[發明專利]一種防護網絡安全的方法和裝置

有效

• 申請號: 201711402905.1
• 申請日: 2017-12-22
• 公開（公告）號: CN107888624B
• 公開（公告）日: 2021-12-24
• 發明（設計）人: 吳慶;許雪峰;王挺;賈新奎;郭文玉
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

1.一種網絡安全的防護方法，應用于網絡安全設備，其特征在于，所述網絡安全設備與外部設備相連接，所述外部設備至少用于對來自所述網絡安全設備的會話中斷報文進行VLAN信息的修改，并回流所述會話中斷報文，所述方法包括：

當接收到的流量匹配中目標會話表項時，從本端保存的會話表項與丟包表項之間的對應關系中查找所述目標會話表項對應的丟包表項；其中，所述丟包表項用于記錄未通過安全檢測的流量所屬的VLAN、所述網絡安全設備接收所述未通過安全檢測的流量的入接口、以及所述未通過安全檢測的流量的傳輸方向；

如果查找到與所述接收到的流量匹配的丟包表項，將所述流量丟棄；

如果沒有查找到與所述接收到的流量匹配的丟包表項，將所述流量轉發。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

當接收到流量時，將所述流量與本端保存的會話表項進行匹配。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

如果所述流量沒有匹配中任一會話表項，基于所述流量為所述流量所屬會話創建對應的會話表項；

基于預設的安全規則對所述流量進行檢測；

當所述流量未通過安全檢測時，基于所述流量為所述流量所屬會話創建對應的丟包表項；其中，所述丟包表項包括所述流量所屬的VLAN、網絡安全設備接收所述流量的入接口、所述流量的傳輸方向；

建立為所述流量所屬會話創建的會話表項，與為所述流量所屬會話創建的丟包表項之間的對應關系。

4.根據權利要求3所述的方法，其特征在于，所述方法還包括：

當所述流量通過安全檢測時，基于所述安全規則對所述流量執行相應的動作。

5.一種網絡安全的防護裝置，應用于網絡安全設備，其特征在于，所述網絡安全設備與外部設備相連接，所述外部設備至少用于對來自所述網絡安全設備的會話中斷報文進行VLAN信息的修改，并回流所述會話中斷報文，所述裝置包括：

查找單元，用于當接收到的流量匹配中目標會話表項時，從本端保存的會話表項與丟包表項之間的對應關系中查找所述目標會話表項對應的丟包表項；其中，所述丟包表項用于記錄未通過安全檢測的流量所屬的VLAN、所述網絡安全設備接收所述未通過安全檢測的流量的入接口、以及所述未通過安全檢測的流量的傳輸方向；

丟棄單元，用于如果查找到與所述接收到的流量匹配的丟包表項，將所述流量丟棄；

轉發單元，用于如果沒有查找到與所述接收到的流量匹配的丟包表項，將所述流量轉發。

6.根據權利要求5所述的裝置，其特征在于，所述裝置還包括：

匹配單元，用于當接收到流量時，將所述流量與本端保存的會話表項進行匹配。

7.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

第一創建單元，用于如果所述流量沒有匹配中任一會話表項，基于所述流量為所述流量所屬會話創建對應的會話表項；

檢測單元，用于基于預設的安全規則對所述流量進行檢測；

第二創建單元，用于當所述流量未通過安全檢測時，基于所述流量為所述流量所屬會話創建對應的丟包表項；其中，所述丟包表項包括所述流量所屬的VLAN、網絡安全設備接收所述流量的入接口、所述流量的傳輸方向；

建立單元，用于建立為所述流量所屬會話創建的會話表項，與為所述流量所屬會話創建的丟包表項之間的對應關系。

8.根據權利要求7所述的裝置，其特征在于，所述裝置還包括：

執行單元，用于當所述流量通過安全檢測時，基于所述安全規則對所述流量執行相應的動作。