[发明专利]一种防范报文攻击的方法及装置

权利要求书

1.一种防范报文攻击的装置，其应用于网络安全设备中，所述网络安全设备与网络设备相连，用于对网络设备发送过来的报文进行安全处理，其中该装置包括：

会话检查单元，用于根据从网络设备接收到的TCP报文的会话特征查找会话列表以确定该TCP报文是否属于已存在的会话；如果不是，则转到会话创建单元处理；

会话创建单元，用于进一步检查所述TCP报文是否为握手报文，如果不是，则丢弃该TCP报文。

2.根据权利要求1所述的装置，其特征在于，所述握手报文为SYN报文或者SYN ACK报文。

3.根据权利要求2所述的装置，其特征在于，还包括，其他处理单元，用以对报文进行进一步的安全处理或者转发处理，所述会话创建单元用于进一步检查握手报文的类型，如果握手报文是SYN报文，则转到其他处理单元处理；如果握手报文是SYN ACK报文，则基于该报文的会话特征在会话列表中创建相应的会话表项。

4.根据权利要求3所述的装置，其特征在于，所述会话检查单元确定TCP报文属于已经存在的会话时，将报文提交其他单元进行处理。

5.根据权利要求1所述的装置，其特征在于，所述会话特征为报文的五元组。

6.一种防范报文攻击的方法，其应用于网络安全设备中，所述网络安全设备与网络设备相连，用于对网络设备发送过来的报文进行安全处理，其中该方法包括：

A、根据从网络设备接收到的TCP报文的会话特征查找会话列表以确定该TCP报文是否属于已存在的会话；如果不是，则转到会话创建单元处理；

B、检查所述TCP报文是否为握手报文，如果不是，则丢弃该TCP报文。

7.根据权利要求6所述的方法，其特征在于，所述握手报文为SYN报文或者SYN ACK报文。

8.根据权利要求7所述的方法，其特征在于，所述步骤B还包括：

进一步检查握手报文的类型，如果握手报文是SYN报文，则对报文进行进一步的安全处理或者转发处理；如果握手报文是SYN ACK报文，则基于该报文的会话特征在会话列表中创建相应的会话表项。

9.根据权利要求8所述的方法，其特征在于，所述会话检查单元确定TCP报文属于已经存在的会话时，将报文提交其他单元进行处理。

10.根据权利要求9所述的装置，其特征在于，所述会话特征为报文的五元组。