CN115603985A

CN115603985A - 入侵检测方法及电子设备、存储介质

Info

Publication number: CN115603985A
Application number: CN202211216784.2A
Authority: CN
Inventors: 崔圳; 纪建芳; 范雪俭
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2022-09-30
Filing date: 2022-09-30
Publication date: 2023-01-13
Anticipated expiration: 2042-09-30
Also published as: CN115603985B

Abstract

本申请提供一种入侵检测方法及电子设备、存储介质，方法包括：网卡驱动接收到数据包，调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块；所述入侵检测模块对所述数据包进行检测，获得与检测结果对应的处理动作；所述XDP程序获取所述入侵检测模块返回的处理动作，并根据所述处理动作对所述数据包进行处理。本申请方案，方案入侵检测模块部署于应用层，只需解析关键字段进行检测，因此极大提高了对数据包的检测速率。相比相关技术而言，本申请方案通过应用层的入侵检测系统，在数据包进入协议栈之前对数据包进行检测，在部署难度较低的情况下实现了入侵检测。

Description

入侵检测方法及电子设备、存储介质

技术领域

本申请涉及通信安全技术领域，特别涉及一种入侵检测方法及电子设备、计算机可读存储介质。

背景技术

网络安全在互联网通信无处不在的今天显得尤为重要。对外提供互联网服务的企业可以通过入侵防御系统(Intrusion Prevention System，IPS)识别恶意流量，并拦截此类恶意流量进入企业网络。一般，可将IPS功能部署在入栈流量方向，以监控并检查入栈流量中是否存在漏洞和漏洞利用程序，如果检测到威胁，则按照安全防御策略采取适当的措施，比如：阻止访问、隔离主机或阻止访问外部网站以避免引入潜在威胁等。参见图1，为相关技术中入侵检测方法的架构示意图。如图1所示，在相关技术中，入侵检测系统部署于安全主机内核层的网络协议栈，安全设备的网卡接收到报文后，将报文传递至网络协议栈。网络协议栈对报文解析后方可发送到应用层的应用当中，因此，部署在网络协议栈的入侵检测系统可以对报文进行安全检测。

然而，网络协议栈的功能丰富且实现复杂，入侵检测系统需要对报文在链路层、网络层、传输层和应用层的信息进行安全检测，因此需要在协议栈中多个位置进行部署，实现较为复杂。

发明内容

本申请实施例的目的在于提供一种入侵检测方法及电子设备、计算机可读存储介质，在部署难度较低的情况下实现入侵检测。

一方面，本申请提供了一种入侵检测方法，包括：

网卡驱动接收到数据包，调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块；

所述入侵检测模块对所述数据包进行检测，获得与检测结果对应的处理动作；

所述XDP程序获取所述入侵检测模块返回的处理动作，并根据所述处理动作对所述数据包进行处理。

通过上述措施，极大提高了对数据包的检测速率。相比相关技术而言，本申请方案通过应用层的入侵检测系统，在数据包进入协议栈之前对数据包进行检测，在部署难度较低的情况下实现了入侵检测。

在一实施例中，所述XDP程序包括XDP过滤程序和XDP报文处理程序，所述XDP过滤程序用于过滤出待检测的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

所述调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块，包括：

调用XDP网络钩子上的XDP过滤程序，通过所述XDP过滤程序对所述数据包进行过滤，得到待检测的数据包；

调用XDP网络钩子上的XDP报文处理程序，通过所述XDP报文处理程序将待检测的数据包提交到入侵检测模块。

通过上述措施，可以对威胁较大的数据包进行针对性检测，从而降低入侵检测模块的计算量，提高整体检测效率。

在一实施例中，在所述调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块之前，所述方法还包括：

所述入侵检测模块解析预设过滤规则文件，获得过滤规则；其中，所述过滤规则用于过滤出待检测的数据包；

所述入侵检测模块为所述过滤规则生成所述XDP过滤程序，并将携带所述过滤规则的XDP过滤程序写入所述XDP网络钩子。

通过上述措施，后续可以通过XDP网络钩子上的XDP过滤程序过滤出待检测的数据包，从而减少入侵检测模块的计算量。

在一实施例中，所述XDP程序包括XDP白名单程序和XDP报文处理程序，所述XDP白名单程序用于通过可信流量的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

调用XDP网络钩子上的XDP白名单程序，通过所述XDP白名单程序检查命中白名单的数据包，并将命中白名单的数据包提交至协议栈；

调用XDP网络钩子上的XDP报文处理程序，通过所述XDP报文处理程序将未命中白名单的数据包提交至入侵检测模块。

通过上述措施，可以设置白名单对可信流量进行免检处理，从而降低入侵检测模块的计算量，并提高数据包的整体处理效率。

所述入侵检测模块解析预设白名单文件，获得白名单；

所述入侵检测模块为所述白名单生成所述XDP白名单程序，并将携带所述白名单的XDP白名单程序写入所述XDP网络钩子。

通过上述措施，后续可以通过XDP网络钩子上的XDP白名单程序直接通过可信流量的数据包，从而减少入侵检测模块的计算量。

在一实施例中，所述XDP程序包括XDP黑名单程序和XDP报文处理程序，所述XDP黑名单程序用于阻断异常流量的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

调用XDP网络钩子上的XDP黑名单程序，通过所述XDP黑名单程序检查命中黑名单的数据包，并丢弃命中黑名单的数据包；

调用XDP网络钩子上的XDP报文处理程序，通过所述XDP报文处理程序将未命中黑名单的数据包提交至入侵检测模块。

通过上述措施，可以设置黑名单对异常流量在网卡驱动层面进行阻断，从而降低了入侵检测模块的计算量，并提高了数据包的整体处理效率。

所述入侵检测模块解析预设黑名单文件，获得黑名单；

所述入侵检测模块为所述黑名单生成所述XDP黑名单程序，并将携带所述黑名单的XDP黑名称程序写入所述XDP网络钩子。

通过上述措施，后续可以通过XDP网络钩子上的XDP黑名单程序直接丢弃异常流量的数据包，从而减少入侵检测模块的计算量。

在一实施例中，在所述将携带所述黑名单的XDP黑名称程序写入所述XDP网络钩子之后，所述方法还包括：

所述入侵检测模块根据指定时间段的历史检测结果，确定若干异常流量，并为所述若干异常流量生成黑名单；

所述入侵检测模块将生成的黑名单下发至所述XDP黑名单程序。

通过上述措施，可以动态更新XDP黑名单程序的黑名单，使得XDP黑名单程序可以根据最新的黑名单丢弃异常流量的数据包。

另一方面，本申请提供了一种电子设备，所述电子设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行上述入侵检测方法。

此外，本申请提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成上述入侵检测方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍。

图1为相关技术中入侵检测方法的架构示意图；

图2为本申请一实施例提供的电子设备的结构示意图；

图3为本申请一实施例提供的入侵检测方法的流程示意图；

图4为本申请一实施例提供的入侵检测方法的架构示意图；

图5为本申请另一实施例提供的入侵检测方法的流程示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

如图2所示，本实施例提供一种电子设备1，包括：至少一个处理器11和存储器12，图2中以一个处理器11为例。处理器11和存储器12通过总线10连接，存储器12存储有可被处理器11执行的指令，指令被处理器11执行，以使电子设备1可执行下述的实施例中方法的全部或部分流程。在一实施例中，电子设备1可以是服务器的安全设备(比如：防火墙)或服务器或车载网关，用于执行入侵检测方法。为便于描述，下文以电子设备为执行主体。

存储器12可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(Static Random Access Memory，简称SRAM)，电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，简称EEPROM)，可擦除可编程只读存储器(Erasable Programmable Read Only Memory，简称EPROM)，可编程只读存储器(Programmable Red-Only Memory，简称PROM)，只读存储器(Read-Only Memory，简称ROM)，磁存储器，快闪存储器，磁盘或光盘。

本申请还提供了一种计算机可读存储介质，存储介质存储有计算机程序，计算机程序可由处理器11执行以完成本申请提供的入侵检测方法。

参见图3，为本申请一实施例提供的入侵检测方法的流程示意图，如图3所示，该方法可以包括以下步骤310-步骤330。

步骤310：网卡驱动接收到数据包，调用XDP网络钩子上的XDP程序，通过XDP程序将数据包提交到入侵检测模块。

电子设备的网卡接收到外部网络发送的数据包之后，可以将数据包提交至网卡驱动。网卡驱动上设置XDP(eXpress Data Path，快速路径程序)网络钩子(hook)，且XDP网络钩子上设有XDP程序。

网卡驱动在接收数据包之后，可以调用XDP程序处理数据包。XDP程序可以通过XDP_REDIRECT机制将数据包转发至应用层的入侵检测模块。

参见图4，为本申请一实施例提供的入侵检测方法的架构示意图，如图4所示，入侵检测模块位于应用层，而非协议栈中。入侵检测模块可以通过一个AF_XDP类型的socket对XDP程序进行监听，从而接收XDP程序所转发的数据包。

步骤320：入侵检测模块对数据包进行检测，获得与检测结果对应的处理动作。

入侵检测模块在接收到数据包之后，可以对数据包进行协议解析，从数据包中提取多种关键字段，比如，链路层的MAC(Media Access Control Address，媒体存取控制位址)地址；网络层的IP(Internet Protocol Address，互联网协议地址)地址、FLAG、分片等信息；传输层的端口、标志位等信息和应用层的报文数据等信息。

入侵检测模块可以依据提取出的关键字段、以及数据包的上下文信息，进行多种异常类型的安全检测。示例性的，异常类型可以包括ARP(Address Resolution Protocol，地址解析协议)欺骗、数据包分片攻击、泛洪攻击等。经过检测之后，可以确定数据包是否属于异常流量。一方面，如果数据包属于异常流量，可以确定处理动作为丢弃(XDP_DROP)。另一方面，如果数据包属于正常流量，可以确定处理动作为转发(XDP_PASS)。

入侵检测模块在获得处理动作后，可以向XDP程序返回处理动作。

步骤330：XDP程序获取入侵检测模块返回的处理动作，并根据处理动作对数据包进行处理。

XDP程序获得处理动作，从而对数据包进行处理。一方面，处理动作为丢弃，可以丢弃数据包。另一方面，处理动作为转发，可以将数据包提交至协议栈，使得数据包从协议栈传递至应用层的其它应用来处理。

由于协议栈对数据包的关注度比较多，解析比较复杂，部署于协议栈的入侵检测模块需耗费更多时间对数据包进行检测。而本申请方案入侵检测模块部署于应用层，只需解析关键字段进行检测，因此极大提高了对数据包的检测速率。相比相关技术而言，本申请方案通过应用层的入侵检测系统，在数据包进入协议栈之前对数据包进行检测，在部署难度较低的情况下实现了入侵检测。此外，由于入侵检测模块无需因不同系统或不同版本内核进行定制更改，可移植性较高，移植过程只需在目标设备上进行简单的配置按照即可实现入侵检测防御功能。

参见图5，为本申请另一实施例提供的入侵检测方法的流程示意图，如图5所示，网络数据包进入网卡后，网卡驱动中XDP程序可以将数据包提交至入侵检测模块(入侵进程引擎)。入侵检测模块对数据包进程是否存在异常，并向XDP程序返回与检测结果对应的处理动作。XDP程序根据处理动作确定是否丢弃数据包，并以此对数据包进行处理。

在一实施例中，XDP程序包括XDP过滤程序和XDP报文处理程序。其中，XDP过滤程序用于过滤出待检测的数据包，XDP报文处理程序用于提交数据包和处理数据包。

在调用XDP程序，通过XDP程序将数据包提交到入侵检测模块时，网卡驱动可以调用XDP过滤程序和XDP报文处理程序。

XDP过滤程序可以依据过滤规则对数据包进行过滤，得到待检测的数据包。这里，过滤规则用于过滤出可能存在威胁的数据包，过滤规则可以是以IP、MAC、协议、端口等一种或多种字段所确定的规则。

在过滤出待检测的数据包之后，XDP报文处理程序可以将待检测的数据包提交到入侵检测模块。对于被滤除的数据包，可以认为是不存在威胁的数据包，XDP报文处理程序可以将这部分数据包提交至协议栈。

在该实施例中，后续XDP报文处理程序可以从入侵检测模块接收处理动作，进而对数据包进行处理。

在一实施例中，在通过XDP程序将数据包提交到入侵检测模块之前，入侵检测模块可以在XDP网络钩子上写入XDP报文处理程序，使得后续网卡驱动所接收的数据包可以经由XDP报文处理程序提交至入侵检测模块。

在一实施例中，在通过XDP程序将数据包提交到入侵检测模块之前，入侵检测模块可以解析预设过滤规则文件，获得过滤规则。其中，过滤规则文件记录至少一条用户配置的过滤规则；过滤规则用于过滤出待检测的数据包。

入侵检测模块可以为过滤规则生成XDP过滤程序，该XDP过滤程序用于执行过滤规则。入侵检测模块可以将携带过滤规则的XDP过滤程序写入XDP网络钩子。写入到XDP网络钩子的XDP过滤程序的处理顺序早于XDP报文处理程序。

在一实施例中，XDP程序包括XDP白名单程序和XDP报文处理程序。其中，XDP白名单程序用于通过可信流量的数据包，可信流量即为无需检测的流量。XDP报文处理程序用于提交数据包和处理数据包。

在调用XDP程序，通过XDP程序将数据包提交到入侵检测模块时，网卡驱动可以调用XDP白名单程序和XDP报文处理程序。

XDP白名单程序可以检查数据包是否命中白名单，这里，白名单用于记录可信流量。XDP白名单程序可以从数据包中提取IP、MAC、协议、端口等一种或多种字段的信息，判断提取出的信息是否命中白名单。一方面，数据包命中白名单，XDP白名单程序可以将命中白名单的数据包直接提交至协议栈。另一方面，数据包未命中白名单，XDP报文处理程序可以将未命中白名单的数据包提交至入侵检测模块。

在一实施例中，在通过XDP程序将数据包提交到入侵检测模块之前，入侵检测模块可以解析预设白名单文件，获得白名单。其中，白名单文件记录至少一条用户配置的白名单。白名单通过IP、MAC、协议、端口等一种或多种字段的信息指示可信流量。

入侵检测模块可以为白名单生成XDP白名单程序，该XDP白名单程序用于滤除可信流量的数据包。入侵检测模块可以将携带白名单的XDP白名单程序写入XDP网络钩子。写入XDP网络钩子的XDP白名单程序的处理顺序早于XDP报文处理程序。

在一实施例中，XDP程序包括XDP黑名单程序和XDP报文处理程序。其中，XDP黑名单程序用于阻断异常流量的数据包。XDP报文处理程序用于提交数据包和处理数据包。

在调用XDP程序，通过XDP程序将数据包提交到入侵检测模块时，网卡驱动可以调用XDP黑名单程序和XDP报文处理程序。

XDP黑名单程序可以检查数据包是否命中黑名单，这里，黑名单用于记录异常流量。XDP黑名单程序可以从数据包中提取IP、MAC、协议、端口等一种或多种字段的信息，判断提取出的信息是否命中黑名单。一方面，数据包命中黑名单，XDP黑名单程序可以将命中黑名单的数据包直接丢弃。另一方面，数据包未命中黑名单，XDP报文处理程序可以将未命中黑名单的数据包提交至入侵检测模块。

在一实施例中，在通过XDP程序将数据包提交到入侵检测模块之前，入侵检测模块可以解析预设黑名单文件，获得黑名单。其中，黑名单文件记录至少一条用户配置的黑名单。黑名单通过IP、MAC、协议、端口等一种或多种字段的信息指示异常流量。

入侵检测模块可以为黑名单生成XDP黑名单程序，该XDP黑名单程序用于滤除异常流量的数据包。入侵检测模块可以将携带黑名单的XDP黑名称程序写入XDP网络钩子。写入XDP网络钩子的XDP黑名称程序的处理顺序早于XDP报文处理程序。

在一实施例中，入侵检测模块在XDP网络钩子写入XDP黑名单程序之后，可以动态更新XDP黑名单程序中的黑名单。

入侵检测模块可以根据指定时间段的历史检测结果，确定若干异常流量。这里，指定时间段可以根据需要进行配置，示例性的，指定时间段可以生成黑名单之前的一个月。入侵检测模块可以从历史检测结果中确定频繁出现的异常流量。示例性的，入侵检测模块可以通过出现次数、出现频率等维度的评估指标，确定频繁出现的异常流量。入侵检测模块可以为筛选出的异常流量，生成黑名单。

进一步的，入侵检测模块可以将动态生成的黑名单下发至XDP黑名单程序，使得XDP黑名单程序可以根据更新后的黑名单滤除异常流量的数据包。入侵检测模块可以定时更新XDP黑名单程序的黑名单，从而使得XDP黑名单程序可以根据最新的黑名单丢弃异常流量的数据包。

在一实施例中，XDP程序中可以包括XDP报文处理程序，以及XDP白名单程序、XDP黑名称程序和XDP过滤程序中一种或多种的组合，从而在将数据包提交至入侵检测模块之前，更细致地筛选出需要检测的数据包，降低入侵检测模块的计算量，提高电子设备的整体工作效率。

本申请方案的部署较为简单，可以在电子设备上使用iplink命令开启网卡中的XDP属性，并在应用层部署入侵检测模块。通过命令行启动入侵检测模块，并指定预设过滤规则文件、预设白名单文件、预设黑名单文件的存储路径。入侵检测模块可以读取相应文件，解析并生成XDP程序写入到XDP网络钩子，从而在后续接收XDP程序所提交的数据包进行检测。

本申请实现的灵活性较高，入侵检测模块部署在应用层，对于规则更新、软件更新等情况只需更换相应的文件或者安装新版本应用程序即可，无需修改内核代码并重新编译。

Claims

1.一种入侵检测方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述XDP程序包括XDP过滤程序和XDP报文处理程序，所述XDP过滤程序用于过滤出待检测的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

3.根据权利要求2所述的方法，其特征在于，在所述调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块之前，所述方法还包括：

4.根据权利要求1所述的方法，其特征在于，所述XDP程序包括XDP白名单程序和XDP报文处理程序，所述XDP白名单程序用于通过可信流量的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

5.根据权利要求4所述的方法，其特征在于，在所述调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块之前，所述方法还包括：

所述入侵检测模块解析预设白名单文件，获得白名单；

6.根据权利要求1所述的方法，其特征在于，所述XDP程序包括XDP黑名单程序和XDP报文处理程序，所述XDP黑名单程序用于阻断异常流量的数据包，所述XDP报文处理程序用于提交数据包和处理数据包；

7.根据权利要求6所述的方法，其特征在于，在所述调用XDP网络钩子上的XDP程序，通过所述XDP程序将所述数据包提交到入侵检测模块之前，所述方法还包括：

所述入侵检测模块解析预设黑名单文件，获得黑名单；

8.根据权利要求7所述的方法，其特征在于，在所述将携带所述黑名单的XDP黑名称程序写入所述XDP网络钩子之后，所述方法还包括：

9.一种电子设备，其特征在于，所述电子设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行权利要求1-8任意一项所述的入侵检测方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成权利要求1-8任意一项所述的入侵检测方法。