[发明专利]一种报文处理方法、装置和系统

说明书

技术领域

本发明涉及网络通信领域，尤其涉及一种报文处理方法、装置和系统。

背景技术

随着信息技术的发展，网络应用的日益广泛，网络安全成为各运营商、国家安全部门的重要工作之一；由于网络流量海量增长，应用日趋复杂，后台处理系统因平台局限无法直接对流量进行处理，需要专门的分流设备，将网络中的数据报文，分解成适合处理系统或分析设备处理的粒度，按要求重定向到特定的服务器进行分析，同时不影响网络流量传输。

分析设备识别到有害信息，为了防止有害信息继续传递，需要对网络的数据报文进行阻断，但对正常报文继续转发。

安全分流路由器通过分光器介入到骨干网中。当接收到从前级设备分光或者镜像过来的报文时，安全分流路由器根据访问控制列表(Access Control List，ACL)的配置进行匹配和动作。对不匹配任何ACL中任何表项的报文直接丢弃，匹配的报文重定向到对应的端口或者端口组，在端口组的各端口间以负载分担方式输出。这样就完成一个流量引入、分流、负载分担的系统，供后级设备对流量进行检测分析和监视。

随着互联网的快速发展，网络流量呈快速增长趋势，各种应用产生了大量数据传输，后台分析设备规模越来越大，压力也不断增加，导致分析设备需要处理大量非敏感流量(如电驴，迅雷等点对点流量)，降低了分析设备的效率，同时分流设备也会对非敏感数据流量分流，大量占用有限的资源。分析设备的增加也增加分析结果的整合成本和效率。

发明内容

本发明实施例的目的是提供一种报文处理方法和装置，以及一种报文处理系统，解决了分流设备流量压力大、分析设备效率低的问题。

本发明实施例的目的是通过以下技术方案实现的：

一种报文处理方法，包括：

根据过滤规则集合，过滤报文中的非敏感流量；

对所述过滤后的报文进行分流；

分析所述分流后的报文，并根据分析结果更新所述过滤规则集合。

一种报文处理系统，包括过滤装置、分流设备和分析设备；其中，

所述过滤装置，用于根据所述分析设备配置的过滤规则集合过滤报文中的非敏感流量，并向所述分流设备发送经过过滤的报文；

所述分流设备，用于将所述经过过滤装置过滤的报文分流到所述分析设备；

所述分析设备，用于根据分析规则对所述经过分流设备分流的报文进行分析，并使所述过滤装置根据所述分析设备的分析结果更新所述过滤规则集合。

一种过滤装置，位于分流设备之前，包括：

规则维护模块，用于维护分析设备配置的过滤规则集合；

过滤模块，用于根据过滤规则集合过滤报文中的非敏感流量；

发送模块，用于向分流设备发送经过过滤的所述报文以使所述分流设备分流所述经过过滤的报文。

采用本发明实施例提供的技术方案，因为在分流设备对报文分流前进行预过滤，可以减小需要进行分流的报文的规模，从而同时减少了分析设备对非敏感流量的重复分析，解决了分流设备流量压力大、分析设备效率低的问题。

附图说明

图1为本发明一个实施例中报文处理方法流程图；

图2为本发明另一个实施例中过滤装置框图；

图3为本发明又一个实施例中报文处理系统框图；

图4为本发明又一个实施例中报文处理系统的一个具体应用场景示意图；

图5为本发明又一个实施例中报文处理系统的另一个具体应用场景示意图。

具体实施方式

图1为本发明一个实施例中报文处理方法流程图。该方法包括：

102、过滤装置根据分析设备配置的过滤规则集合过滤报文中的非敏感流量。举例来说，所述过滤规则集合可以由五元组规则(源地址、目的地址、源端口、目的端口、协议号)组成。五元组规则可以是完全匹配的或支持掩码的。如果报文中五元组信息与过滤规则集合中的五元组规则匹配则阻止报文通过，如果报文中五元组信息不与过滤规则集合中的任何五元组规则匹配则允许报文通过。

104、对过滤后的报文进行分流。例如，分流设备按访问控制列表的配置对经过过滤的报文进行匹配，将能够匹配访问控制列表的报文分流到相应的分析设备，丢弃不匹配访问控制列表的任何表项的报文。