WO2018032399A1 (en) | Server and method having high concurrency capability | |
| CN104115463A (zh) | 用于处理网络元数据的流式传输方法和*** | |
| CN112532538A (zh) | 流量的控制方法、装置、电子设备及计算机可读存储介质 | |
| US11347488B2 (en) | Compiling domain-specific language code to generate executable code targeting an appropriate type of processor of a network device | |
| US11178105B2 (en) | Secure enclave-based guest firewall | |
| Alexander | ALIEN: A generalized computing model of active networks | |
| US8045564B2 (en) | Protocol-level filtering | |
| CN109104424B (zh) | 一种opc通讯的安全防护方法及装置 | |
| CN117579386B (zh) | 网络流量安全管控方法、装置及存储介质 | |
| CN113810397A (zh) | 协议数据的处理方法及装置 | |
| US11930045B1 (en) | Secure network access from sandboxed applications | |
| CN101582880B (zh) | 一种基于被审计对象的报文过滤方法及*** | |
| CN115913778A (zh) | 一种基于边车模式的网络策略更新方法、***及存储介质 | |
| US11736400B2 (en) | Network traffic engineering with multi-virtual routing and forwarding lookup | |
| CN110311868B (zh) | 业务处理方法、装置、成员设备及机器可读存储介质 | |
| CN117896182B (zh) | Linux网络通信安全管控方法、装置及存储介质 | |
| CN113453278A (zh) | 一种基于5g upf下的tcp包分段组包方法及终端 | |
| CN112532690A (zh) | 一种报文解析方法、装置、电子设备及存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |