CN101827081B - 检测请求安全性的方法及系统 - Google Patents

Abstract

本发明实施例公开了一种检测请求安全性的方法及系统，涉及网络安全领域，用于提供检测响应请求安全性的方案。本方法中，主服务器接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量；主服务器判断所述数量是否超过预先设定的门限值；主服务器在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并执行预先设定的处理操作。采用本发明，能够有效检测对应用服务器的响应请求的安全性。

Description

检测请求安全性的方法及系统

技术领域

本发明涉及网络安全领域，尤其涉及一种检测请求安全性的方法及系统。

背景技术

网络技术的不断发展完善和广泛应用，生活和工作中的许多数据、资源与信息都通过计算机系统来存储和处理，伴随着网络应用的发展，这些信息都通过网络来传送、接收和处理，所以计算机网络在社会生活中的作用越来越大。为了维护计算机网络的安全，人们提出了许多手段和方法，采用防火墙、跟踪审计等技术是其中最主要、最核心、最有效的手段之一。它是网络安全政策的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实施对网络安全的有效管理。

通过识别非法攻击、联接和请求是最有效的识别方法之一，在内网安全管理严格的情况下，用户为了方便使用或基于违规行为使用拨号等手段进入Internet，从而导致单点破网，或给内网安全带来极大的隐患。同时，缺乏跟踪审计可能会导致主机用户通过这种手段泄漏内网机密信息。

现有用来控制Internet和Intranet之间所有的数据流量和非法请求的方法有入侵检测和防火墙技术。

在具体应用中，防火墙一般是位于被保护网和外部网之间的一组路由器以及配有适当软件的计算机网络的多种组合。防火墙为网络安全起到了把关作用，只允许授权的通信通过。防火墙是两个网络之间的成分集合，有以下性质：①内部网络和外部网络之间的所有网络数据流都必须经过防火墙；②只有符合安全策略的数据流才能通过防火墙；③防火墙自身应具有非常强的抗攻击免疫力。

对于入侵检测技术具备网络入侵检测功能，包括：TCP流重组、端口扫描检测、IP碎片重组、BO攻击分析、异常轮廓统计分析、ARP欺骗分析、UNICODE漏洞分析、RPC请求分析、Telnet交互式格式化分析、极小碎片检测、缓冲溢出分析、智能的模式匹配等。

从上述技术可以看出，一旦服务器被一次非法联接侵入，其系统将遭到严重损害，且缺乏联动功能、支持BDSEC联动协议、以及与防火墙和入侵检测系统联动。

检测的时间空间滞后性，一旦出现论坛有非法IP登陆，比如木马病毒消耗大量存储资源影响系统正常运行时候，并在重复破坏和长时间受攻击时才会对联接请求和攻击进行阻止。

单机服务器缺乏联动执行或应急方案的快速生成及处理、联动下发、执行跟踪非法请求和攻击的能力。

综上，服务器的安全性还不能得到很好的保证，很可能被外界非法侵入。

发明内容

本发明实施例提供一种检测请求安全性的方法及系统，用于提供检测响应请求安全性的方案。

一种检测请求安全性的方法，该方法包括：

主服务器接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量；

主服务器判断所述数量是否超过预先设定的门限值；

主服务器在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并执行预先设定的处理操作。

一种论坛系统，该系统包括：

主服务器，用于接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求数据相同的历史响应请求的数量；判断所述数量是否超过预先设定的门限值；在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并拒绝联接应用服务器；

应用服务器，用于提供所述当前响应请求所请求的业务。

本方案中，主服务器接收到当前响应请求时，确定在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量，判断该数量是否超过预先设定的门限值，在判断该数量超过预先设定的门限值时，确定当前响应请求为非法请求，并执行预先设定的处理操作。可见，采用本发明能够根据设定时间段内接收到的相同的响应请求的数量来有效的确定当前响应请求的安全性。

附图说明

图1为本发明实施例提供的方法流程示意图；

图2为本发明实施例提供的系统结构示意图。

图3为本发明实施例中的响应一致性分析示意图；

图4为本发明实施例中的流程示意图；

图5为本发明实施例提供的设备结构示意图。

具体实施方式

为了能够有效检测对应用服务器的响应请求的安全性，本发明实施例提供一种检测请求安全性的方法，本方法中，根据在设定时间段内接收到的相同的响应请求的数量来确定当前响应请求的安全性。

参见图1，本发明实施例提供的检测请求安全性的包括：

步骤10：主服务器接收到当前响应请求时，确定在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量；

步骤11：主服务器判断所述数量是否超过预先设定的门限值；

步骤12：主服务器在判断所述数量超过预先设定的门限值时，确定当前响应请求为非法请求，并执行预先设定的处理操作。

步骤10中，与当前响应请求相同的历史响应请求可以指，所请求的业务与当前响应请求所请求的业务相同、并且发出请求的主机的IP地址相同的响应请求。

步骤11中，主服务器确定在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量之前，对于设定时间段内接收到的历史响应请求，将发出该历史响应请求的主机的IP地址(即历史响应请求中携带的源IP地址)保存在该历史响应请求所请求业务对应的应用服务器中，即保存在提供该历史响应请求所请求业务的应用服务器中；

主服务器确定在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量的方法为：确定当前响应请求所请求业务对应的应用服务器以及发出该当前响应请求的主机的IP地址，读取该应用服务器中保存的与该IP地址相同的IP地址，将读取的IP地址的数量确定为在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量。

若当前响应请求为对论坛分室的联接请求，则该联接请求所请求业务对应的应用服务器为该论坛分室对应的应用服务器，即连接该论坛分室并为该论坛分室提供服务的应用服务器。相应的，步骤12中，预先设定的处理操作包括：丢弃当前响应请求和/或拒绝联接该论坛分室对应的应用服务器。步骤10中在判断为否时，可以分配系统资源，响应并允许联接该论坛分室对应的应用服务器。

步骤11中的门限值可以是应用服务器历史受攻击的最低次数。

下面对本发明进行具体说明：

为了防止非法通信和未经过授权的通信进出被保护的网络，从各种端口中辨别判断出外部不安全网络发送到内部安全网络中具体的计算机的数据是否有害，并尽可能地将有害数据摒弃，尽可能消除非法请求和响应的发生，从而达到网络系统安全保障，在计算机网络和计算机系统受到危害之前进行报警、拦截和响应。

以下是本发明提出的多服务器集群的论坛体系结构：

防火墙是系统(或一组系统)的组成部分之一，它能增强机构内部网络的安全性。防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。所有来自和去往Internet的信息、请求、响应都必须经过防火墙，接受防火墙的检查。防火墙只允许授权的数据通过。系统可选备高性能防火墙软件，只提供特定端口的服务，并对端口的访问IP进行控制和记录。

审计系统是对与安全有关的事件进行监控，并能对安全侵害起到防范作用的安全软件。因此安全审计是计算机安全中重要的一个环节，它能为计算机网络系统提供有效的安全保障。审计软件将对审计事件进行收集、分析、处理、存储、统计、复查等。并对黑客攻击入侵行为进行主动识别，对入侵自动响应，防止拒绝服务攻击等多种黑客攻击行为。

论坛由来自多个IP地址的服务器组成，在网络计算环境下用户规模和数据量的不断增长，单个Web应用服务器往往不能满足性能、可靠性等方面的需求，需要借助集群技术以提高分布式系统的可用性、可扩展性和处理性能。可靠的集群通信是Web应用服务器信息交互的基础，然而目前应用服务器产品的集群通信系统普遍存在着自适应能力低、容错性较差、可重配能力不足等问题，目的是实现了自适应动态拓扑结构，在集群成员间维持拓扑视图的一致性，完成动态加入和优雅退出操作。多服务器集群的论坛体系结构图。

如图2所示，IP为202.196.140.1的服务器装有防火墙，属于主服务器；各分室分别对应一台服务器，其中：

主服务器，主要用来部署防火墙、审计监控系统等，初步处理来自外网的响应及联接到分室；

应用服务器，用来提供各种应用服务；

论坛分室，提供论坛各自模板的应用服务等。

接收到来自网络的响应请求后的处理流程为：来自网络的每一个IP提出请求(作为一个响应，称为Di)，当向论坛社区提出响应请求时，将该响应的状态分别转移到社区所在的服务器进行响应，依此类推，即外界请求响应分别对应一个应用服务器，这样也是为了降低某一响应集中攻击某一服务器的危险。当外网的响应不停时，我们通过计时器统计某一时间域(如Δt)的相同响应次数，称为响应一致性，从而确定某一(些)响应是否为非法攻击。

以下对响应的一致性的分析：

当来自网络的每一个IP请求(作为一个响应，称为Di)，当向论坛社区提出响应请求(响应请求就是来自外网对论坛的连接请求、数据包、消息等)时，将该响应的状态转移到应用服务器(即对来自外网发出该请求的各主机IP地址分别保存在某个应用服务器，通过来自外网IP对某一主题内容的请求，分配到某一社区即连接到相应应用服务器，不必采用其他特别的方式)，依此类推，外界请求响应分别对应应用服务器。这样一方面降低服务器的响应强度，更重要的是为识别来自网络的非法响应(非法攻击，或木马病毒等)提供方便，对来自不同时间域Δt的响应一致性(当外网的响应不停时，通过计时器统计某一时间域(如Δt)的相同响应次数，称为响应一致性)越高，说明重复请求越多，则非法请求可能性就越高，如图3所示，Sij表示相同的响应在不同时刻的请求(即不同时刻t0、t1发来的两个相同的响应请求)。

以下是基于多服务器论坛联接跟踪审计过程：

一旦发现可能的攻击或非法请求，将该IP地址存于缓存之中，对于那些从外部网向内部网提出的请求，先要通过多服务器确认(通过在应用服务器上的进行比较，因为对某一社区主题的请求会具有IP请求的相似，即落在某一应用服务器中可能性就大)，在此经过初步安全检查(即图4示出的整个审计流程)，检查确定无疑后可接受其请求，否则，就需要丢弃或作其他处理。从图3可以看出，从响应D0到D1的不同响应中，曲线T1和T2收缩的越紧密(收缩越紧密是否就说明在Δt(t1-t0)时间段内接收到的相同的请求越少，并且说明在短时间内同一请求少，说明被木马、非法攻击可能性就少)，说明网络在时间域Δt内受到外界攻击的可能性越低，一旦超过预定义的临界点时就认为是非法攻击(或者木马程序)，临界点的确定以历史受攻击最少的服务器为参考。图4的具体流程如下：

步骤S01：主服务器接收到来自外网的响应请求；

步骤S02：响应请求中的IP地址是否可以识别，确定响应Di，即判断是否可以识别响应请求中的源IP地址，以及是否可以确定该响应请求所请求的业务内容，若是，则到步骤S03，否则，结束流程；

步骤S03：将该响应的状态转移到应用服务器，即联接提供该响应请求所请求的业务内容的应用服务器；

步骤S04：该IP地址存于缓存进行一致性比较，即确定该应用服务器在设定时间段内(例如t1-t0时间段内)接收到的与该响应请求中的源IP地址相同的响应请求的数量；

步骤S05：判定是否超过一致性临界点，即判断上一步骤中确定的数量是否超过临界点；若是，则到步骤S06，否则，结束流程；

临界点是大于0的整数，可以选3，即认为在Δt内有不多于3个相同请求某一社区时，认为这是安全的。

步骤S06：分配系统资源，响应并允许IP联接，进入论坛分室n。

图4中在判断超过一致性临界点后，除了不允许联接论坛外，实际中可以考虑缓存IP，进行“向后看”比较操作，从而得到更全面的阻断非法入侵动作。

仍参见图2，本发明实施例还提供一种论坛系统，该系统包括：

主服务器，用于接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求数据相同的历史响应请求的数量；判断所述数量是否超过预先设定的门限值；在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并拒绝联接应用服务器；

应用服务器，用于提供所述当前响应请求所请求的业务。

所述主服务器用于：

在设定时间段内接收到历史响应请求，将发出该历史响应请求的主机的IP地址保存在该历史响应请求所请求业务对应的应用服务器中；

确定所述当前响应请求所请求业务对应的应用服务器以及发出该当前响应请求的主机的IP地址，读取所述应用服务器中保存的与该IP地址相同的IP地址，将读取的IP地址的数量确定为在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量。

所述主服务器用于：

在所述响应请求为对论坛分室的联接请求时，丢弃所述响应请求和/或拒绝联接所述论坛分室对应的应用服务器。

所述主服务器还用于：

在判断所述数量未超过预先设定的门限值时，分配系统资源，响应并允许联接所述论坛分室对应的应用服务器。

参见图5，本发明实施例还提供一种主服务器，该主服务器包括：

接收单元50，用于接收当前响应请求；

统计单元51，用于确定在设定时间段内接收到的与所述当前响应请求数据相同的历史响应请求的数量；

判断单元52，用于判断所述数量是否超过预先设定的门限值；

检测单元53，用于在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并拒绝联接应用服务器。

所述主服务器还包括：

缓存单元54，在设定时间段内接收到历史响应请求，将发出该历史响应请求的主机的IP地址保存在该历史响应请求所请求业务对应的应用服务器中；

所述统计单元51用于：

确定所述当前响应请求所请求业务对应的应用服务器以及发出该当前响应请求的主机的IP地址，读取所述应用服务器中保存的与该IP地址相同的IP地址，将读取的IP地址的数量确定为在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量。

综上，本发明能够取得的有益效果包括：

本发明实施例提供的方案中，主服务器接收到当前响应请求时，确定在设定时间段内接收到的与当前响应请求相同的历史响应请求的数量，判断该数量是否超过预先设定的门限值，在判断该数量超过预先设定的门限值时，确定当前响应请求为非法请求，并执行预先设定的处理操作。可见，采用本发明能够根据设定时间段内接收到的相同的响应请求的数量来有效的确定当前响应请求的安全性。

将本发明方法应用防火墙或网络监控审计系统中，网络监控引擎嗅探网络上通信的数据包，提高网络监控和入侵检测的保护等级和能力，防止非法通信和未经过授权的通信进出被保护的网络。

同时，解决以往检测的时空滞后现象，一旦出现论坛有非法IP登陆，比如木马病毒消耗大量存储资源影响系统正常运行时候，并在重复破坏和长时间受攻击时联接请求和攻击进行及时跟踪并阻止IP联接。

降低了在审计过程中单服务器运行的风险，可以快速生成及处理、联动下发、执行跟踪非法请求和攻击的能力。

通过多服务器论坛联接跟踪审计技术，摒弃了TCP流重组、端口扫描检测、IP碎片重组、BO攻击分析、异常轮廓统计分析、ARP欺骗分析、UNICODE漏洞分析等方法带来的或时间、或存储空间的损耗，通过比较响应的一致性，更简便地识别出非法联接与请求。

同时，采用多服务器降低单服务器的响应强度。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (7)

1.一种检测请求安全性的方法，其特征在于，该方法包括：

主服务器在设定时间段内接收到历史响应请求，将发出该历史响应请求的主机的IP地址保存在该历史响应请求所请求业务对应的应用服务器中；

主服务器接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量；所述确定在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量包括：确定所述当前响应请求所请求业务对应的应用服务器以及发出该当前响应请求的主机的IP地址，读取所述应用服务器中保存的与该IP地址相同的IP地址，将读取的IP地址的数量确定为在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量；

主服务器判断所述数量是否超过预先设定的门限值；

主服务器在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并执行预先设定的处理操作。

2.如权利要求1所述的方法，其特征在于，若所述当前响应请求为对论坛分室的联接请求，则该联接请求所请求业务对应的应用服务器为所述论坛分室对应的应用服务器；

所述预先设定的处理操作包括：

丢弃所述当前响应请求和/或拒绝联接所述论坛分室对应的应用服务器。

3.如权利要求2所述的方法，其特征在于，在判断所述数量未超过预先设定的门限值时，该方法进一步包括：

分配系统资源，响应并允许联接所述论坛分室对应的应用服务器。

4.如权利要求2所述的方法，其特征在于，所述门限值为所述应用服务器历史受攻击的最低次数。

5.一种论坛系统，其特征在于，该系统包括：

主服务器，用于在设定时间段内接收到历史响应请求，将发出该历史响应请求的主机的IP地址保存在该历史响应请求所请求业务对应的应用服务器中；接收到当前响应请求时，确定在设定时间段内接收到的与所述当前响应请求数据相同的历史响应请求的数量，具体的，确定所述当前响应请求所请求业务对应的应用服务器以及发出该当前响应请求的主机的IP地址，读取所述应用服务器中保存的与该IP地址相同的IP地址，将读取的IP地址的数量确定为在设定时间段内接收到的与所述当前响应请求相同的历史响应请求的数量；判断所述数量是否超过预先设定的门限值；在判断所述数量超过预先设定的门限值时，确定所述当前响应请求为非法请求，并拒绝联接应用服务器；

应用服务器，用于提供所述当前响应请求所请求的业务。

6.如权利要求5所述的系统，其特征在于，所述主服务器用于：

在所述响应请求为对论坛分室的联接请求时，丢弃所述响应请求和/或拒绝联接所述论坛分室对应的应用服务器。

7.如权利要求6所述的系统，其特征在于，所述主服务器还用于：

在判断所述数量未超过预先设定的门限值时，分配系统资源，响应并允许联接所述论坛分室对应的应用服务器。

Images