[發明專利]IPS檢測處理方法、網絡安全設備和系統

有效

• 申請號: 201110443289.0
• 申請日: 2011-12-27
• 公開（公告）號: CN102457415A
• 公開（公告）日: 2012-05-16
• 發明（設計）人: 薛智慧;蔣武;李世光;萬時光
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 劉芳

1.一種入侵防御系統IPS檢測處理方法，其特征在于，包括：

網絡安全設備確定內網設備是客戶端還是服務器，所述網絡安全設備部署于內網設備和外網設備之間，用于保護內網設備的安全；

若為客戶端，則所述網絡安全設備將所述IPS簽名規則庫簡化為與所述客戶端對應的IPS簽名規則庫，或者若為服務器，則將所述IPS簽名規則庫簡化為與所述服務器對應的IPS簽名規則庫；

所述網絡安全設備根據簡化處理后的IPS簽名規則庫中的簽名規則生成狀態機，并應用所述狀態機，對流經的流量進行IPS檢測。

2.根據權利要求1所述的方法，其特征在于，所述確定內網設備是客戶端還是服務器，包括：

所述網絡安全設備對流經的流量信息進行統計處理，獲取流量特征信息；

根據所述流量特征信息，確定所述內網設備是客戶端還是服務器。

3.根據權利要求2所述的方法，其特征在于，所述對流經的流量信息進行統計處理之前，還包括：

根據所述網絡安全設備的安全區域配置信息，確定內網接口和外網接口；

所述對流經的流量信息進行統計處理，包括：

對從所述內網接口流入并從所述外網接口流出的流量進行統計處理，并對從所述外網接口流入并從所述內網接口流出的流量進行統計處理。

4.根據權利要求2或3所述的方法，其特征在于，所述流量特征信息，包括：從內網流向外網的流量P1以及從外網流向內網的流量P2；

所述根據所述流量特征信息，確定所述內網設備是客戶端還是服務器，包括：

若所述流量P1大于所述流量P2，則確定所述內網設備為客戶端，若所述流量P1小于等于所述流量P2，則確定所述內網設備為服務器。

5.根據權利要求2或3所述的方法，其特征在于，所述獲取流量特征信息，包括：

獲取從內網流向外網的流量P1以及從外網流向內網的流量P2，并根據協議特征庫中存儲的協議特征信息或者流量端口號確定所述流量P1的協議類型和所述流量P2的協議類型；

所述根據所述流量特征信息，確定所述內網設備是客戶端還是服務器，包括：

若所述流量P1大于所述流量P2且所述流量P2的協議類型為與服務器對應的協議類型，則確定所述內網設備為客戶端，若所述流量P1小于等于所述流量P2且所述流量P1的協議類型為與服務器對應的協議類型，則確定所述內網設備為服務器。

6.根據權利要求1～3中任一項所述的方法，其特征在于，所述將所述IPS簽名規則庫簡化為與所述客戶端對應的IPS簽名規則庫，包括：

將所述IPS簽名規則庫中與所述服務器對應的簽名規則設為去激活狀態；

所述將所述IPS簽名規則庫簡化為與所述服務器對應的IPS簽名規則庫，包括：

將所述IPS簽名規則庫中與所述客戶端對應的簽名規則設為去激活狀態。

7.一種網絡安全設備，部署于內網設備和外網設備之間，用于保護內網設備的安全，其特征在于，所述網絡安全設備包括：

確定模塊，用于確定內網設備是客戶端還是服務器；

規則庫處理模塊，用于若所述確定模塊確定為客戶端，則將所述IPS簽名規則庫簡化為與所述客戶端對應的IPS簽名規則庫，或者若所述確定模塊確定為服務器，則將所述IPS簽名規則庫簡化為與所述服務器對應的IPS簽名規則庫；

流量檢測模塊，用于根據簡化處理后的IPS簽名規則庫中的簽名規則生成狀態機，并應用所述狀態機，對流經的流量進行IPS檢測。

8.根據權利要求7所述的設備，其特征在于，所述確定模塊，包括：

流量統計單元，用于對流經的流量信息進行統計處理，獲取流量特征信息；

確定單元，用于根據所述流量統計單元獲得的流量特征信息，確定所述內網設備是客戶端還是服務器。

9.根據權利要求8所述的設備，其特征在于，還包括：

接口確定模塊，用于根據安全區域配置信息，確定內網接口和外網接口；

所述流量統計單元，具體用于對從所述內網接口流入并從所述外網接口流出的流量進行統計處理，并對從所述外網接口流入并從所述內網接口流出的流量進行統計處理。