[发明专利]一种基于linux内核的网络防护软件方法和系统

摘要

本发明公开了一种基于linux内核的网络防护软件方法和系统，系统包括：内核模块，用于对数据包进行筛选、捕获、过滤、阻断；监控模块，负责对网络进行监控、分析、处理，按一定规则接收内核层的网络数据包，并分析数据包的协议、内容、流量，通过对比特征库，确定数据包的应用类型、正常与否，及早发现潜在的安全风险并采取有效措施；特征库存放有大量的样本数据，为分析模块提供数据特征对比功能，是分析的基石；控制模块负责对其他模块进行管理和控制。本发明将防护方案设计成两种模式，简单过滤防护和特征识别防护，突破了Linux传统网络防护软件的功能单一问题，增加了规则自更新、特征识别功能，同时弥补了应用分析的不足，全面保证Linux系统的网络安全。

主权项

1.一种基于linux内核的网络防护软件方法，其特征是，包括：控制模块读取定义的规则后根据预先定义的规则向内核模块发送启动命令，具体包括：控制模块接收到的规则选择的防护模式是简单过滤防护和/或特征识别防护则向内核模块发送简单过滤防护启动命令和/或特征识别防护启动命令；若内核模块接收到简单过滤防护启动命令后监测数据包，如果属于允许规则，将放行通过；如果属于禁止规则，则将其阻断；若内核模块接收到特征识别防护启动命令后，根据预先定义的规则捕获接收和发送的数据包，将数据包发送给用户空间层的监控模块；在用户空间层设置特征库模块，所述特征库模块用于存放样本特征数据，为监控模块提供数据特征对比功能；监控模块接收到数据包后与特征库模块中的特征对比，首先确定该数据包的应用类型，如果应用类型是属于禁止规则的，监控模块会向内核模块发送阻断通知来阻止该数据包的流向；然后检测数据包是否异常，如果异常则同样向内核模块发送阻断通知来阻止该数据包的流向且将异常数据包的IP加入禁止规则中并通知控制模块执行新规则；内核模块接收到监控模块的阻断通知后决定是否允许和阻断该数据包的流向。