[發明專利]一種應用數據包過濾處理防火墻技術

在審

• 申請號: 201710440899.2
• 申請日: 2017-06-13
• 公開（公告）號: CN107147669A
• 公開（公告）日: 2017-09-08
• 發明（設計）人: 李志遠
• 申請（專利權）人: 周陽普
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及一種網絡安全技術，特別是涉及一種數據通信防火墻技術。

背景技術

防火墻技術是一個由軟件和硬件設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上通過對網絡源地址和目的地址間的網絡通信內容按照一定的控制策略進行過濾處理構造的保護屏障，現有防火墻技術，包括包過濾防火墻技術的原理是通過對通信報文數據包的IP頭和TCP頭或UDP頭的檢查來實現包過濾功能的，主要的過濾參數包括：IP源地址、IP目標地址、協議（TCP包、UDP包和ICMP包）、TCP或UDP包的源端口、TCP或UDP包的目標端口、ICMP消息類型、TCP包頭中的ACK位、數據包到達的端口、數據包出去的端口。

現有防火墻技術下，防火墻需要對所有數據報文進行基于源地址和目的地址的通信報文過濾或者通信數據代理處理，防火墻作為網絡邊界入口過濾設備，所有網絡通信數據全部都要經過防火墻進行過濾處理，再加上防火墻還要對數據流進行包過濾處理，由于以上原因，防火墻已經成為數據通信的一個瓶頸，網絡的通信質量受限制于防火墻的同時連接數和數據吞吐量這些硬件技術性能，網絡的通信質量往往會會受到非常明顯的影響，不但如此就安全防護效果來說，現有基于報文源地址和目的地址的過濾模式的防火墻技術并不具備對數據內容防護作用，也就是不具備攔截攜帶有惡意代碼的數據的功能，如此一來并不能完全達到數據通信安全防護的效果，如果有攻擊者通過被允許的源地址發送隱藏有惡意攻擊代碼的不安全的數據報文，防火墻將漏過對該數據報文的過濾，當然防火墻還有基于通信服務端口過濾策略和代理策略，但通過服務端口偽裝技術或者利用惡意代碼數據嵌入技術仍然可以將危險數據傳輸到目的端的設備上，并通過一系列技術手段完成網絡攻擊程序的生成和激活實現網絡攻擊行為。

基于現有防火墻技術的原理，防火墻在遇到源地址和目的地址發生變化的情況需要更新防火墻的安全策略才能繼續達到有效的數據過濾的效果，如果需要接入的請求的數據源的地址是不確定、隨機變更的，例如：當前在移動交互通信需求日益加劇，數據交互雙方的通信的源地址和目的地址將會頻繁變更，應用服務端口也會經常發生變化，在這種情況下，現有防火墻技術進行基于地址源過濾的防護策略來完成接入數據過濾的防護效果將大打折扣，即便是目的地址確定但僅對接入數據通信目的地址進行選擇過濾的防護又會存在極大的安全防護風險，網絡代理模式的防火墻雖然防護效果有所加強，但屏蔽內網又給一些特定的終端間直接交互應用帶來了諸多不便，因代理防火墻的技術原理決定了，在數據交互對象基礎網絡參數例如：通信雙方網絡地址等頻繁變更、數據傳輸和即時數據處理質量要求較高的情況之下網絡通信質量的保障同樣面臨很大的技術困難。

現有網絡通信技術下，網絡安全防護作用的防火墻還有一個重大的缺陷就是它只是作為網絡間數據安全的防護手段，如果是網絡內部存在不安全數據源，防火墻就無法對這些數據源進行過濾隔離，也自然無法實現有效的數據安全防護功能。

安裝于應用終端上的軟件防火墻，雖然能實現對包括內部網絡的通信數據的過濾防火，但是軟件防火墻會占用終端設備的大量應用資源，加上防火墻軟件和殺毒軟件的技術原理造成了在遇到軟件自身無法識別的新型程序缺陷漏洞時，就失去了有效完成數據攔截防護的能力，甚至軟件本身的缺陷和漏洞反而更容易被利用進行網絡攻擊，所以軟件防火墻即便是不停的進行漏洞升級一樣會存在安全風險，只不過是否被發現和利用而已。

基于以上現實的技術原因，在現在的數據安全防護技術下，在安全需求、便利性需求以及通信建設成本之間出現了一種不可調和的矛盾，許多安全性要求相對較高的數據傳輸需求，雖然有便利的開放性公共數據網絡的存在，但因為數據安全環境無法滿足安全需求的原因，卻無法借助現成的公共數據網絡進行數據通訊，只能選擇建設昂貴的私有封閉通信網絡來滿足通信需要，造成極大的資源浪費，和通信的不便，不但如此專用私有網絡雖然從物理層上和公用數據通信網絡進行了隔離，但這種具有封閉實體的專用網絡在特定情況下反而更容易被針對性的進行破壞性攻擊，造成實際使用中的隱藏安全風險系數更高。

現有防火墻技術下，一些對安全性能要求特別高的應用，尤其是涉及到生產安全、生命安全或涉及到一些敏感性數據安全領域的數據通信，現有的這些網絡安全防護技術并不能從根本上提供數據安全的技術保障功能，此外現有技術下的防火墻在應對越來越靈活多變的通信環境時顯得越來越力不從心，一些特殊的應用仍然無法基于開放高效的通信網絡進行便捷有效的數據交互通信。

發明內容