[發明專利]一種基于IPS設備的攻擊檢測方法及IPS設備

有效

• 申請號: 201010176876.3
• 申請日: 2010-05-20
• 公開（公告）號: CN101834760A
• 公開（公告）日: 2010-09-15
• 發明（設計）人: 雷公武
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06;H04L12/56
• 代理公司: 北京鑫媛睿博知識產權代理有限公司 11297
• 代理人: 龔家驊

1.一種檢測規則配置方法，應用于入侵保護系統IPS設備，所述IPS設備中配置有保護對象標識與檢測規則標識的對應關系，其特征在于，包括：

獲取需要檢測的保護對象的標識；

根據IPS設備中配置的所述對應關系，獲取與所述需要檢測的保護對象的標識對應的檢測規則標識；

根據獲取到的檢測規則標識，配置對應的檢測規則。

2.如權利要求1所述的方法，其特征在于，所述獲取需要檢測的保護對象標識，包括以下之一或任意組合：

接收用戶提交的保護對象描述信息，根據該保護對象描述信息獲取對應的保護對象標識；

通過對經過IPS設備的網絡報文進行識別，確定出保護對象信息，并根據確定出的保護對象信息獲取對應的保護對象標識；

通過對IPS設備所保護的網段進行掃描，獲取保護對象信息，并根據獲取到的保護對象信息獲取對應的保護對象標識；

接收設備客戶端上報的信息，根據該信息確定該設備客戶端所具有的保護對象，并根據該保護對象獲取對應的保護對象標識。

3.如權利要求1或2所述的方法，其特征在于，保護對象標識包括第一級標識以及該第一級標識下的各級子標識；

當獲取到的所述需要檢測的保護對象的標識為其下包括有子標識的保護對象標識時，所獲取到的對應的檢測規則標識包括：該獲取到的保護對象標識其下的子標識所對應的檢測規則標識。

4.一種IPS設備，包括：用于根據配置的檢測規則進行攻擊檢測的攻擊檢測引擎，以及用于存儲檢測規則的攻擊特征庫，其特征在于，還包括：

對應關系存儲單元，用于存儲保護對象標識與檢測規則標識的對應關系信息；

檢測規則配置單元，分別與所述對應關系存儲單元、所述攻擊特征庫和所述攻擊檢測引擎連接，用于根據所述對應關系存儲單元存儲的對應關系信息，獲取與需要檢測的保護對象標識對應的檢測規則標識；根據所述攻擊特征庫獲取與該檢測規則標識對應的檢測規則，并將獲取到的檢測規則配置到所述攻擊檢測引擎。

5.如權利要求4所述的IPS設備，其特征在于，還包括：

用戶接口單元，與所述檢測規則配置單元連接，用于接收用戶提交的保護對象描述信息，根據預先配置的保護對象描述信息與保護對象標識的對應關系，獲取與用戶提交的保護對象描述信息對應的保護對象標識，并將該保護對象標識發送給所述檢測配置單元。

6.如權利要求4所述的IPS設備，其特征在于，還包括：

保護對象識別單元，與所述檢測規則配置單元連接，用于通過對經過IPS設備的網絡報文進行識別，確定出該報文對應的保護對象，以及確定出該保護對象的標識，并將確定出的保護對象標識發送給所述檢測規則配置單元。

7.如權利要求6所述的IPS設備，其特征在于，所述保護對象識別單元具體用于，根據網絡報文的協議類型，確定該協議類型對應的保護對象；或者，根據網絡報文中的特定字段，確定該字段所對應的保護對象。

8.如權利要求4所述的IPS設備，其特征在于，還包括：

網絡掃描單元，與所述檢測規則配置單元連接，用于對該IPS設備所保護的網段進行掃描，獲取保護對象信息，根據該保護對象信息獲取對應的保護對象標識，并將獲取到的保護對象標識發送給所述檢測規則配置單元。

9.如權利要求8所述的IPS設備，其特征在于，所述網絡掃描單元具體用于，根據掃描到的主機設備開啟的端口，確定該端口對應的保護對象；或者，根據掃描到的設備版本信息，確定針對該設備的版本對應的保護對象。

10.如權利要求9所述的IPS設備，其特征在于，所述網絡掃描單元具體用于，根據設定周期對其所保護的網段進行掃描。

11.如權利要求4所述的IPS設備，其特征在于，還包括：

信息收集單元，與所述檢測規則配置單元連接，用于接收各設備客戶端上報的信息，根據接收到的信息確定各設備所具有的保護對象，并獲取對應的保護對象標識，將獲取到的保護對象標識發送給檢測規則配置單元。

12.如權利要求4-11任一項所述的IPS設備，其特征在于，所述對應關系存儲單元存儲的保護對象標識包括第一級標識以及該第一級標識下的各級子標識；

所述檢測規則配置單元具體用于，當獲取到的所述需要檢測的保護對象的標識為其下包括有子標識的保護對象標識時，所獲取到的對應的檢測規則標識包括：該獲取到的保護對象標識其下的子標識所對應的檢測規則標識。