專利名稱：報文過濾方法及裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，具體而言，涉及一種報文過濾方法及裝置。
背景技術(shù)：
目前，互聯(lián)網(wǎng)為人民的生活和工作提供了較多地方便。但是， 互聯(lián)網(wǎng)也存在一些別有用心的網(wǎng)絡黑客，為了達到某種目的，通過 互聯(lián)網(wǎng)對網(wǎng)絡設備(例如，交換機、路由器、寬帶遠程接入服務器
(Broadband Remote Access Server ，簡稱、為BRAS ))進4亍惡意i也攻 擊。
在用戶側(cè)，防范網(wǎng)絡黑客攻擊的l支術(shù)包4舌MAC地址綁定扭^ 術(shù)(也可以稱為IP地址綁定才支術(shù))，即，如果接收的才艮文MAC地 址(或IP地址)不在綁定的MAC地址(或IP地址)的范圍內(nèi)， 則表示這個接收的報文中攜帶有惡意地攻擊，即，該報文是不安全 的，用戶側(cè)直4妄將該才艮文丟棄。
在網(wǎng)絡側(cè)，目前還沒有較好的防范網(wǎng)絡黑客攻擊的技術(shù)。對于 帶有速率限制功能的芯片，網(wǎng)絡側(cè)可以利用本地芯片的速率限制功 能來防范網(wǎng)絡黑客的攻擊，具體操作為網(wǎng)絡側(cè)預先對某一類型的 報文設置基于速率的門限值，以設置的門限值來判斷接收的報文的 安全性，即，如果接收的報文的速率超過其類型的門限值，則表示 該才艮文是不安全的，網(wǎng)絡側(cè)直4妄丟棄該4艮文；如果4妾收的才艮文的速率未超過門限值，則表示該報文是安全的，網(wǎng)絡側(cè)正常處理該報文。 也就是說，速率限制技術(shù)是以速率確保報文的安全性，來保護系統(tǒng) 的穩(wěn)定運行。但是，在實際操作在中，有些正常交互的報文需要較 高的速率，有時會超過設置的門限值，這時，該安全的報文就會由 于其速率超過門限值而被丟棄，導致了系統(tǒng)運行的不穩(wěn)定。例如，
基于Telnet (計算機遠程登錄)協(xié)議的報文，由于其速率較高而很 有可能浮皮丟棄，導致了系統(tǒng)無法進行正常的遠程管理。因此，4吏用 芯片自身的速率限制功能來防范網(wǎng)絡黑客的攻擊，也會限制安全的 報文，導致系統(tǒng)的相應功能無法實現(xiàn)，影響系統(tǒng)的正常業(yè)務的執(zhí)行， 進而導致系統(tǒng)的不穩(wěn)定。
另外，對于沒有速率限制功能的芯片，目前網(wǎng)絡側(cè)還無法有效 地防范網(wǎng)絡黑客的攻擊，例如，網(wǎng)絡側(cè)無法有效地防范諸如Telnet 牙口 ICMP (Internet Control Message Protocol, 網(wǎng)際4空制消息十辦i義) 類型的攻擊。
綜上所述，目前網(wǎng)絡側(cè)缺少既能夠保證系統(tǒng)原有功能同時有效 地防范網(wǎng)絡黑客的攻擊的措施。

發(fā)明內(nèi)容
針對上述對于網(wǎng)絡黑客的攻擊，在網(wǎng)絡側(cè)缺少能夠顧及系統(tǒng)原 有功能的網(wǎng)絡安全防范措施的問題而提出本發(fā)明，為此，本發(fā)明旨 在提供一種改進的才艮文過濾方案，以解決上述問題。
為了實現(xiàn)上述目的，根據(jù)本發(fā)明的一方面，提供了一種報文過 濾方法。
根據(jù)本發(fā)明的報文過濾方法包括確定接收的報文的速率、協(xié) i義和源地址、以及乂人預先"i殳置的至少 一個速率門限中確定對應于協(xié)議和源地址的速率門限；#4居所確定的速率門限和凈艮文的門卩艮對才艮 文進行過濾。
根據(jù)本發(fā)明的另一方面，提供了一種報文過濾裝置。
根據(jù)本發(fā)明的報文過濾裝置包括檢測模塊，用于檢測接收的 報文的速率、協(xié)議和源地址；映射模塊，用于根據(jù)檢測模塊檢測的 協(xié)i義和源地址，映射預先i殳置的至少 一個速率門限中對應于協(xié)i義和 源地址的速率門限；比較才莫塊，用于比較4企測模塊4企測的速率和映 射模塊映射的速率門限；過濾模塊，用于根據(jù)比較模塊的比較結(jié)果， 對才艮文進4亍過濾。
借助于上述技術(shù)方案的至少之一，通過預先在網(wǎng)絡側(cè)設置速率 門限，使得網(wǎng)絡側(cè)可以根據(jù)設置的速率門限對接收的報文進行過濾， 從而克服了在網(wǎng)絡側(cè)在防范網(wǎng)絡黑客的攻擊時無法兼顧系統(tǒng)性能的 問題，能夠在不影響系統(tǒng)性能的前4是下有效地防范網(wǎng)絡黑客的攻擊， 提高了系統(tǒng)的整體性能。


此處所說明的附圖用來提供對本發(fā)明的進一步理解，構(gòu)成本申 請的一部分，本發(fā)明的示意性實施例及其說明用于解釋本發(fā)明，并 不構(gòu)成對本發(fā)明的不當限定。在附圖中
圖i是根據(jù)本發(fā)明方法實施例的報文過濾方法的流程的流程圖3是根據(jù)本發(fā)明裝置實施例的報文過濾裝置的框圖；圖4是根據(jù)本發(fā)明裝置實施例的報文過濾裝置的優(yōu)選框圖。
具體實施例方式
功能相克述
由于目前的網(wǎng)絡側(cè)缺少能夠兼顧系統(tǒng)功能并有效防范網(wǎng)絡黑客 攻擊的措施，因此，本發(fā)明4是供了一種才艮文過濾方案，該才艮文過濾 方案可以有效地防范網(wǎng)絡側(cè)的黑客攻擊。由于網(wǎng)絡黑客的攻擊，一 般表現(xiàn)在通信過程中傳輸?shù)膱笪牡乃俾噬?，因此，該報文過濾方案 基于報文的速率，對才艮文的安全性進行判斷，以此來有效地防范網(wǎng) 絡黑客的攻擊。具體的操作包括預先根據(jù)凈艮文的協(xié)議和源地址設 置速率門限，對接收的報文根據(jù)其協(xié)議和源地址選擇合適的速率門 限，如果接收的報文的速率大于為其選擇的速率門限，表示該報文 是不安全的，則丟棄該報文，如果接收的報文的速率小于或等于為 其選擇的速率門限，表示該報文是安全的，則對該報文進行正常的 處理，即，對該才艮文沖丸行現(xiàn)有沖支術(shù)中對安全才艮文的處理流程。
下面將參考附圖并結(jié)合實施例，來詳細說明本發(fā)明。需要說明 的是，如果不沖突，本申請中的實施例以及實施例中的特征可以相 互組合。
方法實施例
根據(jù)本發(fā)明的實施例，提供了一種報文過濾方法，用于過濾不 合格(也可以說是不安全)的報文。圖1是該報文過濾方法的流程 圖。如圖l所示，該才艮文過濾方法包4舌步艱《102和步艱《104。
在該報文過濾方法中，需要預先根據(jù)才艮文的協(xié)議和源地址設置 速率門限。其中，該速率門限的具體凄t值的確定應當考慮到通常不 安全報文的速率，某些具有不同源地址和/或協(xié)議的不安全報文的速率可以是相同的或相近的，因此，相應的速率門限也可以是相同或
相近的。即，基于同一協(xié)議的報文，分別來自源地址1和源地址2 的才艮文的速率門限可以是相同的，也可以是不同的；基于同一源地 址報文，分別基于協(xié)議1和基于協(xié)議2的報文的速率門限可以是相 同的，也可以是不同的。
在具體實施過程中，可以才艮據(jù)才艮文的協(xié)議和源i也址來i殳置才艮文 的類別，例如，可以將基于協(xié)議1、且來自源地址1的報文設置為 類別1，將基于協(xié)議1、且來自源地址2的報文設置為類別2。這樣， 上述4艮據(jù)才艮文的協(xié)議和源地址設置的速率門限就可以與i殳置的類別 ——對應了，例如，上述對于基于協(xié)i義1、且來自源地址1的報文 i殳置的速率門限為速率門限1，則類別1的速率門限為速率門限1。 在速率門限設置完成之后，即可執(zhí)行下述步驟102。
步驟102,確定接收的報文的速率、協(xié)議和源地址、以及從預 先設置的至少 一個速率門限中確定對應于協(xié)議和源地址的速率門 限。即，為接收的報文選擇預先設置的速率門限。
在具體的實施過程中，首先才艮據(jù)接收的才艮文的協(xié)議和源地址， 確定該凈艮文是屬于哪一類別，例如，該才艮文是l欠據(jù)類別1，則可以 確定該報文的速率門限即為類別1的速率門限。
步驟104,根據(jù)為該接收的報文確定的速率門限和該報文本身 的門限，對該報文進行過濾處理。即，基于為報文選擇的速率門限， 判斷該報文是否是安全的。如果為報文本身的速率大于為其選擇的 速率門限，貝"艮文的接收方(即網(wǎng)絡側(cè)的網(wǎng)絡設備)認為該才艮文是 不安全的，丟棄該報文；如果為報文本身的速率小于或等于為其選 擇的速率門限，則認為該報文是安全的，則正常處理該報文。在實際操作中，可以為各類別的報文分別設置抑制期(該抑制
期可以是一個時間4殳，例如，5秒、10秒、l分4中、2分4中等)。即， 如果接收的報文是不安全的，則將該報文所屬的類別置于抑制期， 在抑制期內(nèi)接收的該類別的報文，都看作是不安全的，此時，無需 進行上述步驟102中的選擇速率門限和步驟104中的判斷過程，直 接將接收的報文丟棄即可，這樣，可以節(jié)省系統(tǒng)的資源；在抑制期 結(jié)束之后，網(wǎng)絡設備對之后接收的報文繼續(xù)執(zhí)行步驟102和步驟104 所描述的過濾處理。當然，對不同的報文類別設置的抑制期長度可 以是相同的，也可以是不同的，具體地i殳置情況本文不作討i侖。
由以上描述可以看出，通過網(wǎng)絡i殳備預先i殳置速率門限，并基 于設置的速率門限，對接收的報文進行安全性的判斷，相比于現(xiàn)有 技術(shù)中的利用芯片的速率限制功能來防范黑客的攻擊，本發(fā)明實施 例提供的技術(shù)方案，對于防范黑客的攻擊，更加有效和靈活。
以下將以BRAS為例，來詳細描述本發(fā)明的處理過程。
(一)系統(tǒng)預先對位于網(wǎng)絡側(cè)的BRAS配置策略，即，根據(jù)報 文的協(xié)議和源地址配置不同的速率門限。具體的配置過程包括為 基于不同協(xié)議和來自不同源地址的報文設置不同的類別，并分別為 各類別設置速率門限和抑制期。例如，對于基于Telnet協(xié)議的報文、 且來自源地址1的凈艮文，系統(tǒng)將該類才艮文i殳置為類別1,并為類別1 配置速率門限1和抑制期1。
(二 )對于BRAS接收、且需要發(fā)送給CPU進行處理的報文 進行過濾，也就是說，在BRAS進行轉(zhuǎn)發(fā)而不需要發(fā)送給CPU的 報文不需要進行過濾，直接進行轉(zhuǎn)發(fā)即可。
(三)對需要BRAS轉(zhuǎn)發(fā)給CPU的報文進行分類處理，如果 報文所屬的類別處于抑制期，則直接將該報文丟棄；如果報文所屬的類別不在抑制期內(nèi)，則表示接收的該報文所屬類別的報文是安全 的，然后，判斷該報文是否安全，即，判斷該報文的速率是否達到 所屬類別的速率門限。如果報文的速率沒有超過(沒有超過即小于 或等于)所屬類別的速率門限，則表示該報文是安全的，根據(jù)現(xiàn)有
技術(shù)中的流程將該報文發(fā)送給CPU;如果報文的速率超過(超過即 大于)所屬類別的速率門限，則表示該報文是不安全的，網(wǎng)絡側(cè)對 不安全的才艮文進4亍處罰，即，丟棄不安全的凈艮文，并對該報文所屬 的類別設置抑制期，同時啟動定時器，在抑制期內(nèi)，此類別的報文 直接執(zhí)行丟棄處理，當抑制期結(jié)束后，此類別的報文依然執(zhí)行上述 步驟104中的判斷過程。例如，如果接收的所屬類別1的報文的速 率大于速率門限l,則表示該才艮文是不安全的，系統(tǒng)將該類別1置 于抑制期1，在抑制期內(nèi)，如果再接收到所屬類別1的才艮文，則系 統(tǒng)直接將其丟棄，在抑制期結(jié)束時，對接收的所屬類別1的報文， 仍然4丸4于上述步驟104的判斷過程。
禾呈圖。如圖2所示，具體包4舌以下處理過禾呈
步驟201,網(wǎng)絡側(cè)的網(wǎng)絡設備接收到需要轉(zhuǎn)發(fā)至CPU的報文；
步驟202,網(wǎng)絡設備根據(jù)接收的報文協(xié)議和源地址，確定該報 文所屬的類別，即，對該氺艮文進4亍入類處理；
步驟203,網(wǎng)絡設備判斷該報文所屬的類別是否處于抑制期， 如果處于抑制期，則進4于到步驟204，否則進4于到步艱《205;
步-驟204,丟棄該才艮文；
步驟205,將報文本身的速率與所屬類別的速率門限進行比較， 如果報文本身的速率小于或等于所屬類別的速率門限，則表示該報
ii文是安全的，并進行到步驟206;否則表示該才艮文是不安全的，并 進行到步驟207;
步驟206，對接收的報文執(zhí)行通常對于安全報文的處理流程， 即，正常處理該才艮文；
步驟207，丟棄該4艮文，并將該纟艮文所屬的類別置于抑制期， 啟動定時器進行計時；
步驟208，定時器到時(即，抑制期結(jié)束)，該報文所屬的類別 的抑制期結(jié)束，對于之后接收的屬于該類的報文繼續(xù)執(zhí)行上述步驟 201。
需要說明的是，為了便于描述，在圖1和圖2中以步驟的形式 示出并描述了本發(fā)明的方法實施例的技術(shù)方案，在圖1和圖2中所 示出的步艱《可以在諸如一組計算才幾可扭Jf亍指令的計算才幾系統(tǒng)中#丸 行。雖然在圖1和圖2中示出了邏輯順序，但是在某些情況下，可 以以不同于此處的順序執(zhí)行所示出或描述的步驟。
通過上述處理，能夠克服現(xiàn)有4支術(shù)中網(wǎng)絡側(cè)在防范網(wǎng)絡黑客的 攻擊時無法兼顧系統(tǒng)性能的問題，從而實現(xiàn)在不影響系統(tǒng)性能的前 提下有效地防范網(wǎng)絡黑客的攻擊，提高系統(tǒng)的整體性能。
裝置實施例
才艮據(jù)本發(fā)明的實施例，4是供了一種才艮文過濾裝置，優(yōu)選地用于 實現(xiàn)上述方法實施例中的方法。圖3是該報文過濾裝置的框圖，如 圖3所示，該報文過濾裝置包括檢測模塊l、映射模塊2、比較模 塊3、過濾模塊4。以下對各模塊進行詳細的說明。檢測模塊1,用于4全測接收的報文的速率、協(xié)議和源地址；映 射模塊2，連接至檢測模塊l,用于根據(jù)檢測模塊l檢測的協(xié)議和源 地址，映射預先i殳置的至少一個速率門限中對應于協(xié)i義和源地址的 速率門限；比較模塊3，連接至檢測模塊1和映射模塊2,用于比較 檢測模塊1檢測的速率和映射模塊2映射的速率門限；過濾模塊4, 連接至比較模塊3，用于根據(jù)比較模塊3的比較結(jié)果，對報文進行 過濾。
由以上描述可以看出，通過預先為不同的報文設置不同的速率 門限，基于速率門限來判斷報文的安全性，相比于現(xiàn)有技術(shù)中的以 芯片的速率限制功能來防范黑客的攻擊，根據(jù)本實施例的裝置可以 靈活有效地防范黑客的攻擊。
圖4是根據(jù)本發(fā)明實施例的報文過濾裝置的優(yōu)選框圖，如圖4 所示，除了上述圖3中所示的才莫塊，該裝置可以進一步包括分類 模塊5、定時器6和調(diào)控模塊7，其中，分類模塊5，連接至映射模 塊2,用于才艮據(jù)凈艮文的協(xié)i義和源地址對凈艮文進4亍分類，其中，每一 類才艮文對應于預先i殳置的至少一個速率門限中的一個速率門限；定 時器6，用于對分類模塊5劃分的每類報文進行計時；調(diào)控模塊7， 連接至比較模塊3和定時器6，用于在比較模塊3的比較結(jié)果為報 文本身的速率大于速率門限的情況下，啟動定時器6,在定時器6 到時時，停止定時器6。
在具體地實施過程中，上述的定時器6可以是一個定時器，用 于對各類別的報文的抑制期計時，也可以是多個定時器的組合，用 于分別對各類別的報文的抑制期計時。在抑制期內(nèi)的某個類別的報 文，表示該類別的所有報文都是不安全的，直到定時器到時，即， 抑制期結(jié)束，則對此類別的報文執(zhí)行上述方法實施例中步驟104的 判斷過程。這里的抑制期的i殳置可以參考上述方法實施例，這里不 再贅述。如圖4所示，上述過濾^(t塊4連接至定時器6,該過濾模塊4 包括丟棄子模塊40和正常處理子模塊42:
丟棄子模塊40,用于在定時器6對接收的才艮文所屬類別的進行 計時期間，或比較模塊3的比較結(jié)果為報文本身的速率大于速率門 限的情況下，丟棄接收的報文。也就是說，在定時器6計時時，表 示該類別的報文處于抑制期，直接丟棄即可；或者，該類別的報文 未處于抑制期，但是接收的報文的速率大于速率門限，則表示該報 文也是不安全的，需要丟棄該才艮文。
正常處理子模塊42，用于在接收的報文所屬的類的定時器6處 于停止狀態(tài)，以及比較模塊的比較結(jié)果為速率小于或等于速率門限 的情況下，正常處理*接收的才艮文。
具體地，上述圖4中各模塊之間的交互過程，可以參考上述方 法實施例中所描述的方法(即，該裝置能夠執(zhí)行圖1和圖2所示的 處理過程)，這里不再贅述。
綜上所述，本發(fā)明通過基于報文的速率來判斷該報文的安全性， 將報文本身的速率與預先根據(jù)各報文的協(xié)議和源地址設置的速率門 限進行比較，在比較結(jié)果為報文本身的速率大于速率門限的情況下， 判斷該報文是不安全的，丟棄該報文，相比于現(xiàn)有技術(shù)，本發(fā)明實 施例可以有效且靈活地防范黑客的攻擊。
顯然，本領(lǐng)域的技術(shù)人員應該明白，上述的本發(fā)明的各模塊或 各步驟可以用通用的計算裝置來實現(xiàn)，它們可以集中在單個的計算 裝置上，或者分布在多個計算裝置所組成的網(wǎng)絡上，可選地，它們 可以用計算裝置可執(zhí)行的程序代碼來實現(xiàn)，從而，可以將它們存儲 在存儲裝置中由計算裝置來執(zhí)行，或者將它們分別制作成各個集成電路模塊，或者將它們中的多個模塊或步驟制作成單個集成電路模 塊來實現(xiàn)。這樣，本發(fā)明不限制于任何特定的硬件和軟件結(jié)合。
以上所述〗義為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，
對于本領(lǐng)域的4支術(shù)人員來i兌，本發(fā)明可以有各種更改和變化。凡在 本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進等， 均應包含在本發(fā)明的保護范圍之內(nèi)。
權(quán)利要求
1. 一種報文過濾方法，其特征在于，所述方法包括確定接收的報文的速率、協(xié)議和源地址、以及從預先設置的至少一個速率門限中確定對應于所述協(xié)議和所述源地址的速率門限；根據(jù)所確定的速率門限和所述報文的門限對所述報文進行過濾。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，預先設置的所述至少 一個速率門限為對應于多個分類的才艮文i殳置的速率門限，其 中，報文的分類取決于報文的協(xié)議和源地址。
3. 根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括分別預先為所述多個分類的報文設置抑制期。
4. 根據(jù)權(quán)利要求3所述的方法，其特征在于，為接收的所述報文 確定所述速率門限之前，所述方法還包4舌才艮據(jù)接收的所述報文的協(xié)議和源地址對接收的所述報文 進行入類。
5. 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述才艮據(jù)確定的所 述速率門限對接收的所述報文進行過濾之前，所述方法還包 括判斷接收的所述報文所屬的類是否處于抑制期；如果所述類處于所述抑制期，則丟棄接收的所述報文；如 果所述類未處于所述抑制期，則根據(jù)所述類的速率門限對接收 的所述才艮文進4于過濾。
6 根據(jù)權(quán)利要求1或5所述的方法，其特征在于，所述根據(jù)選擇 的所述速率門限對接收的所述才艮文進行過濾包括如果接收的所述報文的速率超過確定的所述速率門限，則 丟棄接收的所述報文，并將接收的所述報文所屬的類置于抑制期。
7 一種報文過濾裝置，其特征在于，所述裝置包括檢測模塊，用于檢測接收的報文的速率、協(xié)議和源地址；映射模塊，用于根據(jù)所述檢測模塊檢測的所述協(xié)議和所述 源地址，映射預先設置的至少 一個速率門限中對應于所述協(xié)議 和所述源;也址的速率門限；比較模塊，用于比較所述檢測模塊檢測的所述速率和所述 映射才莫塊映射的所述速率門限；過濾模塊，用于根據(jù)所述比較模塊的比較結(jié)果，對所述報 文進4亍過濾。
8 根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括分類模塊，用于根據(jù)報文的協(xié)議和源地址對報文進行分 類，其中，每一類才艮文對應于所述預先i殳置的所述至少一個速 率門限中的一個速率門限。
9 根據(jù)權(quán)利要求8所述的裝置，其特征在于，所述裝置還包括 定時器，用于對所述分類模塊劃分的每類報文進行計時；調(diào)控模塊，用于在所述比較模塊的比較結(jié)果為所述報文的速率大于所述速率門限的情況下，啟動所述定時器，在所述定時器到時時，停止所述定時器。
10. 根據(jù)權(quán)利要求9所述的裝置，其特征在于，所述過濾模塊包括丟棄子模塊，用于在定時器對接收的所述報文所屬的類進行計時期間、或所述比較模塊的比較結(jié)果為所述報文的速率大于對應的速率門限的情況下，丟棄4矣收的所述才艮文；正常處理子^^莫塊，用于在接收的所述才艮文所屬的類的定時器處于停止狀態(tài)、且所述比較模塊的比較結(jié)果為所述報文的速率小于或等于所述速率門限的情況下，正常處理接收的所述報文。
全文摘要
本發(fā)明提供了一種報文過濾方法及裝置，其中，報文過濾方法包括確定接收的報文的速率、協(xié)議和源地址、以及從預先設置的至少一個速率門限中確定對應于協(xié)議和源地址的速率門限；根據(jù)所確定的速率門限和報文的門限對報文進行過濾。通過本發(fā)明，可以克服網(wǎng)絡側(cè)在防范網(wǎng)絡黑客的攻擊時無法兼顧系統(tǒng)性能的問題，能夠在不影響系統(tǒng)性能的前提下有效地防范網(wǎng)絡黑客的攻擊，能夠提高系統(tǒng)的整體性能。
文檔編號H04L9/00GK101483512SQ20091000627
公開日2009年7月15日 申請日期2009年2月10日 優(yōu)先權(quán)日2009年2月10日
發(fā)明者張憲勤 申請人:中興通訊股份有限公司