CN108229157A

CN108229157A - 服务器入侵预警方法及设备

Info

Publication number: CN108229157A
Application number: CN201711477109.4A
Authority: CN
Inventors: 李庆彬; 张菊元
Original assignee: Beijing Panda Mutual Entertainment Technology Co Ltd
Current assignee: Beijing Panda Mutual Entertainment Technology Co Ltd
Priority date: 2017-12-29
Filing date: 2017-12-29
Publication date: 2018-06-29

Abstract

本申请实施例提供一种服务器入侵预警方法及设备，其中，方法包括：接收到针对服务器的访问请求时，获取所述访问请求对应的特征属性；根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求；当判定所述访问请求为针对所述服务器的非法请求时，以设定的预警策略发出服务器入侵预警。本申请实施例提供的技术方案，能够在服务器响应访问请求之前进行入侵行为的检测和预警，降低了服务器被入侵的风险，提高了服务器的安全性。

Description

服务器入侵预警方法及设备

技术领域

本申请涉及互联网技术领域，尤其涉及一种服务器入侵预警方法及设备。

背景技术

随着互联网技术的发展以及网络的广泛应用，网络安全成为了当前人们越来越重视的问题。服务器，作为提供计算或其他服务的设备，其安全性在当前的网络环境中显得尤为重要。

目前，对服务器的入侵行为种类繁多，且入侵时间的随机性较强。现有技术中，依赖于服务器维护人员进行人工检测的方式实时性差，且效率低。

因此，一种服务器入侵自动预警方法亟待提出。

发明内容

本申请实施例的多个方面提供一种服务器入侵预警方法及设备，用以在服务器响应访问请求之前进行入侵行为的检测和预警，降低了服务器被入侵的风险，提高了服务器的安全性。

本申请实施例提供一种服务器入侵预警方法，包括：

接收到针对服务器的访问请求时，拦截所述访问请求并获取所述访问请求对应的特征属性；

根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求；

当判定所述访问请求为针对所述服务器的非法请求时，以设定的预警策略发出服务器入侵预警。

进一步可选地，所述访问请求对应的特征属性包括：访问者的账号信息、权限信息、访问频率、访问对象、账号登录错误频次和/或本次访问流量。

进一步可选地，根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求之前，还包括：汇总针对服务器的入侵行为对应的历史数据；对所述历史数据进行数据清洗，并从所述数据清洗的结果中提取所述入侵行为对应的特征；将提取到的特征作为服务器入侵匹配模型的训练样本进行模型训练，以得到所述服务器入侵匹配模型。

进一步可选地，根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求，包括：将所述访问请求对应的特征属性作为输入参数，输入所述服务器入侵匹配模型；根据所述服务器入侵匹配模型输出的结果，判断所述访问请求是否为非法请求。

进一步可选地，以设定的预警策略发出服务器入侵预警之后，还包括：切断所述访问请求对应的来源端口以阻止所述访问请求。

本申请实施例还提供一种服务器入侵预警设备，包括：存储器以及处理器；

所述存储器用于存储一条或多条计算机指令；

所述处理器用于执行所述一条或多条计算机指令以用于：

接收到针对服务器的访问请求时，获取所述访问请求对应的特征属性；

进一步可选地，所述处理器还用于：汇总针对服务器的入侵行为对应的历史数据；对所述历史数据进行数据清洗，并从所述数据清洗的结果中提取所述入侵行为对应的特征；将提取到的特征作为服务器入侵匹配模型的训练样本进行模型训练，以得到所述服务器入侵匹配模型。

进一步可选地，所述处理器具体用于，包括：将所述访问请求对应的特征属性作为输入参数，输入所述服务器入侵匹配模型；根据所述服务器入侵匹配模型输出的结果，判断所述访问请求是否为非法请求。

进一步可选地，所述处理器还用于：以设定的预警策略发出服务器入侵预警之后，切断所述访问请求对应的来源端口以阻止所述访问请求。

在本申请实施例中，在接收到针对服务器的访问请求时，预先根据该访问请求的特征属性以及预先训练的服务器入侵匹配模型，确定该访问请求是否为合法请求。进而，能够在确定访问请求为非法请求时，能够及时地进行服务器入侵预警。通过这样的实施方式，能够在服务器响应之前进行检测和预警，降低了服务器被入侵的风险，提高了服务器的安全性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明一实施例提供的服务器入侵预警方法的方法流程图；

图2为本发明另一实施例提供的服务器入侵预警方法的方法流程图；

图3为本发明一实施例提供的服务器入侵预警设备的设备结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明具体实施例及相应的附图对本发明技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明一实施例提供的服务器入侵预警方法的方法流程图，结合图1，该方法包括：

步骤101、接收到针对服务器的访问请求时，拦截所述访问请求并获取所述访问请求对应的特征属性。

步骤102、根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求。

步骤103、当判定所述访问请求为针对所述服务器的非法请求时，以设定的预警策略发出服务器入侵预警。

在步骤101中，服务器指的是能够对用户或者其他机器提供服务的设备，例如查询服务、存储服务或计算服务等。此处所述的服务器，可以是一台服务器设备，也可以是多台服务器设备组成的服务器集群，本申请实施例对此不做限制。

在接收到针对服务器的访问请求时，为了确保服务器的数据安全，本步骤首先拦截所述访问请求。拦截，指的是暂时阻断该访问请求，并可在确定该访问请求的合法性之后，决定释放拦截或持续拦截。访问请求对应的特征属性，指的是访问请求本身的具有的特征及其所携带的附加信息的特征，用于后续步骤中对该访问请求的合法性进行验证。

在步骤102中，服务器入侵匹配模型，是预先根据大量的针对服务器的入侵行为进行模型训练得到的，可用于根据接收到的访问请求的特征属性自动识别该访问请求是否为非法请求。

针对服务器的入侵行为，指的是在非授权的情形下，试图对服务器发起操作的行为，例如存取信息、处理信息或破坏服务器以使得服务器不可靠、不可用的故意行为。

非法请求，指的是访问目的为入侵服务器或可能产生入侵行为的访问请求。

在步骤103中，服务器入侵预警，用于提示服务器的运维系统或运维人员防范入侵行为。设定的预警策略，指的是发出服务器入侵预警的方式。

上述实施例中记载了基于服务器入侵匹配模型判断针对服务器的访问请求是否为非法请求的过程，以下部分将结合图2，对上述过程进行详细阐述。如图2所示，该过程具体包括：

步骤201、接收到针对服务器的访问请求时，拦截所述访问请求并获取所述访问请求对应的特征属性。

步骤202、将所述访问请求对应的特征属性作为输入参数，输入服务器入侵匹配模型。

步骤203、根据所述服务器入侵匹配模型输出的结果，判断所述访问请求是否为非法请求；若为非法请求，执行步骤204；若不是非法请求，则执行步骤205。

步骤204、以设定的预警策略发出服务器入侵预警。

步骤205、响应所述访问请求。

在步骤201中，可选的，本实施例中，在接收到针对服务器的访问请求时，可拦截该访问请求，并获取该访问请求对应的特征属性。

可选的，访问请求对应的特征属性可包括：访问者的账号信息、权限信息、访问频率、访问对象、账号登录错误频次和/或本次访问流量。

其中，访问者的账号信息，可包括访问者的ID(ident ificat ion,身份证明)或IP地址等。访问者的权限信息，指的是该访问者是否有权限访问某一服务器或某一服务器集群。当一服务器集群中包括多台服务器，且每一层级的服务器对应不同的访问权限等级时，访问者的权限信息还包括访问者的权限等级。访问对象，可以包括服务器所能提供的数据读写、查询、删除、计算或其他可能的服务等。账号登录错误频次，可以是来自同一个IP地址或同一个账号的访问请求在设定时间内输入错误密码的次数。本次访问流量，指的设定时间内同一个IP地址或同一个账号发起访问请求的次数。

在步骤202中，在确定访问请求对应的特征属性之后，将特征属性作为服务器入侵匹配模型的输入参数。可选的，服务器入侵匹配模型可根据大量的服务器入侵行为对应的历史数据进行模型训练得到。

可选的，训练服务器入侵匹配模型可首先汇总针对服务器的入侵行为对应的历史数据。其中，入侵行为对应的历史数据可以包括入侵行为发生后所产生的数据，以及发生入侵行为的入侵者对应的所有数据，以保证训练数据的高覆盖性，避免遗漏重要数据。接着，对汇总得到的历史数据进行数据清洗，并从数据清洗的结果中提取入侵行为对应的特征。其中，数据清洗指的是从大量的入侵行为对应的历史数据中获取可靠性更高或者质量更高的数据，以提升模型训练的质量和效率。例如，可清洗掉重复的数据，以及与入侵行为无关的业务逻辑数据等。其中，提取得到的入侵行为对应的特征可以包括入侵行为对应的账号信息、权限信息、入侵时的访问频率、入侵后的访问对象、入侵前的账号登录错误频次和/或入侵时的访问流量等。当然，上述入侵特征仅为举例说明使用，对本申请实施例不构成限制。在实际操作过程中，入侵行为对应的特征还包括与入侵行为相关的其他特征，此处不赘述。之后，将提取到的特征作为服务器入侵匹配模型的训练样本进行模型训练，以得到服务器入侵匹配模型。

可选的，根据提取到的特征进行模型训练可采用基于神经网络、线性/逻辑回归、朴素贝叶斯或KNN(k-Nearest Neighbor，K最近邻分类算法)等机器学习方法，此处不作赘述。

在步骤203中，可选的，在一种情形下，服务器入侵匹配模型包含多个训练得到的入侵行为特征项，将访问请求对应的特征属性输入服务器入侵匹配模型后，该模型可将该特征属性分别与多个入侵行为特征项进行比对，并在比对完成后，输出比对结果。

可选的，比对结果可以是特征属性对应的一个综合相似度，也可以是特征属性中的每一项属性分别对应的相似度。可选的，得到比对结果之后，可判断比对结果是否超出了设定的阈值，进而判断该访问请求是否为非法请求。

例如，当比对结果为特征属性对应的综合相似度时，若该综合相似度大于设定的相似度阈值，则可确定访问请求是非法请求。例如，当对比结果为特征属性中的每一项属性分别对应的相似度时，可根据每一项属性对应的权重，对这多个相似度加权求平均，并在加权平局的结果大于设定的相似度阈值时，确定访问请求是非法请求。

在步骤204中，确定访问请求是非法请求之后，可通过文字消息、语音消息或语音警报等方式发出服务器入侵预警。进而，服务器的运维系统或运维人员可及时发现并阻止入侵行为。

可选的，在本实施例中，在确定访问请求是非法请求之后，还可对该非法请求进行自动阻断。例如，可切断该访问请求对应的来源端口，以避免服务器的安全遭到威胁。

在步骤205中，在确定所述访问请求具有合法性之后，可释放拦截，并响应该访问请求。

需要说明的是，上述实施例所提供方法的各步骤的执行主体均可以是同一设备，或者，该方法也由不同设备作为执行主体。比如，步骤201至步骤203的执行主体可以为设备A；又比如，步骤201和202的执行主体可以为设备A，步骤203的执行主体可以为设备B；等等。

另外，在上述实施例及附图中的描述的一些流程中，包含了按照特定顺序出现的多个操作，但是应该清楚了解，这些操作可以不按照其在本文中出现的顺序来执行或并行执行，操作的序号如101、102等，仅仅是用于区分开各个不同的操作，序号本身不代表任何的执行顺序。另外，这些流程可以包括更多或更少的操作，并且这些操作可以按顺序执行或并行执行。需要说明的是，本文中的“第一”、“第二”等描述，是用于区分不同的消息、设备、模块等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。

以上描述了服务器入侵预警方法的可选实施方式，如图3所示，实际中，该服务器入侵预警方法可通过服务器入侵预警设备实现，如图3所示，该设备包括：存储器31以及处理器32、输入装置33以及输出装置33。

存储器31以及处理器32、输入装置33以及输出装置33可以通过总线或其他方式连接，图3中以总线连接为例。

其中，存储器31用于存储一条或多条计算机指令，并可被配置为存储其它各种数据以支持在服务器入侵预警设备上的操作。这些数据的示例包括用于在服务器入侵预警设备上操作的任何应用程序或方法的指令。

存储器31可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

在一些实施例中，存储器31可选包括相对于处理器32远程设置的存储器，这些远程存储器可以通过网络连接至服务器入侵预警设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

处理器32与存储器31耦合，用于执行所述一条或多条计算机指令以用于：

进一步可选地，处理器32还用于：汇总针对服务器的入侵行为对应的历史数据；对所述历史数据进行数据清洗，并从所述数据清洗的结果中提取所述入侵行为对应的特征；将提取到的特征作为服务器入侵匹配模型的训练样本进行模型训练，以得到所述服务器入侵匹配模型。

进一步可选地，处理器32具体用于，包括：将所述访问请求对应的特征属性作为输入参数，输入所述服务器入侵匹配模型；根据所述服务器入侵匹配模型输出的结果，判断所述访问请求是否为非法请求。

进一步可选地，处理器32还用于：以设定的预警策略发出服务器入侵预警之后，切断所述访问请求对应的来源端口以阻止所述访问请求。

输入装置33可接收输入的数字或字符信息，以及产生与服务器入侵预警设备的用户设置以及功能控制有关的键信号输入。输出装置33可包括显示屏等显示设备。

进一步，如图3所示，该服务器入侵预警设备还包括：电源组件35。电源组件35，为电源组件所在设备的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为电源组件所在设备生成、管理和分配电力相关联的组件。

上述服务器入侵预警设备可执行本申请实施例所提供的服务器入侵预警方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本申请实施例所提供的方法，不再赘述。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本发明的实施例而已，并不用于限制本发明。对于本领域技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims

1.一种服务器入侵预警方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述访问请求对应的特征属性包括：

访问者的账号信息、权限信息、访问频率、访问对象、账号登录错误频次和/或本次访问流量。

3.根据权利要求1所述的方法，其特征在于，根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求之前，还包括：

汇总针对服务器的入侵行为对应的历史数据；

对所述历史数据进行数据清洗，并从所述数据清洗的结果中提取所述入侵行为对应的特征；

将提取到的特征作为服务器入侵匹配模型的训练样本进行模型训练，以得到所述服务器入侵匹配模型。

4.根据权利要求1所述的方法，其特征在于，根据所述特征属性以及预先设置的服务器入侵匹配模型，判断所述访问请求是否为非法请求，包括：

将所述访问请求对应的特征属性作为输入参数，输入所述服务器入侵匹配模型；

根据所述服务器入侵匹配模型输出的结果，判断所述访问请求是否为非法请求。

5.根据权利要求1-4中任一项所述的方法，其特征在于，以设定的预警策略发出服务器入侵预警之后，还包括：

切断所述访问请求对应的来源端口以阻止所述访问请求。

6.一种服务器入侵预警设备，其特征在于，包括：存储器以及处理器；

所述存储器用于存储一条或多条计算机指令；

所述处理器用于执行所述一条或多条计算机指令以用于：

7.根据权利要求6所述的设备，其特征在于，所述访问请求对应的特征属性包括：

8.根据权利要求6所述的设备，其特征在于，所述处理器还用于：

汇总针对服务器的入侵行为对应的历史数据；

9.根据权利要求6所述的方法，其特征在于，所述处理器具体用于，包括：

10.根据权利要求6-9中任一项所述的设备，其特征在于，所述处理器还用于：

以设定的预警策略发出服务器入侵预警之后，切断所述访问请求对应的来源端口以阻止所述访问请求。