[發(fā)明專(zhuān)利]入侵防御處理方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202010023054.5
• 申請(qǐng)日: 2020-01-09
• 公開(kāi)（公告）號(hào): CN111277567B
• 公開(kāi)（公告）日: 2022-10-25
• 發(fā)明（設(shè)計(jì)）人: 戈龍顏;劉浩
• 申請(qǐng)（專(zhuān)利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;網(wǎng)神信息技術(shù)（北京）股份有限公司
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40;H04L47/10;H04L47/25;H04L43/16
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 苗曉靜

1.一種入侵防御處理方法，其特征在于，包括：

根據(jù)當(dāng)前網(wǎng)絡(luò)流量狀況確定入侵防御系統(tǒng)IPS旁路閾值；所述IPS旁路閾值用于將大于IPS旁路閾值的報(bào)文直接放行通過(guò)，將小于或等于IPS旁路閾值的報(bào)文發(fā)送給IPS引擎并由IPS引擎進(jìn)行IPS檢測(cè)分析；當(dāng)前網(wǎng)絡(luò)流量越大，IPS旁路閾值越小；所述根據(jù)當(dāng)前網(wǎng)絡(luò)流量狀況確定入侵防御系統(tǒng)IPS旁路閾值，包括：判斷當(dāng)前主機(jī)是否存在經(jīng)過(guò)重傳且連接失敗的連接數(shù)，若存在，查詢(xún)映射表中的最低IPS處理能力值，并根據(jù)所述最低IPS處理能力值確定IPS旁路閾值；

若不存在經(jīng)過(guò)重傳且連接失敗的連接數(shù)，則查詢(xún)映射表中當(dāng)前每秒新建連接數(shù)所對(duì)應(yīng)的IPS旁路閾值；

其中，所述映射表中存儲(chǔ)有每秒新建連接數(shù)與IPS處理能力值之間的對(duì)應(yīng)關(guān)系；

根據(jù)所述IPS旁路閾值對(duì)主機(jī)中的新建連接進(jìn)行IPS標(biāo)記；

當(dāng)IPS內(nèi)核HOOK接收到報(bào)文時(shí)，將匹配連接帶有IPS標(biāo)記的報(bào)文發(fā)送至應(yīng)用層IPS引擎進(jìn)行檢測(cè)，將匹配連接不帶有IPS標(biāo)記的報(bào)文進(jìn)行放行。

2.根據(jù)權(quán)利要求1所述的入侵防御處理方法，其特征在于，所述根據(jù)當(dāng)前網(wǎng)絡(luò)流量狀況確定入侵防御系統(tǒng)IPS旁路閾值，具體包括：

獲取當(dāng)前主機(jī)每秒新建連接數(shù)；

根據(jù)每秒新建連接數(shù)查詢(xún)映射表獲取IPS處理能力值；

根據(jù)所述IPS處理能力值確定IPS旁路閾值；

其中，所述映射表中存儲(chǔ)有每秒新建連接數(shù)與IPS處理能力值之間的對(duì)應(yīng)關(guān)系。

3.根據(jù)權(quán)利要求2所述的入侵防御處理方法，其特征在于，在根據(jù)每秒新建連接數(shù)查詢(xún)映射表獲取入侵防御系統(tǒng)IPS處理能力值之前，所述方法還包括：

在IPS的推薦配置下，測(cè)試在每秒新建各種連接數(shù)的情況下，以不發(fā)生網(wǎng)絡(luò)卡頓或連接失敗為前提，IPS能夠處理的最大連接數(shù)量，將最大連接數(shù)量作為對(duì)應(yīng)新建連接數(shù)下的IPS處理能力值；

根據(jù)各連接數(shù)與對(duì)應(yīng)的IPS處理能力值建立所述映射表。

4.一種入侵防御處理裝置，其特征在于，包括：

確定模塊，用于根據(jù)當(dāng)前網(wǎng)絡(luò)流量狀況確定入侵防御系統(tǒng)IPS旁路閾值；所述IPS旁路閾值用于將大于IPS旁路閾值的報(bào)文直接放行通過(guò)，將小于或等于IPS旁路閾值的報(bào)文發(fā)送給IPS引擎并由IPS引擎進(jìn)行IPS檢測(cè)分析；當(dāng)前網(wǎng)絡(luò)流量越大，IPS旁路閾值越小；所述確定模塊還用于判斷當(dāng)前主機(jī)是否存在經(jīng)過(guò)重傳且連接失敗的連接數(shù)，若存在，查詢(xún)映射表中的最低IPS處理能力值，并根據(jù)所述最低IPS處理能力值確定IPS旁路閾值；

若不存在經(jīng)過(guò)重傳且連接失敗的連接數(shù)，則查詢(xún)映射表中當(dāng)前每秒新建連接數(shù)所對(duì)應(yīng)的IPS旁路閾值；

其中，所述映射表中存儲(chǔ)有每秒新建連接數(shù)與IPS處理能力值之間的對(duì)應(yīng)關(guān)系；

第一處理模塊，用于根據(jù)所述IPS旁路閾值對(duì)主機(jī)中的新建連接進(jìn)行IPS標(biāo)記；當(dāng)IPS內(nèi)核HOOK接收到報(bào)文時(shí)，將匹配連接帶有IPS標(biāo)記的報(bào)文發(fā)送至應(yīng)用層IPS引擎進(jìn)行檢測(cè)，將匹配連接不帶有IPS標(biāo)記的報(bào)文進(jìn)行放行。

5.根據(jù)權(quán)利要求4所述的入侵防御處理裝置，其特征在于，所述確定模塊，具體用于：

獲取當(dāng)前主機(jī)每秒新建連接數(shù)；

根據(jù)每秒新建連接數(shù)查詢(xún)映射表獲取IPS處理能力值；

根據(jù)所述IPS處理能力值確定IPS旁路閾值；

其中，所述映射表中存儲(chǔ)有每秒新建連接數(shù)與IPS處理能力值之間的對(duì)應(yīng)關(guān)系。

6.一種電子設(shè)備，包括存儲(chǔ)器、處理器及存儲(chǔ)在存儲(chǔ)器上并可在處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至3任一項(xiàng)所述入侵防御處理方法的步驟。

7.一種非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，該計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至3任一項(xiàng)所述入侵防御處理方法的步驟。