[发明专利]一种业务报文处理方法和设备

说明书

本发明公开了一种业务报文处理方法和设备，该方法包括：流量分析设备在三元关联表项中记录用户终端的IP地址、业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系；所述流量分析设备在接收到业务报文时，利用所述业务报文的源IP地址和目的IP地址查询所述三元关联表项；如果三元关联表项中有对应的记录，则判定所述业务报文为合规业务报文；如果三元关联表项中没有对应的记录，则所述流量分析设备判定所述业务报文为不合规业务报文。本发明实施例中，通过用户终端的域名解析行为实现检测，不依赖特征码，并能检测网络带宽资源滥用或者未知的网络风险。

技术领域

本发明涉及通信技术领域，尤其是涉及一种业务报文处理方法和设备。

背景技术

随着计算机与网络的普及，信息技术正在改变着、影响着人类的生活方式，各种网络应用层出不穷，而且安全威胁和网络滥用也与日俱增，给网络监管机构对各种网络流量进行识别、分类和控制提出了新的要求。目前对流量进行识别与检测的技术具体包括：DPI(Deep Packet Inspection，深层数据包检测)技术和基于流量特征的行为识别技术。其中，DPI技术主要是通过对业务报文的负载，进行特征匹配来识别流量。基于流量特征的行为识别技术主要是针对网络流量在一段时间内的某些统计特征，进行检测和分析。

在使用DPI技术时，存在特征码提取滞后，特征码规模急速膨胀，对加密流量无效等缺点。在使用基于流量特征的行为识别技术时，存在记录数据庞大，统计识别速度慢，精确度不高，在大流量高速网络下难以部署等缺点。

发明内容

本发明实施例提供一种业务报文处理方法，所述方法包括以下步骤：

流量分析设备在三元关联表项中记录用户终端的IP地址、外部网络中的业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系；

所述流量分析设备在接收到所述用户终端发送给所述业务服务器的业务报文时，利用所述业务报文的源IP地址和目的IP地址查询所述三元关联表项；

如果所述三元关联表项中有所述源IP地址和所述目的IP地址对应的记录，则所述流量分析设备判定所述业务报文为合规业务报文；

如果所述三元关联表项中没有所述源IP地址和所述目的IP地址对应的记录，则所述流量分析设备判定所述业务报文为不合规业务报文。

所述流量分析设备在三元关联表项中记录用户终端的IP地址、外部网络中的业务服务器的域名信息、所述业务服务器的IP地址之间的关联关系，具体包括：所述流量分析设备接收所述用户终端向域名服务DNS服务器发送的DNS请求报文，所述DNS请求报文中携带所述用户终端的IP地址和所述用户终端访问的业务服务器的域名信息，并在所述三元关联表项中记录所述用户终端的IP地址与所述用户终端访问的业务服务器的域名信息之间的关联关系；所述流量分析设备接收所述DNS服务器向所述用户终端发送的DNS响应报文，所述DNS响应报文中携带域名信息和所述域名信息对应的业务服务器的IP地址；如果所述三元关联表项中记录了所述域名信息与用户终端的IP地址之间的关联关系，则在所述关联关系中记录所述业务服务器的IP地址。

所述流量分析设备接收所述DNS服务器向所述用户终端发送的DNS响应报文之后，所述方法还包括：

如果所述三元关联表项中没有记录所述域名信息与用户终端的IP地址之间的关联关系，则所述流量分析设备丢弃所述DNS响应报文。

所述流量分析设备接收所述用户终端向DNS服务器发送的DNS请求报文之后，所述方法还包括：

所述流量分析设备利用所述DNS请求报文中携带的域名信息查询域名白名单；如果所述域名白名单中记录了所述域名信息，则允许所述流量分析设备在所述三元关联表项中记录所述用户终端的IP地址与所述用户终端访问的业务服务器的域名信息之间的关联关系；如果所述域名白名单中没有记录所述域名信息，则所述流量分析设备丢弃所述DNS请求报文。