CN110049065B - 安全网关的攻击防御方法、装置、介质和计算设备 - Google Patents

Abstract

本发明的实施方式提供了一种安全网关的攻击防御方法，安全网关包括至少一个第一运行空间和至少一个第二运行空间，第一运行空间和第二运行空间之间资源相互隔离，第一运行空间用于接收关于指定服务器的第一访问请求并将第一访问请求转发至指定服务器，该方法包括：监测第一运行空间在第一预定周期内接收到的第一访问请求的第一数量；当第一数量大于第一阈值时，指示第一运行空间停止对第一访问请求的接收和转发；以及指示第二运行空间接收第一访问请求，由第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至指定服务器。本发明的实施方式还提供了一种安全网关的攻击防御装置、介质和计算设备。

Description

安全网关的攻击防御方法、装置、介质和计算设备

技术领域

本发明的实施方式涉及计算机技术领域，更具体地，本发明的实施方式涉及安全网关的攻击防御方法、装置、介质和计算设备。

背景技术

本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

现有技术中，通常使用安全网关代理转发模式。真实的服务器架设在安全网关之后，来自客户端的访问请求需经过安全网关的代理转发再到达相应的服务器。基于该安全网关代理转发模式，当发生针对一个服务器的大量高频访问请求时，大量高频的访问请求会将安全网关的资源耗尽，导致该安全网关无法正常执行对针对其他服务器的访问请求的接收和转发，进而导致其他服务器无法正常运行。也就是说，现有技术中的一个服务器遭受攻击时，与该服务器共享使用安全网关的其他服务器的业务也会受到影响。

发明内容

在本上下文中，本发明的实施方式期望提供一种安全网关的攻击防御方法和装置。

在本发明实施方式的第一方面中，提供了一种安全网关的攻击防御方法，所述安全网关包括至少一个第一运行空间和至少一个第二运行空间，所述第一运行空间和所述第二运行空间之间资源相互隔离，所述第一运行空间用于接收关于指定服务器的第一访问请求并将所述第一访问请求转发至所述指定服务器。上述方法包括：监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量；当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发；以及，指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器。

在本发明的一个实施例中，上述方法还包括：监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量；当所述第二数量小于第二阈值时，指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发；以及，指示所述第一运行空间恢复对所述第一访问请求的接收和转发。

在本发明的另一实施例中，上述监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量包括：获取关于所述第一运行空间接收所述第一访问请求的第一日志；以及，基于所述第一日志统计得到所述第一数量。上述指示所述第一运行空间停止对所述第一访问请求的接收和转发包括：指示所述第一运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。上述指示所述第二运行空间接收所述第一访问请求包括：指示所述第二运行空间开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。上述监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量包括：获取关于所述第二运行空间接收所述第一访问请求的第二日志；以及，基于所述第二日志统计得到所述第二数量。上述指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发包括：指示所述第二运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。上述指示所述第一运行空间恢复对所述第一访问请求的接收和转发包括：指示所述第一运行空间重新开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

在本发明的又一实施例中，第二运行空间的容量大于所述指定服务器的容量，第二运行空间的容量大于第一运行空间的容量。

在本发明的再一实施例中，上述方法还包括：如果所述第一数量小于等于第一阈值，且所述第一数量大于所述第一运行空间的容量上限，将接收并转发所述第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对所述第一运行空间进行扩容处理。

在本发明的再一实施例中，上述至少一个第一运行空间中的每一个对应于至少一个指定服务器，所述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

在本发明的再一实施例中，上述由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器包括：由所述第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，所述第三数量小于所述第二运行空间接收到的第一访问请求的数量；以及，将所述第三数量的第一访问请求转发至所述指定服务器。

在本发明实施方式的第二方面中，提供了一种安全网关的攻击防御装置，所述安全网关包括至少一个第一运行空间和至少一个第二运行空间，所述第一运行空间和所述第二运行空间之间资源相互隔离，所述第一运行空间用于接收关于指定服务器的第一访问请求并将所述第一访问请求转发至所述指定服务器。上述装置包括：第一监测模块、第一指示模块、以及第二指示模块。第一监测模块用于监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量。第一指示模块用于当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发。以及，第二指示模块用于指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器。

在本发明的一个实施例中，上述装置还包括：第二监测模块、第三指示模块、以及第四指示模块。第二监测模块，用于监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量。第三指示模块用于当所述第二数量小于第二阈值时，指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发。以及，第四指示模块用于指示所述第一运行空间恢复对所述第一访问请求的接收和转发。

在本发明的另一实施例中，第一监测模块包括：第一获取子模块和第一统计子模块。第一获取子模块用于获取关于所述第一运行空间接收所述第一访问请求的第一日志。以及第一统计子模块用于基于所述第一日志统计得到所述第一数量。所述第一指示模块用于指示所述第一运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。所述第二指示模块用于指示所述第二运行空间开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。第二监测模块包括：第二获取子模块和第二统计子模块。第二获取子模块用于获取关于所述第二运行空间接收所述第一访问请求的第二日志。以及第二统计子模块用于基于所述第二日志统计得到所述第二数量。所述第三指示模块用于指示所述第二运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。所述第四指示模块用于指示所述第一运行空间重新开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

在本发明的又一实施例中，第二运行空间的容量大于所述指定服务器的容量，第二运行空间的容量大于第一运行空间的容量。

在本发明的再一实施例中，上述装置还包括辅助模块，用于当所述第一数量小于等于第一阈值，且所述第一数量大于所述第一运行空间的容量上限时，将接收并转发所述第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对所述第一运行空间进行扩容处理。

在本发明的再一实施例中，上述至少一个第一运行空间中的每一个对应于至少一个指定服务器，上述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

在本发明的再一实施例中，上述由第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器包括：由第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，所述第三数量小于所述第二运行空间接收到的第一访问请求的数量；以及，将所述第三数量的第一访问请求转发至所述指定服务器。

在本发明实施方式的第三方面中，提供了一种介质，存储有计算机可执行指令，指令在被处理器执行时用于实现：上述实施例中任一项所述的安全网关的攻击防御方法。

在本发明实施方式的第四方面中，提供了一种计算设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，处理器执行指令时实现：上述实施例中任一项所述的安全网关的攻击防御方法。

根据本发明实施方式的安全网关的攻击防御方法和装置，由第一运行空间进行对正常访问请求的接收和转发，由第二运行空间进行对大量高频访问请求的接收、筛选和转发，第一运行空间和第二运行空间之间资源相互隔离，二者的执行内容相互独立，互相没有影响。当一个指定服务器遭受攻击时，针对该指定服务器的大量高频访问请求被从第一运行空间转移至第二运行空间，不会影响第一运行空间对其他正常访问请求的接收和转发，即保证其他服务器的正常运行，且第二运行空间对接收到的针对该指定服务器的大量高频访问请求进行筛选后再转发至该指定服务器，确保该指定服务器能够正常运行。

附图说明

通过参考附图阅读下文的详细描述，本发明示例性实施方式的上述以及其他目的、特征和优点将变得易于理解。在附图中，以示例性而非限制性的方式示出了本发明的若干实施方式，其中：

图1示意性地示出了根据本发明实施方式的安全网关的攻击防御方法及其装置的应用场景；

图2示意性地示出了根据本发明一个实施例的安全网关的攻击防御方法的流程图；

图3A示意性地示出了现有技术中安全网关的工作原理的示意图；

图3B示意性地示出了根据本发明一个实施例的安全网关的工作原理的示意图；

图4示意性地示出了根据本发明一个实施例的安全网关的攻击防御装置的框图；

图5示意性地示出了根据本发明另一个实施例的安全网关的攻击防御装置的框图；

图6示意性地示出了根据本发明实施方式的计算机可读存储介质产品的示意图；

图7示意性地示出了根据本发明实施方式的计算设备的框图。

在附图中，相同或对应的标号表示相同或对应的部分。

具体实施方式

下面将参考若干示例性实施方式来描述本发明的原理和精神。应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本发明，而并非以任何方式限制本发明的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

本领域技术人员知道，本发明的实施方式可以实现为一种系统、装置、设备、方法或计算机程序产品。因此，本公开可以具体实现为以下形式，即：完全的硬件、完全的软件(包括固件、驻留软件、微代码等)，或者硬件和软件结合的形式。

根据本发明的实施方式，提出了一种安全网关的攻击防御方法、装置、介质和计算设备。

在本文中，需要理解的是，所涉及的术语包括：安全网关(Gateway)、CC(ChallengeCollapsar，挑战黑洞)攻击、容器(Container)等。其中，安全网关用以实现网络互连，例如对访问请求进行统一接收、过滤、代理转发等。CC攻击的原理较为简单，它寻找可大量消耗服务器资源的接口，持续地进行高频访问，最终耗尽服务器资源。所谓可大量消耗服务器资源的接口，例如可以是网站的一个动态查询页面，每访问一次页面，都会导致后台产生大量的数据库查询操作。容器是可以运行任务的具有资源隔离功能的空间，容器可以被创建、启动、停止、删除、暂停等。此外，附图中的任何元素数量均用于示例而非限制，以及任何命名都仅用于区分，而不具有任何限制含义。

下面参考本发明的若干代表性实施方式，详细阐释本发明的原理和精神。

发明概述

基于现有的安全网关的工作方式，当一个服务器遭受攻击时，与该服务器共享使用安全网关的其他服务器的业务也会受到影响。

为此，本发明实施例提供了一种安全网关的攻击防御方法和装置，安全网关包括至少一个第一运行空间和至少一个第二运行空间，第一运行空间和第二运行空间之间资源相互隔离，第一运行空间用于接收关于指定服务器的第一访问请求并将第一访问请求转发至指定服务器。该方法包括：监测第一运行空间在第一预定周期内接收到的第一访问请求的第一数量；当第一数量大于第一阈值时，指示第一运行空间停止对第一访问请求的接收和转发；以及，指示第二运行空间接收第一访问请求，由第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至指定服务器。

在介绍了本发明的基本原理之后，下面具体介绍本发明的各种非限制性实施方式。

应用场景总览

首先参考图1详细阐述本发明实施例的安全网关的攻击防御方法及其装置的应用场景。

图1示意性地示出了根据本发明实施方式的安全网关的攻击防御方法及其装置的应用场景，在图1所示的应用场景中，可以包括终端设备101、102、103，安全网关104和服务器105、106、107。

安全网关104用以在终端设备101、102、103和服务器105、106、107之间进行代理转发。例如，安全网关104接收来自终端设备101的关于服务器105的访问请求并将该访问请求转发至服务器105，安全网关104还接收服务器105返回的响应结果并转发至终端设备101。安全网关104接收来自终端设备102的关于服务器106的访问请求并将该访问请求转发至服务器106，安全网关104还接收服务器106返回的响应结果并转发至终端设备102。安全网关104接收来自终端设备103的关于服务器107的访问请求并将该访问请求转发至服务器107，安全网关104还接收服务器107返回的响应结果并转发至终端设备103。

终端设备101、102、103可以是各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。终端设备101、102、103上可以安装有支持各种业务功能的客户端应用，例如工具类应用、社交类应用、购物类应用、网页浏览器应用、搜索类应用等(仅为示例)。

服务器105、106、107可以是提供各种业务服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。

需要说明的是，本公开实施例所提供的安全网关的攻击防御方法一般可以由安全网关104执行。相应地，本公开实施例所提供的安全网关的攻击防御装置一般可以设置于安全网关104中。

应该理解，图1中的终端设备、安全网关和服务器的数目仅仅是示意性的。根据实际需要，可以具有任意数目的终端设备、安全网关和服务器。

示例性方法

下面结合图1的应用场景，参考图2～图3B来描述根据本发明示例性实施方式的安全网关的攻击防御方法。需要注意的是，上述应用场景仅是为了便于理解本发明的精神和原理而示出，本发明的实施方式在此方面不受任何限制。相反，本发明的实施方式可以应用于适用的任何场景。

图2示意性地示出了根据本发明一个实施例的安全网关的攻击防御方法的流程图。其中，安全网关包括至少一个第一运行空间和至少一个第二运行空间，第一运行空间和第二运行空间之间资源相互隔离，第一运行空间用于接收关于指定服务器的第一访问请求并将该第一访问请求转发至指定服务器。

如图2所示，该方法包括如下操作S201～S203：

操作S201，监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量。

本操作S201在第一运行空间进行关于指定服务器的第一访问请求的接收和转发的过程中，周期性地监测该第一运行空间在第一预定周期内接收到的第一访问请求的第一数量，以确定指定服务器是否遭受到攻击。

操作S202，当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发。

其中，当第一运行空间在第一预定周期内接收到的第一访问请求的第一数量大于第一阈值，表明发生了针对上述指定服务器的大量高频访问请求，例如发生了针对上述指定服务器的CC攻击。此时，为避免大量高频的第一访问请求耗尽指定服务器的资源，也为避免大量高频的第一访问请求影响其他正常访问请求的接收和转发，本操作S202指示第一运行空间停止对第一访问请求的接收和转发。

操作S203，指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器。

本操作S203在操作S202指示第一运行空间停止对第一访问请求的接收和转发后，进一步指示与第一运行空间相隔离的第二运行空间开始接收第一访问请求并进行筛选，再将筛选后的第一访问请求转发至指定服务器。也就是说，在确定指定服务器遭受到大量高频访问请求时，将关于指定服务器的第一访问请求的流量均转移至第二运行空间，由第二运行空间筛选后再转发至指定服务器，降低了到达指定服务器的第一访问请求的数量，避免指定服务器的资源被耗尽，且由于第二运行空间与第一运行空间相互独立，被第二运行空间接收的大量高频访问请求不会影响到第一运行空间对其他正常访问请求的接收和转发。其中，第二运行空间可以根据需要选择各种筛选规则对接收到的访问请求进行筛选，例如，可以通过随机抽样对访问请求进行筛选，可以根据访问请求的来源客户端类型对访问请求进行筛选(例如来自浏览器客户端的访问请求可以通过，来自指定工具客户端的访问请求可以被筛除等)，可以根据同一访问请求的发送频次对访问请求进行筛选(例如同一访问请求的发送频次高于某一阈值时筛除最新接收到的该同一访问请求)，等等，在此不做限制。

可见，图2所示的方法由第一运行空间进行对正常访问请求的接收和转发，由第二运行空间进行对大量高频访问请求的接收、筛选和转发，第一运行空间和第二运行空间之间资源相互隔离，二者的执行内容相互独立，互相没有影响。当一个指定服务器遭受攻击时，针对该指定服务器的大量高频访问请求被从第一运行空间转移至第二运行空间，不会影响第一运行空间对其他正常访问请求的接收和转发，即保证其他服务器的正常运行，且第二运行空间对接收到的针对该指定服务器的大量高频访问请求进行筛选后再转发至该指定服务器，确保该指定服务器能够正常运行。

进一步地，在本公开的一个实施例中，在将关于指定服务器的第一访问请求转移至第二运行空间后，根据本公开实施例的安全网关的攻击防御方法还可以包括：监测第二运行空间在第二预定周期内接收到的第一访问请求的第二数量。当该第二数量小于第二阈值时，指示该第二运行空间停止对第一访问请求的接收、筛选和转发，以及，指示所述第一运行空间恢复对第一访问请求的接收和转发。依据本实施例，在监测到第二运行空间在第二预定周期内接收到的第一访问请求的数量小于第二阈值时，表明针对指定服务器的大量高频访问请求已经停止，关于指定服务器的第一访问请求的数量和频次已经恢复至正常水平。此时可以将关于指定服务器的第一访问请求转移回第一运行空间，由第一运行空间进行对第一访问请求的接收和转发。

其中具体地，作为一个可选的实施例，上述监测第一运行空间在第一预定周期内接收到的第一访问请求的第一数量包括：获取关于第一运行空间接收第一访问请求的第一日志，以及，基于该第一日志统计得到上述第一数量。上述指示第一运行空间停止对第一访问请求的接收和转发包括：指示第一运行空间停止监听针对指定服务器的IP地址和/或端口号的访问请求。上述指示第二运行空间接收第一访问请求包括：指示第二运行空间开始监听针对该指定服务器的IP地址和/或端口号的访问请求。同理地，上述监测第二运行空间在第二预定周期内接收到的第一访问请求的第二数量包括：获取关于第二运行空间接收所述第一访问请求的第二日志，以及，基于该第二日志统计得到上述第二数量。上述指示第二运行空间停止对第一访问请求的接收、筛选和转发包括：指示第二运行空间停止监听针对该指定服务器的IP地址和/或端口号的访问请求。上述指示第一运行空间恢复对第一访问请求的接收和转发包括：指示第一运行空间重新开始监听针对该指定服务器的IP地址和/或端口号的访问请求。

在本公开的一个实施例中，在将大量高频的第一访问请求从第一运行空间转移至第二运行空间后，为保证第二运行空间能够承受大量高频访问请求而不至于被耗尽资源，可以设置第二运行空间的容量大于指定服务器的容量，以及设置第二运行空间的容量大于第一运行空间的容量。其中，容量是指对于访问请求的处理能力，例如该处理能力可以通过QPS(Queries per second，每秒查询次数)指标进行衡量，该处理能力可以通过参数设置进行调整。在本实施例中，第二运行空间在单位时间内能够处理的访问请求的数量大于指定服务器在单位时间内能够处理的访问请求的数量，第二运行空间在单位时间内能够处理的访问请求的数量大于第一运行空间在单位时间内能够处理的访问请求的数量。

进一步地，在本公开的一个实施例中，根据本公开实施例的安全网关的攻击防御方法还可以包括：如果第一数量小于等于第一阈值，且第一数量大于上述第一运行空间的容量上限，将该第一运行空间接收并转发第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对该第一运行空间进行扩容处理。

在本公开的一个实施例中，上述至少一个第一运行空间中的每一个对应于至少一个指定服务器，上述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

在本公开的一个实施例中，上述由第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至指定服务器包括：由第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，该第三数量小于该第二运行空间接收到的第一访问请求的数量，以及，将该第三数量的第一访问请求转发至指定服务器。

下面参考图3A～3B，结合具体实施例对根据本公开实施例的安全网关的攻击防御方法进行展开说明：

图3A示意性地示出了现有技术中安全网关的工作原理的示意图。

图3B示意性地示出了根据本发明一个实施例的安全网关的工作原理的示意图。

如图3A所示，现有技术中，多个业务服务器共享使用一个安全网关，该安全网关具有单一的运行环境，该安全网关用于接收来自客户端的关于任一业务服务器的访问请求并转发至该任一业务服务器，并接收来自该任一服务器的响应结果并转发至上述客户端。具体地，安全网关接收客户端a发送的关于业务服务器x2的访问请求a1，安全网关再将访问请求a2发送至业务服务器x2。其中，访问请求a2可以与访问请求a1相同，或者访问请求a2可以是安全网关对访问请求a1进行例如筛选、清洗、去冗余等初步处理后得到的。在正常情况下，安全网关可以不对访问请求a1进行处理而直接转发至业务服务器x2，在非正常情况例如业务服务器x2遭受到CC攻击的情况下，安全网关可以对访问请求a1进行初步处理后得到访问请求a2并转发至业务服务器x2。然后，安全网关接收业务服务器x2返回的响应结果a3，安全网关再将响应结果a4发送至客户端a。其中，响应结果a4可以与响应结果a3相同，或者响应结果a4可以是安全网关对响应结果a3进行例如筛选、清洗、去冗余等初步处理后得到的。同理地，安全网关接收客户端b发送的关于业务服务器y2的访问请求b1，安全网关再将访问请求b2发送至业务服务器y2。然后，安全网关接收业务服务器y2返回的响应结果b3，安全网关再将响应结果b4发送至客户端b。其中的具体细节在上文中已说明，在此不再赘述。

基于图3A所示的安全网关的工作原理，当发生针对业务服务器x2的CC攻击时，大量高频的访问请求a1会将安全网关的资源耗尽，导致该安全网关无法正常执行对访问请求b1的接收和转发，进而导致业务服务器y2无法正常运行。可见，现有技术中的一个服务器遭受攻击时，与该服务器共享使用安全网关的其他服务器的业务也会受到影响。

相较之下，根据本公开实施例的安全网关的攻击防御方法能够解决上述问题。如图3B所示，在根据本公开实施例的安全网关的攻击防御方法中，安全网关包括管理模块、3个第一运行空间和3个第二运行空间。本例中，管理模块可以是独立于任一第一运行空间且独立于任一第二运行空间的进程，管理模块可以与任一第一运行空间进行通信，也可以与任一第二运行空间进行通信，根据本公开实施例的安全网关的攻击防御方法应用于该管理模块。任一第一运行空间或任一第二运行空间可以是一个容器，第一运行空间之间、第一运行空间与第二运行空间之间、以及第二运行空间之间的资源均相互隔离。3个第一运行空间分别为转发容器1、转发容器2和转发容器3，3个第二运行空间分别为清洗容器1、清洗容器2和清洗容器3。可以预先对3个第一运行空间进行任务分配，每个第一运行空间可以执行关于一个或多个业务服务器的任务，不同的第一运行空间可以根据实际业务需要配置不同的资源。也可以预先对3个第二运行空间进行任务分配，每个第二运行空间可以执行关于一个或多个业务服务器的任务，不同的第二运行空间可以根据实际业务需要配置不同的资源。

以用于执行关于业务服务器x2的任务的转发容器2和清洗容器1的工作过程为例进行说明。管理模块指示转发容器2监听业务服务器x2的IP地址和/或端口号，转发容器2通过监听该IP地址和/或端口号接收关于业务服务器x2的访问请求a1并将该访问请求a1转发至业务服务器x2，接收业务服务器x2返回的响应结果a3并发送至客户端。转发容器2还将接收访问请求a1的相关日志发送至管理模块，管理模块基于该日志监测转发容器2在第一预定周期内接收到的访问请求a1的数量，如果该数量大于第一阈值，确定业务服务器x2遭受到CC攻击。此时，管理模块指示转发容器2停止监听业务服务器x2的IP地址和/或端口号，并指示清洗容器1开始监听业务服务器x2的IP地址和/或端口号，则转发容器2不再接收访问请求a1，而清洗容器1开始接收该访问请求a1并对该访问请求a1进行筛选，得到访问请求a2，例如接收到1000条访问请求a1，进行筛选后得到100条访问请求a1，将该100条访问请求a1称为访问请求a2，将访问请求a2发送至业务服务器x2，接收业务服务器x2返回的响应结果a4并发送至客户端。其中，清洗容器1可以通过如下方式对访问请求a1进行筛选：(1)清洗容器1通过随机抽样的方式从1000条访问请求a1中筛选出100条访问请求a1；(2)清洗容器1校验每条访问请求a1的来源类型，根据该来源类型对访问请求a1进行筛选，对来自正常客户端的访问请求进行转发，对来自不正常客户端的访问请求进行滤除，其中可以通过大数据分析的方式来统计来源于各种类型的客户端的访问量，根据该访问量来判断一个客户端是否正常。例如，当一条访问请求a1的来源为浏览器客户端时，允许该访问请求a1通过，当一条访问请求a1的来源为小工具客户端时，禁止该访问请求a1通过，即对该访问请求进行滤除。可以看出，安全网关可以利用管理模块监控针对各业务服务器对应的访问请求，当发现一个业务服务器x2遭受攻击时，管理模块负责将针对该业务服务器x2的访问请求从转发容器2转移至相应的清洗容器1中，这样不会影响同一转发容器2所执行的对于其他业务服务器的访问请求的接收和转发，也不会影响其他转发容器所执行的对于其他业务服务器的访问请求的接收和转发，保证其他各业务服务器的正常运行。并且清洗容器1对于访问请求的处理能力远强于业务服务器x2对于访问请求的处理能力，例如，清洗容器1每秒钟可以处理10000个访问请求，而业务服务器x2每秒钟仅可以处理100个访问请求。这样，清洗容器1有能力接收大量高频的访问请求，并且清洗容器1对针对该业务服务器x2的大量高频访问请求进行筛选后再转发至业务服务器x2，大幅降低实际到达该业务服务器x2的访问请求的数量，保证该业务服务器x2的正常运行。以及，清洗容器1还将接收访问请求a1的相关日志发送至管理模块，管理模块基于该日志监测清洗容器1在第二预定周期内接收到的访问请求a1的数量，如果该数量小于第二阈值，确定业务服务器x2不再遭受CC攻击。此时，管理模块可以指示清洗容器1停止监听业务服务器x2的IP地址和/或端口号，并指示转发容器2重新开始监听业务服务器x2的IP地址和/或端口号，则清洗容器1不再接收访问请求a1，而转发容器2恢复对该访问请求a1的接收和转发。整个过程中，各业务服务器的正常业务没有受到影响，符合用户需求。

示例性装置

在介绍了本发明示例性实施方式的方法之后，接下来，参考图4对本发明示例性实施方式的安全网关的攻击防御装置进行详细阐述。

图4示意性地示出了根据本发明一个实施例的安全网关的攻击防御装置的框图。

如图4所示，该安全网关的攻击防御装置400包括：第一监测模块410、第一指示模块420和第二指示模块430。其中，安全网关包括至少一个第一运行空间和至少一个第二运行空间，第一运行空间和第二运行空间之间资源相互隔离，第一运行空间用于接收关于指定服务器的第一访问请求并将该第一访问请求转发至指定服务器。

第一监测模块410用于监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量。

第一指示模块420用于当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发。

第二指示模块430用于指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器。

图5示意性地示出了根据本发明另一个实施例的安全网关的攻击防御装置的框图。

如图5所示，该安全网关的攻击防御装置500包括：第一监测模块510、第一指示模块520和第二指示模块530。其中，第一监测模块510、第一指示模块520和第二指示模块530分别具有与第一监测模块410、第一指示模块420和第二指示模块430对应相同的功能，重复的部分不再赘述。

在本发明的一个实施例中，安全网关的攻击防御装置500还包括：第二监测模块540、第三指示模块550、以及第四指示模块560。

第二监测模块540用于监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量。第三指示模块550用于当所述第二数量小于第二阈值时，指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发。以及，第四指示模块560用于指示所述第一运行空间恢复对所述第一访问请求的接收和转发。

在本发明的另一实施例中，第一监测模块510包括：第一获取子模块511和第一统计子模块512。第一获取子模块511用于获取关于所述第一运行空间接收所述第一访问请求的第一日志。第一统计子模块512用于基于所述第一日志统计得到所述第一数量。

第一指示模块520用于指示所述第一运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。第二指示模块530用于指示所述第二运行空间开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

第二监测模块540包括：第二获取子模块541和第二统计子模块542。第二获取子模块541用于获取关于所述第二运行空间接收所述第一访问请求的第二日志。第二统计子模块542用于基于所述第二日志统计得到所述第二数量。

第三指示模块550用于指示所述第二运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求。第四指示模块560用于指示所述第一运行空间重新开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

在本发明的又一实施例中，第二运行空间的容量大于所述指定服务器的容量，第二运行空间的容量大于第一运行空间的容量。

在本发明的再一实施例中，安全网关的攻击防御装置500还包括辅助模块570，用于当所述第一数量小于等于第一阈值，且所述第一数量大于所述第一运行空间的容量上限时，将接收并转发所述第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对所述第一运行空间进行扩容处理。

在本发明的再一实施例中，上述至少一个第一运行空间中的每一个对应于至少一个指定服务器，上述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

在本发明的再一实施例中，上述由第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器包括：由第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，所述第三数量小于所述第二运行空间接收到的第一访问请求的数量；以及，将所述第三数量的第一访问请求转发至所述指定服务器。

需要说明的是，装置部分实施例中各模块/单元/子单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再赘述。

示例性介质

在介绍了本发明示例性实施方式的方法和装置之后，接下来，对本发明示例性实施方式的、用于实现安全网关的攻击防御方法的介质进行介绍。

本发明实施例提供了一种介质，存储有计算机可执行指令，上述指令在被处理器执行时用于实现上述方法实施例中任一项所述的安全网关的攻击防御方法。

在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在计算设备上运行时，所述程序代码用于使所述计算设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的安全网关的攻击防御方法中的操作步骤。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

图6示意性地示出了根据本发明实施方式的计算机可读存储介质产品的示意图，如图6所示，描述了根据本发明的实施方式的用于实现安全网关的攻击防御方法的程序产品60，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在计算设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、有线、光缆，RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言——诸如Java，C++等，还包括常规的过程式程序设计语言——诸如“C”，语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)一连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

示例性计算设备

在介绍了本发明示例性实施方式的方法、介质和装置之后，接下来，介绍根据本发明的另一示例性实施方式的用于实现安全网关的攻击防御方法的计算设备。

本发明实施例还提供了一种计算设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述指令时实现上述方法实施例中任一项所述的安全网关的攻击防御方法。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

在一些可能的实施方式中，根据本发明的基于即时通信行为数据的电子资源发放计算设备可以至少包括至少一个处理单元、以及至少一个存储单元。其中，所述存储单元存储有程序代码，当所述程序代码被所述处理单元执行时，使得所述处理单元执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的安全网关的攻击防御方法中的操作步骤。

下面参照图7来描述根据本发明的这种实施方式的用于实现安全网关的攻击防御方法的计算设备70。如图7所示的计算设备70仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图7所示，计算设备70以通用计算设备的形式表现。计算设备70的组件可以包括但不限于：上述至少一个处理单元701、上述至少一个存储单元702、连接不同系统组件(包括存储单元702和处理单元701)的总线703。

总线703表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。

存储单元702可以包括易失性存储器形式的可读介质，例如随机存取存储器(RAM)7021和/或高速缓存存储器7022，还可以进一步包括只读存储器(ROM)7023。

存储单元702还可以包括具有一组(至少一个)程序模块7024的程序/实用工具7025，这样的程序模块7024包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

计算设备70也可以与一个或多个外部设备704(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与计算设备70交互的设备通信，和/或与使得计算设备70能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口705进行。并且，计算设备70还可以通过网络适配器706与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器706通过总线703与计算设备70的其它模块通信。应当明白，尽管图中未示出，可以结合计算设备70使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

应当注意，尽管在上文详细描述中提及了安全网关的攻击防御装置的若干单元/模块或子单元/模块，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多单元/模块的特征和功能可以在一个单元/模块中具体化。反之，上文描述的一个单元/模块的特征和功能可以进一步划分为由多个单元/模块来具体化。

此外，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

虽然已经参考若干具体实施方式描述了本发明的精神和原理，但是应该理解，本发明并不限于所公开的具体实施方式，对各方面的划分也不意味着这些方面中的特征不能组合以进行受益，这种划分仅是为了表述的方便。本发明旨在涵盖所附权利要求的精神和范围内所包括的各种修改和等同布置。

Claims (16)

1.一种安全网关的攻击防御方法，所述安全网关包括至少一个第一运行空间和至少一个第二运行空间，所述第一运行空间和所述第二运行空间之间资源相互隔离，所述第一运行空间用于接收关于指定服务器的第一访问请求并将所述第一访问请求转发至所述指定服务器，所述方法包括：

监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量；

当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发；以及

指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器，所述第二运行空间的容量大于所述指定服务器的容量。

2.根据权利要求1所述的方法，还包括：

监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量；

当所述第二数量小于第二阈值时，指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发；以及

指示所述第一运行空间恢复对所述第一访问请求的接收和转发。

3.根据权利要求2所述的方法，其中：

所述监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量包括：

获取关于所述第一运行空间接收所述第一访问请求的第一日志；以及

基于所述第一日志统计得到所述第一数量；

所述指示所述第一运行空间停止对所述第一访问请求的接收和转发包括：指示所述第一运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述指示所述第二运行空间接收所述第一访问请求包括：指示所述第二运行空间开始监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量包括：

获取关于所述第二运行空间接收所述第一访问请求的第二日志；以及

基于所述第二日志统计得到所述第二数量；

所述指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发包括：指示所述第二运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述指示所述第一运行空间恢复对所述第一访问请求的接收和转发包括：指示所述第一运行空间重新开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

4.根据权利要求1所述的方法，其中，所述第二运行空间的容量大于所述第一运行空间的容量。

5.根据权利要求1所述的方法，还包括：

如果所述第一数量小于等于第一阈值，且所述第一数量大于所述第一运行空间的容量上限，将接收并转发所述第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对所述第一运行空间进行扩容处理。

6.根据权利要求1所述的方法，其中，所述至少一个第一运行空间中的每一个对应于至少一个指定服务器，所述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

7. 根据权利要求1所述的方法，其中，所述由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器包括：

由所述第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，所述第三数量小于所述第二运行空间接收到的第一访问请求的数量；以及

将所述第三数量的第一访问请求转发至所述指定服务器。

8.一种安全网关的攻击防御装置，所述安全网关包括至少一个第一运行空间和至少一个第二运行空间，所述第一运行空间和所述第二运行空间之间资源相互隔离，所述第一运行空间用于接收关于指定服务器的第一访问请求并将所述第一访问请求转发至所述指定服务器，所述装置包括：

第一监测模块，用于监测所述第一运行空间在第一预定周期内接收到的第一访问请求的第一数量；

第一指示模块，用于当所述第一数量大于第一阈值时，指示所述第一运行空间停止对所述第一访问请求的接收和转发；以及

第二指示模块，用于指示所述第二运行空间接收所述第一访问请求，由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器，所述第二运行空间的容量大于所述指定服务器的容量。

9.根据权利要求8所述的装置，还包括：

第二监测模块，用于监测所述第二运行空间在第二预定周期内接收到的第一访问请求的第二数量；

第三指示模块，用于当所述第二数量小于第二阈值时，指示所述第二运行空间停止对所述第一访问请求的接收、筛选和转发；以及

第四指示模块，用于指示所述第一运行空间恢复对所述第一访问请求的接收和转发。

10.根据权利要求9所述的装置，其中：

所述第一监测模块包括：

第一获取子模块，用于获取关于所述第一运行空间接收所述第一访问请求的第一日志；以及

第一统计子模块，用于基于所述第一日志统计得到所述第一数量；

所述第一指示模块，用于指示所述第一运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述第二指示模块，用于指示所述第二运行空间开始监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述第二监测模块包括：

第二获取子模块，用于获取关于所述第二运行空间接收所述第一访问请求的第二日志；以及

第二统计子模块，用于基于所述第二日志统计得到所述第二数量；

所述第三指示模块，用于指示所述第二运行空间停止监听针对所述指定服务器的IP地址和/或端口号的访问请求；

所述第四指示模块，用于指示所述第一运行空间重新开始监听针对所述指定服务器的IP地址和/或端口号的访问请求。

11.根据权利要求8所述的装置，其中，所述第二运行空间的容量大于所述第一运行空间的容量。

12.根据权利要求8所述的装置，还包括：

辅助模块，用于当所述第一数量小于等于第一阈值，且所述第一数量大于所述第一运行空间的容量上限时，将接收并转发所述第一访问请求的部分或全部任务分配至其他第一运行空间，或者，对所述第一运行空间进行扩容处理。

13.根据权利要求8所述的装置，其中，所述至少一个第一运行空间中的每一个对应于至少一个指定服务器，所述至少一个第二运行空间中的每一个对应于至少一个指定服务器。

14. 根据权利要求8所述的装置，其中，所述由所述第二运行空间对接收到的第一访问请求进行筛选，并将筛选后得到的第一访问请求转发至所述指定服务器包括：

由所述第二运行空间基于预定规则从接收到的第一访问请求中筛选出第三数量的第一访问请求，所述第三数量小于所述第二运行空间接收到的第一访问请求的数量；以及

将所述第三数量的第一访问请求转发至所述指定服务器。

15.一种介质，存储有计算机可执行指令，所述指令在被处理器执行时用于实现：

如权利要求1至7中任一项所述的安全网关的攻击防御方法。

16.一种计算设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述指令时实现：

如权利要求1至7中任一项所述的安全网关的攻击防御方法。

Images