CN102868690B - Web服务隔离检测的方法及系统 - Google Patents

Abstract

本发明提供一种WEB服务隔离检测的方法及系统，所述方法包括获取服务部署者提交的WEB服务；根据预设的WEB服务调用权限表检测WEB服务中是否存在异常的WEB服务调用，预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；若存在异常的WEB服务调用，则按照与异常的WEB服务调用接口名称对应的处理机制对异常的WEB服务调用进行处理，以使部署到SOA云计算平台的WEB服务不存在异常的WEB服务调用，并在服务被调用过程中隔离不同服务所占用的文件空间，从而提高了SOA云计算平台的安全性。

Description

WEB服务隔离检测的方法及系统

技术领域

本发明涉及WEB应用技术，尤其涉及一种WEB服务隔离检测的方法及系统。

背景技术

面向服务的软件体系结构(Service Oriented Architecture，简称SOA)作为一种新型的网络软件应用模式，目前已经被工业界和学术界广泛接受，特别是WEB服务技术作为SOA的最佳实践，极大的推动了SOA在电子商务、金融、电信等领域的应用。而云计算则是一种新型的互联网计算方式，可以将共享的软硬件资源和信息按需提供给计算机和其它设备。随着云计算技术的发展，将SOA与云计算技术进行融合，更好的为用户提供服务正逐渐成为研究的重点。通过这种方式，WEB服务提供者无需自主安装SOA的平台开发工具，就可以通过按需的开发环境直接实现在线开发、部署和执行服务。

然而，SOA与云计算技术的融合也带来了相应的安全问题。对于SOA云计算平台来说，用户和共享是核心。但是，用户的来源是丰富的，平台无法在用户登录之前判定该用户的行为是否是善意的。而且，作为基于企业级的SOA，在实现跨越企业边界的业务系统自动化和信息共享，开放的数据访问和网络服务调用给商业运作带来便利的同时，也更加容易受到攻击，如果没有提供良好的安全防护机制，开放网络服务无疑等于打开了潘多拉宝盒。一旦WEB服务提供者将WEB服务部署在一个共享的环境下，如果存在恶意的WEB服务，则可以通过部署优势向平台和同一共享环境下的其他服务发起攻击，从而导致平台的崩溃，阻碍平台的正常运行，使得企业承受巨大的经济损失；而且还会导致其他服务提供者所部署服务信息的泄露或服务行为的改变，从而损害服务提供者的利益，如客户信息、交易信息、医疗记录等重要内容，一旦遭到篡改，不但对企业的竞争力和盈利模式造成损害，而且可能会造成不良的社会影响。

发明内容

本发明的目的在于提供一种WEB服务隔离检测的方法及系统，以避免WEB服务提供者将恶意的WEB服务部署在SOA云计算平台共享环境下。

本发明的第一个方面是提供一种WEB服务隔离检测的方法，包括：

获取服务部署者提交的WEB服务；

根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用。

本发明的另一个方面是提供一种WEB服务隔离检测的系统，包括：

接收模块，用于获取服务部署者提交的WEB服务；

检测模块，用于根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

处理模块，用于若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用。

采用上述本发明技术方案的有益效果是：本发明通过在WEB服务被部署到SOA云计算平台之前对WEB服务中包含的所有WEB服务调用进行检测，并按照预先设置的处理机制对检测为异常的WEB服务调用进行相应处理，以确保部署到SOA云计算平台的WEB服务中不存在异常的WEB服务调用，相对于现有技术中在WEB服务被部署后再进行筛选隔离而更为安全，从而也避免了恶意的WEB服务通过部署优势向平台和同一共享环境下的其他服务发起攻击导致的平台的崩溃，阻碍平台的正常运行，进而解决了SOA云计算平台中WEB服务部署的安全问题，提高了SOA云计算平台的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明WEB服务隔离检测方法实施例一的流程图；

图2为本发明WEB服务隔离检测方法实施例二的流程图；

图3为本发明WEB服务隔离检测系统实施例一的结构示意图；

图4为本发明WEB服务隔离检测系统实施例二的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，为了解决互联网下的安全隔离问题，业界已研究出很多的安全防御方法。常用的手段包含以下三种：用户权限认证、恶意调用隔离和虚拟机隔离。其中，用户权限认证，是将安全管理的权限交给用户，用户有权利决定某一应用是否有权利在本地执行，其缺点是一旦用户赋予执行权限，那么就将失去对软件的控制，对于软件中包含的恶意行为将显得无能为力；恶意调用隔离，是指由系统定义一系列规则，当软件或应用执行时，系统将根据预先定义的规则对恶意行为进行筛选，其缺点是如果规则制定得过分严格，则会限制正常调用，相反则会使恶意行为有机可乘；虚拟机隔离，是一种物理隔离方式，其缺点是占用系统资源多，通常导致性能下降。

目前一些成熟的互联网系统中，往往采用安全沙箱作为恶意行为隔离的解决方案。安全沙箱是一种将第三方、非可信的代码限制在隔离的环境下运行的机制。通过该机制，第三方或非可信的代码将不能损害或者破坏本地系统，而目前沙箱的实现主要有两种方式，一种是通过定义规则，阻止恶意行为的执行；另一种是通过虚拟或物理的隔离，让恶意行为发生在限定的空间里，从而不会影响整个系统环境。虽然目前沙箱已用于很多的领域，包括浏览器安全、平台如服务（Platform-as-a-Service，简称PaaS）安全、以及手机安全等，而应用在浏览器安全、手机安全领域的沙箱解决的是单用户环境下的恶意代码隔离，还不能面向多租户共享环境；至于目前的应用于PaaS（如谷歌应用引擎Google APP Engine）的沙箱，其对用户的限制较多，且还未支持根据用户的不同进行权限分级。

本发明的发明人经过深入地研究后发现：由于SOA云计算平台具有高并发性、资源共享性、用户量大等特性，而高并发性要求系统有较高的性能，例如响应时间和CPU等；资源共享性要求系统提供可靠地隐私保护，如此企业级用户才对平台有信任感；用户量大的特性要求不能简单的对用户进行单一化处理，否则性能会受到很大影响，而且用户行为多种多样，因此，要求安全机制可以隔离所有的恶意行为，而目前的安全沙箱并不能够支持多租户SOA云计算环境下WEB服务隔离。

本发明的发明人考虑到如何解决SOA云计算平台下的安全问题，以对平台自身安全性的提升和对服务资源的隐私性实施有效保护，提出了一种适应于SOA云计算平台环境下的WEB服务隔离检测的方法及系统，从而尽可能地降低采用java相关技术开发的WEB服务之间恶意或非恶意的影响。

图1为本发明WEB服务隔离检测方法实施例一的流程图，如图1所示，所述WEB服务隔离检测方法可以包括如下步骤：

步骤101，获取服务部署者提交的WEB服务；

步骤102，根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

步骤103，若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到SOA云计算平台的WEB服务不存在异常的WEB服务调用。

需要说明的是，本实施例的执行主体可以是WEB服务隔离检测系统，其可以部署在SOA云计算平台中，也可以单独部署为SOA云计算平台提供安全的WEB服务。

本实施例中，以WEB服务隔离检测系统部署在SOA云计算平台中为例进行说明。其中，所述的服务部署者是指具有在SOA云计算平台上部署WEB服务权限的用户。在本实施例中，WEB服务隔离检测系统获取服务部署者提交的待部署到SOA云计算平台中的WEB服务，并对所述待部署的WEB服务中包含的WEB服务调用进行检测，具体地，根据系统预先设置的WEB服务调用权限表遍历待部署的WEB服务中所有的WEB服务调用，其中，所述预先设置的WEB服务调用权限表包括列举的异常的WEB服务调用接口名称以及相对应的处理机制，从而判断待部署的WEB服务中是否存在预先设置的WEB服务调用权限表中列举的异常的WEB服务调用接口名称，如果存在，则WEB服务隔离检测系统将按照预先设置的WEB服务调用权限表中与异常的WEB服务调用接口名称相对应的处理机制对所述异常的WEB服务调用进行处理，从而使得部署到SOA云计算平台的WEB服务中不存在异常的WEB服务调用。

进一步地，WEB服务隔离检测系统对待部署的WEB服务进行检测后，如果所述待部署的WEB服务中不存在预先设置的WEB服务调用权限表中列举的异常的WEB服务调用接口名称，则将所述待部署的WEB服务部署到SOA云计算平台中。

在本实施例中，通过在WEB服务被部署到SOA云计算平台之前对WEB服务中包含的所有WEB服务调用进行检测，并按照预先设置的处理机制对检测为异常的WEB服务调用进行相应处理，以确保部署到SOA云计算平台的WEB服务中不存在异常的WEB服务调用，相对于现有技术中在WEB服务被部署后再进行筛选隔离而更为安全，从而提高了SOA云计算平台的安全性。

进一步地，WEB服务隔离检测系统对所有的WEB服务调用的恶意行为进行了分类，通过列举可能产生的恶意行为，找出相对应的WEB服务调用，并汇总为WEB服务调用权限列表，若WEB服务中存在该列表中定义的WEB服务调用接口名称，则将被系统检测到并作出相应的处理。在本实施例中，WEB服务中包括WEB服务系统类调用、WEB服务线程类调用、WEB服务网络类调用和/或WEB服务文件类调用，对于上述每一类调用都预先定义了安全规则，即预先设置了相应类的WEB服务调用权限表，包括：WEB服务系统类调用权限表、WEB服务线程类调用权限表、WEB服务网络类调用权限表和WEB服务文件类调用权限表，对于上述四类WEB服务调用权限表中列举的异常的WEB服务调用接口名称所对应的处理机制包括删除、隔离、禁止、空（NULL）或修改。

在上述实施例中，如果所述异常的WEB服务调用接口名称所对应的处理机制为“删除”，则表示该异常的WEB服务调用接口名称对于该WEB服务中的一系列系统调用，可不考虑上下文的影响，直接将该调用从该WEB服务中删除，而也不会影响该WEB服务本身的功能，因此，可以将删除了异常的WEB服务调用后的WEB服务部署到SOA云计算平台；如果所述异常的WEB服务调用接口名称所对应的处理机制为“NULL”，则表示对于一系列返回句柄的系统调用，若第三方通过WEB服务获得该句柄，有可能利用该句柄产生对SOA云计算平台的危险行为，对于这种情况，将该句柄重新赋值为NULL，从而保证第三方得不到句柄；如果所述异常的WEB服务调用接口名称所对应的处理机制为“隔离”，则表示该WEB服务调用对所述WEB服务有可能存在上下文联系，不能单纯的删除，且可能产生危害行为的一系列系统调用；如果所述异常的WEB服务调用接口名称所对应的处理机制为“禁止”，则表示禁止第三方通过WEB服务对该WEB服务调用进行操作。在本实施例中，对于处理机制为隔离、禁止或NULL的异常WEB服务调用接口名称，WEB服务隔离检测系统则不对该WEB服务进行部署，并将异常WEB服务调用接口名称反馈给服务部署者，进一步的，当存在多个异常WEB服务调用接口名称时，则系统对其进行汇总，并将汇总后的异常WEB服务调用接口名称反馈给服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

具体地，在本实施例中，下述表1是定义的WEB服务系统类调用权限表。在定义之前，本实施例先考虑系统类调用有可能带来的一系列危险的行为，然后找到相应的WEB服务系统类调用接口名称，从而实现隔离。WEB服务不同于直接操作机器的程序（例如C++），因为SOA云计算平台已经提供了一系列安全保护措施。因此，发明人从WEB服务系统类调用入手，总结可以危害SOA云计算平台，或者通过SOA云计算平台获得底层操作权限的调用。经分析得出，相关的危险调用有运行垃圾回收器、移除指定键系统属性、终止当前在运行的WEB服务系统类调用等，这些操作会破坏SOA云计算平台的正常运行，且不存在上下文关系，因此在处理上直接删除。除此以外，对于设置系统安全性这种有可能降低SOA云计算平台安全的行为，也应该阻止。本实施例中，在所述WEB服务系统类调用权限中列举的异常的WEB服务系统类调用接口名称对应的处理机制包括删除、隔离或NULL。

表1：

下述表2是定义的WEB服务线程类调用权限表。从表2中可以看到，WEB服务线程类调用权限表不同于WEB服务系统类调用权限表的定义。发明人通过分析所有的线程方法调用时发现，由于线程类可能破坏现有的SOA云计算平台主线程的执行，因此，从安全角度来考虑，需禁用所有的线程类，因此WEB服务线程类调用权限表中列举的异常的WEB服务线程类调用接口名称对应的处理机制都是隔离。

表2：

下述表3是定义的WEB服务网络类调用权限表。所述WEB服务网络类调用权限表与上述WEB服务线程类调用权限表相类似，WEB服务网络类调用作为信息交流的通道，为了保证SOA云计算平台信息的私密性，需要被全部隔离，因此，所述WEB服务网络类调用权限中列举的异常的WEB服务网络类调用接口名称对应的处理机制都为隔离。

表3：

下述表4是定义的WEB服务文件类调用权限表。在处理方式上，所述WEB服务文件类调用权限表中列举的异常的WEB服务文件类调用接口名称对应的处理机制包括禁止或修改。其余不在列表中的文件类操作，系统将赋予可执行权限。

表4：

图2为本发明WEB服务隔离检测方法实施例二的流程图，如图2所示，本实施例中所述WEB服务隔离检测方法可以包括如下步骤：

步骤201，获取服务部署者提交的WEB服务；

步骤202，根据预设的WEB服务系统类调用权限表检测所述WEB服务中是否存在异常的WEB服务系统类调用；

本实施例中，所述WEB服务系统类调用权限表中与所述异常的WEB服务系统类调用接口名称对应的处理机制为删除、隔离或空。若存在异常的WEB服务系统类调用且所述异常的WEB服务系统类调用接口名称对应的处理机制为删除，则直接从所述WEB服务中删除该异常的WEB服务系统类调用，若所述异常的WEB服务系统类调用接口名称对应的处理机制为隔离或空，则将所述异常的WEB服务系统类调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

步骤203，根据预设的WEB服务线程类调用权限表检测所述WEB服务中是否存在异常的WEB服务线程类调用；

本实施例中，所述WEB服务线程类调用权限表中与所述异常的WEB服务线程类调用接口名称对应的处理机制为隔离，若存在异常的WEB服务线程类调用且与所述异常的WEB服务线程类调用接口名称对应的处理机制为隔离，则将所述异常的WEB服务线程类调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

步骤204，根据预设的WEB服务网络类调用权限表检测所述WEB服务中是否存在异常的WEB服务网络类调用；

本实施例中，所述WEB服务网络类调用权限表中与所述异常的WEB服务网络类调用接口名称对应的处理机制为隔离，若存在所述异常的WEB服务网络类调用且与所述异常的WEB服务网络类调用接口名称对应的处理机制为隔离，则将所述异常的WEB服务网络类调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

步骤205，根据预设的WEB服务文件类调用权限表检测所述WEB服务中是否存在异常的WEB服务文件类调用；

本实施例中，所述WEB服务文件类调用权限表中与所述异常的WEB服务文件类调用接口名称对应的处理机制为禁止或修改。

在本实施例中，所述步骤202至205的顺序不分先后，可以逐步依次执行也可以同时执行；若执行完步骤202至205的所有步骤后，所述WEB服务中均不存在异常的WEB服务调用，则可以将所述WEB服务直接部署到SOA云计算平台中，否则顺序执行步骤206。

步骤206，若存在异常的WEB服务文件类调用，则判断所述异常的WEB服务文件类调用接口名称对应的处理机制是否存在为禁止的，若是则执行步骤211，否则顺序执行步骤207；

步骤207，记录所述异常的WEB服务文件类调用中要被修改的参数位置；

步骤208，将所述WEB服务以及所述异常的WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台；

步骤209，为所述WEB服务分配运行空间，并将所述分配的运行空间的地址记录在地址描述表中；

步骤210，若所述WEB服务被调用，则根据所述地址描述表中记录的地址对所述WEB服务中的WEB服务文件类调用操作进行重定向，以使WEB服务在分配的运行空间内被操作；

步骤211，将所述异常的WEB服务文件类调用接口名称返回给所述服务部署者。

若所述异常的WEB服务文件类调用接口名称对应的处理机制不为修改，且所述异常的WEB服务文件类调用接口名称对应的处理机制为禁止，则将所述异常的WEB服务文件类调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

在上述实施例中，WEB服务中包括WEB服务系统类调用、WEB服务线程类调用、WEB服务网络类调用和/或WEB服务文件类调用，对于上述每一类调用都预先定义了安全规则，即预先设置了相应类的WEB服务调用权限表，包括：WEB服务系统类调用权限表、WEB服务线程类调用权限表、WEB服务网络类调用权限表和WEB服务文件类调用权限表，对于上述四类WEB服务调用权限表中列举的异常的WEB服务调用接口名称所对应的处理机制包括删除、隔离、禁止、NULL或修改。

WEB服务隔离检测系统获取服务部署者提交的待部署到SOA云计算平台中的WEB服务，并对所述待部署的WEB服务中包含的WEB服务调用进行检测，即根据预设的WEB服务调用权限表遍历待部署的WEB服务中所有的WEB服务调用，即根据预设的WEB服务系统类调用权限表检测所述WEB服务中是否存在异常的WEB服务系统类调用；根据预设的WEB服务线程类调用权限表检测所述WEB服务中是否存在异常的WEB服务线程类调用；根据预设的WEB服务网络类调用权限表检测所述WEB服务中是否存在异常的WEB服务网络类调用；根据预设的WEB服务文件类调用权限表检测所述WEB服务中是否存在异常的WEB服务文件类调用。

若不存在异常的WEB服务调用，则将所述WEB服务部署到SOA云计算平台；若存在异常的WEB服务调用，则判断所述异常的WEB服务调用接口名称对应的处理机制是删除还是隔离、禁止、空或修改，若所述异常的WEB服务调用接口名称对应的处理机制为删除、隔离、禁止或NULL，则表示该WEB服务调用存在异常。在本实施例中，如果所述异常的WEB服务调用接口名称所对应的处理机制为“删除”，则表示该异常的WEB服务调用对于该WEB服务中的一系列系统调用，可不考虑上下文的影响，直接将该调用从WEB服务中删除，而也不会影响该WEB服务本身的功能，因此，可以将该异常的WEB服务调用直接删除，如果该WEB服务中不存在其他异常的WEB服务调用，则可以将删除了异常的WEB服务调用后的WEB服务部署到SOA云计算平台。如果所述异常的WEB服务调用接口名称所对应的处理机制为隔离、禁止或NULL，则表示该异常的WEB服务调用与WEB服务中其他的调用存在上下文关系，此时不能只对其进行简单的删除，而要将异常WEB服务调用接口名称反馈给服务部署者，进一步的，当存在多个异常WEB服务调用接口名称时，则系统对其进行汇总，并将汇总后的异常WEB服务调用接口名称反馈给服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。若所述异常的WEB服务文件类调用接口名称对应的处理机制为修改，则记录所述WEB服务文件类调用中要被修改的参数位置；然后将所述WEB服务以及WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台，同时，WEB服务隔离检测系统为上述部署的每个WEB服务动态分配一个独立的运行空间，并将为每个WEB服务分配的空间地址，以及WEB服务的部署者等信息记录在地址描述表中，另外，对于每个运行空间的属性信息如空间占用的磁盘大小、空间内已有的文件等信息则作为文件描述表存储在相应的空间中，所述的地址描述表以及文件描述表由系统进行维护。当所述已部署到SOA云计算平台上的WEB服务被平台上其他用户调用时，则系统查找地址描述记录表，找到相应的存储空间地址，根据地址描述表中记录的地址对服务中发起的文件类操作进行动态重定向，以使服务在分配的运行空间内被操作，并在文件描述表里添加相应的文件类操作信息。

在本实施例中，每个服务的地址空间只对该服务的部署者和平台管理员可见，动态地址空间的分配与管理保证每个服务的调用只能操作自己空间里面的文件，对于其他地址空间的文件，不具有权限。如平台管理员有权限对所有服务生成文件进行修改；服务部署者只有权限对自己的服务文件空间中生成的文件进行修改。若地址空间大小达到上限，则系统提示不可生成文件，并通知服务部署者清理空间。

需要说明的是，由于考虑到一些文件类操作的参数在服务调用时需要通过调用者输入，但是对于这种情况，系统无法在调用前重定向地址。例如，WEB服务提供一个接口供用户修改某一硬盘下的系统文件，该文件路径以接口参数的形式传递进来，而在调用WEB服务之前，系统无法判定该文件路径的参数是来自输入接口，还是来自WEB服务内部，因此，在上述实施例中采用了为WEB服务动态分配运行空间的方式，从而实现重定向地址。

在本实施例中，通过在WEB服务被部署到SOA云计算平台之前对WEB服务中包含的所有WEB服务调用进行检测，并按照预先设置的处理机制对检测为异常的WEB服务调用进行相应处理，以确保部署到SOA云计算平台的WEB服务中不存在异常的WEB服务调用，从而提高了SOA云计算平台的安全性。同时由于采用为每个WEB服务动态分配独立运行空间的方法，并在WEB服务被调用过程中隔离不同WEB服务所占用的文件空间，从而保证服务被调用时产生的文件与平台的隔离性，以及服务间、服务衍生资源间的私密性，进而避免用户隐私信息的泄漏。

进一步地，WEB服务隔离检测系统为所述WEB服务动态分配运行空间之后还可以包括：监测所述WEB服务被调用的频率；并根据所述频率动态调整所述WEB服务运行空间的大小。

具体地，WEB服务隔离检测系统实时监测各个WEB服务被调用的频率，当发现调用频率变动时，则根据调用频率动态调整各个地址空间的大小。如对调用频率较高的WEB服务分配较大的空间，而为调用频率较低的WEB服务分配较小的空间。

在本发明上述实施例中，介绍的是采用静态检测方法对WEB服务的恶意行为进行检测的概念。即在WEB服务部署到SOA云计算平台之前，采用静态分析的方法，对服务中的代码（即调用）进行行为的检测和分析。事实上，也可以采用动态检测的方法对WEB服务的恶意行为进行检测，即当WEB服务被部署到SOA云计算平台以后，在用户调用WEB服务的过程中，通过拦截WEB服务调用所反射的控制流，从而查找到WEB服务中的恶意行为。静态检测相对比较复杂，需遍历全部的WEB服务调用，找出每一个WEB服务调用的恶意代码，一个WEB服务调用可能对应多行代码。但是，由于静态检测发生在部署操作前，一旦完成，后续无需再检测和修改。相比之下，动态检测实现起来比较简单，只需要在调用时拦截控制流，但是不具有一次性的特点。动态检测不改变代码，每次调用都需要检测一次。但是由于SOA云计算平台具有高并发性的特点，通常在一秒内会接收到庞大的调用服务请求，然而部署服务的请求相对于调用服务的请求是相对较少的，通常不会达到很高的请求量。如果系统将WEB服务调用采用动态分析进行检测，则会对调用请求的时间延迟产生很大的影响，并且调用请求的时间延迟有个阈值，若超过此值，将会返回超时信息。鉴于此，在本实施例中，为了实现对恶意的WEB服务调用的检测，以静态检测为例进行了说明，通常采取静态检测可以较好的保证对部署到SOA云计算平台上恶意的WEB服务调用检测的准确性，以降低其对性能的影响。在进行静态检测时，当发现服务中有一个WEB服务调用时，需要将该WEB服务调用与WEB服务调用权限表进行对比，若匹配的次数越少，则说明WEB服务的性能越好。

基于此，本实施例中还可以引入规则集（即WEB服务调用权限表）的优化，优化的好处在于降低规则集检测的时间。优化采用的方法是首先将规则集划分为四类，分别是WEB服务系统类调用权限表、WEB服务网络类调用权限表、WEB服务线程类调用权限表和WEB服务文件类调用权限表。其中WEB服务系统类调用权限表中包含与系统类调用相关的规则（即表1中的异常的WEB服务系统类调用接口名称）；WEB服务网络类调用权限表包含与socket等相关的网络调用的规则（即表3中的异常的WEB服务网络类调用接口名称）；WEB服务纯种类调用权限表包括与线程池、线程的创建、操作、管理等相关的网络类调用（即表2中的异常的WEB服务线程类调用接口名称）；WEB服务文件类调用权限表包括与文件操作相关的调用（即表4中的异常的WEB服务文件类调用接口名称）。这样做的好处是，可以为每个权限表中的每一个WEB服务调用接口名称分配一个频度计数器，采用频度计算方法，例如，在检测过程中，表中的WEB服务调用接口每匹配一次，则相应的频度计数器则加1，并保存当前的频度值，每次检测之前，根据WEB服务调用接口的频度值，进行从大到小的排序，将频度高的WEB服务调用接口排在前面，频度低的排在后面，从而可以根据重要程度，首先检测频度较高的WEB服务调用，从而节省检测时间。

图3为本发明WEB服务隔离检测系统实施例一的结构示意图，如图3所示，所述WEB服务隔离检测系统可以包括：

接收模块301，用于获取服务部署者提交的WEB服务；

检测模块302，用于根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

处理模块303，用于若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用。

本实施例的WEB服务隔离检测系统可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图4为本发明WEB服务隔离检测系统实施例二的结构示意图，如图4所示，本实施例在图3所示WEB服务隔离检测系统结构的基础上，进一步地，所述WEB服务隔离检测系统还可以包括：

部署模块401，用于若不存在异常的WEB服务调用，则将所述WEB服务部署到SOA云计算平台。

所述处理模块303具体可以用于：

若所述异常的WEB服务调用接口名称对应的处理机制为删除，则直接从所述WEB服务中删除该异常的WEB服务调用；和/或

若所述异常的WEB服务调用接口名称对应的处理机制为隔离、禁止或空，则将所述异常的WEB服务调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

所述部署模块401具体还可以用于，将删除异常的WEB服务后的WEB服务部署到SOA云计算平台。

在本发明实施例中，所述WEB服务可以包括WEB服务系统类调用、WEB服务线程类调用、WEB服务网络类调用、WEB服务文件类调用中的至少一种，所述检测模块302具体可以用于：

根据预设的WEB服务系统类调用权限表检测所述WEB服务中是否存在异常的WEB服务系统类调用，所述WEB服务系统类调用权限表中与所述异常的WEB服务系统类调用接口名称对应的处理机制为删除、隔离或空；

根据预设的WEB服务线程类调用权限表检测所述WEB服务中是否存在异常的WEB服务线程类调用，所述WEB服务线程类调用权限表中与所述异常的WEB服务线程类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务网络类调用权限表检测所述WEB服务中是否存在异常的WEB服务网络类调用，所述WEB服务网络类调用权限表中与所述异常的WEB服务网络类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务文件类调用权限表检测所述WEB服务中是否存在异常的WEB服务文件类调用，所述WEB服务文件类调用权限表中与所述异常的WEB服务文件类调用接口名称对应的处理机制为禁止或修改。

优选地，所述处理模块303具体还可以用于：

若所述WEB服务中存在异常的WEB服务文件类调用，且所述异常的WEB服务文件类调用接口名称对应的处理机制为修改，则记录所述异常的WEB服务文件类调用中要被修改的参数位置；

所述部署模块401还可以用于，将所述WEB服务以及所述异常的WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台。

进一步地，所述系统还包括：

运行空间分配模块402，用于为所述WEB服务分配运行空间，并将所述分配的运行空间的地址记录在地址描述表中；

重定向模块403，用于若所述WEB服务被调用，则根据所述地址描述表中记录的地址对所述异常的WEB服务文件类调用的操作进行重定向，以使所述异常的WEB服务文件类调用在所述分配的运行空间内被处理。

监测模块404，用于监测所述WEB服务被调用的频率；

所述运行空间分配模块402具体还用于，根据所述频率动态调整所述WEB服务运行空间的大小。

本实施例的WEB服务隔离检测系统可以用于执行图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (7)

1.一种WEB服务隔离检测的方法，其特征在于，包括：

获取服务部署者提交的WEB服务；

根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用；

所述WEB服务包括WEB服务系统类调用、WEB服务线程类调用、WEB服务网络类调用、WEB服务文件类调用中的至少一种，所述根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，具体为：

根据预设的WEB服务系统类调用权限表检测所述WEB服务中是否存在异常的WEB服务系统类调用，所述WEB服务系统类调用权限表中与所述异常的WEB服务系统类调用接口名称对应的处理机制为删除、隔离或空；

根据预设的WEB服务线程类调用权限表检测所述WEB服务中是否存在异常的WEB服务线程类调用，所述WEB服务线程类调用权限表中与所述异常的WEB服务线程类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务网络类调用权限表检测所述WEB服务中是否存在异常的WEB服务网络类调用，所述WEB服务网络类调用权限表中与所述异常的WEB服务网络类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务文件类调用权限表检测所述WEB服务中是否存在异常的WEB服务文件类调用，所述WEB服务文件类调用权限表中与所述异常的WEB服务文件类调用接口名称对应的处理机制为禁止或修改。

2.根据权利要求1所述的方法，其特征在于，还包括：

若不存在异常的WEB服务调用，则将所述WEB服务部署到SOA云计算平台。

3.根据权利要求1所述的方法，其特征在于，所述按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，具体为：

若所述异常的WEB服务调用接口名称对应的处理机制为删除，则直接从所述WEB服务中删除该异常的WEB服务调用；将删除后的WEB服务部署到SOA云计算平台；

若所述异常的WEB服务调用接口名称对应的处理机制为隔离、禁止或空，则将所述异常的WEB服务调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改。

4.根据权利要求1-3任意一项所述的方法，其特征在于，所述若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用，具体为：

若所述WEB服务中存在异常的WEB服务文件类调用，且所述异常的WEB服务文件类调用接口名称对应的处理机制为修改，则记录所述异常的WEB服务文件类调用中要被修改的参数位置；

将所述WEB服务以及所述异常的WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台。

5.根据权利要求4所述的方法，其特征在于，所述将所述WEB服务以及所述异常的WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台之后还包括：

为所述WEB服务分配运行空间，并将所述分配的运行空间的地址记录在地址描述表中；

若所述WEB服务被调用，则根据所述地址描述表中记录的地址对所述异常的WEB服务文件类调用的操作进行重定向，以使所述异常的WEB服务文件类调用在所述分配的运行空间内被处理。

6.根据权利要求5所述的方法，其特征在于，所述为所述WEB服务分配运行空间之后还包括：

监测所述WEB服务被调用的频率；

根据所述频率动态调整所述WEB服务运行空间的大小。

7.一种WEB服务隔离检测的系统，其特征在于，包括：

接收模块，用于获取服务部署者提交的WEB服务；

检测模块，用于根据预设的WEB服务调用权限表检测所述WEB服务中是否存在异常的WEB服务调用，所述预设的WEB服务调用权限表包括异常的WEB服务调用接口名称及对应的处理机制；

处理模块，用于若存在异常的WEB服务调用，则按照与所述异常的WEB服务调用接口名称对应的处理机制对所述异常的WEB服务调用进行处理，以使部署到面向服务的软件体系结构SOA云计算平台的WEB服务不存在异常的WEB服务调用；

所述系统还包括：

部署模块，用于若不存在异常的WEB服务调用，则将所述WEB服务部署到SOA云计算平台；

所述处理模块具体用于：

若所述异常的WEB服务调用接口名称对应的处理机制为删除，则直接从所述WEB服务中删除该异常的WEB服务调用；所述部署模块具体还用于，将删除后的WEB服务部署到SOA云计算平台；或

若所述异常的WEB服务调用接口名称对应的处理机制为隔离、禁止或空，则将所述异常的WEB服务调用接口名称返回给所述服务部署者，以使所述服务部署者对所述异常的WEB服务进行修改；

所述WEB服务包括WEB服务系统类调用、WEB服务线程类调用、WEB服务网络类调用、WEB服务文件类调用中的至少一种，所述检测模块具体用于：

根据预设的WEB服务系统类调用权限表检测所述WEB服务中是否存在异常的WEB服务系统类调用，所述WEB服务系统类调用权限表中与所述异常的WEB服务系统类调用接口名称对应的处理机制为删除、隔离或空；

根据预设的WEB服务线程类调用权限表检测所述WEB服务中是否存在异常的WEB服务线程类调用，所述WEB服务线程类调用权限表中与所述异常的WEB服务线程类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务网络类调用权限表检测所述WEB服务中是否存在异常的WEB服务网络类调用，所述WEB服务网络类调用权限表中与所述异常的WEB服务网络类调用接口名称对应的处理机制为隔离；

根据预设的WEB服务文件类调用权限表检测所述WEB服务中是否存在异常的WEB服务文件类调用，所述WEB服务文件类调用权限表中与所述异常的WEB服务文件类调用接口名称对应的处理机制为禁止或修改；

所述处理模块具体用于：

若所述WEB服务中存在异常的WEB服务文件类调用，且所述异常的WEB服务文件类调用接口名称对应的处理机制为修改，则记录所述异常的WEB服务文件类调用中要被修改的参数位置；

所述部署模块还用于，将所述WEB服务以及所述异常的WEB服务文件类调用中要被修改的参数位置的记录部署到SOA云计算平台；

所述系统还包括：

运行空间分配模块，用于为所述WEB服务分配运行空间，并将所述分配的运行空间的地址记录在地址描述表中；

重定向模块，用于若所述WEB服务被调用，则根据所述地址描述表中记录的地址对所述异常的WEB服务文件类调用的操作进行重定向，以使所述异常的WEB服务文件类调用在所述分配的运行空间内被处理；

监测模块，用于监测所述WEB服务被调用的频率；

所述运行空间分配模块具体还用于，根据所述频率动态调整所述WEB服务运行空间的大小。