[发明专利]一种业务报文处理方法和设备

权利要求书

1.一种业务报文处理方法，其特征在于，所述方法包括以下步骤：

流量分析设备在三元关联表项中记录用户终端的IP地址、外部网络中的业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系；

所述流量分析设备在接收到所述用户终端发送给所述业务服务器的业务报文时，利用所述业务报文的源IP地址和目的IP地址查询所述三元关联表项；

如果所述三元关联表项中有所述源IP地址和所述目的IP地址对应的记录，则所述流量分析设备判定所述业务报文为合规业务报文；

如果所述三元关联表项中没有所述源IP地址和所述目的IP地址对应的记录，则所述流量分析设备判定所述业务报文为不合规业务报文。

2.如权利要求1所述的方法，其特征在于，所述流量分析设备在三元关联表项中记录用户终端的IP地址、外部网络中的业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系的过程，具体包括：

所述流量分析设备接收所述用户终端向域名服务DNS服务器发送的DNS请求报文，所述DNS请求报文中携带所述用户终端的IP地址和所述用户终端访问的业务服务器的域名信息，并在所述三元关联表项中记录所述用户终端的IP地址与所述用户终端访问的业务服务器的域名信息之间的关联关系；

所述流量分析设备接收所述DNS服务器向所述用户终端发送的DNS响应报文，所述DNS响应报文中携带域名信息和所述域名信息对应的业务服务器的IP地址；如果所述三元关联表项中记录了所述域名信息与用户终端的IP地址之间的关联关系，则在所述关联关系中记录所述业务服务器的IP地址。

3.如权利要求2所述的方法，其特征在于，所述流量分析设备接收所述DNS服务器向所述用户终端发送的DNS响应报文之后，所述方法还包括：

如果所述三元关联表项中没有记录所述域名信息与用户终端的IP地址之间的关联关系，则所述流量分析设备丢弃所述DNS响应报文。

4.如权利要求2所述的方法，其特征在于，所述流量分析设备接收所述用户终端向DNS服务器发送的DNS请求报文之后，所述方法还包括：

所述流量分析设备利用所述DNS请求报文中携带的域名信息查询域名白名单；如果所述域名白名单中记录了所述域名信息，则允许所述流量分析设备在所述三元关联表项中记录所述用户终端的IP地址与所述用户终端访问的业务服务器的域名信息之间的关联关系；如果所述域名白名单中没有记录所述域名信息，则所述流量分析设备丢弃所述DNS请求报文。

5.如权利要求1所述的方法，其特征在于，所述方法进一步包括：

所述流量分析设备在判定所述业务报文为合规业务报文之后，所述流量分析设备将所述业务报文发送给Web应用防火墙WAF，由所述WAF继续处理所述业务报文；或者，所述流量分析设备在判定所述业务报文为不合规业务报文之后，所述流量分析设备丢弃所述业务报文或者将所述业务报文发送给入侵防御系统IPS，由所述IPS对所述业务报文进行深层数据包检测DPI技术的检测或进行基于流量特征的行为识别技术的检测。

6.一种流量分析设备，其特征在于，所述流量分析设备具体包括：

记录模块，用于在三元关联表项中记录用户终端的IP地址、外部网络中的业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系；

查询模块，用于在接收到所述用户终端发送给所述业务服务器的业务报文时，利用所述业务报文的源IP地址和目的IP地址查询所述三元关联表项；

判定模块，用于当查询结果为所述三元关联表项中有所述源IP地址和所述目的IP地址对应的记录时，则判定所述业务报文为合规业务报文；

当查询结果为所述三元关联表项中没有所述源IP地址和所述目的IP地址对应的记录时，则判定所述业务报文为不合规业务报文。