CN106341386B

CN106341386B - 针对基于云的多层安全架构的威胁评估级确定及补救

Info

Publication number: CN106341386B
Application number: CN201610535015.7A
Authority: CN
Inventors: J·史蒂文森
Original assignee: Accenture Global Services GmbH
Current assignee: Accenture Global Services GmbH
Priority date: 2015-07-07
Filing date: 2016-07-07
Publication date: 2018-09-25
Anticipated expiration: 2036-07-07
Also published as: CN106341386A

Abstract

本发明的各实施例总体上涉及针对基于云的多层安全架构的威胁评估级确定及补救。具体地，设备可以获得关于与基于云的平台相关联的计算资源集的安全形势的信息。该信息可以与不间断的安全威胁或潜在的安全威胁相关。该信息可以利用一个或多个因特网安全资源获得。设备可以基于关于安全形势的信息确定针对安全形势的威胁评估级集合中的威胁评估级。关于安全形势的信息可以满足针对威胁评估级的阈值标准集。设备可以基于安全形势执行与威胁评估级相关联的一个或多个响应动作。一个或多个响应动作可以包括提供关于标识威胁评估级的安全形势的警告通知。

Description

针对基于云的多层安全架构的威胁评估级确定及补救

技术领域

本发明的各实施例总体上涉及计算机领域，具体地涉及针对基于云的多层安全架构的威胁评估级确定及补救。

背景技术

基于云的计算平台可以被用于操作与web平台相关联的服务器集。基于云的计算平台可以包括可以选择性可指派给web平台的特定部分或者执行web平台的特定功能的可扩展计算资源集。例如，基于云的计算平台的用户可以请求并且可以被提供第一数量的计算资源用于管理第一数量的需求以及第二数量的计算资源用于管理第二数量的需求。

发明内容

根据某些可能的实现方式，一种方法可以包括由设备获得关于与基于云的平台相关联的计算资源集的安全形势的信息。所述信息可以与不间断的安全威胁或潜在的安全威胁相关。所述信息可以利用一个或多个因特网安全资源被获得。该方法可以包括由所述设备基于关于所述安全形势的所述信息确定针对所述安全形势的威胁评估级集合中的威胁评估级。关于所述安全形势的所述信息可以满足针对所述威胁评估级的阈值标准集。该方法可以包括由所述设备基于所述安全形势执行与所述威胁评估级相关联的一个或多个响应动作。所述一个或多个响应动作可以包括提供关于标识所述威胁评估级的所述安全形势的警告通知。

在一个优选实施例中，其中所述一个或多个响应动作可以针对所述威胁评估级被预定义。该方法可以进一步包括基于所述威胁评估级选择所述一个或多个响应动作。该方法可以包括基于选择所述一个或多个响应动作执行所述一个或多个响应动作。

在一个优选实施例中，其中执行所述一个或多个响应动作可以包括建立用于管理所述安全形势的组，所述组针对所述威胁评估级被预定义，以及使得所述组被分配用于管理所述安全形势的一定量的计算资源。

在一个优选实施例中，其中所述基于云的平台可以包括多个防火墙设备；以及其中获得关于所述安全形势的所述信息可以进一步包括：从所述多个防火墙设备获得所述信息。

在一个优选实施例中，其中所述警告通知可以包括标识为了与缓解所述安全形势相关联的用户分配的授权级和计算资源集的信息；以及其中执行所述一个或多个响应动作可以包括：向与缓解所述安全形势相关联的所述用户提供所述警告通知。

在一个优选实施例中，其中执行所述一个或多个响应动作可以包括动态地重新配置所述基于云的平台的一个或多个虚拟网络。

在一个优选实施例中，该方法可以进一步包括获得关于所述安全形势的其他信息，所述其他信息满足威胁评估阈值；以及将所述威胁评估级从所述威胁评估级升级到另一威胁评估级，所述另一威胁评估级是比所述威胁评估级更高的威胁评估级；以及执行与所述另一威胁评估级相关联的另一一个或多个响应动作。

在一个优选实施例中，该方法可以进一步包括获得关于所述安全形势的其他信息，所述其他信息不满足与所述威胁评估级相关联的威胁评估阈值；以及将所述威胁评估级从所述威胁评估级降级到另一威胁评估级，所述另一威胁评估级是比所述威胁评估级更低的威胁评估级；以及执行与所述另一威胁评估级相关联的另一一个或多个响应动作。

根据某些可能的实现方式，一种系统可以包括与web平台相关联的多个基于云的网络。所述多个基于云的网络的第一基于云的网络可以包括第一虚拟网络集。所述多个基于云的网络的第二基于云的网络可以包括第二虚拟网络集。所述第二虚拟网络集可以类似所述第一虚拟网络集的一部分。所述系统可以包括设备。该设备可以获得关于与所述web平台相关联的安全形势的信息。该设备可以标识威胁评估级集合中对应于所述安全形势的威胁评估级。所述威胁评估级可以与所述安全形势满足的阈值标准集相关联。所述威胁评估级可以与关联于补救所述安全形势的响应动作集相关联。该设备可以使得所述响应动作集中的一个或多个响应动作被执行以补救所述安全形势。所述一个或多个响应动作可以包括提供关于标识所述威胁评估级的所述安全形势的警告通知。

在一个优选实施例中，其中在引起所述一个或多个响应动作时该设备可以被配置为：确定针对第一基于云的网络的第一计算资源分配以及针对第二基于云的网络的第一计算资源分配，基于所述威胁评估级，确定针对所述第一基于云的网络的第二计算资源分配以及针对所述第二基于云的网络的第二计算资源分配，针对所述第一基于云的网络的所述第二计算资源分配不同于针对所述第一基于云的网络的所述第一计算资源分配，针对所述第二基于云的网络的所述第二计算资源分配不同于针对所述第二基于云的网络的所述第一计算资源分配，以及使得针对所述第一基于云的网络的所述第二计算资源分配和针对所述第二基于云的网络的所述第二计算资源分配被实现。

在一个优选实施例中，其中该设备可以进一步被配置为：确定与执行所述一个或多个响应动作相关联的用户组；以及向所述用户组并且在所述安全形势出现之前提供标识所述一个或多个响应动作的信息。

在一个优选实施例中，其中该设备可以进一步被配置为：向特定虚拟网络的安全实用工具请求关于所述安全形势的信息，所述特定虚拟网络可以与所述web平台相关联；以及基于请求所述信息从所述特定虚拟网络接收关于所述安全形势的所述信息。

在一个优选实施例中，其中该设备可以进一步被配置为：确定另一安全形势与另一威胁评估级相关联，所述另一威胁评估级可以是比所述威胁评估级更低的威胁评估级，所述另一安全形势可以在所述安全形势之前出现，所述另一安全形势可以与为了所述web平台的一个或多个防火墙设备分配的第一数量的计算资源相关联；确定所述安全形势满足与所述威胁评估级相关联的所述阈值标准集；以及使得所述 web平台的所述一个或多个防火墙设备被分配第二数量的计算资源，所述第二数量的计算资源可以大于所述第一数量的计算资源。

在一个优选实施例中，可以进一步包括：多个防火墙，防火墙可以被配置为提供关于所述安全形势的所述信息；以及多个web应用防火墙(WAF)，WAF可以被配置为提供关于所述安全形势的信息。

在一个优选实施例中，其中在获得关于所述安全形势的所述信息时，该设备可以被配置为：从一个或多个因特网资源获得关于所述安全形势的所述信息，所述一个或多个因特网资源可以提供关于以下各项中的至少一项的信息：事件、网络流量模式、恶意文件类型、补丁、恢复路径、或攻击威胁。

根据某些可能的实现方式，计算机可读介质可以存储指令，该指令在被一个或多个处理器执行时，使得该一个或多个处理器获得关于计算资源集的安全形势的信息。所述信息可以与不间断的安全威胁或潜在的安全威胁相关。所述信息可以利用一个或多个因特网安全资源被获得。该指令在被一个或多个处理器执行时，可以使得该一个或多个处理器基于关于所述安全形势的所述信息确定针对所述安全形势的威胁评估级集合中的威胁评估级。威胁评估级集合中的每个威胁评估级可以与阈值标准集和响应动作集相关联。该指令在被一个或多个处理器执行时，可以使得该一个或多个处理器基于所述安全形势执行与所述威胁评估级相关联的一个或多个响应动作。

在一个优选实施例中，其中该指令在被一个或多个处理器执行时，可以使得该一个或多个处理器从与计算资源集相关联的实用工具虚拟网络的一个或多个安全实用工具接收关于安全形势的信息。

在一个优选实施例中，其中使得该一个或多个处理器使得一个或多个响应动作被执行的一个或多个指令使得该一个或多个处理器向用户组提供关于安全形势的警告通知，该用户组关于威胁评估级、用于管理与该威胁评估级相关联的一个或多个安全形势的授权级和用于管理一个或多个安全形势的计算资源的分配进行精简。

在一个优选实施例中，该指令在被一个或多个处理器执行时，可以进一步使得该一个或多个处理器确定一个或多个检测到的探测对应于潜在的安全威胁；以及其中使得一个或多个处理器确定威胁评估级的一个或多个指令可以使得一个或多个处理器基于确定一个或多个检测到的探测对应于潜在的安全威胁来确定威胁评估级。

在一个优选实施例中，该指令在被一个或多个处理器执行时，可以进一步使得该一个或多个处理器获得关于安全形势的其他信息；基于关于安全形势的其他信息从该威胁评估级升级到第一其他威胁评估级，该第一其他威胁评估级是比该威胁评估级更高的威胁评估级，或者基于关于安全形势的其他信息从该威胁评估级降级到第二其他威胁评估级，该第二其他威胁评估级是比该威胁评估级更低的威胁评估级。

附图说明

图1是其中本文所述系统和/或方法可以被实现的示例环境的示图；

图2是与图1所示云网络相关的中心辐射开发环境的示图；

图3是与图1所示示例环境相关的安全级区域集的示图；

图4A和图4B是具有与图1所示示例环境相关的虚拟网络的防火墙部分的多层安全架构的示例图；

图5A和图5B是具有与图1所示示例环境相关的虚拟网络的防火墙部分的多层安全架构的另一示例图；

图6是具有虚拟网络的防火墙部分的多层安全架构的又一示例图；

图7是本文所述一个或多个设备和/或计算资源的示例部件的示图；

图8是用于执行安全评估的示例过程的流程图；以及

图9是与图8所示示例过程相关的威胁评估级的示例图；以及

图10是与图8所示示例过程相关的示例实现的示例图。

具体实施方式

以下示例实现方式的详细描述涉及附图。不同附图中的相同参考标号可以标识相同或相似的元件。

基于云的计算平台可以促进计算资源的可扩展分配，诸如处理资源、存储资源、路由资源等。基于云的计算平台的用户可以在第一时间请求第一数量的资源并且在第二时间请求第二数量的资源。附加地或备选地，资源的分配可以自动发生作为基于云的计算平台的功能，而不需要请求用户手动配置资源的分配。基于云的计算平台可以支持 web平台(例如，由基于云的平台支持的网站)，诸如与促进食品的订单和递送相关联的web平台或其他类型的web平台。

然而，基于云的平台可能经受恶意攻击，诸如从存储私有信息(例如，信用卡信息、用户偏好信息等)的一个或多个数据结构信息泄露未遂、分布式拒绝服务(DDOS)攻击等。本文所述的实现方式可以利用多层安全和云缩放以标识安全形势，以特定威胁评估级将安全形势分类，并且利用针对特定威胁评估级的指定响应动作来缓解恶意攻击。通过此方式，基于云的平台可以促进与没有利用多层安全和云缩放以管理安全形势的另一计算平台相关的改进信息安全、可靠性等。此外，基于云的平台可以通过动态建立针对安全形势的响应组并且利用与没有利用预定义评估级的另一计算平台相关的预定义评估级来促进减少的响应时间和正确大小配置。

图1是其中本文所述系统和/或方法可以被实现的示例环境100 的示图。如图1所示，环境100可以包括服务提供商网络110、云网络120(例如，计算资源的第一基于云的网络)、云网络130(例如，计算资源的第二基于云的网络)、授权方数据中心140、加盟方数据中心150、操作者数据中心160、操作者核心网络170和操作者核心数据中心180。环境100的设备可以经由有线连接、无线连接或有线连接和无线连接的组合互连。在某些实现方式中，云网络120和云网络130可以操作web平台(例如，针对食品递送服务的电子商务平台) 并且服务提供商网络110、授权方数据中心140、加盟方数据中心150、操作者数据中心160、操作者核心网络170和操作者核心数据中心180 可以共同地执行与操作云网络120和云网络130相关联的一个或多个功能。

服务提供商网络110可以包括一个或多个有线和/或无线网络。例如，服务提供商网络110可以包括蜂窝网络(例如，长期演进(LTE) 网络、第三代(3G)网络、码分多址(CDMA)网络等)、公共陆地移动网络(PLMN)、局域网(LAN)、广域网(WAN)、城域网(MAN)、电话网络(例如，公共交换电话网络(PSTN))、私有网络、自组网、内联网、因特网、基于光纤的网络、云计算网络、企业网络等和 /或这些或其他类型网络的组合。在某些实现方式中，服务提供商网络 110可以包括主干网，诸如电信服务提供商、因特网服务提供商等的主干网。例如，服务提供商网络110可以包括与向多个子网络、数据中心等提供互连相关联的因特网协议/多协议标签交换(IP/MPLS)主干网。

本文所述的云网络120和/或另一云网络(例如，云网络130等) 可以包括提供一个或多个计算资源的基于云的计算平台，诸如微软 Azure云、亚马逊web服务(亚马逊AWS)云等。例如，云网络120 可以包括一个或多个服务器、路由器、网关、交换机、集线器、数据存储单元等可指派用于web平台的一个或多个功能。在某些实现方式中，云网络120可以促进计算资源的缩放。例如，云网络120可以分别基于第一时间和第二时间的计算资源需求在第一时间指派第一数量的计算资源用于处理针对食品递送的用户请求，并且在第二时间指派第二数量的计算资源用于处理针对食品递送的用户请求。在某些实现方式中，云网络120可以包括虚拟网络集。虚拟网络可以包括概念上与虚拟化网络链路集分组的计算资源集。例如，虚拟网络可以包括经由一个或多个虚拟网络链路连接的虚拟机集、虚拟防火墙集等。

在某些实现方式中，云网络120可以包括服务器集、网关、防火墙设备等。例如，云网络120可以包括提供可指派计算资源的物理服务器集、表示可指派计算资源的虚拟服务器集等。如本文所述的服务器可以涉及与云网络120相关联的物理服务器、虚拟化服务器(例如，至少部分以硬件实现并且由云网络120针对特定功能分配的计算资源的概念表示)等。在某些实现方式中，服务器可以表示服务器组。例如，虽然产品虚拟网络(如本文所述)可以被描述为包括客户门户服务器，但是该产品虚拟网络可以包括可以基于对客户门户的访问的需求而缩放的客户门户服务器组(例如，5个服务器、10个服务器、20 个服务器等)。类似地，网关设备可以涉及物理网关设备、虚拟化网关设备(例如，至少部分以硬件实现并且被指派用于执行网关设备的一个或多个功能的计算资源集)等。换言之，虚拟网络可以被指派计算资源集，其可以被概念上描述为服务器、网关、防火墙等。

在某些实现方式中，云网络120可以在虚拟网络集中包括组建虚拟网络。例如，云网络120可以指定计算资源的一部分(例如，“服务器1-A”)分配给该组建虚拟网络的功能。类似地，云网络120可以包括具有向其分配计算资源的各部分(例如，分别是“服务器1-B”、“服务器1-C”和“服务器1-D”)的开发(“Dev”)虚拟网络、质量保证测试(QAT)虚拟网络以及端到端测试(E2E)虚拟网络。类似地，云网络120可以包括分级虚拟网络(例如，具有计算资源“服务器1-E”)、产品虚拟网络(例如，具有计算资源“服务器1-F”)、实用工具虚拟网络(例如，具有计算资源“服务器1-G”)和网关设备(例如，一些分配用于执行网络网关功能的计算资源)。在某些实现方式中，云网络120可以包括与动态缩放云网络120的一个或多个部分的计算资源相关联的资源分配管理设备。例如，云网络120可以利用缩放控制器(例如，选择性分配和/或重新分配计算资源的资源分配管理设备)来向云网络120的一部分指派一些计算资源。

在某些实现方式中，云网络130可以包括虚拟网络集。例如，云网络130可以包括实用工具虚拟网络(例如，具有计算资源“服务器 1-H”)、分级虚拟网络(例如，具有计算资源“服务器1-I”)、产品虚拟网络(例如，具有计算资源“服务器1-J”)和网关设备。在某些实现方式中，云网络120和云网络130(和/或一个或多个其他、相似的云网络)可以支持web平台，诸如针对食品递送的端到端电子商务平台。例如，云网络120和云网络130可以促进订单处理、商店经营、库存管理等。

云网络120的某些虚拟网络可以对应于云网络130的其他虚拟网络。例如，云网络120的第一产品虚拟网络可以对应于云网络130的第二产品虚拟网络。在此情况下，网络流量可以基于负载平衡标准集、备份标准集、地理标准集等被路由至第一产品虚拟网络或第二产品虚拟网络之一。例如，云网络120可以被建立用于管理与美国东海岸相关联的网络流量，云网络130可以被建立用于管理与美国西海岸相关联的网络流量，并且一个或多个其他云网络可以被建立用于管理其他网络流量(如备份云网络等)。通过此方式，云网络120和云网络130 可以基于促进虚拟网络的冗余而相对于单个云网络增加web平台的鲁棒性。

附加地或备选地，云网络120的某些虚拟网络可以不对应于云网络130的其他虚拟网络。例如，测试操作可以被指定为非关键性操作 (例如，如果与执行程序代码测试相关联的一个或多个计算资源不可用，则web平台的操作可以保持对客户不受影响)。在此情况下，测试操作可以利用开发、QAT和E2E虚拟网络在云网络120中执行，并且对应的虚拟网络不在云网络130中建立。通过此方式，相对于跨每个云网络重复测试操作的配置，资源分配被减少(例如，通过不重复测试操作)并且程序代码连续性可以被改进(例如，通过减少由在不具有集中控制的多个不同环境中执行的测试操作产生的不连续性的可能性)。虚拟网络的设置参考图2至图7进一步详细描述。

授权方数据中心140可以包括由授权方操作的一个或多个数据中心。例如，授权方数据中心140可以包括网关设备、计算资源集(例如，“服务器1-K”)和商店设备集(例如，“商店设备1-L”)。商店设备集可以涉及与从商店位置接收食品递送订单、生成针对该订单的价格信息、指派该订单供商店位置完成(例如，向准备队列添加该订单项)等相关联的一个或多个设备(例如，销售点(POS)设备)。在某些实现方式中，商店设备集可以包括与多个信息格式相关联的多个类型的商店设备。例如，第一商店位置可以利用第一类型的商店设备，并且第二商店位置可以利用第二类型的商店设备。在此情况下，云网络120、云网络130等的一个或多个部分可以被指定用于将经由 web平台接收的订单改变成与关联于指派用于完成订单的商店位置相关联的特定商店设备相关联的格式。

加盟方数据中心150可以包括由授权方的加盟方操作的一个或多个数据中心。例如，与授权方分离的商业实体可以操作商店位置集作为授权方的加盟方，并且可以操作具有与授权方数据中心140分离的计算资源集(例如，网关设备、服务器集“1-M”、商店设备集“1-N”等)用于管理商店操作、订单分配等，但是可以利用与授权方(和/ 或缺少单独数据中心的一个或多个加盟方)相同的web平台。在此情况下，加盟方数据中心150的一个或多个计算资源可以向web平台提供信息(例如，经由云网络120、云网络130等)、从web平台接收信息等。

操作者数据中心160可以包括由web平台的操作者操作的一个或多个数据中心。例如，授权方可以与操作者约定以为操作相关的web 平台提供服务，诸如安全服务、维护服务、程序代码生成、测试和更新服务等。在此情况下，操作可以利用具有网关设备集、计算资源集 (例如，“服务器1-O”)等的操作者数据中心来执行与操作云网络 120、云网络130等的web平台相关联的一个或多个功能。

操作者核心网络170包括一个或多个有线和/或无线网络。例如，操作者核心网络170可以包括蜂窝网络、PLMN、LAN、WAN、MAN、电话网络、私有网络、自组网、内联网、因特网、基于光纤的网络、云计算网络、企业网络等和/或这些或其他类型网络的组合。在某些实现方式中，操作者核心网络170可以促进操作者数据中心160的一个或多个计算资源与操作者核心数据中心180的一个或多个计算资源之间的连接。

操作者核心数据中心180可以包括由web平台的操作者操作的一个或多个数据中心。例如，操作者可以利用与云网络120、云网络130 等直接通信的操作者数据中心160集以及为操作者数据中心160提供后端服务的操作者核心数据中心180集。在某些实现方式中，操作者核心数据中心180可以包括计算资源集(例如，网关设备“服务器1-P”等)。

通过此方式，环境100可以利用分配至虚拟网络组的云网络来促进虚拟网络中的多层安全(例如，通过利用云可扩展性功能来操作如果资源以固定方式分配而要求不可实行的资源量的安全层)、针对程序代码测试和实现方式操作的安全设计的、中心辐射配置的虚拟网络 (例如，通过利用云可扩展性功能来将测试和实现方式操作分至以缩放方式分配资源的多个单独虚拟网络)、以及安全操作(例如，通过利用虚拟化来按需重新分配和重新配置环境100的各部分以响应安全形势)。

图1中所示设备、计算资源和网络的数目和布置被提供作为示例。在实践中，可以存在与图1所示附加的设备、计算资源和/或网络，更少的设备、计算资源和/或网络，不同的设备、计算资源和/或网络，或者不同布置的设备、计算资源和/或网络。此外，图1中所示的两个或更多设备和/或计算资源可以在单个设备或计算机资源分配内实现，或者图2中所示的单个设备和/或计算资源配置可以被实现为多个、分布式设备和/或计算资源。附加地或备选地，环境100的设备集(例如，一个或多个设备)和/或计算资源可以执行描述为由环境100的另一设备集和/或计算资源执行的一个或多个功能。

图2是图1的云网络120的虚拟网络的示图。图2示出了中心辐射开发环境的示例。

如图2所示，云网络120可以包括促进与云网络120直接连接的网关设备205。例如，操作者数据中心160的服务器可以利用与网关设备205相关联的直接连接来访问、控制和/或利用云网络120的计算资源(例如，微软Azure ExpressRoute连接、亚马逊AWS DirectConnect 连接等)。在某些实现方式中，网关设备205可以包括MPLS网关设备、虚拟化网关设备等。

如图所示，云网络120可以包括组建虚拟网络210，其可以连接到开发虚拟网络215(例如，开发服务器组)、QAT虚拟网络220(例如，QAT服务器组)、E2E虚拟网络225(例如，E2E测试服务器组)、分级虚拟网络230(例如，分级服务器组)和/或产品虚拟网络235(例如，产品服务器组)。在某些实现方式中，开发虚拟网络215、QAT 虚拟网络220和/或E2E虚拟网络225可以被配置为不同虚拟网络。附加地或备选地，开发虚拟网络215、QAT虚拟网络220和/或E2E 虚拟网络225可以被配置为相同虚拟网络的各部分，诸如子虚拟网络、计算资源组等。

如图2进一步所示，组建虚拟网络210可以使用中心辐射开发环境来促进web平台的开发。例如，当开发者生成web平台中使用的程序代码时，该程序代码被提供给组建虚拟网络210的组建服务器。在某些实现方式中，组建虚拟网络210可以将开发更新贯穿中心辐射开发环境的开发的多个不同阶段。例如，组建虚拟网络210可以在开发的第一阶段向开发虚拟网络215提供开发更新(例如，用于改变 web平台的程序代码)，可以接收指示由开发更新满足的开发虚拟网络215的测试标准集的信息，并且可以在第二开发阶段向QAT虚拟网络220提供开发更新。类似地，组建虚拟网络210可以在开发的第一阶段向分级虚拟网络230提供开发更新，并且可以在开发的第二阶段向产品虚拟网络235提供开发更新。

在某些实现方式中，组建服务器可以存储程序代码、执行程序代码的认证(例如，确定用户被授权为web平台提供程序代码)、执行对程序代码的版本控制、执行程序代码的文档编制、执行程序代码的安全扫描(例如，确定程序代码没有恶意代码)等。在某些实现方式中，组建虚拟网络210可以促进虚拟机的建立，通过该虚拟机，用户可以控制程序代码的认证、程序代码的版本控制等。

在某些实现方式中，云网络120可以缩放计算资源以促进执行程序代码的认证、程序代码的版本控制等。例如，当程序代码被提供用于扫描时，云网络120可以向组建虚拟网络210分配第一数量的计算资源以执行扫描，并且在扫描完成时，云网络120可以向组建虚拟网络210指派第二数量的计算资源。附加地或备选地，云网络120的缩放控制器可以缩放计算资源以促进执行对开发更新(例如，对程序代码)的一个或多个测试。例如，当开发虚拟网络215用于执行对程序代码的一个或多个测试时，缩放控制器可以向开发虚拟网络215分配第一数量的计算资源，并且当开发虚拟网络215已经完成一个或多个测试时，缩放控制器可以向开发虚拟网络215分配少于第一数量计算资源的第二数量计算资源。

基于将程序代码测试的功能分至多个不同的虚拟网络，相对于对单个计算设备执行测试，云网络120可以增加程序代码测试的安全，然而，建立多个不同的虚拟网络可能会资源密集。基于利用基于云的计算资源的缩放，相对于将资源固定地分配给每个虚拟网络，云网络 120可以通过将计算资源按需分配给每个虚拟网络来实现与将程序代码测试分至多个不同虚拟网络相关联的安全益处并且减少资源分配。

如参考标号240所示，组建服务器可以向开发虚拟网络215的开发服务器提供程序代码的拷贝(例如，经由虚拟化网络链路)。在某些实现方式中，开发服务器可以对程序代码执行一个或多个测试。例如，开发服务器可以利用用例集来测试程序代码并且确定程序代码是否按期望执行。又例如，开发服务器确定程序代码未通过用例集。在此情况下，假设开发服务器可以提供与未通过开发测试(例如，与用例集相关联的测试)相关联的信息，诸如标识与故障相关联的程序代码的一部分的信息、标识与故障相关联的模块的信息、标识用例集的信息等。又例如，开发服务器可以向组建服务器提供与使得程序代码被拒绝相关联的信息。在此情况下，该程序代码可以由用于经由开发虚拟网络215测试的其他程序代码代替。作为另一示例，开发服务器可以确定程序代码通过了用例集，并且可以向组建服务器提供指示程序代码通过了用例集的信息，如参考标号245所示。

在某些实现方式中，基于接收指示程序代码通过了用例集和/或开发虚拟网络215的一个或多个测试标准的信息，组建虚拟网络210的组建服务器可以生成与程序代码相关联的信息。例如，组建服务器可以提供指示程序代码通过了用例集的信息，并且可以更新与跟踪程序代码的开发生命周期相关联的信息。在此情况下，组建服务器可以使得该信息被提供给由管理程序代码测试的开发者、跟踪程序代码的开发生命周期的数据结构等操作的客户端设备。如参考标号250所示，组建服务器可以基于接收指示程序代码通过了开发虚拟网络215的用例集的信息向QAT虚拟网络220的QAT服务器提供程序代码。

在某些实现方式中，QAT服务器可以对程序代码执行QAT测试。例如，QAT服务器可以对程序代码执行单元测试、静态代码分析、数据流分析、度量分析、代码覆盖分析和/或另一类型的程序代码测试。作为一个示例，QAT服务器可以确定程序代码没有通过一个或多个QAT测试，并且可以使得程序代码被组建服务器拒绝。在此情况下，当其他程序代码被生成以代替该程序代码时，组建服务器可以对该程序代码和其他程序代码执行版本控制，并且可以使得该其他程序代码被提供用于经由开发虚拟网络215进行测试。作为另一示例，QAT服务器可以确定程序代码通过QAT测试。在此情况下，QAT服务器可以向组建虚拟网络210的组建服务器提供与指示程序代码通过了 QAT测试相关联的信息，诸如测试结果等，如参考标号255所示。

在某些实现方式中，基于接收指示程序代码通过了QAT测试和/ 或与QAT虚拟网络220相关联的一个或多个测试标准的信息，组建虚拟网络210的组建服务器可以生成与程序代码相关联的信息。例如，组建服务器可以向开发者使用的客户端设备提供指示程序代码通过了QAT测试的信息。附加地或备选地，组建服务器可以提供与基于 QAT测试将该程序代码与其他程序代码进行比较相关联的信息。如参考标号260所示，组建服务器可以基于接收指示程序代码通过了QAT 测试的信息向E2E虚拟网络225的E2E服务器提供程序代码。

在某些实现方式中，E2E服务器可以对程序代码执行E2E测试。例如，E2E服务器可以执行与确定该程序代码是否与web平台的一个或多个其他模块正确集成(例如，与Hybrid数据集线器集成、与Apigee 应用程序接口(API)集成)相关联的一个或多个测试。附加地或备选地，E2E服务器可以确定程序代码是否与一个或多个数据结构、一个或多个网络连接等集成。

在某些实现方式中，E2E服务器可以确定程序代码没有通过一个或多个E2E测试。例如，E2E服务器可以确定程序代码没有与关联于 web平台的服务器正确集成，并且可以向组建虚拟网络210的组建服务器提供指示程序代码没有通过E2E测试的信息。在此情况下，组建服务器可以执行版本控制、提供关于E2E测试的信息等。当组建虚拟网络210接收程序代码的后续版本时，组建服务器可以处理该后续版本并且向开发虚拟网络215提供该经处理的后续版本，如上文结合参考标号240所述。在某些实现方式中，E2E服务器可以确定程序代码通过了E2E测试。例如，E2E服务器可以确定该程序代码与关联于 web平台的服务器正确集成。在此情况下，E2E服务器可以向组建虚拟网络210的组建服务器提供与指示程序代码通过了E2E测试相关联的信息，诸如测试结果等，如参考标号265所示。

在某些实现方式中，基于接收指示程序代码通过了E2E测试的信息，组建虚拟网络210的组建服务器可以生成与程序代码相关联的信息。例如，组建服务器可以向开发者使用的客户端设备提供指示程序代码通过了E2E测试的信息，可以更新与跟踪程序代码的开发生命周期相关联的信息，可以执行针对程序代码的版本管理等。基于程序代码通过E2E测试(例如，满足E2E虚拟网络225的一个或多个标准)，组建服务器可以向分级虚拟网络230的分级服务器提供程序代码，如参考标号270所示。

在某些实现方式中，分级服务器可以促进程序代码的预生产评估，诸如通过测试程序代码并入产品虚拟网络235中使用的模块。例如，分级虚拟网络230可以对应于和/或类似产品虚拟网络235(例如，与web平台相关联的虚拟网络)，并且分级服务器可以执行程序代码以确定在由产品虚拟网络235中的模块使用时程序代码是否将按期望进行操作。在某些实现方式中，分级服务器可以对程序代码执行预生产测试集。例如，分级服务器可以促进用户体验测试、用户接受测试、兼容性测试(例如，确定程序代码是否与产品虚拟网络235的硬件和 /或软件配置兼容)等。

在某些实现方式中，分级服务器可以向组建虚拟网络210的组建服务器提供指示程序代码没有通过预生产测试集的信息。例如，分级服务器可以指示程序代码引起对应于和/或类似于产品虚拟网络235 相关联的web平台的、与分级虚拟网络230相关联的web平台的版本中的不期望行为。在此情况下，组建服务器可以使得其他程序代码被提供用于经由开发虚拟网络215进行测试作为该程序代码的潜在代替。在某些实现方式中，分级服务器可以提供指示程序代码通过了预生产测试集的信息。例如，分级服务器可以提供指示程序代码满足用户体验阈值集、性能阈值集的信息等，如参考标号275所示。

在某些实现方式中，基于接收指示程序代码通过了预生产测试集和/或满足与分级虚拟网络230相关联的一个或多个测试标准的信息，组建虚拟网络210的组建服务器可以生成与程序代码相关联的信息。例如，组建服务器可以向由开发者使用的客户端设备提供指示程序代码通过了预生产测试集的信息，可以更新与跟踪程序代码的开发生命周期相关联的信息，可以执行针对该程序代码的版本管理等。在某些实现方式中，组建服务器可以使得程序代码被调度用于集成至产品虚拟网络235(例如，与产品虚拟网络235相关联的web平台)。例如，组建服务器可以向经调度的更新添加该程序代码，可以提供指示程序代码处于准备好发布的条件的信息等。

如参考标号280所示，基于程序代码通过与开发虚拟网络215、 QAT虚拟网络220、E2E虚拟网络225和分级虚拟网络230相关联的测试，组建虚拟网络210可以使得程序代码被提供给产品虚拟网络 235的产品服务器用于与web平台一起使用。例如，组建服务器可以使得web平台的一部分被调整以集成程序代码。

如果在任意阶段，组建虚拟网络210接收指示程序代码没有通过测试集的信息并且组建虚拟网络210接收该程序代码的后续版本，则组建服务器可以处理该程序代码的后续版本并且向开发虚拟网络215 提供经处理的该程序代码的后续版本。通过此方式，组建虚拟网络210 可以确保程序代码的后续版本没有以使得该后续版本未通过该测试集和/或旨在对程序代码执行的另一测试集的方式改变。

通过此方式，组建虚拟网络可以利用中心辐射配置来促进针对 web平台的程序代码的开发、测试和集成。通过将程序代码的开发、测试和集成的管理与组建虚拟网络集中，相对于非集中环境，该组建虚拟网络可以促进改进的程序代码的认证、减少的程序代码的误用或误表示的可能性、改进的针对程序代码的版本控制、改进的程序代码的文档编制、改进的针对程序代码的安全扫描等。通过针对每个测试阶段利用不同的虚拟网络，相对于单个测试环境，组建虚拟网络可以减少测试环境中使得恶意程序代码通过该测试环境的测试的恶意改变的可能性。

如上文所述，图2仅被提供作为示例。其他示例也是可能的并且可以不同于针对图2所述的示例。

图3是与图1和图2所示示例环境相关的安全级区域集的示例实现方式300的示图。

如图3中所示，示例环境100的各部分的概念图示可以包括第一安全级区域310和第二安全级区域320。安全级区域可以涉及满足特定安全级的区域(例如，云网络120、云网络130等的各部分的集合的概念表示)。例如，第一安全级区域310可以包括云网络120中满足与支付卡行业数据安全标准兼容(PCI兼容)、与个人可标识信息数据安全标准兼容(PII兼容)等的各部分，并且第二安全级区域320 可以包括云网络120中不满足PCI兼容、PII兼容等的各部分。

在某些实现方式中，第一安全级区域310可以包括组建虚拟网络 210、分级虚拟网络230、产品虚拟网络235、实用工具虚拟网络330 (例如，为一个或多个其他虚拟网络提供一个或多个功能的虚拟网络，诸如提供安全实用工具集、代码文档编制实用工具等)和网关设备340。例如，组建虚拟网络210、分级虚拟网络230、产品虚拟网络 235、实用工具虚拟网络330和网关设备340中的每一个可以被配置为PCI兼容。在某些实现方式中，第二安全级区域320可以包括开发虚拟网络215、QAT虚拟网络220、E2E虚拟网络225和网关设备350。例如，开发虚拟网络215、QAT虚拟网络220、E2E虚拟网络225和网关设备350中的每一个可以被配置为不与PCI兼容。

实用工具虚拟网络330可以涉及与为一个或多个其他虚拟网络提供实用工具相关联的虚拟网络(例如，云网络120、云网络130等)。例如，实用工具虚拟网络330可以包括可以由云网络120的一个或多个其他部分的计算资源利用的工具集，诸如安全工具(例如，恶意文件扫描工具、文件完整性监测工具、日志工具等)。在此情况下，产品虚拟网络235的一部分的服务器可以利用实用工具虚拟网络330的恶意文件扫描工具来确定所接收的文件是否为恶意文件。

在某些实现方式中，云网络120可以向实用工具虚拟网络330分配一些计算资源用于向远程用户(诸如，操作操作者数据中心160的客户端设备的开发者等)提供远程计算机和虚拟机控制的终端服务。在某些实现方式中，终端服务模块可以与防火墙相关联。例如，终端服务模块可以与用于确定是否允许到虚拟机(诸如，终端服务模块) 的流量的网络安全组(NSG)防火墙(例如，与访问控制规则集相关联的顶级对象)相关联。在某些实现方式中，实用工具虚拟网络330 可以基于由PCI兼容的多个虚拟网络使用实用工具虚拟网络330的工具来指定PCI兼容。通过此方式，云网络120可以避免利用实用工具虚拟网络330用于获得对PCI兼容虚拟网络的PCI信息的访问。

在某些实现方式中，第一安全级区域310可以利用与第二安全级区域320相比不同的认证。例如，网关设备340可以利用多要素认证，诸如两个或更多知识安全元素(例如，密码、个人识别码、安全问题的答案)、占有安全元素(例如，安全令牌)、用户安全元素(例如，指纹识别、视网膜识别、语音识别)等。与之相比，网关设备350可以利用单个要素认证。通过此方式，第一安全级区域310可以为与其相关联的虚拟网络提供比第二安全级区域320更高的安全级。相对于更低的安全级，提供更高的安全级可以是更加资源密集、更不灵活等。云网络120和/或云网络130可以利用针对于web平台相关联的虚拟网络的更高的安全级以避免顾客数据的无意公开、对web平台的恶意修改等，由此产生相对于非PCI兼容web平台的增强安全条件。此外，云网络120和/或云网络130可以利用较低的安全级用于测试环境，由此相对于要求PCI兼容用于测试环境，减少了资源分配并增加了灵活性用于测试环境，其中安全信息不太可能被分配并且顾客不与其交互。

在某些实现方式中，第一安全级区域310(例如，云网络120概念上表示为包括在第一安全级区域310中的一部分)可以从网络360 接收流量(例如，来自使用用户设备370经由web平台向虚拟网络 235下发订单的顾客的因特网流量)，诸如经由食品递送web平台的针对食品递送的订单或者经由另一类型的web平台的其他类型的产品递送。用户设备370可以包括一个或多个设备，诸如移动电话、计算机、视频游戏操纵台或可以用于访问web平台的另一类型的设备。附加地或备选地，第一安全级区域310可以经由网关设备340从服务提供商网络110接收流量(例如，终端服务设备从与授权方数据中心 140、加盟方数据中心150和/或操作者数据中心160相关联的开发者接收虚拟私有网络流量)。

在某些实现方式中，第二安全级区域320可以从服务提供商网络 110已经从第一安全级区域310接收流量(例如，从组建虚拟网络210 升级的程序代码、来自实用工具虚拟网络330的实用工具功能等)。例如，程序代码可以从组建虚拟网络210升级到开发虚拟网络215、 QAT虚拟网络220和/或E2E虚拟网络225。在此情况下，第二安全级区域320可以作为针对开发者集的沙盒环境用以测试程序代码而不授予对可以包括敏感用户信息和/或对web资源的关键资源的访问的第一安全级区域310的虚拟网络的管理访问。此外，第二安全级区域 320不从网络360接收流量，由此促进相对于第一安全级区域310的较少安全需求，该第一安全级区域310从网络360接收流量。

通过此方式，云网络可以相对于没有实现针对虚拟网络的PCI兼容的云网络通过提供改进的信息安全并且减少被传播到web平台的恶意或无意错误的可能性来改进针对多开发者组织的web平台管理。此外，云网络可以相对于实现针对所有虚拟网络的PCI兼容的云网络通过提供关于授权对程序代码测试的访问的改进灵活性来改进web 平台管理。

如上文所述，图3仅被提供作为示例。其他示例也是可能的并且可以不同于针对图3所述的示例。

图4A和图4B是与图1所示示例环境100相关的示例实现方式 400的示图。图4A和图4B示出了具有虚拟网络的防火墙部分的多层安全架构的示例。

如图4A中所示，云网络120可以包括产品虚拟网络235、实用工具虚拟网络330和网关设备402。产品虚拟网络235可以包括web 应用防火墙(WAF)部分404、防火墙406-1至406-4组、web部分 408(例如，产品虚拟网络235的web服务部分)、应用(“app”) 部分410(例如，产品虚拟网络235的应用服务部分)、数据库部分 412(例如，产品虚拟网络235的数据库服务部分)和活动目录部分 414。云网络120可以经由网关设备402连接到网络360和服务提供商网络110。产品虚拟网络235的各部分可以集成实用工具虚拟网络 330的安全工具，其可以概念上表示和/或实体化为产品虚拟网络235 的实用工具部分。在某些实现方式中，产品虚拟网络235可以包括与将计算资源分配到产品虚拟网络235的各部分相关联的缩放控制器、与使得信息在产品虚拟网络235的各部分之间路由相关联的路由设备等。

网关设备402可以包括与为产品虚拟网络235提供流量路由相关联的一个或多个网关设备。例如，网关设备402可以从操作者数据中心160接收虚拟私有网络(VPN)流量(例如，经由服务提供商网络 110)并且可以将VPN流量路由至实用工具虚拟网络330的终端服务设备。附加地或备选地，网关设备402可以从网络360(例如，web 流量)、操作者数据中心160、授权方数据中心140等接收流量，并且可以将该流量路由至云网络120的一部分(例如，web部分408)。

WAF部分404可以包括与为产品虚拟网络235提供防火墙相关联的一个或多个设备。例如，WAF部分404可以包括可以从网关设备402接收网络流量并且可以应用安全过滤器的虚拟网络(例如，产品虚拟网络235的子虚拟网络)。通过此方式，WAF部分404可以减少跨站脚本(XSS)攻击、结构化查询语言(SQL)注入式攻击等的可能性。基于满足过滤器和/或WAF部分404的一个或多个流量路由标准的流量，该流量可以经由防火墙406-1被路由至web部分408，如针对图4B进一步详细所述。在某些实现方式中，WAF部分404可以执行针对用户设备370的反向代理等。例如，当用户设备370尝试建立经由WAF部分404到web部分408的顾客门户时，WAF部分 404可以建立与用户设备370的第一连接以及与web部分408的第二单独连接，由此防止用户设备370直接访问web部分408。通过此方式，WAF部分404可以为web平台提供安全层。通过利用基于云的缩放，云网络120可以按需提供安全层，由此相对于针对WAF的固定分配减少资源分配。

防火墙406(以下统称为“防火墙406”，并且单独地称为“防火墙406”)可以涉及与向云网络120提供安全层相关联的防火墙。例如，防火墙406可以包括与管理云网络120的各部分的计算资源之间的访问相关联的基于网络安全组(NSG)的防火墙。例如，当用户设备370经由WAF部分404(例如，基于满足WAF部分404的一个或多个安全标准)提供标识食品递送订单的信息时，防火墙406-1可以对WAF部分404与web部分408之间建立的连接提供一个或多个基于防火墙的过滤器。类似地，当web部分408的服务器旨在访问应用部分410的服务器的信息时，防火墙406-2可以向对信息的请求应用一个或多个过滤规则。在某些实现方式中，防火墙406可以包括虚拟化防火墙。例如，云网络120可以按需向防火墙406分配资源，由此与固定分配相比减少每个防火墙的资源分配需求。此外，基于减少每个防火墙的资源分配需求，云网络120可以实现与关联于每个防火墙更多的资源分配需求的类似云网络相比对云网络120的单独部分的更多防火墙。

web部分408可以涉及与经由web平台提供信息进行显示和/或从 web平台接收信息相关联的云网络120的一部分。例如，用户可以通过向web部分408提供用户请求来经由web平台向云网络120请求信息，如本文针对图4B所述。

应用部分410可以涉及与向web平台提供应用服务相关联的云网络120的一部分。例如，当web部分408接收针对食品递送的订单时， web部分408可以向应用部分410提供该订单用于处理，如本文针对图4B所述。

数据库部分412可以涉及与向web平台提供来自数据库的信息相关联的云网络120的一部分。例如，当应用部分410正在处理针对食品递送的订单时，应用部分410可以经由数据库请求来自数据库部分 412的信息(例如，用户标识信息、信用卡信息等)，并且数据库部分412可以提供所请求的信息，如本文针对图4B所述。

活动目录部分414可以涉及与为云网络120的用户提供目录服务、认证和/或授权相关联的云网络120的一部分。例如，云网络120 可以向活动目录部分414的活动目录域控制器分配一些计算资源。在某些实现方式中，活动目录部分414可以为云网络120提供另一安全层。例如，活动目录部分414可以确保管理用户(例如，操作者数据中心160的一个或多个用户)仅被授予对云网络120的指派部分的访问。在此情况下，活动目录部分414可以从用户接收访问请求并且执行访问请求的认证以确定是否授予访问(例如，对产品虚拟网络235的一部分)给该用户。

如图4B中所示，web部分408、应用部分410和数据库部分412 可以分别包括防火墙设备440-1、440-2和440-3。防火墙设备440可以对应于防火墙406，可以包括与防火墙406的接口，或者可以包括与防火墙406分离和/或不同的设备。例如，防火墙设备440可以包括虚拟化防火墙设备，被分配作为web部分408(例如，防火墙设备 440-1)、应用部分410(例如，防火墙设备440-2)、数据库部分412 (例如，防火墙设备440-3)等的计算资源。防火墙设备440可以为云网络120的一部分提供安全层。例如，当连接被尝试到web部分 408时，防火墙设备440-1可以应用与确保连接不关联于恶意目的相关联的一个或多个过滤器和/或安全技术。

如图4B中进一步所示，web部分408可以包括与web平台的一个或多个功能相关联的web服务器450集。例如，web服务器450集可以包括商店经营(“admin”)服务器452组(例如，5个服务器、 10个服务器、20个服务器等)，其提供门户用于利用与商店经营相关联的web平台的一个或多个功能。附加地或备选地，web服务器 450集可以包括后勤办公室服务器454组，其提供门户用于利用web 平台的一个或多个后勤办公室功能，诸如库存信息、工资单信息等。附加地或备选地，web服务器450组可以包括顾客门户服务器456(例如，一个或多个web服务器)组，其提供门户用于利用web平台的一个或多个顾客功能。例如，用户设备370可以向顾客门户服务器456 (例如，经由WAF部分404)提供web流量(例如，产品(诸如食品)的递送或外卖的请求)。

如图4B中进一步所示，应用部分410可以包括与关联于web平台的电子商务应用的一个或多个应用服务相关联的应用(“app”) 服务器460集。例如，应用服务器460集可以包括与向顾客门户服务器456提供信息相关联的顾客门户服务器462组。附加地或备选地，应用服务器460集可以包括Hybris服务器464(例如，与促进电子商务应用相关联的数据集线器服务器)组。

如图4B中进一步所示，数据库部分412可以包括与为电子商务应用等提供来自一个或多个数据结构的信息相关联的数据库(“DB”) 服务器470集。在某些实现方式中，数据库服务器470集可以包括SQL 服务器472组。

在某些实现方式中，服务器(例如，web服务器450、应用服务器460、数据库服务器470等)可以包括一个或多个安全功能，诸如端点保护、反病毒保护、本地防火墙、数据丢失预防、文件修改监测等作为针对服务器的安全层。例如，Hybris服务器464可以操作反病毒保护作为对防火墙设备440-2、防火墙406-2等的添加安全层。在某些实现方式中，服务器可以提供标识检测到的恶意动作(例如，尝试侵入、检测到的恶意文件等)的信息用于在参考图8至图10所述的评估安全形势中使用。

如图4B中以及参考标号480进一步所示，web部分408可以接收用户请求(例如，从用户设备370)。假设用户请求是对食品递送的订单。用户请求基于指示请求旨在顾客门户服务器456的地址信息 (例如，IP地址信息)被(例如，从WAF部分404)路由至顾客门户服务器456。顾客门户服务器456可以生成针对Hybris服务器464 的应用请求485。应用请求被传输到Hybris服务器464(例如，经由防火墙406-2和防火墙设备440-2)。Hybris服务器464可以实现该请求(例如，通过生成旨在实现食品递送订单的商店位置的商店设备的信息)。如参考标号490所示，为了实现请求，Hybris服务器464 可以生成针对SQL服务器472的信息的数据库请求。该数据库请求被传输至SQL服务器472(例如，经由防火墙406-3和防火墙设备440-3)，并且SQL服务器472可以提供与实现请求相关联的数据库信息(例如，用户标识信息、支付信息、偏好信息等)。

通过此方式，产品虚拟网络235被配置有层安全以相对于没有层安全减少造成对产品虚拟网络235伤害的安全形势的可能性。例如，用户设备370不被允许直接访问web部分408，而是WAF部分404 基于从用户设备370接收流量来建立到web部分408的反向代理连接。类似地，WAF部分404可能也不允许访问应用部分410，而是 WAF部分404可以向web部分408传输信息，其可以向应用部分410 传输信息。类似地，应用部分410可以从数据库部分412请求信息以实现由web部分408提供的请求，而不需要web部分408直接访问数据库部分412。

产品虚拟网络235可以利用可扩展计算资源来实现层安全。例如，产品虚拟网络235的一些计算资源(例如，针对web部分408、应用部分410、数据库部分412、防火墙406-1、406-2、406-3和406-4等建立的服务器)可以被缩放以满足需求，由此促进相对于固定分配所述的具有较少资源分配的全面层安全。通过此方式，云网络120可以相对于使用非可扩展计算资源的另一类型web平台减少安全形势的可能性，该另一类型web平台基于使用非可扩展计算资源由于建立固定计算资源的过度成本而无法实现层安全。

如上文所述，图4A和图4B仅被提供作为示例。其他示例也是可能的并且可以不同于针对图4A和图4B所述的示例。

图5A和图5B是与图1所示示例环境100相关的示例实现方式 500的示图。图5A和图5B示出了具有虚拟网络的防火墙部分的多层安全架构的示例。

图5A和图5B示出了云网络120的分级虚拟网络230的示例。如图5A和图5B所示，分级虚拟网络230被配置为对应于并类似产品虚拟网络235，由此促进在产品虚拟网络235中的修改实现之前测试对产品虚拟网络235的修改(例如，新的特征、新的程序代码等)。分级虚拟网络230被配置有PCI兼容，由此促进确定改变是否如PCI 兼容虚拟网络(诸如产品虚拟网络235)中期望的进行操作(测试在分级虚拟网络230中引导之前可以在非PCI兼容虚拟网络中出现，诸如，开发虚拟网络215、QAT虚拟网络220、E2E虚拟网络225等)。

例如，并且参考图5A，网关设备502可以对应于网络设备402，并且可以执行一个或多个相似的功能。类似地，WAF部分504可以对应于WAF部分404，并且可以执行一个或多个相似的功能。类似地，防火墙506-1、506-2、506-3和506-4可以分别对应于406-1、406-2、 406-3和406-4，并且可以分别执行一个或多个相似的功能。类似地， web部分508可以对应于web部分408，并且可以执行一个或多个相似的功能。类似地，应用(“app”)部分510可以对应于应用部分 410，并且可以执行一个或多个相似的功能。类似地，数据库部分512 可以对应于数据库部分412，并且可以执行一个或多个相似的功能。类似地，活动目录部分514可以对应于活动目录部分414，并且可以执行一个或多个相似的功能。

作为另一示例，并且参考图5B，防火墙设备540-1、540-2和540-3 可以分别对应于防火墙设备440-1、440-2和440-3，并且可以分别执行一个或多个相似的功能。类似地，web服务器550(例如，商店经营(“admin”)服务器552、后勤办公室服务器554和顾客门户服务器556)可以对应于web服务器450(例如，商店经营(“admin”) 服务器452、后勤办公室服务器454和顾客门户服务器456)，并且可以执行一个或多个相似的功能。类似地，应用(“app”)服务器 560(例如，顾客门户服务器562和Hybris服务器564)可以对应于应用服务器460(例如，顾客门户服务器462和Hybris服务器464)，并且可以执行一个或多个相似的功能。类似地，数据库服务器570(例如，SQL服务器572)可以对应于数据库服务器470(例如，SQL服务器472)，并且可以执行一个或多个相似的功能。

作为另一示例，并且参考图5B，web部分508可以接收对应于用户请求480的用户请求580，并且可以生成对应于应用请求485的应用请求585。类似地，应用部分510可以接收应用请求585并且可以生成对应于数据库请求490的数据库请求590。类似地，数据库部分 512可以接收数据库请求590并且可以提供数据库信息以实现数据库请求590。

如上文所述，图5A和图5B仅被提供作为示例。其他示例也是可能的并且可以不同于针对图5A和图5B所述的示例。

图6是与图1所示示例环境100相关的示例实现方式600的示图。图6具有虚拟网络的防火墙部分的多层安全架构的示例。

如图6所示，云网络120可以包括开发虚拟网络215、QAT虚拟网络220和/或E2E虚拟网络225，统称为开发虚拟网络601。开发虚拟网络601可以包括对应于图4A和图4B的产品虚拟网络235、图 5A和图5B的分级虚拟网络504等的一个或多个部分和/或计算资源。例如，开发虚拟网络601可以包括网关设备602、WAF部分604、防火墙606集、web部分608、开发部分610、QAT/E2E部分612、活动目录部分614、防火墙设备640集等。

WAF部分604可以包括与为开发虚拟网络601提供防火墙相关联的一个或多个设备。例如，WAF部分404可以包括可以从网关设备402接收网络流量的虚拟网络(例如，产品虚拟网络235的子虚拟网络)，并且可以应用安全过滤器，如本文针对图4A和图4B的WAF 404所述。

活动目录部分614可以涉及与为云网络120和开发虚拟网络601 的用户提供目录服务、认证和/或授权相关联的云网络120的一部分。例如，云网络120可以向活动目录部分614的活动目录域控制器分配一些计算资源，如本文针对图4A和图4B的活动目录部分414所述。

如图6进一步所示，web部分608可以包括防火墙设备640-1和 web服务器650集(例如，QAT/E2E服务器652组、开发(“DEV”) 服务器654组等)。开发部分610可以包括防火墙设备640-2和开发服务器660集(例如，应用服务器662组、数据库服务器664组等)。在某些实现方式中，应用服务器662可以被并入应用服务器虚拟网络并且数据库服务器664可以被并入数据库虚拟网络，其中每个虚拟网络均是开发部分610的子虚拟网络。QAT/E2E部分612可以包括防火墙设备640-3和QAT/E2E服务器670集(例如，应用服务器672组、数据库服务器674组等)。在某些实现方式中，应用服务器672可以被并入应用服务器虚拟网络并且数据库服务器674可以被并入数据库虚拟网络，其中每个虚拟网络均是QAT/E2E部分618的子虚拟网络。在某些实现方式中，QAT/E2E部分612可以包括QAT子部分和E2E 子部分，其中QAT子部分包括应用服务器672集、数据库服务器674 集等，并且E2E子部分包括应用服务器672集、数据库服务器674 集等。

如上文所述，图 6 仅被提供作为示例。其他示例也是可能的并且可以不同于针对图 6 所述的示例。

图7是设备700的示例部件的示图。设备700可以对应于本文所述的一个或多个设备和/或计算资源(例如，图1至图6、图8至图10 等的设备和/或计算资源)。在一些实现方式中，本文所述的一个或多个设备和/或计算资源可以包括一个或者多个设备700和/或设备700 的一个或者多个部件。如图7中所示，设备700可以包括总线710、处理器720、存储器730、存储部件740、输入部件750、输出部件760 和通信接口770。

总线710可以包括允许在设备700的部件之间的通信的部件。处理器720以硬件、固件或硬件和软件的组合实现。处理器720可以包括可以被编程以执行功能的处理器(例如，中央处理单元(CPU)、图形处理单元(GPU)、加速处理单元(APU)等)、微处理器和/ 或任何处理部件(例如，现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)。存储器730可以包括存储用于由处理器720使用的信息和/或指令的随机存取存储器(RAM)、只读存储器(ROM)和/或另一类型的动态或者静态存储设备(例如，闪存、磁存储器、光存储器等)。

存储部件740可以存储与设备700的操作和使用有关的信息和/ 或软件。例如，存储部件740可以包括硬盘(例如，磁盘、光盘、磁光盘、固态盘等)、紧致盘(CD)、数字万用盘(DVD)、软盘、磁盒、磁带和/或另一类型的计算机可读介质以及对应的驱动。

输入部件750可以包括允许设备700比如经由用户输入接收信息的部件(例如，触屏显示器、键盘、小键盘、鼠标、按钮、开关、麦克风等)。附加地或者备选地，输入部件750可以包括用于感测信息的传感器(例如，全球定位系统(GPS)部件、加速度计、陀螺仪、致动器等)。输出部件760可以包括从设备700提供输出信息的部件 (例如，显示器、扬声器、一个或者多个发光二极管(LED)等)。

通信接口770可以包括使设备700能够比如经由有线连接、无线连接或者有线连接和无线连接的组合与其它设备通信的收发器式部件(例如，收发器、分离的接收器和发射器等)。通信接口770可以允许设备700从另一设备接收信息和/或向另一设备提供信息。例如，通信接口770可以包括以太网接口、光接口、同轴接口、红外线接口、射频(RF)接口、通用串行总线(USB)接口、Wi-Fi接口、蜂窝网络接口等。

设备700可以执行这里描述的一个或者多个过程。设备700可以响应于处理器720执行由计算机可读介质(比如存储器730和/或存储部件740)存储的软件指令来执行这些过程。计算机可读介质在这里被定义为非瞬态存储器设备。存储器设备包括在单个物理存储设备内的存储器空间或者跨多个物理存储设备展开的存储器空间。

软件指令可以从另一计算机可读介质或者经由通信接口770从另一设备被读取到存储器730和/或存储部件740中。在被执行时，在存储器730和/或存储部件740中存储的软件指令可以使得处理器720 执行这里描述的一个或者多个过程。附加地或者备选地，可以取代软件指令或者与软件指令组合使用硬接线电路以执行这里描述的一个或者多个过程。因此，这里描述的实现方式不限于硬件电路和软件的任何具体组合。

图7中所示的部件的数目和布置被提供作为示例。在实践中，设备700可以包括除了图7中所示的部件之外的附加部件、比图7中所示的部件更少的部件、与图7中所示的部件不同的部件或者被不同地布置的部件。附加地或者备选地，设备700的部件集合(例如，一个或者多个部件)可以执行被描述为由设备700的另一部件集合执行的一个或者多个功能。

图8是用于执行安全评估的示例过程800的流程图。在某些实现方式中，图8的一个或多个处理框可以由安全评估设备165执行。在某些实现方式中，图8的一个或多个处理框可以由与安全评估设备 165分离或包括安全评估设备165的另一设备或设备组执行，诸如本文所述的一个或多个其他设备和/或计算资源(例如，图1至图6、图 9至图10等的设备和/或计算资源)。

安全评估设备165可以涉及与执行云网络的安全评估相关联的一个或多个设备、云网络的一个或多个设备和/或计算资源、与云网络相关联的web平台等。例如，安全评估设备165可以包括台式计算机、膝上型计算机、平板计算机、移动电话(例如，智能电话、无线电电话等)、服务器或相似类型的设备。在某些实现方式中，安全评估设备165可以与威胁评估级的集合相关联，如参考图9进一步描述。在某些实现方式中，安全评估设备165可以与本文所述的一个或多个设备和/或计算资源通信和/或对其进行控制以获得关于安全形势的信息、监测安全形势、补救安全形势、对安全形势执行响应动作、分类安全形势、基于安全形势向一个或多个用户指派一个或多个任务等。

如图8所示，过程800可以包括获得关于与计算资源集相关联的安全形势的信息(框810)。例如，安全评估设备165可以获得关于安全形势的信息。在某些实现方式中，安全评估设备165可以获得关于不间断的安全威胁的信息。附加地或备选地，安全评估设备165可以获得关于潜在的安全威胁的信息。

在某些实现方式中，安全评估设备165可以基于与基于云的web 平台(诸如与云网络120和云网络130相关联的web平台)相关联的一个或多个安全层来确定信息。例如，与实用工具虚拟网络330相关联的安全评估工具(例如，恶意文件检测工具、恶意代码注入工具等) 可以由产品虚拟网络235的服务器用于分析传入流量，可以确定该传入流量与恶意目的(例如，分布式拒绝服务(DDOS)攻击、恶意代码注入攻击等)相关联。在此情况下，服务器可以向安全评估设备165 提供与分析传入流量相关联的信息。在某些实现方式中，安全评估设备165可以从特定安全评估工具获得信息。例如，安全评估设备165 可以从云网络120的服务器、云网络120的WAF、云网络120的防火墙等获得正在执行安全信息事件管理(SIEM)软件、主机入侵检测系统(HIDS)软件、网络入侵检测系统(NIDS)软件、数据丢失预防安全软件、Tripwire安全软件、事件日志软件、系统警告软件等的信息。附加地或备选地，安全评估设备165可以从威胁智能提供者和/或因特网资源(诸如，赛门铁克DeepSight、美国计算机紧急事件应变小组(US-CERT)、InfraGuard、因特网风暴中心(ISC)等)接收信息。例如，安全评估设备165可以接收关于网络流量模式、恶意文件、恶意文件类型、针对利用的补丁、针对利用的恢复路径、攻击威胁(例如，经由正被威胁智能提供者和/或因特网资源监测的通信信道提供)等的信息。

作为一个示例，安全评估工具可以分析传入流量的特性，诸如与传入流量相关联的5元组信息。该5元组信息可以包括源网络地址(例如，源因特网协议(IP)地址)、目的地网络地址(例如，目的地因特网协议(IP)地址)、源端口标识符、目的地端口标识符和/或协议标识符中的一个或多个。该5元组信息和/或其他网络流量信息(例如，与传入流量相关联的应用、传入流量中包括的报头信息等)可以用于将传入网络流量分成一个或多个流量流。安全评估工具可以使用流量流的特性以将传入流量与恶意目的相关联。例如，如果流量流与分组的阈值数量相关联(例如，在阈值时间量内)，则安全评估工具可以确定流量流与DDOS攻击相关联。作为另一示例，安全评估工具可以在沙盒环境中执行传入流量中包括的代码。如果代码被确定展示出恶意行为，则安全评估工具可以确定流量流与恶意代码注入攻击相关联。

在某些实现方式中，安全评估设备165可以接收关于特定事件的信息。例如，安全评估设备165可以接收标识与恶意攻击风险相关联的事件(例如，经由web平台提供的新的折扣、关于与web平台相关联的公司的新闻事件、世界新闻事件、运动事件、假期等)的信息。附加地或备选地，安全评估设备165可以基于执行目标弱点评估接收信息，诸如标识与web平台相关联的利用的信息。附加地或备选地，安全评估设备165可以接收与操作事件相关联的信息，诸如变成无效的服务器、与web平台相关联的新数据中心、关于web平台做出的公共威胁、与web平台相关联的监督的检测等。

如图8进一步所示，过程800可以包括确定针对安全形势的威胁评估级(框820)。例如，安全评估设备165可以从威胁评估级的集合中选择威胁评估级。威胁评估级可以涉及安全形势向与响应动作集相关联的离散范畴的分类。例如，安全形势可以被分类为正常级(例如，正常安全形势)、提升级(例如，相对于正常级具有提升威胁的安全形势)等。在某些实现方式中，安全评估设备165可以执行在确定威胁评估级时关于安全形势的信息的评估。例如，安全评估设备165 可以将安全形势分类为与已知威胁(例如，已知恶意软件)、未知威胁(例如，未知恶意软件)等相关。

在某些实现方式中，安全评估设备165可以确定与安全形势相关联的特异性。例如，在商业事件之前，安全评估设备165可以确定安全形势为非特定安全形势(例如，威胁可以涉及商业事件但尚未接收到直接威胁)。与之相比，当针对web平台接收到DDOS攻击的威胁时(例如，经由通信信道)，安全评估设备165可以确定相对于非特定安全形势而言该安全形势与更高度的特异性相关。

在某些实现方式中，安全评估设备165可以确定遇到攻击的数量。例如，安全评估设备165可以确定对web平台的尝试攻击的数量小于基线(正常)水平、近似基本水平、超过基线水平等。在某些实现方式中，安全评估设备165可以确定攻击的数量满足与特定安全级相关联的阈值数量，并且安全评估设备165可以基于该阈值数量选择威胁评估级。

在某些实现方式中，安全评估设备165可以确定与安全形势相关的损害度量。例如，安全评估设备165可以确定与web平台已经在该安全形势下损害的程度相关的度量，诸如信息已经从web平台漏出的程度、web平台的一个或多个网页已经被恶意修改的程度、预期的补救成本等。在此情况下，安全评估设备165可以基于与损害量相关的度量确定威胁评估级。

在某些实现方式中，安全评估设备165可以基于多个参数确定威胁评估级。例如，安全评估设备165可以基于攻击的数量、安全形势的特异性、损害度量等确定威胁评估级。在某些实现方式中，安全评估设备165可以向多个参数应用加权。例如，当确定安全形势的威胁评估级时，安全评估可以向安全形势的特异性应用第一加权并且向损害度量应用第二加权。

在某些实现方式中，安全评估设备165可以基于威胁评估阈值确定威胁评估级。例如，特定威胁评估级可以与一个或多个阈值标准相关联，所述一个或多个阈值标准在满足时对应于选择特定威胁评估级的安全评估设备165。

如图8进一步所示，过程800可以包括使得与威胁评估级相关联的响应动作被执行(框830)。例如，安全评估设备165可以执行与威胁评估级相关联的响应动作。附加地或备选地，安全评估设备165 可以使得与web平台相关联的另一设备执行响应动作。例如，安全评估设备165可以使得web平台的控制设备重新配置虚拟网络集，诸如向特定虚拟网络分配不同数量的计算资源、解激活特定虚拟网络、激活特定虚拟网络、用第二虚拟网络代替第一虚拟网络等。

在某些实现方式中，安全评估设备165可以在使得响应动作被执行时基于威胁评估级标识待执行的响应动作。例如，安全评估设备165 可以确定第一威胁评估级与第一响应动作集相关联并且第二威胁评估级与第二响应动作集相关联。在此情况下，安全评估设备165可以利用存储关于响应动作和威胁评估级的信息的数据结构。附加地或备选地，安全评估设备165可以从响应动作集中选择。例如，安全评估设备165可以从与特定威胁评估级相关联的多个响应动作中选择待执行的特定动作。在某些实现方式中，安全评估设备165可以基于安全形势选择响应动作。例如，安全评估设备165可以确定DDOS攻击和用户数据漏出攻击与相同威胁评估级相关联，但是可以为DDOS攻击和用户数据漏出攻击选择不同的响应动作以执行补救。

在某些实现方式中，安全评估设备165可以基于威胁评估级提供一个或多个通知。例如，安全评估设备165可以向查看指挥官(例如，与管理安全形势相关联的安全用户)提供警告，诸如通过向查看指挥官操作的用户设备传输警告。附加地或备选地，安全评估设备165可以向一个或多个组提供信息，诸如管理者组、律师团、通信组等。在某些实现方式中，安全评估设备165可以提供与触发事件响应组(例如，与管理安全形势相关联的用户组)被形成的威胁评估级相关联的信息。在此情况下，安全评估设备165可以提供与向事件响应组指派一些计算资源相关联的信息、针对该事件响应组的授权指南集(例如，标识针对web平台和安全形势的操作授权的层级、操作授权的水平等的信息)等。

虽然图8示出了过程800的示例块，但是在一些实现方式中，过程800可以包括除了图8中描绘的块之外的附加块、比图8中描绘的块更少的块、与图8中描绘的块不同的块或者被不同地布置的块。附加地或者备选地，可以并行执行过程800的块中的两个或者更多个块。

图9是与图8所示示例过程800相关的示例实现方式900的示图。图9示出了威胁评估级的示例。

如图9中所示，安全评估设备165可以基于分类级将安全形势分类，诸如第一级905、第二级910、第三级915、第四级920和第五级 925。包括更多级、更少级、不同级等的另一分类集可以在另一示例中使用。

在某些实现方式中，每个级可以对应于阈值标准集。例如，当阈值量的信息从数据结构中漏出时，特定级可以被指派给安全形势。附加地或备选地，级可以对应于与缓解安全形势相关联的用户组。例如，用户组可以是关于分配给用户组的资源、分配给用户组的授权级等被预先精简(例如，在安全形势之前被精简)。

第一级905(例如，相对于分类集的其他威胁评估级层级上最低的威胁评估级)可以与指示威胁不满足重要性阈值的安全形势相关联。在某些实现方式中，第一级905可以与缺乏将web平台处于已知恶意攻击能力的威胁的事件相关联。类似地，第一级905可以与缺乏检测到的监督(例如，缺乏可以被确定对应于在恶意攻击之前的潜在监督的一个或多个系统探测、扫描等的检测)。缺乏检测到的监督可以例如通过分析传入分组和/或流量流来和与已经被确定对应于恶意攻击之前的潜在监督的系统探测、扫描等相关联的模式进行比较来确定。第一级905可以与响应动作集相关联，诸如安全评估设备165标识关键任务信息、系统及其操作重要性；监测针对网络流量的接入点等。在某些实现方式中，第一级905可以与执行基线安全实践集相关联，诸如密码管理(例如，使得周期密码替换)、内部安全查看、外部弱点评估、审计、文件备份、标识新类型的恶意文件、安装补丁、报告、升级测试(例如，与更高威胁评估级相关联的测试响应动作) 等。

第二级910可以与指示相对于第一级905增加的攻击风险的安全形势相关联。例如，第二级910可以与对web平台的普通威胁(例如，比不满足重要性阈值相对更高级的威胁)相关联。在某些实现方式中，第二级910可以与关联于针对web平台的攻击的增加的可能性、检测到的监督的阈值数量等的一个或多个事件相关联。在某些实现方式中，第二级910可以与相对于第一级905提高的安全实践集相关联，诸如增加的审计级、增加的文件备份级、针对关于普通威胁的web平台用户的通知的生成、一个或多个防守战术的采用(例如，启用附加防火墙、增加防火墙过滤级等)、增强的报告过程的采用、主动威胁评估级升级(例如，在针对更高威胁评估级的标准被满足之前将威胁评估级升级到更高的威胁评估级)等。

第三级915可以与指示攻击的特定风险的安全形势相关联。例如，第三级915可以与关联于web平台的特定系统、位置、单元或操作的预定或预测目标相关联。特定系统、位置、单元或操作的目标可以通过分析传入分组和/或流量流用于和与恶意攻击相关联的模式(例如，攻击签名)进行比较、标识系统或操作的反常表现等来预定或预测。在某些实现方式中，第三级915可以与关联于web平台并且对应于增加的攻击可能性的主要事件的出现、满足相对于第二级910增加的阈值的监督的数量、检测到的网络入侵或拒绝服务攻击尝试(例如，但不影响web平台)等相关联。在某些实现方式中，第三级915可以与相对于第二级910提高的安全实践集相关联，诸如主动预防动作、增加的审计级、增加的文件备份级、web平台的一个或多个关键系统的内部安全查看、新弱点的评估、执行与该新弱点相关的补丁、增加的报告级等。

第四级920可以与指示有限攻击的安全形势相关联。例如，第四级920可以与检测到的不间断攻击、预测到的即将到来的攻击等相关联。检测到的不间断攻击、预测到的即将到来的攻击可以通过分析传入分组和/或流量流用于和与恶意攻击相关联的模式(例如，攻击签名) 进行比较、标识已知将与攻击相关联的反常表现等来标识。在某些实现方式中，第四级920可以与造成与web平台操作有限干扰的攻击相关联，诸如基于检测阈值攻击成功、利用成功的阈值级执行攻击预防、确定阈值数量的数据和/或系统已经妥协、确定web平台满足操作阈值(例如，关于web平台的操作是否被攻击妥协的评估的阈值)等。例如，第四级920可以与关联于已知恢复路径、有嫌疑的PCI泄漏等的攻击相关联。在某些实现方式中，第四级920可以与相对于第三级 915提高的安全实践集相关联，诸如执行与已知恢复路径相关联的一个或多个响应动作、将审计级增加到阈值级、将文件备份级增加到阈值级、web平台的一个或多个模块的重新配置以减少监督、将web平台的一个或多个系统操作重新路由至web平台的一个或多个未受影响的系统、执行一个或多个防御技术、将报告增加到阈值级、主动威胁评估级升级等。

第五级925可以与指示普通攻击的安全形势相关联。例如，第五级925可以与对关于web平台的一个或多个操作有阈值影响的检测到的攻击相关联。阈值影响可以通过比较对操作的性能攻击之前、期间和/或攻击之后操作的表现来确定。例如，表现可以基于一个或多个表现特性，诸如web平台和/或操作的正常运行时间或停机时间、与web 平台和/或操作相关联的延迟、访问web平台和/或利用操作的用户数量、正由web平台和/或操作使用的资源数量(例如，处理资源、存储器资源等)等。在某些实现方式中，第五级925可以与相对于预攻击web平台功能减少web平台功能的事件的阈值数量、对与web平台相关联的系统数据和/或一个或多个模块的阈值风险、与未知恢复路径相关联的攻击、确认的PCI泄露等相关联。在某些实现方式中，第五级925可以与相对于第四级920提高的安全实践集相关联，诸如指派交替的设备和/或计算资源用于路由关于安全过程的通信、提供关联于和/或使得web平台的一个或多个部分的解激活的信息、提供关联于和/或使得web平台的一个或多个设备和/或计算资源孤立的信息。

如参考标号951-954和961-964所示，安全评估设备165可以使得从相对较低的威胁评估级升级到相对较高的威胁评估级(例如，从第一级905到第二级910)和/或从相对较高的威胁评估级降级到相对较低的威胁评估级(例如，从第四级920到第三级915)。在某些实现方式中，安全评估设备165可以使得两个或更多个级的升级。例如，在确定威胁评估级时，安全评估设备165可以使得从第一级905升级到第四级920，而不需要使得web平台在第二级910和/或第三级915 处进行操作。

如上文所述，图9仅被提供作为示例。其他示例也是可能的并且可以不同于针对图9所述的示例。

图10是与图8所示示例过程800相关的示例实现1000的示图。图10示出了执行安全评估的示例。

如图10中的参考标号1002所示，安全评估设备165可以开始操作，其可以包括监测关于安全形势的信息，如参考标号1004所示。如参考标号1006所示，基于在监测时获得关于形势的信息，安全评估设备165可以确定安全条件(例如，与标识特定安全形势相关联的阈值)被触发，诸如检测指示针对攻击的潜在监督的web平台的扫描的阈值数量。如参考标号1008所示，安全评估设备165向查看指挥官提供关于安全条件被触发的通知。如参考标号1010所示，安全评估设备165可以通过正被触发的安全条件来确定是否达到第一级 905。在某些实现方式中，安全评估设备165可以基于向查看指挥官提供通知来接收与评估安全形势相关联的信息。如果与第一级905相关联的一个或多个标准没有被满足，则安全评估设备165可以继续监测。如果一个或多个标准被满足，则安全评估设备165可以生成指示达到第一级905的通知，如参考标号1012所示，并且可以使得一个或多个响应动作被执行。

如图10中进一步参考标号1014所示，安全评估设备165可以确定与第二级910相关联的一个或多个标准是否被正被触发的安全条件满足。如果与第二级910相关联的一个或多个标准没有被满足，则安全评估设备165可以在第一级905建立威胁评估级，并且可以继续监测。如果一个或多个标准被满足，则安全评估设备165可以将威胁评估级升级到第二级910，可以生成警告通知，如参考标号1016所示，并且可以使得一个或多个响应动作被实现。

如图10中进一步参考标号1018所示，安全评估设备165可以确定与第三级915相关联的一个或多个标准是否被正被触发的安全条件达到。如果与第三级915相关联的一个或多个标准没有被满足，则安全评估设备165可以在第二级910建立威胁评估级，并且可以继续监测。如果一个或多个标准被满足，则安全评估设备165可以将威胁评估级升级到第三级915，可以生成警告通知，如参考标号1020所示。如参考标号1022所示，安全评估设备165可以占用一个或多个指定系统管理员，并且可以使得一个或多个响应动作被实现。一个或多个指定系统管理员可以包括指定计算资源组和用于管理安全形势的特定授权(诸如，对激活备份系统的授权、对执行一个或多个防御技术的授权等)的用户集。安全评估设备165可以向一个或多个指定系统管理员提供通知、从指定系统管理员组中选择一个或多个指定系统管理员等。

如图10进一步参考标号1024所示，安全评估设备165可以确定与第四级920相关联的一个或多个标准是否被正被触发的安全条件达到。如果与第四级920相关联的一个或多个标准没有被满足，则安全评估设备165可以在第三级915建立威胁评估级，并且可以继续监测。如果一个或多个标准被满足，则安全评估设备165可以将威胁评估级升级到第四级920，可以生成警告通知，如参考标号1026所示。如参考标号1028和1030所示，安全评估设备165可以基于升级到第四级 920形成事件响应组(IRT)和/或事件管理组(IMG)。IRT可以指定事件响应恢复领导(IRRL)(例如，组长)、可以利用预指定的计算资源、可以基于IRRL的决定练习相对于一个或多个指定系统管理员进行授权的增强决定，并且可以保持活动直到安全形势被解决。 IMG可以为IRT提供通信支持并且可以练习相对于IRT进行授权的增强决定。

如图10进一步参考标号1032所示，安全评估设备165可以确定第五级925的一个或多个标准是否被正被触发的安全条件达到。如果与第五级925相关联的一个或多个标准没有被满足，则安全评估设备 165可以在第四级920建立威胁评估级，并且可以继续监测。如果一个或多个标准被满足，则安全评估设备165可以将威胁评估级升级到第五级925，可以形成紧急管理委员会(EMC)，如参考标号1036 所示。EMC可以包括关键利益相关者，诸如web平台的商业所有者、通信代表、法人代表等，并且可以练习，安全评估设备165可以练习相对于IMG进行授权的增强决定，诸如针对web平台的关闭授权。如参考标号1036进一步所示，IRT、IMG、EMC等可以保持活动直到安全形势被解决。如果安全形势没有被解决，则安全评估设备165 可以针对另一组，使得附加计算资源被提供给该组、提供附加警告通知等。当安全形势被解决时，如参考标号1038和1040所示，安全评估设备165可以生成指示安全形势被解决的一个或多个通知并且可以执行结束活动，其可以包括解散IRT、IMG、EMC等、降级到第一级 905等。

如上文所述，图10仅被提供作为示例。其他示例也是可能的并且可以不同于针对图10所述的示例。

前文公开内容提供了示例和描述，但是并未旨在于穷举实现方式或者使实现方式限于公开的精确形式。修改和变化按照以上公开内容是可能的或者可以从对实现方式的实践中加以获悉。

如这里所用，术语部件旨在于被广义地解释为硬件、固件和/或硬件和软件的组合。

这里结合阈值描述了一些实现方式，如这里所用，满足阈值可以是指值大于阈值、多于阈值、高于阈值、大于或者等于阈值、小于阈值、少于阈值、低于阈值、少于或者等于阈值、等于阈值等。

将清楚，可以在硬件、固件、硬件和软件的组合的不同形式中实施这里描述的系统和/或方法。用来实施这些系统和/或方法的实际专门化的控制硬件或者软件代码并未限制实现方式。因此，这里描述系统和/或方法的操作和行为而未参照具体软件代码，应理解，软件和硬件可以被设计用于实施基于这里的描述的系统和/或方法。

即使在权利要求中记载和/或在说明书中公开了特定特征组合，这些组合也未旨在于限制可能的实现方式的公开内容。事实上，可以用未具体地在权利要求中记载的和/或在说明书中公开的方式组合这些特征中的许多特征。虽然以下列举的每个从属权利要求可以仅直接地引用一项权利要求，但是可能的实现方式的公开内容包括与该套权利要求中的每个其它权利要求组合的每个从属权利要求。

这里使用的要素、动作或者指令不应被解释为关键或者必须的，除非明确地这样描述。也如这里所用，冠词“一个”旨在于包括一个或者多个项目并且可以与“一个或者多个”可互换地被使用。另外，如这里所用，术语“集合”旨在于包括一个或者多个项目并且可以与“一个或者多个”可互换地被使用。在旨在于仅一个项目时，使用术语“一个”或者相似言语。也如这里所用，术语“具有”等旨在于是开放式术语。另外，短语“基于”旨在于意味着“至少部分基于”，除非明确地以别的方式陈述。

Claims

1.一种用于威胁评估的方法，包括：

由设备获得关于与基于云的平台相关联的计算资源集的安全形势的信息，其中所述基于云的平台促进对所述计算资源的数量的可扩展分配，

所述信息与不间断的安全威胁或潜在的安全威胁相关，

所述信息利用一个或多个因特网安全资源被获得；

由所述设备基于关于所述安全形势的所述信息确定针对所述安全形势的威胁评估级集合中的威胁评估级；

关于所述安全形势的所述信息满足针对所述威胁评估级的阈值标准集；以及

由所述设备基于所述安全形势执行与所述威胁评估级相关联的一个或多个响应动作，

所述一个或多个响应动作包括提供关于标识所述威胁评估级的所述安全形势的警告通知，

执行所述一个或多个响应动作包括：

确定针对第一基于云的网络的第一计算资源分配以及针对第二基于云的网络的第一计算资源分配，

基于所述威胁评估级，确定针对所述第一基于云的网络的第二计算资源分配以及针对所述第二基于云的网络的第二计算资源分配，

针对所述第一基于云的网络的所述第二计算资源分配不同于针对所述第一基于云的网络的所述第一计算资源分配，

针对所述第二基于云的网络的所述第二计算资源分配不同于针对所述第二基于云的网络的所述第一计算资源分配，以及

使得针对所述第一基于云的网络的所述第二计算资源分配和针对所述第二基于云的网络的所述第二计算资源分配被实现；

其中所述第一基于云的网络和所述第二基于云的网络中的每一个包括web应用防火墙(WAF)部分和防火墙组，其中所述WAF部分为所述基于云的平台支持的web平台提供安全层，并且所述防火墙组与提供所述安全层相关联，并且其中所述第一基于云的网络和所述第二基于云的网络通过利用基于云的缩放将所述计算资源按需分配给相应的防火墙。

2.根据权利要求1所述的方法，其中所述一个或多个响应动作针对所述威胁评估级被预定义；以及

所述方法进一步包括：

基于所述威胁评估级选择所述一个或多个响应动作；以及

基于选择所述一个或多个响应动作执行所述一个或多个响应动作。

3.根据权利要求1所述的方法，其中执行所述一个或多个响应动作包括：

建立用于管理所述安全形势的组，

所述组针对所述威胁评估级被预定义；以及

使得所述组被分配用于管理所述安全形势的一定量的计算资源。

4.根据权利要求1所述的方法，其中所述基于云的平台包括多个防火墙设备；以及

其中获得关于所述安全形势的所述信息进一步包括：

从所述多个防火墙设备获得所述信息。

5.根据权利要求1所述的方法，其中所述警告通知包括标识为了与缓解所述安全形势相关联的用户分配的授权级和计算资源集的信息；以及

其中执行所述一个或多个响应动作包括：

向与缓解所述安全形势相关联的所述用户提供所述警告通知。

6.根据权利要求1所述的方法，其中执行所述一个或多个响应动作包括：

动态地重新配置所述基于云的平台的一个或多个虚拟网络。

7.根据权利要求1所述的方法，进一步包括：

获得关于所述安全形势的其他信息，

所述其他信息满足威胁评估阈值；以及

将所述威胁评估级从所述威胁评估级升级到另一威胁评估级，

所述另一威胁评估级是比所述威胁评估级更高的威胁评估级；以及

执行与所述另一威胁评估级相关联的另一一个或多个响应动作。

8.根据权利要求1所述的方法，进一步包括：

获得关于所述安全形势的其他信息，

所述其他信息不满足与所述威胁评估级相关联的威胁评估阈值；以及

将所述威胁评估级从所述威胁评估级降级到另一威胁评估级，

所述另一威胁评估级是比所述威胁评估级更低的威胁评估级；以及

9.一种包括与web平台相关联的多个基于云的网络的系统，所述多个基于云的网络的第一基于云的网络包括第一虚拟网络集，所述多个基于云的网络的第二基于云的网络包括第二虚拟网络集，所述第二虚拟网络集类似所述第一虚拟网络集的一部分，其中所述web平台由基于云的平台支持，所述基于云的平台促进对计算资源的数量的可扩展分配，所述系统包括：

一个或多个硬件处理器，被配置为：

获得关于与所述web平台相关联的安全形势的信息，

标识威胁评估级集合中对应于所述安全形势的威胁评估级；

所述威胁评估级与所述安全形势满足的阈值标准集相关联，

所述威胁评估级与关联于补救所述安全形势的响应动作集相关联；以及

使得所述响应动作集中的一个或多个响应动作被执行以补救所述安全形势，

所述一个或多个响应动作包括提供关于标识所述威胁评估级的所述安全形势的警告通知，所述一个或多个硬件处理器，在使得所述一个或多个响应动作被执行时，被配置为：

确定针对所述第一基于云的网络的第一计算资源分配以及针对所述第二基于云的网络的第一计算资源分配，

使得针对所述第一基于云的网络的所述第二计算资源分配和针对所述第二基于云的网络的所述第二计算资源分配被实现，

其中所述系统进一步包括：

web应用防火墙(WAF)部分，以及

防火墙组，

其中所述第一基于云的网络和所述第二基于云的网络中的每一个包括所述web应用防火墙(WAF)部分和所述防火墙组，其中所述WAF部分为由所述基于云的平台支持的所述web平台提供安全层，并且所述防火墙组与提供所述安全层相关联；并且其中所述第一基于云的网络和所述第二基于云的网络通过利用所述基于云的缩放将所述计算资源按需分配给相应的防火墙。

10.根据权利要求9所述的系统，其中所述一个或多个响应动作针对所述威胁评估级被预定义；以及

其中所述一个或多个硬件处理器进一步被配置为：

基于所述威胁评估级选择所述一个或多个响应动作；以及

11.根据权利要求9所述的系统，其中所述一个或多个硬件处理器进一步被配置为：

确定与执行所述一个或多个响应动作相关联的用户组；以及

向所述用户组并且在所述安全形势出现之前提供标识所述一个或多个响应动作的信息。

12.根据权利要求9所述的系统，其中所述一个或多个硬件处理器进一步被配置为：

从特定虚拟网络的安全实用工具请求关于所述安全形势的信息，

所述特定虚拟网络与所述web平台相关联；以及

基于请求所述信息从所述特定虚拟网络接收关于所述安全形势的所述信息。

13.根据权利要求9所述的系统，其中所述一个或多个硬件处理器进一步被配置为：

确定另一安全形势与另一威胁评估级相关联，

所述另一威胁评估级是比所述威胁评估级更低的威胁评估级，

所述另一安全形势在所述安全形势之前出现，

所述另一安全形势与为了所述web平台的一个或多个防火墙设备分配的第一数量的计算资源相关联；

确定所述安全形势满足与所述威胁评估级相关联的所述阈值标准集；以及

使得所述web平台的所述一个或多个防火墙设备被分配第二数量的计算资源，

所述第二数量的计算资源大于所述第一数量的计算资源。

14.根据权利要求9所述的系统，其中所述防火墙组中的防火墙被配置为提供关于所述安全形势的所述信息；以及

其中所述WAF被配置为提供关于所述安全形势的信息。

15.根据权利要求9所述的系统，其中在获得关于所述安全形势的所述信息时，所述一个或多个硬件处理器被配置为：

从一个或多个因特网资源获得关于所述安全形势的所述信息，

所述一个或多个因特网资源提供关于以下各项中的至少一项的信息：

事件，

网络流量模式，

恶意文件类型，

补丁，

恢复路径，或

攻击威胁。

16.一种存储指令的非瞬态计算机可读介质，所述指令包括：

一个或多个指令，其在由设备的一个或多个处理器执行时，使得所述一个或多个处理器：

获得关于与基于云的平台相关联的计算资源集的安全形势的信息，其中所述基于云的平台促进所述计算资源的数量的可扩展分配，

所述信息与不间断的安全威胁或潜在的安全威胁相关，

所述信息利用一个或多个因特网安全资源被获得；

基于关于所述安全形势的所述信息确定针对所述安全形势的威胁评估级集合中的威胁评估级，

所述威胁评估级集合中的每个威胁评估级与阈值标准集和

响应动作集相关联；以及

基于所述安全形势使得与所述威胁评估级相关联的一个或多个响应动作被执行，

使得所述一个或多个响应动作被执行的所述一个或多个指令包括用于执行以下步骤的一个或多个指令：

17.根据权利要求16所述的非瞬态计算机可读介质，其中所述一个或多个指令在由所述一个或多个处理器执行时，使得所述一个或多个处理器：

从与所述计算资源集相关联的虚拟网络的一个或多个安全实用工具接收关于所述安全形势的信息。

18.根据权利要求16所述的非瞬态计算机可读介质，其中使得所述一个或多个处理器使得所述一个或多个响应动作被执行的所述一个或多个指令使得所述一个或多个处理器：

向用户组提供关于所述安全形势的警告通知，

所述用户组关于所述威胁评估级、用于管理与所述威胁评估级相关联的一个或多个安全形势的授权级、以及用于管理所述一个或多个安全形势的计算资源分配被预先精简。

19.根据权利要求16所述的非瞬态计算机可读介质，其中所述一个或多个指令在由所述一个或多个处理器执行时，进一步使得所述一个或多个处理器：

接收关于所述计算资源集的一个或多个检测到的探测的信息；

确定所述一个或多个检测到的探测对应于所述潜在的安全威胁；以及

其中使得所述一个或多个处理器确定所述威胁评估级的所述一个或多个指令使得所述一个或多个处理器：

基于确定所述一个或多个检测到的探测对应于所述潜在的安全威胁，确定所述威胁评估级。

20.根据权利要求16所述的非瞬态计算机可读介质，其中所述一个或多个指令在由所述一个或多个处理器执行时，进一步使得所述一个或多个处理器：

获得关于所述安全形势的其他信息；以及

基于关于所述安全形势的所述其他信息，从所述威胁评估级升级到第一另一威胁评估级，

所述第一另一威胁评估级是比所述威胁评估级更高的威胁评估级，或者

基于关于所述安全形势的所述其他信息，从所述威胁评估级降级到第二另一威胁评估级，

所述第二另一威胁评估级是比所述威胁评估级更低的威胁评估级。