[发明专利]一种攻击规则的关闭方法和装置

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种攻击规则的关闭方法和装置。

背景技术

IPS(IntrusionPreventionSystem，入侵检测系统)设备一般部署在大中型企 业的网络出口、企业内部网络、或数据中心的出口，用于对外网访问内网的报 文进行检测，以实现保护内部网络安全的目的，对内网访问外网的报文进行检 测，以实现企业敏感信息的控制。IPS设备内配置了包含攻击规则的特征库，针 对待检测的报文，IPS设备依次检查该报文是否匹配到特征库的攻击规则，如果 是，则基于该攻击规则对应的策略对报文进行处理，如丢弃处理。

随着攻击手段越来越复杂和多样化，各大厂商的IPS设备的特征库中包含 的攻击规则也越来越多，而且这些攻击规则是全部开启的。IPS设备需要依次检 查报文是否匹配到特征库中的每个攻击规则，工作量非常大，IPS设备的处理性 能降低，甚至会导致IPS设备死机，影响IPS设备的正常使用。

发明内容

本发明提供一种攻击规则的关闭方法，针对已经开启的每个攻击规则，所 述攻击规则包括粗略匹配特征和精确匹配特征，所述方法包括：

安全网关设备在预设统计周期内，获得所述粗略匹配特征的命中次数、所 述精确匹配特征的命中次数、所述攻击规则的命中次数；

所述安全网关设备利用所述粗略匹配特征的命中次数、所述精确匹配特征 的命中次数、所述攻击规则的命中次数，判断是否关闭所述攻击规则；

如果是，则所述安全网关设备关闭所述攻击规则。

本发明提供一种攻击规则的关闭装置，所述攻击规则的关闭装置应用在安 全网关设备，针对已经开启的每个攻击规则，所述攻击规则包括粗略匹配特征 和精确匹配特征，所述攻击规则的关闭装置包括：

获得模块，用于在预设统计周期内，获得所述粗略匹配特征的命中次数、 所述精确匹配特征的命中次数、所述攻击规则的命中次数；

判断模块，用于利用所述粗略匹配特征的命中次数、所述精确匹配特征的 命中次数、所述攻击规则的命中次数，判断是否关闭所述攻击规则；

关闭模块，用于当判断结果为是时，则关闭所述攻击规则。

基于上述技术方案，本发明实施例中，在满足用户使用的前提下，安全网 关设备可以利用粗略匹配特征的命中次数、精确匹配特征的命中次数、攻击规 则的命中次数，自动关闭相应的攻击规则，使得特征库包含的所有攻击规则不 是全部开启的，减少特征库中开启的攻击规则数量，在依次检查报文是否匹配 到特征库中的每个攻击规则时，可以减少无效匹配过程，减轻安全网关设备的 工作量，提升安全网关设备的处理性能，且不影响对攻击报文的拦截。

附图说明

图1是本发明一种实施方式中的攻击规则的关闭方法的流程图；

图2是本发明一种实施方式中的安全网关设备的硬件结构图；

图3是本发明一种实施方式中的攻击规则的关闭装置的结构图。

具体实施方式

针对现有技术中存在的问题，本发明实施例提出一种攻击规则的关闭方法， 可以应用在安全网关设备上，安全网关设备可以为IPS设备、IDS(Intrusion DetectionSystems，入侵检测系统)设备等。在安全网关设备的特征库中包括大 量的攻击规则，每个攻击规则均包括粗略匹配特征和精确匹配特征。

其中，粗略匹配特征可以包括但不限于：AC(Aho-Corasick，多模式匹配) 特征。精确匹配特征可以包括但不限于：选项特征，和/或，PCRE(PerlCompatible RegularExpressions，正则表达式)特征。其中，该选项特征可以包括但不限于 以下之一或者任意组合：协议类型(如HTTP(HyperTextTransferProtocol，超 文本传输协议)类型、TCP(TransmissionControlProtocol，传输控制协议)类 型等)、报文方向(如客户端发送给服务器的报文方向)、内容偏移等。

针对已经开启的每个攻击规则，本发明实施例用于判断是否可以关闭该攻 击规则，每个攻击规则是否可以被关闭的判断流程相同，为了方便描述，本发 明实施例中，以一个攻击规则是否可以被关闭的判断流程为例进行说明。

在上述应用场景下，如图1所示，该攻击规则的关闭方法可包括以下步骤：