CN107733907B

CN107733907B - 动态防护方法与装置

Info

Publication number: CN107733907B
Application number: CN201711008346.6A
Authority: CN
Inventors: 袁慧; 郑蕾; 董亮; 梁源; 胡耀东; 邓国如; 曾玉荣
Original assignee: State Grid Corp of China SGCC; Information and Telecommunication Branch of State Grid Hubei Electric Power Co Ltd
Current assignee: State Grid Corp of China SGCC; Information and Telecommunication Branch of State Grid Hubei Electric Power Co Ltd
Priority date: 2017-10-25
Filing date: 2017-10-25
Publication date: 2020-06-02
Anticipated expiration: 2037-10-25
Also published as: CN107733907A

Abstract

本发明实施例提出一种动态防护方法与装置，涉及自动攻击防护领域技术领域。首先接收第一客户端发送的第一访问请求与IP地址并将第一访问请求发送至服务器，然后接收服务器响应第一访问请求发送的第一反馈信息，判断IP地址与预存储的第一安全IP地址是否一致；若不一致，根据第一反馈信息生成相应的第一乱码信息；最后将第一乱码信息发送至第一客户端。本发明提供的动态防护方法与装置具有黑客无法利用自动化工具对服务器进行攻击的优点。

Description

动态防护方法与装置

技术领域

本发明涉及自动攻击防护领域，具体而言，涉及一种动态防护方法与装置。

背景技术

Internet的发展及普及，成为日常个人、企业或者政府部门等获得信息和发布信息的主要手段。其中，万维网在其中承担了更加重要的任务，它让Internet产生了更加鲜活的生命力。

尽管经过多年的发展，万维网在安全防范方面已经积累了许多经验和教训，然而，服务器被黑客攻击也是时有发生的。避免服务器被攻击一直是一个非常重要的任务，任何商业公司和任何政府都非常重视这种服务器被攻击的问题。

通常，黑客为了增大攻击服务器的效率，会采用自动化工具进行对服务器的自动化攻击。自动化工具能够自动选取攻击目标，并通过发送访问请求与接收反馈信号的方式锁定要攻击的服务器。

如何解决上述问题，是本领域技术人员关注的重点。

发明内容

有鉴于此，本发明的目的在于提供一种动态防护方法，以解决黑客利用自动化工具攻击服务器的问题。

本发明的另一目的在于提供一种动态防护装置，以解决黑客利用自动化工具攻击服务器的问题。

为了实现上述目的，本发明实施例采用的技术方案如下：

第一方面，本发明实施例提出一种动态防护方法，应用于分别与一第一客户端、服务器建立通信连接的防火墙，所述动态防护方法包括：

接收所述第一客户端发送的第一访问请求与IP地址；

将所述第一访问请求发送至所述服务器；

接收所述服务器响应所述第一访问请求发送的第一反馈信息；

判断所述IP地址与预存储的第一安全IP地址是否一致；

若不一致，根据所述第一反馈信息生成相应的第一乱码信息；

将所述第一乱码信息发送至所述第一客户端。

第二方面，本发明实施例还提出一种动态防护装置，应用于分别与一第一客户端、服务器建立通信连接的防火墙，所述动态防护装置包括：

信号接收单元，用于接收所述第一客户端发送的第一访问请求与IP地址；

信号发送单元，用于将所述第一访问请求发送至所述服务器；

信号接收单元，还用于接收所述服务器响应所述第一访问请求发送的第一反馈信息；

IP地址判断单元，用于判断所述IP地址与预存储的第一安全IP地址是否一致；

乱码信息生成单元，用于若所述IP地址与预存储的第一安全IP地址不一致，根据所述第一反馈信息生成相应的第一乱码信息；

信号发送单元，用于将所述第一乱码信息发送至所述第一客户端。

相对现有技术，本发明具有以下有益效果：

本发明提供了一种自动防护方法与装置，首先接收第一客户端发送的第一访问请求与IP地址并将第一访问请求发送至服务器，然后接收服务器响应第一访问请求发送的第一反馈信息，判断IP地址与预存储的第一安全IP地址是否一致；若不一致，根据第一反馈信息生成相应的第一乱码信息；最后将第一乱码信息发送至第一客户端。通过本发明提供的自动防护方法与装置可以使黑客在利用自动化工具攻击服务器时，接收到的反馈信息为乱码信息，使得客户端对乱码信息无法识别，从而保证了黑客无法利用自动化工具对服务器进行攻击。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明的一个实施例防火墙、服务器、第一客户端以及第二客户端的交互示意图。

图2示出了本发明的一个实施例提供的动态防护装置的方框示意图。

图3示出了本发明的第一实施例提供的动态防护方法的部分流程图。

图4示出了本发明的第一实施例提供的发送第二访问请求的流程图。

图5示出了本发明的第一实施例提供的将解码信息发送至第一客户端的流程图。

图6示出了本发明第一实施例提供的第二客户端修改服务器的流程图。

图7示出了本本发明第二实施例提供的动态防护装置的功能模块示意图。

图标：12-存储器；13-存储控制器；14-处理器；100-动态防护装置；110-服务器；111-信号接收单元；112-信号发送单元；113-IP地址判断单元；114-乱码信息生成单元；115-解码信息生成单元；120-防火墙；130-第一客户端；140-第二客户端；150-网络。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。下面结合附图，对本发明的一些实施方式作详细说明。在不冲突的情况下，下述的实施例及实施例中的特征可以相互组合。

本发明较佳实施例所提供的可应用于动态防护方法与装置，如图1所示的应用环境中。如图1所示，防火墙120、服务器110、第一客户端130以及第二客户端140均位于网络150中，防火墙120分别通过网络150与第一客户端130、第二客户端140、服务器110通信连接，并进行数据交互，于本发明实施例中，服务器110可以是，但不限于，网络服务器110、数据库服务器110，云端服务器110等等。

如图2所示，是本发明提供的防火墙120的功能模块示意图。该防火墙120包括动态防护装置100、存储器12、存储控制器13以及处理器14。

所述存储器12、存储控制器13以及处理器14各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。所述动态防护装置100包括至少一个可以软件或固件(firmware)的形式存储于所述存储器12中或固化在所述服务器110的操作系统(operating system，OS)中的软件功能模块。所述处理器14用于执行存储器12中存储的可执行模块，例如所述动态防护装置100包括的软件功能模块或计算机程序。

其中，存储器12可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。其中，存储器12用于存储程序，所述处理器14在接收到执行指令后，执行所述程序，前述本发明实施例任一实施例揭示的流过程定义的服务器110所执行的方法可以应用于处理器14中，或者由处理器14实现。

处理器14可能是一种集成电路芯片，具有信号的处理能力。上述的处理器14可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器14也可以是任何常规的处理器等。

第一实施例

请参阅图3，本发明较佳实施例提供了一种应用于图1的动态防护方法的流程图，该动态防护方法应用于分别与一第一客户端130、服务器110建立通信连接的防火墙120，下面将对图3所示的具体流程进行详细阐述。

步骤S201，接收所述第一客户端130发送的第一访问请求与IP地址。

在本实施例中，当黑客想要利用安装有自动化工具的第一客户端130对服务器110进行攻击时，会首先经过防火墙120，防火墙120能够接受该第一客户端130发送的第一访问请求与该第一客户端130对应的IP地址。

步骤S202，将所述第一访问请求发送至所述服务器110。

当防火墙120接收到该第一访问请求后，会将该第一访问请求发送至服务器110。

步骤S203，接收所述服务器110响应所述第一访问请求发送的第一反馈信息。

当服务器110接收到第一访问请求后，会响应该第一访问请求，生成相应的第一反馈信息，并将该第一反馈信息发送至防火墙120。在本实施例中，该第一反馈信息可以但不限于为访问许可信息。

步骤S204，判断所述IP地址与预存储的第一安全IP地址是否一致，若一致，则执行步骤S207；若不一致，则执行步骤S205。

当防火墙120接收到服务器110发送的反馈信息时，不会直接将该反馈信息发送至第一至客户端，而是进行第一客户端130的IP地址的判断之后，然后再进行反馈信息的发送。在本实施例中，防火墙120中预存储有多个第一安全IP地址，即与这些第一安全IP地址对应的客户端默认为安全客户端，而其它的IP地址为不常访问的客户端，可能会伴随黑客的自动化攻击。

步骤S205，根据所述第一反馈信息生成相应的第一乱码信息。

当所述IP地址与预存储的第一安全IP地址不一致时，防火墙120默认该客户端可能伴随自动化攻击威胁，此时，防火墙120根据第一反馈信息生成第一乱码信息，该第一乱码信息实质为一种加密信息，使黑客使用的第一客户端130中的自动化工具无法识别。

步骤S206，将所述第一乱码信息发送至所述第一客户端130。

在生成第一乱码信息后，防火墙120将该第一乱码信息发送至黑客使用的第一客户端130。

步骤S207，将所述第一反馈信息发送至所述第一客户端130。

当所述IP地址与预存储的第一安全IP地址一致时，防火墙120默认该第一客户端130为安全客户端，可直接将第一反馈信息发送至服务器110。

在步骤S206之后，该动态防护方法还包括：

步骤S208，接收所述第一客户端130发送的第二访问请求。

由于第一客户端130无法识别出该第一反馈信息，所以该第一客户端130会再次发送第二访问请求，以获取正确的反馈信息。

步骤S209，将所述第二访问请求发送至所述服务器110。

步骤S210，接收所述服务器110响应第二访问请求发送的第二反馈信息。

当服务器110接收到第二访问请求后，会响应该第二访问请求，生成相应的第二反馈信息，并将该第二反馈信息发送至防火墙120。在本实施例中，该第二反馈信息可以但不限于为访问许可信息。

步骤S211，根据所述第二反馈信息生成相应的第二乱码信息。

当防火墙120第二次接收到服务器110发送的第二反馈信息时，会根据该第二反馈信息生成相应的第二乱码信息，且第二乱码信息与第一乱码信息不同，使得第一当第一客户端130接收到该第二乱码信息时，自动化工具无法读懂该信息。由于自动化工具具备的特性为在两次接收到的反馈信息均无法读懂时，会选择自动放弃，同时寻找新目标进行攻击，从而使得本实施例提供的动态防护方法能够有效地防止黑客利用自动化工具的攻击。。

步骤S212，将所述第二乱码信息发送至所述第一客户端130。

在步骤S206之后，该动态防护方法还包括：

步骤S213，根据所述第一乱码信息生成相应的解码信息。

由于在实际中，也可能是正常用户而非黑客访问服务器110，所以，为了使用户能够正常访问服务器110，在防火墙120将乱码信息发送至第一客户端130的同时，还会生成相应的解码信息，用户能够根据该解码信息实现对乱码信息的转换，从而转换为正常的反馈信息。当然地，在解码信息无法通过自动化工具进行数据的转换，使得在防止黑客利用自动化工具攻击服务器110的同时，还能够使用户能够正常访问服务器110。

步骤S214，将所述解码信息发送至所述第一客户端130。

需要说明的是，步骤S213-步骤S214与步骤S208-步骤S212无先后顺序。

并且，在本实施例中，防火墙120还与一第二客户端140建立通信连接，动态防护方法还包括：

步骤S215，接收所述第二客户端140发送的修改请求与IP地址。

当需要对该服务器110进行修改时，例如，需要对服务器110的主页进行完善时，需要利用第二客户端140对服务器110的内容进行修改。

步骤S216，判断所述IP地址与预存储的第二安全IP地址是否一致，若一致，则执行步骤S217。

由于只能由特定的客户端对服务器110的内容进行修改，所以在防火墙120中，预存储有第二安全IP地址，工作人员可利用与第二安全IP地址匹配的第二客户端140对服务器110的内容进行修改。

步骤S207，将所述修改请求发送至所述服务器110。

第二实施例

本发明实施例还提供了一种动态防护装置100，需要说明的是，本实施例所提供的动态防护装置100，其基本原理及产生的技术效果和上述实施例相同，为简要描述，本实施例部分未提及之处，可参考上述的实施例中相应内容。请参阅图6，所述动态防护装置100包括：

信号接收单元111，用于接收所述第一客户端130发送的第一访问请求与IP地址。

可以理解的，通过信号接收单元111可执行步骤S201。

信号发送单元112，用于将所述第一访问请求发送至所述服务器110。

可以理解的，通过信号发送单元112可执行步骤S202。

信号接收单元111，还用于接收所述服务器110响应所述第一访问请求发送的第一反馈信息。

可以理解的，通过信号接收单元111可执行步骤S203。

IP地址判断单元113，同于判断所述IP地址与预存储的第一安全IP地址是否一致。

可以理解的，通过IP地址判断单元113可执行步骤S204。

乱码信息生成单元114，用于根据所述第一反馈信息生成相应的第一乱码信息。

可以理解的，通过乱码信息生成单元114可执行步骤S205。

信号发送单元112，用于将所述第一乱码信息发送至所述第一客户端130。

可以理解的，通过信号发送单元112可执行步骤S206。

信号发送单元112，用于将所述第一反馈信息发送至所述第一客户端130。

可以理解的，通过信号发送单元112可执行步骤S207。

该动态防护装置100还包括：

信号接收单元111，用于接收所述第一客户端130发送的第二访问请求。

可以理解的，通过信号接收单元111可执行步骤S208。

信号发送单元112，用于将所述第二访问请求发送至所述服务器110,。

可以理解的，通过信号发送单元112可执行步骤S209。

信号接收单元111，用于接收所述服务器110响应第二访问请求发送的第二反馈信息。

可以理解的，通过信号发送单元112可执行步骤S210。

乱码信息生成单元114，用于根据所述第二反馈信息生成相应的第二乱码信息。

可以理解的，通过乱码信息生成单元114可执行步骤S211。

信号发送单元112，用于将所述第二乱码信息发送至所述第一客户端130。

可以理解的，通过信号发送单元112可执行步骤S212。

该动态防护装置100还包括：

解码信息生成单元115，用于根据所述第一乱码信息生成相应的解码信息。

可以理解的，通过解码信息生成单元115可执行步骤S213。

信号发送单元112，用于将所述解码信息发送至所述第一客户端130。

可以理解的，通过信号发送单元112可执行步骤S214。

并且，在本实施例中，防火墙120还与一第二客户端140建立通信连接，动态防护装置100还包括：

信号接收单元111，用于接收所述第二客户端140发送的修改请求与IP地址。

可以理解的，通过信号接收单元111可执行步骤S215。

IP地址判断单元113，用于判断所述IP地址与预存储的第二安全IP地址是否一致。

可以理解的，通过IP地址判断单元113可执行步骤S216。

信号发送单元112，用于将所述修改请求发送至所述服务器110。

可以理解的，通过信号发送单元112可执行步骤S217。

综上所述，本发明提供本发明提供了一种自动防护方法与装置，首先接收第一客户端发送的第一访问请求与IP地址并将第一访问请求发送至服务器，然后接收服务器响应第一访问请求发送的第一反馈信息，判断IP地址与预存储的第一安全IP地址是否一致；若不一致，根据第一反馈信息生成相应的第一乱码信息；最后将第一乱码信息发送至第一客户端。通过本发明提供的自动防护方法与装置可以使黑客在利用自动化工具攻击服务器时，接收到的反馈信息为乱码信息，使得客户端对乱码信息无法识别，从而保证了黑客无法利用自动化工具对服务器进行攻击。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

Claims

1.一种动态防护方法，其特征在于，应用于分别与一第一客户端、服务器建立通信连接的防火墙，所述动态防护方法包括：

接收所述第一客户端发送的第一访问请求与IP地址；

将所述第一访问请求发送至所述服务器；

若所述第一客户端的IP地址与预存储的第一安全IP地址不一致，根据所述第一反馈信息生成相应的第一乱码信息；

将所述第一乱码信息发送至所述第一客户端；

接收所述第一客户端发送的第二访问请求；

将所述第二访问请求发送至所述服务器；

接收所述服务器响应第二访问请求发送的第二反馈信息；

根据所述第二反馈信息生成相应的第二乱码信息，且第二乱码信息与第一乱码信息不同；

将所述第二乱码信息发送至所述第一客户端。

2.如权利要求1所述的动态防护方法，其特征在于，在所述根据所述第一反馈信息生成相应的第一乱码信息的步骤之后，所述动态防护方法还包括：

根据所述第一乱码信息生成相应的解码信息；

将所述解码信息发送至所述第一客户端。

3.如权利要求1所述的动态防护方法，其特征在于，所述防火墙还与一第二客户端建立通信连接，所述动态防护方法还包括：

接收所述第二客户端发送的修改请求与IP地址；

若所述第二客户端的IP地址与预存储的第二安全IP地址一致，则将所述修改请求发送至所述服务器。

4.如权利要求1所述的动态防护方法，其特征在于，在所述接收所述服务器响应所述第一访问请求发送的第一反馈信息的步骤之后，所述动态防护方法还包括：

若所述IP地址与预存储的IP地址一致，将所述第一反馈信息发送至所述第一客户端。

5.一种动态防护装置，其特征在于，应用于分别与一第一客户端、服务器建立通信连接的防火墙，所述动态防护装置包括：

乱码信息生成单元，用于若所述第一客户端的IP地址与预存储的第一安全IP地址不一致，根据所述第一反馈信息生成相应的第一乱码信息；

信号发送单元，用于将所述第一乱码信息发送至所述第一客户端；

信号接收单元，用于接收所述第一客户端发送的第二访问请求；

信号发送单元，用于将所述第二访问请求发送至所述服务器；

信号接收单元，还用于接收所述服务器响应第二访问请求发送的第二反馈信息；

乱码信息生成单元，还用于根据所述第二反馈信息生成相应的第二乱码信息，且第二乱码信息与第一乱码信息不同；

信号发送单元，用于将所述第二乱码信息发送至所述第一客户端。

6.如权利要求5所述的动态防护装置，其特征在于，所述动态防护装置还包括：

解码信息生成单元，用于根据所述第一乱码信息生成相应的解码信息；

信号发送单元，还用于将所述解码信息发送至所述第一客户端。

7.如权利要求5所述的动态防护装置，其特征在于，所述防火墙还与一第二客户端建立通信连接，所述动态防护装置还包括：

信号接收单元，用于接收所述第二客户端发送的修改请求与IP地址；

信号发送单元，用于若所述第二客户端的IP地址与预存储的第二安全IP地址一致，则将所述修改请求发送至所述服务器。

8.如权利要求5所述的动态防护装置，其特征在于，所述动态防护装置还包括：

信号发送单元，还用于若所述IP地址与预存储的IP地址一致，将所述第一反馈信息发送至所述第一客户端。