CN104702623A - Ip封锁方法及系统 - Google Patents

Ip封锁方法及系统 Download PDF

Info

Publication number
CN104702623A
CN104702623A CN201510142149.8A CN201510142149A CN104702623A CN 104702623 A CN104702623 A CN 104702623A CN 201510142149 A CN201510142149 A CN 201510142149A CN 104702623 A CN104702623 A CN 104702623A
Authority
CN
China
Prior art keywords
list
block
blockade
blocked
blocks
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201510142149.8A
Other languages
English (en)
Other versions
CN104702623B (zh
Inventor
陈宏�
田国华
沈俊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Ctrip Business Co Ltd
Original Assignee
Ctrip Computer Technology Shanghai Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ctrip Computer Technology Shanghai Co Ltd filed Critical Ctrip Computer Technology Shanghai Co Ltd
Priority to CN201510142149.8A priority Critical patent/CN104702623B/zh
Publication of CN104702623A publication Critical patent/CN104702623A/zh
Application granted granted Critical
Publication of CN104702623B publication Critical patent/CN104702623B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种IP封锁方法及系统，其中IP封锁方法包括：S1、监控网站访问情况，判定访问网站的IP是否为待封锁IP；S2、将判定为待封锁IP的IP添加至一封锁列表；S3、将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。本发明弥补了现有技术中使用防火墙和路由器配置封锁恶意IP所造成的封锁时效性差、不能满足网站安全运行的不足，能够防止恶意IP的访问，保证网站的安全运行，具有高时效、节省人力资源的优点。

Description

IP封锁方法及系统
技术领域
本发明涉及网络安全领域，尤其涉及一种IP封锁方法及系统。
背景技术
随着Internet(因特网)的高速发展，大型网站系统经常会被大量的恶意IP(网络之间互连的协议)访问，造成带宽损失，影响网站的正常访问。为了使得网站系统避免被恶意IP访问，运维工程师通常使用防火墙和路由器配置封锁这些IP，达到抵御攻击的目的。但是这种方法，需要运维工程师大量人工操作，存在人为操作失误的风险，并且无法达到及时封锁，时效性无法满足网站安全运行的要求。
发明内容
本发明要解决的技术问题是为了克服现有技术中使用防火墙和路由器配置封锁恶意IP所造成的封锁时效性差、不能满足网站安全运行的缺陷，提供一种高时效、节省人力资源的IP封锁方法及系统。
本发明是通过下述技术方案解决上述技术问题的：
本发明提供一种IP封锁方法，其特点是，包括：
S1、监控网站访问情况，判定访问网站的IP是否为待封锁IP；
S2、将判定为待封锁IP的IP添加至一封锁列表；
S3、将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
所述待封锁IP可以为通过本领域的常规手段或以下提供的具体手段获得的可能对网站进行恶意访问的IP，或者其它想要对其进行封锁的任意IP。本技术方案通过交换机的ACL(访问控制列表)对指定的IP进行封锁，使得通过交换机连接网络的其它设备免受该些指定的IP的访问，方便、快捷、时效性好，充分保障网络安全。
较佳地，步骤S1包括通过以下步骤判定访问网站的IP是否为待封锁IP：
S11、判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。
本技术方案能够实现对访问网站的频率较高的IP进行封锁，防止这类IP的恶意访问。
较佳地，步骤S1包括通过以下步骤判定访问网站的IP是否为待封锁IP：
S11’、判断IP访问网站的频率是否大于一阈值，若是，执行S12，若否，则判定所述IP不是待封锁IP；
S12、判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
本技术方案能够从访问网站的频率较高的IP中过滤掉一些允许访问的IP，防止一些虽然访问频率较高但是并不存在威胁的IP被误封锁。
较佳地，步骤S2还包括：将判定为待封锁IP的IP对应的封锁时间添加至所述封锁列表。
较佳地，步骤S2通过下述公式计算封锁时间：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
较佳地，还包括：在步骤S3之后执行以下步骤：
S4、更新所述封锁列表；
S5、将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
本技术方案能够自动更新封锁列表，及时封锁被判定为待封锁IP的IP，实时保证网络安全，使得网站免受恶意IP的访问。
较佳地，步骤S4包括：每隔一时间间隔，验证被封锁的IP被封锁的时间是否达到对应的封锁时间，并从所述封锁列表中删除达到对应的封锁时间的IP。
本发明还提供一种IP封锁系统，其特点是，包括：
一判定单元，用于监控网站访问情况，判定访问网站的IP是否为待封锁IP；
一列表单元，用于将判定为待封锁IP的IP添加至一封锁列表；
一同步封锁单元，用于将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
较佳地，所述判定单元包括：
一第一判断模块，用于判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。
较佳地，所述判定单元包括：
一第二判断模块，用于判断IP访问网站的频率是否大于一阈值，若是，调用一第三判断模块，若否，则判定所述IP不是待封锁IP；
所述第三判断模块，用于判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
较佳地，所述列表单元还用于将判定为待封锁IP的IP对应的封锁时间添加至所述封锁列表。
较佳地，所述列表单元通过下述公式计算封锁时间：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
较佳地，还包括：
一更新单元，用于所述同步封锁单元对封锁列表中的IP进行封锁之后，更新所述封锁列表，然后调用所述同步封锁单元将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
较佳地，所述更新单元包括：
一验证模块，用于每隔一时间间隔验证被封锁的IP被封锁的时间是否达到对应的封锁时间，并从所述封锁列表中删除达到对应的封锁时间的IP。
在符合本领域常识的基础上，上述各优选条件，可任意组合，即得本发明各较佳实例。
本发明的积极进步效果在于：本发明能够实现自动、实时地对恶意访问网站的IP进行封锁，提高了时效性，保证网站的安全运行，避免网站蒙受经济损失。并且本发明不需要技术人员的手动操作，节省人力资源的同时，还降低了人为操作失误的风险。
附图说明
图1为本发明实施例1的IP封锁方法的流程图。
图2为本发明实施例1的IP封锁系统的系统示意图。
图3为本发明实施例2的IP封锁方法的流程图。
图4为本发明实施例2的IP封锁系统的系统示意图。
具体实施方式
下面通过实施例的方式进一步说明本发明，但并不因此将本发明限制在所述的实施例范围之中。
实施例1
一种IP封锁方法，参见图1，包括以下步骤：
步骤101、监控网站访问情况，判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。如一个IP地址访问网站的频率很高，高于了所述阈值，那么这个IP地址就很可能在对网站进行恶意访问，将这个IP地址判断为待封锁IP。
此步骤中判断IP访问网站的频率是否大于一阈值的过程可以通过一安全分析系统来实现。所述安全分析系统用于实时地监控网站访问情况，不仅可以实现计算IP访问网站的频率(如访问一个URL的频率)，根据访问频率判定待封锁IP，还可以通过其它算法或技术手段分析出可能对网站进行恶意访问的IP，并将这类IP判定为待封锁IP。
步骤102、将判定为待封锁IP的IP添加至一封锁列表。
步骤103、计算每一被判定为所述待封锁IP的IP分别对应的封锁时间，并将计算出的封锁时间存入所述封锁列表。计算封锁时间的公式为：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
如，设定所述时间区间为2分钟，所述规定时间长度为1分钟，在2分钟内，IP地址58.256.73.71被判定为待封锁IP的次数为5次，那么计算出，58.256.73.71对应的封锁时间为6分钟。
经过此步骤，所述封锁列表中包括了一个或多个被判定为待封锁IP的IP及每一被判定为待封锁IP的IP对应的封锁时间。
步骤104、将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
步骤105、每隔一时间间隔，验证被封锁的IP被封锁的时间是否达到对应的封锁时间，从所述封锁列表中删除达到对应的封锁时间的IP，以及将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
本实施例的IP封锁系统，参见图2，包括：
一第一判断模块201，用于监控网站访问情况，判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。
一列表单元202，用于将判定为待封锁IP的IP添加至一封锁列表，还用于计算每一被判定为所述待封锁IP的IP分别对应的封锁时间，并将计算出的封锁时间存入所述封锁列表。计算封锁时间：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
一同步封锁单元203，用于将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
一验证模块204，用于每隔一时间间隔验证被封锁的IP被封锁的时间是否达到对应的封锁时间，并从所述封锁列表中删除达到对应的封锁时间的IP，然后调用所述同步封锁单元将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
实施例2
本实施例的IP封锁方法与实施例1的IP封锁方法基本相同，不同之处在于，本实施例的IP封锁方法是将步骤101替换为以下步骤，参见图3：
步骤1011、监控网站访问情况，判断IP访问网站的频率是否大于一阈值，若是，执行步骤1012，若否，则判定所述IP不是待封锁IP。
步骤1012、判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
本实施例的IP封锁系统与实施例1的IP封锁系统基本相同，不同之处在于，本实施例的IP封锁系统是将所述第一判断模块201替换为以下模块，参见图4：
一第二判断模块2011，用于监控网站访问情况，判断IP访问网站的频率是否大于一阈值，若是，调用一第三判断模块2012，若否，则判定所述IP不是待封锁IP。
所述第三判断模块2012，用于判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
虽然以上描述了本发明的具体实施方式，但是本领域的技术人员应当理解，这些仅是举例说明，本发明的保护范围是由所附权利要求书限定的。本领域的技术人员在不背离本发明的原理和实质的前提下，可以对这些实施方式做出多种变更或修改，但这些变更和修改均落入本发明的保护范围。

Claims (14)

1.一种IP封锁方法，其特征在于，包括：
S1、监控网站访问情况，判定访问网站的IP是否为待封锁IP；
S2、将判定为待封锁IP的IP添加至一封锁列表；
S3、将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
2.如权利要求1所述的IP封锁方法，其特征在于，步骤S1包括通过以下步骤判定访问网站的IP是否为待封锁IP：
S11、判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。
3.如权利要求1所述的IP封锁方法，其特征在于，步骤S1包括通过以下步骤判定访问网站的IP是否为待封锁IP：
S11’、判断IP访问网站的频率是否大于一阈值，若是，执行S12，若否，则判定所述IP不是待封锁IP；
S12、判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
4.如权利要求1所述的IP封锁方法，其特征在于，步骤S2还包括：将判定为待封锁IP的IP对应的封锁时间添加至所述封锁列表。
5.如权利要求4所述的IP封锁方法，其特征在于，步骤S2通过下述公式计算封锁时间：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
6.如权利要求4所述的IP封锁方法，其特征在于，还包括：在步骤S3之后执行以下步骤：
S4、更新所述封锁列表；
S5、将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
7.如权利要求6所述的IP封锁方法，其特征在于，步骤S4包括：每隔一时间间隔，验证被封锁的IP被封锁的时间是否达到对应的封锁时间，并从所述封锁列表中删除达到对应的封锁时间的IP。
8.一种IP封锁系统，其特征在于，包括：
一判定单元，用于监控网站访问情况，判定访问网站的IP是否为待封锁IP；
一列表单元，用于将判定为待封锁IP的IP添加至一封锁列表；
一同步封锁单元，用于将所述封锁列表同步至交换机的ACL，对封锁列表中的IP进行封锁。
9.如权利要求8所述的IP封锁系统，其特征在于，所述判定单元包括：
一第一判断模块，用于判断IP访问网站的频率是否大于一阈值，若是，则判定所述IP为待封锁IP，若否，则判定所述IP不是待封锁IP。
10.如权利要求8所述的IP封锁方法，其特征在于，所述判定单元包括：
一第二判断模块，用于判断IP访问网站的频率是否大于一阈值，若是，调用一第三判断模块，若否，则判定所述IP不是待封锁IP；
所述第三判断模块，用于判断所述IP是否属于一白名单信息库设定的允许访问网站的IP范围，若是，则判定所述IP不是待封锁IP，若否，则判定所述IP为待封锁IP。
11.如权利要求8所述的IP封锁系统，其特征在于，所述列表单元还用于将判定为待封锁IP的IP对应的封锁时间添加至所述封锁列表。
12.如权利要求11所述的IP封锁系统，其特征在于，所述列表单元通过下述公式计算封锁时间：
T＝(N+1)*X，T为封锁时间，N为一时间区间内同一IP被判定为待封锁IP的次数，X为一规定时间长度。
13.如权利要求11所述的IP封锁系统，其特征在于，还包括：
一更新单元，用于所述同步封锁单元对封锁列表中的IP进行封锁之后，更新所述封锁列表，然后调用所述同步封锁单元将最新的封锁列表同步至所述ACL，对最新的封锁列表中的IP进行封锁。
14.如权利要求13所述的IP封锁系统，其特征在于，所述更新单元包括：
一验证模块，用于每隔一时间间隔验证被封锁的IP被封锁的时间是否达到对应的封锁时间，并从所述封锁列表中删除达到对应的封锁时间的IP。
CN201510142149.8A 2015-03-27 2015-03-27 Ip封锁方法及系统 Active CN104702623B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510142149.8A CN104702623B (zh) 2015-03-27 2015-03-27 Ip封锁方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510142149.8A CN104702623B (zh) 2015-03-27 2015-03-27 Ip封锁方法及系统

Publications (2)

Publication Number Publication Date
CN104702623A true CN104702623A (zh) 2015-06-10
CN104702623B CN104702623B (zh) 2019-01-08

Family

ID=53349391

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510142149.8A Active CN104702623B (zh) 2015-03-27 2015-03-27 Ip封锁方法及系统

Country Status (1)

Country Link
CN (1) CN104702623B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105262757A (zh) * 2015-10-29 2016-01-20 武汉光迅科技股份有限公司 一种基于ip保护的数据访问方法
CN106060053A (zh) * 2016-06-12 2016-10-26 上海携程商务有限公司 基于防火墙的异常连接自动识别清理方法及系统
CN109962927A (zh) * 2019-04-17 2019-07-02 杭州安恒信息技术股份有限公司 基于威胁情报的防攻击方法
CN112434894A (zh) * 2019-08-23 2021-03-02 上海哔哩哔哩科技有限公司 一种实时风险控制方法、计算机设备及可读存储介质
CN113225349A (zh) * 2021-05-21 2021-08-06 中国工商银行股份有限公司 恶意ip地址威胁情报库建立、防止恶意攻击方法及装置
CN113965355A (zh) * 2021-09-27 2022-01-21 中盈优创资讯科技有限公司 一种基于soc的非法ip省内网络封堵方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102724189A (zh) * 2012-06-06 2012-10-10 杭州华三通信技术有限公司 一种控制用户url访问的方法及装置
CN103442018A (zh) * 2013-09-17 2013-12-11 网宿科技股份有限公司 Cc攻击的动态防御方法和系统
CN103685294A (zh) * 2013-12-20 2014-03-26 北京奇虎科技有限公司 拒绝服务攻击的攻击源的识别方法和装置
CN104065644A (zh) * 2014-05-28 2014-09-24 北京知道创宇信息技术有限公司 基于日志分析的cc攻击识别方法和设备
CN104113519A (zh) * 2013-04-16 2014-10-22 阿里巴巴集团控股有限公司 网络攻击检测方法及其装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102724189A (zh) * 2012-06-06 2012-10-10 杭州华三通信技术有限公司 一种控制用户url访问的方法及装置
CN104113519A (zh) * 2013-04-16 2014-10-22 阿里巴巴集团控股有限公司 网络攻击检测方法及其装置
CN103442018A (zh) * 2013-09-17 2013-12-11 网宿科技股份有限公司 Cc攻击的动态防御方法和系统
CN103685294A (zh) * 2013-12-20 2014-03-26 北京奇虎科技有限公司 拒绝服务攻击的攻击源的识别方法和装置
CN104065644A (zh) * 2014-05-28 2014-09-24 北京知道创宇信息技术有限公司 基于日志分析的cc攻击识别方法和设备

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105262757A (zh) * 2015-10-29 2016-01-20 武汉光迅科技股份有限公司 一种基于ip保护的数据访问方法
CN106060053A (zh) * 2016-06-12 2016-10-26 上海携程商务有限公司 基于防火墙的异常连接自动识别清理方法及系统
CN109962927A (zh) * 2019-04-17 2019-07-02 杭州安恒信息技术股份有限公司 基于威胁情报的防攻击方法
CN109962927B (zh) * 2019-04-17 2022-01-04 杭州安恒信息技术股份有限公司 基于威胁情报的防攻击方法
CN112434894A (zh) * 2019-08-23 2021-03-02 上海哔哩哔哩科技有限公司 一种实时风险控制方法、计算机设备及可读存储介质
CN113225349A (zh) * 2021-05-21 2021-08-06 中国工商银行股份有限公司 恶意ip地址威胁情报库建立、防止恶意攻击方法及装置
CN113965355A (zh) * 2021-09-27 2022-01-21 中盈优创资讯科技有限公司 一种基于soc的非法ip省内网络封堵方法及装置
CN113965355B (zh) * 2021-09-27 2023-07-28 中盈优创资讯科技有限公司 一种基于soc的非法ip省内网络封堵方法及装置

Also Published As

Publication number Publication date
CN104702623B (zh) 2019-01-08

Similar Documents

Publication Publication Date Title
CN104702623A (zh) Ip封锁方法及系统
US10637886B2 (en) Software defined network capable of detecting DDoS attacks and switch included in the same
EP2008188B1 (en) Software vulnerability exploitation shield
EP3704846A1 (en) Cloud-based multi-function firewall and zero trust private virtual network
KR101645598B1 (ko) 네트워크에서의 침입 탐지 방법
CN105204487A (zh) 基于通信模型的工业控制系统的入侵检测方法及系统
CN102722667B (zh) 基于虚拟数据库和虚拟补丁的数据库安全防护系统和方法
CN104052635A (zh) 一种基于安全预警的风险态势预测方法及系统
CN105743843A (zh) 一种防止报文攻击的处理方法及装置
CN107276983A (zh) 一种基于dpi和云同步的流量安全控制方法及系统
CN104540134A (zh) 无线访问节点检测方法、无线网络检测系统和服务器
CN114553537A (zh) 一种面向工业互联网的异常流量监测方法和系统
CN102045310B (zh) 一种工业互联网入侵检测和防御方法及其装置
Dolezilek et al. Cybersecurity based on IEC 62351 and IEC 62443 for IEC 61850 systems
US9298175B2 (en) Method for detecting abnormal traffic on control system protocol
Aubet et al. Graph-based anomaly detection for iot microservices
CN103713583A (zh) 一种自动采集并配置授权信息的方法及装置
Calvo et al. Key Vulnerabilities of Industrial Automation and Control Systems and Recommendations to Prevent Cyber-Attacks.
Yuan et al. Research of security of 5G-enabled industrial Internet and its application
Castiglione et al. An enhanced firewall scheme for dynamic and adaptive containment of emerging security threats
Jiang et al. Performance research on industrial demilitarized zone in defense-in-depth architecture
KR20060103600A (ko) 유해 트래픽 발생 호스트 격리 방법 및 시스템
CN105897571A (zh) 一种工业通信安全网关
CN105743921A (zh) 一种idc机房网站信息管理方法
Hecht A model based systems engineering approach to resiliency analysis of a cyberphysical system

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20160205

Address after: 200335 Shanghai city Changning District Admiralty Road No. 968 Building No. 16 10 floor

Applicant after: SHANGHAI XIECHENG BUSINESS CO., LTD.

Address before: 200335 Shanghai City, Changning District Fuquan Road No. 99, Ctrip network technology building

Applicant before: Ctrip computer technology (Shanghai) Co., Ltd.

GR01 Patent grant
GR01 Patent grant