[发明专利]具有数据包过滤的网络接口卡及其过滤方法

说明书

技术领域

一种网络设备，特别有关于一种具有网络接口卡及其过滤方法。

背景技术

最近几年，越来越多的复杂病毒、蠕虫、拒绝服务攻击以及黑客的恶意入侵已经给商业单位数造成十亿美元的损失。鉴于应用程序的攻击行为、传统方法的反应特性和对不断演变攻击的无能为力，诸如防火墙和网络入侵检测系统这样的传统安全方法已经不足以防范这些行为。如今的需求是即时阻截攻击和入侵以保护价值重大的公司资产。

因此为避免上述攻击，所以提出了入侵防护系统(Intrusion ProtectionSystem，简称IPS)。IPS基于流经网络数据包流量的状态分析来检测入侵。IPS系统是主动的在线设备，能丢弃攻击数据数据包，或者在数据数据包到达主机前断开连接。

实现IPS的具体实现方式，主要有下列两种方法：1.利用硬件实现与2.利用软件实现。硬件的实现方式在主流的商业产品中比较常见，而软件实现方式在免费的开源系统中比较常见。这两种方式都有各自的优势和不足。硬件的实现方式其优势是它的性能，由于所有的逻辑处理全部交由专用的硬件来完成，因此其性能通常比较出色。由于采用专用的硬件架构，所以硬件系统的扩展性与灵活性不足，且规则定义的扩展性弱。换句话说，硬件系统的规则定义会因为复杂度而导致扩充不易，使得升级维护的成本比较高。而软件实现方式则与硬件实现方式的优缺点相反。

发明内容

鉴于以上的问题，本发明的主要目的在于提供一种具有数据包过滤的网络接口卡，其同时实现软硬件的数据包过滤。

为达上述目的，本发明所公开的具有数据包过滤的网络接口卡包括有：连接端口、第一过滤模块、第二过滤模块、储存单元与运算单元。连接端口用以接收来自于网际网络的数据包数据；第一过滤模块电性连接于连接端口，第一过滤模块根据内容可寻址存储器(CAM)表用以检验数据包数据，此一检测过程通过网络接口卡的硬件进行检测；第二过滤模块电性连接于第一过滤模块，第二过滤模块执行数据包内容检验程序用以检验数据包数据的内容，第二过滤模块通过软件/韧体的方式对数据包数据进行检测；储存单元电性连接于连接端口，储存单元用以存放内容可寻址存储器表与第二过滤模块；运算单元电性连接于连接端口与储存单元，运算单元用以执行数据包内容检验程序。

从本发明的另一观点，本发明提出一种数据包的过滤方法，其过滤在一网络接口卡所接收的数据包。

为实现上述目的，本发明公开的数据包的过滤方法包括以下步骤：建立十字链表，用以判断数据包数据是否需通过第一过滤模块；接收多笔数据包数据；进行第一过滤模块，其根据内容可寻址存储器表用以检测所接收的数据包数据；进行第二过滤模块，将通过第一过滤模块的数据包数据进行数据包内容检验程序；执行数据包处理程序并执行相应的数据包过滤政策，包括丢弃未通过上述过滤模块的数据包数据、接受或是转发通过上述过滤模块的数据包数据。

本发明提供了一种在网络接口卡上同时的实现硬件过滤与软件过滤的数据包过滤。在网络接口卡接收到数据包数据后会根据匹配条件对数据包信息进行解析，将其分类成硬件过滤处理或软件过滤处理。本发明所提出的网络接口卡可以通过软件过滤条件的设定来新增或调整现有不足的缺陷，亦可以同时兼顾利用硬件检测的执行速度。

下面结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1为本发明的系统架构示意图；

图2为内容可寻址存储器表及其项次的示意图；

图3为本发明的运作流程示意图。

其中，附图标记

100    网络接口卡

110    连接端口

120    第一过滤模块

130    第二过滤模块

140    运算单元

150    储存单元

151    内容可寻址存储器表

152    十字链表

具体实施方式

为了更进一步说明本发明特征及技术内容，请参阅以下有关本发明的详细说明与附图，然而所附附图仅提供参考与说明用，并非用来对本发明加以限制。