[發明專利]網絡疑似威脅信息篩選器及篩選處理方法

無效

• 申請號: 200910059551.4
• 申請日: 2009-06-10
• 公開（公告）號: CN101599963A
• 公開（公告）日: 2009-12-09
• 發明（設計）人: 鄭宇;趙文豪;周亮;郭志勇;李廣軍;潘經緯;楊一波;錢宇平
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/36
• 代理公司: 電子科技大學專利中心
• 代理人: 詹福五

1.一種網絡疑似威脅信息篩選器，包括帶軟硬件接口的現場可編程門陣列器件，其特征在于在現場可編程門陣列器件內設有接收網絡交換設備輸出信息的數據聚合模塊，包頭及凈荷分離模塊，網絡層疑似威脅數據包篩選模塊，傳輸層疑似威脅數據包篩選模塊，輸出處理模塊，含IP重組單元、TCP會話重組單元、應用層協議規范化單元的預處理模塊，以及含規則頭匹配單元、內容匹配單元、疑似威脅數據包輸出單元的應用層疑似威脅數據包篩選模塊；上述各模塊中：數據聚合模塊與包頭及凈荷分離模塊，輸出處理模塊與預處理模塊、預處理模塊與應用層疑似威脅數據包篩選模塊之間通過對應的輸出、輸入端依次連接，網絡層疑似威脅數據包篩選模塊與傳輸層疑似威脅數據包篩選模塊則并聯于包頭及凈荷分離模塊與輸出處理模塊之間；輸出處理模塊、預處理模塊通過TCP會話重組單元、應用層疑似威脅數據包篩選模塊通過疑似威脅數據包輸出單元分別與軟硬件接口連接。

2.按權利要求1所述網絡疑似威脅信息篩選器，其特征在于所述網絡層疑似威脅數據包篩選模塊包括IP疑似威脅信息篩選單元、ICMP疑似威脅信息篩選單元、輸出單元。

3.按權利要求1所述網絡疑似威脅信息篩選器，其特征在于所述傳輸層疑似威脅數據包篩選模塊包括TCP疑似威脅信息篩選單元及輸出單元。

4.按權利要求1所述網絡疑似威脅信息篩選器所采用的篩選處理方法,包括：

步驟1.?聚合處理：將網絡中各交換設備輸入數據聚合模塊(1)的數據進行聚合處理；

步驟2.分離處理：將經步驟1聚合處理后輸入包頭及凈荷分離模塊(2)的數據進行IP包頭、IP凈荷及傳輸協議包頭分離處理，并將IP包頭和IP凈荷與傳輸協議包頭分別輸入網絡層疑似威脅數據包篩選模塊(3)及傳輸層疑似威脅數據包篩選模塊(4)、以便在網絡層與傳輸層并行完成非規則攻擊篩選；

步驟3.網絡層疑似威脅數據包篩選：將經步驟2分離處理后進入網絡層疑似威脅數據包篩選模塊(3)的IP包頭及IP凈荷，按照網絡層協議的規定對含疑似威脅信息的數據包進行篩選，并將篩選結果連同IP包頭、IP凈荷輸入到輸出處理模塊(5)；

步驟4.傳輸層疑似威脅數據包篩選：而經步驟2分離處理后進入傳輸層疑似威脅數據包篩選模塊(4)的傳輸協議包頭，則按傳輸層協議的規定對含非規則攻擊的疑似威脅信息的包頭進行篩選，并將篩選結果連同傳輸層協議包頭亦輸入到輸出處理模塊(5)；

步驟5.輸出處理：經步驟3、步驟4篩選后輸入的篩選結果及其包頭、凈荷，若其中只要有一結果的結論為含疑似威脅信息，則將該數據包作為含非規則疑似威脅信息的數?據包，經軟硬件接口(8)送入侵檢測系統(A)；若所有結論均為正常，則將該數據包作為正常數據包輸入預處理模塊(6)；

步驟6.數據包預處理：將由步驟5輸入的正常數據包通過IP重組單元(6.1)重組IP分片數據、通過TCP會話重組單元(6.2)經軟硬件接口(8)從入侵檢測系統索取TCP連接信息表后進行TCP會話重組，再經應用層數據規范化單元(6.3)對數據進行規范化處理，然后將處理后的IP包頭和傳輸協議包頭與應用層數據分別輸入應用層疑似威脅數據包篩選模塊中的規則頭匹配單元以及內容匹配單元；

步驟7.應用層疑似威脅數據包篩選：將由步驟6輸入的IP包頭和傳輸協議包頭經規則頭匹配單元(7.1)進行規則頭匹配處理，而輸入的應用層數據經內容匹配單元(7.2)對常字符串及正則表達式進行匹配處理；然后將匹配處理后含疑似威脅信息的數據包由疑似威脅數據包輸出單元(7.3)經軟硬件接口(8)送入侵檢測系統；否則，作丟棄處理。

5.按權利要求4所述篩選處理方法，其特征在于步驟3中所述按照網絡層協議的規定對含疑似威脅信息的數據包進行篩選，其網絡層協議包括ICMP及IP協議。

6.按權利要求4所述篩選處理方法，其特征在于步驟4中所述按傳輸層協議的規定對含非規則攻擊的疑似威脅信息的包頭進行篩選，其傳輸層協議包括TCP。

7.按權利要求4所述篩選處理方法，其特征在于步驟6中所述對應用層數據進行規范化處理，包括完成HTTP協議的URL規范化表達及統一編碼方式、刪除Telnet協議中的協商數據。?