[发明专利]一种报文过滤方法及装置

权利要求书

1.一种报文过滤方法，其特征在于，所述方法应用于网络设备，所述方法包括：

获取接收到的待检测报文的特征信息，及所述网络设备中接收所述待检测报文的入接口的标识，所述待检测报文的特征信息包括所述待检测报文的源互联网协议IP地址；

查询预设黑名单中是否存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，所述预设黑名单包括记录有攻击报文的特征信息、接收所述攻击报文的入接口的标识的过滤表项；

若所述预设黑名单中不存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，则按照预设的安全检测规则检测所述待检测报文是否为攻击报文；

根据检测结果，对所述待检测报文进行处理。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述预设黑名单中存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，则丢弃所述待检测报文。

3.根据权利要求1所述的方法，其特征在于，所述待检测报文的特征信息还包括虚拟局域网VLAN标识；

所述网络设备中接收所述待检测报文的入接口的标识包括入接口名称和/或入接口媒体访问控制MAC地址。

4.根据权利要求1所述的方法，其特征在于，所述根据检测结果，对所述待检测报文进行处理，包括：

若检测结果是所述待检测报文为攻击报文，则将接收所述待检测报文的入接口的标识和所述待检测报文的特征信息作为一条过滤表项的信息记录至所述预设黑名单中；

若检测结果是所述待检测报文不为攻击报文，则放行所述待检测报文。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在检测到所述网络设备的第一入接口的接口信息发生变更时，确定所述第一入接口变更前的第一接口信息和变更后的第二接口信息，所述接口信息包括入接口名称和/或入接口MAC地址；

若所述预设黑名单中存在包含所述第一接口信息的第一过滤表项，则将所述第一过滤表项中的所述第一接口信息更改为所述第二接口信息。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在检测到所述网络设备的第二入接口被删除时，确定所述第二入接口的入接口名称和/或入接口MAC地址；

若所述预设黑名单中存在包含所述第二入接口的入接口名称和/或入接口MAC地址的第二过滤表项，则将所述预设黑名单中的所述第二过滤表项删除。

7.一种报文过滤装置，其特征在于，所述装置应用于网络设备，所述装置包括：

获取模块，用于获取接收到的待检测报文的特征信息，及所述网络设备中接收所述待检测报文的入接口的标识，所述待检测报文的特征信息包括所述待检测报文的源互联网协议IP地址；

查询模块，用于查询预设黑名单中是否存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，所述预设黑名单包括记录有攻击报文的特征信息、接收所述攻击报文的入接口的标识的过滤表项；

检测模块，用于若所述预设黑名单中不存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，则按照预设的安全检测规则检测所述待检测报文是否为攻击报文；

处理模块，用于根据检测结果，对所述待检测报文进行处理。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

丢弃模块，用于若所述预设黑名单中存在包含接收所述待检测报文的入接口的标识、所述待检测报文的特征信息的过滤表项，则丢弃所述待检测报文。

9.根据权利要求7所述的装置，其特征在于，所述待检测报文的特征信息还包括虚拟局域网VLAN标识；

所述网络设备中接收所述待检测报文的入接口的标识包括入接口名称和/或入接口媒体访问控制MAC地址。