CN110113356A

CN110113356A - 一种数据监测方法及装置

Info

Publication number: CN110113356A
Application number: CN201910431486.7A
Authority: CN
Inventors: 李大鹏; 王志海; 喻波; 韩振国; 安鹏
Original assignee: Beijing Wondersoft Technology Co Ltd
Current assignee: Beijing Wondersoft Technology Co Ltd
Priority date: 2019-05-22
Filing date: 2019-05-22
Publication date: 2019-08-09

Abstract

本发明提供了一种数据监测方法及装置，所述方法包括：获取待监测数据；从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系；利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配；如果所述第一策略组中的策略全部与所述待监测数据相匹配，将所述待监测数据与所述第一策略组相匹配确定为数据监测结果。通过本发明实施例提供的数据监测方法，缩短了策略与待监测数据匹配所消耗的时间，提高了数据监测结果的生成效率，以及电子设备的性能。

Description

一种数据监测方法及装置

技术领域

本发明涉及计算机技术领域，特别是涉及一种数据监测方法及装置。

背景技术

随着计算机技术的发展和互联网的广泛应用，计算机已成为人们生活和工作中的重要工具。为了保证计算机的安全运行，需要使用策略对计算机中的数据进行监测，进而确定数据是安全数据还是异常数据，其中，策略是预先设定好的规则或方法。

由于数据的多样性及复杂性，通常需要使用多条策略来监测数据。相关技术中，使用多条策略监测数据的过程通常为：首先，利用多条策略中的每一条策略分别与待监测数据进行匹配，得到多条匹配结果；其次，利用预先确定的多条策略之间的逻辑关系，确定与多条策略对应的多条匹配结果之间的逻辑关系；最后，基于多条匹配结果和多条匹配结果之间的逻辑关系，确定监测结果，该监测结果用于表征待监测数据是安全数据或者异常数据。

由上述描述可知，相关技术中，在确定监测结果时，需要将多条策略中的每一条策略均与待监测数据进行匹配。在策略数量较多或者待监测数据量较大时，策略与待监测数据匹配所消耗的时间较长，从而导致生成数据监测结果的效率较低。

发明内容

为解决上述技术问题，本发明示出了一种数据监测方法及装置。

第一方面，本发明示出了一种数据监测方法，所述方法包括：

获取待监测数据；

从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系；

利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配；

如果所述第一策略组中的策略全部与所述待监测数据相匹配，将所述待监测数据与所述第一策略组相匹配确定为数据监测结果。

优选的，在所述判断所述第一策略组中的策略是否全部与所述待监测数据相匹配的步骤之后，所述方法还包括：

如果所述第一策略组中有策略与所述待监测数据不匹配，判断其余策略组中是否存在策略全部与所述待监测数据相匹配的第二策略组；

如果其余策略组中存在策略全部与所述待监测数据相匹配的第二策略组，将所述待监测数据与所述第二策略组相匹配确定为数据监测结果。

优选的，所述利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配的步骤，包括：

从所述第一策略组中的多条策略中，确定第一策略；

利用所述第一策略对所述待监测数据进行匹配，并判断所述第一策略是否与所述待监测数据相匹配；

如果所述第一策略与所述待监测数据不匹配，判定所述第一策略组中的策略不是全部与所述待监测数据相匹配，并停止利用所述第一策略组中的第二策略对所述待监测数据进行匹配，其中，所述第二策略为：所述第一策略组中除所述第一策略之外的其他策略。

优选的，在所述从预先设定的多个策略组中，确定第一策略组的步骤之前，所述方法还包括：

获取多个策略；

判断所述多个策略之间的逻辑关系；

将逻辑关系为与关系的策略划分到同一策略组中。

第二方面，本发明实施例提供了一种数据监测装置，所述装置包括：

数据获取模块，用于获取待监测数据；

策略组确定模块，用于从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系；

数据匹配模块，用于利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配；

第一监测结果确定模块，用于如果所述第一策略组中的策略全部与所述待监测数据相匹配，将所述待监测数据与所述第一策略组相匹配确定为数据监测结果。

优选的，所述装置还包括：

策略组判断模块，用于在所述数据匹配模块判断出所述第一策略组中有策略与所述待监测数据不匹配，判断其余策略组中是否存在策略全部与所述待监测数据相匹配的第二策略组；

第二监测结果确定模块，用于在所述策略组判断模块判断出其余策略组中存在策略全部与所述待监测数据相匹配的第二策略组，将所述待监测数据与所述第二策略组相匹配确定为数据监测结果。

优选的，所述数据匹配模块，具体用于：

从所述第一策略组中的多条策略中，确定第一策略；

优选的，所述装置还包括：

策略获取模块，用于在所述策略组确定模块从预先设定的多个策略组中，确定第一策略组的步骤之前，获取多个策略；

逻辑关系判断模块，用于判断所述多个策略之间的逻辑关系；

策略划分模块，用于将逻辑关系为与关系的策略划分到同一策略组中。

第三方面，本发明实施例提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现第一方面所述的数据监测方法的步骤。

第四方面，本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现第一方面所述的数据监测方法的步骤。

与现有技术相比，本发明包括以下优点：

通过本发明实施例提供的数据监测方法，在判断出第一策略组中的策略全部与待监测数据相匹配后，不用再利用其它策略组中的策略与待监测数据进行匹配，从而缩短了策略与待监测数据匹配所消耗的时间，提高了数据监测结果的生成效率，以及电子设备的性能。并且，由于设定了多个策略组，任一策略组中策略之间的逻辑关系为与关系，策略组的逻辑关系清晰明了，用户能够直观地得到每一策略组的实际判断结果。

附图说明

图1示出了本发明实施例提供的一种数据监控方法的步骤流程图；

图2示出了本发明实施例提供的另一种数据监控方法的步骤流程图；

图3示出了本发明实施例提供的一种数据监控装置的结构示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

为了解决背景技术记载的技术问题，本发明实施例提供了一种数据监测方法及装置。

下面首先对本发明所提供的数据监测方法进行阐述。

需要说明的是，本发明所提供的数据监测方法的执行主体为电子设备，该电子设备可以为手机、平板以及电脑等，本发明实施例对电子设备不做具体限定。

实施例一

参照图1，示出了本发明的一种数据监测方法的步骤流程图，具体可以包括如下步骤：

S110，获取待监测数据。

在对数据进行监测时，需要获取待监测数据。可以理解的是，不同的应用场景，待监测数据通常也是不同的。在实际应用中，可以有多个应用场景，具体的，可以是windows安全应用场景，防火墙应用场景，路由应用场景，以及语义识别应用场景等。例如，在windows安全应用场景下，待监测数据可以是文件，网络等。

S120，从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各条策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系。

需要说明的是，在从多个策略组中，确定第一策略组之前，可以预先将多个策略划分到不同的策略组中，即预先设定多个策略组。

具体的，在一种实施方式中，在从预先设定的多个策略组中，确定第一策略组的步骤之前，本发明实施例提供的数据监测方法还可以包括如下三个步骤：

第一个步骤，获取多个策略。

在该步骤中，为了保证数据安全，对于一条待监测数据而言，开发人员通常开发多个策略来监测该待监测数据。也就是说，监测待监测数据的策略通常有多个，因此，电子设备可以获取多个策略。

第二个步骤，判断多个策略之间的逻辑关系。

在获取到多个策略之后，可以判断多个策略之间的逻辑关系。其中，任意两个策略之间的逻辑关系可以为与关系，或者，或关系。

举例而言，在防火墙应用场景中，每一待监测数据包括源IP、目的IP以及端口号，那么，源IP策略、目的IP策略以及端口号策略之间的逻辑关系为与关系。

第三个步骤，将逻辑关系为与关系的策略划分到同一策略组中。

由于待监测数据需要和逻辑关系为与关系的策略同时匹配，因此，可以将逻辑关系为与关系的策略划分为同一策略组中。

在一种实施方式中，策略组为防火墙策略组，每个防火墙策略组可以包括：源IP策略、目的IP策略和端口号策略，其中，不同的防火墙策略组对应的策略值不完全相同。

举例而言，在实际应用中，禁止张三和李四访问新浪网。

第一个策略组为：(源IP：张三所使用终端的IP And目的IP：新浪IP And端口号：443)；

第二个策略组为：(源IP：李四所使用终端的IP And目的IP：新浪IP And端口号：443)。

其中，第一个策略组中，源IP：张三所使用终端的IP，目的IP：新浪IP，以及端口号：443这三个策略之间的逻辑关系为与关系；第二个策略组中，源IP：李四所使用终端的IP，目的IP：新浪IP，以及端口号：443这三个策略之间的逻辑关系为与关系。而第一策略组和第二策略组之间的逻辑关系为或关系，即第一个策略组or第二个策略组。

在设定多个策略组之后，可以从预先设定的多个策略组中，确定一个策略组，为了方案描述清楚，可以将该策略组称为第一策略组，其中，该第一策略组可以是预先设定的多个策略组中的任意策略组。

举例而言，仍以策略组为防火墙策略组为例，假设预先设定的多个策略组为：第一个策略组以及第二个策略组，那么，第一策略组可以为第一个策略组，也可以为第二个策略组。这都是合理的。

S130，利用第一策略组中的策略对待监测数据进行匹配，并判断第一策略组中的策略是否全部与待监测数据相匹配。

在从预先设定的多个策略组中，确定了第一策略组之后，可以利用第一策略组中的策略对待监测数据进行匹配，并判断第一策略组中的每一策略是否均与待监测数据相匹配。

举例而言，以防火墙应用场景为例，假设第一策略组为(源IP：张三所使用终端的IP And目的IP：新浪IP And端口号：443)，那么，利用第一策略组中的策略对待监测数据进行匹配，并判断第一策略组中的每一策略是否均与待监测数据相匹配，具体过程可以为：将待监测数据的源IP与张三所使用终端的IP匹配，并判断待监测数据的源IP是否为张三所使用终端的IP；并将待监测数据的目的IP与新浪IP相匹配，并判断待监测数据的目的IP是否为新浪IP；，以及将待监测数据的端口号与443匹配，并判断待监测数据的端口号是否为443。

为了提高第一策略组与待监测数据的匹配速度，在一种实施方式中，利用第一策略组中的策略对待监测数据进行匹配，并判断第一策略组中的策略是否全部与待监测数据相匹配的步骤，可以包括如下步骤：

从第一策略组中的多条策略中，确定第一策略；

利用第一策略对待监测数据进行匹配，并判断第一策略是否与待监测数据相匹配；

如果第一策略与待监测数据不匹配，判定第一策略组中的策略不是全部与待监测数据相匹配，并停止利用第一策略组中的第二策略对待监测数据进行匹配，其中，第二策略为：第一策略组中除第一策略之外的其他策略。

在该实施方式中，在利用第一策略组中的策略对待监测数据进行匹配时，可以首先从第一策略组中的多条策略中，确定一条策略，为了方案描述清楚，可以将该条策略称为第一策略，该第一策略可以是第一策略组中的多条策略中的任一策略。然后利用该第一策略对待监测数据进行匹配，并判断该第一策略是否与待监测数据相匹配，如果第一策略与待监测数据不匹配，说明第一策略组中已经存在策略与待监测数据不匹配，且由于第一策略组中的各策略之间的逻辑关系是与关系，因此，可以判定第一策略组中的策略不是全部与待监测数据相匹配，并停止利用第一策略组中除第一策略之外的其他策略对待监测数据进行匹配。

如果第一策略与待监测数据匹配，那么，利用第一策略组中除第一策略之外的其他策略对待监测数据进行匹配，直至判定出第一策略组中存在与待监测数据不匹配的策略，或者，判定出第一策略组中的全部策略均与待监测数据匹配为止。

S140，如果第一策略组中的策略全部与待监测数据相匹配，将待监测数据与第一策略组相匹配确定为数据监测结果。

如果第一策略组中的策略全部与待监测数据相匹配，说明待监测数据与第一策略组匹配，且由于预先设定的多个策略组中的其他策略组与第一策略组之间的逻辑关系为或关系，因此，只要第一策略组与待监测数据相匹配，则可以将待监测数据与第一策略组相匹配确定为数据监测结果。并且，在确定了数据监测结果之后，可以依据数据监测结果对待监测数据进行下一步处理，例如，可以将待监测数据标记为敏感数据。

举例而言，仍以策略组为防火墙策略组为例，第一个策略组为：(源IP：：张三所使用终端的IP And目的IP：新浪IP And端口号：443)；第二个策略组为：(源IP：李四所使用终端的IP And目的IP：新浪IP And端口号：443)。假设第一策略组为第一个策略组，当监测到待监测数据与第一个策略组匹配时，那么，禁止张三访问新浪网。

实施例二

参照图2，示出了本发明的一种数据监测方法的步骤流程图，具体可以包括如下步骤：

S210，获取待监测数据。

该步骤可以参照步骤110的详细说明，在此不再赘述。

S220，从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各条策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系。

该步骤可以参照步骤120的详细说明，在此不再赘述。

S230，利用第一策略组中的策略对待监测数据进行匹配，并判断第一策略组中的策略是否全部与待监测数据相匹配，如果第一策略组中的策略全部与待监测数据相匹配，执行步骤S240；如果第一策略组中有策略与待监测数据不匹配，执行步骤S250。

该步骤可以参照步骤130的详细说明，在此不再赘述。

S240，将待监测数据与第一策略组相匹配确定为数据监测结果。

该步骤可以参照步骤140的详细说明，在此不再赘述。

S250，判断其余策略组中是否存在策略全部与待监测数据相匹配的第二策略组，如果其余策略组中存在策略全部与待监测数据相匹配的第二策略组，执行步骤S260。

如果第一策略组中有策略与待监测数据不匹配，说明待监测数据与第一策略组不匹配，此时，可以判断其他策略组中是否存在策略全部与待监测数据相匹配的第二策略组。

举例而言，仍以防火墙应用场景为例，假设第一策略组为(源IP：张三所使用终端的IP And目的IP：新浪IP And端口号：443)，第二策略组为(源IP：李四所使用终端的IP And目的IP：新浪IP And端口号：443)，如果第一策略组中有策略与待监测数据不匹配，可以利用第二策略组与待监测数据进行匹配，并判断第二策略组中的策略是否全部与待监测数据进行匹配，即将待监测数据的源IP与李四所使用终端的IP进行匹配，并判断待监测数据的源IP是否为李四所使用终端的IP；并将待监测数据的目的IP与新浪IP进行匹配，并判断待监测数据的目的IP是否为新浪IP；以及将待监测数据的端口号与443进行匹配，并判定待监测数据的端口号是否为443。

S260，将待监测数据与第二策略组相匹配确定为数据监测结果。

如果第二策略组中的策略全部与待监测数据相匹配，说明待监测数据与第二策略组匹配，且由于预先设定的多个策略组中的其他策略组与第二策略组之间的逻辑关系为或关系，因此，只要第二策略组与待监测数据相匹配，则可以将待监测数据与第二策略组相匹配确定为数据监测结果。

通过本发明实施例提供的数据监测方法，在判断出第一策略组中的策略全部与待监测数据相匹配后，不用再利用其它策略组中的策略与待监测数据进行匹配，在判断第一策略组中有策略与待监测数据不匹配，再从其他策略组中确定策略全部与待监测数据相匹配的第二策略组，从而缩短了策略与待监测数据匹配所消耗的时间，提高了数据监测结果的生成效率，以及电子设备的性能。并且，由于设定了多个策略组，任一策略组中策略之间的逻辑关系为与关系，策略组的逻辑关系清晰明了，用户能够直观地得到每一策略组的实际判断结果。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作并不一定是本发明所必须的。

实施例三

参照图3，示出了本发明的一种数据监测装置的结构框图，该装置具体可以包括如下模块：

数据获取模块310，用于获取待监测数据；

策略组确定模块320，用于从预先设定的多个策略组中，确定第一策略组，其中，预先设定的任一策略组中的各策略之间的逻辑关系为与关系，预先设定的任意两个策略组之间的逻辑关系为或关系；

数据匹配模块330，用于利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配；

第一监测结果确定模块340，用于如果所述第一策略组中的策略全部与所述待监测数据相匹配，将所述待监测数据与所述第一策略组相匹配确定为数据监测结果。

优选的，所述装置还可以包括：

优选的，所述数据匹配模块，具体用于：

从所述第一策略组中的多条策略中，确定第一策略；

优选的，所述装置还包括：

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

优选的，本发明实施例还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现上面所述的数据监测方法的步骤。

优选的，本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上面所述的数据监测方法的步骤。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种数据监测方法和一种数据监测装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种数据监测方法，其特征在于，所述方法包括：

获取待监测数据；

2.根据权利要求1所述的方法，其特征在于，在所述判断所述第一策略组中的策略是否全部与所述待监测数据相匹配的步骤之后，所述方法还包括：

3.根据权利要求1所述的方法，其特征在于，所述利用所述第一策略组中的策略对所述待监测数据进行匹配，并判断所述第一策略组中的策略是否全部与所述待监测数据相匹配的步骤，包括：

从所述第一策略组中的多条策略中，确定第一策略；

4.根据权利要求1～3任一所述的方法，其特征在于，在所述从预先设定的多个策略组中，确定第一策略组的步骤之前，所述方法还包括：

获取多个策略；

判断所述多个策略之间的逻辑关系；

将逻辑关系为与关系的策略划分到同一策略组中。

5.一种数据监测装置，其特征在于，所述装置包括：

数据获取模块，用于获取待监测数据；

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

7.根据权利要求5所述的装置，其特征在于，所述数据匹配模块，具体用于：

从所述第一策略组中的多条策略中，确定第一策略；

8.根据权利要求5～7任一所述的装置，其特征在于，所述装置还包括：

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4中任一项所述的数据监测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4中任一项所述的数据监测方法的步骤。