[发明专利]一种处理业务报文的方法及装置

说明书

本申请实施例提供了一种处理业务报文的方法及装置，属于通信技术领域，该方法应用于深度报文检测安全设备，所述方法应用于安全设备，所述安全设备中配置有运行于内核态的第一检测引擎和运行于用户态的第二检测引擎，所述方法包括：接收待检测的业务报文；当所述第一检测引擎不可用时，利用所述第二检测引擎对所述业务报文进行DPI检测，确定所述业务报文对应的处理动作；如果在预设时长内检测到所述第一检测引擎可用，利用所述第一检测引擎根据所述第二检测引擎确定出的处理动作对所述业务报文进行安全控制处理。通过本发明，可以提高网络的安全性。

技术领域

本申请涉及通信技术领域，特别是涉及一种处理业务报文的方法及装置。

背景技术

随着信息技术的快速发展，网络应用正在从传统、小型业务系统逐渐向大型、关键业务系统扩展，网络所承载的数据应用也日益增加，呈现复杂化、多元化趋势。然而，网络在使得我们的工作和生活快捷、方便的同时也带来了许多安全问题，比如，信息泄露和计算机感染病毒等。

为了保证数据内容的安全，人们提出了DPI(Deep Packet Inspection，深度报文检测)技术，对网络中的业务报文进行安全检测。DPI是一种基于业务报文的应用层信息对流经设备的网络流量进行检测和控制的安全机制，通常应用于安全设备(比如防火墙设备)中。通常，安全设备中存储有规则库，该规则库包括用于进行DPI检测的检测策略，比如用于匹配报文的特征项和相应的处理动作等。安全设备会将该规则库中的规则下发到内核中，也即，将规则库中的规则进行重新编译并导入内核的代码程序中，得到运行于内核态的检测引擎，安全设备利用该检测引擎实现DPI检测。具体的，安全设备接收到业务报文后，可以利用该检测引擎对业务报文的内容(一般是传输层以上的内容)进行安全检测，确定对该业务报文的处理动作，然后根据该处理动作对业务报文进行安全控制处理。例如，如果该业务报文的匹配的规则中的处理动作为“允许”，安全设备转发该业务报文；如果该业务报文匹配的规则中的处理动作为“丢弃”，安全设备将丢弃该业务报文，以阻断该业务报文所属的业务流。

安全设备在某些应用场景中，比如主备倒换或规则库升级后，需要重新将规则库下发到内核中，由于在下发的过程中运行于内核态的检测引擎无法使用，因此，安全设备在该下发过程中无法进行DPI检测，这样会导致网络的安全性较差。

发明内容

本申请实施例的目的在于提供一种处理业务报文的方法及装置，以实现在出现主备倒换或规则库升级等需要将规则库重新下发至内核的情况时，可以对业务报文进行DPI检测，从而提了网络的安全性。具体技术方案如下：

为实现上述目的，提供了一种处理业务报文的方法，该方法应用于安全设备，所述安全设备中配置有运行于内核态的第一检测引擎和运行于用户态的第二检测引擎，该方法包括：

接收待检测的业务报文；

当所述第一检测引擎不可用时，利用所述第二检测引擎对所述业务报文进行深度报文检测DPI检测，确定所述业务报文对应的处理动作；

如果在预设时长内检测到所述第一检测引擎可用，利用所述第一检测引擎根据所述第二检测引擎确定出的处理动作对所述业务报文进行安全控制处理。

为实现上述目的，提供了一种处理业务报文的装置，所述装置应用于安全设备，所述安全设备中配置有运行于内核态的第一检测引擎和运行于用户态的第二检测引擎，，所述装置包括：

接收模块，用于接收待检测的业务报文；

第一检测模块，用于当所述第一检测引擎不可用时，利用所述第二检测引擎对所述业务报文进行深度报文检测DPI检测，确定所述业务报文对应的处理动作；

第一处理模块，用于如果在预设时长内检测到所述第一检测引擎可用，利用所述第一检测引擎根据所述第二检测引擎确定出的处理动作对所述业务报文进行安全控制处理。