[go: up one dir, main page]

WO2010111930A1 - 一种过滤方法、系统及网络设备 - Google Patents

一种过滤方法、系统及网络设备 Download PDF

Info

Publication number
WO2010111930A1
WO2010111930A1 PCT/CN2010/071361 CN2010071361W WO2010111930A1 WO 2010111930 A1 WO2010111930 A1 WO 2010111930A1 CN 2010071361 W CN2010071361 W CN 2010071361W WO 2010111930 A1 WO2010111930 A1 WO 2010111930A1
Authority
WO
WIPO (PCT)
Prior art keywords
security level
url
url information
security
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2010/071361
Other languages
English (en)
French (fr)
Inventor
宿宝伍
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to JP2012502434A priority Critical patent/JP5325335B2/ja
Priority to EP10758032.6A priority patent/EP2408166B1/en
Priority to CA2757339A priority patent/CA2757339C/en
Publication of WO2010111930A1 publication Critical patent/WO2010111930A1/zh
Priority to US13/250,649 priority patent/US20120023588A1/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to network security technologies in the field of communications, and in particular, to a filtering method, system, and network device.
  • IP Internet Protocol
  • PGW General Packet Radio Service
  • the corresponding user terminal also provides an open operating interface for viruses, Trojans and other malware, and makes the user terminal more and more vulnerable to attacks by various viruses and other malicious software, and the virus can also be widely spread through the user terminal.
  • the performance of the communication system is affected.
  • the main purpose is to install anti-virus software on the user terminal, and when the user browses the webpage, downloads the file, and runs the file, the virus is detected and killed.
  • the anti-virus software can detect the corresponding virus program, thereby preventing the virus from spreading or attacking.
  • An object of the embodiments of the present invention is to provide a filtering method, system, and network device, which effectively prevent the spread of viruses, worms, trojans, and the like, thereby reducing the threat of viruses and other malicious software to users, and improving the network. safety.
  • a filtering method is applied to a network side device, where the method includes: intercepting a request message sent by a user terminal to the Internet; extracting a uniform resource locator URL information from the request message; determining, according to the URL information, Determining a security level corresponding to the URL information; processing the request message according to the security level.
  • a filtering system is applied to a network side device, and the system includes:
  • An intercepting unit configured to intercept a request message sent by the user terminal to the Internet
  • An extracting unit configured to extract a uniform resource locator URL information from the request packet, and send the URL information to a determining unit for processing;
  • a determining unit configured to determine, according to the URL information, a security level corresponding to the URL information
  • a processing unit configured to process the request message according to the security level determined by the determining unit.
  • a network device includes: a receiving unit, configured to receive the URL information including the uniform resource locator;
  • a determining unit configured to determine, according to the URL information, a security level corresponding to the URL information
  • the processing unit is configured to process the request message according to the security level.
  • the request message sent by the user terminal to the Internet is intercepted, and the uniform resource locator URL information is extracted from the request message.
  • the URL information Determining a security level corresponding to the URL information; processing the request message according to the security level, solving the problem that installing anti-virus software on the user terminal occupies memory space and CPU resources, and being easily circumvented by malware The problem of risk, thus effectively preventing the spread or attack of malware and other malware, P is competing for the threat caused by the virus to the user terminal, and improving the network security and the user experience.
  • FIG. 1 is a flowchart of a filtering method according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a specific implementation manner of a filtering method according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a filtering system according to an embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of a specific implementation of a filtering system according to an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram of a network device according to an embodiment of the present invention. detailed description
  • FIG. 1 it is a flowchart of a filtering method provided in the embodiment of the present invention. The method is applied to a network side device, and includes:
  • Step S100 Intercept the request message sent by the user terminal to the Internet server.
  • Step S101 Extract a uniform resource locator URL from the request message (Uniform
  • the network device on the network side can detect DPI (Deep Packet) through deep packet inspection.
  • DPI Deep Packet
  • the network device may be a service router SR (Service Router, SR), a broadband remote access server (BRAS),
  • SR Service Router
  • BRAS broadband remote access server
  • GGSN Gateway GPRS Support Node
  • Step S102 Determine, according to the URL information, a security level corresponding to the URL information.
  • the local service function entity or the storage device or the cloud security server connected to the network device stores a URL library, and each URL information in the URL library has a security level identifier corresponding to the URL information.
  • the determining the security level corresponding to the URL information specifically includes:
  • the security level of security described above is: a URL library cached from the network device itself, or a URL library cached by a local service function entity connected to the network device, or from a cloud security service. Obtain a security level on any device in the server; it can also be applied to the following situations: When searching from a URL library cached locally by the network device, the security level corresponding to the URL information cannot be determined, or the local service function entity is If the security level of the URL information cannot be determined, the URL information is sent to the cloud security server for processing, that is, the URL is searched in the URL database of the cloud security server.
  • Step S104 Process the request packet according to the security level.
  • the security level information includes: any combination of one or more of security, danger, suspicious and unknown.
  • processing the request packet specifically includes any combination of one or more of the following:
  • the request message is discarded, and the message carrying the alarm information is returned to the user terminal, so as to prohibit the user terminal from sending the request message;
  • the URL information is sent to other network devices for security level determination, and processed by the returned security level.
  • the URL library is periodically refreshed by the cloud security server, and the cloud security server is also referred to as a “cloud security server cluster” or a “cloud security terminal”, and is mainly used for network information resources (for example, a webpage).
  • the request message sent by the user terminal to the Internet server is intercepted, and the uniform resource locator URL information is extracted from the request message; Finding a URL library, determining a security level corresponding to the URL information; processing the request packet according to the security level, and solving
  • the problem of installing anti-virus software on the user terminal to occupy memory space and CPU resources, and the risk of being easily bypassed by malware, effectively preventing the spread and attack of viruses and other malware, and P is striving for malware. Threats caused by user terminals improve network security and user experience.
  • FIG. 2 is a flowchart of a specific implementation manner of a filtering method according to an embodiment of the present invention.
  • the filtering method can be applied to various network devices.
  • the gateway device is taken as an example to describe the implementation process of the filtering method.
  • Step S200 The user terminal sends a request message to the Internet server to request access to the information resource on the Internet server.
  • the request packet may be an http get message with a destination port of 80, but is not limited to the request.
  • Step S202 The gateway device intercepts the request packet.
  • Step S203 The gateway device extracts a uniform resource locator URL message from the request packet, where the gateway device may be a network side routing device, but is not limited to the routing device.
  • the routing device may be any combination of any one or more of the network devices such as the service router SR, the broadband remote access server BRAS, and the GPRS gateway GGSN. The following describes the method by using a router as an example.
  • the router may extract the uniform resource locator URL information from the request message by using the deep packet detection DPI mode or other manners; where the URL information is obtained by the LPU (Line Processing Unit, LPU) in the router To be done.
  • LPU Line Processing Unit
  • Step S204 The gateway device searches, according to the URL information, from the locally cached URL library, and determines whether there is a security level corresponding to the URL information. If yes, step S206 is performed; otherwise, step S208 is performed, or after step S208 and step S212 are performed, step S206 is performed.
  • the local service function entity or the cloud security server connected to the gateway device is stored.
  • There is a URL library and each URL information in the URL library has a security level identifier corresponding to the URL information.
  • the URL library stored by the gateway device itself or the URL library stored by the local service function entity is periodically refreshed by the cloud security server. Because the security level information in the URL library is changing, a refresh mechanism is required.
  • the URL library stored by the gateway device itself or the URL library stored by the local service function entity needs to be refreshed at regular intervals, and the time interval may be 30s. Refreshing once, you can also adjust accordingly according to the actual situation;
  • the cloud security server can be a cloud security server group composed of one or more cloud security servers.
  • the URL library stores the URL information and the security level corresponding to the URL information.
  • the correspondence relationship is also referred to as a URL list, that is, the URL library stores the URL list, and the URL information in the URL list can be used to find the corresponding URL.
  • the security level, and the URL list is periodically updated by an aging mechanism.
  • the URL library stored by the gateway device itself or the URL library stored by the local service function entity continuously caches the information in the URL list, which causes the information in the locally cached URL list to gradually increase, and some may be rarely used. This requires an aging mechanism.
  • the information in the list of URLs that have not been matched in a certain interval can be aged out (the aging time can be 30 minutes, or adjusted according to the actual situation), so that the router resources can be saved. It also improves the efficiency of matching.
  • the above-mentioned step S204 can be completed by the router's multi-service processing board MSU (MSU).
  • MSU multi-service processing board
  • the interface board LPU of the router redirects the request packet containing the URL information to the multi-service processing board MSU by using an ACL (Access Control List, ACL) manner; wherein, the MSU can be processed according to the MSU;
  • ACL Access Control List, ACL
  • the URL information needs to be sent to the local service function entity or the cloud security server for processing through a dedicated interface.
  • Step S206 Determine, according to the search result, a security level corresponding to the URL information, and send the security level to the gateway device.
  • Step S208 Perform a search from the URL library cached by the local service function entity; if found, perform step S206; otherwise, perform step S212. If the security level corresponding to the URL information is not found in the URL list in the URL library cached by the gateway device (ie, the cached URL library), step S208 is performed; It is also possible that the gateway device directly sends the URL information to the local service function entity, so that the local function service entity determines and returns the security level to the router according to the URL information.
  • Step S212 The cloud security server searches for a list of URLs in its locally cached URL library; if it finds, executes step S206; otherwise, the process ends.
  • step S212 is performed; or the gateway device directly Sending the URL information to the cloud security server, so that the cloud security server determines and returns the security level to the gateway device according to the URL information; where the cloud security server may be one or multiple cloud security servers. Cloud security server farm.
  • the step of searching for the URL library according to the URL information may be performed by first searching in the URL library cached by the gateway device, and failing to find the security level corresponding to the URL information, and then searching.
  • the cached URL in the local service function entity or it can be directly searched in the URL library cached by the local service function entity; or, it is directly searched in the URL library stored in the cloud security server library and then returns security level information to the gateway. device.
  • connection between the gateway device and the cloud security server can be optimized for transmission with a higher bandwidth and a lower latency link.
  • Step S214 Process the request packet according to the security level.
  • the security level information includes: any combination of one or more of security, danger, suspicious and unknown.
  • the security level includes: a security assessment level, and/or a content evaluation level; wherein the security assessment level may be classified according to a risk control level defined by the customer, for example, configuring a high, medium, and low security assessment according to the customer's requirements. Level, can be rooted after configuration Filter according to the configured conditions.
  • the content evaluation level may be classified according to content contained in the webpage, for example, classified into: adult content, sex education, alcohol/tobacco content, gambling, violence/racial discrimination, gun trafficking, entertainment, religion, drugs, illegal drugs, Games, education, social classes, parenting, advertising, etc.
  • the security assessment level and the content evaluation level may be combined in any one of the forms, or in any combination, and finally obtained and summarized into security level information, such as classified into safe, dangerous, suspicious and unknown.
  • security level information such as classified into safe, dangerous, suspicious and unknown.
  • a kind of security level information of course, only one or several types of security level information.
  • the request message of the user terminal is sent to the Internet server of the Internet; the user terminal receives the response message of the Internet server.
  • the security level information is dangerous, discarding the request message, and returning the message of the alarm information to the user terminal, to prohibit the user terminal from sending the request message; for example, the “danger” may be requested If the webpage pointed to by the URL contains malware or contains a virus, the request message is directly discarded, and a page or information of "this network contains a malicious code such as a virus, prohibiting access" is sent to the user terminal, so that the user terminal gives up according to the reminder. request.
  • the router When the security level information is suspicious, returning the reminding information to the user terminal to prompt the user terminal that the requested information is suspicious, suggesting that the user terminal does not perform access; if the user terminal insists on accessing according to the prompt information, the router will The request packet is forwarded to the Internet, but there is a certain security risk. If the user terminal confirms that the access is not continued according to the prompt information, the router directly discards the request packet, and may also directly discard the request according to the configuration of the user. 4 ⁇ .
  • the user terminal selects: one is to send the URL information to the cloud security server group and wait for it to perform security level determination, and process by the returned security level; The second is to first send the request message of the user terminal to the Internet, and then perform detection and processing.
  • the gateway device such as the network side router can provide a virtualized service, that is, the user filtering policy can be customized by different user terminals, or the router can periodically provide filtering reports to the client.
  • Table information for user reference, the router filters according to user-defined policies to meet the differentiated needs of customers.
  • the URL information may be exchanged between the gateway device, such as a router and the cloud security server group.
  • the local cache function may also be used, or the local service function entity may be used.
  • Interactive transmission to enhance the user experience and improve resource utilization efficiency; through the above various implementations can effectively prevent the spread of viruses and other malicious software or attacks while greatly reducing the time spent filtering, enhancing the user experience, while reducing the cloud
  • the interaction process saves network and interface resources.
  • FIG. 3 is a schematic structural diagram of a filtering system according to an embodiment of the present invention.
  • a filtering system is applied to the network side device, and the system includes an intercepting unit 300, an extracting unit 301, a determining unit 302, a processing unit 304, a sending unit 306, a local service function entity 308, and a cloud security server 310, where:
  • the intercepting unit 300 is configured to intercept the request message sent by the user terminal to the Internet server, and send the message to the extracting unit 301 for processing.
  • the extracting unit 301 is configured to extract the uniform resource locator URL information from the request message, and send the URL information to the determining unit for processing.
  • the determining unit 302 is configured to determine, according to the URL information sent by the extracting unit 301, a security level corresponding to the URL information, and send the security level to the processing unit 304 for processing.
  • the processing unit 304 is configured to process the request according to the security level determined by the determining unit 302.
  • the security level information includes: any combination of one or more of security, danger, suspicious and unknown.
  • the processing unit 304 processes the request packet according to different combinations or components of the security level information, and specifically includes any combination of the following ones or several situations:
  • the security level information when the security level information is dangerous, discarding the request message, and returning the message of the alarm information to the user terminal, to prohibit the user terminal from transmitting the request message; for example, the "danger” may If the webpage pointed to by the requested URL already contains malicious Trojan software and/or contains a virus, the request message is directly discarded, and a page or information of "this network contains a malicious code such as a virus, prohibiting access" or information is given to the user terminal. , causing the user terminal to abandon the request according to the reminder.
  • the router forwards the request packet to the Internet, but there is a certain security risk. If the user terminal confirms that the access is not continued according to the prompt information, the router directly discards the request packet, and may also directly select the request according to the configuration of the user. Discard the request.
  • the URL information is sent to other network devices for security level determination, and processed by the returned security level;
  • the second is to first send the request message of the user terminal to the Internet, and then perform detection and processing.
  • the system further includes:
  • the sending unit 306 is configured to send the URL information to the local service function entity or the cloud security server, and send the security level corresponding to the URL information returned by the local service function entity or the cloud security server to the determining unit. 302 is processed.
  • the local service function entity 308 is connected to the sending unit 306, and is configured to search the locally cached URL library according to the URL information, and determine the URL information returned by the security level of the URL information to the determining unit 302.
  • the local service function entity 308 locally stores a URL library, and each of the URL libraries
  • the URL information has a security level identifier corresponding to the URL information.
  • the system further includes: a cloud security server 310, configured to receive the URL information sent to the cloud security server, where the cloud security server 310 searches from a list of URLs in the locally cached URL library, and Determining a security level corresponding to the URL information, and transmitting the security level to the processing unit 304.
  • a cloud security server 310 configured to receive the URL information sent to the cloud security server, where the cloud security server 310 searches from a list of URLs in the locally cached URL library, and Determining a security level corresponding to the URL information, and transmitting the security level to the processing unit 304.
  • the URL library is periodically refreshed by the cloud security server 310.
  • the URL library stores URL information and a security level corresponding to the URL information, and the corresponding relationship is also referred to as a URL list, that is, the URL library stores the URL.
  • the list can be found by using the URL information in the URL list, and the URL list is periodically updated by the aging mechanism.
  • the intercepting unit 300 intercepts the request message sent by the user terminal to the Internet server, and the extracting unit 301 extracts the uniform resource locator URL information from the request message.
  • the determining unit 302 determines the security level corresponding to the URL information according to the URL information; and the processing unit 304 processes the request message according to the security level, and solves the problem that the anti-virus software is installed on the user terminal.
  • FIG. 4 is a schematic structural diagram of a specific implementation of a filtering system according to an embodiment of the present invention.
  • FIG. 4 is a specific implementation of the system shown in FIG. 3, where the filtering system is applied to a network side device, and the routing device in the gateway device is taken as an example, but is not limited to the routing device.
  • the routing device 40 includes: an interface circuit board LPU 402 and a multi-service processing board MSU 404;
  • the LPU 402 and the MSU 404 may be integrated on one device, and the LPU 402 and the MSU 404 may be one or more.
  • the routing device may be any combination of any one of a service router SR, a broadband remote access server BRAS, a GPRS gateway GGSN, and the like.
  • the interface circuit board LPU402 is configured to intercept the request sent by the user terminal to the Internet server, and send the URL information to the MSU 404 for processing.
  • the multi-service processing board MSU 404 is configured to extract a uniform resource locator URL information from the request message, and determine a security level corresponding to the URL information according to the URL information, and according to the returned security level. , processing the request message.
  • a local service function entity 406 Connected to the routing device 40 are: a local service function entity 406, and/or a cloud security server 408.
  • the LPU 402 intercepts the request message sent by the user terminal to the Internet (for example, the http get message, the destination port is 80), and redirects the request message to the MSU 404 by using the ACL mode; the MSU 404 passes the depth.
  • the packet detection DPI mode or other manner extracts the uniform resource locator URL information from the request message.
  • the MSU 404 can search from the URL list in the locally cached URL library, and determine whether there is a security level corresponding to the URL information.
  • the security corresponding to the URL information can also be obtained directly from the local service function entity 406 or the cloud security server 408. grade.
  • the MSU 404 When the MSU 404 searches from the URL cache locally cached by the MSU 404, and the security level corresponding to the URL information is not found, the MSU 404 sends the URL information to the local service function entity 406; the local service function entity 406 is Searching in the cached URL library; if the security level corresponding to the URL information is found, the security level is sent to the MSU 404; otherwise, the URL information is sent to the cloud security server 408 through the dedicated interface; The server 408 looks up from its locally cached URL library, determines and returns the security level corresponding to the URL information to the MSU 404.
  • the connection between the routing device 40 and the cloud security server 408 can be optimized for transmission with a higher bandwidth and a lower latency link.
  • the security level information includes: any combination of one or more of security, danger, suspicious and unknown.
  • the security level includes: a security assessment level, and/or a content evaluation level; wherein the security assessment level may be classified according to a risk control level defined by the customer, for example, configuring a high, medium, and low security assessment according to the customer's requirements. Level, after configuration, can be filtered according to the configuration.
  • the content evaluation level may be classified according to content contained in the web page, for example, divided into: adult content, content that a child can access, and the like.
  • the security assessment level and the content evaluation level may be combined in any one of the forms, or in any combination, and finally obtained and summarized into four types of information: security, danger, suspicious and unknown in the security level information. .
  • the MSU 404 processes the request packet according to different combinations or components of the security level, and specifically includes any combination of one or more of the following conditions:
  • the request message of the user terminal is sent to the Internet Internet server; the user terminal is subject to the response of the Internet server.
  • the security level information when the security level information is dangerous, discarding the request message, and returning the message of the alarm information to the user terminal, to prohibit the user terminal from transmitting the request message; for example, the "danger” may If the webpage pointed to by the requested URL already contains malicious Trojan software and/or contains a virus, the request message is directly discarded, and a page or information of "this network contains a malicious code such as a virus, prohibiting access" or information is given to the user terminal. , causing the user terminal to abandon the request according to the reminder.
  • the router forwards the request packet to the Internet, but there is a certain security risk. If the user terminal confirms that the access is not continued according to the prompt information, the router directly discards the request packet, and may also directly select the request according to the configuration of the user. Discard the request.
  • the URL information is sent to other network devices for security level determination, and processed by the returned security level;
  • the second is to send the request message of the user terminal to the Internet server, and then perform detection and processing.
  • the URL library in the local cache of the routing device and the URL library in the local cache of the local service function entity are periodically refreshed by other network devices.
  • the security level information in the URL library in the local cache of the routing device and the URL cache in the local cache of the local service function entity is changing, so a refresh mechanism is required, and the URL library and the local cache in the local cache of the routing device are required.
  • the URL library in the local cache of the service function entity needs to be refreshed at a certain time. The time interval can be refreshed once in 30s or adjusted according to the actual situation.
  • the other network devices can be cloud security devices or local service function entities. .
  • the URL library stores a URL list, where the URL list is a correspondence between the URL information and a security level, that is, a security level corresponding to the URL information is determined by using a URL list in the URL library.
  • the URL list is periodically updated by the aging mechanism.
  • the URL library keeps caching the information in the URL list, which will cause the information in the locally cached URL list to gradually increase, and some may be rarely used. This requires an aging mechanism, and there is no matching URL list at a certain interval.
  • the information in the information can be aged out (the aging time can be 30 minutes, and can be adjusted according to the actual situation), which can save the resources of the router and improve the matching efficiency.
  • FIG. 5 is a schematic structural diagram of a network device according to an embodiment of the present invention.
  • a network device includes:
  • the receiving unit 502 is configured to receive a request message that includes the uniform resource locator URL information.
  • the extracting unit 504 is configured to extract uniform resource locator URL information from the request message.
  • the determining unit 506 is configured to determine, according to the URL information, a security level corresponding to the URL information.
  • the processing unit 508 is configured to process the request packet according to the security level.
  • the network device further includes:
  • the storage unit 512 is configured to store the URL information and a security level corresponding to the URL information.
  • the searching unit 514 is configured to search for a security level corresponding to the URL information in the URL library stored by the storage unit 512 according to the URL information, and send the security level to the determining unit 506.
  • the network device may be a multi-service processing board MSU.
  • the method further includes: a sending unit 510, configured to send the URL information to a local service function entity or a cloud security server for processing, and the local service function entity or the cloud security
  • the security level returned by the server corresponding to the URL information is sent to the determining unit 506 for processing.
  • the network device When the network device is a multi-service processing board (MSU), it can also be integrated on the interface circuit board LPU for processing.
  • MSU multi-service processing board
  • the network device provided by the embodiment of the present invention solves the problem that the anti-virus software occupies the memory space and the CPU resource on the user terminal, and the risk of being easily bypassed by the malware, thereby effectively preventing the virus from spreading. Or attack, P fights down the threat that the virus poses to the network, and improves the network security and user experience.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

一种过滤方法、 系统及网络设备 本申请要求于 2009 年 3 月 30 日提交中国专利局、 申请号为 200910106362.8、 发明名称为"一种过滤的方法、 系统及网络设备" 的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信领域的网络安全技术， 尤其涉及一种过滤方法、 系 统及网络设备。
背景技术
随着通信技术的快速发展， 对于智能手机、 网际互联协议 IP ( Internet Protocol ) 电话机、 个人电脑等用户终端， 其应用的操作系统也日益趋于标 准化， 同时相应的操作系统还具有开放性、 通用性等特点。 同时， 很多用 户终端还提供了蓝牙、红外、彩信、通用分组无线业务 GPRS ( General Packet Radio Service )上网、 网上冲浪、 无线上网等功能。
相应的用户终端也为病毒、 木马等恶意软件提供了开放的运行接口， 并使得用户终端越来越容易受到各种病毒等恶意软件的攻击， 同时病毒还 可以通过用户终端进行广泛地传播， 从而令通信系统的性能受到影响。
目前， 主要是通过在用户终端上安装防病毒软件， 在用户进行网页浏 览、 下载文件， 运行文件时， 进行查杀病毒。 同时， 当病毒通过用户终端 传播或攻击用户终端时， 防病毒软件可以监测到相应的病毒程序， 从而阻 止病毒的传播或攻击。
在实现本发明过程中， 发明人发现现有技术中至少存在如下问题： ( 1 )如智能手机、 IP电话机、 个人电脑等用户终端， 由于硬件处理能 力限制， 杀毒软件的安装将会消耗大量的内存空间和 CPU资源， 例如在个 人电脑上安装的卡巴斯基防病毒软件为例， 安装时需要占用大量的内存空 间， 有时 CPU占用率达到 80%以上， 严重影响 CPU的正常工作。
( 2 )采用这种方式还存在容易被恶意软件绕过的风险， 目前很多的恶 意程序的木马都能够识别用户终端安装的防病毒软件， 并能够关闭其防病 毒软件或者绕过其防病毒软件的检测， 使得用户终端无法识别该病毒， 从 而无法有效阻止病毒的传播或攻击。
发明内容
本发明实施例的一个目的在于提供一种过滤方法、 系统及网络设备， 使其有效阻止病毒、 蠕虫、 木马等恶意软件的传播和攻击， 从而降低病毒 等恶意软件对用户造成的威胁， 提高网络安全性。
为实现上述目的， 本发明实施例提供如下的技术方案：
一种过滤方法， 应用于网络侧设备， 所述方法包括： 截取用户终端发 送给互联网的请求报文;从所述请求报文中提取统一资源定位符 URL信息； 根据所述 URL信息， 确定所述 URL信息对应的安全等级； 根据所述安全 等级， 对所述请求报文进行处理。
一种过滤系统， 应用于网络侧设备， 所述系统包括：
截取单元， 用于截取用户终端发送给互联网的请求报文；
提取单元， 用于从所述请求报文中提取统一资源定位符 URL信息， 并 将所述 URL信息发送给确定单元处理；
确定单元， 用于根据所述 URL信息， 确定所述 URL信息对应的安全 等级；
处理单元， 用于根据所述确定单元确定的安全等级， 对所述请求报文 进行处理。
一种网络设备， 所述网络设备包括： 接收单元， 用于接收含有统一资源定位符 URL信息；
确定单元， 用于根据所述 URL信息， 确定所述 URL信息对应的安全 等级；
处理单元， 用于根据所述安全等级， 对所述请求报文进行处理。
由上述本发明的实施例提供的具体实施方案可以看出， 通过截取用户 终端发送给互联网的请求报文， 并从所述请求报文中提取统一资源定位符 URL信息； 根据所述 URL信息， 确定所述 URL信息对应的安全等级； 根 据所述安全等级， 对所述请求 文进行处理， 解决了在用户终端上安装防 病毒软件占用内存空间和 CPU资源的问题， 以及存在容易被恶意软件绕过 的风险的问题， 从而有效阻止病毒等恶意软件的传播或攻击， P争低了病毒 对用户终端造成的威胁， 提高了网络安全性和用户的体验程度。 附图说明
图 1为本发明实施例中提供的一种过滤的方法流程图；
图 2为本发明实施例中提供的一种过滤的方法的具体实现方式流程图； 图 3为本发明实施例中提供的一种过滤系统的结构示意图；
图 4为本发明实施例中提供的一种过滤系统的具体实现结构示意图； 图 5为本发明实施例中提供的一种网络设备的结构示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对 本发明的实施例作进一步地详细描述。
应当明确， 所描述的实施例仅仅是本发明一部分实施例， 而不是全部 的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。 如图 1 所示， 是本发明实施例中提供的一种过滤方法的流程图， 所述 方法应用于网络侧设备， 包括：
步骤 S100、 截取用户终端发送给互联网服务器的请求报文。
步骤 S101、 从所述请求报文中提取统一资源定位符 URL ( Uniform
Resource Locator, URL )信息。
其中， 网络侧的网络设备可以通过深度报文检测 DPI ( Deep Packet
Inspection, DPI ) 方式或其他方式从所述请求报文中提取统一资源定位符
URL信息； 所述网络设备可以为业务路由器 SR ( Service Router, SR ) 、 宽带远程接入服务器 BRAS ( Broadband Remote Access Server, BRAS ) 、
GPRS网关 GGSN ( Gateway GPRS Support Node, GGSN )等设备的任意一 种几种的任意组合。
步骤 S102、根据所述 URL信息，确定所述 URL信息对应的安全等级。 这里与该网络设备相连的本地服务功能实体或存储设备或云端安全服 务器都存储有 URL库， 且该 URL库中的每个 URL信息具有与该 URL信 息对应的安全等级标识。
其中， 所述确定所述 URL信息对应的安全等级具体包括：
从网络设备本地缓存的 URL库中进行查找， 并确定所述 URL信息对 应的安全等级；
或者， 接收本地服务功能实体确定并返回的与所述 URL信息对应的安 全等级； 其中所述 URL信息的安全等级为本地服务功能实体在本地服务功 能实体本地缓存的 URL库中查找并确定所述 URL信息的安全等级后返回 的安全等级；
或者接收云端安全服务器确定并返回的与所述 URL信息对应的安全等 级。
这里上面描述的获取安全等级为： 从网络设备自身缓存的 URL库， 或 者与网路设备相连的本地服务功能实体缓存的 URL库， 或者从云端安全服 务器中任意一个设备上获取安全等级； 也可以适用于下面的情况： 当从网络设备本地缓存的 URL库中进行查找， 无法确定所述 URL信 息对应的安全等级时，或者本地服务功能实体在本地缓存的 URL库中查找， 无法确定所述 URL信息对应的安全等级时， 将所述 URL信息发送给云端 安全服务器进行处理， 即在云端安全服务器的 URL库中查找。
步骤 S104、 根据所述安全等级， 对所述请求报文进行处理。
所述安全等级信息包括： 安全、 危险、 可疑和未知一种或几种的任意 组合。
根据所述安全等级， 对所述请求报文进行处理具体包括下列一种或几 种情况的任意组合：
当所述安全等级信息为安全时， 发送所述用户终端的请求报文给互联 网 Internet;
当所述安全等级信息为危险时， 丢弃所述请求报文， 并返回携带告警 信息的报文给用户终端， 以禁止用户终端发送所述请求报文；
当所述安全等级信息为可疑时， 返回提醒信息给用户终端， 以提示用 户终端所述请求的信息可疑；
当所述安全等级信息为未知时，将所述 URL信息发送给其他网络设备 进行安全等级确定， 通过返回的安全等级进行处理。
其中， 所述 URL库通过云端安全 务器定时刷新， 其中所述云端安全 服务器， 又称为 "云端安全服务器集群"， 或者"云安全端"等， 主要用来对网 络信息资源 （例如： 网页）根据木马、 恶意程序等特征进行安全等级评估 的设备。
由上述本发明的实施例提供的具体实施方案可以看出， 通过截取用户 终端发送给互联网服务器的请求报文， 并从所述请求报文中提取统一资源 定位符 URL信息； 根据所述 URL信息， 查找 URL库， 确定所述 URL信 息对应的安全等级； 根据所述安全等级， 对所述请求报文进行处理， 解决 了在用户终端上安装防病毒软件占用内存空间和 CPU资源的问题， 以及存 在容易被恶意软件绕过的风险的问题， 从而有效阻止病毒等恶意软件的传 播和攻击， P争低了恶意软件对用户终端造成的威胁， 提高了网络安全性和 用户的体验程度。
请参见图 2，图 2为本发明实施例中提供的一种过滤的方法的具体实现 方式流程图。 该过滤方法可用于各种网络设备， 此处仅以网关设备为例来 说明该过滤方法的实现过程。
步骤 S200、 用户终端发送请求报文给互联网服务器， 请求访问互联网 服务器上的信息资源。
其中所述请求报文可以为目的端口为 80的 http get报文， 但不局限于 该请求 4艮文。
步骤 S202、 网关设备截取所述请求报文。
步骤 S203、 网关设备从所述请求报文中提取统一资源定位符 URL信 其中， 所述网关设备可以为网络侧路由设备， 但不限于所述路由设备。 所述路由设备可以为业务路由器 SR、 宽带远程接入服务器 BRAS、 GPRS 网关 GGSN等网络设备的任意一种或几种的任意组合， 下面以路由器为例 对所述方法进行描述。
所述路由器可以通过深度报文检测 DPI方式或其他方式从所述请求艮 文中提取统一资源定位符 URL信息； 这里获取所述 URL信息可以由路由 器中的接口线路板 LPU ( Line Processing Unit, LPU )来完成。
步骤 S204、网关设备根据所述 URL信息，网关设备从本地缓存的 URL 库中进行查找， 并判断是否有 URL信息对应的安全等级。 若有， 则执行步 骤 S206; 否则执行步骤 S208, 或者， 执行完步骤 S208和步骤 S212后， 再 执行步骤 S206。
这里与该网关设备相连的本地服务功能实体或云端安全服务器都存储 有 URL库， 且该 URL库中的每个 URL信息具有与 URL信息对应的安全 等级标识。
其中， 所述网关设备自身存储的 URL库或者本地服务功能实体存储的 URL库通过云端安全服务器定时刷新。因为 URL库中的安全等级信息是在 变化的， 所以需要有刷新机制， 所述网关设备自身存储的 URL库或者本地 服务功能实体存储的 URL库每隔一定时间需要刷新一次， 时间间隔可以是 30s刷新一次， 也可以根据实际情况进行相应的调整； 其中所述云端安全服 务器可以为一个或多个云端安全服务器组成的云端安全服务器群。 所述 URL库存储的为 URL信息以及与 URL信息对应的安全等级， 这种对应关 系也称为 URL列表， 即该 URL库中存储了 URL列表， 通过 URL列表中 的 URL信息可以查找到对应的安全等级， 且所述 URL列表通过老化机制 进行定时更新。 所述网关设备自身存储的 URL库或者本地服务功能实体存 储的 URL库不停缓存 URL列表中的信息， 会导致本地缓存的 URL列表中 的信息逐渐增多， 而有些可能是很少用到的， 这就需要老化机制， 在一定 时间间隔没有匹配过的 URL列表中的信息就可以老化掉（老化时间可以是 30分钟， 也可以根据实际情况进行相应的调整） ， 这样就可以节约路由器 的资源， 同时也提高了匹配的效率。
上述执行的步骤 S204可以通过路由器的多业务处理板 MSU ( MSU ) 完成。所述路由器的接口线路板 LPU将含有所述 URL信息的请求报文通过 ACL (访问控制列表， Access Control List, ACL ) 方式重定向到多业务处 理板 MSU去处理；其中， 所述 MSU可以根据需要将所述 URL信息通过专 用接口发送到本地服务功能实体或者云端安全服务器上处理。
步骤 S206、根据查找结果，确定所述 URL信息对应的安全等级并发给 所述网关设备。
步骤 S208、从本地服务功能实体缓存的 URL库中进行查找；若查找到， 则执行步骤 S206; 否则， 执行步骤 S212。 若从网关设备本地缓存的 URL库（即自身缓存的 URL库） 中的 URL 列表中未查找到 URL信息对应的安全等级（即无法确定所述 URL信息对 应的安全等级）， 则执行步骤 S208; 也可以是由网关设备直接发送 URL信 息给所述本地服务功能实体， 使得本地功能服务实体根据所述 URL信息， 确定并返回所述安全等级给路由器。
步骤 S212、 所述云端安全服务器从其本地缓存的 URL库中的 URL列 表中查找； 若查找到则执行步骤 S206; 否则结束本流程。
若从本地服务功能实体缓存的 URL库中的 URL列表中未查找到 URL 信息对应的安全等级（即无法确定所述 URL信息对应的安全等级） ， 则执 行步骤 S212;也可以是由网关设备直接发送 URL信息给所述云端安全服务 器， 使得云端安全服务器根据所述 URL信息， 确定并返回所述安全等级给 网关设备； 这里所述云端安全服务器可以为一个， 也可以为多个云端安全 服务器组成的云端安全服务器群。
上述的步骤 S204至 S214中， 所述根据 URL信息查找 URL库的步骤 可以是先在网关设备自身缓存的 URL库中进行查找，查找不到与所述 URL 信息对应的安全等级后， 再去查找本地服务功能实体中缓存的 URL; 也可 以是直接在本地服务功能实体缓存的 URL库中进行查找； 或者， 是直接在 云端安全服务器库中存储的 URL库中进行查找然后返回安全等级信息给网 关设备。
所述网关设备与云端安全服务器之间的连接可以采用较高带宽和低时 延的链路进行传输优化。
步骤 S214、 根据所述安全等级， 对所述请求报文进行处理。
所述安全等级信息包括： 安全、 危险、 可疑和未知中的一种或几种的 任意组合。 其中所述安全等级包括： 安全评估等级， 和 /或内容评估等级； 其中安全评估等级可以根据客户的要求定义的风险控制等级进行划分 ， 例 如根据客户的要求， 配置高、 中、 低等安全评估等级， 在配置以后可以根 据配置的情况进行过滤。 所述内容评估等级可以根据网页含有的内容进行 了分类， 例如划分为： 成人内容、 性教育、 酒精 /烟草类内容、 赌博、 暴力 /种族歧视、 枪支贩卖、 娱乐、 宗教、 毒品、 违禁药品、 游戏、 教育、 社交 类、 育儿类、 广告类等。 可以通过任意其中一种的形式， 或者任意几种以 组合的形式将所述安全评估等级和内容评估等级进行组合， 最终获得并归 纳为安全等级信息， 比如归纳成安全、 危险、 可疑和未知四种安全等级信 息， 当然也可以只有其中一种或几种安全等级信息。
当所述安全等级信息为安全时， 发送所述用户终端的请求报文给互联 网 Internet服务器； 用户终端会收到 Internet服务器的应答报文。
当所述安全等级信息为危险时， 丢弃所述请求报文， 并返回告警信息 的报文给用户终端， 以禁止用户终端发送所述请求报文； 例如， 所述"危险" 可以为请求的 URL指向的网页含有恶意软件或含有病毒， 则将所述请求报 文直接丢弃，并反馈一个"本网含有病毒等恶意代码，禁止访问"的页面或者 信息给用户终端， 使得用户终端根据提醒放弃请求。
当所述安全等级信息为可疑时， 返回提醒信息给用户终端， 以提示用 户终端所述请求的信息可疑， 建议用户终端不进行访问； 若用户终端根据 提示信息， 坚持要访问， 则路由器将所述请求报文继续转发给 Internet, 但 是此时存在一定安全隐患； 若用户终端根据提示信息， 确认不继续访问， 则路由器直接丢弃该请求报文， 也可以根据用户的配置情况选择直接丢弃 该请求 4艮文。
当所述安全等级信息为未知时， 有两种方式可以供用户终端选择： 其 一为将所述 URL信息发送给云端安全服务器群并等待其进行安全等级确 定， 通过返回的安全等级进行处理； 其二为先将所述用户终端的请求报文 发送给 Internet， 再进行侦测和处理。
所述网络侧路由器等网关设备能够提供虚拟化的服务， 即可以由不同 的用户终端定制自己的过滤策略， 也可以是路由器定时给客户提供过滤报 表信息， 供用户参考， 路由器根据用户定义的策略进行过滤， 满足客户的 差异性需求。
由上述本发明的实施例提供的具体实施方案可以看出， 可以采用在网 关设备例如路由器与云端安全服务器群进行 URL信息交互传输； 也可以使 用本地缓存的方式， 或者在本地服务功能实体上进行交互传输， 来增强用 户体验和提高资源利用效率； 通过上述各种实现方式可以有效阻止病毒等 恶意软件的传播或攻击同时可以大大缩短过滤花费的时间， 增强用户的体 验， 同时也减少了和云端的交互过程， 节约了网络和接口资源。
请参见图 3，图 3为本发明实施例中提供的一种过滤系统的结构示意图。 一种过滤系统， 应用于网络侧设备， 所述系统包括截取单元 300、提取 单元 301、 确定单元 302、 处理单元 304、 发送单元 306、 本地服务功能实 体 308和云端安全服务器 310， 其中：
截取单元 300， 用于截取用户终端发送给互联网服务器的请求报文， 并 将所述报文发给提取单元 301进行处理。
提取单元 301，用于从所述请求4艮文中提取统一资源定位符 URL信息， 并将所述 URL信息发送给确定单元处理。
确定单元 302， 用于根据提取单元 301发送的所述 URL信息， 确定所 述 URL信息对应的安全等级， 将所述安全等级发送给处理单元 304进行处 理。
处理单元 304， 用于根据所述确定单元 302确定的安全等级，对所述请 求4艮文进行处理。
所述安全等级信息包括： 安全、 危险、 可疑和未知一种或几种的任意 组合。
根据所述安全等级信息的不同组合或组成， 处理单元 304对所述请求 报文进行处理具体包括下列一种或几种情况的任意组合：
( 1 ) 当所述安全等级信息为安全时， 发送所述用户终端的请求报文给 互联网 Internet服务器； 用户终端会收到 Internet服务器的应 艮文。
( 2 ) 当所述安全等级信息为危险时， 丢弃所述请求报文， 并返回告警 信息的报文给用户终端，以禁止用户终端发送所述请求报文；例如，所述"危 险"可以为请求的 URL指向的网页已经含有恶意木马软件和 /或含有病毒， 则将所述请求报文直接丢弃， 并反馈一个"本网含有病毒等恶意代码， 禁止 访问 "的页面或者信息给用户终端， 使得用户终端根据提醒放弃请求。
( 3 ) 当所述安全等级信息为可疑时， 返回提醒信息给用户终端， 以提 示用户终端所述请求的信息可疑， 建议用户终端不进行访问； 若用户终端 根据提示信息， 坚持要访问，则路由器将所述请求报文继续转发给 Internet, 但是此时存在一定安全隐患； 若用户终端根据提示信息， 确认不继续访问， 则路由器直接丢弃该请求报文， 也可以根据用户的配置情况选择直接丢弃 该请求 4艮文。
( 4 ) 当所述安全等级信息为未知时，有两种方式可以供用户终端选择： 其一为将所述 URL信息发送给其他网路设备进行安全等级确定， 通过返回 的安全等级进行处理；其二为先将所述用户终端的请求报文发送给 Internet, 再进行侦测和处理。
当所述确定单元 302从本地缓存的 URL库中未查找到 URL信息对应的 安全等级时， 或者需要从本地服务功能实体获取安全等级时， 所述系统还 包括：
发送单元 306， 用于发送所述 URL信息给本地服务功能实体或者云端 安全服务器， 并将所述本地服务功能实体或者云端安全服务器返回的与所 述 URL信息对应的安全等级发送给所述确定单元 302进行处理。
本地服务功能实体 308， 与发送单元 306相连， 用于根据所述 URL信 息，查找本地缓存的 URL库并确定所述 URL信息的安全等级后返回的 URL 信息给所述确定单元 302。
所述本地服务功能实体 308本地存储有 URL库， 且该 URL库中的每 个 URL信息具有与 URL信息对应的安全等级标识。
当从本地服务功能实体 308在本地缓存的 URL库中查找， 未查找到 URL信息对应的安全等级（即无法确定所述 URL信息对应的安全等级）时， 或者需要直接从云端安全服务器获取所述安全等级时， 所述系统还包括： 云端安全服务器 310， 用于接收所述发送给云端安全服务器的 URL信 息， 所述云端安全服务器 310从本地缓存的 URL库中的 URL列表中进行 查找， 并确定所述 URL信息对应的安全等级， 并将所述安全等级发送给处 理单元 304。
其中， 所述 URL库通过云端安全服务器 310定时刷新， 所述 URL库 存储的为 URL信息以及与 URL信息对应的安全等级， 这中对应关系也称 为 URL列表， 即该 URL库中存储了 URL列表， 通过 URL列表中的 URL 信息可以查找到对应的安全等级， 且所述 URL列表通过老化机制进行定时 更新。
由上述本发明的实施例提供的具体实施方案可以看出， 通过截取单元 300截取用户终端发送给互联网服务器的请求报文，通过提取单元 301从所 述请求报文中提取统一资源定位符 URL信息；确定单元 302根据所述 URL 信息， 确定所述 URL信息对应的安全等级； 以及处理单元 304才 据所述安 全等级， 对所述请求报文进行处理， 解决了在用户终端上安装防病毒软件 占用内存空间和 CPU资源的问题， 以及存在容易被恶意软件绕过的风险的 问题， 从而有效阻止病毒的传播或攻击， P争低了病毒等恶意软件对用户终 端造成的威胁， 提高了网络安全性和用户的体验程度。
请参见图 4，图 4为本发明实施例中提供的一种过滤系统的具体实现结 构示意图。
图 4为图 3所述系统的一种具体实现， 所述过滤系统应用于网络侧设 备， 以网关设备中的路由设备为例， 但不限于所述路由设备。
所述路由设备 40包括：接口线路板 LPU402和多业务处理板 MSU404; 其中所述 LPU402和 MSU404可以集成在一个设备上， 且所述 LPU402和 MSU404可以为一个或多个。
所述路由设备可以为业务路由器 SR、 宽带远程接入服务器 BRAS、 GPRS网关 GGSN等设备的任意一种几种的任意组合。
所述接口线路板 LPU402,用于截取用户终端发送给互联网服务器的请 求 4艮文， 并将所述 URL信息发送给 MSU404处理。
所述多业务处理板 MSU404, 用于从所述请求报文中提取统一资源定 位符 URL信息， 并根据所述 URL信息， 确定所述 URL信息对应的安全等 级， 并根据所述返回的安全等级， 对所述请求报文进行处理。
与所述路由设备 40相连接的有： 本地服务功能实体 406， 和 /或， 云端 安全服务器 408。
各实体之间的具体交互过程如下：
LPU402截取用户终端发送给 Internet的请求报文（例如 http get报文， 目的端口为 80 )， 并将所述请求报文采用 ACL方式将所述请求报文重定向 到 MSU404; 所述 MSU404通过深度报文检测 DPI方式或其他方式从所述 请求报文中提取统一资源定位符 URL信息。
MSU404可以从本地缓存的 URL库中的 URL列表中进行查找， 并判 断是否有与 URL信息对应的安全等级;也可以直接从本地服务功能实体 406 或者云端安全服务器 408上获取与 URL信息对应的安全等级。
当 MSU404从 MSU404本地缓存的 URL库中进行查找，未找到所述与 URL信息对应的安全等级时， 所述 MSU404将所述 URL信息发送给本地 服务功能实体 406; 所述本地服务功能实体 406在自身缓存的 URL库中进 行查找； 若查找到与所述 URL信息对应的安全等级， 则发送所述安全等级 给 MSU404;否则，将所述 URL信息通过专用接口发给云端安全服务器 408; 云端安全服务器 408从其本地缓存的 URL库中查找，确定并返回所述 URL 信息对应的安全等级给 MSU404。 所述路由设备 40与云端安全服务器 408之间的连接可以采用较高带宽 和低时延的链路进行传输优化。
所述安全等级信息包括： 安全、 危险、 可疑和未知一种或几种的任意 组合。 其中所述安全等级包括： 安全评估等级， 和 /或内容评估等级； 其中 安全评估等级可以根据客户的要求定义的风险控制等级进行划分 ， 例如根 据客户的要求， 配置高、 中、 低等安全评估等级， 在配置以后可以根据配 置的情况进行过滤。 所述内容评估等级可以根据网页含有的内容进行了分 类， 例如划分为： 成人内容、 小孩可以访问的内容等。 可以通过任意其中 一种的形式， 或者任意几种以组合的形式将所述安全评估等级和内容评估 等级进行组合， 最终获得并归纳为安全等级信息中的安全、 危险、 可疑和 未知四种信息。
根据所述安全等级的不同组合或组成， MSU404对所述请求报文进行 处理具体包括下列一种或几种情况的任意组合：
( 1 ) 当所述安全等级信息为安全时， 发送所述用户终端的请求报文给 互联网 Internet服务器； 用户终端会受到 Internet服务器的应 艮文。
( 2 ) 当所述安全等级信息为危险时， 丢弃所述请求报文， 并返回告警 信息的报文给用户终端，以禁止用户终端发送所述请求报文；例如，所述"危 险"可以为请求的 URL指向的网页已经含有恶意木马软件和 /或含有病毒， 则将所述请求报文直接丢弃， 并反馈一个"本网含有病毒等恶意代码， 禁止 访问 "的页面或者信息给用户终端， 使得用户终端根据提醒放弃请求。
( 3 ) 当所述安全等级信息为可疑时， 返回提醒信息给用户终端， 以提 示用户终端所述请求的信息可疑， 建议用户终端不进行访问； 若用户终端 根据提示信息， 坚持要访问，则路由器将所述请求报文继续转发给 Internet, 但是此时存在一定安全隐患； 若用户终端根据提示信息， 确认不继续访问， 则路由器直接丢弃该请求报文， 也可以根据用户的配置情况选择直接丢弃 该请求 4艮文。 ( 4 ) 当所述安全等级信息为未知时，有两种方式可以供用户终端选择： 其一为将所述 URL信息发送给其他网路设备进行安全等级确定， 通过返回 的安全等级进行处理； 其二为先将所述用户终端的请求报文发送给 Internet 服务器， 再进行侦测和处理。
其中， 所述路由设备本地缓存中的 URL库和本地服务功能实体本地缓 存中的 URL库通过其他网络设备定时刷新。 所述路由设备本地缓存中的 URL库和本地服务功能实体本地缓存中的 URL库中的安全等级信息是在变 化的， 因此需要有刷新机制， 在所述路由设备本地缓存中的 URL库和本地 服务功能实体本地缓存中的 URL库每隔一定时间需要刷新一次， 时间间隔 可以是 30s刷新一次，也可以根据实际情况进行相应的调整； 所述其他网络 设备可以为云端安全设备或者本地服务功能实体。
所述 URL库中存储的是 URL列表， 所述 URL列表为所述 URL信息 与安全等级的对应关系， 即通过所述 URL库中的 URL列表， 确定与所述 URL信息对应的安全等级， 所述 URL列表通过老化机制进行定时更新。 URL库不停缓存 URL列表中的信息， 会导致本地缓存的 URL列表中的信 息逐渐增多， 而有些可能是很少用到的， 这就需要老化机制， 在一定时间 间隔没有匹配过的 URL列表中的信息就可以老化掉（老化时间可以是 30 分钟， 可以根据实际情况进行相应的调整） ， 这样就可以节约路由器的资 源， 同时也提高了匹配的效率。
由上述本发明的实施例提供的具体实施方案可以看出， 若采用在路由 设备与云端安全服务器群进行 URL信息交互传输， 所需时间较短， 不会影 响用户的浏览体验； 也可以使用本地缓存的方式， 或者在本地服务功能实 体上进行交互传输， 来增强用户体验和提高资源利用效率； 通过上述各种 实现方式可以有效阻止病毒的传播或攻击， 同时可以大大缩短过滤花费的 时间， 增强用户的体验， 同时也减少了和云端的交互过程， 节约了网络和 接口资源。 如图 5所示， 图 5为本发明实施例中提供的一种网络设备的结构示意 图。
一种网络设备， 所述网络设备包括：
接收单元 502， 用于接收含有统一资源定位符 URL信息的请求报文。 提取单元 504，用于从所述请求报文中提取统一资源定位符 URL信息。 确定单元 506， 用于根据所述 URL信息， 确定所述 URL信息对应的安 全等级。
处理单元 508， 用于根据所述安全等级， 对所述请求报文进行处理。 所述网络设备还包括：
存储单元 512，用于存储所述 URL信息及与所述 URL信息对应的安全 等级。
查找单元 514， 用于根据所述 URL信息， 在所述存储单元 512存储的 URL库中查找与所述 URL信息对应的安全等级，并将所述安全等级发送给 确定单元 506。
所述网络设备可以为多业务处理板 MSU。 当所述 URL信息对应的安 全等级无法确定时， 还包括： 发送单元 510， 用于发送所述 URL信息给本 地服务功能实体或者云端安全服务器进行处理， 并将所述本地服务功能实 体或者云端安全服务器返回的与所述 URL信息对应的安全等级发送给所述 确定单元 506进行处理。
所述网络设备为多业务处理板 MSU时，也可以集成在接口线路板 LPU 上进行处理。
由上述本发明的实施例提供的网络设备， 解决了在用户终端上安装防 病毒软件占用内存空间和 CPU资源的问题， 以及存在容易被恶意软件绕过 的风险的问题， 从而有效阻止病毒的传播或攻击， P争低了病毒对网络造成 的威胁， 提高了网络安全性和用户的体验程度。
以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并 补局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想到的变化或替换， 都应该涵盖在本发明的保护范围之内。 因此， 本发明的保护范围应该以权利要求的保护范围为准。

Claims

权 利 要 求
1、一种过滤的方法， 其特征在于， 所述方法应用于网络侧设备， 包括： 截取用户终端发送给互联网服务器的请求报文；
从所述请求报文中提取统一资源定位符 URL信息；
根据所述 URL信息， 确定所述 URL信息对应的安全等级；
根据所述安全等级， 对所述请求报文进行处理。
2、 根据权利要求 1所述的方法， 其特征在于， 所述确定所述 URL信 息对应的安全等级具体包括：
从所述网络侧设备本地缓存的 URL库中进行查找， 并确定所述 URL 信息对应的安全等级； 或者，
接收本地服务功能实体确定并返回的所述 URL信息的安全等级； 其中 所述 URL信息的安全等级为本地服务功能实体在其本地缓存的 URL库中 查找并确定所述 URL信息的安全等级后返回的安全等级； 或者，
接收云端安全服务器确定并返回的所述 URL信息的安全等级； 其中所 述 URL信息的安全等级为云端安全服务器在云端的 URL库中查找并确定 所述 URL信息的安全等级后返回的安全等级； 或者，
从网络侧设备本地缓存的 URL库中查找， 未找到与所述 URL信息对 应的安全等级时， 接收本地服务功能实体确定并返回的所述 URL信息的安 全等级； 其中所述 URL信息的安全等级为本地服务功能实体在其本地缓存 的 URL库中查找并确定所述 URL信息的安全等级后返回的安全等级； 或 者，
从网络侧设备缓存的 URL库中和本地服务功能实体缓存的 URL库中 查找， 未找到与所述 URL信息对应的安全等级时， 接收云端安全服务器确 定并返回的所述 URL信息的安全等级； 其中所述 URL信息的安全等级为 云端安全服务器在云端的 URL库中查找并确定所述 URL信息的安全等级 后返回的安全等级。
3、根据权利要求 1或 2所述的方法，其特征在于， 所述安全等级包括： 安全、 危险、 可疑和未知的一种或几种的任意组合。
4、 根据权利要求 1至 3中任一所述的方法， 其特征在于， 根据所述安 全等级， 对所述请求报文进行处理具体包括下列一种或几种情况的任意组 合：
当所述安全等级为安全时， 发送所述用户终端的请求报文给互联网 Internet服务器；
当所述安全等级为危险时， 丢弃所述请求>¾文， 以终止用户终端对所 述 URL的请求；
当所述安全等级为可疑时， 返回提醒信息给用户终端， 以提示用户终 端所述请求的信息可疑；
当所述安全等级为未知时，将所述 URL信息发送给其他网路设备进行 安全等级确定， 通过返回的安全等级进行处理。
5、 根据权利要求 2至 4中任一所述的方法， 其特征在于， 所述 URL 库通过所述云端安全服务器定时刷新。
6、 一种过滤系统， 其特征在于， 所述系统应用于网络侧设备， 包括： 截取单元， 用于截取用户终端发送给互联网服务器的请求报文， 并将 所述报文发送给提取单元处理；
提取单元， 用于从所述请求报文中提取统一资源定位符 URL信息， 并 将所述 URL信息发送给确定单元处理；
确定单元， 用于根据所述 URL信息， 确定所述 URL信息对应的安全 等级；
处理单元， 用于根据所述确定单元确定的安全等级， 对所述请求报文 进行处理。
7、 根据权利要求 6所述的系统， 其特征在于， 所述系统还包括： 发送单元， 用于发送所述 URL信息给本地服务功能实体或云端安全服 务器。
8、 根据权利要求 7所述的系统， 其特征在于， 所述系统还包括： 本地服务功能实体， 用于根据发送单元发送的所述 URL信息， 查找本 地缓存的 URL库并确定所述 URL信息的安全等级后返回的 URL信息给所 述确定单元。
9、 根据权利要求 7所述的系统， 其特征在于， 所述系统还包括： 云端安全服务器， 用于根据所述发送单元发送的所述 URL信息， 从本 地缓存的 URL库中进行查找， 并确定所述 URL信息对应的安全等级， 并 将所述安全等级发送给所述确定单元。
10、 根据权利要求 9所述的系统， 其特征在于， 所述 URL库通过所述 云端安全 务器定时刷新。
11、 根据权利要求 6至 9中任一所述的系统， 其特征在于， 所述安全 等级包括： 安全、 危险、 可疑和未知的一种或几种的任意组合。
12、 一种网络设备， 其特征在于， 所述网络设备包括：
接收单元， 用于接收含有统一资源定位符 URL信息的请求报文； 提取单元， 用于从所述请求报文中提取统一资源定位符 URL信息； 确定单元， 用于根据所述 URL信息， 确定所述 URL信息对应的安全 等级；
处理单元， 用于根据所述安全等级， 对所述请求报文进行处理。
13、 根据权利要求 12所述的网络设备， 其特征在于， 所述网络设备还 包括：
存储单元， 用于存储所述 URL信息及与所述 URL信息对应的安全等 级；
查找单元， 用于根据所述 URL信息， 在所述存储单元存储的 URL库 中查找与所述 URL信息对应的安全等级， 并将所述安全等级发送给确定单 元。
14、 根据权利要求 13所述的网络设备， 其特征在于， 所述网络设备还 包括：
发送单元， 用于发送所述 URL信息给本地服务功能实体或者云端安全 服务器进行处理， 并将所述本地服务功能实体或者所述云端安全服务器返 回的与所述 URL信息对应的安全等级发送给所述确定单元进行处理。
15、 根据权利要求 14所述的网络设备， 其特征在于， 所述 URL库通 过所述云端安全 务器定时刷新。
16、 根据权利要求 12至 14中任一所述的网络设备， 其特征在于， 所 述安全等级包括： 安全、 危险、 可疑和未知的一种或几种的任意组合。
PCT/CN2010/071361 2009-03-30 2010-03-26 一种过滤方法、系统及网络设备 Ceased WO2010111930A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2012502434A JP5325335B2 (ja) 2009-03-30 2010-03-26 フィルタリング方法、システムおよびネットワーク機器
EP10758032.6A EP2408166B1 (en) 2009-03-30 2010-03-26 Filtering method, system and network device therefor
CA2757339A CA2757339C (en) 2009-03-30 2010-03-26 Filtering method, system, and network equipment
US13/250,649 US20120023588A1 (en) 2009-03-30 2011-09-30 Filtering method, system, and network equipment

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910106362.8 2009-03-30
CN200910106362A CN101854335A (zh) 2009-03-30 2009-03-30 一种过滤的方法、系统及网络设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/250,649 Continuation US20120023588A1 (en) 2009-03-30 2011-09-30 Filtering method, system, and network equipment

Publications (1)

Publication Number Publication Date
WO2010111930A1 true WO2010111930A1 (zh) 2010-10-07

Family

ID=42805608

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/071361 Ceased WO2010111930A1 (zh) 2009-03-30 2010-03-26 一种过滤方法、系统及网络设备

Country Status (6)

Country Link
US (1) US20120023588A1 (zh)
EP (1) EP2408166B1 (zh)
JP (1) JP5325335B2 (zh)
CN (1) CN101854335A (zh)
CA (1) CA2757339C (zh)
WO (1) WO2010111930A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013134711A (ja) * 2011-12-27 2013-07-08 Nis Plus Co Ltd 医療クラウドシステム
CN103731818A (zh) * 2012-10-10 2014-04-16 中国移动通信集团江苏有限公司 一种移动终端病毒监测、拦截方法及其装置

Families Citing this family (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102467633A (zh) * 2010-11-19 2012-05-23 奇智软件（北京）有限公司 一种安全浏览网页的方法及其系统
CN102694903B (zh) * 2011-03-22 2017-03-01 联想(北京)有限公司 数据通信方法及装置
EP2705435B8 (en) 2011-05-06 2017-08-23 Magic Leap, Inc. Massive simultaneous remote digital presence world
CN103051596A (zh) * 2011-10-14 2013-04-17 腾讯科技（深圳）有限公司 网络安全识别方法、安全检测服务器、客户端及系统
CN102510563A (zh) * 2011-10-21 2012-06-20 北京西塔网络科技股份有限公司 一种移动互联网恶意软件检测的方法及系统
CN103092832A (zh) * 2011-10-27 2013-05-08 腾讯科技（深圳）有限公司 网址风险检测的处理方法及装置
JP5764511B2 (ja) * 2012-03-13 2015-08-19 西日本電信電話株式会社 Ｕｒｌフィルタリング装置
KR101462311B1 (ko) * 2012-05-18 2014-11-14 (주)이스트소프트 악성 코드 차단 방법
CN103631805A (zh) * 2012-08-24 2014-03-12 腾讯科技（深圳）有限公司 一种搜索结果的显示方法和装置
CN102938739B (zh) * 2012-11-26 2016-08-24 华为技术有限公司 深度报文检查方法与装置
CN102946449A (zh) * 2012-11-28 2013-02-27 网神信息技术（北京）股份有限公司 Url 的匹配方法、装置及网关
CN103077349B (zh) * 2013-01-05 2016-04-13 北京奇虎科技有限公司 一种浏览器侧提示访问安全信息的方法及装置
US9398066B1 (en) * 2013-03-06 2016-07-19 Amazon Technologies, Inc. Server defenses against use of tainted cache
US9471533B1 (en) * 2013-03-06 2016-10-18 Amazon Technologies, Inc. Defenses against use of tainted cache
US10728287B2 (en) * 2013-07-23 2020-07-28 Zscaler, Inc. Cloud based security using DNS
CN103366019B (zh) * 2013-08-06 2016-09-28 飞天诚信科技股份有限公司 一种基于iOS设备的网页拦截方法和设备
CN103634317A (zh) * 2013-11-28 2014-03-12 北京奇虎科技有限公司 基于云安全对恶意网址信息进行安全鉴定的方法及系统
CN103905436A (zh) * 2014-03-14 2014-07-02 汉柏科技有限公司 一种防护app个人隐私收集的方法及装置
CN103997487A (zh) * 2014-05-04 2014-08-20 绿网天下(福建)网络科技有限公司 一种基于浏览器的安全上网隔离方法
CN103986719A (zh) * 2014-05-26 2014-08-13 厦门美图之家科技有限公司 一种防止应用程序后台流量流失的方法
CN104144170A (zh) * 2014-08-25 2014-11-12 网神信息技术（北京）股份有限公司 网页地址的过滤方法、装置和系统
CN105591997B (zh) * 2014-10-20 2019-04-09 杭州迪普科技股份有限公司 一种url分类过滤方法及装置
CN104378762A (zh) * 2014-11-19 2015-02-25 北京极科极客科技有限公司 一种用户上网流量的监控方法
JP2016148967A (ja) * 2015-02-12 2016-08-18 富士通株式会社 情報処理装置、情報処理方法及びプログラム
CN104780121B (zh) * 2015-04-30 2018-05-08 新华三技术有限公司 一种报文发送方法及装置
EP4231684A1 (en) * 2015-08-27 2023-08-23 DRNC Holdings, Inc. Trustworthy cloud-based smart space rating with distributed data collection
CN105938473A (zh) * 2015-12-02 2016-09-14 杭州迪普科技有限公司 保存网页快照的方法及装置
CN105813085A (zh) * 2016-03-08 2016-07-27 联想(北京)有限公司 一种信息处理方法及电子设备
CN107181719B (zh) * 2016-03-10 2021-03-02 阿里巴巴集团控股有限公司 一种木马程序的检测方法和装置
US10330773B2 (en) 2016-06-16 2019-06-25 Texas Instruments Incorporated Radar hardware accelerator
CN107528845A (zh) * 2017-09-01 2017-12-29 华中科技大学 一种基于爬虫技术的智能url过滤系统及其方法
CN107766224B (zh) * 2017-11-07 2020-12-08 百度在线网络技术（北京）有限公司 测试方法和测试装置
CN108966234B (zh) * 2018-05-31 2021-11-30 北京五八信息技术有限公司 恶意信息的处理方法和装置
CN109660499B (zh) * 2018-09-13 2021-07-27 创新先进技术有限公司 攻击拦截方法和装置、计算设备及存储介质
CN110177096B (zh) * 2019-05-24 2021-09-07 网易（杭州）网络有限公司 客户端认证方法、装置、介质和计算设备
CN112202814B (zh) * 2020-11-04 2022-02-08 中国电子科技集团公司第三十研究所 一种路由交换设备内生安全动态防护功能的处理方法
CN112668007A (zh) * 2021-01-05 2021-04-16 浪潮软件股份有限公司 一种软件系统安全加固方法
CN118101225A (zh) * 2022-11-17 2024-05-28 锐捷网络股份有限公司 一种入侵检测方法、装置、电子设备及存储介质
CN120045804A (zh) * 2023-11-27 2025-05-27 中兴通讯股份有限公司 网站链接的安全性检测方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1573752A (zh) * 2003-06-20 2005-02-02 日本电气株式会社 Url检索系统、服务器及url检索方法
US20060021031A1 (en) * 2004-06-30 2006-01-26 Scott Leahy Method and system for preventing fraudulent activities

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040010710A1 (en) * 2002-07-10 2004-01-15 Wen-Hao Hsu Method and system for filtering requests to a web site
US7752662B2 (en) * 2004-02-20 2010-07-06 Imperva, Inc. Method and apparatus for high-speed detection and blocking of zero day worm attacks
US20060064469A1 (en) * 2004-09-23 2006-03-23 Cisco Technology, Inc. System and method for URL filtering in a firewall
US20060168066A1 (en) * 2004-11-10 2006-07-27 David Helsper Email anti-phishing inspector
US7698442B1 (en) * 2005-03-03 2010-04-13 Voltage Security, Inc. Server-based universal resource locator verification service
US8079087B1 (en) * 2005-05-03 2011-12-13 Voltage Security, Inc. Universal resource locator verification service with cross-branding detection
US7562304B2 (en) * 2005-05-03 2009-07-14 Mcafee, Inc. Indicating website reputations during website manipulation of user information
JP2007006054A (ja) * 2005-06-23 2007-01-11 Hitachi Ltd パケット中継装置及びパケット中継システム
JP4996968B2 (ja) * 2007-05-09 2012-08-08 株式会社エヌ・ティ・ティ・ドコモ 通信端末、送信制御システム、送信制御プログラム、及び送信制御方法
US20090178131A1 (en) * 2008-01-08 2009-07-09 Microsoft Corporation Globally distributed infrastructure for secure content management

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1573752A (zh) * 2003-06-20 2005-02-02 日本电气株式会社 Url检索系统、服务器及url检索方法
US20060021031A1 (en) * 2004-06-30 2006-01-26 Scott Leahy Method and system for preventing fraudulent activities

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2408166A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013134711A (ja) * 2011-12-27 2013-07-08 Nis Plus Co Ltd 医療クラウドシステム
CN103731818A (zh) * 2012-10-10 2014-04-16 中国移动通信集团江苏有限公司 一种移动终端病毒监测、拦截方法及其装置

Also Published As

Publication number Publication date
JP2012522295A (ja) 2012-09-20
EP2408166B1 (en) 2016-08-31
JP5325335B2 (ja) 2013-10-23
EP2408166A4 (en) 2012-07-11
CN101854335A (zh) 2010-10-06
CA2757339A1 (en) 2010-10-07
EP2408166A1 (en) 2012-01-18
US20120023588A1 (en) 2012-01-26
CA2757339C (en) 2017-09-05

Similar Documents

Publication Publication Date Title
WO2010111930A1 (zh) 一种过滤方法、系统及网络设备
US11671402B2 (en) Service resource scheduling method and apparatus
JP6006788B2 (ja) ドメイン名をフィルタリングするためのｄｎｓ通信の使用
US8661522B2 (en) Method and apparatus for probabilistic matching to authenticate hosts during distributed denial of service attack
EP2779574B1 (en) Attack detection and prevention using global device fingerprinting
US8726338B2 (en) Dynamic threat protection in mobile networks
US9609460B2 (en) Cloud based mobile device security and policy enforcement
US9531758B2 (en) Dynamic user identification and policy enforcement in cloud-based secure web gateways
US9065800B2 (en) Dynamic user identification and policy enforcement in cloud-based secure web gateways
CN104219200B (zh) 一种防范dns缓存攻击的装置和方法
CN102594623B (zh) 防火墙的数据检测方法及装置
US20130212680A1 (en) Methods and systems for protecting network devices from intrusion
CN103916389B (zh) 防御HttpFlood攻击的方法及防火墙
CN105940655B (zh) 用于防范DDos攻击的系统
US11165817B2 (en) Mitigation of network denial of service attacks using IP location services
CN102404741B (zh) 移动终端上网异常检测方法和装置
US9124617B2 (en) Social network protection system
WO2014055354A1 (en) Protecting users from undesirable content
WO2008131667A1 (en) Method, device for identifying service flows and method, system for protecting against a denial of service attack
CN101252443A (zh) 检测报文安全性的方法和装置
US20190058729A1 (en) Local DDOS mitigation announcements in a telecommunications network
CN102045320A (zh) 安全策略的老化方法及装置
CN112437083A (zh) 防护云资源被网络攻击的方法、系统和电子设备
JP7600463B1 (ja) 仮想ホストを利用してネットワークに対するサイバー脅威を検出するサイバーセキュリティサービスを提供する方法およびこれを利用したサイバーセキュリティサービス提供サーバ
CN112583692B (zh) 流量清洗的方法、装置、设备及计算机存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10758032

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2757339

Country of ref document: CA

Ref document number: 2012502434

Country of ref document: JP

REEP Request for entry into the european phase

Ref document number: 2010758032

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2010758032

Country of ref document: EP