[發明專利]路由器安全防御裝置及防御系統和方法

無效

• 申請號: 200710074004.4
• 申請日: 2007-04-10
• 公開（公告）號: CN101286850A
• 公開（公告）日: 2008-10-15
• 發明（設計）人: 溫曉軍;曾向陽;王磊;鄒平輝;文光斌
• 申請（專利權）人: 深圳職業技術學院
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L9/32
• 代理公司: 深圳市科吉華烽知識產權事務所
• 代理人: 胡吉科

【技術領域】

本發明屬于網絡信息安全領域，特別涉及一種對路由器具有主動防御功能的防御裝置及通過該防御裝置、路由器和遠程控制平臺組成的防御系統和一種進行防御的方法。

【背景技術】

隨著Internet的日益普及，人們對網絡的依賴越來越強，同時，對網絡的穩定性也提出了更高的要求。路由器是整個網絡的核心和心臟，如果路由器發生致命性的故障，將導致本地網絡的癱瘓，如果是骨干路由器，影響的范圍將更大。因此，對路由器進行安全防御是十分必要的。

目前，實踐中有很多針對路由器進行安全防御的方法。如：定期更新路由器操作系統，以便糾正編程錯誤、軟件瑕疵、服務漏洞和緩存溢出的問題；修改默認的口令，避免使用普通的口令，并且使用大小寫字母混合的方式作為更強大的口令規則；封鎖ICMP(互聯網控制消息協議)ping請求，因為ping請求和其它ICMP功能對于網絡管理員和黑客都是非常有用的工具，黑客能夠利用路由器上啟用的ICMP功能找出可用來攻擊網絡的信息；為了避免因為數據被竊聽而造成的信息泄漏，對流經路由器的數據進行加密處理，只有與之通信的對端才能對此加密文進行解密，以此保證數據的私有性、完整性以及數據內容的真實性；及時審閱路由器記錄，及時發現明顯的攻擊方式和安全漏洞，采取相應的補救措施；禁用來自互聯網的telnet命令、禁用IP定向廣播、禁用IP路由和其它不必要的服務。

然而，上述的這些方法都屬于對路由器安全的被動防御，對于路由器在使用過程中的安全隱患做不到及時發現、及時反饋和及時處理。通過上述的防御方法不但降低了路由器應有的工作效率，而且對路由器的管理配置也相當復雜和繁瑣，往往由于管理員在對路由器進行配置過程中的錯誤而導致路由器不能正常工作，甚至整個網絡的癱瘓，給使用者帶來很大的不便。

【發明內容】

為了解決現有技術中存在的對路由器的保護采用被動防御的問題，本發明提供了一種對路由器具有主動防御功能的防御裝置。

為了配合所述具有主動防御功能的防御裝置對路由器進行安全防御，本發明提供了一種對路由器進行主動安全防御的系統。

為了解決現有技術中存在的對路由器的保護采用被動防御的問題，本發明還提供了對路由器進行主動安全防御的方法。

本發明解決現有技術問題所采用的第一個技術方案是：提供一種對路由器進行主動安全防御的裝置，所述防御裝置包括：用于響應管理請求的系統管理模塊；用于對流經路由器的數據信息進行檢測的入侵檢測模塊；用于根據所述入侵檢測模塊的檢測結果對所述數據信息進行放行或阻隔處理的路由器控制模塊；用于與遠程控制平臺通訊的遠程控制響應模塊；所述系統管理模塊為所述防御裝置的主控單元，所述入侵檢測模塊、路由器控制模塊和所述遠程控制響應模塊分別與所述系統管理模塊雙向連接，所述路由器控制模塊為所述防御裝置和所述路由器的連接提供接口服務。

根據本發明的一優選實施例：所述防御裝置還包括：用于存儲和轉發日志的審計日志模塊；用于用戶信息管理和識別的用戶管理模塊；所述審計日志模塊與所述系統管理模塊雙向連接，可以實現通過所述系統管理模塊與所述遠程控制響應模塊的通訊，所述用戶管理模塊與所述系統管理模塊也為雙向連接。

根據本發明的一優選實施例：所述防御裝置的系統是采用層層封裝的結構。

根據本發明的一優選實施例：所述封裝結構包括：系統認證管理子層、系統控制子層、數據分析子層和系統擴展子層。

本發明解決現有技術問題所采用的第二個技術方案是：提供一種對路由器進行主動安全防御的系統，該系統包括用于實現數據傳輸的路由器，還包括：用于檢測流經所述路由器的數據并根據檢測結果對所述路由器進行安全防御的所述防御裝置；用于與所述防御裝置實現信息傳遞的所述遠程控制平臺；所述路由器與所述防御裝置相連接。

根據本發明的一優選實施例：所述路由器與所述防御裝置連接通過所述防御裝置上的路由器控制模塊提供接口。

根據本發明的一優選實施例：所述防御裝置與所述遠程控制平臺通過所述防御裝置上的遠程控制響應模塊相聯系，并通過RSTP協議實現所述信息的傳遞。

本發明解決現有技術問題所采用的第三個技術方案是：提供一種對路由器進行主動安全防御的方法，所述方法包括步驟：第一、對所述防御裝置進行初始化配置；第二、所述防御裝置開始工作，對流經路由器的數據進行捕獲，并將捕獲到的數據轉化成以太數據包類型，對以太數據包頭部進行分析，經過處理行為、協議、源信息、目的信息和規則主體部分判斷所包含的數據包類型，進行解析處理；第三、向所述遠程控制平臺發送報警信息。