CN110311927B - 数据处理方法及其装置、电子设备和介质 - Google Patents

Abstract

本公开提供了一种针对网络资产的数据处理方法，包括：获取目标网络资产的特征数据，其中，特征数据用于表征目标网络资产的异常程度；基于特征数据，确定目标网络资产的异常程度；以及在异常程度满足预设条件的情况下，输出目标网络资产的异常信息。另外，本公开还提供了一种针对网络资产的数据处理、一种电子设备和一种介质。

Description

数据处理方法及其装置、电子设备和介质

技术领域

本公开涉及互联网技术领域，更具体地，涉及一种数据处理方法及其装置、电子设备和介质。

背景技术

随着移动互联网的快速发展，各个企业都根据自己的企业需求，拥有各自的网络安全设备和资产等网络资产(也称互联网资产)，网络环境纷繁复杂，对企业的网络资产构成极大的挑战，不可避免的出现异常资产数据。因此，如何维护网络资产，如何对资产数据进行及时梳理清查以快速发现异常资产数据，并及时清除异常资产数据、控制风险，是每个企业必须面对和解决的重要问题。

在相关技术中，对于网络资产的梳理清查，可以包括边界的防火墙配置的梳理清查，也可以包括内部的地址映射、设备部署、应用关联的梳理清查。但是，一方面，上述梳理清查都是各自独立展开进行的，另一方面，需要投入人力进行多种资产的人工比对和分析。

本部分旨在为权利要求书中陈述的本公开的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

发明内容

如上所述，在独立梳理清查或维护网络资产的过程中，存在着维护周期长，异常资产数据难以被发现的技术问题，而这些异常资产数据对企业的网络安全体系将造成难以估计的安全隐患。针对相关技术中的上述问题，目前还未提出有效的解决方案。

有鉴于此，本公开的上下文中，提供了一种针对网络资产的数据处理方法，一种针对网络资产的数据处理装置，一种电子设备和一种计算机可读存储介质，用于梳理清查网络系统中的网络资产，及时发现异常网络资产，输出异常资产数据的信息，便于相关人员及时处理。该网络资产可以包括处于网络系统边界的防火墙配置，也可以包括网络系统内部的地址映射、设备部署、应用关联。本公开不需要人工参与即可实现对各网络资产进行统一的自动梳理清查，达到快速发现异常资产数据的技术效果，降低异常资产数据对网络安全体系造成的安全隐患。

本公开的一个方面提供了一种针对网络资产的数据处理方法，可以包括：获取目标网络资产的特征数据，其中，上述特征数据用于表征上述目标网络资产的异常程度，基于上述特征数据，确定上述目标网络资产的异常程度，以及在上述异常程度满足预设条件的情况下，输出上述目标网络资产的异常信息。

根据本公开的实施例，上述基于上述特征数据，确定上述目标网络资产的异常程度可以包括：基于上述特征数据，获取预设异常场景，检测上述特征数据是否命中上述预设异常场景，以及在上述特征数据命中上述预设异常场景的情况下，基于上述特征数据和上述预设异常场景，确定上述目标网络资产的异常程度。

根据本公开的实施例，上述基于上述特征数据和上述预设异常场景，确定上述目标网络资产的异常程度可以包括：获取针对上述预设异常场景的预设权重值，以及基于上述预设权重值，确定上述目标网络资产的异常程度。

根据本公开的实施例，上述获取目标网络资产的特征数据可以包括：获取配置有上述目标网络资产的网络设备的属性数据，其中，上述属性数据包括日志数据和/或配置数据，以及按照预设规则，对上述属性数据进行数据处理，以获取目标网络资产的特征数据。

根据本公开的实施例，上述方法还可以包括：在上述异常程度不满足上述预设条件的情况下，输出上述目标网络资产正常的提示信息。

本公开的另一个方面提供了一种针对网络资产的数据处理装置，可以包括：获取模块，被配置为获取目标网络资产的特征数据，其中，上述特征数据用于表征上述目标网络资产的异常程度，确定模块，被配置为基于上述特征数据，确定上述目标网络资产的异常程度，以及输出模块，被配置为在上述异常程度满足预设条件的情况下，输出上述目标网络资产的异常信息。

根据本公开的实施例，上述确定模块可以包括：第一获取子模块，被配置为基于上述特征数据，获取预设异常场景，检测子模块，被配置为检测上述特征数据是否命中上述预设异常场景，以及确定子模块，被配置为在上述特征数据命中上述预设异常场景的情况下，基于上述特征数据和上述预设异常场景，确定上述目标网络资产的异常程度。

根据本公开的实施例，上述确定子模块可以包括：获取单元，被配置为获取针对上述预设异常场景的预设权重值，以及确定单元，被配置为基于上述预设权重值，确定上述目标网络资产的异常程度。

根据本公开的实施例，上述获取模块可以包括：第二获取子模块，被配置为获取配置有上述目标网络资产的网络设备的属性数据，其中，上述属性数据包括日志数据和/或配置数据，以及处理子模块，被配置为按照预设规则，对上述属性数据进行数据处理，以获取目标网络资产的特征数据。

根据本公开的实施例，上述输出模块还可以被配置为：在上述异常程度不满足上述预设条件的情况下，输出上述目标网络资产正常的提示信息。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，上述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，上述计算机程序包括计算机可执行指令，上述指令在被执行时用于实现如上所述的方法。

通过本公开的实施例，基于目标网络资产的特征数据，可以确定目标网络资产的异常程度，并在异常程度满足预设条件的情况下，输出目标网络资产的异常信息，可以至少部分地解决相关技术中由人工对网络资产进行比对和分析，导致维护周期长，效率低下的问题，并因此可以实现自动快速发现异常资产数据，维护周期短，达到提高资产维护效率的技术效果。

更进一步地，本公开提供的数据处理方法从资产数据在整个企业网络资产中的走向进行全流程的分析，可以至少部分克服相关技术中独立分析个别资产数据时的狭隘思维，从更为宏观的角度关联比对出异常数据，并输出异常数据的详细信息。还可以至少部分解决企业面临的网络资产维护难题，可以至少部分避免因资产梳理不到位给企业和用户带来的损失，维护整个企业互联网信息系统的安全性。

附图说明

通过以下参照附图对本公开实施例的描述，本公开示例性实施方式的上述以及其他目的、特征和优点将变得易于理解。在附图中，以示例性而非限制性的方式示出了本公开的若干实施方式，在附图中：

图1示意性示出了根据本公开实施例的针对网络资产的数据处理方法的系统架构；

图2示意性示出了根据本公开实施例的针对网络资产的数据处理方法的流程图；

图3示意性示出了根据本公开实施例的基于特征数据，确定目标网络资产的异常程度的流程图；

图4示意性示出了根据本公开实施例的基于特征数据和预设异常场景，确定目标网络资产的异常程度的流程图；

图5示意性示出了根据本公开实施例的获取目标网络资产的特征数据的流程图；

图6示意性示出了根据本公开另一实施例的针对网络资产的数据处理方法的流程图；

图7示意性示出了根据本公开实施例的针对网络资产的数据处理装置的框图；

图8示意性示出了根据本公开另一实施例的针对网络资产的数据处理工具的结构框图；

图9示意性示出了根据本公开实施例的数据获取工具的结构框图；

图10示意性示出了根据本公开实施例的数据梳理工具的结构框图；

图11示意性示出了根据本公开实施例的异常值设置单元的结构框图；

图12示意性示出了根据本公开实施例的数据输出工具的结构框图；以及

图13示意性示出了根据本公开实施例的适于实现针对网络资产的数据处理方法和装置的电子设备的框图。

在附图中，相同或对应的标号表示相同或对应的部分。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本公开，而并非以任何方式限制本公开的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

此外，附图中的任何元素数量均用于示例而非限制，以及任何命名都仅用于区分，而不具有任何限制含义。

目前业界对于网络资产的清查维护过程，从边界的防火墙配置，到内部的地址映射、设备部署、应用关联，都是独立进行的，并没有系统的方法或工具来进行梳理和维护。而网络资产纷繁复杂，不同资产之间也有着千丝万缕的联系，需要人工进行多种资产的比对和分析，而在独立维护过程中，存在着维护周期长、一些异常资产数据难以被发现的问题，而这些异常数据对企业的安全体系将会造成一定的安全隐患。

本公开提供了一种自动化梳理企业网络资产的方法、装置及工具实现，其目的是要解决企业网络资产梳理上的存在的上述问题，即无法针对企业的网络资产进行自动化梳理的问题。

具体地，本公开提供了一种针对网络资产的数据处理方法，包括：首先，获取用于表征目标网络资产的异常程度的特征数据，其中，特征数据。然后，基于特征数据，确定目标网络资产的异常程度。最后，在异常程度满足预设条件的情况下，输出目标网络资产的异常信息。借助本公开提供的数据处理方法，可以克服人工梳理工作量大、人工判断存在误报漏报、异常资产数据难以被发现等技术问题，通过导入各种独立维护的网络资产数据，统一对网络资产进行梳理比对。

首先参考图1详细阐述本公开实施例的可以在其中实施的系统架构。

图1示意性示出了根据本公开实施例的针对网络资产的数据处理方法的示例性系统架构100。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以适用于任何企业的网络系统架构，该网络架构中可以包括但不限于客户端、服务器端、用于连接客户端和服务器端的互联网络以及用于维护该网络架构的网络安全的网络设备。

具体地，该网络架构100可以包括数据库服务器111、中心服务器112、Web服务器113、客户机120、管理机130、打印设备(打印机/复印机/扫描仪)140、路由器150、防火墙160、路由器170、多功能设备181、部署在部门一的终端设备182、183、184，以及部署在部门二的终端设备191、192。其中，数据库服务器111、中心服务器112以及Web服务器113组成服务器区域。IP地址是IP网络中数据传输的依据，用于标识IP网络中的一个连接，一台主机可以有多个IP地址。IP分组中的IP地址在网络传输中是保持不变的。

路由器150和170是互联网的主要节点设备，构成了Internet的骨架。路由器150和170通过路由决定数据的转发。转发策略称为路由选择(routing)，这也是路由器名称的由来(router，转发者)。作为不同网络之间互相连接的枢纽，路由器系统构成了基于TCP/IP的国际互联网络Internet的主体脉络。

路由器150用于实现虚拟专用网络(Virtual Private Network，简称为VPN)的基本配置。VPN被定义为通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定隧道。使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

路由器170是连接两个或多个网络的硬件设备，在网络间起网关的作用，读取每一个数据包中的地址然后决定如何传送的专用智能性的网络设备。通常是一个计算机，它能够理解不同的协议，例如某个局域网使用的以太协议，因特网使用的传输控制协议/互联网(Transmission Control Protocol/Internet Protocol，简称为TCP/IP)协议。这样，路由器可以分析各种不同类型网络传来的数据包的目的地址，把非TCP/IP网络的地址转换成TCP/IP地址，或者反之；再根据选定的路由算法把各数据包按最佳路线传送到指定位置。因此，路由器可以把非TCP/IP网络连接到因特网上。

防火墙160是借助硬件和软件的作用于内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断。只有在防火墙同意情况下，用户才能够进入计算机内，如果不同意就会被阻挡于外。实现入侵检测功能、网络地址转换功能、网络操作的审计监控功能以及强化网络安全服务。

内部网络用以在终端设备182、183、184、191、192和服务器区域之间提供通信链路的介质。内部网络可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备182、183、184、191、192通过内部网络与数据库服务器111、应用服务器112、Web服务器113交互，以接收或发送消息等。终端设备182、183、184、191、192上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

数据库服务器111由运行在局域网中的一台/多台计算机和数据库管理系统软件共同构成，数据库服务器111可以为客户应用程序提供数据服务。

应用服务器112可以通过各种协议把商业逻辑曝露给客户端的程序。

Web服务器113也称为WWW(WORLD WIDE WEB)服务器，指网站服务器，是指驻留于因特网上某种类型计算机的程序，可以向浏览器等Web客户端提供文档，也可以放置网站文件，让全世界浏览，还可以放置数据文件。

终端设备182、183、184、191、192可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

数据库服务器111、中心服务器112、Web服务器113可以是提供各种服务的服务器，例如对用户利用终端设备182、183、184、191、192所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。应该理解，图1中的终端设备、网络、网络安全设备和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络、网络安全设备和服务器。

需要说明的是，本公开可以应用于多种场景，为了便于说明，下文将以某一新闻客户端为载体，用户针对该新闻客户端推送的媒体内容进行反馈为例详细阐述本公开，而并非对本分明实施方式的限定。

在介绍了本公开的系统架构之后，下面具体介绍本公开的各种非限制性实施方式。应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本公开，而并非以任何方式限制本公开的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

下面结合图1的本公开实施例可以在其中实施的系统架构100，参考图2～图6来描述根据本公开示例性实施方式的数据处理的方法。需要注意的是，上述系统架构仅是为了便于理解本公开的精神和原理而示出，本公开的实施方式在此方面不受任何限制。相反，本公开的实施方式可以应用于适用的任何系统架构。

图2示意性示出了根据本公开实施例的针对网络资产的数据处理方法的流程图。

如图2所示，该方法可以包括操作S210～操作S230。

在操作S210，获取目标网络资产的特征数据。

在本公开中，网络资产可以包括但不限于网络安全设备及其资产。可以包括网络系统边界的防火墙配置，到网络系统内部的地址映射、设备部署以及应用关联。目标网络资产可以是任一网络资产。

根据本公开的实施例，特征数据可以用于表征目标网络资产的异常程度。特征数据可以包括但不限于网络安全设备的固有属性和动态属性。其中，固有属性可以包括设备的配置参数，设备属性。动态属性可以包括设备的日志信息。可以从多种网络安全设备中提取网络资产的特征数据，也称为关键数据。特征数据可以包括但不限于网络设备及联系人信息、IP地址、端口号、交互时间、交互内容。

在操作S220，基于特征数据，确定目标网络资产的异常程度。

在操作S230，在异常程度满足预设条件的情况下，输出目标网络资产的异常信息。

根据本公开的实施例，根据预设规则，对特征数据进行分析，可以确定目标网络资产是否为异常数据，在为异常数据的情况下，确定异常程度。

作为一种可选的实施例，可以预先设置预设条件，根据异常程度，决定异常数据是否满足该预设条件，若满足则将异常数据信息输出，以提示相关人员。若不满足，则不将异常数据信息输出。例如，该预设条件可以是异常值的阈值，若异常程度大于该阈值，则指示该异常程度满足预设条件，输出该异常值的相关信息。

通过本公开的实施例，基于目标网络资产的特征数据，确定目标网络资产的异常程度，并在异常程度满足预设条件的情况下，输出目标网络资产的异常信息，可以至少部分地解决相关技术中由人工对网络资产进行比对和分析，导致维护周期长，效率低下的问题，并因此可以实现自动快速发现异常资产数据，维护周期短，达到提高资产维护效率的技术效果。

鉴于网络资产纷繁复杂，不同网络资产之间也有着千丝万缕的联系。本公开将以IP这一目标网络资产为例，阐述本公开针对网络资产的数据处理方法。

图3示意性示出了根据本公开实施例的基于特征数据，确定目标网络资产的异常程度的流程图。

如图3所示，该方法可以包括操作S310～操作S340。

在操作S310，基于特征数据，获取预设异常场景。

在操作S320，检测特征数据是否命中预设异常场景。

在操作S330，在特征数据命中预设异常场景的情况下，基于特征数据和预设异常场景，确定目标网络资产的异常程度。

在操作S340，在异常程度不满足预设条件的情况下，输出目标网络资产正常的提示信息。

根据本公开的实施例，可以为网络资产设置预设异常场景，不同的网络资产可以设置不同的预设异常场景。预设异常场景用于表征该网络资产出现异常的各种场景可能。

例如，针对IP这一目标网络资产，可以预设三个异常场景。其中，场景一：网络防火墙策略已过期。场景二：在一定时期内流量监测设备无流量，但网络防火墙开放。场景三：应用防火墙未部署此IP及端口。

根据本公开的实施例，可以将获取的特征数据和预设异常场景进行比对，看是否命中预设异常场景。在命中的情况下，指示该网络资产为异常网络资产。在未命中的情况下，指示该网络资产为正常网络资产。这里，术语“命中”是指可以触发特定的预设异常场景。例如，若网络防火墙策略已过期，则表示“命中”预设的第一个异常场景。

需要说明的是，上述针对IP资产的三个预设异常场景仅是示例性的，并不是对预设异常场景的限定。针对不同的网络资产，根据网络资产的类型和属性，可以设置不同的预设异常场景。

通过本公开的实施例，基于设置预设异常场景，将特征数据与预设异常场景比对等技术手段，实现资产数据的横向/纵向比对，可以确定目标网络资产的异常程度，可以实现异常网络资产的快速发现，提高识别企业异常网络资产数据的准确率。

图4示意性示出了根据本公开实施例的基于特征数据和预设异常场景，确定目标网络资产的异常程度的流程图。

如图4所示，该方法可以包括操作S410和操作S420。

在操作S410，获取针对预设异常场景的预设权重值。

在操作S420，基于预设权重值，确定目标网络资产的异常程度。

根据本公开的实施例，根据异常场景的触发原则的不同，可以为不同的预设异常场景设置不同的权重值。触发原则可以包括但不限于触发该异常场景将对网络系统造成的危害程度。

表1示意性示出了针对预设异常场景设置预设权重值的信息。

表1

如表1所示，沿用上述针对IP这一目标网络资产，设置三个异常场景的权重值，触发前述场景一(网络防火墙策略已过期)的危害程度较小，权重值可以设置为0.2。触发前述场景二(在一定时期内流量监测设备无流量，但网络防火墙开放)的危害程度较高，权重值可以设置为0.5。触发前述场景三(应用防火墙未部署此IP及端口)的危害程度一般，权重值可以设置为0.3。

根据本公开的实施例，可以对于命中预设异常场景的异常数据进行记录，根据异常的特征数据所命中的预设异常场景对应的权重值，可以确定目标网络资产的异常程度，即异常值。

例如，异常数据分别是IP为1.1.1.1，端口号为443的异常数据1、IP为1.1.1.2，端口号为8080的异常数据2和IP为1.1.1.3，端口号为440的异常数据3。在异常数据1仅触发前述场景二的情况下，确定其异常值为前述场景二的权重值0.5。在异常数据2触发前述场景二和前述场景三的情况下，确定其异常值为前述场景二的权重值0.5和前述场景三的权重值0.5的权重值之和，即0.8。在异常数据3只触发前述场景一的情况下，确定其异常值为前述场景一的权重值0.2。异常值越大，指示异常风险越大，即按照异常值从大到小的顺序，异常风险从大到小，异常数据2的异常风险大于异常数据1的异常风险，异常数据1的异常风险大于异常数据3的异常风险。相关人员可以按照异常风险的大小，安排对异常资产的处理顺序。

通过本公开的实施例，针对预设异常场景，设置权重值，可以在目标网络资产命中预设异常场景的情况下，根据权重值确定异常程度，实现异常程度的定量化描述，方便相关人员直观了解网络资产的异常严重程度。

图5示意性示出了根据本公开实施例的获取目标网络资产的特征数据的流程图。

如图5所示，该方法可以包括操作S510和操作S520。

在操作S510，获取配置有目标网络资产的网络设备的属性数据，其中，属性数据包括日志数据和/或配置数据。

在操作S520，按照预设规则，对属性数据进行数据处理，以获取目标网络资产的特征数据。

根据本公开的实施例，可以通过统一接口导入独立维护的各类网络资产，包括但不限于网络防火墙、应用防火墙、流量监测设备、F5负载均衡系统等企业互联网设备中收集日志信息或配置信息，借助特征数据爬虫、关键字匹配等任何公知的方法，提取出IP、端口信息，以及附加的其它信息。例如，网络防火墙对应策略的有效时间、流量监测设备中产生流量的时间、应用防火墙中源IP地址、目的IP地址、F5中源IP地址和目的IP地址、端口号的对应情况，请求及响应时间，请求及响应内容，设备标识信息及设备联系人，最后将此类数据存入数据库中以备调用。

通过本公开的实施例，从相关技术中需要多人、多部门独立维护的网络资产数据中，提取出网络资产的特征数据，为资产数据的比对和分析，提供基础的数据支撑，为异常程度的比对奠定良好的数据基础。

图6示意性示出了根据本公开另一实施例的针对网络资产的数据处理方法的流程图。

如图6所示，以梳理企业互联网资产的处理过程为例，阐述从企业互联网资产获取数据到判定数据异常的判别流程，该方法可以包括操作S610～操作S660。

针对一资产数据的处理过程开始运行后，在操作S610，对资产数据进行收集，提取关键数据并存入数据库。关键数据可以参考前述图2所示的特征数据的相关描述，可以包括但不限于设备及联系人信息、IP地址、端口号、交互时间、交互内容。

在操作S620，对资产数据进行汇总和梳理。

在操作S630，判断是否命中异常场景。若否(未命中)，则执行操作S640。若是(命中)，则执行操作S650。

在操作S640，如果未命中异常场景则指示该资产数据为正常资产数据，可以输出正常资产的提示信息。本次判别流程结束，进入下一个资产数据的判别过程。

如果命中异常场景则指示该资产数据为异常资产数据，则可以在操作S650，对异常数据进行异常值设置。具体地，可以根据不同异常场景的权重值以及异常场景的触发原则来决定。异常值越高，该资产数据的风险越大。

最后，在操作S660，将异常数据的相关信息及建议处理方案进行输出。相关信息可以包括但不限于该异常资产的异常数据的类型、异常数据内容、数据异常值、异常数据所属设备名称、维护部门、维护人员、维护人员的联系方式、维护人员的邮箱以及建议处理方案。

若该网络资产数据的本次判别流程结束，则可以执行上述操作S610～操作S660，执行对下一个网络资产数据的判别过程。

通过本公开的实施例，从网络资产数据在整个企业互联网资产中的走向角度，进行全流程的分析，可以避免独立分析个别资产数据时的狭隘思维，从更为宏观地角度关联比对出异常数据，并输出异常数据的详细信息，例如异常数据所在设备、触发的异常场景、对应的资产数据维护单位及人员信息，甚至可以自动发送邮件给维护人员，及时提醒其进行维护整改。同时可以解决企业面临的互联网资产维护难题，避免因资产梳理不到位给企业和用户带来的损失，在梳理发现存在异常资产数据的情况下，可以及时通知相关技术人员采取应对措施以维护整个企业互联网信息系统的安全性。

在介绍了若干本公开示例性实施方式之后，接下来，参考图7～图12对基于同一发明构思的本公开示例性实施方式的、用于实现数据处理的装置、工具进行详细阐述。

图7示意性示出了根据本公开实施例的针对网络资产的数据处理装置的框图。

如图7所示，该装置700可以包括获取模块710、确定模块720和输出模块730。

获取模块710，被配置为执行例如前述操作S210，获取目标网络资产的特征数据，其中，特征数据用于表征目标网络资产的异常程度。

确定模块720，被配置为执行例如前述操作S220，基于特征数据，确定目标网络资产的异常程度。

输出模块730，被配置为执行例如前述操作S230，在异常程度满足预设条件的情况下，输出目标网络资产的异常信息。

通过本公开的实施例，基于目标网络资产的特征数据，确定目标网络资产的异常程度，并在异常程度满足预设条件的情况下，输出目标网络资产的异常信息，可以至少部分地解决相关技术中由人工对网络资产进行比对和分析，导致维护周期长，效率低下的问题，并因此可以实现自动快速发现异常资产数据，维护周期短，达到提高资产维护效率的技术效果。

根据本公开的实施例，前述确定模块720可以包括：第一获取子模块，被配置为基于特征数据，获取预设异常场景。检测子模块，被配置为检测特征数据是否命中预设异常场景。确定子模块，被配置为在特征数据命中预设异常场景的情况下，基于特征数据和预设异常场景，确定目标网络资产的异常程度。

根据本公开的实施例，前述确定子模块可以包括：获取单元，被配置为获取针对预设异常场景的预设权重值；以及确定单元，被配置为基于预设权重值，确定目标网络资产的异常程度。

根据本公开的实施例，前述获取模块710可以包括：第二获取子模块，被配置为获取配置有目标网络资产的网络设备的属性数据，其中，属性数据包括日志数据和/或配置数据。处理子模块，被配置为按照预设规则，对属性数据进行数据处理，以获取目标网络资产的特征数据。

根据本公开的实施例，前述输出模块730还可以被配置为：在异常程度不满足预设条件的情况下，输出目标网络资产正常的提示信息。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，获取模块710、确定模块720和输出模块730中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，获取模块710、确定模块720和输出模块730中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，获取模块710、确定模块720和输出模块730中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

自动化梳理企业互联网资产的方法首先通过统一接口导入独立维护的各类互联网资产，统一对互联网资产进行梳理，并根据预先设定的规则对资产数据进行比对，对于异常数据设定异常值，异常值越高说明此数据设置的风险越高，方便企业的安全部门随时清查互联网资产中存在的安全隐患。

图8示意性示出了根据本公开另一实施例的针对网络资产的数据处理装置的框图。

如图8所示，该数据处理装置800可以包括企业互联网资产数据获取工具810、企业互联网资产数据梳理工具820以及异常互联网资产数据输出工具830。

企业互联网资产数据获取工具810，用于从企业维护的各个安全设备获取与待收集资产相关的数据，提取各类关键数据，进而将各类数据写入指定数据库以待调用。

企业互联网资产数据梳理工具820，用于对从企业互联网资产数据获取工具810获取到的资产相关数据进行汇总梳理，并根据预先设定的异常数据规则对资产数据进行梳理比对，然后对异常资产数据设定异常值。异常值越高代表资产数据的风险越高。

异常互联网资产数据输出工具830，用于输出企业互联网资产数据梳理工具820梳理比对出的异常资产数据信息。其中，异常资产数据信息可以包含但不限于：设备名称，维护部门/人员/联系方式/邮箱，异常数据类型，异常数据内容，数据异常值，建议处理方案。

可以理解的是，前述企业互联网资产数据获取工具810、企业互联网资产数据梳理工具820以及异常互联网资产数据输出工具830三个工具模块之间通过相互协作，可以共同实现针对企业互联网资产异常数据的梳理。

图9示意性示出了根据本公开实施例的数据获取工具的结构框图。

如图9所示，前述企业互联网资产数据获取工具810可以包括企业互联网资产数据收集单元910、企业互联网资产数据提取单元920及企业互联网资产数据存入单元930。

企业互联网资产数据收集单元910，用于从企业互联网资产中获取关键数据，包括但不限于网络防火墙、应用防火墙、入侵防护设备、旁路部署入侵检测设备、流量监测设备、F5、负载均衡设备以及其他互联网资产的基本信息、日志信息、配置信息。

企业互联网资产数据提取单元920，用于根据不同资产的数据信息格式，以及相应关键数据的数据特征，从不同互联网资产数据中提取关键数据，如设备及联系人信息、IP地址、端口号、交互时间、交互内容。

企业互联网资产数据存入单元930，用于将企业互联网资产数据提取单元920中的关键数据分别存入数据库中，包括但不限于源IP地址、目的IP地址、端口号、协议、时间(请求及响应)、内容(请求及响应)、设备及联系人信息以及其他数据库，以备随时调用。

通过本公开的实施例，从相关技术中需要多人、多部门独立维护的网络资产数据中，提取出网络资产的特征数据，为资产数据的比对和分析，提供基础的数据支撑，为异常程度的比对奠定良好的数据基础。

图10示意性示出了根据本公开实施例的数据梳理工具的结构框图。

如图10所示，前述企业互联网资产数据梳理工具820可以包括企业互联网资产数据汇总梳理单元1010、企业互联网资产数据比对单元1020以及企业互联网资产数据异常值设置单元1030。

企业互联网资产数据汇总梳理单元1010，用于对企业互联网资产数据获取工具810获取到的资产数据进行汇总梳理。

企业互联网资产数据比对单元1020，用于根据预先设定的规则，对企业不同互联网资产数据进行比对，对于触发异常的比对结果进行记录。比如，某个服务器防火墙端口开放，但内部其它互联网资产中均无流量，则触发异常数据警报并进行记录。

企业互联网资产数据异常值设置单元1030，用于根据企业互联网资产数据比对单元1020的记录结果，对资产数据设置异常值，根据异常值大小来评判该数据的异常程度。

通过本公开的实施例，基于设置预设异常场景，将特征数据与预设异常场景比对等技术手段，实现资产数据的横向/纵向比对，可以确定目标网络资产的异常程度，可以实现异常网络资产的快速发现，提高识别企业异常网络资产数据的准确率。

图11示意性示出了根据本公开实施例的异常值设置单元的结构框图。

如图11所示，前述企业互联网资产数据异常值设置单元1030可以包括异常值预设场景单元1110以及异常值设置规则单元1120。其中，异常值设置规则单元1120可以根据场景的异常程度及权重值以及异常场景的触发原则决定。

通过本公开的实施例，针对预设异常场景，设置权重值，可以在目标网络资产命中预设异常场景的情况下，根据权重值确定异常程度，实现异常程度的定量化描述，方便相关人员直观了解网络资产的异常严重程度。

图12示意性示出了根据本公开实施例的数据输出工具的结构框图。

如图12所示，异常互联网资产数据输出工具830可以包括异常资产数据输出单元1210，用于输出企业互联网资产数据梳理工具820判别得到的异常数据的结果，可以包括但不限于：设备名称，维护部门/人员/联系方式/邮箱，异常数据类型，异常数据内容，数据异常值，建议处理方案。需要说明的是，异常互联网资产数据输出工具830还可以借助异常资产数据定位单元1220，来定位企业互联网资产数据梳理工具820判别得到的异常数据所属的设备名称，以及设备维护部门的人员信息及联系方式。

通过本公开的实施例，可以有效分辨出企业互联网资产数据中的异常数据，不仅能够迅速定位到异常数据所在位置及维护部门以及维护人员信息，还能根据命中的异常场景，给出有效的整改建议。

图13示意性示出了根据本公开实施例的适于实现针对网络资产的数据处理方法和装置的电子设备的框图。图13示出的计算机系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图13所示，根据本公开实施例的计算机系统1300包括处理器1301，其可以根据存储在只读存储器(ROM)1302中的程序或者从存储部分1308加载到随机访问存储器(RAM)1303中的程序而执行各种适当的动作和处理。处理器1301例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器1301还可以包括用于缓存用途的板载存储器。处理器1301可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 1303中，存储有系统1300操作所需的各种程序和数据。处理器1301、ROM1302以及RAM 1303通过总线1304彼此相连。处理器1301通过执行ROM 1302和/或RAM 1303中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，程序也可以存储在除ROM 1302和RAM 1303以外的一个或多个存储器中。处理器1301也可以通过执行存储在一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，系统1300还可以包括输入/输出(I/O)接口1305，输入/输出(I/O)接口1305也连接至总线1304。系统1300还可以包括连接至I/O接口1305的以下部件中的一项或多项：包括键盘、鼠标等的输入部分1306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分1307；包括硬盘等的存储部分1308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1309。通信部分1309经由诸如因特网的网络执行通信处理。驱动器1310也根据需要连接至I/O接口1305。可拆卸介质1311，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1310上，以便于从其上读出的计算机程序根据需要被安装入存储部分1308。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1309从网络上被下载和安装，和/或从可拆卸介质1311被安装。在该计算机程序被处理器1301执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。例如，可以执行如图2中所示的操作S210：获取目标网络资产的特征数据，其中，特征数据用于表征目标网络资产的异常程度。操作S220：基于特征数据，确定目标网络资产的异常程度。操作S230：基于特征数据，确定目标网络资产的异常程度。操作S240：在异常程度满足预设条件的情况下，输出目标网络资产的异常信息。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 1302和/或RAM 1303和/或ROM 1302和RAM 1303以外的一个或多个存储器。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (7)

1.一种针对网络资产的数据处理方法，包括：

获取多个目标网络资产之间的属性数据，所述属性数据包括日志数据和配置数据；

按照预设规则，对所述属性数据进行数据处理，并通过统一接口导入多个独立维护的目标网络资产，以获取多个所述目标网络资产之间的特征数据；

基于所述特征数据，确定多个所述目标网络资产之间的异常程度；

在所述异常程度满足预设条件的情况下，输出多个所述目标网络资产之间的异常信息，

其中，基于所述特征数据，确定多个所述目标网络资产的异常程度包括：

基于所述特征数据，获取预设异常场景；

检测所述特征数据是否命中所述预设异常场景；以及

在所述特征数据命中所述预设异常场景的情况下，基于所述特征数据和所述预设异常场景，确定所述目标网络资产的异常程度。

2.根据权利要求1所述的方法，其中，所述基于所述特征数据和所述预设异常场景，确定所述目标网络资产的异常程度包括：

获取针对所述预设异常场景的预设权重值；以及

基于所述预设权重值，确定所述目标网络资产的异常程度。

3.根据权利要求1所述的方法，其中，所述方法还包括：

在所述异常程度不满足所述预设条件的情况下，输出所述目标网络资产正常的提示信息。

4.一种针对网络资产的数据处理装置，包括：

获取模块，被配置为获取多个目标网络资产之间的属性数据，所述属性数据包括日志数据和配置数据，按照预设规则，对所述属性数据进行数据处理，并通过统一接口导入多个独立维护的目标网络资产，以获取多个所述目标网络资产之间的特征数据；

确定模块，被配置为基于所述特征数据，确定多个所述目标网络资产之间的异常程度；以及

输出模块，被配置为在所述异常程度满足预设条件的情况下，输出多个所述目标网络资产之间的异常信息；

其中，所述确定模块包括：

获取子模块，被配置为基于所述特征数据，获取预设异常场景；

检测子模块，被配置为检测所述特征数据是否命中所述预设异常场景；以及

确定子模块，被配置为在所述特征数据命中所述预设异常场景的情况下，基于所述特征数据和所述预设异常场景，确定所述目标网络资产的异常程度。

5.根据权利要求4所述的装置，其中，所述确定子模块包括：

获取单元，被配置为获取针对所述预设异常场景的预设权重值；以及

确定单元，被配置为基于所述预设权重值，确定所述目标网络资产的异常程度。

6.一种电子设备，包括：

一个或多个处理器；以及

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至3中任一项所述的方法。

7.一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现权利要求1至3中任一项所述的方法。

Images