CN1874303A - 一种黑名单实现的方法 - Google Patents

Abstract

本发明提供了一种黑名单实现的方法，包括步骤：A.从系统的一个端口接收报文，解析得到所述报文的源IP地址；B.检测所述源IP地址是否属于所述端口的黑名单，确定属于所述端口的黑名单时，丢弃所述报文。通过在现有黑名单技术的基础上进行扩展，以端口为黑名单的作用域，避免了地址欺骗或其它攻击造成的黑名单作用域扩大而影响正常用户的使用；不限制已经加入黑名单的用户对特权设置的可靠站点的访问；还可通过自行设置特权规则实现特权用户对特定网络的访问；增强了黑名单技术实现的灵活性和有效性。

Description

一种黑名单实现的方法

技术领域

本发明涉及一种网络的报文屏蔽实现方法，尤其涉及的是，一种基于端口的黑名单实现的方法。

背景技术

路由器或防火墙设备出于安全的考虑，需要过滤数据包和配置一系列的规则，以决定什么样的数据包能够通过，这些规则是通过访问控制列表(ACL，Access Control List)定义的。访问控制列表是由“允许”、“拒绝”语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到设备的接口上，设备根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。

黑名单，指根据报文的源IP地址进行过滤的一种方式，可以高速实现报文的过滤，从而有效地将特定IP地址发送来的报文屏蔽。黑名单最主要的一个特色是可以由路由器或防火墙动态的进行添加，当根据报文的行为特征发现特定IP地址的攻击企图之后，可以主动的修改黑名单列表，将这个地址发送的报文过滤掉。

现有的黑名单技术，有两种创建方式，手动创建黑名单表项或根据攻击情况动态添加黑名单表项。黑名单表项以IP地址为插入的依据，生成黑名单表项时，不指定超时时间意味着表项永远有效，不会被老化。否则，黑名单表项会在指定的老化时间过后被自动删除，对源自相应IP地址的报文的过滤功能也随之消失。黑名单逻辑表项由检测模块动态加入，其包括如下域：源IP地址、老化时间、加入原因等。

现有黑名单功能如附图1所示，其实现简单，效率高，但是实际应用中不够灵活。无论是手动方式还是自动方式，如果某个IP地址被加入到了“黑名单”列表中，此后一段时间内，来自这个IP地址的任何报文，都会被黑名单过滤掉。这时因为现有黑名单不区分内部网络还是外部网络，黑名单对所有的端口都是生效的。例如在以下应用场景这种不足就比较明显。

场景1——内部主机在成为传播源时被黑名单阻止访问外部网络

内部网络中的某个主机感染了病毒，则可能会主动发起扫描攻击的行为，那么防火墙或边界路由器会将该主机的IP地址加入到了黑名单列表中，则这个用户将不能够访问任何外部网络资源了，即便想下载操作系统补丁，或上杀毒网站下载杀毒软件也不可能。

场景2——外部网络伪装内部主机的攻击行为

从外部网络进行攻击，伪造内部网络某主机的IP地址作为扫描攻击的源地址，严格的说也不是真正的扫描攻击，因为源IP地址是伪造的，那么防火墙或边界路由器会将这个IP地址加入到了黑名单列表中，内部的这台主机将不能够访问任何外部网络资源。

但是现有的黑名单技术，一旦加入了黑名单，则对所有的端口都是生效的。此外黑名单不能完全识别有效攻击。因此，现有技术存在缺陷，需要改进。

发明内容

本发明的目的在于提供一种黑名单实现的方法，以避免地址欺骗或其它攻击造成的黑名单作用域扩大而影响正常用户的使用，增强黑名单技术实现的灵活性和有效性。

本发明的技术方案如下：

一种黑名单实现的方法，其包括以下步骤：A、从系统的一个端口接收报文，解析得到所述报文的源IP地址；B、检测所述源IP地址是否属于所述端口的黑名单，确定属于所述端口的黑名单时，丢弃所述报文。

所述的方法，其中，系统中设置一张属于所述端口的黑名单逻辑表，其用于存储IP地址，所述步骤B具体包括：搜索所述黑名单逻辑表，若其中存在所述报文的源IP地址，则丢弃所述报文。

所述的方法，其中，系统中设置一张黑名单逻辑表，所述黑名单逻辑表的每一表项包含端口号和IP地址，所述步骤B具体包括：搜索所述黑名单逻辑表，若其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项，则丢弃所述报文。

所述的方法，其中，系统中还设置一张散列表，指向所述黑名单逻辑表表项，其键值根据所述黑名单逻辑表表项中的端口号和IP地址生成，步骤B所述搜索所述黑名单逻辑表具体包括：根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第一键值，搜索所有所述散列表中键值与所述第一键值相同的表项所指向的黑名单逻辑表表项。

所述的方法，其中，所述步骤A之前还包括步骤：当系统检测到攻击报文时，解析出所述攻击报文的源IP地址和接收所述攻击报文的端口，将所述攻击报文源IP地址加入到所述攻击报文的端口的黑名单中。

所述的方法，其中，所述步骤B丢弃所述报文之前还包括步骤：C、解析得到所述报文的目的IP地址；D、检测所述目的IP地址是否属于特权访问地址，确定所述目的IP地址属于特权访问地址时，不丢弃所述报文，结束本流程。

所述的方法，其中，系统中设置一张可靠站点列表，其中包含IP地址，步骤D具体包括步骤：搜索所述可靠站点列表，若其中存在所述报文的目的IP地址，则不丢弃所述报文，结束本流程。

所述的方法，其中，设置特权规则组表，其是特权规则的集合，其包含组号、目的地址和规则；设置黑名单用户特权表，其包含端口号、IP地址和特权规则组号；所述步骤B丢弃所述报文之前还包括步骤：E1、搜索所述黑名单用户特权表，当其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项时，根据所述表项的特权规则组号找到特权规则组表中的相应表项，执行步骤E2，否则，丢弃所述报文；E2、解析得到报述报文的目的地址，用所述目的地址匹配指定的特权规则；E3、按照命中的特权规则处理报文，结束本流程。

所述的方法，其中，所述规则包括报文正常转发和报文丢弃。

所述的方法，其中，系统中还设置一张黑名单用户特权表散列表，指向所述黑名单用户特权表表项，其键值根据所述黑名单用户特权表表项中的端口号和IP地址生成，步骤E1中所述搜索所述黑名单用户特权表具体包括：根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第二键值，搜索所有所述黑名单用户特权表散列表中键值与所述第二键值相同的表项所指向的黑名单用户特权表表项。

采用上述方案，本发明提供了一种黑名单实现方法，通过在现有黑名单技术的基础上进行扩展，以端口为黑名单的作用域，避免了地址欺骗或其它攻击造成的黑名单作用域扩大而影响正常用户的使用；不限制已经加入黑名单的用户对特权设置的可靠站点的访问；还可通过自行设置特权规则实现特权用户对特定网络的访问；增强了黑名单技术实现的灵活性和有效性。

附图说明

图1为现有技术的黑名单原理图；

图2为本发明的端口级黑名单原理图；

图3为本发明的方法流程图。

具体实施方式

以下对本发明的较佳实施例加以详细说明。

如附图2所示，本发明提供了一种端口级的黑名单实现技术，使得动态黑名单的添加以端口为单位，以端口为黑名单的作用域，可以避免地址欺骗或其它攻击造成的黑名单作用域扩大，影响正常用户的使用。

如附图3所示，本发明提供了一种黑名单实现方法，其包括步骤：A、从系统的一个端口接收报文，解析得到所述报文的源IP地址；B、检测所述源IP地址是否属于所述端口的黑名单，确定属于所述端口的黑名单时，丢弃所述报文。

黑名单可以有多种建立方法，例如在所述步骤A之前还包括步骤：当系统检测到攻击报文时，解析出所述攻击报文的源IP地址和接收所述攻击报文的端口，将所述攻击报文源IP地址加入到所述攻击报文的端口的黑名单中。也可以在系统启动时搜索系统存在的端口，为所述端口建立相应的黑名单，也可通过用户手工添加黑名单。

所述的黑名单通过黑名单逻辑表的形式实现，例如在系统中设置一张属于所述端口的黑名单逻辑表，其用于存储IP地址，其索引是：源IP地址；则所述步骤B具体包括：搜索所述黑名单逻辑表，若其中存在所述报文的源IP地址，则丢弃所述报文。同样，可以为系统中每个端口都设置这样的黑名单逻辑表，并执行相似的操作。黑名单逻辑表也可以包含端口号，所述端口号在黑名单逻辑表以端口索引的形式体现，例如在系统中设置一张黑名单逻辑表，所述黑名单逻辑表的每一表项包含端口号和IP地址，其索引是：源IP地址和接收端口；则所述步骤B具体包括：搜索所述黑名单逻辑表，若其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项，则丢弃所述报文。这样，整个系统可以只设置一张黑名单逻辑表。以下举例说明黑名单逻辑表的形式：

源IP地址        端口索引  加入黑名单的原因  黑名单失效时间

----------------------------------------------------------

X1.X2.X3.X4     端口n     扫描攻击          6小时

其中的端口是设备接口的意思。在本发明方法中，黑名单逻辑表可以仅仅包含源IP地址项，端口索引、加入黑名单的原因以及黑名单失效时间都是属于可选项。一张属于所述端口的黑名单逻辑表可以不包含端口索引；一张包含了端口索引的黑名单逻辑表可以对多个端口有效。

在本发明方法中，可以通过建立散列表(HASH表)来提高系统查找速度。例如在系统中还设置一张散列表，指向所述黑名单逻辑表表项，其键值根据所述黑名单逻辑表表项中的端口号和IP地址生成，步骤B所述搜索所述黑名单逻辑表具体包括：根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第一键值，搜索所有所述散列表中键值与所述第一键值相同的表项所指向的黑名单逻辑表表项。

对于已经加入黑名单的用户可以不限制其对特权设置的可靠站点的访问，在所述黑名单还设置特权访问地址项，所述步骤B丢弃所述报文之前还包括步骤：C、解析得到所述报文的目的IP地址；D、检测所述目的IP地址是否属于特权访问地址，确定所述目的IP地址属于特权访问地址时，不丢弃所述报文，结束当前流程。如将存有操作系统补丁或杀毒软件的站点列入特权访问地址，加入黑名单的用户仍可以访问这些网站以修复系统。

本发明所述的特权访问的具体实现方式可以有很多种，例如通过建立可靠站点列表，其中包含IP地址，在步骤D具体包括步骤：搜索所述可靠站点列表，若其中存在所述报文的目的IP地址，则不丢弃所述报文，结束本流程。这样处理，用户对所述可靠站点列表中的站点的访问就不受黑名单限制，用户即使因为其计算机在成为传播源时被黑名单阻止访问外部网络，该用户也可以实现其对特权设置的可靠站点的访问。

对于已经加入黑名单的用户，本发明还可以通过建立特权规则组表和黑名单用户特权表，区别对待黑名单逻辑表的表项，实现黑名单方法的灵活应用。本实施例的实现方法是设置特权规则组表，其是特权规则的集合，其包含组号、目的地址和规则；还设置黑名单用户特权表，其为用户手工设置，其包含端口号、IP地址和特权规则组号；所述步骤B丢弃所述报文之前还包括步骤：E1、搜索所述黑名单用户特权表，当其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项时，根据所述表项的特权规则组号找到特权规则组表中的相应表项，执行步骤E2，否则，丢弃所述报文；E2、解析得到报述报文的目的地址，用所述目的地址匹配指定的特权规则；E3、按照命中的特权规则处理报文，结束本流程。

所述特权规则是对特定站点和/或特定网址的访问策略；所述访问策略包括：允许、拒绝、和用户自定义的访问策略；因此所述特权规则包含报文正常转发、报文丢弃和按用户自定义策略处理报文。特权规则项可以仅仅针对某个特权用户或特定用户；同时也可以不针对某个特权用户，建立一项对所有用户都生效的特权规则项。这里的实现方式可以比较灵活。特权规则组可以使用ACL的形式实现，也可以使用其它用户自定义的形式。比如这里我们定义如下特权规则：(i)目的网址：当地的DNS服务器；目的端口：ANY；策略：允许访问。(ii)目的网址：windows官方网站；目的端口：ANY；策略：允许访问。(iii)目的网址：某杀毒软件公司官方网站；目的端口：80；策略：允许访问。以及其它特权规则等。所述特权规则组表通过特权规则组号进行索引。以下是一个特权规则组表的例子：

组号    目的网址                  目的端口    策略

-----------------------------------------------------

n1      当地的DNS服务器           ANY         允许访问

n1      windows官方网站           ANY         允许访问

n2      某杀毒软件公司官方网站    80          允许访问

…

其中，目的端口是网络SOCKET应用中的端口；该表中组号可以重复，从而解决了一个黑名单用户特权允许有几个可访问的地址的问题。

在本实施例中，黑名单用户特权表采用和黑名单逻辑表一样的索引，也是源IP地址和接收端口。每个所述黑名单用户特权表的表项中包含了一个特权规则组号，多个所述黑名单用户特权表的表项可以存在相同的特权规则组号。由于特权规则组表是全局的，可能多个黑名单用户特权表项都指定了同一个特权规则组。因此可以建立一张特权规则组表，其中包含对所有用户都生效的特权规则项。若命中黑名单用户特权表的特权规则项，则报文按特权规则项中所定义的策略处理。黑名单用户特权表包括如下域：“源IP地址”、“端口索引”、“特权规则组号”。以下是一个黑名单用户特权表的例子：

源IP地址       端口索引    特权规则组号

---------------------------------------

X1.X2.X3.X4    端口n       n1

…

其中的端口是设备接口的意思。

为提高系统效率，在系统中还设置一张黑名单用户特权表散列表，指向所述黑名单用户特权表表项，其键值根据所述黑名单用户特权表表项中的端口号和IP地址生成，步骤E1中所述搜索所述黑名单用户特权表具体包括：根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第二键值，搜索所有所述黑名单用户特权表散列表中键值与所述第二键值相同的表项所指向的黑名单用户特权表表项。

本发明方法可应用于路由器、防火墙、交换机或实现相关技术的同类设备。同类设备是指能够实现相关路由器、防火墙、交换机及其融合功能的设备。按本发明提供的方法，可以在路由器、防火墙、交换机等设备的初始化时就检测系统当前存在的端口；并为某个端口建立一张黑名单逻辑表；当系统接收到报文时，则进行相应步骤，这样可以有效地实现黑名单技术。

如当路由器或防火墙检测到有报文攻击时，可按本发明方法进行如下操作：

1)解析出该报文攻击的源IP地址和报文接收的端口；

2)将源IP地址和报文接收的端口生成黑名单表项，添加到黑名单的逻辑表中，同时更新黑名单逻辑表的散列表中该黑名单表项的索引。

当路由器或防火墙从某接口接收到报文，可按照本发明方法进行如下操作时：

1)解析出该报文的源IP地址和报文接收的端口。

2)根据源IP地址和接收端口的索引计算出键值，以键值为索引查找黑名单的逻辑表。

3)如果没有命中黑名单的逻辑表，报文正常转发。

4)如果命中黑名单的逻辑表，则根据源IP地址和接收端口的索引计算出键值，以键值为索引查找黑名单用户特权表。若没有命中黑名单用户特权表，报文丢弃，不再进行转发。

5)当系统检测所述源IP地址和所述端口命中黑名单用户特权表，则通过黑名单用户特权表的表项的特权规则组号找到特权规则组中的相应表项；然后用目的地址，目的端口逐条匹配指定的规则；按照命中的规则处理报文。若策略为“允许”，报文正常转发；若策略为“拒绝”，报文丢弃；若策略命中用户自定义规则，报文按用户自定义策略处理。自定义规则，给用户提供了很大的灵活性。比如：按流量统计阈值决定策略为“允许”或“拒绝”，或根据时间段决定策略为“允许”或“拒绝”等等，这些自定义规则可由用户根据实际情况定义和扩展。若没有匹配规则，报文丢弃。

本发明的黑名单实现方法，对于动态黑名单的添加以端口为单位，以端口为黑名单的作用域，可以避免地址欺骗或其它攻击造成的黑名单作用域扩大，影响正常用户的使用；不限制已经加入黑名单的用户对特权设置的可靠站点的访问；还可通过自行设置特权规则实现特权用户对特定网络的访问；增强了黑名单技术实现的灵活性和有效性。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (10)

1、一种黑名单实现的方法，其特征在于，包括以下步骤：

A、从系统的一个端口接收报文，解析得到所述报文的源IP地址；

B、检测所述源IP地址是否属于所述端口的黑名单，确定属于所述端口的黑名单时，丢弃所述报文。

2、根据权利要求1所述的方法，其特征在于，系统中设置一张属于所述端口的黑名单逻辑表，其用于存储IP地址，所述步骤B具体包括：

搜索所述黑名单逻辑表，若其中存在所述报文的源IP地址，则丢弃所述报文。

3、根据权利要求1所述的方法，其特征在于，系统中设置一张黑名单逻辑表，所述黑名单逻辑表的每一表项包含端口号和IP地址，所述步骤B具体包括：

搜索所述黑名单逻辑表，若其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项，则丢弃所述报文。

4、根据权利要求3所述的方法，其特征在于，系统中还设置一张散列表，指向所述黑名单逻辑表表项，其键值根据所述黑名单逻辑表表项中的端口号和IP地址生成，步骤B所述搜索所述黑名单逻辑表具体包括：

根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第一键值，搜索所有所述散列表中键值与所述第一键值相同的表项所指向的黑名单逻辑表表项。

5、根据权利要求1所述的方法，其特征在于，所述步骤A之前还包括步骤：

当系统检测到攻击报文时，解析出所述攻击报文的源IP地址和接收所述攻击报文的端口，将所述攻击报文源IP地址加入到所述攻击报文的端口的黑名单中。

6、根据权利要求1至5任一项所述的方法，其特征在于，所述步骤B丢弃所述报文之前还包括步骤：

C、解析得到所述报文的目的IP地址；

D、检测所述目的IP地址是否属于特权访问地址，确定所述目的IP地址属于特权访问地址时，不丢弃所述报文，结束本流程。

7、根据权利要求6所述的方法，其特征在于，系统中设置一张可靠站点列表，其中包含IP地址，步骤D具体包括步骤：

搜索所述可靠站点列表，若其中存在所述报文的目的IP地址，则不丢弃所述报文，结束本流程。

8、根据权利要求1至5任一项所述的方法，其特征在于，设置特权规则组表，其是特权规则的集合，其包含组号、目的地址和规则；设置黑名单用户特权表，其包含端口号、IP地址和特权规则组号；所述步骤B丢弃所述报文之前还包括步骤：

E1、搜索所述黑名单用户特权表，当其中存在同时包含接收所述报文的端口的端口号和所述报文的源IP地址的表项时，根据所述表项的特权规则组号找到特权规则组表中的相应表项，执行步骤E2，否则，丢弃所述报文；

E2、解析得到报述报文的目的地址，用所述目的地址匹配指定的特权规则；

E3、按照命中的特权规则处理报文，结束本流程。

9、根据权利要求8所述的方法，其特征在于，所述规则包括报文正常转发和报文丢弃。

10、根据权利要求8所述的方法，其特征在于，系统中还设置一张黑名单用户特权表散列表，指向所述黑名单用户特权表表项，其键值根据所述黑名单用户特权表表项中的端口号和IP地址生成，步骤E1中所述搜索所述黑名单用户特权表具体包括：

根据所述接收所述报文的端口的端口号和所述报文的源IP地址计算得到第二键值，搜索所有所述黑名单用户特权表散列表中键值与所述第二键值相同的表项所指向的黑名单用户特权表表项。

Images