[发明专利]基于Android平台的防火墙系统及其构建方法

说明书

技术领域

本发明涉及网络安全技术，尤其涉及智能移动终端的防火墙系统。

背景技术

随着科学技术的快速发展，在当今信息化的社会中，我们生活和工作中的许多资源与信息都通过计算机系统来存储和处理，伴随着网络技术的不断进步和完善，这些信息都通过网络来传送、接收和处理，所以网络在社会生活中的作用越来越大。智能移动终端的迅猛发展为个人信息处理带来了巨大的便捷，其正成为计算资源中越来越重要的一部分。为了维护网络安全，人们提出了许多手段和方法，采用防火墙是其中最主要、最核心、最有效的手段之一。防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实施对网络安全的有效管理，将防火墙应用到智能移动终端显得势在必行。

防火墙系统的技术原理是在信息传输时依据规则对被传输数据进行过滤，仅仅使得被允许的数据可被传输，不被允许的数据传输则被拒绝。其中规则是防火墙系统的使用者可根据实际应用需要自行设计的，以实现对信息交换和访问行为的有效管理。网络数量的增长和网络应用的增加使防火墙的安全策略变得越来越复杂，具体表现为防火墙规则集所包含的规则的数量不断增加，再加上编辑规则时不可避免的人为错误等原因，几乎所有的防火墙规则集都会存在或多或少的错误和冗余，致使预想的安全策略无法有效地实施。因此，处理防火墙规则之间的异常成为整个防火墙系统面临的一个主要任务。

传统PC平台的防火墙系统已经提出一些规则异常的模型和算法。防火墙的规则配置应该满足三个条件：一致性，完整性和紧密型，并采用FDD（Firewall Decision Diagram，防火墙决策图）来表示防火墙的初始配置，把一些类的算法引用到FDD上，从而保证了防火墙规则配置的上述三个条件。改模型主要基于策略树和状态及理论检测防火墙规则之间可能存在的异常，同时采用翻译树完成规则的高层翻译。

发明内容

本发明要解决的技术问题在于改进上述现有防火墙技术的不足，而提出一种基于Android平台的防火墙系统及其构建方法，能够减少移动智能终端防火墙系统的开销、提高防火墙过滤效率。

本发明针对Android（安卓）平台，采用的防火墙模型从集合角度对规则及规则之间的异常进行定义，并结合Android平台资源的有限性对防火墙规则异常分析方法进行优化，根据协议划分及先后次序对规则异常进行处理，可减少异常处理开销，节约处理时间和计算资源；并基于Android硬件抽象层（HAL，Hardware Abstraction Layer)在智能移动终端上实现上述防火墙系统。

本发明解决上述技术问题采用的技术方案包括，提出一种基于Android平台的防火墙系统，包括：

数据包相关信息获取单元，用以获取防火墙规则中所要求过滤的信息域；

防火墙规则形式化表示单元，用以对防火墙规则进行形式化描述；

防火墙规则异常分类单元，用以对防火墙规则异常情况进行描述；

防火墙规则异常分析单元，用以对防火墙规则出现的异常进行处理；

数据包过滤实施单元，用以对数据包按照防火墙规则进行过滤。

在本发明中，该数据包相关信息获取单元是直接调用Android内核相关函数以获取防火墙规则中所要求过滤的信息域。

在本发明中，该防火墙规则形式化表示单元将防火墙规则抽象为三部分：规则序号、过滤域和动作域。

该规则序号是一条规则在访问控制列表中的位置标识；该过滤域可由多个子域构成，子域类型包括：协议类型、源IP地址、源端口号、目标IP地址和目标端口号；该动作域包括：接受和拒绝。

每一条防火墙规则可以被形式化描述为：<规则序号，协议类型，源IP地址，源端口号，目标IP地址，目标端口号，动作>，记为：R < R[1]，R[2]，R[3]，R[4]，R[5] ，R[6]，R[7] >。

在本发明中，该防火墙规则异常分类单元将出现的异常分为四类：屏蔽异常、冲突异常、冗余异常和重叠异常。

该防火墙规则异常分类单元给出下列定义：

规则R过滤域中的所有子域的笛卡尔积称为R所匹配的数据包集合，记

为：{R} = R[2]                                                 R[3] R[4] R[5] R[6]；

若{Rx}{Ry}，则规则Rx与规则Ry是相关的，否则是不相关的；