CN107508838A - 一种访问控制方法、装置和系统 - Google Patents

Abstract

本发明公开了访问控制方法、装置和系统。访问控制方法包括：获取用户的第一访问行为；判断第一访问行为是否为可疑行为，若是，则将用户确定为可疑用户；获取可疑用户在第一访问行为之后的第二访问行为；判断第二访问行为是否为第一访问行为的重复行为或后续行为，若是，则将可疑用户确定为危险用户；将危险用户的所有访问请求转发给安全服务器。该访问控制方法可以提高服务器的安全性。

Description

一种访问控制方法、装置和系统

技术领域

本发明涉及互联网安全技术领域，具体涉及一种访问控制方法、装置和系统。

背景技术

随着互联网技术的飞速发展，越来越多的服务商通过网络向用户提供信息和服务，这种模式极大地提高了服务的便捷性。但是，随之而来的信息安全问题也为这种服务模式造成了巨大隐患。由于某些用户可能通过对服务器的非法访问，实现获取其他用户的个人信息、对服务器系统进行攻击或取得经济收益等非法目的，因此对用户和服务商来说都是极大的威胁。

发明内容

有鉴于此,本发明提供一种访问控制方法、装置和系统，能够将可能带来安全隐患的访问行为引导至安全服务器，从而提高了实际业务服务器的安全性。

第一方面，本申请提供了一种访问控制方法，该方法包括：

获取用户的第一访问行为；

判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

获取所述可疑用户在所述第一访问行为之后的第二访问行为；

判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

将所述危险用户的所有访问请求转发给安全服务器。

可选地，第一访问行为为单步访问行为。

可选地，可疑行为包括：爬取网页内容、扫描端口、扫描网页、扫描业务系统和手工渗透业务系统中的至少一项。

可选地，后续行为包括：更改网页内容、修改/创建用户帐号、植入木马后门、控制服务器和拖库中的至少一项。

可选地，在将所述用户确定为可疑用户后，访问控制方法还包括：获取所述可疑用户的用户标识信息；

获取所述可疑用户在所述第一访问行为之后的第二访问行为，包括：

基于所述用户标识信息，获取所述可疑用户在预设时间段内的第二访问行为，其中，所述预设时间段的起始时间为所述第一访问行为的结束时间。

可选地，访问控制方法还包括：

将所述可疑用户的用户标识信息与危险用户数据库中的用户标识信息进行匹配；

若匹配成功，则将所述可疑用户确定为所述危险用户。

可选地，用户标识信息包括用户身份信息、网络地址信息和用户设备信息中的至少一项。

可选地，安全服务器上部署有伪业务系统。

第二方面，本申请提供了一种访问控制装置，该装置包括：

第一获取模块，用于获取用户的第一访问行为；

第一判断模块，用于判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

第二获取模块，用于获取所述可疑用户在所述第一访问行为之后的第二访问行为；

第二判断模块，用于判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

转发模块，用于将所述危险用户的所有访问请求转发给安全服务器。

第三方面，本申请提供了一种访问控制系统，该系统包括：访问控制装置、业务服务器和安全服务器；

所述访问控制装置用于：

获取用户对所述业务服务器的第一访问行为；

判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

获取所述可疑用户在所述第一访问行为之后，对所述业务服务器的第二访问行为；

判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

将所述危险用户的所有访问请求转发给所述安全服务器，其中，所述安全服务器上部署有伪业务系统。

本申请提供的访问控制方法、装置和系统，可以首先获取用户的第一访问行为，然后判断该第一访问行为是否为可疑行为，若是，则可以将这个用户确定为可疑用户，并继续监控其之后的第二访问行为。如果判断出第二访问行为是上述第一访问行为的重复行为或后续行为，则确认该用户为危险用户，并将该危险用户的所有访问请求转发给安全服务器。本发明通过对访问行为进行监控和转移，可以避免危险用户的访问行为可能带来的安全威胁，从而提高了实际业务服务器的可靠性和安全性。

附图说明

通过以下参照附图对本发明实施例的描述，本发明的上述以及其它目的、特征和优点将更为清楚，在附图中：

图1示出了本发明一个实施例的访问控制方法的流程图；

图2示出了本发明另一个实施例的访问控制方法的流程图；

图3示出了本发明一个实施例的访问控制装置的结构示意图；

图4示出了本发明一个实施例的访问控制装置系统的结构示意图。

具体实施方式

以下基于实施例对本发明进行描述，但是本发明并不仅仅限于这些实施例。

以上所述仅为本发明的优选实施例，并不用于限制本发明，对于本领域技术人员而言，本发明可以有各种改动和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

图1是本发明一个实施例的访问控制方法的流程图。

如图1所示，在步骤101中，获取用户的第一访问行为。

在本实施例中，执行访问控制方法的终端设备可以是实际向用户提供信息或服务的业务服务器，也可以是连接在用户和业务服务器之间的网桥。网桥也叫桥接器，是连接两个局域网的一种存储/转发设备，它能将一个大的局域网分割为多个网段，或将两个以上的局域网互联为一个逻辑局域网，使局域网上的所有用户都可访问服务器。本实施例中的网桥可以是硬件网桥，也可以是软件网桥。

执行访问控制方法的终端设备可以通过有线或无线的方法与用户使用的终端设备(例如手机、平板电脑或笔记本电脑等)建立网络连接，并接收用户向业务服务器发起的访问请求。在接收到用户的访问请求后，可以直接对该访问请求进行代码分析，以获取其所对应的第一访问行为；也可以对该访问请求具体执行的访问行为进行监控，以获取第一访问行为。

在步骤102中，判断第一访问行为是否为可疑行为，若是，则将用户确定为可疑用户。

在获取到用户的第一访问行为之后，可以进一步对第一访问行为进行判断，以确定其是否为可疑行为。其中，可疑行为是指那些有可能给业务服务器带来安全威胁的访问行为。具体地，可以由管理者根据个人经验判断第一访问行为是否为可疑行为，也可以预先建立一个可疑行为数据库，然后将第一访问行为与该数据库中的行为进行匹配，若匹配成功，则可以认为第一访问行为为可疑行为。在判断出第一访问行为是可疑行为后，可以进一步将执行该可疑行为的用户确定为可疑用户。

在步骤103中，获取可疑用户在第一访问行为之后的第二访问行为。

由于可疑用户只是对服务器安全的威胁性比较大，但不是一定会对业务服务器执行非法访问行为。因此，在确定出可疑用户后，需要对其后续的访问行为进行进一步监控。也就是说，需要获取可疑用户在第一访问行为之后的第二访问行为。具体的获取方法可以如步骤101中描述的方法执行，在此不再赘述。

在步骤104中，判断第二访问行为是否为第一访问行为的重复行为或后续行为，若是，则将可疑用户确定为危险用户。

在获取第二访问行为之后，需要进一步判断第二访问行为是否为第一访问行为的重复行为或后续行为。如果第二访问行为是第一访问行为的重复行为，则说明该可疑用户在重复地执行一可疑行为，则该用户的危险性明显提高，因此可以将其确定为危险用户。同时，如果第二访问行为是第一访问行为的后续行为，则说明该可疑用户在执行可疑行为之后，还接着这个可疑行为执行更进一步的可疑行为而不是其他非可疑行为，则该用户的危险性也明显提高，因此也可以将其确定为危险用户。

在步骤105中，将危险用户的所有访问请求转发给安全服务器。

在确定出危险用户后，如果还接收到该危险用户的其他访问请求，则将所有的访问请求转发给安全服务器。也就是说，危险用户只能访问安全服务器，而不再有机会访问业务服务器，因此明显提高了业务服务器的安全性。

可选地，安全服务器上部署有伪业务系统，伪业务系统可以是对实际业务系统的仿真，与实际业务系统具有基本相同内容和功能。安全服务器可以是云服务器，也可以是硬件服务器。

可选地，第一访问行为为单步访问行为。单步访问行为是一种相对简单的访问行为，其仅对业务服务器执行一种行为。在确定可疑用户时，由于需要监控所有用户的第一访问行为，因此只获取用户的单步访问行而不是所有访问行为，可以避免对大量安全访问行为的非必要监控，从而减少系统资源消耗。

可选地，可疑行为包括：爬取网页内容、扫描端口、扫描网页、扫描业务系统和手工渗透业务系统中的至少一项。本实施例中的可疑行为是一些单步可疑行为。例如，爬取网页内容可以是通过网络爬虫获取网页内容或网页上运行的脚本的行为。扫描端口可以包括扫描一个或少数几个端口的行为，对目标计算机进行端口扫描，有可能确定出该计算机的漏洞。扫描网页可以是对获取的网页内容进行策略性测试的行为，以获取网页信息。扫描业务系统可以是对提供业务的整个系统进行扫描，以获取业务系统的漏洞或弱点的行为。手工渗透业务系统可以是指那些不使用自动化工具而人为手动地获取业务系统漏洞或入侵业务系统的行为。由于这些行为都有可能造成安全隐患，因此可以作为可疑行为。

可选地，后续行为包括：更改网页内容、修改/创建用户帐号、植入木马后门、控制服务器和拖库中的至少一项。如果在可疑行为中获取到了网页内容，那么该可疑行为的后续行为可以是原始网页内容进行非法更改。如果在扫描端口、扫描业务系统或手工渗透业务系统的过程中发现了某些漏洞，那么该可疑行为的后续行为可以是利用漏洞修改/创建用户帐号、植入木马后门、控制服务器和拖库中的至少一项等。

本实施例提供的访问控制方法，可以首先获取用户的第一访问行为，然后判断该第一访问行为是否为可疑行为，若是，则可以将这个用户确定为可疑用户，并继续监控其之后的第二访问行为。如果判断出第二访问行为是上述第一访问行为的重复行为或后续行为，则确认该用户为危险用户，并将该危险用户的所有访问请求转发给安全服务器。本发明通过对访问行为进行监控和转移，可以避免危险用户的访问行为可能带来的安全威胁，从而提高了实际业务服务器的可靠性和安全性。

图2是本发明另一个实施例的访问控制方法的流程图。

如图2所示，在步骤201中，获取用户的第一访问行为。

在步骤202中，判断第一访问行为是否为可疑行为，若是，则将用户确定为可疑用户。

在本实施例中，步骤201和202分别与图1中的步骤101和102相同，在此不再赘述。

在步骤203中，获取可疑用户的用户标识信息。

在本实施例中，确定出可疑用户后，可以进一步获取可疑用户的身份标识信息。例如，可以从用户的访问请求中读取出用户的标识信息。可选地，用户标识信息可以包括用户身份信息、网络地址信息和用户设备信息中的至少一项。其中，用户身份信息可以是用户注册的用户名、手机号或证件信息等。网络地址信息可以是用户访问业务服务器时使用的IP地址(Internet Protocol Address，又译为网际协议地址)信息。用户设备信息可以是用户使用的终端设备的唯一识别码，例如手机的IMEI(International Mobile EquipmentIdentity，移动设备国际身份码)，个人计算机的MAC(Media Access Control，介质访问控制)地址等。

在步骤204中，基于用户标识信息，获取可疑用户在预设时间段内的第二访问行为。

在本实施例中，可以首先确定用户的用户标识信息，如果用户标识信息与可疑用户的用户标识信息相同，则进一步获取该用户在预设时间段内的第二访问行为，否则可以获取该用户的第一访问行为。

需要说明的是，上述预设时间段的起始时间可以是第一访问行为的结束时间。也就是说，第二访问行为需要发生在第一访问行为之后，并且不能和第一访问行为间隔太长时间，以确保对访问行为监控的时效性。具体预设时间段的时间跨度，可以根据实际需求进行设置，本申请对其不作限定。

在步骤205中，判断第二访问行为是否为第一访问行为的重复行为或后续行为，若是，则将可疑用户确定为危险用户。

在本实施例中，步骤205与图1中的步骤104相同，在此不再赘述。

本实施例还包括与步骤204和205并列的步骤206和207。在本实施例中，除了通过第二访问行为确定危险用户，还提供了另一种确定危险用户的方式。

在步骤206中，将可疑用户的用户标识信息与危险用户数据库中的用户标识信息进行匹配。

在本实施例中，可以将可疑用户的用户标识信息与危险用户数据库中的用户标识信息进行匹配，以确定危险用户数据库中是否包含可疑用户的用户标识信息。其中，危险用户数据库中可以保存有之前已经被确定为危险用户的用户标识信息。危险用户数据库中的用户标识信息，既可以包括根据之前的历史经验积累的数据，也可以包括不断更新的新获取的数据。例如，在上述步骤205确定出危险用户后，可以进一步将该危险用户的用户标识信息保存在危险用户数据库中。

在步骤207中，若匹配成功，则将可疑用户确定为危险用户。

如果可疑用户的用户标识信息与危险用户数据库中的用户标识信息匹配成功，则说明可疑用户与某个危险用户是同一个用户，因此可以将该可疑用户确定为危险用户。

在步骤208中，将危险用户的所有访问请求转发给安全服务器。

在本实施例中，步骤208与图1中的步骤105相同，在此不再赘述。

本实施例提供的访问控制方法，与图1中实施例不同之处在于可以获取可疑用户的用户标识信息。之后，一方面可以根据用户标识信息获取第二访问行为，提高了获取第二访问行为的便捷性和准确性。另一方面可以根据用户标识信息，将可疑用户与危险用户直接进行匹配，能够更加快速地确定危险用户。

图3示出了本发明一个实施例的访问控制装置的结构示意图。如图3所示，本实施例的访问控制装置包括：第一获取模块310、第一判断模块320、第二获取模块330、第二判断模块340和转发模块350。

第一获取模块310，用于获取用户的第一访问行为。

第一判断模块320，用于判断第一访问行为是否为可疑行为，若是，则将用户确定为可疑用户。

第二获取模块330，用于获取可疑用户在第一访问行为之后的第二访问行为。

第二判断模块340，用于判断第二访问行为是否为第一访问行为的重复行为或后续行为，若是，则将可疑用户确定为危险用户。

转发模块350，用于将危险用户的所有访问请求转发给安全服务器。

可选地，第一访问行为为单步访问行为。

可选地，可疑行为包括：爬取网页内容、扫描端口、扫描网页、扫描业务系统和手工渗透业务系统中的至少一项。

可选地，后续行为包括：更改网页内容、修改/创建用户帐号、植入木马后门、控制服务器和拖库中的至少一项。

可选地，访问控制装置还包括：第三获取模块，用于获取可疑用户的用户标识信息。

第二获取模块330，进一步用于基于用户标识信息，获取可疑用户在预设时间段内的第二访问行为，其中，预设时间段的起始时间为第一访问行为的结束时间。

可选地，访问控制装置还包括：

匹配模块，用于将可疑用户的用户标识信息与危险用户数据库中的用户标识信息进行匹配。

确定模块，用于在可疑用户的用户标识信息与危险用户数据库中的用户标识信息匹配成功时，将可疑用户确定为危险用户。

可选地，用户标识信息包括用户身份信息、网络地址信息和用户设备信息中的至少一项。

可选地，安全服务器上部署有伪业务系统。

本实施例提供的访问控制装置可以设置在业务服务器中，也可以作为软件网桥或设置在硬件网桥中，其通过先后获取用户的第一访问行为和第二访问行为来确定危险用户，然后将危险用户的所有访问请求转发给安全服务器，提高了实际业务服务器的可靠性和安全性。

图4示出了本发明一个实施例的访问控制装置系统的结构示意图。如图4所示，访问控制系统可以包括：访问控制装置410、业务服务器420和安全服务器430。访问控制装置410与业务服务器420和安全服务器430可以分别通过网络连接。

访问控制装置410用于：

获取用户对业务服务器420的第一访问行为；

判断第一访问行为是否为可疑行为，若是，则将用户确定为可疑用户；

获取可疑用户在第一访问行为之后，对业务服务器420的第二访问行为；

判断第二访问行为是否为第一访问行为的重复行为或后续行为，若是，则将可疑用户确定为危险用户；

将危险用户的所有访问请求转发给安全服务器430，其中，安全服务器430上部署有伪业务系统。

本实施例提供的访问控制系统，可以将危险用户的所有访问请求转发给安全服务器，提高了业务服务器的可靠性和安全性。

Claims (10)

1.一种访问控制方法，其特征在于，包括：

获取用户的第一访问行为；

判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

获取所述可疑用户在所述第一访问行为之后的第二访问行为；

判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

将所述危险用户的所有访问请求转发给安全服务器。

2.根据权利要求1所述的方法，其特征在于，所述第一访问行为为单步访问行为。

3.根据权利要求2所述的方法，其特征在于，所述可疑行为包括：爬取网页内容、扫描端口、扫描网页、扫描业务系统和手工渗透业务系统中的至少一项。

4.根据权利要求3所述的方法，其特征在于，所述后续行为包括：更改网页内容、修改/创建用户帐号、植入木马后门、控制服务器和拖库中的至少一项。

5.根据权利要求1所述的方法，其特征在于，在将所述用户确定为可疑用户后，还包括：获取所述可疑用户的用户标识信息；

获取所述可疑用户在所述第一访问行为之后的第二访问行为，包括：

基于所述用户标识信息，获取所述可疑用户在预设时间段内的第二访问行为，其中，所述预设时间段的起始时间为所述第一访问行为的结束时间。

6.根据权利要求5所述的方法，其特征在于，还包括：

将所述可疑用户的用户标识信息与危险用户数据库中的用户标识信息进行匹配；

若匹配成功，则将所述可疑用户确定为所述危险用户。

7.根据权利要求5所述的方法，其特征在于，所述用户标识信息包括用户身份信息、网络地址信息和用户设备信息中的至少一项。

8.根据权利要求1至7任一项所述的方法，其特征在于，所述安全服务器上部署有伪业务系统。

9.一种访问控制装置，其特征在于，包括：

第一获取模块，用于获取用户的第一访问行为；

第一判断模块，用于判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

第二获取模块，用于获取所述可疑用户在所述第一访问行为之后的第二访问行为；

第二判断模块，用于判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

转发模块，用于将所述危险用户的所有访问请求转发给安全服务器。

10.一种访问控制系统，其特征在于，包括：访问控制装置、业务服务器和安全服务器；

所述访问控制装置用于：

获取用户对所述业务服务器的第一访问行为；

判断所述第一访问行为是否为可疑行为，若是，则将所述用户确定为可疑用户；

获取所述可疑用户在所述第一访问行为之后，对所述业务服务器的第二访问行为；

判断所述第二访问行为是否为所述第一访问行为的重复行为或后续行为，若是，则将所述可疑用户确定为危险用户；

将所述危险用户的所有访问请求转发给所述安全服务器，其中，所述安全服务器上部署有伪业务系统。