一种数据过滤方法、装置、电子设备及存储介质制造方法及图纸

本发明专利技术提供了一种数据过滤方法、装置、电子设备及存储介质，涉及通信技术领域。该方法包括：在目标应用的流量数据包类型是加密流量数据包的情况下，对加密流量数据包进行分析，获取加密流量数据包对应的特征信息；基于加密流量数据包对应的特征信息对iptables规则进行配置，生成目标iptables规则；根据目标iptables规则对加密流量数据包进行过滤。本发明专利技术通过根据加密流量数据包对应的特征信息对iptables规则进行配置后所生成的目标iptables规则对加密流量数据包进行过滤，极大的降低了对加密流量过滤的难度，解决了加密流量过滤难度较大的技术问题。量过滤难度较大的技术问题。量过滤难度较大的技术问题。

【技术实现步骤摘要】
一种数据过滤方法、装置、电子设备及存储介质


[0001]本专利技术涉及通信
，特别是涉及一种数据过滤方法、装置、电子设备及存储介质。

技术介绍

[0002]在传统的iptables规则设置中，仅仅只能够对IP地址，端口，已知域名进行过滤，无法对加密流量进行过滤。
[0003]现有技术一般通过特定比特流模式对加密流量进行过滤，主要是对应用层载荷信息及数据流信息进行识别，此类信息是以十六进制或者二进制形式描述应用层的信息，规则描述性较差，且需要解析报文，较为复杂，因此该方式会存在加密流量过滤难度较大的问题。

技术实现思路

[0004]有鉴于此，本专利技术旨在提出一种数据过滤方法、装置、电子设备及存储介质，通过根据加密流量数据包对应的特征信息对iptables规则进行配置后所生成的目标iptables规则对加密流量数据包进行过滤，极大的降低了对加密流量过滤的难度，解决了加密流量过滤难度较大的技术问题。
[0005]依据本专利技术的第一方面，提供了一种数据过滤方法，应用于Linux系统的电子设备，该方法包括：
[0006]在目标应用的流量数据包类型是加密流量数据包的情况下，对所述加密流量数据包进行分析，获取所述加密流量数据包对应的特征信息；
[0007]基于所述加密流量数据包对应的特征信息对iptables规则进行配置，生成目标iptables规则；
[0008]根据所述目标iptables规则对所述加密流量数据包进行过滤。
[0009]可选地，在所述获取目标应用的流量数据包的步骤之前，还包括：
[0010]获取目标应用的流量数据包，其中，所述流量数据包包括pcap包；
[0011]根据预设协议对应的端口信息判断所述流量数据包的数据类型，其中，所述流量数据包的数据类型包括加密流量数据包和非加密流量数据包。
[0012]可选地，所述获取目标应用的流量数据包，包括：
[0013]通过TcpDump获取所述目标应用的流量数据包。
[0014]可选地，所述根据所述目标iptables规则对所述加密流量数据包进行过滤，包括：
[0015]根据PRE_ROUTING挂载点上存储的规则表对所述加密流量数据包进行过滤，得到第一过滤后的加密流量数据包；
[0016]通过第一路由查询输入所述第一过滤后的加密流量数据包IP头部的目的IP地址，以及，判断所述目的IP地址与本机的IP地址是否相同；
[0017]若相同，则将所述第一过滤后的加密流量数据包发送至LOCAL_IN挂载点，以及，根
据所述LOCAL_IN挂载点上存储的规则表对所述第一过滤后的加密流量数据包进行过滤，得到第二过滤后的加密流量数据包；
[0018]通过上层协议将所述第二过滤后的加密流量数据包发送至LOCAL_OUT挂载点；
[0019]根据所述LOCAL_OUT挂载点上存储的规则表对所述第二过滤后的加密流量数据包进行过滤，得到第三过滤后的加密流量数据包；
[0020]通过第二路由根据输出所述第三过滤后的加密流量数据包IP头部的目的IP地址从路由表中查找对应的路由信息，以及，根据所述路由信息获取下一跳主机的IP地址；
[0021]根据POST_ROUTING挂载点上存储的规则表对所述第三过滤后的加密流量数据包进行过滤，得到第四过滤后的加密流量数据包；
[0022]基于所述下一跳主机的IP地址对所述第四过滤后的加密流量数据包进行数据传输。
[0023]可选地，所述方法还包括：
[0024]若所述目的IP地址与本机的IP地址不相同，则根据FORWARD挂载点上存储的规则表对所述第一过滤后的加密流量数据包进行过滤，得到第五过滤后的加密流量数据包，以及，将所述第五过滤后的加密流量数据包转发至所述POST_ROUTING挂载点；
[0025]根据所述POST_ROUTING挂载点上存储的规则表对所述第五过滤后的加密流量数据包进行过滤，得到第六过滤后的加密流量数据包，并将所述第六过滤后的加密流量数据包进行输出。
[0026]依据本专利技术的第二方面，提供了一种数据过滤装置，该装置包括：
[0027]特征数据获取模块，用于在目标应用的流量数据包类型是加密流量数据包的情况下，对所述加密流量数据包进行分析，获取所述加密流量数据包对应的特征信息；
[0028]规则配置模块，用于基于所述加密流量数据包对应的特征信息对iptables规则进行配置，生成目标iptables规则；
[0029]数据过滤模块，用于根据所述目标iptables规则对所述加密流量数据包进行过滤。
[0030]可选地，所述装置还包括：
[0031]数据获取模块，用于获取目标应用的流量数据包，其中，所述流量数据包包括pcap包；
[0032]数据类型判断模块，用于根据预设协议对应的端口信息判断所述流量数据包的数据类型，其中，所述流量数据包的数据类型包括加密流量数据包和非加密流量数据包。
[0033]可选地，所述数据获取模块，包括：
[0034]流量数据包获取子模块，用于通过TcpDump获取所述目标应用的流量数据包。
[0035]可选地，所述数据过滤模块，包括：
[0036]第一数据过滤子模块，用于根据PRE_ROUTING挂载点上存储的规则表对所述加密流量数据包进行过滤，得到第一过滤后的加密流量数据包；
[0037]数据判断子模块，用于通过第一路由查询输入所述第一过滤后的加密流量数据包IP头部的目的IP地址，以及，判断所述目的IP地址与本机的IP地址是否相同；
[0038]第二数据过滤子模块，用于若相同，则将所述第一过滤后的加密流量数据包发送至LOCAL_IN挂载点，以及，根据所述LOCAL_IN挂载点上存储的规则表对所述第一过滤后的
加密流量数据包进行过滤，得到第二过滤后的加密流量数据包；
[0039]数据发送子模块，用于通过上层协议将所述第二过滤后的加密流量数据包发送至LOCAL_OUT挂载点；
[0040]第三数据过滤子模块，用于根据所述LOCAL_OUT挂载点上存储的规则表对所述第二过滤后的加密流量数据包进行过滤，得到第三过滤后的加密流量数据包；
[0041]数据查询子模块，用于通过第二路由根据输出所述第三过滤后的加密流量数据包IP头部的目的IP地址从路由表中查找对应的路由信息，以及，根据所述路由信息获取下一跳主机的IP地址；
[0042]第四数据过滤子模块，用于根据POST_ROUTING挂载点上存储的规则表对所述第三过滤后的加密流量数据包进行过滤，得到第四过滤后的加密流量数据包；
[0043]数据传输子模块，用于基于所述下一跳主机IP地址对所述第四过滤后的加密流量数据包进行数据传输。
[0044]可选地，所述数据过滤模块，还包括：
[0045]第五数据过滤子模块，用于若所述目的IP地址与本机的IP地址本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种数据过滤方法，其特征在于，应用于Linux系统的电子设备，所述方法包括：在目标应用的流量数据包类型是加密流量数据包的情况下，对所述加密流量数据包进行分析，获取所述加密流量数据包对应的特征信息；基于所述加密流量数据包对应的特征信息对iptables规则进行配置，生成目标iptables规则；根据所述目标iptables规则对所述加密流量数据包进行过滤。2.根据权利要求1所述的方法，其特征在于，在所述获取目标应用的流量数据包的步骤之前，还包括：获取目标应用的流量数据包，其中，所述流量数据包包括pcap包；根据预设协议对应的端口信息判断所述流量数据包的数据类型，其中，所述流量数据包的数据类型包括加密流量数据包和非加密流量数据包。3.根据权利要求2所述的方法，其特征在于，所述获取目标应用的流量数据包，包括：通过TcpDump获取所述目标应用的流量数据包。4.根据权利要求1所述的方法，其特征在于，所述根据所述目标iptables规则对所述加密流量数据包进行过滤，包括：根据PRE_ROUTING挂载点上存储的规则表对所述加密流量数据包进行过滤，得到第一过滤后的加密流量数据包；通过第一路由查询输入所述第一过滤后的加密流量数据包IP头部的目的IP地址，以及，判断所述目的IP地址与本机的IP地址是否相同；若相同，则将所述第一过滤后的加密流量数据包发送至LOCAL_IN挂载点，以及，根据所述LOCAL_IN挂载点上存储的规则表对所述第一过滤后的加密流量数据包进行过滤，得到第二过滤后的加密流量数据包；通过上层协议将所述第二过滤后的加密流量数据包发送至LOCAL_OUT挂载点；根据所述LOCAL_OUT挂载点上存储的规则表对所述第二过滤后的加密流量数据包进行过滤，得到第三过滤后的加密流量数据包；通过第二路由根据输出所述第三过滤后的加密流量数据包IP头部的目的IP地址从路由表中查找对应的路由信息，以及，根据所述路由信息获取下一跳主机的IP地址；根据POST_ROUTING挂载点上存储的规则表对所述第三过滤后的加密流量数据包进行过滤，得...

【专利技术属性】
技术研发人员：崔义芳，袁朝，喻波，王志海，韩振国，
申请(专利权)人：北京明朝万达科技股份有限公司，
类型：发明
国别省市：