[發明專利]一種基于用戶流量特性的防病毒網關處理加速策略

有效

• 申請號: 202011559652.0
• 申請日: 2020-12-25
• 公開（公告）號: CN112751839B
• 公開（公告）日: 2023-04-18
• 發明（設計）人: 張廣興;吳穎
• 申請（專利權）人: 江蘇省未來網絡創新研究院
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京卓嵐智財知識產權代理有限公司 11624
• 代理人: 蔣真

1.一種基于用戶流量特性的防病毒網關處理加速方法，其特征在于，包含三個部分：第一部分的功能是學習用戶行為并統計，生成策略條件；第二部分的功能是根據生成的策略條件過濾報文；第三部分的功能是對過濾出的網絡報文針對性還原文件并掃描處理；

所述第一部分具體包括：

步驟1.1：學習并記錄用戶行為；

對進入網關的流量進行解析，提取報文的五元組、文件名、病毒信息、url和郵件主題信息，并保存該信息到本地；

步驟1.2：統計分析用戶行為生成策略信息；

統計分析一周內未檢測出病毒的ip，生成ip白名單列表；

統計分析產生病毒的文件名的top10，提取文件名關鍵字生成文件名關鍵字黑名單；

統計分析用戶常用的協議，生成協議列表；

步驟1.3：根據對應協議提取生成對應的策略列表：

步驟1.4：循環執行，根據學習到的用戶行為實時更新黑白名單列表，并更新協議列表；

所述第二部分具體步驟如下：

步驟2.1：檢查協議列表是否有更新；

步驟2.1.1：默認啟動所有協議，包括http，ftp，pop3，smtp，smb和nfs，當協議列表http、ftp、pop3、smtp、smb和nfs中的一種或多種更新時，重設文件還原規則；若用戶自己主動修改配置時，重設文件還原規則配置；如協議列表沒有更新，則直接進入步驟2.2；只設置協議不關心文件類型file-type和other-type，或者默認按照設置協議將所有類型的文件按照1:1全量采樣還原；設置完畢以json格式記錄；

步驟2.1.2：讀取配置，獲取完整json格式并解析，提取協議和文件類型，以及對應的sample值寫入內存；通過以json標準格式可以對應添加一個或多個協議，默認情況添加所有協議和文件類型，按照1:1還原；

步驟2.1.3：動態加載文件規則；

步驟2.2：提取報文中的文件名，如沒有提取到直接進入下一步，否則用提取的文件名去匹配文件名關鍵字黑名單，如不能匹配直接進入下一步，否則進入第三部分的處理步驟；

步驟2.3：提取網絡報文中url，如未提取到直接進入下一步，否則用提取到的url去匹配url黑名單，如不能匹配直接進入下一步，否則進入第三部分的處理步驟；

步驟2.4：提取網絡報文中的郵件主題，如未提取到直接進入下一步，否則用提取到的郵件主題去匹配郵件主題關鍵字黑名單；如不能匹配直接進入下一步；否則進入第三部分的處理步驟；

提取網絡報文的sip與ip白名單匹配，如不在白名單內，直接進入所述第三部分的處理步驟，否則放過直接轉發處理；

所述第三部分對過濾出的網絡報文針對性還原文件并掃描處理；具體如下：

步驟3.1：還原經過前部分過濾的報文為本地臨時文件，并扣留最后一個包；

步驟3.2：病毒引擎掃描還原出的臨時文件，如檢測正常直接轉發，如檢測出病毒的文件直接阻斷釋放網絡帶寬，同時對本地病毒文件進行隔離或查殺處理，釋放服務器空間。

2.根據權利要求1所述的基于用戶流量特性的防病毒網關處理加速方法，其特征在于，所述重設文件還原規則包括重設還原協議protocol、重設文件類型file-type和other-type以及對應的采樣值sample；其中file-type為用戶關心的文件類型，而other-type為除file-type以外的所有文件類型。

3.根據權利要求2所述的基于用戶流量特性的防病毒網關處理加速方法，其特征在于，所述file-type為預設置的文件類型，多個時用“，”隔開；sample為采樣值；根據策略以及用戶需求靈活添加指定文件類型和對應的采樣值。

4.根據權利要求1所述的基于用戶流量特性的防病毒網關處理加速方法，其特征在于，sample取值全部為可配置，根據網絡情況和用戶選擇設置合適的數據。

5.根據權利要求2所述的基于用戶流量特性的防病毒網關處理加速方法，其特征在于，protocol為協議列表中更新獲取的協議，包含http，ftp，smtp，pop3，smb，nfs一種或者幾種；file-type為想要還原的文件類型，多個時用“，”隔開；sample為采樣值，本字段不設置默認按照所有類型文件，1:1采樣還原；other-type為除上面配置的file-type文件類型以外的文件類型，無需配置類型只需添加sample字段即可。