CN110493266A - 一种网络安全防护方法及系统 - Google Patents

Abstract

本发明属于信息处理技术领域，具体公开了一种网络安全防护方法和系统。该方法包括：基于总出口流表数，得出某时间段的实时总流表数面积；计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，所述标准总流表数面积是基于历史出口流表数得出的所述时间段内平均总流表数面积；在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击。该方法可提高了网络攻击判定的效率，并能快速对发起网络攻击进行定位。

Description

一种网络安全防护方法及系统

技术领域

本发明涉及信息处理技术领域，具体涉及一种网络安全防护方法及系统。

背景技术

微服务架构指将大型复杂软件系统拆分为多个松耦合微服务模块，这种模式正逐渐替代传统的SOA软件架构，但是微服务架构中各模块之间的网络通信量会大大增加，出现网络流量攻击的概率也会相应增加。

目前，对微服务架构的安全防护大多照搬传统软件架构的安全防护模式进行，即，将整个微服务系统看做一个整体进行监测，需要占用大量的资源判断受到网络攻击，如果发现网络攻击，还需要遍历所有容器，占用大量的运算资源，且定位耗时很长，排查故障的效率低。

发明内容

为此，本发明提供一种网络安全防护方法及系统，以解决现有技术中由于需要占用大量资源去判断和定位网络攻击而导致效率低的问题。

为了实现上述目的，本发明第一方面提供一种网络安全防护方法，所述方法包括：

基于总出口流表数，得出某时间段的实时总流表数面积；

计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，所述标准总流表数面积是基于历史出口流表数得出的所述时间段内平均总流表数面积；

在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击。

优选地，在连续多个时间段内出现网络流量攻击时，确定微服务系统受到网络流量攻击。

优选地，所述确定微服务系统受到网络流量攻击之后，还包括：

对所述微服务系统内不同层级自上而下逐级排查，确定发起所述网络流量攻击的最低层级中的具体位置。

其中，所述对所述微服务系统内自上而下不同层级逐级排查，确定发起流量攻击的最低层级中的具体位置，包括：

基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积，其中，n为正整数，n值越大，层级越低；

计算各模块对应的实时模块流表数面积和标准模块流表数面积的比值，所述标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；

确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块。

优选地，所述确定发起流量攻击的最低层级中的具体位置之后，还包括：

获取所述最低层级中发起流量攻击的模块的具体位置的IP地址；

将所述IP地址发送至控制器和/或告警模块；

所述控制器修改流表的转发策略，所述告警模块发出告警信息。

为了实现上述目的，本发明第二方面提供一种网络安全防护系统，包括：

监控模块，基于总出口流表数，得出某时间段的实时总流表数面积；

计算模块，计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，所述标准总流表数面积是基于历史出口流表数得出的所述时间段内平均总流表数面积；

第一判定模块，在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击。

优选地，还包括：

第二判定模块，用于在连续多个时间段内出现网络流量攻击时，确定微服务系统受到网络流量攻击。

优选地，还包括：

定位模块，用于对所述微服务系统内不同层级自上而下逐级排查，确定发起所述网络流量攻击的最低层级中的具体位置。

其中，所述定位模块包括：

监控子模块，用于基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积，其中，n为正整数，n值越大，层级越低；

计算子模块，用于计算各模块对应的实时模块流表数面积和标准模块流表数面积的比值，所述标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；

定位子模块，用于确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块。

其中，还包括：

获取模块，用于获取所述最低层级中发起流量攻击的模块的具体位置的IP地址；

发送模块，用于将所述IP地址发送至控制器和/或告警模块，以便所述控制器修改流表的转发策略，所述告警模块用于发出告警信息。

本发明具有如下优点：

本发明实施例提供的网络安全防护方法，基于出口流表数得出某时间段内的实时流表数面积；计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击，通过实时流表数面积和标准流表数面积即可确定网络是否受到网络攻击，提高了网络攻击判定的效率。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。

图1为本发明实施例提供的一种网络安全防护方法的流程图；

图2为本发明实施例提供的网络安全防护方法中步骤S104的具体流程图；

图3为本发明实施例提供的一种网络安全防护的原理框图；

图4为本发明实施例提供的另一种网络安全防护的原理框图。

在附图中：

31：监控模块 32：计算模块

33:第一判定模块 34:第二判定模块

35:定位模块 36:获取模块

37：发送模块

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

本发明实施例提供的网络安全防护方法是针对微服务系统的安全防护，该微服务系统是由多个松耦合微服务模块组成，网络攻击可能是由这些模块之一发起的，通过该方法能快速判断网络受到攻击。

图1为本实施例提供的网络安全防护方法的流程图。如图1所示，网络安全防护方法包括：

步骤S101，基于总出口流表数，得出某时间段内的实时总流表数面积。

其中，总出口流表数是指整个微服务系统的出口流表数。这里所指的时间段是一个周期时间段，可以根据情况任意设定，如，将时间段设定为10分钟，5分钟或者1分钟。

在一个实施例中，时间段T为10分钟，每10分钟计算一次该时间内实时流表数面积。

实时流表数面积通过以下公式(1)计算：

在公式(1)中，A_T代表第T个时间段的流表数面积，t-10表示第T个时间段的起始时刻，t表示第T个时间段的结束时刻，N(x)代表x时刻的流表数。

步骤S 102，计算对应时间段的实时总流表数面积和标准总流表数面积的比值。

在一个实施例中，标准总流表数面积是基于历史出口流表数得出的时间段内平均总流表数面积，标准总流表数面积的计算方式与实时总流表数面积相同，在此不再赘述。

需要说明的是，经过统计分析，整个微服务系统每天各时间段的平均流表数基本稳定，通过比较相同时间段的总流表数面积来判断微服务系统是否发生网络流量攻击，因此，在本实施例中，在计算实时总流表数面积和标准总流表数面积的比值时，实时总流表数面积和标准总流表数面积均是指同一时间段的总流表数面积。

类似地，微服务系统中各模块每天各时间段的平均流表数基本稳定，通过比较相同时间段各模块流表数面积与标准模块流表数面积，即可判断发生网络流量攻击的模块的位置。

在一个实施例中，标准总流表数面积和各模块流表数面积均采用过去30天的出口流表数获得。具体地，利用统计模块定期收集过去30天的总出口流表数，计算各时间段的总平均出口流表数，并绘制流表数曲线图。根据各时间段的总平均出口流表数，计算各时间段的标准总出口流表数面积。同理，利用统计模块定期收集过去30天个模块出口流表数，计算各时间段、各模块平均出口流表数，并绘制流表数曲线图。根据各时间段、各模块平均出口流表数，计算各时间段、各模块的标准模块出口流表数面积。

需要说明的是，微服务系统包括多个层级(级别)，每个层级包含有多个模块，因此，在计算标准模块出口流表数面积和实时模块出口流表数面积时，针对不同层级中的各模块分别计算。

在判断微服务系统是否发生网络流量攻击时，通过对应时间段内实时总流表数面积和标准总流表数面积的比值，如，计算5:00至5:10时间段内实时总流表数面积和标准总流表数面积的比值，即可判断该时间段是否发生网络流量攻击。

步骤S103，在实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在时间段内出现网络流量攻击。

其中，预设范围是预先设定的，如预设范围设定为80％-120％，当实时总流表数面积和标准总流表数面积的比值在80％-120％时，判定微服务系统在该时间段内未出现网络流量攻击。当实时总流表数面积和标准总流表数面积的比值超过80％-120％时，判定微服务系统在该时间段内出现网络流量攻击。

需要说明的是，步骤S103判断某时间段内出现网络流量攻击。为了提高预测网络流量攻击的准确性，在连续多个时间段内出现网络流量攻击时，才确定微服务系统受到网络流量攻击。如判断连续三个时间段发生网络流量攻击时，才确定微服务系统受到网络流量攻击。

在一个实施例中，网络安全防护方法还包括：

步骤S104，对微服务系统内不同层级自上而下逐级排查，确定发起网络流量攻击的最低层级中的具体位置。

在确定微服务系统受到网络流量攻击后，逐级向下进行细粒度的排查，确定发起网络流量攻击的具体位置，即对微服务系统中不同层级的模块进行进一步分析，定位发起网络流量攻击的模块，直至定位至最低层级中模块的位置。

在一个实施例中，逐级对发起网络流量攻击进行定位的过程与判断微服务系统是否被网络流量攻击的过程基本相同。如图2所示，步骤S104具体包括：

步骤S201，基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积。

其中，n为正整数，n值越大，层级越低。

步骤S202，计算第n层级各模块对应的实时模块流表数面积和标准模块流表数面积的比值。

其中，标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；

步骤S203，确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块位置。

例如，微服务系统自上而下依次包括第一层级、第二层级和第三层级，每个层级包括第一模块、第二模块和第三模块。在第一层级定位时，分别获得发生网络流量攻击的时间段时第一层级中第一模块、第二模块和第三模块的实时流表数，并基于第一层级中第一模块、第二模块和第三模块的实时流表数得出该时间段的实时模块流表数面积，然后分别计算第一模块、第二模块和第三模块的实时模块流表数面积与对应标准模块流表数面积的比值，即得到三个比值，分别对应第一模块、第二模块和第三模块，判断这三个比值是否超过预设范围定位第一层级中发生网络流量攻击的具体模块。

在定位第一层级中发起网络流量攻击的位置后，再定位第二层级中发起网络流量攻击的位置，如判断第一层级中第一模块发起了网络流量攻击，则在第二层级中只针对第一层级的第一模块进行定位，不再考虑第一层级的第二模块和第三模块。

类似地，在第二层级中，只获得发生网络流量攻击的时间段时第一层级中第一模块下的第一服务模块、第二服务模块和第三服务模块的实时模块流表数，基于第一服务模块、第二服务模块和第三服务模块的实时模块流表数得出该时间段的实时模块流表数面积，然后分别计算第一服务模块、第二服务模块和第三服务模块的实时模块流表数面积与对应标准模块流表数面积的比值，得到三个比值，分别对应第一服务模块、第二服务模块和第三服务模块，判断这三个比值是否超过预设范围定位第二层级中发生网络流量攻击的具体服务模块。

若第二层级中的第二服务模块发起网络流量攻击，则在第三层级中，只获得发生网络流量攻击的时间段时第二层级中第二服务模块下的第一容器模块、第二容器模块和第三容器模块的实时模块流表数，基于第一容器模块、第二容器模块和第三容器模块的实时模块流表数得出该时间段的实时模块流表数面积，然后分别计算第一容器模块、第二容器模块和第三容器模块的实时模块流表数面积与对应标准模块流表数面积的比值，得到三个比值，分别对应第一容器模块、第二容器模块和第三容器模块，判断这三个比值是否超过预设范围定位第三层级中发生网络流量攻击的具体容器模块。

通过逐级判断确定了第三层级(最低层级)发起网络流量攻击的具体容器模块。

在一个实施例中，网络安全防护方法还包括：

步骤S105，获取最低层级中发起流量攻击的模块的具体位置的IP地址。

步骤S106，将IP地址发送至控制器和/或告警模块。

其中，控制器可以为SDN控制器。告警模块与数据库信号连接，数据库中存储有容器模块对应的使用者信息，告警模块可以根据IP地址查询数据库获得容器模块对应的用户。

步骤S107，控制器修改流表的转发策略，告警模块发出告警信息。

控制器在收到网络流量攻击消息后，修改该IP地址对应的容器模块的流表转发策略，对该容器的出口流量采用但不限于统一丢弃策略，直到问题修复后再开通。

告警模块在获得到容器模块对应的用户后，发布流量攻击告警给对应用户的负责人。

本实施例提供的网络安全防护方法，基于出口流表数得出某时间段内的实时流表数面积；计算对应时间段的实时总流表数面积和标准总流表数面积的比值，在实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在时间段内出现网络流量攻击，通过实时流表数面积和标准流表数面积即可确定网络是否受到网络攻击，提高了网络攻击判定的效率。通过定位步骤可以快速定位发起网络流量攻击的具体位置，以便于用户能够及时针对网络流量攻击进行处理

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本实施例还提供一种网络安全防护系统，该系统应用于微服务系统，用于及时发现微服务系统是否发生网络流量攻击，而且可以判断发起网络流量攻击的具体位置，以便及时采取相应措施。

如图3所示，网络安全防护系统包括：

监控模块31，基于出口流表数，得出某时间段内的实时总流表数面积。

计算模块32，计算实时总流表数面积和标准总流表数面积的比值，标准总流表数面积是基于历史出口流表数得出的时间段内平均总流表数面积。

第一判定模块33，在实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在时间段内出现网络流量攻击。

在一个实施例中，如图4所示，网络安全防护系统还包括：

第二判定模块34，用于在连续多个时间段内出现网络流量攻击时，确定微服务系统受到网络流量攻击。

在一个实施例中，定位模块35，用于对微服务系统内不同层级自上而下逐级排查，确定发起网络流量攻击的最低层级中的具体位置。

在一个实施例中，定位模块35包括监控子模块、计算子模块和定位子模块，监控子模块用于基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积，其中，n为正整数，n值越大，层级越低；计算子模块，用于计算各模块对应的实时模块流表数面积和标准模块流表数面积的比值，标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；定位子模块，用于确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块。

在一个实施例中，网络安全防护系统还包括：

获取模块36，用于获取最低层级中发起流量攻击的模块的具体位置的IP地址。

发送模块37，用于将IP地址发送至控制器和/或告警模块，以便于控制器修改流表的转发策略，告警模块用于发出告警信息。

需要说明的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

本实施例提供的网络安全防护方法，监控模块基于出口流表数得出单位时间段内的实时流表数面积；计算模块计算对应时间段的实时总流表数面积和标准总流表数面积的比值，第一判定模块在实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在时间段内出现网络流量攻击，通过实时流表数面积和标准流表数面积即可确定网络是否受到网络攻击，提高了网络攻击判定的效率。通过定位模块可以快速定位发起网络流量攻击的具体位置，以便于用户能够及时针对网络流量攻击进行处理。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (10)

1.一种网络安全防护方法，其特征在于，所述方法包括：

基于总出口流表数，得出某时间段的实时总流表数面积；

计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，所述标准总流表数面积是基于历史出口流表数得出的所述时间段内平均总流表数面积；

在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击。

2.根据权利要求1所述的网络安全防护方法，其特征在于，在连续多个时间段内出现网络流量攻击时，确定微服务系统受到网络流量攻击。

3.根据权利要求2所述的网络安全防护方法，其特征在于，所述确定微服务系统受到网络流量攻击之后，还包括：

对所述微服务系统内不同层级自上而下逐级排查，确定发起所述网络流量攻击的最低层级中的具体位置。

4.根据权利要求3所述的网络安全防护方法，其特征在于，所述对所述微服务系统内自上而下不同层级逐级排查，确定发起流量攻击的最低层级中的具体位置，包括：

基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积，其中，n为正整数，n值越大，层级越低；

计算各模块对应的实时模块流表数面积和标准模块流表数面积的比值，所述标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；

确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块。

5.根据权利要求3所述的网络安全防护方法，其特征在于，所述确定发起流量攻击的最低层级中的具体位置之后，还包括：

获取所述最低层级中发起流量攻击的模块的具体位置的IP地址；

将所述IP地址发送至控制器和/或告警模块；

所述控制器修改流表的转发策略，所述告警模块发出告警信息。

6.一种网络安全防护系统，其特征在于，包括：

监控模块，基于总出口流表数，得出某时间段的实时总流表数面积；

计算模块，计算对应时间段的所述实时总流表数面积和标准总流表数面积的比值，所述标准总流表数面积是基于历史出口流表数得出的所述时间段内平均总流表数面积；

第一判定模块，在所述实时总流表数面积和标准总流表数面积的比值超过预设范围时，确定微服务系统在所述时间段内出现网络流量攻击。

7.根据权利要求6所述的网络安全防护系统，其特征在于，还包括：

第二判定模块，用于在连续多个时间段内出现网络流量攻击时，确定微服务系统受到网络流量攻击。

8.根据权利要求7所述的网络安全防护系统，其特征在于，还包括：

定位模块，用于对所述微服务系统内不同层级自上而下逐级排查，确定发起所述网络流量攻击的最低层级中的具体位置。

9.根据权利要求8所述的网络安全防护系统，其特征在于，所述定位模块包括：

监控子模块，用于基于第n层级中各模块的实时流表数，得出各模块的实时模块流表数面积，其中，n为正整数，n值越大，层级越低；

计算子模块，用于计算各模块对应的实时模块流表数面积和标准模块流表数面积的比值，所述标准模块流表数面积是基于各模块的历史出口流表数得出的平均模块流表数面积；

定位子模块，用于确定第n层级中实时模块流表数面积和标准模块流表数面积的比值超过预设范围的模块，从而确定第n层级中发起流量攻击的模块。

10.根据权利要求8所述的网络安全防护系统，其特征在于，还包括：

获取模块，用于获取所述最低层级中发起流量攻击的模块的具体位置的IP地址；

发送模块，用于将所述IP地址发送至控制器和/或告警模块，以便所述控制器修改流表的转发策略，所述告警模块用于发出告警信息。