CN108777679A - 终端的流量访问关系生成方法、装置和可读存储介质 - Google Patents

Abstract

本发明公开了一种终端的流量访问关系生成方法，所述终端的流量访问关系生成方法包括以下步骤：在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系。本发明还提供一种终端的流量访问关系生成装置和可读存储介质。本发明的流量访问关系生成装置智能化程度高。

Description

终端的流量访问关系生成方法、装置和可读存储介质

技术领域

本发明涉及通信技术领域，尤其涉及终端的流量访问关系生成方法、装置和可读存储介质。

背景技术

随着社会的进步，网络已成为人们生活中必不可少的部分。

人们通过网络可以查找想获得的资料和讯息，也即人们通过终端获得资料以及讯息的同时，终端必然会产生访问流量。

终端在进行流量访问时，不可避免或接触一些恶意程序，从而使得终端的流量出现异常，甚至对终端的程序造成破坏，基于此，人们设置用于监控终端网络安全的装置。

现有技术中，监控终端网络安全的装置只能检测终端的流量是否发生异常，并不能确定与该终端发生异常流量访问的其他终端。

发明内容

本发明的主要目的在于提供一种终端的流量访问关系生成方法、装置和可读存储介质，旨在解决监控终端网络安全的装置智能化程度低的问题。

为实现上述目的，本发明提供一种终端的流量访问关系生成方法，所述终端的流量访问关系生成方法包括以下步骤：

在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；

根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；

根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系。

优选地，所述根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量的步骤包括：

获取所述流量访问信息中的访问路径标识以及所述访问路径标识对应的访问流量；

根据所述访问路径标识确定各个所述对象之间的流量走向，并将所述访问路径对应的访问流量作为所述流量走向对应的访问流量。

优选地，所述确定所述流量访问信息对应的各个对象的步骤包括：

解压所述流量访问信息；

对解压后的流量访问信息进行解密，并确定解密后的流量访问信息对应的各个对象。

优选地，所述根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量的步骤之后，还包括：

判断所述访问流量是否异常；

在所述访问流量异常时，切断所述访问流量对应的各个所述对象之间的流量访问。

优选地，所述判断所述访问流量是否异常的步骤包括：

确定各个所述对象之间的流量阈值；

判断所述对象之间的访问流量是否大于对应的流量阈值，其中，在所述对象之间的访问流量大于对应的流量阈值时，判定所述访问流量异常。

优选地，所述访问流量包括接收流量及/或发送流量。

优选地，所述根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系的步骤之后，还包括：

在当前时间点达到预设时间点时，显示各个所述对象之间的流量访问关系。

为实现上述目的，本发明还提供一种终端的流量访问关系生成装置，所述终端的流量访问关系生成装置包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如上所述的终端的流量访问关系生成方法的步骤。

为实现上述目的，本发明还提供一种可读存储介质，所述可读存储介质存储有终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如上所述的终端的流量访问关系生成方法的步骤。

本发明提供的终端的流量访问关系生成方法、装置和可读存储介质，在接收到流量访问信息时，确定流量访问信息对应的对象，对象包括终端及/或终端的应用，再根据流量访问关系确定各个对象之间的流量走向以及流量走向对应的访问流量，由此根据流量走向以及访问流量生成各个对象之间的流量访问关系；因装置能够生成并显示各个终端之间的流量访问关系，使得监控人员能够根据流量访问关系及时发现流量异常的终端，从而及时对该终端采取措施，用于监控终端网络安全的终端的流量访问关系生成装置智能化程度高。

附图说明

图1为本发明实施例所涉及的终端的流量访问关系生成装置的硬件结构示意图；

图2为本发明终端的流量访问关系生成方法的第一实施例的流程示意图；

图3为本发明第一实施例中各个终端之间的流量访问关系图；

图4为本发明第一实施例中各个终端的应用之间的流量访问关系图；

图5为本发明终端的流量访问关系生成方法的第二实施例的流程示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例的主要解决方案是：在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系。

由于现有技术中，监控终端网络安全的装置只能检测终端的流量是否发生异常，并不能确定与该终端发生异常流量访问的其他终端。

本发明提供一种解决方案，因装置能够生成并显示各个终端之间的流量访问关系，使得监控人员能够根据流量访问关系及时发现流量异常的终端，从而及时对该终端采取措施，监控终端网络安全的终端的流量访问关系生成装置智能化程度高。

作为一种实现方案，终端的流量访问关系生成装置的硬件结构可以如图1所示。

参照图1，图1所示结构为终端的流量访问关系生成装置的硬件结构示意图，该终端的流量访问关系生成装置可以包括：处理器1001，例如CPU，存储器1002，通信总线1003。其中，通信总线1003用于实现该终端的流量访问关系生成装置中各组成部件之间的连接通信。存储器1002可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1002可选的还可以是独立于前述处理器1001的存储装置。如图1所示，作为一种计算机存储介质的存储器1002中可以包括终端的流量访问关系生成程序。

在图1所示的设备所涉及的硬件中处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；

根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；

根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

获取所述流量访问信息中的访问路径标识以及所述访问路径标识对应的访问流量；

根据所述访问路径标识确定各个所述对象之间的流量走向，并将所述访问路径对应的访问流量作为所述流量走向对应的访问流量。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

解压所述流量访问信息；

对解压后的流量访问信息进行解密，并确定解密后的流量访问信息对应的各个对象。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

判断所述访问流量是否异常；

在所述访问流量异常时，切断所述访问流量对应的各个所述对象之间的流量访问。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

确定各个所述对象之间的流量阈值；

判断所述对象之间的访问流量是否大于对应的流量阈值，其中，在所述对象之间的访问流量大于对应的流量阈值时，判定所述访问流量异常。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

所述访问流量包括接收流量及/或发送流量。

进一步的，在一个实施例中，处理器1001可以用于调用存储器1002中存储的终端的流量访问关系生成程序，并执行以下操作：

在当前时间点达到预设时间点时，显示各个所述对象之间的流量访问关系。

本实施例根据上述方案，在接收到流量访问信息时，确定流量访问信息对应的对象，对象包括终端及/或终端的应用，再根据流量访问关系确定各个对象之间的流量走向以及流量走向对应的访问流量，由此根据流量走向以及访问流量生成各个对象之间的流量访问关系；因装置能够生成并显示各个终端之间的流量访问关系，使得监控人员能够根据流量访问关系及时发现流量异常的终端，从而及时对该终端采取措施，用于监控终端网络安全的终端的流量访问关系生成装置智能化程度高。

基于上述硬件构架，提出本发明终端的流量访问关系生成方法的实施例。

参照图2，图2为本发明终端的流量访问关系生成方法的第一实施例，所述终端的流量访问关系生成方法包括以下步骤：

步骤S10，在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；

在本发明中，执行主体为终端的流量访问关系生成装置，该装置与多个终端通信连接，终端可以是服务器主机、电脑、手机等智能设备，终端的流量访问关系生成装置可视为检测各个终端网络安全的系统，该装置适用于终端的检测与响应领域(EDR领域)，也可适用于虚拟化终端的网络安全检测。终端部署有探针软件，探针软件可对终端上的流量数据进行实时或定时采集，再将实时采集的数据上传至终端的流量访问关系生成装置，当然，终端也即采集流量的具体流向，也即确定终端之间的流量走向，再将流量走向以及流量走向对应的访问流量打包上传至装置。

具体的，终端包括数据采集模块、数据缓存模块以及数据发送模块，在当终端与其他终端发生网络行为时(连接数据、收发数据)时，这些网络行为会进入数据缓存模块(若终端为Windows平台，数据缓存模块是基于WFP框架设计的；若终端为linux平台，数据缓存模块是基于netfilter框架设计的)，此时数据缓存模块保存进程信息、五元组(源IP地址，源端口，目的IP地址，目的端口和传输层协议)，在当装置需要获取终端的流量数据时，向终端下发指令，此时，终端的数据采集模块采集数据缓存模块内保存的流量访问信息，然后，通过数据发送模块将流量访问信息向装置发送；装置可以定时向终端发送获取流量数据的指令，该指令也可为用户对装置发送，即在当前时间点达到预设时间点时，终端的流量访问关系生成装置会向各个终端下发获取流量访问信息的指令，从而各个终端对应的流量访问信息，或者，终端定时向装置发送流量访问信息。进一步的，终端的探针软件获取终端内各个应用之间的访问流量以及流量走向，且获取该终端的应用与其他终端的应用之间的访问流量以及流量走向，也即流量访问信息中不仅含有终端之间的的流量走向以及流量走向对应的访问流量，还含有各个终端的应用之间(包括终端内的各个应用之间)的流量走向以及该流量走向对应的访问流量。另外，访问流量包括接收流量、发送流量以及总流量，总流量为接收流量与发送流量的总和，比如，终端A与终端B之间具有流量访问关系，终端A访问终端B的流量为250MB，终端B访问终端A的流量为200M，也即终端A的接收流量为200MB、发送流量为250M、总流量为450MB，反之，终端B的接收流量为250MB、发送流量为200MB、总流量为450MB。

需要说明的是，为了终端传输的流量访问信息的安全性，终端可对即将上传的流量访问信息进行加密处理，进一步的，为了减少终端与装置之间的传输量，终端可对加密的流量访问信息进行压缩。也即装置需要解压流量访问信息得到解压后的流量访问信息，然后解密解压后的流量访问信息得到解密信息，从而根据解密信息获得各个终端之间的流量访问关系以及访问流量。

步骤S20，根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；

步骤S30，根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系；

在当装置获取得到各个终端的流量访问信息后，对流量访问信息进行解析，从而确定各个终端之间的流量走向以及的访问流量，比如，流量访问信息中记载终端A于2017年12月12日向终端B发送了200MB的数据信息并接收终端B传输的350M数据信息，也即终端A与终端B之间具有流量访问关系，其访问流量为550M，当然，访问流量可以分为接收流量以及发送流量，也即终端A的接收流量为350M、发送流量为200M，可以理解是，在流量访问信息为终端A发送时，该流量访问信息中含有终端A与其他终端的流量走向以及流量走向对应的访问流量。

另外，装置可以根据多个终端的流量访问信息进行解析得到各个终端的流量访问关系，具体的，各个终端的流量访问信息中大部分的数据是重叠的，装置会采集一定的策略以筛选重叠的信息；比如，装置管理监控A、B、C三个终端的访问流量，装置首先根据终端A的流量访问信息确定各个终端之间的流量走向，再根据终端B的流量访问信息中获取终端A的流量访问信息中未有的流量走向，以此类推，得到多个不重叠的流量走向及其流量走向对应的访问流量。

例如，终端A的流量访问信息中含有终端A与终端B的流量访问关系以及终端A与终端C终端的流量访问关系；终端B的流量访问信息中含有终端B与终端A的流量访问关系以及终端B与终端C的流量访问关系；终端C的流量访问信息中含有终端B与终端C的流量访问关系以及终端C与终端A的流量访问关系；可以理解的是，终端A的流量访问信息中含有的终端A与终端B的流量访问关系实质与终端B的流量访问信息中的含有终端B与终端A终端的流量访问关系相同、终端A的流量访问信息中含有的A与C终端的流量访问关系实质与终端C的流量访问信息中含有的终端C与终端A的流量访问关系相同、终端B的流量访问信息中含有的终端B与终端C的流量访问关系实质与终端C的流量访问信息中含有的终端C与终端B的流量访问关系相同，也即，装置首先从终端A的流量访问信息获取终端A与终端B的流量访问关系以及终端A与终端C的流量访问关系、再从终端B的流量访问信息获取终端B与终端C之间的流量访问关系即可。

在装置获取各个终端之间的流量访问关系(流量走向)以及访问流量后，根据各个流量走向以及各个访问流量生成各个终端之间的流量访问关系，具体的，装置获取各个终端的图标，然后根据流量走向画出代表各个终端的图标之间的关系图，然后在根据终端之间的访问流量建立图表，图表可在关系图一侧，也即生成的图表以及关系图即为各个终端之间的流量访问关系图，然后显示生成的流量访问关系图，流量访问关系图可如图3所示。需要说明的是，在对象为终端的应用时，流量访问关系图即为各个终端的应用之间的流量访问关系图，其生成的流量与各个终端之间的流量访问关系图的生成流量一致，在此不再一一赘述，各个终端的应用之间的流量访问关系图可如图4所示。

可以理解的是，装置生成有各个终端之间的流量关系访问图以及各个终端的应用之间的流量关系访问图，用户可以根据需求显示对应的流量访问关系图。当然各个终端之间的流量访问关系不仅限于图形表示(流量访问关系图)，还可以是其它的形式，比如直接用文字表述。

装置可以实时显示流量访问关系图，也可以定时显示流量访问关系图，也即，用户可以对流量访问关系图设置定时显示，在当前时间点达到设定的时间时(预设时间点)，显示流量访问关系图。用户可以根据显示流量访问关系图监测各个终端之间的流量。

需要说明的是，在当装置解析终端的流量访问信息得到各个对象之间的流量走向以及流量走向对应的访问流量时，会判断流量是否异常，若异常，则根据访问流量对应的流量走向确定发生异常流量访问的终端或者应用，从而切断终端之间或者应用之间的流量访问；具体的，终端之间(二个终端之间)或者应用之间设置有流量阈值(流量阈值可为经验值，也可以为用户设置)，在当终端之间的访问流量大于流量阈值时，判定访问流量异常。当然，终端之间的访问流量异常并不限于上述情形，还可以根据终端之间的访问流量速率，在访问流量速率突然增大，也可判定终端之间或终端的应用之间的流量访问异常。

本实施例提供的技术方案中，在接收到流量访问信息时，确定流量访问信息对应的对象，对象包括终端及/或终端的应用，再根据流量访问关系确定各个对象之间的流量走向以及流量走向对应的访问流量，由此根据流量走向以及访问流量生成各个对象之间的流量访问关系；因装置能够生成并显示各个终端之间的流量访问关系，使得监控人员能够根据流量访问关系及时发现流量异常的终端，从而及时对该终端采取措施，用于监控终端网络安全的终端的流量访问关系生成装置智能化程度高。

参照图5，图5为本发明终端的流量访问关系生成方法的第二实施例，基于第一实施例，所述步骤S20的步骤包括：

步骤S21，获取所述流量访问信息中的访问路径标识以及所述访问路径标识对应的访问流量；

步骤S22，根据所述访问路径标识确定各个所述对象之间的流量走向，并将所述访问路径对应的访问流量作为所述流量走向对应的访问流量；

在本实施例中，终端或终端的应用之间的流量走向可由访问路径标识表征，也即终端的流量访问信息中含有访问路径标识以及访问路径标识对应的访问流量，访问路径标识可以是数字、文字、字母编号，也可以是数字、文字以及字母等任意组合编号，比如终端A与终端B之间的流量走向对应的访问路径标识为①，①对应的访问流量为200MB；装置会存储各个终端之间以及各个终端的应用之间的访问路径标识，也即服务器接收到终端A的流量访问信息时，根据该流量访问信息确定访问路径标识为①以及①对应的访问流量，从而根据①确定终端A与终端B之间具有流量走向，然后将①对应的访问流量作为流量走向对应的访问流量。

采用这样的手段，使得装置更够快速的对流量访问信息的重叠信息进行筛选(针对装置同时根据多个终端的流量访问信息生成流量访问关系的情况)，比如终端A的流量访问信息中含有①、②；终端B的流量访问信息含有①、③；终端C的流量访问信息含有②、③；装置在终端A的流量访问信息中获取①与②，然后解析终端B的流量访问信息获取③，最后，解析终端C的流量访问信息，得知②与③已被获取，使得装置能够根据访问路径标识快速的筛选信息，从而缩短了各个终端之间以及各个终端的应用的流量访问关系图的生成时长，使得监控人员能够及时的发现访问流量异常的终端，从而及时维护该终端。

需要说明的是，终端设有预处理模块，预处理模块通过hash算法对终端之间以及终端的应用之间的流量走向建立访问路径标识，再将建立的访问路径标识发送至装置，使得装置存储访问路径标识，装置可以根据访问路径标识确定终端之间以及终端内各个应用之间(或各个终端的应用之间)的流量走向。终端只需将初始建立的访问路径标识上传即可。

本实施例提供的技术方案中，终端的流量访问关系生成装置根据流量访问信息获取访问路径标识以及访问路径标识对应的访问流量，从而根据访问路径标识确定各个终端之间或各个终端的应用之间的流量访问关系以及对应的访问流量，使得装置能够根据访问路径标识快速获取各个对象之间的流量访问关系以及对应的访问流量，缩短了流量访问关系的生成时间，进一步使得流量异常的终端能够被及时维护。

本发明还提供一种终端的流量访问关系生成装置，所述终端的流量访问关系生成装置包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如上实施例所述的终端的流量访问关系生成方法的步骤。

本发明还提供一种可读存储介质，所述可读存储介质存储有终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如上实施例所述的终端的流量访问关系生成方法的步骤。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在如上所述的一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端蓝牙设备(可以是手机，计算机，服务器，空调器，或者网络蓝牙设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (9)

1.一种终端的流量访问关系生成方法，其特征在于，所述终端的流量访问关系生成方法包括以下步骤：

在接收到流量访问信息时，确定所述流量访问信息对应的各个对象，其中，所述对象包括终端及/或终端的应用；

根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量；

根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系。

2.如权利要求1所述的终端的流量访问关系生成方法，其特征在于，所述根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量的步骤包括：

获取所述流量访问信息中的访问路径标识以及所述访问路径标识对应的访问流量；

根据所述访问路径标识确定各个所述对象之间的流量走向，并将所述访问路径对应的访问流量作为所述流量走向对应的访问流量。

3.如权利要求1所述的终端的流量访问关系生成方法，其特征在于，所述确定所述流量访问信息对应的各个对象的步骤包括：

解压所述流量访问信息；

对解压后的流量访问信息进行解密，并确定解密后的流量访问信息对应的各个对象。

4.如权利要求1所述的终端的流量访问关系生成方法，其特征在于，所述根据所述流量访问信息确定各个所述对象之间的流量走向以及所述流量走向对应的访问流量的步骤之后，还包括：

判断所述访问流量是否异常；

在所述访问流量异常时，切断所述访问流量对应的各个所述对象之间的流量访问。

5.如权利要求4所述的终端的流量访问关系生成方法，其特征在于，所述判断所述访问流量是否异常的步骤包括：

确定各个所述对象之间的流量阈值；

判断所述对象之间的访问流量是否大于对应的流量阈值，其中，在所述对象之间的访问流量大于对应的流量阈值时，判定所述访问流量异常。

6.如权利要求1-5任一项所述的终端的流量访问关系生成方法，其特征在于，所述访问流量包括接收流量及/或发送流量。

7.如权利要求1-5任一项所述的终端的流量访问关系生成方法，其特征在于，所述根据所述流量走向以及所述访问流量生成各个所述对象之间的流量访问关系的步骤之后，还包括：

在当前时间点达到预设时间点时，显示各个所述对象之间的流量访问关系。

8.一种终端的流量访问关系生成装置，其特征在于，所述终端的流量访问关系生成装置包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如权利要求1-7任一项所述的终端的流量访问关系生成方法的步骤。

9.一种可读存储介质，其特征在于，所述可读存储介质存储有终端的流量访问关系生成程序，所述终端的流量访问关系生成程序被所述处理器执行时实现如权利要求1-7任一项所述的终端的流量访问关系生成方法的步骤。