CN109413095A - 防御攻击的方法及装置 - Google Patents

Abstract

本公开涉及一种防御攻击的方法及装置，该方法包括：在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常；在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。由此，即使集群中的节点被攻击者攻破，攻击者也无法将所窃取的通信密钥应用于集群中的除该被攻破的节点以外的其它节点，从而可以防止攻击者进一步攻击其它节点，提高了集群的鲁棒性。

Description

防御攻击的方法及装置

技术领域

本公开涉及通信技术领域，尤其涉及一种防御攻击的方法及装置。

背景技术

大数据(英文：big data)又称为巨量资料，具有如下特征：数据量(英文：volumes)大，如超过10TB规模的数据量，通常是大型数据集；数据类型(英文：variety)多，数据来自多种数据源，种类和格式丰富，如结构化数据、半结构化数据和非结构化数据等；数据处理速度(英文：velocity)快，在数据量庞大的情况下，能够做到数据实时处理；数据真实性(英文：veracity)高，随着社交数据、企业内容、交易、应用数据的兴起，需要有效信息确保数据的真实性和安全性。

为了实现大数据的相关功能，需要在大数据集群中部署大量设备。然而，如果某台设备被攻破，则该台设备会成为大数据集群中的“内鬼节点”(英文：Molespyrat)，从而对大数据集群的安全造成威胁。其中，“内鬼节点”是指大数据集群中被攻击者控制的设备。

发明内容

有鉴于此，本公开提出了一种防御攻击的方法及装置。

根据本公开的一方面，提供了一种防御攻击的方法，应用于包括多个节点的集群中的管理设备，所述方法包括：

在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常；

在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

根据本公开的另一方面，提供了一种防御攻击的装置，应用于包括多个节点的集群中的管理设备，所述装置包括：

确定模块，用于在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常；

处理模块，用于在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

本公开实施例提供的技术方案可以包括以下有益效果：实时检测节点是否发生异常，在检测到异常时，更新集群的通信密钥并且将更新后的通信密钥发送至除发生异常的节点以外的其它节点，由此，仅向除发生异常的节点以外的其它节点发送更新后的通信密钥，而不向发生异常的节点发送更新后的通信密钥，因此，即使集群中的节点被攻击者攻破，攻击者也无法将所窃取的通信密钥应用于集群中的除该被攻破的节点以外的其它节点，从而可以防止攻击者进一步攻击其它节点，提高了集群的鲁棒性。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1是根据一示例性实施例示出的一种防御攻击的方法的流程图。

图2是根据一示例性实施例示出的一种防御攻击的装置的框图。

图3是根据一示例性实施例示出的一种用于防御攻击的装置的硬件结构框图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

图1是根据一示例性实施例示出的一种防御攻击的方法的流程图，该方法可以应用于包括多个节点的集群中的管理设备。如图1所示，该方法可以包括如下步骤。

在步骤S110中，在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常。

本实施例中，一个集群包括多个用于处理大数据业务的设备(也可以称为节点)，每个节点部署对应的服务组件并且通过所部署的服务组件来处理大数据业务，管理设备用于管理该多个节点。各节点可能受到攻击者的非法攻击，并且在一个节点被攻破时，该节点发生异常，集群的通信密钥可能被攻击者窃取，攻击者将所窃取的通信密钥应用于集群中的除发生异常的节点以外的其它节点，从而进一步攻击其它节点。其中，发生异常的节点被称为“内鬼节点”。

各节点运行时在多个维度中的每个维度下产生对应的数据，其中，该多个维度包括但不限于网络端口、CPU利用率、文件校验、节点角色等。本实施例获取各节点在多个维度下的数据，确定各节点在多个维度中的每个维度下的数据是否发生异常，并且在检测到节点在一个维度下的数据发生异常时，确定为该节点发生异常。

为避免发生异常的节点进一步对集群中其他节点造成危害，本实施例在确定为发生异常的至少一个节点时，更新整个集群的通信密钥，并向除发生异常的节点以外的其它节点发送更新后的通信密钥，即执行下述步骤S130。在没有检测到发生异常的任何节点的情况下，可以周期性地更新通信密钥，即继续执行步骤S110。

在一种可能的实现方式中，步骤S110可以包括：

在所述第一时间段内，获取各节点运行时在多个维度下的数据；

针对每个维度下的数据，确定所获取的节点在该维度下的数据是否包含在该节点在该维度下的正常数据范围内；

若没有包含在所述正常数据范围内，则确定为该节点发生异常。

本实施例中，各节点在每个维度下的数据具有正常数据范围，其中该正常数据范围是节点正常运行时在每个维度下的数据的取值范围，管理设备可以预先定义各节点在每个维度下的正常数据范围。

由于发生异常的节点运行时在至少一维度下的数据不会包含在该节点在该维度下的正常数据范围内，因此可以获取各节点运行时在多个维度下的数据，并且根据所获取的各节点在每个维度下的数据是否包含在该节点在该维度下的正常数据范围内，来确定该节点是否发生异常。其中，若所获取的各节点在某一维度下的数据没有包含在该节点在该维度下的正常数据范围内，则确定为该节点发生异常；反之，则确定为该节点没有发生异常。

示例性的，已知节点A的节点角色为Spark计算节点并且Spark计算节点的网络端口的吞吐量范围为第一取值范围，假设获取到节点A的网络端口的吞吐量远大于该第一取值范围的最大值，则所获取的节点A在网络端口这一维度下的数据没有包含在节点A在该维度下的第一取值范围内，因而确定为节点A发生异常。

在一种可能的实现方式中，步骤S110可以包括：

在所述第一时间段内，获取各节点运行时在多个维度下的数据；

针对每个维度下的数据，根据所获取的节点在该维度下的数据，确定该节点在该维度下的数据在预定时间段的变化量；

若该节点在该维度下的变化量与在该维度下的预设变化量范围匹配，则确定为该节点发生异常，所述预设变化量范围是依据异常或正常的节点在该维度下的数据在所述预定时间段的变化量设置。

本实施例中，可以利用已经检测出的“内鬼节点”，即，存储“内鬼节点”在多个维度下的数据在预定时间段的变化量，例如“内鬼节点”的网络端口、CPU利用率、文件校验、节点角色等在预定时间段的变化量。

预设变化量范围可以是一个数值范围，也可以包括具体的数值。例如，可以将“内鬼节点”在多个维度中的每个维度下的数据在预定时间段的变化量设置为该维度下的预设变化量范围，也可以依据该变化量设置相应的容错值，并依据该变化量以及容错值，确定预设变化量范围。当然，针对不同的维度，预设变化量范围可能并不一样，本实施例并不限定预设变化量范围的其他实现方式，只要能够根据该变化量设置预设变化量范围即可。例如：还可以依据正常节点在多个维度中的每个维度下的数据在预定时间段的变化量，确定正常的变化量范围，并依据正常的变化量范围，确定预设变化量范围。

获取各节点运行时在每个维度下的数据，计算各节点在该维度下的数据在预定时间段的变化量，并且根据所获取的各节点在每个维度下的数据在预定时间段的变化量与在该维度下的预设变化量范围是否匹配，来确定该节点是否发生异常。其中，若所获取的各节点在某一维度下的数据在预定时间段的变化量与在该维度下的预设变化量范围匹配，则确定为该节点发生异常；反之，则确定为该节点没有发生异常。

示例性的，已知节点A为“内鬼节点”并且节点A的网络端口的吞吐量在预定时间段的变化量为第一值H(即，网络端口的预设变化量为第一值)，假设容错值为△h，则可以设置预设变化量范围为(H-△h，H+△h)，假设获取到节点B的网络端口的吞吐量在预定时间段的变化量为第二值并且第二值包含在(H-△h，H+△h)内，则所获取的节点B在网络端口这一维度下的数据在预定时间段的变化量与预设变化量范围匹配，因而确定为节点B发生异常。

在另一个示例中，已知节点C为“正常节点”并且节点C的网络端口的吞吐量在预定时间段的变化量为第一值H(即，网络端口的预设变化量为第一值)，假设容错值为△h，则可以确定正常数据的变化量范围为(H-△h，H+△h)，那么依据未位于正常数据的变化量范围的变化量，可以确定预设变化量范围为小于H-△h和大于H+△h。假设获取到节点B的网络端口的吞吐量在预定时间段的变化量为第二值并且第二值远大于H+△h，则所获取的节点B在网络端口这一维度下的数据在预定时间段的变化量与预设变化量范围匹配，因而确定为节点B发生异常。

在步骤S130中，在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

本实施例中，如果确定出发生异常的节点，则更新集群的通信密钥，并且将更新后的通信密钥仅发送至集群中除发生异常的节点以外的其它各节点。即使攻击者窃取了集群当前所使用的通信密钥，由于更新后的通信密钥没有发送至发生异常的节点，因此攻击者使用所窃取的通信密钥无法攻击没有发生异常的节点。

在一种实现方式中，可以根据所述集群的密钥集合，更新所述集群的通信密钥。

本实施例中，每个集群具有对应的密钥集合，可以从该密钥集合中选择密钥，并且使用所选择的密钥来更新集群的通信密钥。其中，密钥集合包括该集群的多个密钥，每个密钥是管理设备与集群中的各节点之间进行通信所使用的密钥。可以预设集群的密钥集合，也可以根据加密算法生成密钥集合。

本实施例的防御攻击的方法，实时检测节点是否发生异常，在检测到异常时，更新集群的通信密钥并且将更新后的通信密钥发送至除发生异常的节点以外的其它节点，由此，仅向除发生异常的节点以外的其它节点发送更新后的通信密钥，而不向发生异常的节点发送更新后的通信密钥，因此，即使集群中的节点被攻击者攻破，攻击者也无法将所窃取的通信密钥应用于集群中的除该被攻破的节点以外的其它节点，从而可以防止攻击者进一步攻击其它节点，提高了集群的鲁棒性。

在一种实现方式中，管理设备还可以记录发生异常的节点标识及该异常节点在各维度下的数据，以丰富前述在各维度下的预设变化量范围。

为避免某些节点未接收到更新后的通信密钥，仍与发生异常的节点进行通信的情况，管理设备还可以在检测到异常的节点时，向所述多个节点中的除发生异常的节点以外的其它节点发送通告消息，该通告消息包括发生异常的节点标识，以向除发生异常的节点以外的其它节点通告哪些节点发生异常，使未发生异常的节点丢弃发生异常的节点发送的报文。

在一种可能的实现方式中，上述方法还可以包括：

在确定为所述多个节点均没有发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述各节点。

本实施例中，无论是否检测到异常，都可以周期性地更新集群的通信密钥，由此可以防止攻击者分析出集群的通信密钥从而使用分析出的通信密钥来攻击集群中的各节点。其中，在检测到异常时，将更新后的通信密钥仅发送至除发生异常的节点以外的其它节点；在没有检测到异常时，将更新后的通信密钥发送至集群中的所有节点。

在一种可能的实现方式中，上述方法还可以包括：

在长度比所述第一时间段长的第二时间段内，更新所述密钥集合。

本实施例中，无论是否检测到异常，都可以通过如下方式来周期性地更新集群的密钥集合：从算法库中选择加密算法，根据所选择的加密算法生成新的密钥集合。由此，在大周期内(第二时间段)更新集群的密钥集合，并且在小周期内(第一时间段)根据密钥集合更新集群的通信密钥，由此可以进一步防止攻击者分析出集群的通信密钥从而使用分析出的通信密钥来攻击集群中的各节点。

图2是根据一示例性实施例示出的一种防御攻击的装置的框图。如图2所示，该装置可以包括确定模块210和处理模块220。

确定模块210用于在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常。

处理模块220与确定模块210连接，用于在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

在一种可能的实现方式中，处理模块220还用于：

在确定为所述多个节点均没有发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述各节点。

在一种可能的实现方式中，处理模块220还用于：

根据所述集群的密钥集合，更新所述集群的通信密钥。

在一种可能的实现方式中，处理模块220还用于：

在长度比所述第一时间段长的第二时间段内，更新所述密钥集合。

在一种可能的实现方式中，确定模块210被配置为：

针对每个维度下的数据，确定所获取的节点在该维度下的数据是否包含在该节点在该维度下的正常数据范围内；

若没有包含在所述正常数据范围内，则确定为该节点发生异常。

在一种可能的实现方式中，确定模块210被配置为：

针对每个维度下的数据，根据所获取的节点在该维度下的数据，确定该节点在该维度下的数据在预定时间段的变化量；

若该节点在该维度下的变化量与在该维度下的预设变化量范围匹配，则确定为该节点发生异常，所述预设变化量范围是依据异常或正常的节点在该维度下的数据在所述预定时间段的变化量设置。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图3是根据一示例性实施例示出的一种用于防御攻击的装置的硬件结构框图。参照图3，该装置900可包括处理器901、存储有机器可执行指令的机器可读存储介质902。处理器901与机器可读存储介质902可经由系统总线903通信。并且，处理器901通过读取机器可读存储介质902中与防御攻击的逻辑对应的机器可执行指令以执行上文所述的防御攻击的方法。

本文中提到的机器可读存储介质902可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM(Radom Access Memory，随机存取存储器)、易失存储器、非易失性存储器、闪存、存储驱动器(如硬盘驱动器)、固态硬盘、任何类型的存储盘(如光盘、dvd等)，或者类似的存储介质，或者它们的组合。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (10)

1.一种防御攻击的方法，应用于包括多个节点的集群中的管理设备，其特征在于，所述方法包括：

在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常；

在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在确定为所述多个节点均没有发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述各节点。

3.根据权利要求1或2所述的方法，其特征在于，更新所述集群的通信密钥，包括：

根据所述集群的密钥集合，更新所述集群的通信密钥。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在长度比所述第一时间段长的第二时间段内，更新所述密钥集合。

5.根据权利要求1或2所述的方法，其特征在于，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常，包括：

针对每个维度下的数据，确定所获取的节点在该维度下的数据是否包含在该节点在该维度下的正常数据范围内；

若没有包含在所述正常数据范围内，则确定为该节点发生异常。

6.根据权利要求1或2所述的方法，其特征在于，所述若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常，包括：

针对每个维度下的数据，根据所获取的节点在该维度下的数据，确定该节点在该维度下的数据在预定时间段的变化量；

若该节点在该维度下的变化量与在该维度下的预设变化量范围匹配，则确定为该节点发生异常，所述预设变化量范围是依据异常或正常的节点在该维度下的数据在所述预定时间段的变化量设置。

7.一种防御攻击的装置，应用于包括多个节点的集群中的管理设备，其特征在于，所述装置包括：

确定模块，用于在第一时间段内，获取所述多个节点中的各节点运行时在多个维度下的数据，若所述节点在所述多个维度中的至少一个维度下的数据发生异常，则确定为该节点发生异常；

处理模块，用于在确定为所述多个节点中的至少一个节点发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述多个节点中的除发生异常的节点以外的其它节点。

8.根据权利要求7所述的装置，其特征在于，所述处理模块还用于：

在确定为所述多个节点均没有发生异常时，更新所述集群的通信密钥，并且将更新后的通信密钥发送至所述各节点。

9.根据权利要求7或8所述的装置，其特征在于，所述确定模块被配置为：

针对每个维度下的数据，确定所获取的节点在该维度下的数据是否包含在该节点在该维度下的正常数据范围内；

若没有包含在所述正常数据范围内，则确定为该节点发生异常。

10.根据权利要求7或8所述的装置，其特征在于，所述确定模块被配置为：

针对每个维度下的数据，根据所获取的节点在该维度下的数据，确定该节点在该维度下的数据在预定时间段的变化量；

若该节点在该维度下的变化量与在该维度下的预设变化量范围匹配，则确定为该节点发生异常，所述预设变化量范围是依据异常或正常的节点在该维度下的数据在所述预定时间段的变化量设置。