[发明专利]一种提取数据包过滤规则的方法、装置和系统

权利要求书

1.一种提取数据包过滤规则的方法，该方法包括：

获取预定时间段内的网络流量；

解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

2.根据权利要求1所述的提取数据包过滤规则的方法，其特征在于，所述获取预定时间段内的网络流量具体包括：

获取防火墙关闭状态下预定时间段内的网络流量。

3.根据权利要求1或2所述的提取数据包过滤规则的方法，其特征在于，预先生成包括语法关键字、参数名称和参数值的数据包过滤规则模板；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：

将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

4.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为数据包基本过滤规则模板，该数据包基本过滤规则模板的参数名称包括：报文方向、除了互联网控制报文协议ICMP以外的协议类型、源IP地址、目的IP地址、源端口和目的端口。

5.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为数据包基本过滤规则模板，该数据包基本过滤规则模板的参数名称包括：报文方向、ICMP类型、源IP地址、目的IP地址和ICMP协议子类型。

6.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为流量整型规则模板，该流量整型规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

7.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为流量整型规则模板，该流量整型规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

8.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

9.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和连接状态。

10.根据权利要求3所述的提取数据包过滤规则的方法，其特征在于，所述数据包过滤规则模板为连接状态跟踪规则模板，该连接状态跟踪规则模板适用于采取被动模式的文件传输协议数据包或采取主动模式的文件传输协议数据包，而且该连接状态跟踪规则模板的参数名称包括：报文方向、协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

11.一种提取数据包过滤规则的装置，其特征在于，包括网络流量获取单元、特征字段集解析单元和过滤规则生成单元，其中：

网络流量获取单元，用于获取预定时间段内的网络流量；

特征字段集解析单元，用于解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

过滤规则生成单元，用于接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。