[发明专利]入侵防御方法及装置

说明书

技术领域

本申请涉及通信技术领域，尤其涉及入侵防御方法及装置。

背景技术

随着互联网应用与规模不断扩大，网络环境日益复杂化，网络入侵频率和攻击水准不断提高，企业内部网络面临着严峻的考验，为了保护网络内部数据安全，及时阻止来自网络内外的各种未知攻击，可以在服务器群组入口或网络入口处部署入侵防御设备(Intrusion Prevention System，IPS)。IPS设备每天要防御大量的网络攻击，为了方便对网络状况进行分析和改进，这些攻击的信息会以告警日志的方式记录下来。例如，可以在IPS设备中预设有包括攻击特征的IPR特征库，IPS设备通过IPR特征库判断报文是否为攻击报文，若报文是攻击报文，则进行相应的防御操作，并产生告警日志；若报文不是攻击报文，则不产生告警日志，并转发该报文。

目前，当发现报文为攻击报文时，可以直接拦截报文，或进行告警操作。可见，不同应用场景下防御策略可能不同，利用固定的IPS特征库判断报文是否为攻击报文，可能拦截掉某些允许转发的报文，或引起不必要的误报。

发明内容

为克服相关技术中利用固定的IPS特征库判断报文是否为攻击报文，导致误报或误拦截的缺陷，本申请提供了入侵防御方法及装置。

根据本申请实施例的第一方面，提供一种入侵防御方法，所述方法包括：

接收报文，从所述报文中获取特征；

如果黑名单中存在所述报文中的特征，则拦截所述报文；

如果白名单中存在所述报文中的特征，则转发所述报文；

如果所述黑名单和白名单中均不存在所述报文的特征，利用IPS特征库判断所述报文是否为攻击报文，并根据判断结果进行相应的防御操作；

所述黑名单中记录有需拦截的报文的特征，所述白名单中记录有允许转发的报文的特征、且所述白名单包括的特征在所述IPS特征库中。

可选的，所述方法还包括：

如果所述黑名单/白名单/特征库中存在所述报文中的特征时，将生成的告警日志划分到对应的黑名单分类/白名单分类/灰名单分类中；

基于预生成的查询控件，查询黑名单分类/白名单分类/灰名单分类对应的告警日志。

可选的，所述方法还包括：

关于因IPS特征库中存在所述报文的特征而生成的告警日志，如果所述告警日志的生成频率大于指定频率时，以预设的通知方式将提醒信息发送至关联用户，以提示所述关联用户将该报文的特征添加至黑名单或白名单中。

可选的，所述黑名单/所述白名单中的特征包括：报文的发送时间范围、报文的原地址范围及端口号、报文的目的地址范围及端口号、报文协议、报文内容中的敏感字符中的一项或多项。

可选的，所述方法还包括：

基于预设的名单配置界面，配置所述黑名单或所述白名单。

根据本申请实施例的第二方面，提供一种入侵防御装置，所述装置包括：

特征获取模块，用于从接收的报文中获取特征；

第一防御模块，用于如果黑名单中存在所述报文中的特征，则拦截所述报文；

第二防御模块，用于如果白名单中存在所述报文中的特征，则转发所述报文；

第三防御模块，用于如果所述黑名单和白名单中均不存在所述报文的特征，利用IPS特征库判断所述报文是否为攻击报文，并根据判断结果进行相应的防御操作；

所述黑名单中记录有需拦截的报文的特征，所述白名单中记录有允许转发的报文的特征、且所述白名单包括的特征在所述IPS特征库中。

可选的，所述装置还包括：

日志分类模块，用于如果所述黑名单/白名单/特征库中存在所述报文中的特征时，将生成的告警日志划分到对应的黑名单分类/白名单分类/灰名单分类中；

日志查询模块，用于基于预生成的查询控件，查询黑名单分类/白名单分类/灰名单分类对应的告警日志。

可选的，所述装置还包括：

信息通知模块，用于关于因IPS特征库中存在所述报文的特征而生成的告警日志，如果所述告警日志的生成频率大于指定频率时，以预设的通知方式将提醒信息发送至关联用户，以提示所述关联用户将该报文的特征添加至黑名单或白名单中。

可选的，所述黑名单/所述白名单中的特征包括：报文的发送时间范围、报文的原地址范围及端口号、报文的目的地址范围及端口号、报文协议、报文内容中的敏感字符中的一项或多项。

可选的，所述装置还包括：

名单配置模块，用于基于预设的名单配置界面，配置所述黑名单或所述白名单。