[发明专利]基于二维PATRIE算法的动态包检测技术

权利要求书

1、基于二维PATRIE算法的动态包检测技术，其特征在于是防火墙产品中 应用的核心网络安全防范技术，主要内容包括：在主动式安全防范理念的基础 上，集成包过滤、地址转换、安全扫描、入侵检测等多种防御技术；采二维的 PATRIE匹配规则算法，支持动态策略建立与管理；通过散列算法运算后直接进 行状态检测，以保证高效率执行，包括：

1)动态包过滤技术及状态检测技术

防火墙是一个完全的状态检测防火墙，他在发起连接就判断，如果符合规 则，就在内存登记了这个连接的状态信息，后续的属于同一个连接的数据包， 就不需要再检测了，直接通过；而一些精心够造的攻击数据包由于没有在内存 登记相应的状态信息，都被丢弃了；这样这些攻击数据包，就不能饶过防火墙 了；

状态检测技术密切相关的就是动态规则技术，在状态检测里，采用动态规 则技术，为了不影响正常的服务，防火墙一但检测到服务必须开放高端口，防 火墙在内存就可以动态地添加一条规则打开相关的高端口，并通过散列算法直 接进行状态检测，以保证高效率；等服务完成后，这条规则就又被防火墙删除； 这样，既保障了安全，又不影响正常服务，速度也快；

2)采用二维的PATRIE算法

本发明的保障防火墙采用一种全新的规则匹配算法；PATRIE算法是NET/3 中分类算法PATRIE由一维向二维的动态扩展，防火墙还采用了基于动态规划 的动态过滤Dynamic Filter技术，而动态过滤规则可以根据应用的需要，在建立 应用服务的时候动态地增加一组规则，在服务结束的时候，自动地把规则删除， 这就要求二维PATRIE算法的动态二维特征支持这种服务，以保证删除的准确 性和有效性；

3)采用S/KEY认证

认证的方式可以是通用型的用户名加口令字方式，进一步可以对口令进行 一次一密的变换，防止的传输过程中被窃取而进行冒充者仍无发登录，而且审 计中又能加以记录；可结合智能卡安全技术的使用，进行强身份验证，更好地保 障重要信息资源的安全；虚拟专用网模块则通过建立安全通道，封装IP地址和 加密传输等方式，实现跨越公用网的内部用户的安全连接；

此外，为保护防火墙自身的安全，在防火墙的底座架构上采用安全操作系 统，在使用中加强认证、加密舆等安全措施；提供友好的用户接口，在远程管 理中所有会话和文件传输都是加密的，并且对文件的传输采用一次一密的方式， 可有效地防止重传攻击；不同版本的防火墙系统可分别运行于WINDOWS、 UNIX、LINUX等平台上。