特征的固定字段或關(guān)鍵字；即該類協(xié)議特有的，在實際網(wǎng)絡(luò)連接中一定會出現(xiàn)的固定網(wǎng)絡(luò)字段或關(guān)鍵字；如163郵箱登陸的協(xié)議特征為:首段以字符串“GET/reader”開頭，關(guān)鍵字如username, 163等；Host字段值為特定字符串:reg.youda0.com。
[0123]所述審計特征標識信息為標識所述報文的審計特征的固定字段或關(guān)鍵字；如QQ協(xié)議特征下，首字節(jié)為Ox 02同時滿足結(jié)尾字節(jié)是Ox 03的數(shù)據(jù)包，表明后續(xù)報文為QQ的文本或者控制消息的數(shù)據(jù)包。
[0124]進一步地，所述協(xié)議識別引擎61，還用于將所述協(xié)議特征標識信息與靜態(tài)特征協(xié)議識別庫中協(xié)議信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息；
[0125]所述特征檢測引擎62，還用于將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息；
[0126]這里，所述發(fā)出匹配失敗告警信息具體包括:發(fā)日志進行匹配失敗告警，以使用戶根據(jù)需要決定是否將所述匹配失敗的未知報文進行丟棄處理。
[0127]進一步地，所述下一代防火墻系統(tǒng)還包括:審計模塊63，用于依據(jù)所述報文的審計特征及預置的審計策略對所述報文進行審計處理；
[0128]所述預置的審計策略為特定審計特征所對應(yīng)的審計處理；
[0129]所述審計處理包括:發(fā)送Log、丟棄處理及上送CPU等。
[0130]進一步地，所述下一代防火墻系統(tǒng)還可以包括:構(gòu)造模塊64，用于構(gòu)造協(xié)議識別庫及兩個以上審計特征識別庫。
[0131]在實際應(yīng)用中，構(gòu)造模塊64、協(xié)議識別引擎61、特征檢測引擎62及審計模塊63可由下一代防火墻系統(tǒng)中的CPU、或數(shù)字信號處理器(DSP,Digital Signal Processor)、或現(xiàn)場可編程門陣列(FPGA, Field Programmable Gate Array)實現(xiàn)。
[0132]本領(lǐng)域內(nèi)的技術(shù)人員應(yīng)明白，本發(fā)明的實施例可提供為方法、系統(tǒng)、或計算機程序產(chǎn)品。因此，本發(fā)明可采用硬件實施例、軟件實施例、或結(jié)合軟件和硬件方面的實施例的形式。而且，本發(fā)明可采用在一個或多個其中包含有計算機可用程序代碼的計算機可用存儲介質(zhì)(包括但不限于磁盤存儲器和光學存儲器等)上實施的計算機程序產(chǎn)品的形式。
[0133]本發(fā)明是參照根據(jù)本發(fā)明實施例的方法、設(shè)備(系統(tǒng))、和計算機程序產(chǎn)品的流程圖和/或方框圖來描述的。應(yīng)理解可由計算機程序指令實現(xiàn)流程圖和/或方框圖中的每一流程和/或方框、以及流程圖和/或方框圖中的流程和/或方框的結(jié)合。可提供這些計算機程序指令到通用計算機、專用計算機、嵌入式處理機或其他可編程數(shù)據(jù)處理設(shè)備的處理器以產(chǎn)生一個機器，使得通過計算機或其他可編程數(shù)據(jù)處理設(shè)備的處理器執(zhí)行的指令產(chǎn)生用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的裝置。
[0134]這些計算機程序指令也可存儲在能引導計算機或其他可編程數(shù)據(jù)處理設(shè)備以特定方式工作的計算機可讀存儲器中，使得存儲在該計算機可讀存儲器中的指令產(chǎn)生包括指令裝置的制造品，該指令裝置實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能。
[0135]這些計算機程序指令也可裝載到計算機或其他可編程數(shù)據(jù)處理設(shè)備上，使得在計算機或其他可編程設(shè)備上執(zhí)行一系列操作步驟以產(chǎn)生計算機實現(xiàn)的處理，從而在計算機或其他可編程設(shè)備上執(zhí)行的指令提供用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的步驟。
[0136]以上所述，僅為本發(fā)明的較佳實施例而已，并非用于限定本發(fā)明的保護范圍。
【主權(quán)項】
1.一種下一代防火墻系統(tǒng)檢測報文的方法，其特征在于，所述方法包括: 協(xié)議識別引擎提取報文中協(xié)議識別信息，并將所述協(xié)議識別信息與協(xié)議識別庫中協(xié)議信息進行匹配，匹配成功時，確定報文的協(xié)議特征； 與確定的報文協(xié)議特征相對應(yīng)的特征檢測引擎提取所述報文中審計特征標識信息，并將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配成功時，確定所述報文的審計特征。2.根據(jù)權(quán)利要求1所述方法，其特征在于，所述提取報文中協(xié)議識別信息，并將所述協(xié)議識別信息與協(xié)議識別庫中協(xié)議信息進行匹配包括: 提取報文中端口號信息，并將所述端口號信息與所述協(xié)議識別庫的端口映射庫中端口號信息進行匹配，匹配成功時，確定報文的協(xié)議特征；匹配失敗時，提取報文中協(xié)議特征標識信息，并將所述協(xié)議特征標識信息與所述協(xié)議識別庫的靜態(tài)特征協(xié)議識別庫中協(xié)議信息進行匹配，匹配成功時，確定報文的協(xié)議特征。3.根據(jù)權(quán)利要求2所述方法，其特征在于，所述方法還包括:將所述協(xié)議特征標識信息與靜態(tài)特征協(xié)議識別庫中協(xié)議信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息；和/或， 將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息。4.根據(jù)權(quán)利要求1或2所述方法，其特征在于，所述確定所述報文的審計特征之后，所述方法還包括:依據(jù)所述報文的審計特征及預置的審計策略對所述報文進行審計處理。5.根據(jù)權(quán)利要求1或2所述方法，其特征在于，所述協(xié)議特征標識信息為標識所述報文的協(xié)議特征的固定字段或關(guān)鍵字；和/或， 所述審計特征標識信息為標識所述報文的審計特征的固定字段或關(guān)鍵字。6.一種下一代防火墻系統(tǒng)，其特征在于，所述下一代防火墻系統(tǒng)包括:協(xié)議識別引擎及特征檢測引擎；其中， 所述協(xié)議識別引擎，用于提取報文中協(xié)議識別信息，并將所述協(xié)議識別信息與協(xié)議識別庫中協(xié)議信息進行匹配，匹配成功時，確定報文的協(xié)議特征； 所述特征檢測引擎，用于提取所述報文中審計特征標識信息，并將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配成功時，確定所述報文的審計特征； 所述特征檢測引擎為與已確定的所述報文的協(xié)議特征對應(yīng)的特征檢測引擎。7.根據(jù)權(quán)利要求6所述下一代防火墻系統(tǒng)，其特征在于，所述協(xié)議識別引擎具體用于: 提取報文中端口號信息，并將所述端口號信息與所述協(xié)議識別庫的端口映射庫中端口號信息進行匹配，匹配成功時，確定報文的協(xié)議特征；匹配失敗時，提取報文中協(xié)議特征標識信息，并將所述協(xié)議特征標識信息與所述協(xié)議識別庫的靜態(tài)特征協(xié)議識別庫中協(xié)議信息進行匹配，匹配成功時，確定報文的協(xié)議特征。8.根據(jù)權(quán)利要求7所述下一代防火墻系統(tǒng)，其特征在于，所述協(xié)議識別引擎，還用于將所述協(xié)議特征標識信息與靜態(tài)特征協(xié)議識別庫中協(xié)議信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息；和/或， 所述特征檢測引擎，還用于將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配失敗時，發(fā)出匹配失敗告警信息。9.根據(jù)權(quán)利要求6或7所述下一代防火墻系統(tǒng)，其特征在于，所述下一代防火墻系統(tǒng)還包括:審計模塊，用于依據(jù)所述報文的審計特征及預置的審計策略對所述報文進行審計處理。10.根據(jù)權(quán)利要求6或7所述下一代防火墻系統(tǒng)，其特征在于，所述協(xié)議特征標識信息為標識所述報文的協(xié)議特征的固定字段或關(guān)鍵字；和/或， 所述審計特征標識信息為標識所述報文的審計特征的固定字段或關(guān)鍵字。
【專利摘要】本發(fā)明公開了一種下一代防火墻系統(tǒng)檢測報文的方法，協(xié)議識別引擎提取報文中協(xié)議識別信息，并將所述協(xié)議識別信息與協(xié)議識別庫中協(xié)議信息進行匹配，匹配成功時，確定報文的協(xié)議特征；與確定的報文協(xié)議特征相對應(yīng)的特征檢測引擎提取所述報文中審計特征標識信息，并將所述審計特征標識信息與所述報文的協(xié)議特征對應(yīng)的審計特征庫中審計特征信息進行匹配，匹配成功時，確定所述報文的審計特征。本發(fā)明還同時公開了一種下一代防火墻系統(tǒng)。
【IPC分類】H04L29/06
【公開號】CN105357166
【申請?zhí)枴緾N201410407435
【發(fā)明人】鄒珂龍, 趙丹懷, 汪瀅, 楊?？? 尹偉
【申請人】中國移動通信集團公司
【公開日】2016年2月24日
【申請日】2014年8月18日