[发明专利]一种会话表项处理方法、装置、防火墙设备及存储介质

权利要求书

1.一种会话表项处理方法，其特征在于，应用于防火墙设备，所述方法包括：

每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值，所述第一阈值大于等于连接建立完成需要消耗的时长；

如果存在所述第一会话表项，则判断所述第一会话表项对应的连接是否为非法连接；

如果是非法连接，则检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；

如果不大于所述第二阈值，则删除所述第一会话表项。

2.根据权利要求1所述的方法，其特征在于，所述判断所述第一会话表项对应的连接是否为非法连接的步骤，包括：

检测与所述第一会话表项匹配的报文是否仅有正向报文；或检测与所述第一会话表项匹配的报文是否仅有同步SYN报文和SYN/确认ACK报文；

如果检测到仅有正向报文或检测到仅有SYN报文和SYN/ACK报文，则确定所述第一会话表项对应的连接为非法连接。

3.根据权利要求1所述的方法，其特征在于，在删除所述第一会话表项之后，所述方法还包括：

检测可疑列表包括的网络协议IP地址中是否存在所述第一会话表项包括的源IP地址；所述可疑列表用于存储产生攻击的IP地址，并用于提示产生攻击的IP地址；

如果不存在，则将所述源IP地址添加至所述可疑列表中，为所述可疑列表中所述源IP地址配置老化时长；如果存在，则重置所述可疑列表中所述源IP地址的所述老化时长；

当所述老化时长超时后，从所述可疑列表中删除所述源IP地址。

4.根据权利要求1所述的方法，其特征在于，在删除所述第一会话表项之后，所述方法还包括：

检测可疑列表包括的IP地址中是否存在所述第一会话表项包括的源IP地址；所述可疑列表用于存储产生攻击的IP地址和当前时刻前的第二时长内引用次数的对应关系；

如果不存在，则将所述源IP地址添加至所述可疑列表中，将所述可疑列表中所述源IP地址的引用次数设置为1；如果存在，则将所述可疑列表中所述源IP地址的引用次数加1；

所述方法还包括：

每隔第三时长检测所述可疑列表中是否存在引用次数大于第三阈值的第一IP地址；

如果存在第一IP地址，则输出包括所述第一IP地址的告警日志；所述告警日志用于提示所述第一IP地址为短时间内多次产生攻击的IP地址。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若检测到与所述第一会话表项匹配的正向报文的个数大于所述第二阈值，则为所述第一会话表项配置丢弃标识；所述丢弃标识用于指示所述防火墙设备丢弃与所述第一会话表项匹配的报文。

6.一种会话表项处理装置，其特征在于，应用于防火墙设备，所述装置包括：

第一检测单元，用于每隔第一时长检测会话表项中是否存在时间差值的绝对值超过第一阈值的第一会话表项；所述时间差值为当前时刻和与会话表项匹配的最后一个报文的接收时间的时间差值，所述第一阈值大于等于连接建立完成需要消耗的时长；

判断单元，用于在所述第一检测单元的检测结果为是时，判断所述第一会话表项对应的连接是否为非法连接；

第二检测单元，用于在所述判断单元的判断结果为是时，检测与所述第一会话表项匹配的正向报文的个数是否大于第二阈值；

第一删除单元，用于在所述第二检测单元的检测结果为否时删除所述第一会话表项。

7.根据权利要求6所述的装置，其特征在于，所述判断单元，具体用于：

检测与所述第一会话表项匹配的报文是否仅有正向报文；或检测与所述第一会话表项匹配的报文是否仅有同步SYN报文和SYN/确认ACK报文；

如果检测到仅有正向报文或检测到仅有SYN报文和SYN/ACK报文，则确定所述第一会话表项对应的连接为非法连接。