[发明专利]BGP路由协议安全防护方法及装置

说明书

本发明实施例提供一种BGP路由协议安全防护方法及装置。方法包括：对位于网络中不同位置处的路由监测探针发送的BGP数据包进行关联分析，根据分析结果生成BGP安全防护规则；将所述BGP安全防护规则发送至位于所述网络中不同位置处的路由安全防火墙，以使得所述路由安全防火墙根据所述BGP安全防护规则，对命中的BGP数据包对应的TCP连接进行相应操作。本发明实施例提供的方法及装置，统一安全管理平台能够在BGP数据包的交互过程中实时生成BGP安全防护规则，并把规则实时下发给路由安全防火墙，以使得路由安全防火墙根据规则阻断TCP连接，达到及时阻断非法BGP数据包的传输，保证路由器的安全。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种BGP路由协议安全防护方法及装置。

背景技术

路由器是连接两个或多个网络的硬件设备，在网络间起网关的作用，是读取每一个数据包中的地址然后决定如何传送的专用智能性的网络设备。它能够理解不同的协议，例如某个局域网使用的以太网协议，因特网使用的TCP/IP协议。这样，路由器可以分析各种不同类型网络传来的数据包的目的地址，把非TCP/IP网络的地址转换成TCP/IP地址，或者反之；再根据选定的路由算法把各数据包按最佳路线传送到指定位置。所以路由器可以把非TCP/IP网络连接到因特网上。

边界网关协议(Border Gateway Protocol，BGP)是运行于TCP上的一种自治系统的路由协议，现有技术中路由器部署环境要么没有对BGP协议进行防护，要么配置的防护规则无法根据网络中流量的实时变化而变化，导致防护规则具有滞后性，不能及时阻断攻击，导致网络安全得不到保障。

发明内容

针对现有技术存在的问题，本发明实施例提供一种BGP路由协议安全防护方法及装置。

第一方面，本发明实施例提供一种BGP路由协议安全防护方法，包括：

对位于网络中不同位置处的路由监测探针发送的BGP数据包进行关联分析，根据分析结果生成BGP安全防护规则；

将所述BGP安全防护规则发送至位于所述网络中不同位置处的路由安全防火墙，以使得所述路由安全防火墙根据所述BGP安全防护规则，对命中的BGP数据包对应的TCP连接进行相应操作。

进一步地，所述路由监测探针位于所述网络中的自治域内部或不同的自治域间，所述路由安全防火墙位于所述网络中的自治域内部或不同的自治域间。

进一步地，所述BGP安全防护规则包括：源IP、目的IP、源端口、目的端口、BGP消息类型、动作；其中，所述动作为放行或阻止。

进一步地，对位于网络中不同位置处的路由监测探针发送的BGP数据包进行关联分析，根据分析结果生成BGP安全防护规则，包括：

对位于网络中不同位置处的路由监测探针发送的BGP数据包进行关联分析，得到分析结果；

若所述分析结果为异常，则生成BGP安全防护规则且所述安全防护规则中的动作为阻止。

进一步地，若所述安全防护规则中的动作为阻止，则所述相应操作为断开操作。

第二方面，本发明实施例提供一种BGP路由协议安全防护方法，包括：

接收统一安全管理平台发送的BGP安全防护规则；其中，所述BGP安全防护规则为所述统一安全管理平台根据对位于网络中不同位置处的路由监测探针发送的BGP数据包进行关联分析得到的分析结果所生成的；

根据所述BGP安全防护规则，对命中的BGP数据包对应的TCP连接进行相应操作。

第三方面，本发明实施例提供一种BGP路由协议安全防护装置，包括：