[發(fā)明專利]入侵防御方法及裝置

在審

• 申請?zhí)枺?/td>: 201710210829.8
• 申請日: 2017-03-31
• 公開（公告）號: CN106790313A
• 公開（公告）日: 2017-05-31
• 發(fā)明（設計）人: 左虹
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博思佳知識產(chǎn)權代理有限公司11415
• 代理人: 陳蕾

1.一種入侵防御方法，其特征在于，所述方法包括：

接收報文，從所述報文中獲取特征；

如果黑名單中存在所述報文中的特征，則攔截所述報文；

如果白名單中存在所述報文中的特征，則轉(zhuǎn)發(fā)所述報文；

如果所述黑名單和白名單中均不存在所述報文的特征，利用IPS特征庫判斷所述報文是否為攻擊報文，并根據(jù)判斷結(jié)果進行相應的防御操作；

所述黑名單中記錄有需攔截的報文的特征，所述白名單中記錄有允許轉(zhuǎn)發(fā)的報文的特征、且所述白名單包括的特征在所述IPS特征庫中。

2.根據(jù)權利要求1所述的方法，其特征在于，所述方法還包括：

如果所述黑名單/白名單/特征庫中存在所述報文中的特征時，將生成的告警日志劃分到對應的黑名單分類/白名單分類/灰名單分類中；

基于預生成的查詢控件，查詢黑名單分類/白名單分類/灰名單分類對應的告警日志。

3.根據(jù)權利要求1所述的方法，其特征在于，所述方法還包括：

關于因IPS特征庫中存在所述報文的特征而生成的告警日志，如果所述告警日志的生成頻率大于指定頻率時，以預設的通知方式將提醒信息發(fā)送至關聯(lián)用戶，以提示所述關聯(lián)用戶將該報文的特征添加至黑名單或白名單中。

4.根據(jù)權利要求1所述的方法，其特征在于，所述黑名單/所述白名單中的特征包括：報文的發(fā)送時間范圍、報文的原地址范圍及端口號、報文的目的地址范圍及端口號、報文協(xié)議、報文內(nèi)容中的敏感字符中的一項或多項。

5.根據(jù)權利要求1至4任一項所述的方法，其特征在于，所述方法還包括：

基于預設的名單配置界面，配置所述黑名單或所述白名單。

6.一種入侵防御裝置，其特征在于，所述裝置包括：

特征獲取模塊，用于從接收的報文中獲取特征；

第一防御模塊，用于如果黑名單中存在所述報文中的特征，則攔截所述報文；

第二防御模塊，用于如果白名單中存在所述報文中的特征，則轉(zhuǎn)發(fā)所述報文；

第三防御模塊，用于如果所述黑名單和白名單中均不存在所述報文的特征，利用IPS特征庫判斷所述報文是否為攻擊報文，并根據(jù)判斷結(jié)果進行相應的防御操作；

所述黑名單中記錄有需攔截的報文的特征，所述白名單中記錄有允許轉(zhuǎn)發(fā)的報文的特征、且所述白名單包括的特征在所述IPS特征庫中。

7.根據(jù)權利要求6所述的裝置，其特征在于，所述裝置還包括：

日志分類模塊，用于如果所述黑名單/白名單/特征庫中存在所述報文中的特征時，將生成的告警日志劃分到對應的黑名單分類/白名單分類/灰名單分類中；

日志查詢模塊，用于基于預生成的查詢控件，查詢黑名單分類/白名單分類/灰名單分類對應的告警日志。

8.根據(jù)權利要求6所述的裝置，其特征在于，所述裝置還包括：

信息通知模塊，用于關于因IPS特征庫中存在所述報文的特征而生成的告警日志，如果所述告警日志的生成頻率大于指定頻率時，以預設的通知方式將提醒信息發(fā)送至關聯(lián)用戶，以提示所述關聯(lián)用戶將該報文的特征添加至黑名單或白名單中。

9.根據(jù)權利要求6所述的裝置，其特征在于，所述黑名單/所述白名單中的特征包括：報文的發(fā)送時間范圍、報文的原地址范圍及端口號、報文的目的地址范圍及端口號、報文協(xié)議、報文內(nèi)容中的敏感字符中的一項或多項。

10.根據(jù)權利要求6至9任一項所述的裝置，其特征在于，所述裝置還包括：

名單配置模塊，用于基于預設的名單配置界面，配置所述黑名單或所述白名單。