一种可信的网络攻击过滤装置及网络攻击过滤方法
【专利摘要】本发明公开了一种可信的网络攻击过滤装置及网络攻击过滤方法，包括网络接口模块和安全控制模块；网络接口模块用于完成IP数据包的收发；安全控制模块用于对所接收的被保护的计算机发送的IP数据包进行标识以及对所接收的外部通讯网络发送的IP数据包进行解析判别。本发明利用摘要运算判断IP数据包是否被篡改和伪造，精确区分合法与非法的数据包，过滤来自系统外部的攻击；同时，本发明利用比较发送序列号和接收序列号大小，能够抵御攻击者发出的重放攻击，有效地实现网络设备保护。
【专利说明】一种可信的网络攻击过滤装置及网络攻击过滤方法
【技术领域】
[0001]本发明涉及网络安全防御领域，尤其涉及一种能够精确标识网络IP数据包并在标识的基础上精确过滤非法IP数据包的网络攻击过滤装置及网络攻击过滤方法。
【背景技术】
[0002]网络通信的发展大大推动了整个社会的发展，各个行业均不同程度地采用网络进行信息通信。但是，当前基于IP的网络通信在设计之初并没有充分考虑安全因素，因此网络设备经常受到来自网络的攻击，这些攻击造成了很大危害。因此，为提高网络安全性，防火墙、入侵检测、加密VPN等设备相继推出，在一定程度上提高了网络安全性。
[0003]目前，主流的网络安全防御设备有防火墙、入侵检测和加密VPN等，每种设备均能起到一定的安全作用，但也存在弊端。
[0004]防火墙主要基于IP数据包过滤技术来抵御网络攻击，当网络IP数据包到达防火墙时，防火墙根据预先设定的过滤规则检查IP数据包，放行允许的IP数据包，丢弃禁止的IP数据包。基于上述原理，防火墙能够抵御很多攻击，但是攻击者能够通过构造合乎过滤规则的IP数据包来欺骗并绕过防火墙或直接攻击防火墙。
[0005]入侵检测主要基于特征检测和异常检测来确定攻击，本质上是基于网络IP数据包的活动规律来分析、综合、提取某种网络行为模式或规律，然后根据该行为模式或规律来判断IP数据包是否具有入侵性。但上述两种方式在原理上存在将正常IP数据包判断为入侵IP数据包或者入侵IP数据包当做合法IP数据包的可能，入侵检测很难做出精准的检测。
[0006]加密VPN通过在网络通信双方建立加密的安全通道来进行通信，由于采用了密码学原理，因此可以做到对IP数据包的精确辨别，区分攻击包与合法包。但是设备本身的实现较为复杂，导致设备程序自身的正确性与安全性在原理上不能保证，存在设备本身被攻破的可能，同时在实际应用中，对数据进行加密会降低网络的数据吞吐率，且很多应用没有加密需求，增加了部署成本。
[0007]从上述设备的分析可以看出，因为IP网络协议设计之初没有充分考虑安全因素，网络IP数据包自身没有可信的标识，容易发生通过伪造或篡改IP数据包以躲过网络安全防御装置，进而达到攻击目的的现象；同时，当前成本较高的VPN设备的复杂性导致的自身安全性问题降低了其安全防御级别，因此需要一种部署成本低、自身高度安全的网络防御设备，通过精确判别IP数据包的来源，区分合法IP数据包与攻击包，实现网络设备的有效保护。
【发明内容】
[0008]本发明的目的是提供一种可信的网络攻击过滤装置及网络攻击过滤方法，能够精确标识网络IP数据包，并在标识的基础上精确过滤非法IP数据包，实现网络设备的有效保护。[0009]本发明采用下述技术方案:
[0010]一种可信的网络攻击过滤装置，包括网络接口模块和安全控制模块；
[0011]所述的网络接口模块用于完成IP数据包的收发，网络接口模块包括外网网络接口模块和内网网络接口模块；外网网络接口模块连接安全控制模块和外部通信网络，用于接收外部通讯网络所发送的IP数据包并传送给安全控制模块，以及接收安全控制模块所发送的IP数据包并通过外部通信网络进行发送；内网网络接口模块连接内网中被保护的计算机和安全控制模块，用于接收安全控制模块所发送的IP数据包并传送给内网中被保护的计算机，以及接收内网中被保护的计算机所发送的IP数据包并传送给安全控制模块；
[0012]所述的安全控制模块用于对所接收的被保护的计算机发送的IP数据包进行标识以及对所接收的外部通讯网络发送的IP数据包进行解析判别；安全控制模块内存储有与相应目的地址和来源地址对应的密钥、发送序列号及接收序列号，当安全控制模块接收到内网中被保护的计算机所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包目的地址，根据目的地址获取对应的密钥和发送序列号，将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后将添加标识后的IP数据包通过外网网络接口模块发送至外部通讯网络；当安全控制模块接收到外部通讯网络所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包来源地址，根据IP数据包来源地址获取对应的密钥和接收序列号，安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃；如果结果比较一致则判断IP数据包没有被篡改和伪造，继续比较从IP数据包中读取的发送序列号和接收序列号的大小，若发送序列号大于接收序列号则认为IP数据包合法，安全控制模块接收该IP数据包并将此IP数据包发送至内网中被保护的计算机；如果发送序列号小于等于接收序列号则认为IP数据包非法，将此IP数据包丢弃。
[0013]所述的安全控制模块包括安全处理芯片和与安全处理芯片连接的外部存储器。
[0014]所述的安全处理芯片还连接有开关模块和串口通信模块，开关模块的信号输出端连接安全处理芯片的信号输入端，开关模块用于向安全处理芯片输入高电平或低电平信号，安全处理芯片根据接收到开关模块发送的不同信号分别进入IP数据包标识和解析判别工作模式或配置程序运行模式，配置程序运行模式下安全处理芯片仅通过串口通信模块与外界进行通信。
[0015]所述的网络接口模块采用支持IEEE802.3的以太网规范的接口芯片。
[0016]所述的开关模块采用电路开关。
[0017]所述的串口通信模块采用支持RS232标准的异步串行通信接口芯片。
[0018]一种利用如权利要求1所述的可信的网络攻击过滤装置实现的网络攻击过滤方法，包括以下步骤:
[0019]A:将每一台内网中被保护的计算机与外部通信网络之间连接一个网络攻击过滤装置，当某一个网络攻击过滤装置中的安全控制模块接收到IP数据包时判断IP数据包来源，如果接收到的IP数据包来源为与此网络攻击过滤装置连接的计算机时，进入步骤B ;如果接收到的IP数据包来源为另一个网络攻击过滤装置时，进入步骤F ;[0020]B:安全控制模块读取该IP数据包并提取IP数据包目的地址，然后进入步骤C ；
[0021]C:安全控制模块根据IP数据包目的地址获取对应的密钥和发送序列号，然后进入步骤D ；
[0022]D:安全控制模块将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后进入步骤E ；
[0023]E:安全控制模块将标识后的IP数据包通过外网网络接口模块发送至外部通讯网络，完成IP数据包标识操作，然后返回步骤A ;
[0024]F:安全控制模块读取该IP数据包并提取IP数据包来源地址，然后进入步骤G ；
[0025]G:安全控制模块根据IP数据包来源地址获取对应的密钥和接收序列号，然后进入步骤H ；
[0026]H:安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较一致则判断IP数据包没有被篡改和伪造，然后进入步骤I;如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃，然后返回步骤A ;
[0027]1:安全控制模块读取IP数据包中的发送序列号和接收序列号，并比较发送序列号和接收序列号大小，如果发送序列号大于接收序列号，则认为IP数据包合法，接收该IP数据包并将此IP数据包发送至内网中被保护的计算机；如果发送序列号小于等于接收序列号，则认为IP数据包非法，将此IP数据包丢弃，然后返回步骤A。
[0028]本发明在内网中被保护的计算机向外发送的IP数据包时，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果和发送序列号作为标识附于IP数据包后部，然后将包含标识的IP数据包通过外网网络接口模块发送至外部通讯网络；在接收外部通讯网络所发送的IP数据包时，安全控制模块根据来源地址获取对应的密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较判断IP数据包是否被篡改和伪造，精确区分合法与非法的数据包，过滤来自系统外部的攻击；同时，本发明利用安全控制模块读取并比较IP数据包中的发送序列号和接收序列号大小，能够抵御攻击者发出的重放攻击，有效地实现网络设备保护。进一步的，本发明利用硬件开关隔离安全处理芯片两种运行逻辑，安全处理芯片执行配置程序不通过网络进行，只能通过串口通信模块进行，能够有效阻止通过网络接口模块发起的针对安全处理芯片本身的攻击，安全性大为提高。
【专利附图】
【附图说明】
[0029]图1为本发明所述可信的网络攻击过滤装置的原理框图；
[0030]图2为本发明所述网络攻击过滤方法的流程示意图；
[0031]图3为IP数据包标识原理示意图；
[0032]图4为两台计算机分别通过网络攻击过滤装置进行数据通信的原理框图。
【具体实施方式】
[0033]如图1所示，本发明包括网络接口模块和安全控制模块，网络接口模块用于完成IP数据包的收发，安全控制模块用于对所接收的被保护的计算机发送的IP数据包进行标识以及对所接收的外部通讯网络发送的IP数据包进行解析判别。
[0034]所述的网络接口模块包括外网网络接口模块和内网网络接口模块，外网网络接口模块连接安全控制模块和外部通信网络，用于接收外部通讯网络所发送的IP数据包并传送给安全控制模块，以及接收安全控制模块所发送的IP数据包并通过外部通信网络进行发送；内网网络接口模块连接内网中被保护的计算机和安全控制模块，用于接收安全控制模块所发送的IP数据包并传送给内网中被保护的计算机，以及接收内网中被保护的计算机所发送的IP数据包并传送给安全控制模块。
[0035]安全控制模块包括安全处理芯片和与安全处理芯片连接的外部存储器，安全芯片具有ROM、EFLASH、RAM存储单元，安全芯片内部存储单元内存储有与相应目的地址和来源地址对应的密钥、发送序列号及接收序列号，当安全控制模块接收到内网中被保护的计算机所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包目的地址，根据目的地址获取对应的密钥和发送序列号，将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后将添加标识后的IP数据包通过外网网络接口模块发送至外部通讯网络。IP数据包标识原理示意图如图3所示。当安全控制模块接收到外部通讯网络所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包来源地址，根据IP数据包来源地址获取对应的密钥和接收序列号，安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃；如果结果比较一致则判断IP数据包没有被篡改和伪造，继续比较从IP数据包中读取的发送序列号和接收序列号的大小，若发送序列号大于接收序列号则认为IP数据包合法，安全控制模块接收该IP数据包并将此IP数据包发送至内网中被保护的计算机；如果发送序列号小于等于接收序列号则认为IP数据包非法，将此IP数据包丢弃。
[0036]安全处理芯片所连接的外部存储器内存储有安全处理芯片配置程序，安全处理芯片还连接有开关模块和串口通信模块，开关模块的信号输出端连接安全处理芯片的信号输入端，开关模块用于向安全处理芯片输入高电平或低电平信号，安全处理芯片根据接收到开关模块发送的不同信号分别进入IP数据包接收处理工作模式或配置程序运行模式，配置程序运行模式下安全处理芯片仅通过串口通信模块与外界进行通信。当安全处理芯片执行IP数据包接收处理工作模式时，安全处理芯片从内部启动，即安全处理芯片从内部存储单元中读取程序并执行，安全处理芯片不能访问外部存储器，能够保证不会篡改外部存储中的程序，进而保证了配置程序的安全。当安全处理芯片执行配置程序运行模式时，安全处理芯片从外部存储器中读取配置程序并执行，配置程序在用户的计算机中运行，用户计算机通过串口通信模块与安全处理芯片进行通信，此时安全处理芯片中运行配置程序，与用户的计算机形成C/S的工作模式。本发明利用硬件开关隔离安全处理芯片两种运行逻辑，安全处理芯片执行配置程序不通过网络进行，能够有效阻止通过网络接口模块发起的针对安全处理芯片本身的攻击，不论安全处理芯片的配置程序有无漏洞，攻击者均不能修改安全处理芯片的配置程序，安全性大为提高。
[0037]本实施例中，网络接口模块采用支持IEEE802.3等以太网规范的接口芯片，称为网卡芯片，能够支持以太网数据包的收发。为提高整体安全性，网卡芯片选择国产芯片。安全处理芯片，指具有安全功能的控制芯片，安全功能指能够进行密码运算且自身具有较强的防多种攻击措施，密码运算可采用摘要运算，自身具有的防攻击措施包括芯片具有的多层特殊版图设计、电压检测、存储区加密保护、光照检测、MPU (内存保护单元)等防范物理攻击、软件攻击的保护措施。开关模块可采用电路开关，电路开关的开合可以向安全处理芯片发出低电平、高电平两种不同的控制信号。串口通信模块可采用支持RS232标准的异步串行通信接口芯片，通信时需要专用的串口电缆分别连接该异步串行通信接口芯片与用户配置用计算机上的异步串行通信接口芯片(一般称为COM 口)。外部存储器可采用FLASH芯片，FLASH芯片为通用的一种存储芯片，在掉电情况下保存数据，可以通过FLASH芯片的外部接口对FLASH芯片进行读、写、擦除等操作。
[0038]如图2所示，本发明所述的网络攻击过滤方法，包括以下步骤:
[0039]A:将每一台内网中被保护的计算机与外部通信网络之间连接一个网络攻击过滤装置，当某一个网络攻击过滤装置中的安全控制模块接收到IP数据包时判断IP数据包来源，如果接收到的IP数据包来源为与此网络攻击过滤装置连接的计算机时，进入步骤B ;如果接收到的IP数据包来源为另一个网络攻击过滤装置时，进入步骤F ;
[0040]B:安全控制模块读取该IP数据包并提取IP数据包目的地址，然后进入步骤C ；
[0041]C:安全控制模块根据IP数据包目的地址获取对应的密钥和发送序列号，然后进入步骤D ；
[0042]D:安全控制模块将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后进入步骤E ；
[0043]E:安全控制模块将标识后的IP数据包通过外网网络接口模块发送至外部通讯网络，完成IP数据包标识操作，然后返回步骤A ；
[0044]F:安全控制模块读取该IP数据包并提取IP数据包来源地址，然后进入步骤G ；
[0045]G:安全控制模块根据IP数据包来源地址获取对应的密钥和接收序列号，然后进入步骤H ；
[0046]H:安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较一致则判断IP数据包没有被篡改和伪造，然后进入步骤I ;如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃，然后返回步骤A ；
[0047]1:安全控制模块读取IP数据包中的发送序列号和接收序列号，并比较发送序列号和接收序列号大小，如果发送序列号大于接收序列号，则认为IP数据包合法，接收该IP数据包并将此IP数据包发送至内网中被保护的计算机；如果发送序列号小于等于接收序列号，则认为IP数据包非法，将此IP数据包丢弃，然后返回步骤A。
[0048]本发明中的IP数据包由首部和数据两部分组成，首部中包含的来源地址和目的地址均为IP协议地址。本发明中的摘要运算为密码学中的基础算法之一，也称为哈希(Hash)算法或散列算法。
[0049]以下结合具体实施例，进一步说明本发明所述的网络攻击过滤方法。本实施例中，如图4所示，第一计算机通过第一网络攻击过滤装置与外部通信网络连接，第二计算机通过第二网络攻击过滤装置与外部通信网络连接。
[0050]当第一计算机需要向第二计算机发送IP数据包时，第一计算机首先向第一网络攻击过滤装置发送IP数据包，第一网络攻击过滤装置的安全控制模块读取该IP数据包并提取IP数据包目的地址，即第二计算机的地址，然后安全控制模块根据IP数据包目的地址获取对应的密钥和发送序列号，将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，最后第一网络攻击过滤装置的安全控制模块将标识后的IP数据包通过外网网络接口模块利用外部通讯网络发送至第二计算机，完成IP数据包标识操作；
[0051]当第一计算机发送的IP数据包到达第二网络攻击过滤装置时，第二网络攻击过滤装置外网网络接口模块接收此IP数据包并此IP数据包发送至第二网络攻击过滤装置的安全控制模块，第二网络攻击过滤装置的安全控制模块读取该IP数据包并提取IP数据包来源地址，根据IP数据包来源地址获取对应的密钥和接收序列号，然后第二网络攻击过滤装置的安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃；如果结果比较一致则判断IP数据包没有被篡改和伪造，第二网络攻击过滤装置的安全控制模块读取IP数据包中的发送序列号和接收序列号，并比较发送序列号和接收序列号大小，如果发送序列号大于接收序列号，则认为IP数据包合法，第二网络攻击过滤装置的安全控制模块接收该IP数据包并将此IP数据包发送至第二计算机；如果发送序列号小于等于接收序列号，则认为IP数据包非法，第二网络攻击过滤装置的安全控制模块将此IP数据包丢弃。
[0052]本发明通过在IP数据包中增加摘要信息和序列号信息，摘要信息的计算建立在密钥与密码算法基础之上，在理论上能够确保通过摘要判断数据包的篡改和伪造；序列号信息的判断能够抵御攻击者发出的重放攻击。本发明通过上述机制能够精确区分合法与非法的数据包，过滤来自系统外部的攻击。本发明没有采用当前复杂的网络密码安全协议，功能简单，方便实现，具体实现可以通过形式化方法验证，确保实现本身的正确与安全。本发明还利用硬件开关隔离安全处理芯片两种运行逻辑，安全处理芯片执行配置程序不通过网络进行，只能通过串口通信模块进行，能够有效阻止通过网络接口模块发起的针对安全处理芯片本身的攻击，安全性大为提高。
【权利要求】
1.一种可信的网络攻击过滤装置，其特征在于:包括网络接口模块和安全控制模块； 所述的网络接口模块用于完成IP数据包的收发，网络接口模块包括外网网络接口模块和内网网络接口模块；外网网络接口模块连接安全控制模块和外部通信网络，用于接收外部通讯网络所发送的IP数据包并传送给安全控制模块，以及接收安全控制模块所发送的IP数据包并通过外部通信网络进行发送；内网网络接口模块连接内网中被保护的计算机和安全控制模块，用于接收安全控制模块所发送的IP数据包并传送给内网中被保护的计算机，以及接收内网中被保护的计算机所发送的IP数据包并传送给安全控制模块； 所述的安全控制模块用于对所接收的被保护的计算机发送的IP数据包进行标识以及对所接收的外部通讯网络发送的IP数据包进行解析判别；安全控制模块内存储有与相应目的地址和来源地址对应的密钥、发送序列号及接收序列号，当安全控制模块接收到内网中被保护的计算机所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包目的地址，根据目的地址获取对应的密钥和发送序列号，将发送序列号置于IP数据包尾部，利用密钥对IP数据 包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后将添加标识后的IP数据包通过外网网络接口模块发送至外部通讯网络；当安全控制模块接收到外部通讯网络所发送的IP数据包时，安全控制模块读取该IP数据包并提取IP数据包来源地址，根据IP数据包来源地址获取对应的密钥和接收序列号，安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃；如果结果比较一致则判断IP数据包没有被篡改和伪造，继续比较从IP数据包中读取的发送序列号和接收序列号的大小，若发送序列号大于接收序列号则认为IP数据包合法，安全控制模块接收该IP数据包并将此IP数据包发送至内网中被保护的计算机；如果发送序列号小于等于接收序列号则认为IP数据包非法，将此IP数据包丢弃。
2.根据权利要求1所述的可信的网络攻击过滤装置，其特征在于:所述的安全控制模块包括安全处理芯片和与安全处理芯片连接的外部存储器。
3.根据权利要求2所述的可信的网络攻击过滤装置，其特征在于:所述的安全处理芯片还连接有开关模块和串口通信模块，开关模块的信号输出端连接安全处理芯片的信号输入端，开关模块用于向安全处理芯片输入高电平或低电平信号，安全处理芯片根据接收到开关模块发送的不同信号分别进入IP数据包标识和解析判别工作模式或配置程序运行模式，配置程序运行模式下安全处理芯片仅通过串口通信模块与外界进行通信。
4.根据权利要求3所述的可信的网络攻击过滤装置，其特征在于:所述的网络接口模块采用支持IEEE802.3的以太网规范的接口芯片。
5.根据权利要求4所述的可信的网络攻击过滤装置，其特征在于:所述的开关模块采用电路开关。
6.根据权利要求5所述的可信的网络攻击过滤装置，其特征在于:所述的串口通信模块采用支持RS232标准的异步串行通信接口芯片。
7.一种利用如权利要求1所述的可信的网络攻击过滤装置实现的网络攻击过滤方法，其特征在于，包括以下步骤: A:将每一台内网中被保护的计算机与外部通信网络之间连接一个网络攻击过滤装置，当某一个网络攻击过滤装置中的安全控制模块接收到IP数据包时判断IP数据包来源，如果接收到的IP数据包来源为与此网络攻击过滤装置连接的计算机时，进入步骤B ;如果接收到的IP数据包来源为另一个网络攻击过滤装置时，进入步骤F ； B:安全控制模块读取该IP数据包并提取IP数据包目的地址，然后进入步骤C ; C:安全控制模块根据IP数据包目的地址获取对应的密钥和发送序列号，然后进入步骤D; D:安全控制模块将发送序列号置于IP数据包尾部，利用密钥对IP数据包和发送序列号进行摘要运算，将摘要运算结果附于发送序列号之后，并根据当前长度调整IP首部信息中的长度指示信息，然后进入步骤E ; E:安全控制模块将标识后的IP数据包通过外网网络接口模块发送至外部通讯网络，完成IP数据包标识操作，然后返回步骤A ; F:安全控制模块读取该IP数据包并提取IP数据包来源地址，然后进入步骤G ； G:安全控制模块根据IP数据包来源地址获取对应的密钥和接收序列号，然后进入步骤H; H:安全控制模块利用密钥对IP数据包中被保护的内容和发送序列号进行摘要运算，并将运算结果与IP数据包中自带的摘要运算结果进行比较，如果结果比较一致则判断IP数据包没有被篡改和伪造，然后进入步骤I ;如果结果比较不一致则认为IP数据包被篡改和伪造，将此IP数据包丢弃，然后返回步骤A ; 1:安全控制模块读取IP数据包中的发送序列号和接收序列号，并比较发送序列号和接收序列号大小，如果发送序列号大于接收序列号，则认为IP数据包合法，接收该IP数据包并将此IP数据包发送至内 网中被保护的计算机；如果发送序列号小于等于接收序列号，则认为IP数据包非法，将此IP数据包丢弃，然后返回步骤A。
【文档编号】H04L29/06GK103905452SQ201410133919
【公开日】2014年7月2日 申请日期:2014年4月3日 优先权日:2014年4月3日
【发明者】吕卓, 张威, 莫坚松, 张之刚 申请人:国家电网公司, 国网河南省电力公司电力科学研究院