[發明專利]終端惡意流量規則更新方法、云端服務器和安全網關

有效

• 申請號: 201510564682.3
• 申請日: 2015-09-07
• 公開（公告）號: CN105262722B
• 公開（公告）日: 2018-09-21
• 發明（設計）人: 侯青青
• 申請（專利權）人: 深信服網絡科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/66
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 胡海國

1.一種終端惡意流量規則更新方法，其特征在于，所述終端惡意流量規則更新方法包括以下步驟：

接收安全網關設備發送的用戶流量以及所述用戶流量匹配的第一惡意流量規則的規則標識；

在接收到的規則標識為第一類規則標識，且接收到的用戶流量中存在惡意文件時，云端服務器對所述惡意文件模擬運行，確定所述惡意文件匹配的第二惡意流量規則；

所述云端服務器將匹配的所述第二惡意流量規則以及規則標識下發給安全網關設備，以供所述安全網關設備將所述云端服務器下發的所述第二惡意流量規則以及規則標識添加至所述惡意流量規則數據庫中。

2.根據權利要求1所述的方法，其特征在于，所述接收安全網關設備發送的用戶流量以及所述用戶流量匹配的第一惡意流量規則的規則標識的步驟之后，該方法還包括：

在接收到的規則標識為第一類規則標識，且接收到的用戶流量中不存在惡意文件時，或者在接收到的規則標識為第二類規則標識時，所述云端服務器確定接收到的用戶流量是否與預設的白名單規則匹配；

在接收到的用戶流量與預設的白名單規則匹配時，所述云端服務器向所述安全網關設備下發惡意流量規則刪除指令，以供所述安全網關設備基于所述惡意流量規則刪除指令確定對應的規則標識，并刪除預存的惡意流量規則數據庫中該規則標識所對應的所述第一惡意流量規則。

3.根據權利要求2所述的方法，其特征在于，所述在接收到的規則標識為第一類規則標識，且接收到的用戶流量中不存在惡意文件時，或者在接收到的規則標識為第二類規則標識時，所述云端服務器確定接收到的用戶流量是否與預設的白名單規則匹配的步驟之后，所述終端惡意流量規則更新方法還包括：

在接收到的用戶流量與預設的白名單規則不匹配時，所述云端服務器由接收到的用戶流量中提取流量特征；

所述云端服務器將提取的流量特征添加至預設的特征庫中。

4.一種終端惡意流量規則更新方法，其特征在于，所述終端惡意流量規則更新方法包括步驟：

當接收到的用戶流量與預設的惡意流量規則數據庫中的第一惡意流量規則匹配時，安全網關設備將用戶流量以及匹配到的所述第一惡意流量規則的規則標識發送至云端服務器，以供所述云端服務器基于接收到的用戶流量以及規則標識向所述安全網關反饋第二惡意流量規則以及規則標識下發給安全網關設備；

所述安全網關將所述云端服務器下發的所述第二惡意流量規則以及規則標識添加至惡意流量規則數據庫中。

5.如權利要求4所述的方法，其特征在于，所述當接收到的用戶流量與預設的惡意流量規則數據庫中的第一惡意流量規則匹配時，安全網關設備將用戶流量以及匹配到的所述第一惡意流量規則的規則標識發送至云端服務器的步驟包括：

當接收到的用戶流量與預設的惡意流量規則數據庫中的所述第一惡意流量規則匹配時，所述安全網關確定數據包匹配的所述第一惡意流量規則的級別；

在該數據包匹配的所述第一惡意流量規則的級別為危險級別時，所述安全網關設備丟棄該接收到的用戶流量及/或向用戶端發送告警信息，并生成攻擊日志；

所述安全網關設備將所述用戶流量以及匹配到的所述第一惡意流量規則的規則標識發送至云端服務器。

6.根據權利要求5所述的方法，其特征在于，當接收到的用戶流量與預設的惡意流量規則數據庫中的所述第一惡意流量規則匹配時，所述安全網關確定該數據包匹配的所述第一惡意流量規則的級別的步驟之后，所述當接收到的用戶流量與預設的惡意流量規則數據庫中的第一惡意流量規則匹配時，安全網關設備將用戶流量以及匹配到的所述第一惡意流量規則的規則標識發送至云端服務器的步驟包括：

在該數據包匹配的所述第一惡意流量規則的類型為普通級別，且所述用戶流量匹配的所述第一惡意流量規則數量大于等于預設閥值時，所述安全網關設備丟棄該所述用戶流量及/或向用戶端發送告警信息，并生成攻擊日志；

所述安全網關設備將所述用戶流量以及匹配到的所述第一惡意流量規則對應的規則標識發送至云端服務器。