[发明专利]网络入侵防御方法、装置、系统及计算机可读存储介质

权利要求书

1.一种网络入侵防御方法，其特征在于，包括：

接收数据包，并对所接收的所述数据包进行协议解析；

对协议解析后的所述数据包进行防火墙策略匹配，并利用匹配的防火墙策略处理所述数据包；

识别所述数据包对应的应用，根据识别出的应用对应的应用访问控制策略处理所述数据包；

对所述数据包进行内容解析，并利用解析后的内容匹配得到内容安全防护策略，利用所述内容安全防护策略处理所述数据包。

2.根据权利要求1所述的网络入侵防御方法，其特征在于，对协议解析后的所述数据包进行防火墙策略匹配，并利用匹配的防火墙策略处理所述数据包，包括：

检查是否存在与所述数据包对应的相关会话；

存在与所述数据包对应的相关会话时，利用与所述相关会话匹配的防火墙策略处理所述数据包；

不存在与所述数据包对应的相关会话时，建立与所述数据包对应的新的会话。

3.根据权利要求1所述的网络入侵防御方法，其特征在于，识别所述数据包对应的应用，根据识别出的应用对应的应用访问控制策略处理所述数据包，包括：

确定所述数据包对应的应用是否为已经可识别的应用；

在所述应用与已识别应用匹配时，则对所述应用进行标记；

在所述应用与已识别应用不匹配时，采用应用识别策略对所述应用进行识别，并利用对应于所述应用的应用访问控制策略处理所述数据包。

4.根据权利要求1所述的网络入侵防御方法，其特征在于，其中，采用应用识别策略对所述应用进行识别，包括：

采用应用特征匹配应用特征识别库，所述应用特征识别库中存储木马应用的应用特征；所述木马应用具有网络恶意行为特征，且行为过程不经由HTTP协议交互；

采用应用特征匹配僵尸网络识别库；所述僵尸网络识别库中存储木马、广告软件、恶意软件、间谍软件、后门、蠕虫、漏洞、黑客工具以及病毒9大分类。

5.根据权利要求1所述的网络入侵防御方法，其特征在于，其中，对所述数据包进行内容解析，并利用解析后的内容匹配得到内容安全防护策略，利用所述内容安全防护策略处理所述数据包，包括：

通过对应用层数据进行深度分析来检测和防御Webshell植入过程；和/或，

根据设置的包括文件类型和/或文件名的文件过滤规则防御Webshell。

6.根据权利要求1所述的网络入侵防御方法，其特征在于，采用数据流的方式处理所述数据包；和/或，

所述访问控制策略采用基于用户与用户组的访问控制策略。

7.一种网络入侵防御装置，其特征在于，包括：

接收模块，被配置为接收数据包，并对所接收的所述数据包进行协议解析；

访问控制模块，被配置为对协议解析后的所述数据包进行防火墙策略匹配，并利用匹配的防火墙策略处理所述数据包；

应用安全模块，被配置为识别所述数据包对应的应用，根据识别出的应用对应的应用访问控制策略处理所述数据包；

内容检测模块，被配置为对所述数据包进行内容解析，并利用解析后的内容匹配得到内容安全防护策略，利用所述内容安全防护策略处理所述数据包。

8.一种网络入侵防御系统，其特征在于，包括：

多核并行处理器；

所述多核并行处理器中的每个处理器包括：

解码器，用于对接收到的数据包进行协议解析、内容解析、内容解压缩、文件解析和/或SSL解密：

流引擎，包括安全处理模块和应用处理模块；

其中，所述安全处理模块用于协议控制、内容控制、病毒扫描、IPS扫描和/或异常发现；

所述应用处理模块用于实现应用网关、用于代理、应用隧道和/或应用优化的功能。

9.根据权利要求8所述的网络入侵防御系统，其特征在于，所述网络入侵防御系统采用一体化单次解析引擎，将包括漏洞、病毒、Web攻击、恶意代码或脚本、URL库的应用层威胁统一进行检测匹配。

10.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该计算机指令被处理器执行时实现权利要求1-7所述的方法步骤。