[发明专利]一种提取数据包过滤规则的方法、装置和系统

说明书

技术领域

本发明涉及计算机网络安全技术领域，特别是涉及一种提取数据包过滤规则的方法、装置和系统。

背景技术

防火墙(firewall)是一项协助确保信息安全的设备，它会依照特定的规则，允许或是限制传输的数据通过。防火墙可以是一台专属的硬件也可以是架设在一般硬件上的一套软件。防火墙通常位于私有网络和外部互联网之间的入口点处，所有的流入数据包和流出数据包都需要穿越它。防火墙的功能是过滤数据包，比如检查所有的流入数据包和流出数据包以确定接受或丢弃数据包。该功能通常由一系列的数据包过滤规则所指定。如果数据包符合过滤规则，数据包过滤器将丢弃（drop）该数据包，或拒绝该数据包（丢弃数据包，并向源头发出“错误响应”信息）。

防火墙规则是网络安全的核心要素。然而，管理这些规则很复杂而且易于出错，尤其对于企业网络而言更是如此。需要仔细地书写和组织数据包过滤规则以正确执行安全政策。

在现有技术中，基本是由专业人士手动撰写生成数据包过滤规则。这种手动生成数据包过滤规则的处理方式主要存在两个问题。首先，手动书写规则非常耗时且需要大量的专业知识，这对于终端用户而言具有不小的难度。另外，手动书写规则容易出错，而且在系统真正上线之前手动写出的规则，不一定能够精确匹配真实的应用环境。

发明内容

本发明实施方式提出一种提取数据包过滤规则的方法、装置和系统，以实现自动生成数据包过滤规则，而且生成的过滤规则与真实的应用环境相匹配。

根据本发明实施方式的技术方案如下：

一种提取数据包过滤规则的方法，该方法包括：

获取预定时间段内的网络流量；

解析出该网络流量中每个数据包的特征字段集，该特征字段集包含有与该数据包传输属性相关的特征字段；

接收针对每个或多个数据包的操作行为信息，并基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则。

所述获取预定时间段内的网络流量具体包括：获取防火墙关闭状态下预定时间段内的网络流量。

预先生成包括语法关键字、参数名称和参数值的数据包过滤规则模板；

所述基于该操作行为信息以及该数据包的特征字段集生成数据包过滤规则包括：

将对应于参数名称的特征字段添加到该数据包过滤规则模板的参数值处，并将操作行为信息添加到该数据包过滤规则模板中，以生成数据包过滤规则。

所述数据包过滤规则模板为数据包基本过滤规则模板。

该数据包基本过滤规则模板的参数名称包括：报文方向、除了互联网控制报文协议（ICMP）以外的协议类型、源IP地址、目的IP地址、源端口和目的端口。

该数据包基本过滤规则模板的参数名称包括：报文方向、ICMP类型、源IP地址、目的IP地址和ICMP协议子类型。

所述数据包过滤规则模板为流量整型规则模板。

该流量整型规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

该流量整型规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和流量限制参数；

所述基于该操作行为信息以及相应数据包的特征字段集生成数据包过滤规则包括：基于特征字段集中的时间戳与报文长度计算流量门限值，并将计算出的流量门限值添加到该流量限制参数的参数值处。

所述数据包过滤规则模板为连接状态跟踪规则模板。

该连接状态跟踪规则模板的参数名称包括：报文方向、除了ICMP协议以外的协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

该连接状态跟踪规则模板的参数名称包括：报文方向、ICMP协议类型、源IP地址、目的IP地址、ICMP协议子类型和连接状态。

该连接状态跟踪规则模板适用于采取被动模式的文件传输协议数据包或采取主动模式的文件传输协议数据包，而且该连接状态跟踪规则模板的参数名称包括：报文方向、协议类型、源IP地址、目的IP地址、源端口、目的端口和连接状态。

一种提取数据包过滤规则的装置，包括网络流量获取单元、特征字段集解析单元和过滤规则生成单元，其中：

网络流量获取单元，用于获取预定时间段内的网络流量；