[发明专利]通讯数据的处理方法和装置

说明书

本发明公开了一种通讯数据的处理方法和装置。其中，该方法包括：接收用户终端发送的通讯数据包；判断用户终端是否有权限访问外网；在判断出用户终端有权限访问外网的情况下，从通讯数据包中读取用户终端请求访问的目标服务器的账号信息；在账号信息与用户终端的预设账号信息相匹配的情况下，将通讯数据包发送至目标服务器，从而解决了现有技术中防火墙安全性低的技术问题，实现了提高防火墙的安全性的效果。

技术领域

本发明涉及互联网领域，具体而言，涉及一种通讯数据的处理方法和装置。

背景技术

使用下一代防火墙(即NGFW)技术，可以有效的实现识别用户、控制用户、监控用户等功能。在实现控制用户这个功能时，对用户的控制仅限于允许访问哪些应用和业务、不允许访问哪些应用和业务，而没有考虑到用户对允许访问的业务是否存在越权或伪冒他人账号访问该业务的情形。如在某公司的防火墙中限定了只有财务部门的员工可以访问公司的财务数据，假设财务数据在一个FTP服务器上，为了确保财务数据的安全，财务部门的每个员工对不同类型的财务数据的访问权限又有所不同。当员工访问财务数据时只能通过自己的电脑访问有权限的财务数据，防火墙可以通过Content_ID(即内容标识)获知用户正在访问什么数据，如收纳员在使用自己的FTP账号和密码在自己的电脑上访问财务部门的财务数据时，防火墙可以通过Content_ID来确定收纳员访问该财务数据的行为是否合法，但是如果收纳员在自己的电脑上使用了薪酬专员的FTP账号和密码来访问只有薪酬专员才能访问的财务数据时，防火墙也会认为这个访问是一个合法的行为，防火墙无法防止这种访问行为造成的信息泄露。

针对现有技术中防火墙安全性低的技术问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种通讯数据的处理方法和装置，以至少解决现有技术中防火墙安全性低的技术问题。

根据本发明实施例的一个方面，提供了一种通讯数据的处理方法，该处理方法包括：接收用户终端发送的通讯数据包；判断用户终端是否有权限访问外网；在判断出用户终端有权限访问外网的情况下，从通讯数据包中读取用户终端请求访问的目标服务器的账号信息；在账号信息与用户终端的预设账号信息相匹配的情况下，将通讯数据包发送至目标服务器。

进一步地，从通讯数据包中读取用户终端请求访问的目标服务器的账号信息包括：从通讯数据包中读取应用标识，其中，应用标识为用户终端请求访问的目标应用的标识；根据应用标识判断目标应用是否验证用户终端的合法性；在判断出需要验证用户终端的合法性的情况下，从通讯数据包中读取用户终端请求访问的目标服务器的账号信息。

进一步地，在根据应用标识判断目标应用是否验证用户终端的合法性之后，该处理方法还包括：在判断出不需要验证用户终端的合法性的情况下或从通讯数据包中读取账号信息失败时，将通讯数据包发送至目标服务器。

进一步地，判断用户终端是否有权限访问外网包括：从通讯数据包中读取用户终端的IP地址；从数据库中读取与IP地址对应的用户终端的标识；若用户终端的标识在预设终端标识集合内，则确定用户终端有权限访问外网；若用户终端的标识不在预设终端标识集合内，则确定用户终端没有权限访问外网。

进一步地，在从数据库中读取与IP地址对应的用户终端的标识之前，该处理方法还包括：在用户终端第一次访问外网时，从用户终端的通讯数据包中读取用户终端的IP地址；按照预定格式生成用户终端的标识，并建立用户终端的标识与IP地址的映射关系；将映射关系存入数据库。

进一步地，在从通讯数据包中读取用户终端请求访问的目标服务器的账号信息之后，该处理方法还包括：在账号信息与预设账号信息不匹配的情况下，确定用户终端发起的访问为非法访问，并将非法访问的信息写入日志。