CN108123916B - 网络安全防护方法、装置、服务器及系统 - Google Patents

Abstract

本发明实施例提供了一种网络安全防护方法、装置、服务器及系统。其中，该网络安全防护方法，用于网络安全服务器，包括：检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定业务通信请求为攻击事件的步骤；根据业务通信请求判断攻击事件的攻击类型的步骤；根据判断出的攻击类型转换业务服务器的接入信息的步骤，其中，上述接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，以进行网络安全防护。

Description

网络安全防护方法、装置、服务器及系统

技术领域

本发明属于网络通信技术领域，尤其涉及一种网络安全防护方法、装置、服务器及系统。

背景技术

随着互联网时代的来临，越来越多的服务器将暴露在互联网的环境之下，在公共网络中随时会发生各种各样的网络攻击事件，在这种事件面前主要采用以下两种保护手段：一是设置安全防护设备，用于检测网络中针对业务服务器的攻击、入侵等行为，如果发现发出告警，由设备自动或人工处理，处理方式通常是关闭服务器等待攻击停止，这样的处理方式影响服务的时间不可控制；二是建立网络边界隔离防护，这种具有网络边界隔离防护作用的网络安全清洗设备会影响网络包的效率，易造成业务数据丢失，而且防火墙等网络隔离设备虽然可以实现服务器之间的网络处理，但其处理能力有限，遇到大流量攻击，尤其是远端服务器发送的攻击，会造成防火墙性能下降，这种网络阻断还会影响业务的连续性。综上，现有的防落安全防护设备及方法都会存在一定的弊端，无法解决变化多样的安全行为造成的影响。

发明内容

本发明实施例提供了一种网络安全防护方法、装置、服务器及系统。

第一方面，本发明的实施例提供了一种网络安全防护方法，用于网络安全服务器，包括：检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定业务通信请求为攻击事件的步骤；根据业务通信请求判断攻击事件的攻击类型的步骤；根据判断出的攻击类型转换业务服务器的接入信息的步骤，其中，上述接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护。

第二方面，本发明实施例提供了一种网络安全防护方法，用于对业务服务器具有接入需求的服务器或客户端，包括：接收网络安全服务器发来的业务服务器的接入信息的步骤；比较业务服务器的接入信息与自身原有的业务服务器的接入信息的步骤；若不同，则将自身原有的业务服务器的接入信息更新为接收的业务服务器的接入信息的步骤，其中，接收的业务服务器的接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护。

第三方面，本发明实施例提供了一种网络安全服务器，包括：安全检测单元和安全管理单元。该安全检测单元被配置为检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定所述业务通信请求为攻击事件；该安全管理单元被配置为根据业务通信请求判断攻击事件的攻击类型；根据判断出的攻击类型转换业务服务器的接入信息，其中，上述接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护。

第四方面，本发明实施例提供了一种网络安全防护装置，用于对业务服务器具有接入需求的服务器或客户端，该装置包括：接收单元和更新单元。该接收单元被配置为接收网络安全服务器发来的业务服务器的接入信息；该更新单元被配置为比较业务服务器的接入信息与自身原有的业务服务器的接入信息，若不同，则将自身原有的业务服务器的接入信息更新为接收的业务服务器的接入信息，其中，接收的业务服务器的接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护。

第五方面，本发明实施例提供一种网络安全防护系统，包括：一个或多个上述网络安全服务器；一个或多个上述网络安全防护装置；上述网络安全防护装置接收上述网络安全服务器发来的业务服务器的接入信息。

根据本发明实施例提供的网络安全防护方法、装置、服务器及系统，通过对外部发往业务服务器的接入请求进行对比和分析，判断接入请求是否构成攻击事件，进而判断攻击事件的类型，根据不同的攻击类型对业务服务器的间接接入信息进行变更，以使得业务服务器获得保护，并且通过此方法可以在不修改业务服务器业务通信原始接入信息的情况下，自动的保护互联网上的业务服务正常进行，实现业务的连续性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例的网络安全防护方法的示意性流程图；

图2是本发明另一实施例的网络安全防护方法的示意性流程图；

图3是本发明实施例的网络安全服务器的示意性结构框图；

图4是本发明实施例的网络安全防护装置的示意性结构框图；

图5是本发明实施例的网络安全防护系统的示意性结构框图；

图6是经由本发明实施例的网络安全防护系统进行网络安全防护的示例性过程；

图7是本发明实施例的网络安全服务器的示意性结构框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面将详细描述本发明的各个方面的特征和示例性实施例。在下面的详细描述中，提出了许多具体细节，以便提供对本发明的全面理解。但是，对于本领域技术人员来说很明显的是，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明的更好的理解。本发明决不限于下面所提出的任何具体配置和算法，而是在不脱离本发明的精神的前提下覆盖了元素、部件和算法的任何修改、替换和改进。在附图和下面的描述中，没有示出公知的结构和技术，以便避免对本发明造成不必要的模糊。

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式；相反，提供这些实施方式使得本发明更全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。在图中，为了清晰，可能夸大了区域和层的厚度。在图中相同的附图标记表示相同或类似的结构，因而将省略它们的详细描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本发明的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本发明的技术方案而没有所述特定细节中的一个或更多，或者可以采用其它的方法、组元、材料等。在其它情况下，不详细示出或描述公知结构、材料或者操作以避免模糊本发明的主要技术创意。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1是本发明一实施例的网络安全防护方法的示意性流程图。该方法用于网络安全服务器，包括以下步骤:S110，检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定业务通信请求为攻击事件；S120，根据业务通信请求判断攻击事件的攻击类型；S130，根据判断出的攻击类型转换业务服务器的接入信息，其中，上述接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，用于以进行网络安全防护。在一个示例中，上述接入信息可以包括业务服务器的IP地址和端口号，应理解，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过一个IP地址来实现，因此IP地址与网络服务的关系是一对多的关系，那么业务服务器的某项业务可以通过IP地址+端口号进行区分。

在一个示例中，上述攻击事件认定条件包括攻击流量和/或攻击频次，在一个示例中，在步骤S110中，该方法还可以将攻击流量和/或攻击频次分别与预设攻击流量和/或攻击频次阈值进行比较，根据比较结果判断业务通信请求是否为攻击事件。应理解，该方法可以只通过比较攻击流量与预设攻击流量对业务通信请求是否为攻击事件进行判断，也可以只通过比较攻击频率或攻击次数与预设攻击频率和攻击次数对业务通信请求是否为攻击事件进行判断，也可以结合上述多种判断条件的结合对业务通信请求是否为攻击事件进行判断。

根据一个实施例，在步骤S120中，上述攻击类型包括接入端攻击类型和攻击方攻击类型，其中，上述接入端攻击类型包括IP地址攻击和IP端口攻击，上述攻击方攻击类型包括业务请求发送方攻击和第三方攻击。应理解，第三方攻击是借由服务器或客户端发出的第三方攻击类型，此种攻击类型的攻击源由外部第三方生成经服务器或客户端转发给业务服务器。业务请求发送方攻击类型可以理解为服务器或客户端由于例如中毒会被侵入而由服务器或客户端生成攻击事件并发送给业务服务器。

根据一个实施例，在步骤S130中，当判断攻击类型为业务请求发送方攻击时，可以调用预存的虚假间接接入信息发送给业务请求发送方；调用预存的新的间接接入信息发送给正常的业务请求发送方以使正常的业务请求发送方对间接接入信息进行更新；建立所述新的间接接入信息与所述原始接入信息的映射关系。当判断攻击类型为第三方攻击时，调用预存的新的间接接入信息发送给业务请求发送方和正常的业务请求发送方，以使业务请求发送方和正常的业务请求发送方对间接接入信息进行更新；建立新的间接接入信息与原始接入信息的映射关系。在一个示例中，当判断攻击类型为IP地址攻击时，则转换所述间接接入信息中的IP地址；当判断攻击类型为IP端口攻击时，则同时转换所述间接接入信息中的IP地址和端口号。在一个示例中，该方法还包括向业务请求发送方发送告警消息以使业务请求发送方进行自检。在一个示例中，该方法还可以包括向安全防护服务器的管理或维护人员进行告警以进行相关处理工作。根据该网络安全防护方法，通过对外部发往业务服务器的接入请求进行对比和分析，判断接入请求是否构成攻击事件，进而判断攻击事件的类型，根据不同的攻击类型对业务服务器的间接接入信息进行变更，以使得业务服务器获得保护，并且通过此方法可以在不修改业务服务器业务通信地址及端口的情况下，自动的保护互联网上的业务服务正常进行，实现业务的连续性。

上文中结合图1从网络安全服务器的角度描述了本发明实施例的网络安全防护方法，下面结合图2从远端服务器或客户端的角度描述本发明实施例的安全防护方法。

图2是本发明另一实施例的网络安全防护方法的示意性流程图。该网络安全防护方法，用于对业务服务器具有接入需求的服务器或客户端，包括以下步骤：S210：接收网络安全服务器发来的业务服务器的接入信息；S220：比较业务服务器的接入信息与自身原有的业务服务器的接入信息；S230：若不同，则将自身原有的业务服务器的接入信息更新为接收的业务服务器的接入信息的步骤，其中，接收的业务服务器的接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，以进行网络安全防护。应理解该服务器例如可以是计算机设备，客户端(英文：User Equipment，缩写：UE)包括但不限于移动台(英文：Mobile Station，缩写：MS)、移动终端(英文：Mobile Terminal)、移动电话(英文：Mobile Telephone)、手机(英文：handset)及便携设备(英文：portable equipment)等，该用户设备可以经无线接入网(英文：Radio Access Network，缩写：RAN，)与一个或多个核心网进行通信，例如，用户设备可以是移动电话(或称为"蜂窝"电话)、具有无线通信功能的计算机等，用户设备还可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置。在一个示例中，该方法还包括接收网络安全服务器发来的告警消息，根据告警消息进行自检。

图3是本发明实施例的网络安全服务器的示意性结构框图。该种网络安全服务器300，包括：安全检测单元310和安全管理单元320。该安全检测单元310被配置为检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定所述业务通信请求为攻击事件；该安全管理单元320被配置为根据业务通信请求判断攻击事件的攻击类型；根据判断出的攻击类型转换业务服务器的接入信息，其中，上述接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，以进行网络安全防护。应理解该安全检测单元310可以包括安全检测库，并可以定期更新该安全检测库，该安全检查库可以包括各种病毒类型及攻击类时间及类型的认定条件；在一个示例中，上述攻击事件认定条件包括攻击流量和/或攻击频次，该安全检查单元310还被配置为：将攻击流量和/或攻击频次分别与预设攻击流量和/或攻击频次阈值进行比较，根据比较结果判断所述业务通信请求是否为攻击事。该安全检测单元310可以检测网络中的流量包，发现问题触发安全管理单元，进行安全策略防护；这里的安全管理单元320可以独立的设置为安全管理服务器，还应理解，这里的安全管理服务器可以独立的设置在云端，通过无线通信的方式与安全服务器中的其他单元进行通信。在一个示例中，当网络出现的安全事件为端口攻击行为时，该安全检测单元310通知安全管理单元320进行端口的动态调整，进行端口防护；当网络出现的安全事件为IP攻击行为时，该安全检测单元310通知安全管理单元进行IP的动态调整，进行IP防护；当网络的攻击源由远端服务器或客户端中网络安全防护装置发送时，该安全检测单元310通知安全管理单元320进行后续的处理。这里的安全防护装置可以理解为设置在远端服务器或客户端中安全组件。后续的处理则可以根据不同的攻击方攻击类型来分别进行处理，该攻击方攻击类型包括业务请求发送方攻击和第三方攻击。在一个示例中，该安全管理单元320还被配置为当判断攻击类型为业务请求发送方攻击时，调用预存的虚假间接接入信息发送给业务请求发送方；调用预存的新的间接接入信息发送给正常的业务请求发送方以使正常的业务请求发送方对间接接入信息进行更新；其中，该安全防护服务器还可以包括安全防护单元330，被配置为建立新的间接接入信息与原始接入信息的映射关系。该安全管理单元还被配置为当判断攻击类型为第三方攻击时，调用预存的新的间接接入信息发送给业务请求发送方和正常的业务请求发送方，以使业务请求发送方和正常的业务请求发送方对间接接入信息进行更新；其中，网络安全服务器还包括安全防护单元330被配置为建立新的间接接入信息与原始接入信息的映射关系。这里的该安全防护单元330可以理解为是一个连接业务服务器的对业务服务器直接进行防护的单元，也可以理解为一个独立工作的安全防护服务器，可以负责后端业务服务器与外部网络的连接，实现网络IP地址、端口号的转换功能；使用来自安全管理单元的IP地址、端口号数据；能够自动的实现外部服务IP地址、端口号与后端业务服务器IP地址、端口号的转换。还应理解，该网络安全服务器300的主动安全防护功能可以由安全检测单元触发，当安全检测单元检测到网络中存在针对后端业务服务器的某一IP或端口发生安全攻击事件时，根据事前设置的被攻击频次或被攻击流量触发云端安全管理服务器进行后续处理；管理安全防护数据，包括多种IP、端口数据。可记录被攻击IP、端口的频次及流量，在进行数据安全防护时，选择使用安全的IP地址、端口号；该安全管理单元还可以包括安全防护数据同步功能。由业务服务器的管理员事前设置安全防护规则，发生安全事件触发时，安全管理单元会根据攻击类型进行不同的安全数据防护变更，保护业务连接安全。其中，端口类的攻击会触发下发端口变更数据，IP类的攻击会触发IP变更数据，IP端口组合攻击会触发IP端口同时变更数据；该安全管理单元会同时下发新的接入信息至安全防护单元和安全防护装置即远端服务器或客户端中的安全组件中，该接入信息可以理解为新的安全接入数据，使用新的安全接入数据实现动态安全远程连接，实现业务连续；该安全管理单元还可以对安全防护单元和安全防护装置中的接入信息进行管理；该安全管理单元还可以管理该安全防护装置向外发送数据的能力。例如当安全管理服务器收到安全检测单元310的通知之后，确定由远端服务器或客户端中的安全防护装置发送过来攻击时，安全管理单元可以向发送攻击的远端服务器或客户端中的安全防护装置发布一个虚假的IP端口，不再将数据发送至安全服务的IP或端口，同时转换安全防护单元的IP地址或端口号，保证受保护的业务服务器免受攻击。在一个示例中，在每一次的安全防护功能启用时，该安全管理单元可以通知被保护的业务服务器的管理员以进行相关记录或处理。

上文提到的远程服务器或客户端中的网络安全防护装置可配合图3中的网络安全服务器进行网络安全防护工作，图4是本发明实施例的网络安全防护装置的示意性结构框图。该装置400用于对业务服务器具有接入需求的服务器或客户端，该装置包括：接收单元410和更新单元420，该接收单元410被配置为接收网络安全服务器发来的业务服务器的接入信息；更新单元420被配置为比较业务服务器的接入信息与自身原有的业务服务器的接入信息，若不同，则将自身原有的业务服务器的接入信息更新为接收的业务服务器的接入信息，其中，接收的业务服务器的接入信息为与业务服务器的原始接入信息具有映射关系的间接接入信息，以进行网络安全防护。在一个示例中，该装置还可以包括告警单元430被配置为接收网络安全服务器发来的告警消息，根据告警消息进行自检。应理解，该安装在对端有接入需求的服务器或客户端中的安全防护装置，下可称安全组件，该安全组件可以与网络安全服务器中的安全管理单元相连接，当业务服务器的接入信息发生变化时，安全管理单元会下发新的安全接入信息至安全组件中。在一个示例中，当安全管理单元下发新的安全接入信息至安全组件后，远端服务器的服务程序或客户端的可以通过自身程序扫描更新业务服务器的接入信息，实现动态安全远程连接，实现业务连续；在一个示例中，该安全组件也可以提供程序更新业务服务器的接入信息，实现动态安全远程连接，实现业务连续。在一个示例中，当发现远端服务器或客户端中毒或被侵入，例如检测到远端服务器或客户端为源发起基于业务连接，在安全检测单元发现后，可以通知安全管理单元，由安全管理单元触发安全组件，发布假的业务服务器的接入信息，例如假的IP地址和端口号，以使网络攻击数据不再发送至安全防护单元的IP或端口，保证受保护的安全防护单元后端的业务服务器免受攻击，同时转换安全防护单元的IP或端口，以使正常的客户端或远端服务器与业务服务器能够正常通信。

图5是本发明实施例的网络安全防护系统的示意性结构框图。该网络安全防护系统，包括：一个或多个上述网络安全服务器；一个或多个上述网络安全防护装置；上述网络安全防护装置接收上述网络安全服务器发来的业务服务器的接入信息。该系统中的各个服务器或装置的上述和其它操作和/或功能分别为了实现图1至图2中的各个方法的相应流程，为了简洁，在此不再赘述。

图6是经由本发明实施例的网络安全防护系统进行网络安全防护的示例性过程。如图6所示，该网络安全服务器中的安全检查单元、安全管理单元和安全防护单元可以设置成分离的具有相应功能的服务器，该网络安全防护装置可以以设置在客户端或远端服务器中的安全组件进行表示。在一个示例中，该分离设置的网络安全管理服务器可以于其他服务器分离地设置在网络云端。在一个示例中，在云端安全管理服务器设置有多个网段的IP池数据、端口池数据和安全防护策略。当安全检测服务器发现其保护的服务器业务IP或端口遭受网络攻击等行为时，触发云端安全管理服务器启动防护功能，将不同网段的新IP或端口同步给安全防护服务器进行IP或端口的转换，实现主动安全防护，并由安全防护服务器完成与后端业务服务器的网络对接，规避针对暴露在互联网服务器的某一IP或端口的网络攻击行为。现以网络攻击类型为业务请求发送方攻击的情况为例结合图6进行说明，如果网络攻击来自远端服务器，为保证业务服务器正常运行，云端安全管理服务器将向安全组件发布一个虚假的IP或端口指向，同时变更安全防护服务器的业务接入IP或端口，断开攻击。通知远端服务器管理者检查自身服务器状态，及时恢复业务连接。业务服务器在云端安全管理服务器上进行注册，注册业务服务器的接入信息，将业务服务器对外发布的即原始接入信息IP：211.137.35.66、端口：8080；远端服务器A和B安装设置安全组件，实现数据安全连接；云端安全管理服务器下发至安全防护服务器业务服务使用的IP:211.137.35.66、端口：8080。同时发布安全服务器使用的2个对外IP端口211.137.35.88：8888和211.137.35.88：6666至安全组件A、B中；安全防护服务器接收数据后，将211.137.35.88：8888和211.137.35.88：6666与业务服务器的原始接入信息211.137.35.66：8080匹配实现接入连接；安全组件A和B接收到211.137.35.88：8888和211.137.35.88：6666的接入信息数据后分别通知远端服务器程序，使用连211.137.35.88：8888和211.137.35.88：6666作为各自业务服务接入的IP、端口；远端服务器A使用211.137.35.88：8888连接业务服务器，进行正常的业务服务通信。远端服务器B使用211.137.35.88：6666连接业务服务器，进行正常的业务服务通信；当安全检测服务器通过业务服务接入IP：211.137.35.88：8888发现发往安全防护服务器的网络数据包中有攻击的信息时，判断攻击源是远端服务器A发起的攻击，通知云端安全管理服务器开启安全防护功能，一方面调取新段的IP、端口进行转换预防攻击，将在资源池中自动调取新的211.137.35.99：7777进行业务服务IP端口的转换来预防攻击，通知安全防护服务器和安全组件B进行接入信息数据更新，一方面发布一个预防攻击的虚假IP端口211.137.35.100：7890发布至攻击的安全组A件中，原来使用的211.137.35.88:8888接入信息数据终止使用；安全组件B接收到接入信息数据更新后通知远端服务器或客户端程序更新连接211.137.35.99：7777。攻击安全组件A接收到接入信息数据更新后通知远端服务器或客户端程序更新连接211.137.35.100：7890；安全防护服务器接收到211.137.35.99：7777更新接入信息数据后，改变接入规则，将更新后的211.137.35.99：7777与后端的业务服务器的211.137.35.66：8080重新映射建立连接关系。虚假IP端口211.137.35.100：7890将指入空洞，阻断攻击行为，保证正常的业务通信；远端服务器B将通过新发布的211.137.35.99：7777与业务服务器211.137.35.66：8080建立连接，进行正常的业务通信；远端服务器A使用新发布的211.137.35.100：7890，阻断攻击行为，保证业务服务器的正常业务通信；更新完成后，云端安全管理服务器将安全防护结果通知业务管理员。为了便于理解，现再以攻击类型为第三方攻击的情况为例结合图6进行说明，业务服务器在云端安全管理服务器上进行注册，注册业务服务器的接入信息，将业务服务器对外发布的原始接入信息IP：211.137.35.66、端口：8080；远端服务器安装设置安全组件，实现数据安全连接；云端安全管理服务器下发至安全防护服务器业务服务使用的IP:211.137.35.66、端口：8080。同时发布安全服务器使用的对外IP：211.137.35.88、端口：8888至安全组件中；安全防护服务器接收数据后，将211.137.35.88：8888与业务服务器的211.137.35.66：8080匹配实现接入连接；安全组件接收到211.137.35.88：8888的数据后通知远端服务器程序，使用211.137.35.88：8888作为业务服务接入的IP、端口；远端服务器使用211.137.35.88：8888连接业务服务器，进行正常的业务服务通信；当安全检测服务器发现发往安全防护服务器的网络数据包中有攻击的信息时，判断攻击目标是外部第三方时，通知云端安全管理服务器开启安全防护功能，将在资源池中自动调取新的211.137.35.99：7777进行业务服务IP端口的转换来预防攻击，通知安全防护服务器和安全组件进行接入信息数据更新，原来使用的211.137.35.88:8888接入信息数据终止使用；安全组件接收到接入信息数据更新后通知远端服务器或客户端程序更新连接211.137.35.99：7777；安全防护服务器接收到211.137.35.99：7777更新接入信息数据后，改变接入规则，将更新后的211.137.35.99：7777与后端的业务服务器的原始接入信息211.137.35.66：8080重新映射建立连接关系；远端服务器将通过新发布的211.137.35.99：7777与业务服务器211.137.35.66：8080建立连接，进行正常的业务通信；更新完成后，云端安全管理服务器将安全防护结果通知业务管理员。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

应理解，在本发明实施例中，“与A相应的B”表示B与A相关联，根据A可以确定B。但还应理解，根据A确定B并不意味着仅仅根据A确定B，还可以根据A和/或其它信息确定B。

计算设备实现。图7是本发明实施例的网络安全服务器的示意性结构框图。如图7所示，结合图1和图3描述的网络安全防护方法和网络安全服务器的至少一部分可以由计算设备700包括输入设备701、输入端口702、处理器703、存储器704、输出端口705、以及输出设备706。其中，输入端口702、处理器703、存储器704、以及输出端口705通过总线710相互连接，输入设备701和输出设备706分别通过输入端口702和输出端口705与总线710连接，进而与计算设备700的其他组件连接。需要说明的是，这里的输出接口和输入接口也可以用I/O接口表示。具体地，输入设备701接收来自外部的输入信息，并通过输入端口702将输入信息传送到处理器703；处理器703基于存储器704中存储的计算机可执行指令对输入信息进行处理以生成输出信息，将输出信息临时或者永久地存储在存储器704中，然后通过输出端口705将输出信息传送到输出设备706；输出设备706将输出信息输出到计算设备700的外部。

上述存储器704包括用于数据或指令的大容量存储器。举例来说而非限制，存储器704可包括HDD、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线(USB)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器704可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器704可在计算设备700的内部或外部。在特定实施例中，存储器704是非易失性固态存储器。在特定实施例中，存储器704包括只读存储器(ROM)。在合适的情况下，该ROM可以是掩模编程的ROM、可编程ROM(PROM)、可擦除PROM(EPROM)、电可擦除PROM(EEPROM)、电可改写ROM(EAROM)或闪存或者两个或更多个以上这些的组合。

总线710包括硬件、软件或两者，将计算设备700的部件彼此耦接在一起。举例来说而非限制，总线710可包括加速图形端口(AGP)或其他图形总线、增强工业标准架构(EISA)总线、前端总线(FSB)、超传输(HT)互连、工业标准架构(ISA)总线、无限带宽互连、低引脚数(LPC)总线、存储器总线、微信道架构(MCA)总线、外围组件互连(PCI)总线、PCI-Express(PCI-X)总线、串行高级技术附件(SATA)总线、视频电子标准协会局部(VLB)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线710可包括一个或多个总线710。尽管本发明实施例描述和示出了特定的总线，但本发明考虑任何合适的总线或互连。

当通过图7所示的计算设备700实现结合图3描述的网络安全服务器时，输入设备701接收发往业务服务器的业务通信请求，在特定实施例中，与输出设备相连的I/O接口可以包括硬件、软件或两者，提供用于在计算设备700与一个或多个I/O设备之间的通信的一个或多个接口。在合适的情况下，计算设备700可包括一个或多个这些I/O设备。一个或多个这些I/O设备可允许人和计算机系统700之间的通信。举例来说而非限制，I/O设备可包括键盘、小键盘、麦克风、监视器、鼠标、打印机、扫描仪、扬声器、静态照相机、触针、手写板、触摸屏、轨迹球、视频摄像机、另一合适的I/O设备或者两个或更多个以上这些的组合。I/O设备可包括一个或多个传感器。本发明实施例考虑用于它们的任何合适的I/O设备和任何合适的I/O接口。在合适的情况下，I/O接口可包括一个或多个装置或能够允许处理器703驱动一个或多个这些I/O设备的软件驱动器。在合适的情况下，I/O接口可包括一个或多个I/O接口。尽管本发明实施例描述和示出了特定的I/O接口，但本发明实施例考虑任何合适的I/O接口。该处理器703基于存储器704中存储的计算机可执行指令，检测发往业务服务器的业务通信请求，当业务通信请求满足攻击事件认定条件时，认定业务通信请求为攻击事件；根据业务通信请求判断攻击事件的攻击类型；根据判断出的攻击类型转换所述业务服务器的接入信息。随后在需要经由输出端口705和输出设备706将上述接入信息输出。

也就是说，根据本发明实施例的网络安全服务器也可以被实现为包括存储有计算机可执行指令的存储器704；以及处理器703，该处理器703在执行计算机可执行指令时，可以实现结合图1和图3描述的网络安全防护方法和网络安全服务器。

在合适的情况下，计算机可执行指令可包括一个或多个基于半导体的或其他集成电路(IC)(例如，诸如现场可编程门阵列(FPGA)或专用IC(ASIC))、硬盘驱动器(HDD)、混合硬盘驱动器(HHD)、光盘、光盘驱动器(ODD)、磁光盘、磁光盘驱动器、软盘、软盘驱动器(FDD)、磁带、全息存储介质、固态驱动器(SSD)、RAM驱动器、安全数字卡或驱动或其他合适的计算机可读非临时性存储介质或者两个或更多个以上这些的组合。

需要明确，本发明并不局限于上文所描述并在图中示出的特定配置和处理。并且，为了简明起见，这里省略对已知方法技术的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后作出各种改变、修改和添加，或者改变步骤之间的顺序。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些端口、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (15)

1.一种网络安全防护方法，用于网络安全服务器，包括：

检测发往业务服务器的业务通信请求，当所述业务通信请求满足攻击事件认定条件时，认定所述业务通信请求为攻击事件；

根据所述业务通信请求判断所述攻击事件的攻击类型；

根据判断出的攻击类型转换所述业务服务器的接入信息，

其中，所述接入信息为与所述业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护；

其中，当判断所述攻击类型为业务请求发送方攻击时，调用预存的虚假间接接入信息发送给所述业务请求发送方；

调用预存的新的间接接入信息发送给正常的业务请求发送方以使正常的业务请求发送方对间接接入信息进行更新；

建立所述新的间接接入信息与所述原始接入信息的映射关系。

2.根据权利要求1所述的方法，其中，所述攻击事件认定条件包括攻击流量和/或攻击频次，所述方法中的所述检测发往业务服务器的业务通信请求，当所述业务通信请求满足攻击事件认定条件时，认定所述业务通信请求为攻击事件的步骤包括：将所述攻击流量和/或攻击频次分别与预设攻击流量和/或攻击频次阈值进行比较，根据比较结果判断所述业务通信请求是否为攻击事件。

3.根据权利要求1所述的方法，还包括：

当判断所述攻击类型为第三方攻击时，调用预存的新的间接接入信息发送给所述业务请求发送方和正常的业务请求发送方，以使所述业务请求发送方和所述正常的业务请求发送方对间接接入信息进行更新；

建立新的间接接入信息与所述原始接入信息的映射关系。

4.根据权利要求1所述的方法，还包括：

当判断所述攻击类型为IP地址攻击时，则转换所述间接接入信息中的IP地址；

当判断所述攻击类型为IP端口攻击时，则同时转换所述间接接入信息中的IP地址和端口号。

5.根据权利要求1或4所述的方法，还包括：向业务请求发送方发送告警消息以使业务请求发送方进行自检。

6.一种网络安全防护方法，用于对业务服务器具有接入需求的服务器或客户端，包括：

接收网络安全服务器发来的所述业务服务器的接入信息，其中，所述接入信息是根据业务通信请求判断得到的攻击类型确定的；比较所述业务服务器的接入信息与自身原有的所述业务服务器的接入信息；

若不同，则将自身原有的所述业务服务器的接入信息更新为接收的所述业务服务器的接入信息，其中，所述接收的所述业务服务器的接入信息为与所述业务服务器的原始接入信息具有映射关系的间接接入信息，以进行网络安全防护。

7.根据权利要求6所述的方法，还包括：接收网络安全服务器发来的告警消息，根据所述告警消息进行自检。

8.一种网络安全服务器，包括：

安全检测单元，被配置为检测发往业务服务器的业务通信请求，当所述业务通信请求满足攻击事件认定条件时，认定所述业务通信请求为攻击事件；

安全管理单元，被配置为根据所述业务通信请求判断所述攻击事件的攻击类型；根据判断出的攻击类型转换所述业务服务器的接入信息，

其中，所述接入信息为与所述业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护；

所述安全管理单元还被配置为：

当判断所述攻击类型为业务请求发送方攻击时，调用预存的虚假间接接入信息发送给所述业务请求发送方；

调用预存的新的间接接入信息发送给正常的业务请求发送方以使正常的业务请求发送方对间接接入信息进行更新；

其中，所述网络安全服务器还包括安全防护单元，被配置为建立所述新的间接接入信息与所述原始接入信息的映射关系。

9.根据权利要求8所述的网络安全服务器，其中，所述攻击事件认定条件包括攻击流量和/或攻击频次，所述安全检测单元还被配置为：将所述攻击流量和/或攻击频次分别与预设攻击流量和/或攻击频次阈值进行比较，根据比较结果判断所述业务通信请求是否为攻击事件。

10.根据权利要求8所述的网络安全服务器，其中，所述安全管理单元还被配置为：当判断所述攻击类型为第三方攻击时，调用预存的新的间接接入信息发送给所述业务请求发送方和正常的业务请求发送方，以使所述业务请求发送方和所述正常的业务请求发送方对间接接入信息进行更新；

其中，所述网络安全服务器还包括安全防护单元，被配置为建立新的间接接入信息与所述原始接入信息的映射关系。

11.根据权利要求8所述的网络安全服务器，其中，所述安全管理单元还被配置为：

当判断所述攻击类型为IP地址攻击时，则转换所述间接接入信息中的IP地址；

当判断所述攻击类型为IP端口攻击时，则同时转换所述间接接入信息的IP地址和端口号。

12.根据权利要求8或10所述的网络安全服务器，还包括告警单元，被配置为向业务请求发送方发送告警信息以使业务请求发送方进行自检。

13.一种网络安全防护装置，用于对业务服务器具有接入需求的服务器或客户端，所述装置包括：

接收单元，被配置为接收网络安全服务器发来的所述业务服务器的接入信息，其中，所述接入信息是根据业务通信请求判断得到的攻击类型确定的；

更新单元，被配置为比较所述业务服务器的接入信息与自身原有的所述业务服务器的接入信息，若不同，则将自身原有的所述业务服务器的接入信息更新为接收的所述业务服务器的接入信息，其中，所述接收的所述业务服务器的接入信息为与所述业务服务器的原始接入信息具有映射关系的间接接入信息，用于进行网络安全防护。

14.根据权利要求13所述的装置，还包括告警单元，被配置为接收网络安全服务器发来的告警消息，根据所述告警消息进行自检。

15.一种网络安全防护系统，包括：一个或多个根据权利要求8至12中任一项所述的网络安全服务器；

一个或多个权利要求13或14所述的网络安全防护装置；

所述网络安全防护装置接收所述网络安全服务器发来的业务服务器的接入信息。

Images