(57)【要約】ネットワーク機器に適用されるパケット処理方法及び装置を提供する。前記方法は、第一パケットを受信することと、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断することと、第二パケットの数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一エントリを削除し、第一エントリが第一パケットの第二のパケット情報を含むことと、第一パケットに対して攻撃検出を行うことと、を含む。本願の実施例に係る技術案を適用することで、ネットワーク機器に存在するセキュリティーリスクを効率的に低下させる。【選択図】図２
2022500957.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器に適用されるパケット処理方法であって、
第一パケットを受信することと、
前記第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
前記数がプリセットされた数の閾値より大きいかどうかを判断することと、
前記数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一エントリを削除し、前記第一エントリが第一パケットの第二のパケット情報を含むことと、
前記第一パケットに対して攻撃検出を行うことと、
を含むパケット処理方法。
【請求項２】
前記第一パケットを受信することは、
第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信することを含み、
前記プリセット期間に受信された第二パケットの数を確定することは、
前記第一セキュリティー領域に対応するプリセット期間内に、前記第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定することを含み、
前記数がプリセットされた数の閾値より大きいかどうかを判断することは、
前記数が前記第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断することを含む、
請求項１に記載のパケット処理方法。
【請求項３】
前記プリセット期間に受信された第二パケットの数を確定することは、
プリセット期間と、前記プリセット期間に第二パケットを受信する速度とによって、前記プリセット期間に受信された第二パケットの数を確定することを含む、
請求項１に記載のパケット処理方法。
【請求項４】
前記プリセット期間と、前記プリセット期間に第二パケットを受信する速度とによって、前記プリセット期間に受信された第二パケットの数を確定することは、
下式により、プリセット期間に受信された第二パケットの数Ｓを確定することを含み、
【数１】
2022500957.tif 000012
ここで、ｔが前記プリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である、
請求項３に記載のパケット処理方法。
【請求項５】
前記高速転送テーブル中の第一エントリを削除することは、
高速転送テーブルに第一エントリがあるかどうかを検出することと、
前記第一エントリがある場合、前記第一エントリを削除することと、
を含む、
請求項１に記載のパケット処理方法。
【請求項６】
前記数がプリセットされた数の閾値を超えていない場合に、前記パケット処理方法は、
高速転送テーブルに第一エントリがあるかどうかを検出することと、
前記第一エントリがない場合、第一パケットに対して攻撃検出を行うことと、
前記第一エントリがある場合、第一パケットを転送することと、
を更に含む、
請求項１に記載のパケット処理方法。
【請求項７】
ネットワーク機器に適用されるパケット処理装置であって、
第一パケットを受信するための受信モジュールと、
第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じである確定モジュールと、
前記数がプリセットされた数の閾値より大きいかどうかを判断するための判断モジュールと、
前記判断モジュールによる判断結果は前記数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一エントリを削除し、前記第一エントリが第一パケットの第二のパケット情報を含む削除モジュールと、
前記第一パケットに対して攻撃検出を行うための処理モジュールと、
を含むパケット処理装置。
【請求項８】
前記受信モジュールは、具体的に、第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信するように構成され、
前記確定モジュールは、具体的に、前記第一パケットが基本的な検出にパスした後、前記第一セキュリティー領域に対応するプリセット期間内に、前記第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定するように構成され、
前記判断モジュールは、具体的に、前記数が前記第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断するように構成される、
請求項７に記載のパケット処理装置。
【請求項９】
前記確定モジュールは、具体的に、プリセット期間と、前記プリセット期間に第二パケットを受信する速度とによって、前記プリセット期間に受信された第二パケットの数を確定するように構成される、
請求項７に記載のパケット処理装置。
【請求項１０】
前記確定モジュールは、具体的に、下式により、プリセット期間に受信された第二パケットの数Ｓを確定するように構成され、
【数２】
2022500957.tif 000013
ここで、ｔが前記プリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である、
請求項９に記載のパケット処理装置。
【請求項１１】
前記削除モジュールは、具体的に、高速転送テーブルに第一エントリがあるかどうかを検出し、前記第一エントリがある場合、前記第一エントリを削除するように構成される、
請求項７に記載のパケット処理装置。
【請求項１２】
前記処理モジュールは、更に、
前記数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出し、前記第一エントリがない場合に、第一パケットに対して攻撃検出を行い、前記第一エントリがある場合、第一パケットを転送するように構成される、
請求項７に記載のパケット処理装置。
【請求項１３】
プロセッサとコンピューター読み出し可能な記憶媒体とを含み、前記コンピューター読み出し可能な記憶媒体に前記プロセッサによって実行されるコンピューター実行可能な命令を記憶しており、
前記プロセッサは、前記コンピューター実行可能な命令によって、
第一パケットを受信することと、
前記第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
前記数がプリセットされた数の閾値より大きいかどうかを判断することと、
前記数がプリセットされた数の閾値より大きいと判断した場合に、高速転送テーブル中の第一エントリを削除し、前記第一エントリが第一パケットの第二のパケット情報を含むことと、
前記第一パケットに対して攻撃検出を行うということと、
を実行するネットワーク機器。
【請求項１４】
前記プロセッサは、前記コンピューター実行可能な命令によって、
第一セキュリティー領域に位置する第一インターフェースを介して、第一パケットを受信することと、
前記第一パケットが基本的な検出にパスした後、前記第一セキュリティー領域に対応するプリセット期間内に、前記第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定することと、
前記数が前記第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断することと、
を実行する請求項１３に記載のネットワーク機器。
【請求項１５】
前記プロセッサは、前記コンピューター実行可能な命令によって、プリセット期間と前記プリセット期間に第二パケットを受信する速度とによって、前記プリセット期間に受信された第二パケットの数を確定すること、を実行する
請求項１３に記載のネットワーク機器。
【請求項１６】
前記プロセッサは、前記コンピューター実行可能な命令によって、下式によって、プリセット期間に受信された第二パケットの数Ｓを確定することを実行し、
【数３】
2022500957.tif 000014
ここで、ｔが前記プリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である、
請求項１５に記載のネットワーク機器。
【請求項１７】
前記プロセッサは、前記コンピューター実行可能な命令によって、高速転送テーブルに第一エントリがあるかどうかを検出し、前記第一エントリがある場合、前記第一エントリを削除することを実行する、
請求項１３に記載のネットワーク機器。
【請求項１８】
前記プロセッサは、前記コンピューター実行可能な命令によって、前記数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出し、前記第一エントリがない場合に、前記第一パケットに対して攻撃検出を行い、前記第一エントリがある場合に、第一パケットを転送することを実行する
請求項１３に記載のネットワーク機器。
【請求項１９】
コンピューター実行可能な命令を記憶しているコンピューター読み出し可能な記憶媒体であって、
前記コンピューター実行可能な命令は、プロセッサによって呼び出されて実行されると、プロセッサに、
第一パケットを受信することと、
前記第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
前記数がプリセットされた数の閾値より大きいかどうかを判断することと、
前記数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一エントリを削除し、前記第一エントリが第一パケットの第二のパケット情報を含むことと、
前記第一パケットに対して攻撃検出を行うことと、
を実行させるコンピューター読み出し可能な記憶媒体。
【請求項２０】
コンピューター実行可能な命令であって、
プロセッサによって呼び出されて実行されると、プロセッサに、
第一パケットを受信することと、
前記第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
前記数がプリセットされた数の閾値より大きいかどうかを判断することと、
前記数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一エントリを削除し、前記第一エントリが第一パケットの第二のパケット情報を含むことと、
前記第一パケットに対して攻撃検出を行うことと、
を実行させるコンピューター実行可能な命令。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、２０１８年９月２８日に中国国家知的財産権局へ提出された、出願番号が２０１８１１１４１９２１．４であり、発明の名称が「パケット処理方法及び装置」である中国特許出願に基づき優先権を主張し、その内容の全てが援用により本願に組み込まれる。
【背景技術】
【０００２】
従来、パケット転送の効率を向上させるために、ファイアウォール機器は高速転送機能を起動する。高速転送機能を起動した後、ファイアウォール機器で高速転送テーブルを生成する。ファイアウォール機器は、パケットを受信し、パケットに対してフォーマット検出や、長さ検出や、キーバイト検出などの基本的な検出を行う。
【０００３】
パケットが基本的な検出にパスしたが、高速転送テーブルにパケットのパケット情報（例えば、５タプル情報）を含むエントリがないと、ファイアウォール機器はこのパケットが１つのサービスの最初のパケットであると確定し、パケットに対して攻撃検出を行う。
【０００４】
パケットが基本的な検出にパスし、且つ高速転送テーブルにパケットのパケット情報を含むエントリがあると、ファイアウォール機器はこのパケットが１つのサービスの最初のパケットではないと確定し、パケットを直接に転送する。
【図面の簡単な説明】
【０００５】
【図１】図１は、本願の実施例に係るネットワークシナリオの一例の模式図である。
【図２】図２は、本願の実施例に係るパケット処理方法の第一フローチャートの模式図である。
【図３】図３は、本願の実施例に係るパケット処理方法の第二フローチャートの模式図である。
【図４】図４は、本願の実施例に係るパケット処理方法の第三フローチャートの模式図である。
【図５】図５は、本願の実施例に係るパケット処理装置の一例の構造模式図である。
【図６】図６は、本願の実施例に係る電子機器の一例の構造模式図である。
【発明を実施するための形態】
【０００６】
以下、本願の実施例の図面を参照して、本願の実施例に係る技術案を明確かつ完全に説明する。明らかに、説明される実施例は、全ての実施例ではなく、本願の実施例の一部にすぎない。本願の実施例に基づいて、当業者が進歩性に値する労働をしなくて得られる他の全ての実施例は、本願の保護範囲に入る。
【０００７】
本願の実施例を説明する前に、先ず本願の実施例における幾つかの用語を説明する。
【０００８】
基本的な検出とは、パケットを検出することによって、当該パケットが正当なパケットかどうかを確定することを指す。基本的な検出に１つまたは複数の種類の検出を含む。複数の種類の検出のそれぞれは、対応する検出戦略を設定している。
【０００９】
パケット内の情報が、ある種類の検出に対応する検出戦略にマッチしたと、当該パケットは該種類の検出にパスしたと考えられる。すなわち、該種類の検出の結果は成功である。パケット内の情報が、１つの種類の検出に対応する検出戦略にマッチしないと、当該パケットは該種類の検出にパスしないと考えられる。すなわち、該種類の検出の結果は失敗である。
【００１０】
全ての種類の検出の結果が成功である場合、当該パケットは基本的な検出にパスし、当該パケットは正当なパケットであると考えられる。１つまたは複数の種類の検出の結果が失敗である場合、当該パケットは基本的な検出にパスせず、当該パケットは不正なパケットであると考えられる。基本的な検出に、フォーマット検出や、長さ検出や、キーバイト検出などの複数の種類の検出を含むが、これらに限定されない。
【００１１】
フォーマット検出とは、パケットのフォーマットがプリセットプロトコルのパケットのフォーマットにマッチするかどうかを検出することを指す。プリセットプロトコルに、ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）とＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ）を含むが、これらに限定されない。当該パケットのフォーマットがプリセットプロトコルのパケットのフォーマットにマッチしたと、当該パケットはフォーマット検出にパスしたと考えられる。すなわち、フォーマット検出の結果は成功である。当該パケットのフォーマットがプリセットプロトコルのパケットのフォーマットにマッチしないと、当該パケットはフォーマット検出にパスしないと考えられる。即ち、フォーマット検出の結果は失敗である。この場合は、当該パケットは基本的な検出にパスせず、不正なパケットであると考えられる。
【００１２】
長さ検出とは、パケット長が長さ閾値を超えるかどうかを検出することを指す。当該パケット長がプリセット長さの閾値を超えていないと、当該パケットは長さ検出にパスしたと考えられる。すなわち、長さ検出の結果は成功である。当該パケット長が長さの閾値を超えたと、当該パケットは長さ検出にパスしないと考えられている。即ち、長さ検出の結果は失敗である。この場合は、当該パケットは基本的な検出にパスせず、不正なパケットであると考えられる。
【００１３】
キーバイト検出とは、パケットのデフォルトバイトにデフォルトコンテンツがあるかどうかを検出することを指す。当該パケットのデフォルトバイトにデフォルトコンテンツがあると、当該パケットはキーバイト検出にパスしたと考えられる。すなわち、キーバイト検出の結果は成功である。当該パケットのデフォルトバイトにデフォルトコンテンツがないと、当該パケットはキーバイト検出にパスしないと考えられる。即ち、キーバイト検出の結果は失敗である。この場合は、当該パケットは基本的な検出にパスせず、不正なパケットであると考えられる。
【００１４】
攻撃検出とは、パケットが攻撃パケットかどうかを検出することを指す。攻撃検出にスキャン攻撃検出を含む。
【００１５】
スキャン攻撃とは、さまざまな宛先アドレスや宛先ポート番号を持つ多数のスキャン攻撃パケットを攻撃者からネットワークにブロードキャストすることを指す。これにより、ネットワーク機器は攻撃者によって送信された多数のスキャン攻撃パケットを処理する必要があり、ネットワーク機器の通常のサービスに対する処理に影響を与える。
【００１６】
スキャン攻撃検出とは、パケットがスキャン攻撃パケットかどうかを検出することを指す。スキャン攻撃検出を行う時に、ネットワーク機器によってある機器から受信されたパケットの数が数の閾値以上であると、スキャン攻撃検出にパスしないと確定する。すなわち、スキャン攻撃検出の結果は、当該機器から送信されたパケットがスキャン攻撃パケットであることである。ネットワーク機器によってある機器から受信されたパケットの数が数の閾値より小さいと、スキャン攻撃検出にパスしたと確定する。すなわち、スキャン攻撃検出の結果は当該機器から送信されたパケットがスキャン攻撃パケットではないことである。
【００１７】
スキャン攻撃は、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）スキャン攻撃とポートスキャン攻撃に分けられる。これに対応して、スキャン攻撃検出にＩＰスキャン攻撃検出とポートスキャン攻撃検出とを含む。
【００１８】
ＩＰスキャン攻撃とは、宛先ＩＰアドレスが異なる多数のＩＰスキャン攻撃パケットを攻撃者からネットワークにブロードキャストすることを指す。これにより、ネットワーク機器は、攻撃者によって送信された多数のＩＰスキャン攻撃パケットを処理する必要があり、ネットワーク機器の通常のサービスに対する処理に影響を与える。
【００１９】
ＩＰスキャン攻撃検出を行う時に、ネットワーク機器によって受信された送信元ＩＰアドレスが同じで、宛先ＩＰアドレスが異なるパケットの数は数の閾値以上であると、ＩＰスキャン攻撃検出にパスしないと確定する。すなわち、ＩＰスキャン攻撃検出の結果は、当該送信元ＩＰアドレスからのパケットがＩＰスキャン攻撃パケットであることである。ネットワーク機器によって受信された送信元ＩＰアドレスが同じで、宛先ＩＰアドレスが異なるパケットの数は数の閾値より少ないと、ＩＰスキャン攻撃検出にパスしたと確定する。すなわち、ＩＰスキャン攻撃検出の結果は、当該送信元ＩＰアドレスからのパケットがＩＰスキャン攻撃パケットではないことである。
【００２０】
ポートスキャン攻撃とは、送信元ＩＰアドレスと宛先ＩＰアドレスとが同じで、宛先ポートが異なる多数のポートスキャン攻撃パケットを攻撃者からネットワークにブロードキャストすることを指す。これにより、ネットワーク機器は攻撃者によって送信された多数のポートスキャン攻撃パケットを処理する必要があり、ネットワーク機器の通常のサービスに対する処理に影響を与える。
【００２１】
ポートスキャン攻撃検出を行う時に、ネットワーク機器によって受信された、送信元ＩＰアドレスと宛先ＩＰアドレスとが同じで、宛先ポートが異なるパケットの数は数の閾値以上であると、ポートスキャン攻撃検出にパスしないと確定する。すなわち、ポートスキャン攻撃検出の結果は、当該送信元ＩＰアドレス及び宛先ＩＰアドレスからのパケットがポートスキャン攻撃パケットであることである。ネットワーク機器によって受信された、送信元ＩＰアドレスと宛先ＩＰアドレスとが同じで、宛先ポートが異なるパケットの数は数の閾値より少ないと、ポートスキャン攻撃検出にパスしたと確定する。すなわち、ポートスキャン攻撃検出の結果は、当該送信元ＩＰアドレス及び宛先ＩＰアドレスからのパケットがポートスキャン攻撃パケットではないことである。
【００２２】
現在、図１に示すネットワーキングは、第一ネットワークに配置される第一機器１００と、ネットワーク機器１０１と、第二ネットワークに配置される第二機器１０２とを含む。ネットワーク機器１０１は、第一ネットワークと第二ネットワークとを接続する機器として、第一ネットワークにおける機器によって送信されたパケットを第二ネットワークにおける機器に転送し、第二ネットワークにおける機器によって送信されたパケットを第一ネットワークにおける機器に転送する役割を果たす。ネットワーク機器１０１は、例えばファイアウォール機器、レイヤ３スイッチ、またはルーターなどの通信機器でもよい。
【００２３】
ネットワーク機器１０１は、高速転送機能を起動した後、伝送されるパケットのパケット情報（例えば、５タプル情報）に基づいて高速転送テーブルを確立する。ネットワーク機器１０１によって伝送されるパケットは、第一機器１００によって送信されたパケットでもよいし、第二機器１０２によって送信されたパケットでもよい。以下、第一機器１００によって送信されたパケットを例にして説明する。
【００２４】
ネットワーク機器１０１は、第一機器１００から送信されたパケット１を受信し、パケット１に対して基本的な検出を行う。パケット１が基本的な検出にパスした後、ネットワーク機器１０１は、高速転送テーブルにパケット１のパケット情報を含むエントリ１があるかどうかを検出する。エントリ１がないと、ネットワーク機器１０１はパケット１に対して攻撃検出、例えばスキャン攻撃検出を行う。パケット１が攻撃検出にパスした場合、即ちパケット１が攻撃パケットではない場合は、ネットワーク機器１０１は、高速転送テーブルにおいてパケット１のパケット情報を含むエントリ１を確立して、パケット１を転送する。パケット１が攻撃検出にパスしない場合、即ちパケット１が攻撃パケットである場合は、設定されるパケット処理動作に従ってパケット１を処理する。
【００２５】
ネットワーク機器１０１が、高速転送テーブルにエントリ１があることを検出したと、ネットワーク機器１０１はパケット１を直接に転送する。
【００２６】
上記の高速転送機能の特徴、即ち高速転送テーブルには対応するエントリがあるパケットに対して攻撃検出を行わないという特徴に基づいて、攻撃者は、高速転送テーブルのエントリデータを利用して、ネットワーク機器１０１に対して攻撃できる。その結果、ネットワーク機器１０１に高いセキュリティーリスクが存在する。
【００２７】
ネットワーク機器１０１に存在するセキュリティーリスクを低下させるために、本願の実施例はパケット処理方法を提供する。当該パケット処理方法は、例えば図１に示すネットワーク機器１０１のようなネットワーク機器に適用される。本願の実施例では、ネットワーク機器は、ファイアウォール機器、レイヤ３スイッチ、またはルーターなどの通信機器でもよい。
【００２８】
本願の実施例に係るパケット処理方法では、ネットワーク機器は、第一パケットを受信したと、第一パケットが基本的な検出にパスした後に、第一パケットに対して攻撃可能性の検出を行う。すなわち、ネットワーク機器は、プリセット期間に受信された第二パケットの数を確定し、そのうち、第二パケットのパケット情報は、第一パケットの第一のパケット情報と同じである。第二パケットの数がプリセットされた数の閾値より大きい場合、ネットワーク機器は第一パケットが疑似攻撃パケットできると確定し、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除する。このように、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルに第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行い、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【００２９】
以下、具体的な実施例によって、本願の実施例に係るパケット処理方法について詳しく説明する。
【００３０】
図２を参照すると、図２は本願の実施例に係るパケット処理方法の第一フローチャートの模式図であり、例えば図１に示すネットワーク機器１０１のようなネットワーク機器に適用される。本願の実施例では、ネットワーク機器が高速転送機能を起動した機器である。すなわち、ネットワーク機器は伝送されるパケットのパケット情報に基づいて高速転送テーブルを確立する。上記のパケット処理方法に、以下のブロックを含む。
【００３１】
ブロック２０１では、ネットワーク機器が第一パケットを受信する。
【００３２】
第一パケットは、ネットワーク機器が任意のインターフェースを介して受信した任意のパケットでもよい。第一パケットは、１つのサービスの最初のパケットでもよいし、１つのサービスの最初のパケットでなくてもよい。第一パケットは、ＴＣＰパケットでもよいし、ＵＤＰパケットでもよいし、他のプロトコルに基づくパケットでもよい。本願の実施例では第一パケットのみを例として説明するが、何ら限定的な役割を果たさない。
【００３３】
図１に示すように、第一パケットは第一機器１００によって送信されたパケットでもよいし、第二機器１０２によって送信されたパケットでもよい。
【００３４】
ブロック２０２では、ネットワーク機器は、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定する。第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。
【００３５】
そのうち、第一のパケット情報はパケットの送信元ＩＰアドレスを含んでもよいし、パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとを含んでもよいし、パケットの３タプル、５タプル、または７タプルの情報を含んでもよい。本願の実施例では、第一のパケット情報に含まれる情報はネットワーク機器のデフォルト設定でもよいし、ユーザーによりカスタマイズされてもよいが、本願の実施例では特に限定されない。
【００３６】
本願の実施例では、プリセット期間はネットワーク機器のデフォルト設定でもよいし、ユーザーによりカスタマイズされてもよい。例えば、プリセット期間は１０秒や、１分などである。
【００３７】
ネットワーク機器は、第一パケットを受信した後、第一パケットに対して基本的な検出を行う。第一パケットが基本的な検出にパスしないと、ネットワーク機器は、第一パケットが不正なパケットであると確定し、第一パケットを破棄する。
【００３８】
第一パケットが基本的な検出にパスしたと、ネットワーク機器は第一パケットに対して攻撃可能性の検出を行う。つまりブロック２０３を実行し、即ち受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断する。第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。例えば、第一のパケット情報に送信元ＩＰアドレスを含み、第一パケットの送信元ＩＰアドレスはＩＰ１である。一つのパケットの送信元ＩＰアドレスがＩＰ１である場合、ネットワーク機器は当該パケットのパケット情報が第一パケットの第一のパケット情報と同じであると確定する。当該パケットは第二パケットであることを理解できる。
【００３９】
ブロック２０３を実行する前に、ネットワーク機器はプリセット期間に受信された第二パケットの数を確定できる。
【００４０】
例えば、プリセット期間が一分であり、現在の時点が１０：００である。ネットワーク機器は第一パケットが基本的な検出にパスしたことを確定した後、９：５９−１０：００内に受信された第二パケットの数を確定できる。第二パケットのパケット情報が第一パケットの第一のパケット情報と同じである。
【００４１】
本願の一実施例では、ネットワーク機器は、プリセット期間と、プリセット期間に第二パケットを受信する速度とによって、プリセット期間に受信された第二パケットの数を確定する。
【００４２】
一実施例では、ネットワーク機器は、式（１）により、プリセット期間に受信された第二パケットの数Ｓを確定する。
【００４３】
【数１】
2022500957.tif 000003
【００４４】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度である。
【００４５】
例えば、ｔが１０秒であり、ｖが３／秒である場合、ネットワーク機器は、プリセット期間である１０秒に受信された第二パケットの数がＳ＝１０ｘ３＝３０であると確定できる。
【００４６】
別の実施例では、ネットワーク機器は、式（２）により、プリセット期間に受信された第二パケットの数Ｓを確定する。
【００４７】
【数２】
2022500957.tif 000004
【００４８】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。この許容範囲はパケット数の許容誤差として理解できる。
【００４９】
例えば、ｔが２０秒であり、ｖが３／秒であり、Δｓが５０である場合、ネットワーク機器は、プリセット期間である２０秒に受信された第二パケットの数がＳ＝２０ｘ３（１＋５０％）＝９０であると確定できる。
【００５０】
ここで、Δｓはセキュリティーレベルの要求によって設定できる。Δｓが小さいほど、攻撃可能性の検出の結果が攻撃パケットである可能性が高くなる。すなわち、疑似攻撃パケットに対する感度が高いほど、セキュリティーレベルが高くなる。例えば、表１にセキュリティーレベルとΔｓとの対応関係を示す。
【００５１】
【表１】
2022500957.tif 000005
【００５２】
表１において、セキュリティーレベルは１と２と３を含む。その中に、セキュリティーレベルの数値が小さいほど、セキュリティーレベルが高くなる。ネットワーク機器のセキュリティーレベルが１である場合、表１に基づいて、ネットワーク機器はΔｓが１０であると確定する。そして、式（２）にΔｓの値である１０を代入して、式（２）によりプリセット期間に受信された第二パケットの数Ｓを確定する。
【００５３】
ブロック２０３では、ネットワーク機器は、受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断する。プリセットされた数の閾値より大きい場合に、ブロック２０４を実行する。
【００５４】
本願の実施例では、ネットワーク機器においてプリセットされた数の閾値を設定している。プリセット期間に受信された第二パケットの数を確定した後、ネットワーク機器は第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断する。第二パケットの数がプリセットされた数の閾値より大きい場合に、第一パケットが疑似攻撃パケットであると確定する。すなわち、第一パケットが攻撃パケットである可能性があると確認して、ブロック２０４を実行する。
【００５５】
ブロック２０４では、ネットワーク機器は、高速転送テーブル中の第一エントリを削除する。第一エントリに第一パケットの第二のパケット情報を含む。第二のパケット情報に第一のパケット情報を含んでもよい。第二のパケット情報は５タプル情報、３タプル情報、または７タプル情報でもよいが、これらに限定されない。
【００５６】
第一パケットが疑似攻撃パケットであると確定する場合、ネットワーク機器が第一パケットを直接に転送することを避けるために、ネットワーク機器は高速転送テーブル中の第一エントリを削除できる。
【００５７】
一実施例では、ネットワーク機器は、第一パケットが疑似攻撃パケットであると確定した後、高速転送テーブルに第一パケットの第二のパケット情報を含む第一エントリがあるかどうかを検出する。第一エントリがある場合、ネットワーク機器は、第一エントリを削除してから、ブロック２０５を実行する。一方、第一エントリがない場合、ネットワーク機器は、ブロック２０５を実行する。
【００５８】
ブロック２０５では、ネットワーク機器は、第一パケットに対して攻撃検出を行う。攻撃検出はスキャン攻撃検出でもよいが、これに限定されない。
【００５９】
ネットワーク機器は、高速転送テーブル中の第一エントリを削除した後、高速転送テーブルに第一エントリが存在しないので、第一パケットに対して攻撃検出を行う。
【００６０】
ネットワーク機器は、第一パケットが疑似攻撃パケットであると確定した後、高速転送テーブル中の第一エントリを削除したので、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルに第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行う。
【００６１】
攻撃検出にパスしたと、ネットワーク機器は、高速転送テーブルにおいて第一パケットの第二のパケット情報を含む第一エントリを確立し、第一パケットを転送する。
【００６２】
攻撃検出にパスしないと、ネットワーク機器は、設定されるパケット処理動作に従って第一パケットを処理して（たとえば、第一パケットを破棄し）、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【００６３】
本願の一実施例では、ブロック２０３において、プリセット期間に受信された第二パケットの数がプリセットされた数の閾値を超えていないと判断した場合に、ネットワーク機器は高速転送テーブルに第一エントリがあるかどうかを判断できる。高速転送テーブルに第一エントリがない場合に、ネットワーク機器は第一パケットに対して攻撃検出を行う。一方、高速転送テーブルに第一エントリがある場合に、ネットワーク機器は第一パケットを転送する。
【００６４】
本願の一実施例では、ネットワーク機器においてセキュリティー領域を設定する。各セキュリティー領域に１つまたは複数のインターフェースを含む。ネットワーク機器においてルールを予め設定している。当該ルールは、プリセット期間、プリセットされた数の閾値、およびプリセット許容範囲の少なくとも１つを含んでもよいが、これらに限定されない。一例では、一つのルールが一つのセキュリティー領域に適用される。すなわち、一つのルールは一つのセキュリティー領域と対応づけられる。例えば、現在、ルール１とルール２という二つのルールがあり、セキュリティー領域１１とセキュリティー領域１２という二つのセキュリティー領域がある。そのうち、ルール１がセキュリティー領域１１に適用され、ルール２がセキュリティー領域１２に適用される。すなわち、ルール１がセキュリティー領域１１に対応し、ルール２がセキュリティー領域１２に対応する。別の例では、一つのルールが複数のセキュリティー領域に適用される。すなわち、一つのルールは複数のセキュリティー領域と対応付けられる。例えば、現在、ルール１とルール２という二つのルールがあり、セキュリティー領域１１とセキュリティー領域１２という二つのセキュリティー領域がある。そのうち、ルール１がセキュリティー領域１１とセキュリティー領域１２に適用される。すなわち、ルール１がセキュリティー領域１１とセキュリティー領域１２に対応する。
【００６５】
セキュリティー領域のアプリケーションシナリオでは、例えば、図１において、ネットワーク機器１０１がインターフェース１〜５を含み、インターフェース１〜５が２つのセキュリティー領域に分けられる。その中、インターフェース１〜３がセキュリティー領域１１に位置し、インターフェース４〜５がセキュリティー領域１２に位置する。本願の実施例に係るパケット処理方法は、図３に示すフローチャートの模式図を参照できる。当該パケット処理方法はネットワーク機器により実行され、具体的には、以下のブロックを含む。
【００６６】
ブロック３０１では、ネットワーク機器は、第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信する。
【００６７】
第一インターフェースは、ネットワーク機器における任意のセキュリティー領域の任意のインターフェースである。本願の実施例では、第一セキュリティー領域に位置する第一インターフェースのみを例として説明するが、これに限定されない。
【００６８】
第一パケットは、任意のインターフェースを介してネットワーク機器によって受信された任意のパケットでもよい。本願の実施例では、第一パケットが第一インターフェースを介して受信されたパケットであることを例とする。第一パケットは、１つのサービスの最初のパケットでもよいし、１つのサービスの最初のパケットでなくてもよい。第一パケットは、ＴＣＰパケットでもよいし、ＵＤＰパケットでもよいし、他のプロトコルに基づくパケットでもよい。本願の実施例では、第一パケットのみを例として説明するが、何ら限定的な役割を果たさない。
【００６９】
例えば、図１において、ネットワーク機器１０１がインターフェース１〜５を含み、インターフェース１〜５が２つのセキュリティー領域に分けられる。その中、インターフェース１〜３がセキュリティー領域１１に属し、インターフェース４〜５がセキュリティー領域１２に属する。第一パケットは、第一機器１００によって送信されたパケットでもよいし、第二機器１０２によって送信されたパケットでもよい。第一インターフェースは、セキュリティー領域１１に位置してもよいし、セキュリティー領域１２に位置してもよい。
【００７０】
ブロック３０２では、ネットワーク機器は、第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定する。第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。
【００７１】
第一セキュリティー領域に対応するプリセット期間は、第一セキュリティー領域に適用されるルールに含まれるプリセット期間である。第一セキュリティー領域に、上記第一インターフェースを含む１つまたは複数のインターフェースを備える。ネットワーク機器は、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定する。
【００７２】
なお、やはり図１を例として説明する。第一インターフェースがインターフェース１であり、インターフェース１がセキュリティー領域１１に位置する場合、ネットワーク機器１０１は、第一パケットが基本的な検出にパスした後、セキュリティー領域１１に対応するプリセット期間内に、セキュリティー領域１１に位置する全てのインターフェースを介して受信された第二パケットの数を確定する。すなわち、セキュリティー領域１１に対応するプリセット期間内に、インターフェース１〜３を介して受信された第二パケットの数を確定する。
【００７３】
本願の実施例では、ネットワーク機器は、式（１）または式（２）により、第一セキュリティー領域に対応するプリセット期間内に受信された第二パケットの数Ｓを確定する。この時、Δｓは第一セキュリティー領域に対応するプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。ｔは第一セキュリティー領域に対応するプリセット期間である。ｖは、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に含まれる全てのインターフェースを介して第二パケットを受信する速度の合計である。この時、式（１）が式（３）に変形できる。
【００７４】
【数３】
2022500957.tif 000006
【００７５】
式（２）が式（４）に変形できる。
【００７６】
【数４】
2022500957.tif 000007
【００７７】
ここで、ｖｉは、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に含まれるｉ番目のインターフェースを介して第二パケットを受信する速度である。
【００７８】
例えば、ネットワーク機器は、式（４）により、プリセット期間に受信された第二パケットの数Ｓを確定する。セキュリティー領域１１に、インターフェース１と、インターフェース２と、インターフェース３という３つのインターフェースを含む。セキュリティー領域１１に対応するプリセット期間が１０秒であり、セキュリティー領域１１に対応するプリセット許容範囲は５０である。インターフェース１が１０秒で第二パケットを受信する速度は１／秒であり、インターフェース２が１０秒で第二パケットを受信する速度は２／秒であり、インターフェース３が１０秒で第二パケットを受信する速度は３／秒である場合、ネットワーク機器は、受信された第二パケットの数がＳ＝１０×（１＋２＋３）×（１＋５０％）＝９０であることを確定できる。
【００７９】
ブロック３０３では、ネットワーク機器は、受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断する。第一セキュリティー領域に対応するプリセットされた数の閾値より大きい場合に、ブロック３０４を実行する。
【００８０】
第一セキュリティー領域に対応するプリセットされた数の閾値は、第一セキュリティー領域に適用されるルールに含まれるプリセットされた数の閾値である。ネットワーク機器は、受信された第二パケットの数を確定した後、第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断する。
【００８１】
第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きい場合に、ネットワーク機器は、第一パケットが疑似攻撃パケットであると確定し、ブロック３０４を実行する。
【００８２】
一実施例では、第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値以下である場合に、ネットワーク機器は、高速転送テーブルに第一エントリがあるかどうかを判断できる。高速転送テーブルには第一エントリがない場合に、ネットワーク機器は、第一パケットに対して攻撃検出を行う。高速転送テーブルに第一エントリがある場合に、ネットワーク機器は第一パケットを転送する。
【００８３】
ブロック３０４では、ネットワーク機器は、高速転送テーブル中の第一エントリを削除する。第一エントリに、第一パケットの第のパケット情報を含む。第二のパケット情報は第一のパケット情報を含んでもよい。第二のパケット情報は、３タプル情報、５タプル情報、または７タプル情報でもよいが、これらに限定されない。
【００８４】
ブロック３０５では、ネットワーク機器は、第一パケットに対して攻撃検出を行う。攻撃検出は、スキャン攻撃検出でもよいが、これに限定されない。
【００８５】
ブロック３０４〜３０５は、ブロック２０４〜２０５と同じである。
【００８６】
当該パケット処理方法によって、第一パケットが第一セキュリティー領域における１つのサービスの最初のパケットでなくても、高速転送テーブルに第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行うことができ、第一セキュリティー領域に存在するセキュリティーリスクを低下させ、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【００８７】
本願の他の実施例では、元の高速転送機能の上に、上記のパケット処理手順を追加する。すなわち、元のパケットの基本的な検出と、高速転送テーブルに第二のパケット情報があるかどうかの判断との間に、攻撃可能性の検出を追加する。具体的には、図４に示すパケット処理方法の第三フローチャートの模式図を参照できる。
【００８８】
ブロック４０１では、ネットワーク機器は、第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信する。
【００８９】
ブロック４０１は、ブロック３０１と同じである。
【００９０】
ブロック４０２では、ネットワーク機器は、第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定する。第二パケットのパケット情報は、第一パケットの第一のパケット情報と同じである。
【００９１】
ブロック４０２はブロック３０２と同じである。
【００９２】
ブロック４０３では、ネットワーク機器は、受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断する。第一セキュリティー領域に対応するプリセットされた数の閾値より大きい場合に、ブロック４０４を実行する。否定である場合に、ブロック４０５を実行する。
【００９３】
ブロック４０３はブロック３０３と同じである。ここで、ブロック４０３は攻撃可能性の検出の実施プロセスでもよい。
【００９４】
ブロック４０４では、ネットワーク機器は、高速転送テーブル中の第一エントリを削除する。第一エントリに、第一パケットの第二のパケット情報を含む。
【００９５】
ブロック４０４はブロック３０４と同じである。
【００９６】
ブロック４０５では、ネットワーク機器は、高速転送テーブルに第二のパケット情報を含む第一エントリがあるかどうかを判断する。第二のパケット情報を含む第一エントリがある場合、ブロック４０６を実行する。一方、否定である場合、ブロック４０７を実行する。
【００９７】
その中に、第二のパケット情報は第一のパケット情報を含んでもよい。
【００９８】
ブロック４０６では、ネットワーク機器は第一パケットを転送する。
【００９９】
ブロック４０７では、ネットワーク機器は第一パケットに対して攻撃検出を行う。
【０１００】
当該パケット処理方法によって、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルに第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行う。これにより、ネットワーク機器に存在するセキュリティーリスクを効率的に低下させる。
【０１０１】
上記のパケット処理方法に対応して、本願の実施例はパケット処理装置を更に提供する。図５を参照すると、図５は本願の実施例に係るパケット処理装置の一例の構造模式図である。ネットワーク機器に適用される当該装置は、下記の受信モジュール５０１と、確定モジュール５０２と、判断モジュール５０３と、削除モジュール５０４と、処理モジュール５０５とを含む。各モジュールについて、以下の通りである。
【０１０２】
受信モジュール５０１は、第一パケットを受信するように構成される。
【０１０３】
確定モジュール５０２は、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定するように構成される。第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。
【０１０４】
判断モジュール５０３は、受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断するように構成される。
【０１０５】
削除モジュール５０４は、判断モジュール５０３による判断結果が肯定的である場合に、高速転送テーブル中の第一エントリを削除するように構成される。第一エントリに第一パケットの第二のパケット情報を含む。
【０１０６】
処理モジュール５０５は、第一パケットに対して攻撃検出を行うように構成される。
【０１０７】
本願の一実施例では、受信モジュール５０１は具体的に、第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信するように構成される。
【０１０８】
確定モジュール５０２は具体的に、第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定するように構成される。
【０１０９】
判断モジュール５０３は具体的に、受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断するように構成される。
【０１１０】
本願の一実施例では、確定モジュール５０２は具体的に、プリセット期間と、プリセット期間に第二パケットを受信する速度とによって、プリセット期間に受信された第二パケットの数を確定するように構成される。
【０１１１】
本願の一実施例では、確定モジュール５０２は具体的に、下式により、プリセット期間に受信された第二パケットの数Ｓを確定するように構成される。
【０１１２】
【数５】
2022500957.tif 000008
【０１１３】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。
【０１１４】
本願の一実施例では、削除モジュール５０４は具体的に、高速転送テーブルに第一エントリがあるかどうかを検出するように構成される。第一エントリがある場合、第一エントリを削除する。
【０１１５】
本願の一実施例では、処理モジュール５０５は具体的に、受信された第二パケットの数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出するように構成される。この第一エントリがない場合、第一パケットに対して攻撃検出を行う。この第一エントリがある場合、第一パケットを転送する。
【０１１６】
本願の実施例に係る技術案では、ネットワーク機器は、第一パケットを受信した場合、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。第二パケットの数がプリセットされた数の閾値より大きい場合に、ネットワーク機器は高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除する。このように、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルには第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行うことができ、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【０１１７】
上記のパケット処理方法に対応して、本願の実施例はネットワーク機器を更に提供する。図６に示すように、当該ネットワーク機器はプロセッサ６０１とコンピューター読み出し可能な記憶媒体６０２を含む。コンピューター読み出し可能な記憶媒体６０２にプロセッサ６０１によって実行できるコンピューター実行可能な命令を記憶している。プロセッサ６０１はコンピューター実行可能な命令によって、
第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断することと、
受信された第二パケットの数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除し、第二のパケット情報が第一のパケット情報を含むことと、
第一パケットに対して攻撃検出を行うことと、
を実行する。
【０１１８】
好ましく、プロセッサ６０１は具体的にコンピューター実行可能な命令によって、
第一セキュリティー領域に位置する第一インターフェースを介して、第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定することと、
受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断することと、
を実行する。
【０１１９】
好ましく、プロセッサ６０１は具体的にコンピューター実行可能な命令によって、プリセット期間と、プリセット期間に第二パケットを受信する速度とによって、プリセット期間に受信された第二パケットの数を確定することを実行する。
【０１２０】
好ましく、プロセッサ６０１は具体的にコンピューター実行可能な命令によって、下式により、プリセット期間に受信された第二パケットの数Ｓを確定する。
【０１２１】
【数６】
2022500957.tif 000009
【０１２２】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。
【０１２３】
好ましく、プロセッサ６０１は具体的にコンピューター実行可能な命令によって、
高速転送テーブルに第一エントリがあるかどうかを検出することと、
この第一エントリがある場合、第一エントリを削除することと、
を実行する。
【０１２４】
好ましく、プロセッサ６０１は具体的にコンピューター実行可能な命令によって、
受信された第二パケットの数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出することと、
この第一エントリがない場合、第一パケットに対して攻撃検出を行うことと、
この第一エントリがある場合、第一パケットを転送することと、
を実行する。
【０１２５】
本願の実施例に係る技術案では、ネットワーク機器は、第一パケットを受信したと、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。第二パケットの数がプリセットされた数の閾値より大きい場合に、ネットワーク機器は、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除する。このように、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルには第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行うことができ、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【０１２６】
図６に示すように、ネットワーク機器は通信バス６０３を更に含む。上記のプロセッサ６０１とコンピューター読み出し可能な記憶媒体６０２とは、通信バス６０３によって互いに通信する。通信インターフェースは上記のネットワーク機器と他の機器との通信に使用される。通信バス６０３はＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスまたはＥＩＳＡ（Ｅｘｔｅｎｄｅｄ Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バスなどでもよい。当該通信バス６０３は、アドレスバズと、データバスと、制御バスとに分けられる。
【０１２７】
通信バス６０３は、上記のプロセッサ６０１とコンピューター読み出し可能な記憶媒体６０２以外に、送受信機６０４などの機器と接続する。送受信機６０４はパケットを送信または受信するために使用される。例えば、送受信機６０４は第一パケットを受信し、その後にプロセッサ６０１に第一パケットを送信する。例えば、プロセッサ６０１は送受信機６０４に第一パケットを送信し、送受信機６０４は第一パケットを転送する。
【０１２８】
コンピューター読み出し可能な記憶媒体６０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含んでもよいし、ＮＶＭ（Ｎｏｎ-Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ）を含んでもよい。例えば、少なくとも一つのディスクメモリを含んでもよい。なお、コンピューター読み出し可能な記憶媒体６０２は上記のプロセッサから離れる少なくとも一つの記憶装置でもよい。
【０１２９】
プロセッサ６０１は汎用プロセッサでよく、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）や、ＮＰ（Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）などを含み、更に、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ）や、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）や、ＦＰＧＡ（Ｆｉｅｌｄ-Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）または他のプログラマブルロジックデバイス、ディスクリートゲートまたはトランジスタロジックデバイス、ディスクリートハードウェアコンポーネントでもよい。
上記のパケット処理方法の実施例に対応して、本願の実施例はコンピューター実行可能な命令を記憶しているコンピューター読み出し可能な記憶媒体を更に提供する。コンピューター実行可能な命令は、プロセッサによって呼び出されて実行されると、プロセッサに、
第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断することと、
受信された第二パケットの数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除することと、
第一パケットに対して攻撃検出を行うことと、
を実行させる
【０１３０】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、
第一セキュリティー領域に位置する第一インターフェースを介して、第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定することと、
受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断することと、
を実行させる。
【０１３１】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、プリセット期間と、プリセット期間に第二パケットを受信する速度とによって、プリセット期間に受信された第二パケットの数を確定することを実行させる。
【０１３２】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、下式により、プリセット期間に受信された第二パケットの数Ｓを確定することを実行させる。
【０１３３】
【数７】
2022500957.tif 000010
【０１３４】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。
【０１３５】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、高速転送テーブルに第一エントリがあるかどうかを検出することと、この第一エントリがある場合、第一エントリを削除することと、を実行させる。
【０１３６】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、受信された第二パケットの数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出することと、この第一エントリがない場合、第一パケットに対して攻撃検出を行うことと、この第一エントリがある場合、第一パケットを転送することと、を実行させる。
【０１３７】
本願の実施例に係る技術案では、ネットワーク機器が第一パケットを受信されたと、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報は第一パケットの第一のパケット情報と同じである。第二パケットの数がプリセットされた数の閾値より大きい場合に、ネットワーク機器は、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除する。このように、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルには第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行うことができ、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【０１３８】
上記のパケット処理方法の実施例に対応して、本願の実施例はコンピューター実行可能な命令を更に提供する。コンピューター実行可能な命令は、プロセッサによって呼び出されて実行されると、プロセッサに、
第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じであることと、
受信された第二パケットの数がプリセットされた数の閾値より大きいかどうかを判断することと、
受信された第二パケットの数がプリセットされた数の閾値より大きい場合に、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除することと、
第一パケットに対して攻撃検出を行うことと、を実行させる。
【０１３９】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、
第一セキュリティー領域に位置する第一インターフェースを介して第一パケットを受信することと、
第一パケットが基本的な検出にパスした後、第一セキュリティー領域に対応するプリセット期間内に、第一セキュリティー領域に位置する全てのインターフェースを介して受信された第二パケットの数を確定することと、
受信された第二パケットの数が第一セキュリティー領域に対応するプリセットされた数の閾値より大きいかどうかを判断することと、を実行させる。
【０１４０】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、プリセット期間とプリセット期間に第二パケットを受信する速度とによって、プリセット期間に受信された第二パケットの数を確定することを実行させる。
【０１４１】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、下式により、プリセット期間に受信された第二パケットの数Ｓを確定することを実行させる。
【０１４２】
【数８】
2022500957.tif 000011
【０１４３】
ここで、ｔがプリセット期間であり、ｖがプリセット期間に第二パケットを受信する速度であり、Δｓがプリセット許容範囲であり、Δｓの数値範囲が０〜１００である。
【０１４４】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、高速転送テーブルに第一エントリがあるかどうかを検出することと、この第一エントリがある場合、第一エントリを削除することと、を実行させる。
【０１４５】
好ましく、コンピューター実行可能な命令は、具体的に、プロセッサに、受信された第二パケットの数がプリセットされた数の閾値を超えていない場合に、高速転送テーブルに第一エントリがあるかどうかを検出することと、この第一エントリがない場合、第一パケットに対して攻撃検出を行うことと、この第一エントリがある場合、第一パケットを転送することと、を実行させる。
【０１４６】
本願の実施例に係る技術案では、ネットワーク機器は、第一パケットを受信したと、第一パケットが基本的な検出にパスした後、プリセット期間に受信された第二パケットの数を確定し、第二パケットのパケット情報が第一パケットの第一のパケット情報と同じである。第二パケットの数がプリセットされた数の閾値より大きい場合に、ネットワーク機器は、高速転送テーブル中の第一パケットの第二のパケット情報を含む第一エントリを削除する。このように、第一パケットが１つのサービスの最初のパケットでなくても、高速転送テーブルには第一パケットの第二のパケット情報を含む第一エントリが存在しない。さらに、ネットワーク機器は第一パケットに対して攻撃検出を行うことができ、ネットワーク機器に存在するセキュリティーリスクを低下させる。
【０１４７】
なお、本明細書では、「第１」や「第２」等のような関係用語は、ある実体または操作と他の実体または操作と区別するために使用されるものであり、必ずしもこれらの実体または操作の間に如何なるこのような実際的な関係または手順が存在することを、要求または暗示するわけではない。そして、用語「含む」、「備える」又はいかなる他の変形は、非排他的包含を含むことを目的とし、これにより一連の要素を含む処理、方法、物又は装置がそれらの要素を備えるだけでなく、明確に記載されていない他の要素、あるいは、このような処理、方法、物又は装置に固有される要素も備えることを意図している。これ以上の限定がない場合、「……を備える」の文で限定される要素は、前記要素を備える処理、方法、物又は装置が、更に他の同じ要素を備えることを排除するものではない。
【０１４８】
本明細書における各実施例はいずれも関連するように説明されるが、各実施例の同じ又は似た部分は互いに参照すればよく、各実施例における重点的に説明された部分はいずれも他の実施例との相違点である。特に、パケット処理装置、ネットワーク機器、コンピューター読み出し可能な記憶媒体、及びコンピューター実行可能な命令に係る実施例については、パケット処理方法の実施例と大体類似するため、比較的簡単に説明したが、関連する箇所は方法の実施例の説明の一部を参照すればよい。
【０１４９】
以上の説明は単に本開示の好適な実施例に過ぎず、本開示の保護範囲を限定するためのものではない。本開示の主旨及び原則を逸脱しない範囲でなされるいかなる修正、均等の代替、改良等は、いずれも本開示の保護範囲内に含まれる。
【図１】
2022500957.tif 000015
【図２】
2022500957.tif 000016
【図３】
2022500957.tif 000017
【図４】
2022500957.tif 000018
【図５】
2022500957.tif 000019
【図６】
2022500957.tif 000020
【国際調査報告】
2022500957.tif 000021
2022500957.tif 000022
2022500957.tif 000023
2022500957.tif 000024