CN107634931A - 异常数据的处理方法、云端服务器、网关及终端 - Google Patents

Abstract

本发明公开了一种异常数据的处理方法，包括：在接收到终端及/或网关上传的异常数据时，云端服务器对异常数据进行安全性检测，其中，异常数据为与终端及/或网关预存的第一特征库不匹配的数据；在异常数据为危险数据时，云端服务器获取异常数据的处理策略；云端服务器将处理策略发送至终端及/或网关，以供终端及/或网关根据处理策略进行相应的处理操作。本发明还公开了一种云端服务器、网关和终端。本发明在第一特征库更新不及时的情况下，保证网关以及终端不会错过不与预存的第一特征库不匹配的数据，使得网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性。

Description

异常数据的处理方法、云端服务器、网关及终端

技术领域

本发明涉及互联网技术领域，尤其涉及一种异常数据的处理方法、云端服务器、网关及终端。

背景技术

随着网络技术的发展带来了很多的安全问题，例如从操作系统到应用程序不停被爆出各种高危漏洞，或者运行的在终端的恶意软件，该恶意软件在运行时，可以盗取用户敏感信息，例如游戏账号、网银账号、公司机密信息等，恶意软件可以在用户电脑植入后门来控制用户电脑做非法事情。黑客的攻击手法越来越产业化，针对漏洞的利用瞬间就能完成，并大规模的进行扫描、渗透进而控制，攻击手法也越来越自动化和智能化，能快速的制造出针对杀毒软件的免杀样本，绕过沙盒检测的恶意程序。

现有技术中往往在网关设置特征库，网关将提取的流量特征与预存的特征库中的特征进行比对，在流量特征与预存的特征库中的特征匹配时，则按照预设的处理策略进行相应的操作，例如对于恶意域名或网址进行拦截，但由于安全网关设备中预存的特征库往往是根据现有的流量等数据生成的，针对未知的数据可能无法识别，往往在出现新的特征时通过人工维护该特征库，在时间上存在一定的滞后性，特征库无法及时更新，从而当有恶意攻击行为时，不能够准确将其识别出来，使得在互联网数据交互时安全性较低。

发明内容

本发明的主要目的在于提出一种终端控制脚本的生成方法和装置，旨在解决现有技术中在互联网数据交互时安全性较低的技术问题。

为实现上述目的，本发明提供一种异常数据的处理方法，所述异常数据的处理方法包括以下步骤：

在接收到终端及/或网关上传的异常数据时，云端服务器对所述异常数据进行安全性检测，其中，所述异常数据为与所述终端及/或网关预存的第一特征库不匹配的数据；

在所述异常数据为危险数据时，所述云端服务器获取所述异常数据的处理策略；

所述云端服务器将所述处理策略发送至所述终端及/或网关，以供所述终端及/或网关根据所述处理策略进行相应的处理操作。

可选地，异常数据的处理方法还包括步骤：

在所述异常数据为危险数据时，所述云端服务器提取所述异常数据的特征，并将所述特征添加至预存的第二特征库；

所述云端服务器将所述特征下发至与所述云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

可选地，所述异常数据的处理方法还包括步骤：

所述云端服务器实时或定时对预设的外部环境数据进行分析，以提取特征；

在提取的所述特征与预存的第二特征库中的特征不匹配时，所述云端服务器将提取的所述特征添加至所述第二特征库；

所述云端服务器将提取的所述特征下发至与所述云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

此外，为实现上述目的，本发明还提出一种异常数据的处理方法，所述异常数据的处理方法包括步骤：

在检测到用户流量时，网关将所述用户流量与预存的第一特征库中的特征进行比对；

在所述用户流量与所述第一特征库中的特征不匹配时，所述网关将所述用户流量作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述网关；

所述网关根据接收到的所述处理策略进行相应的处理操作。

此外，为实现上述目的，本发明还提出一种异常数据的处理方法，所述异常数据的处理方法包括步骤：

终端实时或定时获取其运行数据，并将所述运行数据与预存的第一特征库中的特征进行比对；

在所述运行数据与所述第一特征库中的特征不匹配时，所述终端将所述运行数据作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述终端；

所述终端根据接收到的所述处理策略进行相应的处理操作。

此外，为实现上述目的，本发明还提出一种云端服务器，所述云端服务器包括：

检测模块，用于在接收到终端及/或网关上传的异常数据时，对所述异常数据进行安全性检测，其中，所述异常数据为与所述终端及/或网关预存的第一特征库不匹配的数据；

第一获取模块，用于在所述异常数据为危险数据时，获取所述异常数据的处理策略；

第一发送模块，用于将所述处理策略发送至所述终端及/或网关，以供所述终端及/或网关根据所述处理策略进行相应的处理操作。

可选地，所述云端服务器还包括：

第一提取模块，用于在所述异常数据为危险数据时，提取所述异常数据的特征；

第一添加模块，用于将所述特征添加至预存的第二特征库；

所述第一发送模块，还用于将所述特征下发至与所述第一发送模块所在的云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

可选地，所述云端服务器还包括：

第二提取模块，用于实时或定时对预设的外部环境数据进行分析，以提取特征；

第二添加模块，用于在提取的所述特征与预存的第二特征库中的特征不匹配时，所述云端服务器将提取的所述特征添加至所述第二特征库；

所述第一发送模块，还用于将提取的所述特征下发至与所述第一发送模块所在的云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

此外，为实现上述目的本发明还提出一种网关，所述网关包括：

第一比对模块，用于在检测到用户流量时，将所述用户流量与预存的特征库中的特征进行比对；

第二发送模块，用于在所述用户流量与所述特征不匹配时，将所述用户流量作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述网关；

第一处理模块，用于根据接收到的所述处理策略进行相应的处理操作。

此外，为实现上述目的本发明还提出一种终端，所述终端包括：

第二获取模块，用于实时或定时获取其运行数据；

第二比对模块，用于将所述运行数据与预存的特征库中的特征进行比对；

第三发送模块，用于在所述运行数据与预存的特征库中的特征不匹配时，将所述运行数据作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述终端；

第二处理模块，用于根据接收到的所述处理策略进行相应的处理操作。

本发明提出的异常数据的处理方法、云端服务器、网关及终端，终端及/或网关在检测到的数据与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至终端及/或网关，终端及/或网关根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证网关以及终端不会错过不与预存的第一特征库不匹配的数据，使得网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性。

附图说明

图1为本发明异常数据的处理方法第一实施例的流程示意图；

图2为本发明异常数据的处理方法中云端服务、网关以及终端的交互示意图；

图3为本发明异常数据的处理方法第三实施例的流程示意图；

图4为本发明异常数据的处理方法第四实施例的流程示意图；

图5为本发明异常数据的处理方法第五实施例的流程示意图；

图6为本发明云端服务器第一实施例的功能模块示意图；

图7为本发明云端服务器第二实施例的功能模块示意图；

图8为本发明云端服务器第三实施例的功能模块示意图；

图9为本发明网关一实施例的功能模块示意图；

图10为本发明终端一实施例的功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提供一种异常数据的处理方法。

参照图1，图1为本发明异常数据的处理方法第一实施例的流程示意图。

本实施例提出一种异常数据的处理方法，该异常数据的处理方法包括：

步骤S10，在接收到终端及/或网关上传的异常数据时，云端服务器对异常数据进行安全性检测，其中，异常数据为与终端及/或网关预存的第一特征库不匹配的数据；

网关对终端发送的流量数据进行监控，并提取流量数据中的特征数据，如域名、URL(Uniform Resource Locator，统一资源定位符)以及IP地址，该IP地址可包括源IP地址以及目标IP地址。第一安全特征库中可包括黑名单以及白名单，则在获取的特征与黑名单以及白名单均不匹配时，说明该特征数据存在异常，即可作为异常数据；在流量数据中包含文件数据时，网关可能无法提取特征，则可直接将该数据作为异常数据上传时云端服务器。

云端服务器针对不同类型的异常数据采用不同的安全性检测方式，例如：1)在异常数据为域名时，可直接获取该域名的WHOIS信息，该WHOIS信息包含域名的IP以及域名所有者的信息，该域名所有者的信息可包括注册者的联系信息如邮箱，可在域名数据库中查询该注册者的联系信息对应的注册域名，在该注册者的联系信息对应的注册域名中恶意域名的数量大于预设阈值，则认为该域名为恶意域名，即该异常数据为危险数据；也可通过其它方式检测域名是否为恶意域名，例如同一IP在预设时间间隔内为解析为多个域名，该解析得到的域名均为恶意域名；2)在异常数据为多个URL时可进行黑链的检测，以确定用户访问的网页中是否存在黑链，例如网页的外链对应的URL以及网页的URL对应的类型相差较大时，则可判定该网页中存在黑链，即该异常数据为危险数据；3)在异常数据为文件时，可对文件进行沙盒运行，并在沙盒出口处提取对应的特征数据，对该特征数据进行安全性检测如将该特征数据与云端预存的第二特征库进行比对，以确定该文件是否为恶意文件，在该文件为恶意文件时，该异常数据为危险数据。

终端也可对自身的运行数据如终端的配置、运行代码、运行的软件、进程、内存以及注册表进行监控，将终端的运行产生的文件、进程或者注册表等与预存的白名单及或黑名单进行比对，在不匹配时直接作为异常数据上传至云端服务器，或者，对于一些异常代码例如格式不明确的代码上传至云端服务器进行检测。终端的预存的第一特征库包括预设的黑名单及/或白名单。

步骤S20，在异常数据为危险数据时，云端服务器获取异常数据的处理策略；

步骤S30，云端服务器将处理策略发送至终端及/或网关，以供终端及/或网关根据处理策略进行相应的处理操作。

由于不同类型的异常数据有不同的处理策略，则可先确定异常数据的类型，根据异常数据的类型确定对应的处理策略，例如：1)在异常数据为网页中存在黑链，则对应的处理策略为对被挂黑链的网页返回的内容进行过滤，清除掉黑链对应的内容，同时下发清理动作到终端，清除被挂黑链网页中的黑链；2)对于敏感文件泄漏的异常数据，可限定对URL的访问；3)对于恶意域名或者恶意URL，对应的处理策略可为拦截；4)对于网页后门，则对应的处理策略为拦截存在网页后门的网页对应的URL，将该处理策略下发至网关，阻止黑客利用该网页后门对服务器进行控制，同时向终端下发对应的处理策略如对后门文件进行隔离或者删除。

本实施例公开的技术方案中，网关、终端以及云端服务器之间进行联动如图2所示，终端及/或网关检测到异常数据时，上传至云端服务器进行异常数据的安全性检测，云端服务器在安全性检测后产生对应的处理策略下发至网关及/或终端，云端服务器下发至终端的处理策略可经过网关也可不经过网关。

云端服务基于异常数据生成的处理策略中，有的仅需要网关单独执行有的需要终端配合执行，在需要终端配合执行的处理策略例如针对网页后门需要网关对网页后门进行拦截同时需要终端对后门文件进行删除或者隔离，此时可将处理策略均发送至网关，并通过网关将终端对应的处理策略下发至终端，也可分别处理策略发送至网关以及终端。

可以理解的是，在异常数据为安全数据时，云端服务可向终端及/或网关下发数据安全的信息，终端及/或网关在接收到该安全信息时，可按正常手段对异常数据进行处理，例如对正常的域名以及IP直接进行正常的数据转发即可。

本实施例提出的异常数据的处理方法，终端及/或网关在检测到的数据与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至终端及/或网关，终端及/或网关根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证网关以及终端不会错过不与预存的第一特征库不匹配的数据，使得网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

进一步的，基于第一实施例提出本发明异常数据的处理方法第二实施例，在本实施例中，本发明异常数据的处理方法还包括步骤：

在异常数据为危险数据时，云端服务器提取异常数据的特征，并将特征添加至预存的第二特征库；

云端服务器将特征下发至与所述云端服务器连接的终端及/或网关，以供终端及/或网关将接收到的特征添加至第一特征库。

云端服务器提取异常数据的特征的步骤可在执行获取异常数据的处理策略的同时执行，也可在获取异常数据的处理策略的步骤的之前或之后执行。云端服务器可在下发处理策略的同时将对应的特征同时下发至终端及/或网关，终端及/或网关在接收到特征和处理策略时，将接收到的特征和处理策略关联保存，并将接收到的特征添加至第一特征库。

在异常数据为危险数据时，可将该异常数据对应的特征下发至终端及/或网关，以供终端及/或网关更新预存的第一特征库，例如在异常数据为域名或者IP时，直接将该域名或者IP下发至终端及/或网关，终端及/或网关将接收到的域名或者IP添加至第一特征库的黑名单中。可以理解的是，在异常数据为正常数据时，也可将该异常数据对应的特征添加至预存的第一特征库的白名单中，以提高对数据筛查的效率。

本实施例公开的方案，可在云端提取异常数据的特征并更新云端的第二特征库以及终端及/或网关的第二特征库，使得在一个终端或者网关发现未知的威胁后，能快速得应用到其它的终端或者网关，保证了特征库的更新，使得云端、网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时通过特征库可能就能对异常数据进行处理，提高数据的处理效率。

进一步地，参照图3，基于第一实施例提出本发明异常数据的处理方法第三实施例，在本实施例中，本发明异常数据的处理方法还包括步骤：

步骤S40，云端服务器实时或定时对预设的外部环境数据进行分析，以提取特征；

外部环境数据可由开发人员或者用户根据需要进行预设，例如该外部环境数据可包括黑产、暗网、黑客论坛、搜索引擎以及众测平台，如在合作的搜索引擎中输入预设的关键词，并获取搜索引擎返回的结果，以获取黑链的相关信息，例如在搜索引擎输入“site:gov.cn六合彩”；或者通过合作或者网页爬取的方式，对其它服务器如网站服务器进行漏洞检测或者网页后门等的检测，以获取最新的特征信息如漏洞信息泄露、配置文件泄露以及网页后门等；也可抓取其它合作服务器的运行数据，并对运行数据进行分析，以进行特征的提取。

步骤S50，在提取的特征与预存的第二特征库中的特征不匹配时，云端服务器将提取的特征添加至第二特征库；

步骤S60，云端服务器将提取的特征下发至与所述云端服务器连接的终端及/或网关，以供终端及/或网关将接收到的特征添加至第一特征库。

在提取的特征为新的特征即与预存的第二特征库中的特征不匹配时，将该特征下发至终端及/或网关，终端及/或网关根据接收到特征更新第一特征库。

本实施例提出的方案中，服务器可主动通过预设的外部环境数据提取最新的特征，以更新自身的第二特征库以及终端和网关的第一特征库，通过云端服务器对外部环境数据进行分析，将发现的特征应用于并不知道自身处于威胁之中的终端和网关，保证特征库的及时更新，使得互联网数据交互更加安全。

参照图4，图4为本发明异常数据的处理方法第四实施例，在本实施例中，异常数据的处理方法包括步骤：

步骤S70，在检测到用户流量时，网关将用户流量与预存的第一特征库中的特征进行比对；

本实施例中，网关在检测到用户流量时，直接提取用户流量与预存的第一特征库中的特征进行比对，该第一特征库可包括黑名单及/或白名单，以确定第一特征库中与用户流量不匹配的特征。在用户流量中包含文件数据时，可直接将该文件数据，直接将该文件数据作为异常数据上传时云端服务器。

步骤S80，在用户流量与第一特征库中的特征不匹配时，网关将用户流量作为异常数据发送至云端服务器，其中，云端服务器对接收到的异常数据进行安全性检测，并在异常数据为危险数据时，云端服务器将异常数据的处理策略下发至网关；

步骤S90，网关根据接收到的处理策略进行相应的处理操作。

本实施例中云端服务器对异常数据的安全性检测的过程与本发明异常数据的处理方法的第一实施例相似，在此不再赘述。网关在接收到服务器下发的处理策略时进行相应的处理即可，例如对恶意域名以及恶意IP进行拦截操作，对于某些需要下发至终端处理的处理策略，则需要网关转发至终端进行处理。

本实施例提出的异常数据的处理方法，网关在检测到的用户流量的特征与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至网关，网关根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证网关不会错过不与预存的第一特征库不匹配的数据，使得网关对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

在本发明异常数据的处理方法第四实施例中，若网关接收到云端服务器下发的特征，将接收到的特征添加至第一特征库中。云端服务器向网关下发的特征可包括主动获取的特征以及被动获取的特征，被动获取的特征可为在异常数据为危险数据时，云端服务器提取异常数据的特征，主动获取的特征可为云端服务器实时或定时对预设的外部环境数据进行分析提取得到的特征，具体参见本发明异常数据的处理方法的第二实施例和第三实施例，在此不再赘述。

参照图5，图5为本发明异常数据的处理方法第五实施例，在本实施例中，异常数据的处理方法包括步骤：

步骤S100，终端实时或定时获取其运行数据，并将运行数据与预存的第一特征库中的特征进行比对；

终端也可对自身的运行数据如终端的配置、运行代码、运行的软件、进程、内存以及注册表进行监控，将终端的运行产生的文件、进程或者注册表等与预存的白名单及或黑名单进行比对，在不匹配时直接作为异常数据上传至云端服务器，或者，对于一些异常代码例如格式不明确的代码上传至云端服务器进行检测。终端的预存的第一特征库包括预设的黑名单及/或白名单。

步骤S110，在运行数据与第一特征库中的特征不匹配时，终端将运行数据作为异常数据发送至云端服务器，其中，云端服务器对接收到的异常数据进行安全性检测，并在异常数据为危险数据时，云端服务器将异常数据的处理策略下发至终端；

步骤S120，终端根据接收到的处理策略进行相应的处理操作。

本实施例中云端服务器对异常数据的安全性检测的过程与本发明异常数据的处理方法的第一实施例相似，在此不再赘述。网关在接收到服务器下发的处理策略时进行相应的处理即可，例如对恶意进程或者恶意文件进行删除操作。

本实施例提出的异常数据的处理方法，终端在检测到运行数据与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至终端，终端根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证终端不会错过不与预存的第一特征库不匹配的数据，使得终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

在本发明异常数据的处理方法第五实施例中，若终端接收到云端服务器下发的特征，将接收到的特征添加至第一特征库中。云端服务器向网关下发的特征可包括主动获取的特征以及被动获取的特征，被动获取的特征可为在异常数据为危险数据时，云端服务器提取异常数据的特征，主动获取的特征可为云端服务器实时或定时对预设的外部环境数据进行分析提取得到的特征，具体参见本发明异常数据的处理方法的第二实施例和第三实施例，在此不再赘述。

本发明进一步提供云端服务器。

参照图6，图6为本发明云端服务器第一实施例的功能模块示意图。

需要强调的是，对本领域的技术人员来说，图6所示功能模块图仅仅是一个较佳实施例的示例图，本领域的技术人员围绕图6所示的云端服务器的功能模块，可轻易进行新的功能模块的补充；各功能模块的名称是自定义名称，仅用于辅助理解云端服务器的各个程序功能块，不用于限定本发明的技术方案，本发明技术方案的核心是，各自定义名称的功能模块所要达成的功能。

本实施例提出一种云端服务器，云端服务器包括：

检测模块10，用于在接收到终端及/或网关上传的异常数据时，对异常数据进行安全性检测，其中，异常数据为与终端及/或网关预存的第一特征库不匹配的数据；

网关对终端发送的流量数据进行监控，并提取流量数据中的特征数据，如域名、URL(Uniform Resource Locator，统一资源定位符)以及IP地址，该IP地址可包括源IP地址以及目标IP地址。第一安全特征库中可包括黑名单以及白名单，则在获取的特征与黑名单以及白名单均不匹配时，说明该特征数据存在异常，即可作为异常数据；在流量数据中包含文件数据时，网关可能无法提取特征，则可直接将该数据作为异常数据上传时云端服务器。

检测模块10针对不同类型的异常数据采用不同的安全性检测方式，例如：1)在异常数据为域名时，检测模块10可直接获取该域名的WHOIS信息，该WHOIS信息包含域名的IP以及域名所有者的信息，该域名所有者的信息可包括注册者的联系信息如邮箱，可在域名数据库中查询该注册者的联系信息对应的注册域名，在该注册者的联系信息对应的注册域名中恶意域名的数量大于预设阈值，则检测模块10认为该域名为恶意域名，即该异常数据为危险数据；也可通过其它方式检测域名是否为恶意域名，例如同一IP在预设时间间隔内为解析为多个域名，该解析得到的域名均为恶意域名；2)在异常数据为多个URL时检测模块10可进行黑链的检测，以确定用户访问的网页中是否存在黑链，例如网页的外链对应的URL以及网页的URL对应的类型相差较大时，则检测模块10可判定该网页中存在黑链，即该异常数据为危险数据；3)在异常数据为文件时，可对文件进行沙盒运行，并在沙盒出口处提取对应的特征数据，对该特征数据进行安全性检测如将该特征数据与云端预存的第二特征库进行比对，以确定该文件是否为恶意文件，在该文件为恶意文件时，检测模块10确定该异常数据为危险数据。

终端也可对自身的运行数据如终端的配置、运行代码、运行的软件、进程、内存以及注册表进行监控，将终端的运行产生的文件、进程或者注册表等与预存的白名单及或黑名单进行比对，在不匹配时直接作为异常数据上传至云端服务器，或者，对于一些异常代码例如格式不明确的代码上传至云端服务器进行检测。终端的预存的第一特征库包括预设的黑名单及/或白名单。

第一获取模块20，用于在异常数据为危险数据时，获取异常数据的处理策略；

第一发送模块30，用于将处理策略发送至终端及/或网关，以供终端及/或网关根据处理策略进行相应的处理操作。

由于不同类型的异常数据有不同的处理策略，则第一获取模块20可先确定异常数据的类型，根据异常数据的类型确定对应的处理策略，例如：1)在异常数据为网页中存在黑链，则对应的处理策略为对被挂黑链的网页返回的内容进行过滤，清除掉黑链对应的内容，同时下发清理动作到终端，清除被挂黑链网页中的黑链；2)对于敏感文件泄漏的异常数据，可限定对URL的访问；3)对于恶意域名或者恶意URL，对应的处理策略可为拦截；4)对于网页后门，则对应的处理策略为拦截存在网页后门的网页对应的URL，将该处理策略下发至网关，阻止黑客利用该网页后门对服务器进行控制，同时向终端下发对应的处理策略如对后门文件进行隔离或者删除。

本实施例公开的技术方案中，网关、终端以及云端服务器之间进行联动如图2所示，终端及/或网关检测到异常数据时，上传至云端服务器进行异常数据的安全性检测，云端服务器在安全性检测后产生对应的处理策略下发至网关及/或终端，云端服务器下发至终端的处理策略可经过网关也可不经过网关。

第一获取模块20基于异常数据生成的处理策略中，有的仅需要网关单独执行有的需要终端配合执行，在需要终端配合执行的处理策略例如针对网页后门需要网关对网页后门进行拦截同时需要终端对后门文件进行删除或者隔离，此时第一发送模块30可将处理策略均发送至网关，并通过网关将终端对应的处理策略下发至终端，第一发送模块30也可分别处理策略发送至网关以及终端。

可以理解的是，在异常数据为安全数据时，云端服务可向终端及/或网关下发数据安全的信息，终端及/或网关在接收到该安全信息时，可按正常手段对异常数据进行处理，例如对正常的域名以及IP直接进行正常的数据转发即可。

本实施例提出的云端服务器，终端及/或网关在检测到的数据与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至终端及/或网关，终端及/或网关根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证网关以及终端不会错过不与预存的第一特征库不匹配的数据，使得网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

进一步的，参照图7，基于第一实施例提出的云端服务器第二实施例，在本实施例中，本发明云端服务器还包括：

第一提取模块40，用于在异常数据为危险数据时，提取异常数据的特征；

第一添加模块50，用于将特征添加至预存的第二特征库；

第一发送模块30，还用于将特征下发至与第一发送模块30所在的云端服务器连接的终端及/或网关，以供终端及/或网关将接收到的特征添加至第一特征库。

第一提取模块40提取异常数据的特征可在执行获取异常数据的处理策略的同时执行，也可在获取异常数据的处理策略的步骤的之前或之后执行。第一发送模块30可在下发处理策略的同时将对应的特征同时下发至终端及/或网关，终端及/或网关在接收到特征和处理策略时，将接收到的特征和处理策略关联保存，并将接收到的特征添加至第一特征库。

在异常数据为危险数据时，第一发送模块30可将该异常数据对应的特征下发至终端及/或网关，以供终端及/或网关更新预存的第一特征库，例如在异常数据为域名或者IP时，直接将该域名或者IP下发至终端及/或网关，终端及/或网关将接收到的域名或者IP添加至第一特征库的黑名单中。可以理解的是，在异常数据为正常数据时，也可将该异常数据对应的特征添加至预存的第一特征库的白名单中，以提高对数据筛查的效率。

本实施例公开的方案，可在云端提取异常数据的特征并更新云端的第二特征库以及终端及/或网关的第二特征库，使得在一个终端或者网关发现未知的威胁后，能快速得应用到其它的终端或者网关，保证了特征库的更新，使得云端、网关以及终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时通过特征库可能就能对异常数据进行处理，提高数据的处理效率。

进一步地，参照图8，基于第一实施例提出本发明云端服务器第三实施例，在本实施例中，云端服务器还包括：

第二提取模块60，用于实时或定时对预设的外部环境数据进行分析，以提取特征；

外部环境数据可由开发人员或者用户根据需要进行预设，例如该外部环境数据可包括黑产、暗网、黑客论坛、搜索引擎以及众测平台，如在合作的搜索引擎中输入预设的关键词，并获取搜索引擎返回的结果，以获取黑链的相关信息，例如在搜索引擎输入“site:gov.cn六合彩”；或者通过合作或者网页爬取的方式，对其它服务器如网站服务器进行漏洞检测或者网页后门等的检测，以获取最新的特征信息如漏洞信息泄露、配置文件泄露以及网页后门等；也可抓取其它合作服务器的运行数据，并对运行数据进行分析，以进行特征的提取。

第二添加模块70，用于在提取的特征与预存的第二特征库中的特征不匹配时，云端服务器将提取的特征添加至第二特征库；

第一发送模块30，还用于将提取的特征下发至与第一发送模块30所在的云端服务器连接的终端及/或网关，以供终端及/或网关将接收到的特征添加至第一特征库。

在提取的特征为新的特征即与预存的第二特征库中的特征不匹配时，第一发送模块30将该特征下发至终端及/或网关，终端及/或网关根据接收到特征更新第一特征库。

本实施例提出的方案中，服务器可主动通过预设的外部环境数据提取最新的特征，以更新自身的第二特征库以及终端和网关的第一特征库，通过云端服务器对外部环境数据进行分析，将发现的特征应用于并不知道自身处于威胁之中的终端和网关，保证特征库的及时更新，使得互联网数据交互更加安全。

本发明进一步提供一种网关。

参照图9，图9为本发明网关一实施例的功能模块示意图。

本实施例提出一种网关，该网关包括：

第一比对模块80，用于在检测到用户流量时，将用户流量与预存的特征库中的特征进行比对；

本实施例中，网关在检测到用户流量时，第一比对模块80直接提取用户流量与预存的第一特征库中的特征进行比对，该第一特征库可包括黑名单及/或白名单，以确定第一特征库中与用户流量不匹配的特征。在用户流量中包含文件数据时，可直接将该文件数据，第二发送模块90直接将该文件数据作为异常数据上传时云端服务器。

第二发送模块90，用于在用户流量与特征不匹配时，将用户流量作为异常数据发送至云端服务器，其中，云端服务器对接收到的异常数据进行安全性检测，并在异常数据为危险数据时，云端服务器将异常数据的处理策略下发至网关；

第一处理模块100，用于根据接收到的处理策略进行相应的处理操作。

本实施例中参见云端服务器的各个实施例，在此不再赘述。第一处理模块100在接收到服务器下发的处理策略时进行相应的处理即可，例如对恶意域名以及恶意IP进行拦截操作，对于某些需要下发至终端处理的处理策略，则需要网关转发至终端进行处理。

本实施例提出的网关，网关在检测到的用户流量的特征与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至网关，网关根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证网关不会错过不与预存的第一特征库不匹配的数据，使得网关对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

在上述网关的实施例中，该网关可包括第三添加模块，用于若接收到云端服务器下发的特征，将接收到的特征添加至第一特征库中。云端服务器向网关下发的特征可包括主动获取的特征以及被动获取的特征，被动获取的特征可为在异常数据为危险数据时，云端服务器提取异常数据的特征，主动获取的特征可为云端服务器实时或定时对预设的外部环境数据进行分析提取得到的特征，具体参见云端服务器的各个实施例，在此不再赘述。

本发明进一步提供一种终端。

参照图10，图10为本发明终端一实施例的功能模块示意图。

本实施例提出一种终端，该终端包括：

第二获取模块110，用于实时或定时获取其运行数据；

第二比对模块120，用于将运行数据与预存的特征库中的特征进行比对；

第二获取模块110也可对终端的运行数据如终端的配置、运行代码、运行的软件、进程、内存以及注册表进行监控，第二比对模块120将终端的运行产生的文件、进程或者注册表等与预存的白名单及或黑名单进行比对，在不匹配时直接作为异常数据上传至云端服务器，或者，对于一些异常代码例如格式不明确的代码上传至云端服务器进行检测。终端的预存的第一特征库包括预设的黑名单及/或白名单。

第三发送模块130，用于在运行数据与预存的特征库中的特征不匹配时，将运行数据作为异常数据发送至云端服务器，其中，云端服务器对接收到的异常数据进行安全性检测，并在异常数据为危险数据时，云端服务器将异常数据的处理策略下发至终端；

第二处理模块140，用于根据接收到的处理策略进行相应的处理操作。

本实施例中云端服务器对异常数据的安全性检测的过程参见云端服务器的各个实施例，在此不再赘述。网关在接收到服务器下发的处理策略时进行相应的处理即可，例如对恶意进程或者恶意文件进行删除操作。

本实施例提出的终端，终端在检测到运行数据与预存的第一特征库不匹配时，将检测到的数据作为异常数据上传至云端服务器，由云端服务器对该异常数据进行安全性检测，在该异常数据为危险数据时，云端服务器将该异常数据的处理策略发送至终端，终端根据该处理策略进行相应的处理操作，即使在第一特征库更新不及时的情况下，保证终端不会错过不与预存的第一特征库不匹配的数据，使得终端对危险数据处理的准确性更高，以提高互联网数据交互的安全性，同时在对于异常数据即未知威胁可及时发现，进一步提高互联网数据交互的安全性。

在本发明终端的实施例中，该终端还包括第四添加模块，用于若接收到云端服务器下发的特征，将接收到的特征添加至第一特征库中。云端服务器向网关下发的特征可包括主动获取的特征以及被动获取的特征，被动获取的特征可为在异常数据为危险数据时，云端服务器提取异常数据的特征，主动获取的特征可为云端服务器实时或定时对预设的外部环境数据进行分析提取得到的特征，具体云端服务器的各个实施例，在此不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵该非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，云端服务器，空调器，或者网络设备等)执行本发明各个实施例的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种异常数据的处理方法，其特征在于，所述异常数据的处理方法包括以下步骤：

在接收到终端及/或网关上传的异常数据时，云端服务器对所述异常数据进行安全性检测，其中，所述异常数据为与所述终端及/或网关预存的第一特征库不匹配的数据；

在所述异常数据为危险数据时，所述云端服务器获取所述异常数据的处理策略；

所述云端服务器将所述处理策略发送至所述终端及/或网关，以供所述终端及/或网关根据所述处理策略进行相应的处理操作。

2.如权利要求1所述的异常数据的处理方法，其特征在于，异常数据的处理方法还包括步骤：

在所述异常数据为危险数据时，所述云端服务器提取所述异常数据的特征，并将所述特征添加至预存的第二特征库；

所述云端服务器将所述特征下发至与所述云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

3.如权利要求1或2所述的异常数据的处理方法，其特征在于，所述异常数据的处理方法还包括步骤：

所述云端服务器实时或定时对预设的外部环境数据进行分析，以提取特征；

在提取的所述特征与预存的第二特征库中的特征不匹配时，所述云端服务器将提取的所述特征添加至所述第二特征库；

所述云端服务器将提取的所述特征下发至与所述云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

4.一种异常数据的处理方法，其特征在于，所述异常数据的处理方法包括步骤：

在检测到用户流量时，网关将所述用户流量与预存的第一特征库中的特征进行比对；

在所述用户流量与所述第一特征库中的特征不匹配时，所述网关将所述用户流量作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述网关；

所述网关根据接收到的所述处理策略进行相应的处理操作。

5.一种异常数据的处理方法，其特征在于，所述异常数据的处理方法包括步骤：

终端实时或定时获取其运行数据，并将所述运行数据与预存的第一特征库中的特征进行比对；

在所述运行数据与所述第一特征库中的特征不匹配时，所述终端将所述运行数据作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述终端；

所述终端根据接收到的所述处理策略进行相应的处理操作。

6.一种云端服务器，其特征在于，所述云端服务器包括：

检测模块，用于在接收到终端及/或网关上传的异常数据时，对所述异常数据进行安全性检测，其中，所述异常数据为与所述终端及/或网关预存的第一特征库不匹配的数据；

第一获取模块，用于在所述异常数据为危险数据时，获取所述异常数据的处理策略；

第一发送模块，用于将所述处理策略发送至所述终端及/或网关，以供所述终端及/或网关根据所述处理策略进行相应的处理操作。

7.如权利要求6所述的云端服务器，其特征在于，所述云端服务器还包括：

第一提取模块，用于在所述异常数据为危险数据时，提取所述异常数据的特征；

第一添加模块，用于将所述特征添加至预存的第二特征库；

所述第一发送模块，还用于将所述特征下发至与所述第一发送模块所在的云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

8.如权利要求6所述的云端服务器，其特征在于，所述云端服务器还包括：

第二提取模块，用于实时或定时对预设的外部环境数据进行分析，以提取特征；

第二添加模块，用于在提取的所述特征与预存的第二特征库中的特征不匹配时，所述云端服务器将提取的所述特征添加至所述第二特征库；

所述第一发送模块，还用于将提取的所述特征下发至与所述第一发送模块所在的云端服务器连接的终端及/或网关，以供所述终端及/或网关将接收到的所述特征添加至所述第一特征库。

9.一种网关，其特征在于，所述网关包括：

第一比对模块，用于在检测到用户流量时，将所述用户流量与预存的特征库中的特征进行比对；

第二发送模块，用于在所述用户流量与所述特征不匹配时，将所述用户流量作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述网关；

第一处理模块，用于根据接收到的所述处理策略进行相应的处理操作。

10.一种终端，其特征在于，所述终端包括：

第二获取模块，用于实时或定时获取其运行数据；

第二比对模块，用于将所述运行数据与预存的特征库中的特征进行比对；

第三发送模块，用于在所述运行数据与预存的特征库中的特征不匹配时，将所述运行数据作为异常数据发送至云端服务器，其中，所述云端服务器对接收到的所述异常数据进行安全性检测，并在所述异常数据为危险数据时，所述云端服务器将所述异常数据的处理策略下发至所述终端；

第二处理模块，用于根据接收到的所述处理策略进行相应的处理操作。