[发明专利]一种生成特征的方法及安全网关设备

说明书

技术领域

本发明涉及通信技术，尤其涉及一种生成特征的方法及安全网关设备。

背景技术

安全网关设备，是以保障网络安全为目的的设备，在企业网中，充分利用公共网络来构建的私有专用网络，安全网关设备可以为该网络提供企业网络的安全、可靠和可管理环境。安全网关设备具有入侵检测、入侵防御、防病毒、抗攻击等特性。

随着网络技术的不断发展，网络攻击的目标和方式都在不断的增加，为了应对攻击行为的变化，通常厂商采用事先写好特征，对安全网关设备进行升级特征库、允许自定义特征等方法进行特征库升级。升级特征库可以应对很多已知的攻击行为，自定义特征可以通过定制特征来解决一些用户特有的需求。

通过以上描述，不难发现，目前升级特征库、允许自定义特征等方法进行安全网关升级所使用的特征是事先写好的，相对固定。随着攻击形式的越来越多元化，使用这种固定特征的方式存在一些缺点：不够灵活，没有针对性的问题。

发明内容

（一）要解决的技术问题

预先固定设置特征的方式不够灵活，针对性不强。

（二）技术方案

为解决上述问题，本发明提供一种生成特征的方法，在安全网关设备上设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段，该方法还包括：

安全网关设备根据预先设置的所述特征生成条件进行实时检测，判断当前是否有满足所述特征生成条件的情况，如果是，则根据预先设置的攻击行为特征的特征字段，生成特征。

所述在安全网关设备上设置特征生成条件包括：

根据报文中指定字段的信息在安全网关设备上设置特征生成条件；或者，

根据指定行为的发生频率在安全网关设备上设置特征生成条件；或者，

根据高层协议的指定字段在安全网关设备上设置特征生成条件。

当根据报文中指定字段的信息在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则确定当前有满足所述特征生成条件的情况；

当根据指定行为的发生频率在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则确定当前有满足所述特征生成条件的情况；

当根据高层协议的指定字段在安全网关设备上设置特征生成条件时，所述判断当前是否有满足所述特征生成条件的情况包括：对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则确定当前有满足所述特征生成条件的情况。

设置的所述特征生成条件与所述攻击行为特征的特征字段相同或部分相同或不同。

该方法进一步包括：将生成的特征提供给用户，接收用户修改的特征。

针对不同的网络，在安全网关设备上设置不同的特征生成条件，以及设置不同的自动生成的攻击行为特征的特征字段

安全网关设备，包括：

设置模块，用于设置特征生成条件，以及设置自动生成的攻击行为特征的特征字段；

检测模块，用于根据所述设置模块设置的所述特征生成条件进行检测，判断当前是否有满足所述特征生成条件的情况，如果是，则触发生成模块；

生成模块，用于在被触发后，根据所述设置模块设置的攻击行为特征的特征字段，生成特征。

所述设置模块包括：

第一设置子模块，根据报文中指定字段的信息设置特征生成条件；或者，

第二设置子模块，根据指定行为的发生频率设置特征生成条件；

或者，

第三设置子模块，根据高层协议的指定字段设置特征生成条件。

所述检测模块包括：

第一检测子模块，根据第一设置子模块的设置，判断当前接收到的报文中是否包括所述指定字段，或者，判断当前接收到的报文中的指定字段是否被修改，如果是，则触发生成模块；

或者，

第二检测子模块，根据第二设置子模块的设置，判断当前是否发生了所述指定行为，且所述指定行为已经发生的频率是否达到预定值，如果均是，则触发生成模块；

或者，

第三检测子模块，根据第三设置子模块的设置，对当前接收到的报文进行协议解析，根据解析的结果与所述高层协议的指定字段进行匹配，如果报文中通用字段的值等于预先设置的指定值，则触发生成模块。