[发明专利]信息包过滤方法及网络防火墙

权利要求书

1.一种网络防火墙，包括：

内网接口，用于接收/发送内部网络信息；

外网接口，用于接收/发送外部网络信息；

规则表存储器，用于存储规则表，并对规则表进行分类存储管理；所述规则表中包括静态规则、动态规则和控制规则；

规则模板存储器，用于存储业务相关的规则集；

自动规则处理器，与所述规则表存储器和规则模板存储器耦合；

信息包处理器，与所述规则表存储器和自动规则处理器耦合，用于将从所述内网接口或外网接口接收到的信息包的内容与规则表存储器中的规则进行匹配处理；当信息包的内容与规则匹配后，判定所述规则是否为控制规则，若为是，则将以所述信息包为内容的处理结果发送至所述自动规则处理器，其中

所述自动规则处理器用于当信息包的内容与规则匹配后，分析信息包处理器发送过来的处理结果，根据所述处理结果从规则模板存储器中获取业务相关的规则集，生成符合业务安全需求的动态规则，并且向所述规则表存储器中添加该动态规则。

2.根据权利要求1所述的防火墙，其特征在于：还包括与所述规则表存储器耦合的手工规则处理器，用于设置规则表存储器中的控制规则和/或静态规则。

3.根据权利要求2所述的防火墙，其特征在于：还包括与所述手工规则处理器耦合的设置接口，用于为手工规则处理器提供设置数据。

4.根据权利要求1所述的防火墙，其特征在于：所述自动规则处理器还用于调整所述动态规则的优先级。

5.一种实现信息包过滤的方法，包括以下步骤：

A.信息包处理器将接收到的信息包的内容与规则表存储器中的规则进行匹配处理；规则表存储器用于存储规则表，并对规则表进行分类存储管理；所述规则表中包括静态规则、动态规则和控制规则；

B.信息包处理器将处理结果发送到内网接口或外网接口或自动规则处理器；

C.当处理结果发送到自动规则处理器时，自动规则处理器对处理结果进行分析；

D.若信息包内容与规则匹配成功，自动规则处理器根据所述处理结果将从规则模板存储器中获取的业务相关的规则集，生成符合业务安全需求的动态规则，并向所述规则表存储器中添加该动态规则；

所述步骤B中对信息包进行处理的步骤包括：

B1.判定信息包的内容是否与所述规则匹配，当信息包与所述规则不匹配时，则发送处理结果到内网接口或外网接口，否则，转下一步处理；

B2.判定所述规则是否为控制规则，当所述规则不是控制规则，则执行规则策略；否则，将处理结果发送至自动规则处理器。

6.根据权利要求5所述的信息包过滤的方法，其特征在于：所述步骤B2中执行规则策略之前还包括判断所述规则是否为动态规则，当所述规则为动态规则时，设置所述动态规则的闲置时间参数的步骤。

7.根据权利要求6所述的信息包过滤的方法，其特征在于：该方法还包括动态规则的撤消步骤，步骤如下：

H.等待动态规则的闲置时间计数器达到阀值；

I.判断闲置时间计数器是否到达阀值，如果是，转下一步处理，否则，转步骤H；

J.撤消该动态规则。

8.根据权利要求5所述的信息包过滤的方法，其特征在于，该方法还包括在步骤A之前设置规则表存储器中的控制规则和/或静态规则的步骤。

9.根据权利要求5所述的信息包过滤的方法，其特征在于，在所述步骤C之前还包括调整规则表存储器中的动态规则优先级的步骤。