CN110768934A - 网络访问规则的检查方法和装置 - Google Patents

Abstract

本发明公开了一种网络访问规则的检查方法和装置。其中，该方法包括：解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。本发明解决了由于现有技术中在网络访问规则存在冗余无效的规则现象，导致的规则防护效率低的技术问题。

Description

网络访问规则的检查方法和装置

技术领域

本发明涉及互联网领域，具体而言，涉及一种网络访问规则的检查方法和装置。

背景技术

安全组是虚拟防火墙，用户可以为安全组配置网络访问规则来控制这个安全组内云服务器(Elastic Compute Service，简称ECS)的网络访问。目前安全组访问控制列表(Access Control List，简称ACL，即多条网络访问规则组成的集合)的配置出现冗余、无效等现象，这会造成网络访问规则难于管理，系统规定的网络访问规则存在不满足用户需求的规则，防火墙下发效率低下等一系列问题。

针对上述由于现有技术中在网络访问规则存在冗余无效的规则，导致的规则防护效率低的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种网络访问规则的检查方法和装置，以至少解决由于现有技术中在网络访问规则存在冗余无效的规则现象，导致的规则防护效率低的技术问题。

根据本发明实施例的一个方面，提供了一种网络访问规则的检查方法，网络访问规则应用于一个或多个计算设备，该方法包括：解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

可选的，网络地址集合包括目的地址为一个或多个计算设备的网络请求的源地址和/或源地址为一个或多个计算设备的网络请求的目的地址。

可选的，将网络地址集合与网络访问规则进行匹配包括：判断网络访问规则允许的源地址或目的地址是否位于网络地址集合内；若网络访问规则允许的源地址或目的地址不位于网络地址集合内，则确定在预设周期内未调用该网络访问规则。

可选的，以判断在预设周期内是否调用该网络访问规则之后，该方法还包括：如果在预设周期内未调用该网络访问规则，则记录未调用该网络访问规则的预设周期个数。

进一步地，可选的，记录未调用该网络访问规则的预设周期个数之后，该方法还包括：根据未调用该网络访问规则的预设周期的个数来确定网络访问规则是否为无效规则。

可选的，记录未调用该网络访问规则的预设周期个数之后，该方法还包括：在各个预设周期内循环执行解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；以及，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，直至预设周期的个数达到阈值；在预设周期的个数达到阈值的情况下，确定网络访问规则为无效规则。

可选的，网络访问规则允许的源地址或目的地址为静态地址。

可选的，解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合包括：通过离线分析来解析在预设周期内与一个或多个计算设备相关的网络请求，得到网络地址集合。

根据本发明实施例的另一个方面，提供了一种网络访问规则的检查装置，网络访问规则应用于一个或多个计算设备，该装置包括：解析模块，用于解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；检查模块，用于将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

可选的，网络地址集合包括目的地址为一个或多个计算设备的网络请求的源地址和/或源地址为一个或多个计算设备的网络请求的目的地址。

可选的，检查模块包括：判断单元，用于判断网络访问规则允许的源地址或目的地址是否位于网络地址集合内；检查单元，用于若网络访问规则允许的源地址或目的地址不位于网络地址集合内，则判断在预设周期内是否调用该网络访问规则。

可选的，该装置还包括：记录模块，用于在以判断在预设周期内是否调用该网络访问规则之后，如果在预设周期内未调用该网络访问规则，则记录未调用该网络访问规则的预设周期个数。

进一步地，可选的，该装置还包括：判断模块，用于在记录未调用该网络访问规则的预设周期个数之后，根据未调用该网络访问规则的预设周期的个数来确定网络访问规则是否为无效规则。

可选的，该装置还包括：检测模块，用于在记录未调用该网络访问规则的预设周期个数之后，在各个预设周期内循环执行解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；以及，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，直至预设周期的个数达到阈值；规则判定模块，用于在预设周期的个数达到阈值的情况下，确定网络访问规则为无效规则。

可选的，解析模块包括：解析单元，用于通过离线分析来解析在预设周期内与一个或多个计算设备相关的网络请求，得到网络地址集合。

根据本发明实施例的又一个方面，提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行根据上述网络访问规则的检查方法。

在本发明实施例中，通过解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，达到了克服网络访问规则冗余的目的，从而实现了提升规则防护效率的技术效果，进而解决了由于现有技术中在网络访问规则存在冗余无效的规则现象，导致的规则防护效率低的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本发明实施例的一种网络访问规则的检查方法的计算机终端的硬件结构框图；

图2是根据本发明实施例一的网络访问规则的检查方法的流程图；

图3是根据本发明实施例二的网络访问规则的检查方法的流程图；

图4是根据本发明实施例二的网络访问规则的检查方法中执行流程示意图；

图5是根据本发明实施例三的网络访问规则的检查装置的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本申请涉及的技术名词：

云服务器：Elastic Compute Service，简称ECS，是一种简单高效、安全可靠、处理能力可弹性伸缩的计算服务；

云服务器实例：具有基础网络、存储和计算能力的虚拟计算设备；

安全组：为逻辑分组，由具有相同安全保护需求的云服务器实例组成，安全组配置有应用于该安全组内云服务器实例的一条或多条网络访问规则；

网络访问规则：通常包括五元组(例如源ip、源端口、通讯协议、目的ip和目的端口)，用于控制计算设备的网络访问；

IP：Internet Protocol，网络互联协议。

实施例1

根据本发明实施例，还提供了一种网络访问规则的检查方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图1是本发明实施例的一种网络访问规则的检查方法的计算机终端的硬件结构框图。如图1所示，计算机终端10可以包括一个或多个(图中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输模块106。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储应用软件的软件程序以及模块，如本发明实施例中的网络访问规则的检查方法对应的程序指令/模块，处理器102通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的网络访问规则的检查方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

在上述运行环境下，本申请提供了如图2所示的网络访问规则的检查方法，其中，网络访问规则应用于一个或多个计算设备。图2是根据本发明实施例一的网络访问规则的检查方法的流程图。

步骤S202，解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；

在一些实现中，计算设备可以实现为物理计算设备，或是虚拟计算设备。

其中，与一个或多个计算设备相关的网络请求可以包括目的地址为一个或多个计算设备的网络请求(即计算设备接收的网络请求)和源地址为一个或多个计算设备的网络请求(即计算设备发送的网络请求)。在一些示例中，这些网络请求可以在相应计算设备处采集，或者在与计算设备耦接的网络设备(例如路由器)处采集。网络地址集合包括目的地址为一个或多个计算设备的网络请求的源地址和/或源地址为一个或多个计算设备的网络请求的目的地址。

具体的，解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合包括：通过离线分析来解析在预设周期内与一个或多个计算设备相关的网络请求，得到网络地址集合。

步骤S204，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

网络访问规则用于控制允许到达计算设备的网络请求以及允许离开计算设备的网络请求。在一个实施例中，网络访问规则通常可以包括协议类型(例如TCP协议)、控制行为(例如允许)、源端口或者目标端口(例如单个端口或者端口范围)、以及源地址或目标地址(例如单个IP地址或地址范围)。

可以理解地，对于一条网络访问规则来说，如果计算设备接收的某条网络请求的源地址为该条网络访问规则允许访问该计算设备的源地址，或者计算设备发送的某条网络请求的目的地址为该条网络访问规则允许该计算设备访问的目的地址，则可以认为调用了该条网络访问规则。相应地，如果计算设备接收的网络请求中不存在源地址为该条网络访问规则允许访问该计算设备的源地址的网络请求，或者计算设备发送的网络请求中不存在目的地址为该条网络访问规则允许该计算设备访问的目的地址的网络请求，则可以认为未调用该条网络访问规则。其中，将网络地址集合与网络访问规则进行匹配包括：判断网络访问规则允许的源地址或目的地址是否位于网络地址集合内；若网络访问规则允许的源地址或目的地址不位于网络地址集合内，则确定在预设周期内未调用该网络访问规则，若位于，则确定在预设周期内调用了该网络访问规则。

在一个实施例中，网络地址集合可以仅包括目的地址为一个或多个计算设备的网络请求的源地址，此时，可以判断网络访问规则允许的源地址是否位于该网络地址集合内，以判断在预设周期内是否调用该网络访问规则。或者，网络地址集合可以仅包括源地址为一个或多个计算设备的网络请求的目的地址，此时，可以判断网络访问规则允许的目的地址是否位于该网络地址集合内，以判断在预设周期内是否调用该网络访问规则。

在另一个实施例中，网络地址集合可以包括目的地址为一个或多个计算设备的网络请求的源地址和源地址为一个或多个计算设备的网络请求的目的地址，此时，可以判断网络访问规则允许的源地址或目的地址是否位于该网络地址集合内，以判断在预设周期内是否调用该网络访问规则。

需要说明的是，网络访问规则允许的源地址意为网络访问规则允许访问计算设备的地址，网络访问规则允许的目的地址意为网络访问规则允许计算设备访问的地址。并且，网络访问规则允许的源地址或目的地址为静态地址。

可选的，在步骤S204判断在预设周期内是否调用该网络访问规则之后，本申请提供的网络访问规则的检查方法还包括：

步骤S206，如果在预设周期内未调用该网络访问规则，则记录未调用该网络访问规则的预设周期个数。

具体地，未调用网络访问规则的预设周期个数初始可以设置为0，如果网络访问规则在预设周期内未被调用，则可以将网络访问规则未被调用的预设周期个数增加数值1。如果调用了该网络访问规则，则不增加。

其中，记录未调用该网络访问规则的预设周期个数之后，本申请提供的网络访问规则的检查方法还包括：

步骤S207，根据未调用该网络访问规则的预设周期的个数来确定网络访问规则是否为无效规则。

具体的，例如，通过设置阈值，判断网络访问规则未被调用的预设周期的个数是否大于该阈值，若大于或等于该阈值，则确定该网络访问规则是无效规则；若小于该阈值，则对该网络访问规则执行步骤S202至步骤S207，直至判断未调用该网络访问规则的预设周期的个数大于该阈值，检查结束。

可选的，步骤S206中记录未调用网络访问规则的预设周期个数之后，本申请提供的网络访问规则的检查方法还包括：

步骤S208，在各个预设周期内循环执行解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；以及，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用网络访问规则，直至预设周期的个数达到阈值；

综上，结合步骤S202和步骤S208，在本申请提供的网络访问规则的检查方法中可以应用于网络安全服务提供商向客户提供网络安全服务的场景，其中，本申请提供的网络访问规则的检查方法为了解决现有技术中网络访问规则的无效规则过多等现象造成的网络访问规则难于管理，系统规定的网络访问规则上限不满足用户需求，以及网络访问规则的下发效率低下等一系列问题。

通过定期进行数据分析，为客户对应用于一个或多计算设备的网络访问规则配置进行巡检，发现无效的、冗余的、重复的规则并给用户提供合理化建议，从而帮助用户降低网络访问规则管理成本，并提高网络访问规则的下发效率，节省内存资源，其中，在本申请实施例中就是通过在预设周期内根据离线海量数据分析的办法分析网络访问规则所对应的计算设备实际发生的网络流量(即，本申请记载的网络请求，以及至少一个网络请求的网络地址集合)，并以此去反向检查网络访问规则，如果检测到的规则在多次检查周期中，一直不被调用，则该规则可以判定为无效规则，进而通过巡检系统向客户建议对该无效规则的处理方式，并对网络访问规则进行更新。实施例2

基于实施例1在本实施例中以适用于云服务器，云网络为例进行说明，图3是根据本发明实施例二的网络访问规则的检查方法的流程图，本申请提供的网络访问规则的检查方法具体如下：

步骤S302，获得安全组内云服务器实例集合；

具体的，在执行面向用户定期对网络访问规则配置进行巡检的过程中，首先需获取安全组内云服务器实例集合。

在执行获取安全组内云服务器实例集合之前，作为网络安全服务提供商，需要通过云服务安全产品，即，客户使用的云服务安全产品获取客户的授权，在获得授权后，通过离线海量数据分析的方法分析该安全组内实际发生的网络流量，以使得避免在巡检过程中非法占用用户正在使用的计算存储资源，以及非法删除用户自定义的安全规则。

步骤S304，解析云服务器实例集合中在预设周期内的网络访问数据，得到网络地址集合，其中，网络地址集合包括：访问安全组的地址和/或安全组访问的地址；

具体的，基于获取的云服务器实例集合，解析该云服务器实例集合，得到在预设周期内的网络访问数据，并得到访问该安全组和/或安全组访问的网络地址集合，需要注意的是，访问安全组或安全组访问中的安全组均意为安全组内的云服务器实例；

其中，该预设周期可以包括：一个星期(7天，或5个工作日)，一个月或一个季度，也可以为每天(业务需求量大的情况下)，通过解析云服务器实例集合，在上述预设周期内提取该云服务器实例集合中的获取历史网络访问数据，进而得到访问安全组和/或安全组访问的网络地址集合，该网络地址集合可以包括源地址和/或目的地址，这里源地址和/或目的地址可以包括：IP地址(即，Internet Protocol，网络互联协议，简称IP)。

这里历史网络访问数据至少包括入方向网络数据和出方向网络数据，即，流入云服务器实例的数据和流出云服务器实例的数据，在得到访问安全组的网络地址集合的过程中，包括：

Step 1，在网络地址集合包括入方向访问安全组的网络地址集合，或出方向安全组访问的网络地址集合的情况下，离线解析云服务器实例集合中在预设周期内的网络访问数据，并判断是否为入方向数据；

其中，在执行规则巡检的过程中，可以通过离线的方式，解析云服务器实例集合中在预设周期内的网络访问数据，前提是数据处理能力能够满足数据解析的情况下，能够通过不占用网络带宽的方式，本地离线解析，并在解析到网络访问数据的情况下，判断是否为入方向数据，即，访问安全组内云服务器实例的数据流。

Step 2，在判断结果为是的情况下，获取入方向访问安全组的网络地址集合；

具体的，获取入方向数据的网络地址集合，即，源地址集合。

Step 3，在判断结果为否的情况下，获取出方向安全组访问的网络地址集合。

具体的，出方向数据表示安全组内云服务器实例访问的数据流，即，目标地址集合。

这里需要说明的是，网络访问数据规模往往都比较大，无法实时分析，故在本申请实施过程中通过海量数据处理平台执行离线数据分析。

需要说明的是，本申请提供的网络地址集合以IP地址集合为例进行说明，除此之外还可以包括MAC地址(物理地址)，以实现本申请提供的网络访问规则的检查方法为准，具体不做限定。

步骤S306，将网络地址集合对应的规则(规则即为网络访问规则)与安全组配置的网络访问规则进行匹配，得到在预设周期内未被调用的规则；

具体的，基于得到的网络地址集合，将该网络地址集合对应的规则，与安全组内的规则进行匹配，即，基于得到的网络地址集合，可以获取到安全组中该网络地址集合对应的规则，也就是已被调用的规则，以作“减法”的方式，在已知安全组所有规则的前提和通过匹配网络地址集合对应的规则的情况下，安全组所有规则中除开网络地址集合对应规则之后剩余的规则，即可认为是未被调用的规则。

或者，以集合的方式进行理解，将安全组内的规则中确定的静态的源网络地址集合或目的网络地址集合标记为第一标识；将与安全组发生网络访问的网络地址集合标记为第二标识；比较第一标识与第二标识对应的网络地址集合，获取未调用的规则，并将该规则确定为未被调用的规则；

将安全组中所有规则记作集合D1，将通过匹配网络地址集合对应的规则记作集合D2，将未通过匹配网络地址集合对应的规则作为D2在D1中的补集，则D2在D1中的补集为未被调用的规则。

具体的，与安全组内规则进行匹配并分析得出本周期内未被调用的规则包括：

把安全组规则中确定的静态的源ip集合(即，本申请提供的静态的源网络地址集合)(对应入方向)或者目的ip集合(对应出方向)记为：C1(即，本申请提供的第一标识)，把与安全组实际发生网络访问的ip集合记为C2(即，本申请提供的第二标识)，那么C2一定是C1的子集，因为C1外的ip无法通过防火墙。而在实现过程中期望的目标是C2＝C1，就表明网络访问规则的设置高效无冗余。而数据分析的目标就是找出C2的绝对补集：～C2，在一次数据分析过程中～C2中的每个元素，要么是实际业务正常没有发生网络调用，要么就是无效规则，而通过多个周期的观察，一直存在于～C2中的元素就认为很可能是无效规则，可以给用户提出检查有效性的建议；

其中，在本申请实施例中在与安全组内规则进行匹配并分析得出本周期内未生效的规则的过程中，业务发生网络调用可以包括：当网络访问的ip以数据流形式通过防火墙时，为确保该数据流的安全性，将会依据该数据流所属的层级匹配安全组中的规则，若匹配到安全组中的规则，则依据该规则对该数据流进行安全检测，这里将依据该规则对数据流进行安全检测过程称作网络调用；反之，即，若未匹配到该数据流对应安全组中的规则，则当前安全组中没有适用于该数据流的规则，即，不发生调用行为。

步骤S308，对在预设周期内未被调用的规则执行对应操作。

具体的，若得到的是无效的规则，作为服务端可以以提示信息的方式提醒用户当前存在无效的规则，对应该无效的规则建议做清除处理，或以补丁的形式从云服务器更新安全组内的所有规则，其中，提示信息，用于提示用户规则的有效性。

若得到的是未被调用的规则，则对未被调用的规则执行对应操作包括：

检测未发生网络调用的规则在各预设周期内未被调用的次数是否达到预设阈值；在检测结果为是的情况下，生成提示信息；在检测结果为否的情况下，标记未被调用的规则。

由于在一次巡检的过程中会对前几个周期的安全组内的规则进行排查，因此，为避免对未被调用的规则的错误操作，对每个安全组内的规则设置未被调用的预设阈值，若该规则在各预设周期内未被调用的次数达到预设阈值，则说明该规则为无效规则；若是无效规则，则生成提示信息提醒用户；否则，对该规则进行标记，待下一次巡检。

其中，在标记未被调用的规则之后，本申请提供网络访问规则的巡检检查的方法还包括：存储未被调用的规则。

除此之外，若未被调用的规则的未被调用的次数没有超过预设阈值，则先对该规则进行标记，待后期巡检的过程中进行进一步的排查，即，执行步骤S302至步骤S306，若仍出现该规则，且该规则未被调用的次数超过预设阈值，则对该规则执行清除，或提醒用户该规则为无效规则，由用户自定义处理。

本申请提供的网络访问规则的检查方法可以适用于云网络中，特别是适用于为用户的安全组规则进行过滤，删除或标记长期未被调用的规则，避免安全组规则冗余导致的内存资源紧张，防护效率低的问题发生。

在本发明实施例中，获取未被调用规则的方式，通过获得安全组内云服务器实例集合；解析云服务器实例集合中在预设周期内的网络访问数据，得到访问安全组的网络地址集合；将网络地址集合对应的规则与安全组内的规则进行匹配，得到未被调用的规则；对未被调用的规则执行对应操作，达到了克服安全组规则冗余的目的，从而实现了提升防火墙防护效率的技术效果。

综上，本申请提供的网络访问规则的检查方法基于离线海量数据分析对安全组规则配置做智能巡检，发现无效规则，其中，通过离线海量数据分析的办法分析安全组实际发生的网络流量，并以此去反向检查安全组中规则，在多次检查周期中总是存在未被调用的规则，则确定该规则为无效规则。

在执行过程中，步骤具体如下：

1.用户开启安全组规则巡检：作为增值服务需要用户选择是否开通；

2.获得安全组内ECS实例集合：要分析安全组的网络访问数据，就需要首先获得当前安全组内ECS实例的集合，因为实际发生网络访问都是作用于具体的ECS实例上的；

3.离线分析ECS实例在上一个统计周期内网络访问数据：网络访问数据规模往往都比较大，无法实时分析，必须借助海量数据处理平台；

4.获得访问当前安全组和/或当前安全组访问的ip集合：该集合可以衡量实际与安全组内ECS实例发生网络访问的网络节点；

5.与安全组内规则进行匹配并分析得出本周期内未被调用的规则：把安全组规则中确定的静态的源ip集合(对应入方向)或者目的ip集合(对应出方向)记为：C1，把与安全组实际发生网络访问的ip集合记为C2，那么C2一定是C1的子集，因为C1外的ip无法通过防火墙。而在巡检过程中理想的期望的目标是C2＝C1，就表明网络访问规则的设置高效无冗余。而数据分析的目标就是找出C2的绝对补集：～C2，在一次数据分析过程中～C2中的每个元素，要么是实际业务正常没有发生网络调用，要么就是无效规则，而通过多个周期的观察，一直存在于～C2中的元素则判定是无效规则，可以给用户提出检查有效性的建议。

因此通过数据分析定期给用户的安全组规则配置进行巡检，发现无效的、冗余的、重复的规则并给用户提供合理化建议，从用户角度看，能够帮助用户降低安全组规则管理成本，从云服务器(Elastic Compute Service，简称ECS)管控系统角度看，能够提高安全组规则的下发效率，节省内存资源。

具体的，图4是根据本发明实施例二的网络访问规则的检查方法中执行流程示意图，结合图4进行说明，本申请提供的网络访问规则的检查方法具体如下：

S1，用户开启安全组规则巡检；

S2，获得安全组内ECS实例集合；

S3，离线分析ECS实例在上一个统计周期内网络访问数据；

S4，判断网络访问数据中是否有入方向数据；在判断结果为是的情况下，执行步骤S5；在判断结果为否的情况下，执行步骤S6；

S5，获取入方向访问当前安全组的IP集合；

S6，获取出方向当前安全组访问的IP集合；

S7，基于S5或S6，与安全组内规则进行匹配；

S8，分析得出本周期内未被调用的规则；

S9，判断该规则未被调用周期数是否达到设定的阈值，在判断结果为是的情况下，执行步骤S10；在判断结果为否的情况下，执行步骤S11；

S10，建议用户检查规则的有效性；

S11，存储并标记。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的规则巡检的可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例3

根据本发明实施例，还提供了一种用于实施上述网络访问规则的检查方法的装置，图5是根据本发明实施例三的网络访问规则的检查装置的示意图，如图5所示，该装置包括：解析模块52和检查模块54。

解析模块52，用于解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；检查模块54，用于将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

在本发明实施例中，通过解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，达到了克服网络访问规则冗余的目的，从而实现了提升规则防护效率的技术效果，进而解决了由于现有技术中在网络访问规则存在冗余无效的规则现象，导致的规则防护效率低的技术问题。

此处需要说明的是，上述解析模块52和检查模块54对应于实施例一中的步骤S202和步骤S204，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

可选的，网络地址集合包括目的地址为一个或多个计算设备的网络请求的源地址和/或源地址为一个或多个计算设备的网络请求的目的地址。

可选的，检查模块54包括：判断单元，用于判断网络访问规则允许的源地址或目的地址是否位于网络地址集合内；检查单元，用于若网络访问规则允许的源地址或目的地址不位于网络地址集合内，则确定在预设周期内未调用该网络访问规则。

此处需要说明的是，上述判断单元和检查单元对应于实施例一中的步骤S204，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

可选的，本申请提供的网络访问规则的检查装置还包括：记录模块，用于在以判断在预设周期内是否调用该网络访问规则之后，如果网络访问规则在预设周期内未被调用，则记录未调用该网络访问规则的预设周期个数。

此处需要说明的是，上述记录模块对应于实施例一中的步骤S206，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

进一步地，可选的，本申请提供的网络访问规则的检查装置还包括：判断模块，用于在记录未调用该网络访问规则的预设周期个数之后，根据未调用该网络访问规则的预设周期的个数来确定网络访问规则是否为无效规则。

此处需要说明的是，上述判断模块对应于实施例一中的步骤S207，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

可选的，本申请提供的网络访问规则的检查装置还包括：检测模块，用于在记录未调用网络访问规则的预设周期个数之后，在各个预设周期内循环执行解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；以及，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，直至预设周期的个数达到阈值。

此处需要说明的是，上述检测模块和规则判定模块对应于实施例一中的步骤S208和步骤S209，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

可选的，网络访问规则允许的源地址或目的地址为静态地址。

可选的，解析模块52包括：解析单元，用于通过离线分析来解析在预设周期内与一个或多个计算设备相关的网络请求，得到网络地址集合。

此处需要说明的是，上述解析单元对应于实施例一中的步骤S202，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的服务器中，可以通过软件实现，也可以通过硬件实现。

实施例4

根据本发明实施例的又一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行：解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

实施例5

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的网络访问规则的巡检方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：网络地址集合包括目的地址为一个或多个计算设备的网络请求的源地址和/或源地址为一个或多个计算设备的网络请求的目的地址。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：将网络地址集合与网络访问规则进行匹配包括：判断网络访问规则允许的源地址或目的地址是否位于网络地址集合内；若网络访问规则允许的源地址或目的地址不位于网络地址集合内，则确定在预设周期内未调用该网络访问规则。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：以判断在预设周期内是否调用该网络访问规则之后，如果在预设周期内未调用该网络访问规则，则记录未调用该网络访问规则的预设周期个数。

进一步地，可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：记录未调用该网络访问规则的预设周期个数之后，根据未调用该网络访问规则的预设周期的个数来确定网络访问规则是否为无效规则。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：记录未调用网络访问规则的预设周期个数之后，在各个预设周期内循环执行解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合；以及，将网络地址集合与网络访问规则进行匹配，以判断在预设周期内是否调用该网络访问规则，直至预设周期的个数达到阈值。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：网络访问规则允许的源地址或目的地址为静态地址。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：解析在预设周期内与一个或多个计算设备相关的网络请求，得到预设周期内与一个或多个计算设备相关的网络请求的网络地址集合包括：通过离线分析来解析在预设周期内与一个或多个计算设备相关的网络请求，得到网络地址集合。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (17)

1.一种网络访问规则的检查方法，所述网络访问规则应用于一个或多个计算设备，所述方法包括：

解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述预设周期内与所述一个或多个计算设备相关的网络请求的网络地址集合；

将所述网络地址集合与网络访问规则进行匹配，以判断在所述预设周期内是否调用所述网络访问规则。

2.根据权利要求1所述的网络访问规则的检查方法，其中，所述网络地址集合包括目的地址为所述一个或多个计算设备的网络请求的源地址和/或源地址为所述一个或多个计算设备的网络请求的目的地址。

3.根据权利要求1或2所述的网络访问规则的检查方法，其中，所述将所述网络地址集合与网络访问规则进行匹配包括：

判断所述网络访问规则允许的源地址或目的地址是否位于所述网络地址集合内；

若所述网络访问规则允许的源地址或目的地址不位于所述网络地址集合内，则确定在所述预设周期内未调用所述网络访问规则。

4.根据权利要求1所述的网络访问规则的检查方法，其中，所述判断在预设周期内是否调用网络访问规则之后，所述方法还包括：

如果在所述预设周期内未调用所述网络访问规则，则记录未调用所述网络访问规则的预设周期个数。

5.根据权利要求4所述的网络访问规则的检查方法，其中，所述记录未调用网络访问规则的预设周期个数之后，所述方法还包括：

根据未调用所述网络访问规则的预设周期的个数来确定所述网络访问规则是否为无效规则。

6.根据权利要求5所述的网络访问规则的检查方法，其中，所述记录未调用网络访问规则的预设周期个数之后，所述方法还包括：

在各个预设周期内循环执行解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述预设周期内与所述一个或多个计算设备相关的网络请求的网络地址集合，以及将所述网络地址集合与网络访问规则进行匹配，以判断在所述预设周期内是否调用所述网络访问规则，直至所述预设周期的个数达到阈值。

7.根据权利要求1所述的网络访问规则的检查方法，其中，所述网络访问规则允许的源地址或目的地址为静态地址。

8.根据权利要求1所述的网络访问规则的检查方法，其中，所述解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述预设周期内与所述一个或多个计算设备相关的网络请求的网络地址集合包括：

通过离线分析来解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述网络地址集合。

9.一种网络访问规则的检查装置，所述网络访问规则应用于一个或多个计算设备，所述装置包括：

解析模块，用于解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述预设周期内与所述一个或多个计算设备相关的网络请求的网络地址集合；

检查模块，用于将所述网络地址集合与网络访问规则进行匹配，以判断在所述预设周期内是否调用所述网络访问规则。

10.根据权利要求9所述的网络访问规则的检查装置，其中，所述网络地址集合包括目的地址为所述一个或多个计算设备的网络请求的源地址和/或源地址为所述一个或多个计算设备的网络请求的目的地址。

11.根据权利要求9或10所述的网络访问规则的检查装置，其中，所述检查模块包括：

判断单元，用于判断所述网络访问规则允许的源地址或目的地址是否位于所述网络地址集合内；

检查单元，用于若所述网络访问规则允许的源地址或目的地址不位于所述网络地址集合内，则确定在所述预设周期内未调用所述网络访问规则。

12.根据权利要求9所述的网络访问规则的检查装置，其中，所述装置还包括：

记录模块，用于在判断在预设周期内是否调用所述网络访问规则之后，如果在所述预设周期内未调用所述网络访问规则，则记录未调用所述网络访问规则的预设周期个数。

13.根据权利要求12所述的网络访问规则的检查装置，其中，所述装置还包括：

判断模块，用于在记录未调用所述网络访问规则的预设周期个数之后，根据未调用所述网络访问规则的预设周期的个数来确定所述网络访问规则是否为无效规则。

14.根据权利要求13所述的网络访问规则的检查装置，其中，所述装置还包括：

检测模块，用于在记录未调用所述网络访问规则的预设周期个数之后，在各个预设周期内循环执行解析在预设周期内与所述一个或多个计算设备相关的网络请求、得到所述预设周期内与所述一个或多个计算设备相关的网络请求的网络地址集合，以及将所述网络地址集合与网络访问规则进行匹配，以判断在所述预设周期内是否调用所述网络访问规则，直至所述预设周期的个数达到阈值。

15.根据权利要求9所述的网络访问规则的检查装置，其中，所述网络访问规则允许的源地址或目的地址为静态地址。

16.根据权利要求9所述的网络访问规则的检查装置，其中，所述解析模块包括：

解析单元，用于通过离线分析来解析在预设周期内与所述一个或多个计算设备相关的网络请求，得到所述网络地址集合。

17.一种存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行根据权利要求1至8中任一项所述的网络访问规则的检查方法。

Images