[发明专利]分组过滤装置

摘要

本发明涉及以适于逻辑式计算的树形结构来表现作为防止网络攻击的技术的分组过滤的规则集，提高处理效率的分组过滤装置以及其分组过滤方法。分组过滤装置具备：规则集，其存储条件与动作对应起来而成的规则；以及ZDD(Zero‑Suppressed Binary Decision Diagram，零压缩二元决策图)，其表述通过利用逻辑变量记述规则的条件的逻辑式；分组解析部，其对从网络接收到的分组进行解析，提取对照信息，该对照信息是作为对照对象的字符串；以及过滤部，其对分组解析部提取出的对照信息和ZDD进行对照，执行与对照信息所符合的条件对应起来的动作来允许或拒绝分组的通信。

主权项

1.一种分组过滤装置，其中，所述分组过滤装置具备：规则集，其保存条件与动作对应起来而成的规则以及ZDD，该ZDD表述利用逻辑变量记述了所述规则的所述条件的逻辑式，其中，该ZDD是零压缩二元决策图；分组解析部，其对从网络接收到的分组进行解析，提取对照信息，该对照信息是作为对照对象的字符串；以及过滤部，其对所述分组解析部提取出的所述对照信息与所述ZDD进行对照，执行与所述对照信息所符合的所述条件对应起来的所述动作来允许或拒绝所述分组的通信，所述过滤部在所述对照信息与所述ZDD的对照中，用0来覆盖完成对照的所述逻辑变量的值，在完成对所述ZDD的整体的对照时，对包含用0覆盖的所述逻辑变量的所述逻辑式的值是否是0进行判定，所述过滤部在完成对所述ZDD的整体的对照时利用所述ZDD计算出的所述逻辑式的值是0时，将所述逻辑式的值的判定结果设为0，当利用所述ZDD计算出的所述逻辑式的值是1时，如果包含用0覆盖的所述逻辑变量的所述逻辑式的值是0，则将所述逻辑式的值的判定结果设为1，如果包含用0覆盖的所述逻辑变量的所述逻辑式的值不是0，则将所述逻辑式的值的判定结果设为0。