[發明專利]Netfilter架構下引入TCP協議棧的方法及系統、中間設備、介質

有效

• 申請號: 201810060382.5
• 申請日: 2018-01-22
• 公開（公告）號: CN108243196B
• 公開（公告）日: 2020-09-25
• 發明（設計）人: 張少華;趙東賓;郭一波;李志捷;何艷華;張元立
• 申請（專利權）人: 北京啟明星辰信息安全技術有限公司;啟明星辰信息技術集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L1/16
• 代理公司: 北京科石知識產權代理有限公司 11595
• 代理人: 唐玉剛

1.一種Netfilter架構下引入TCP協議棧的方法，其特征在于，該方法包括：

利用第一連接追蹤記錄中間設備與發送端之間的連接狀態；

利用與所述第一連接追蹤相關聯的第一TCP協議控制塊描述并記錄所述中間設備與所述發送端之間數據交互的TCP協議連接屬性；

利用與所述第一連接追蹤相關聯的第二連接追蹤記錄所述中間設備與接收端之間的連接狀態；以及

利用與所述第二連接追蹤相關聯的第二TCP協議控制塊描述并記錄所述中間設備與所述接收端之間數據交互的TCP協議連接屬性。

2.如權利要求1所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，利用第一連接追蹤記錄中間設備與發送端之間的連接狀態的步驟之前，該方法還包括：

利用來自所述發送端的握手數據報文創建所述第一連接追蹤。

3.如權利要求2所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，利用與所述第一連接追蹤相關聯的第一TCP協議控制塊描述并記錄所述中間設備與所述發送端之間數據交互的TCP協議連接屬性的步驟之前，該方法還包括：

根據到達協議棧鉤子函數的所述握手數據報文創建所述第一TCP協議控制塊。

4.如權利要求3所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，利用與所述第一連接追蹤相關聯的第二連接追蹤記錄所述中間設備與接收端之間的連接狀態的步驟之前，該方法還包括：

利用所述中間設備的規則和所述握手數據報文創建所述第二連接追蹤。

5.如權利要求4所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，所述發送端的數據報文的五元組信息與所述第一連接追蹤相匹配；所述接收端的數據報文的五元組信息與所述第二連接追蹤相匹配。

6.如權利要求2所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，利用來自所述發送端的握手數據報文創建所述第一連接追蹤的步驟之前，該方法還包括：

在Netfilter架構中注冊協議棧處理函數。

7.如權利要求1所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，所述中間設備為WEB應用防火墻、入侵檢測系統、入侵防御系統、安全網關中的至少一種。

8.如權利要求1所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，所述發送端為客戶端；所述接收端為服務器。

9.如權利要求1所述的Netfilter架構下引入TCP協議棧的方法，其特征在于，所述中間設備通過所述第一TCP協議控制塊向所述發送端發送數據報文，并通過所述第一TCP協議控制塊從所述發送端接收數據報文；所述中間設備通過所述第二TCP協議控制塊向所述接收端發送數據報文，并通過所述第二TCP協議控制塊從所述接收端接收數據報文。

10.一種包含計算機執行指令的計算機存儲介質，所述計算機執行指令經由數據處理設備處理時，該數據處理設備執行如權利要求1～9任一所述的Netfilter架構下引入TCP協議棧的方法。

11.一種Netfilter架構下引入TCP協議棧的中間設備，其特征在于，該中間設備包括：

第一連接追蹤，用于記錄中間設備與發送端之間的連接狀態；

第一TCP協議控制塊，與所述第一連接追蹤相關聯，用于描述并記錄所述中間設備與所述發送端之間數據交互的TCP協議連接屬性；

第二連接追蹤，與所述第一連接追蹤相關聯，用于記錄所述中間設備與接收端之間的連接狀態；以及

第二TCP協議控制塊，與所述第二連接追蹤相關聯，用于描述并記錄所述中間設備與所述接收端之間數據交互的TCP協議連接屬性。