网关自动防御病毒系统技术方案

本发明专利技术公开了一种实现网关自动防御病毒系统，其中方法包括：安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关；主安全网关识别出需要进行杀毒的数据流，通过查询集群状态数据库和预定负载均衡策略将需要进行杀毒的数据流发送到备份安全网关上；备份安全网关将接收到的需要进行杀毒的数据流进行杀毒处理，并将经过处理的数据流封装后发送给主安全网关；主安全网关对经杀毒处理的数据包进行解封装并转发；本发明专利技术实现了安全网关集群的透明性与高性能的统一，在保持安全网关集群高可用性的基础上，通过有效的动态负载均衡机制，提升了安全网关集群的整体资源利用率。

【技术实现步骤摘要】
网关自动防御病毒系统
本专利技术涉及网络安全
，尤其涉及一种网关自动防御病毒系统。
技术介绍
随着网络技术与网络安全技术的不断发展，传统的安全网关功能已经不能满足日益出现的各种新需求。传统的安全网关只在网络层做集中访问控制，对应用层的安全无能为力，新一代的安全网关需要对应用层的安全也进行集中控制，以实现网络从二层到七层的立体安全控制。在新兴的应用层安全功能中，防病毒功能有着非常重要的地位，安全网关需要对经过安全网关的FTP，HTTP，POP3，SMTP，IMAP等流量进行实时病毒扫描，对比文件中的内容和防病毒库中存储的特征码，并对含有病毒的文件进行相关处理，如果传输的文件是某种压缩格式的文件，则病毒扫描模块需要将文件进行压缩，扫描其中所有的文件，以实现全面的杀毒功能。安全网关杀毒是CPU密集型动作，如果数据流量较大，防病毒模块会占用比较多的处理器时间和内存，将不可避免的对整个系统的其他功能产生一定的影响，降低系统的使用效能。为了提高安全网关杀毒的能力，一般通过将需要进行病毒扫描的流量通过一定的方式分配到不同的安全网关集群设备上，以此来提高整个系统的吞吐率。目前主要有两种实现方法：第一种方法，通过在安全网关集群上进行多个工作组的划分，也达到负载均衡的效果，不同的杀毒流量被强行的发送到集群中的不同工作组，集群中的每一个工作组在接收到流量后都会进行处理，从而实现杀毒流量的静态负载均衡。采用静态负载均衡方式进行组网，安全网关集群对外表现为多个逻辑设备，上下游设备必须进行复杂的配置。同时流量不能根据安全网关集群中的每个设备的状态进行负载均衡，只能按照定义好的策略进行流量发送。同时集群中的安全网关设备对于接收到的流量不能进行选择性的处理，只要上下游设备发送过来就必须处理。第二种方法，通过在网络中添加专用负载均衡设备，可以达到动态的负载均衡效果。利用专用设备的高层协议识别与流量动态均衡能力，可以根据流量以及安全网关集群设备的状态来实现杀毒流量的动态负载均衡。基于专用负载均衡设备的动态负载均衡方案缺点也很明显，一般的专用负载均衡设备非常昂贵，同时如果要排除网络中的单点故障，必须以双机热备的模式进行网络搭建，导致在扩大了投入的同时浪费了负载均衡备份安全网关以及安全网关集群备份安全网关的系统资源。
技术实现思路
鉴于上述的分析，本专利技术旨在提供一种网关自动防御病毒系统，用以解决现有技术中存在的通过将需要进行病毒扫描的流量通过一定的方式分配到不同的安全网关集群设备上所带来的诸多问题。本专利技术的目的主要是通过以下技术方案实现的：本专利技术提供了一种实现安全网关集群防病毒的方法，包括：安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关；所述主安全网关对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且通过查询集群状态数据库和采用预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上；所述选定的备份安全网关将接收到的需要进行杀毒的数据流进行杀毒处理，并将经过杀毒处理的数据流封装成数据包后发送给所述主安全网关；所述主安全网关在接收到所述选定的备份安全网关发送的经杀毒处理的数据包后，对所述数据包进行解封装，然后按正常处理流程对所述数据包进行转发。进一步地，所述安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关的步骤具体包括：所述安全网关集群根据设定的安全网关设备优先级选举其中一个作为主安全网关，其他作为备份安全网关；并且所述安全网关集群还用于对安全网关设备的每一个监控接口进行权值设定，在优先级一致时，根据不同的接口权值进行选择主安全网关。进一步地，所述方法还包括：当所述安全网关集群检测到当前主安全网关发生异常情况不能正常工作后，根据优先级算法在所有备份安全网关中重新选取一个作为主安全网关，并进行主安全网关的迁移处理。进一步地，所述主安全网关对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上的步骤具体包括：所述主安全网关对接收到的数据流进行安全规则匹配，对需要进行杀毒处理的数据流及其连接表进行标记；然后根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上进行杀毒处理；其中，所述安全规则中包含对数据流中符合TCP/IP协议的IP报文的五元组属性要求；所述预定负载均衡策略为：轮询算法、权重轮询算法或者动态轮询算法。进一步地，所述方法还包括：所述主安全网关实时监控安全网关集群的所有备份安全网关的状态，当确定有某个备份安全网关失效时，对该备份安全网关进行屏蔽，并将该备份安全网关的工作转移到集群中的其他设备。本专利技术还提供了一种实现安全网关集群防病毒的系统，包括：多个安全网关设备组成的安全网关集群，其中，所述安全网关集群，用于预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关；所述主安全网关，用于对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上；并且所述主安全网关还用于在接收到所述选定的备份安全网关发送的经杀毒处理的数据包后，对数据包进行解封装，然后按正常处理流程对所述数据包进行转发；所述备份安全网关，用于将接收到的需要进行杀毒的数据流进行杀毒处理，并将经过杀毒处理的数据流封装成数据包后发送给所述主安全网关进行转发。进一步地，所述安全网关集群具体用于，根据设定的安全网关设备优先级选举其中一个作为主安全网关，其他作为备份安全网关；并且所述安全网关集群还用于对安全网关设备的每一个监控接口进行权值设定，在优先级一致时，根据不同的接口权值进行选择主安全网关。进一步地，所述安全网关集群还用于，当检测到当前主安全网关发生异常情况不能正常工作后，根据优先级算法在所有备份安全网关中重新选取一个作为主安全网关，并进行主安全网关的迁移处理。进一步地，所述主安全网关具体包括：流量检测模块和负载均衡模块，其中，所述流量检测模块，用于对接收到的数据流进行安全规则匹配，对需要进行杀毒处理的数据流及其连接表进行标记；所述安全规则中包含对数据流中符合TCP/IP协议的IP报文的五元组属性要求；所述负载均衡模块，用于根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上进行杀毒处理；所述预定负载均衡策略为：轮询算法、权重轮询算法或者动态轮询算法。进一步地，所述主安全网关还用于，实时监控安全网关集群的所有备份安全网关的状态，当确定有某个备份安全网关失效时，根据负载均衡策略将该备份安全网关上的数据流发送到其他备份安全网关上。本专利技术有益效果如下：本专利技术通过安全网关集群主设备对需要病毒扫描的流量在安全网关集群间进行动态负载均衡，实现集群内负载均衡功能。同时当集群中的一台设备出现故障后，流量会自动的在集群的剩余设备间进行重新分配，当安全网关集群的主设备出现故障后，集群可以自动进行新的主设备选举，并接管集群负载均衡功能，实现了安全网关集群的透明性与高性能的统一，在保持安全网关集群高可用性的基础上，通过有效的动态负载均衡机制，提升了安全网关集群的整体资源利用率。同时安全网关集群具有很好的伸缩性和本文档来自技高网...

【技术保护点】
1.一种实现安全网关集群防病毒的方法，其特征在于，包括：安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关；所述主安全网关对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且通过查询集群状态数据库和采用预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上；所述选定的备份安全网关将接收到的需要进行杀毒的数据流进行杀毒处理，并将经过杀毒处理的数据流封装成数据包后发送给所述主安全网关；所述主安全网关在接收到所述选定的备份安全网关发送的经杀毒处理的数据包后，对所述数据包进行解封装，然后按正常处理流程对所述数据包进行转发。

【技术特征摘要】
1.一种实现安全网关集群防病毒的方法，其特征在于，包括：安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关；所述主安全网关对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且通过查询集群状态数据库和采用预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上；所述选定的备份安全网关将接收到的需要进行杀毒的数据流进行杀毒处理，并将经过杀毒处理的数据流封装成数据包后发送给所述主安全网关；所述主安全网关在接收到所述选定的备份安全网关发送的经杀毒处理的数据包后，对所述数据包进行解封装，然后按正常处理流程对所述数据包进行转发。2.根据权利要求1所述的方法，其特征在于，所述安全网关集群预先在多个安全网关设备中选举其中一个作为主安全网关，其他作为备份安全网关的步骤具体包括：所述安全网关集群根据设定的安全网关设备优先级选举其中一个作为主安全网关，其他作为备份安全网关；并且所述安全网关集群还用于对安全网关设备的每一个监控接口进行权值设定，在优先级一致时，根据不同的接口权值进行选择主安全网关。3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：当所述安全网关集群检测到当前主安全网关发生异常情况不能正常工作后，根据优先级算法在所有备份安全网关中重新选取一个作为主安全网关，并进行主安全网关的迁移处理。4.根据权利要求1或2所述的方法，其特征在于，所述主安全网关对接收到的数据流进行识别，识别出需要进行杀毒的数据流，并且根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上的步骤具体包括：所述主安全网关对接收到的数据流进行安全规则匹配，对需要进行杀毒处理的数据流及其连接表进行标记；然后根据预定负载均衡策略将需要进行杀毒的数据流发送到其选定的备份安全网关上进行杀毒处理；其中，所述安全规则中包含对数据流中符合TCP/IP协议的IP报文的五元组属性要求；所述预定负载均衡策略为：轮询算法、权重轮询算法或者动态轮询算法。5.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：所述主安全网关实时监控安全网关集群的所有备份安全网关的状态，当确定有某个备份安全网关失效时，...

【专利技术属性】
技术研发人员：不公告发明人，
申请(专利权)人：天津创奇业网络技术有限公司，
类型：发明
国别省市：天津,12