CN111131271A - 安全防御方法、装置、电子设备及计算机可读存储介质 - Google Patents

Abstract

本发明涉及一种安全防御方法、装置、电子设备及计算机可读存储介质，属于网络安全领域。该方法应用于大数据安全防御系统，所述大数据安全防御系统对大数据平台进行安全防御，包括：确定获取到针对预设的诱导信息的访问请求；针对所述访问请求执行防御行为。在整个防御过程中，由大数据安全防御系统主动发起，与此同时，无论访问请求是已知还是未知，大数据安全防御系统均可以主动发挥防御功能，因此，相对于现有技术，可以对未知的访问请求进行有效地防御。

Description

安全防御方法、装置、电子设备及计算机可读存储介质

技术领域

本申请属于网络安全领域，具体涉及一种安全防御方法、装置、电子设备及计算机可读存储介质。

背景技术

随着数据体量的不断增加，传统的数据处理技术已经无法满足业务需求，因此，衍生出如Hadoop等大数据生态系统，使得大体量的数据逐渐被存放在Hadoop大数据平台中。然而，数据的集中导致了数据安全风险的集聚，因此，需要采用大数据安全防御系统保护大数据平台中的数据安全。

现有的大数据安全防御技术通常采用的被动防御，即预先设置访问黑名单，将已知的威胁访问加入黑名单中，当后续获取到黑名单中的访问请求时，对访问请求进行拦截。然而，上述被动防御技术对于未知的访问威胁无法进行有效地防御。

发明内容

有鉴于此，本申请的目的在于提供一种安全防御方法、装置、电子设备及计算机可读存储介质，通过主动防御的方式对未知的访问请求进行有效地防御。

本申请的实施例是这样实现的：

第一方面，本申请实施例提供一种安全防御方法，应用于大数据安全防御系统，所述大数据安全防御系统对大数据平台进行安全防御，所述方法包括：确定获取到针对预设的诱导信息的访问请求；针对所述访问请求执行防御行为。大数据安全防御系统主动伪造诱导信息，并将诱导信息部署在大数据平台的显著位置，以诱导非法访问请求的发起者访问诱导信息，从而针对该访问请求主动执行防御行为。在整个防御过程中，由大数据安全防御系统主动发起，与此同时，无论访问请求是已知还是未知，大数据安全防御系统均可以主动发挥防御功能，因此，相对于现有技术，可以对未知的访问请求进行有效地防御。

结合第一方面实施例，在一种可能的实施方式中，所述针对所述访问请求执行防御行为，包括：对所述访问请求的访问时间进行拖延，以获取所述访问请求的访问信息；根据所述访问信息对所述访问请求进行溯源。

结合第一方面实施例，在一种可能的实施方式中，所述对所述访问请求的访问时间进行拖延，包括：阻断所述访问请求的后续访问；和/或将所述访问请求引流到蜜罐；和/或限制所述访问请求所访问的数据量。

结合第一方面实施例，在一种可能的实施方式中，在所述确定获取到针对预设的诱导信息的访问请求之后，所述方法还包括：生成预警指令。

结合第一方面实施例，在一种可能的实施方式中，在所述确定获取到针对预设的诱导信息的访问请求之前，所述方法还包括：将生成的所述诱导信息部署在所述大数据平台的显著位置。

结合第一方面实施例，在一种可能的实施方式中，所述将生成的所述诱导信息部署在所述大数据平台的显著位置，包括：当所述大数据平台具备展示功能时，将所述诱导信息部署在所述大数据平台用于展示数据的首页；或当所述大数据平台以数据层保存数据时，将所述诱导信息部署在所述大数据平台的所述数据层的表层。

第二方面，本申请实施例提供一种安全防御装置，应用于大数据安全防御系统，所述大数据安全防御系统对大数据平台进行安全防御，所述装置包括：确定模块以及执行模块。确定模块，用于确定获取到针对预设的诱导信息的访问请求；执行模块，用于针对所述访问请求执行防御行为。

结合第二方面实施例，在一种可能的实施方式中，所述执行模块，用于对所述访问请求的访问时间进行拖延，以获取所述访问请求的访问信息；根据所述访问信息对所述访问请求进行溯源。

结合第二方面实施例，在一种可能的实施方式中，所述执行模块，用于阻断所述访问请求的后续访问；和/或将所述访问请求引流到蜜罐；和/或限制所述访问请求所访问的数据量。

结合第二方面实施例，在一种可能的实施方式中，所述装置还包括生成模块，用于生成预警指令。

结合第二方面实施例，在一种可能的实施方式中，所述装置还包括部署模块，用于将生成的所述诱导信息部署在所述大数据平台的显著位置。

结合第二方面实施例，在一种可能的实施方式中，所述部署模块，用于当所述大数据平台具备展示功能时，将所述诱导信息部署在所述大数据平台用于展示数据的首页；或当所述大数据平台以数据层保存数据时，将所述诱导信息部署在所述大数据平台的所述数据层的表层。

第三方面，本申请实施例还提供一种电子设备包括：存储器和处理器，所述存储器和所述处理器连接；所述存储器用于存储程序；所述处理器调用存储于所述存储器中的程序，以执行上述第一方面实施例和/或结合第一方面实施例的任一种可能的实施方式提供的方法。

第四方面，本申请实施例还提供一种非易失性计算机可读取存储介质(以下简称计算机可读存储介质)，其上存储有计算机程序，所述计算机程序被计算机运行时执行上述第一方面实施例和/或结合第一方面实施例的任一种可能的实施方式提供的方法。

本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例而了解。本申请的目的和其他优点可通过在所写的说明书以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。通过附图所示，本申请的上述及其它目的、特征和优势将更加清晰。在全部附图中相同的附图标记指示相同的部分。并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本申请的主旨。

图1示出本申请实施例提供的一种安全防御方法的流程图。

图2示出本申请实施例提供的一种安全防御装置的结构框图。

图3示出本申请实施例提供的一种电子设备的结构示意图。

标号：100-电子设备；110-处理器；120-存储器；400-安全防御装置；410-确定模块；420-执行模块。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中诸如“第一”、“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

再者，本申请中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

此外，针对现有技术中的大数据安全防御系统针对大数据的安全防御所采取的被动防御手段所存在的缺陷(不能对未知的访问威胁进行有效地防御)也是申请人在经过实践并仔细研究后得出的结果，因此，上述缺陷的发现过程以及在下文中本申请实施例针对上述缺陷所提出的解决方案，都应该是申请人在本申请过程中对本申请做出的贡献。

为了解决上述问题，本申请实施例提供一种安全防御方法、装置、电子设备及计算机可读存储介质，以通过主动防御的方式对未知的访问请求进行有效地防御。该技术可采用相应的软件、硬件以及软硬结合的方式实现。

下面将针对本申请所提供的安全防御方法进行介绍。

请参阅图1，本申请实施例提供一种应用于大数据安全防御系统的安全防御方法。下面将结合图1对其所包含的步骤进行说明。

步骤S110：确定获取到针对预设的诱导信息的访问请求。

在本申请实施例中，大数据平台用于对各种数据进行集中保存，用户可以向大数据平台发起访问请求，以实现访问大数据平台中的数据。

大数据安全防御系统用于对大数据平台进行安全防御。其中，大数据安全防御系统可以预先获取开发人员的配置信息，从而生成一系列的诱导信息。

可选的，诱导信息可以包括诱导文件和/或诱导数据。

当诱导信息为诱导文件时，大数据安全防御系统可以随机生成一个到多个文件，并以诱导性特征对生成的文件进行命名，从而伪造得到一个到多个诱导文件。

当诱导信息为诱导数据时，大数据安全防御系统可以随机生成一个到多个数据或者数据库表，并以诱导性特征对生成的数据进行命名，从而伪造得到一个到多个诱导数据。

其中，诱导性特征可以根据大数据安全防御系统对应的防御要求进行适应性变动。

当大数据安全防御系统对应的防御要求为个人信息防护时，大数据安全防御系统伪造的诱导信息一般为用于表征个人信息的数据库表和/或文件。在这种实施方式下，诱导性特征可以包括，但不限于“用户信息”、“账户信息”等字符。

当大数据安全防御系统对应的防御要求为商业机密防护时，大数据安全防御系统伪造的诱导信息一般为用于表征商业机密信息的数据库表和/或文件。在这种实施方式下，诱导性特征可以包括，但不限于“商业机密”、“商业秘密”等字符。

当大数据安全防御系统对应的防御要求为重要数据防护时，大数据安全防御系统伪造的诱导信息一般为用于表征包含重要数据的数据库表和/或文件。在这种实施方式下，诱导性特征可以包括，但不限于“国家机密”、“重大项目”等字符。

当大数据安全防御系统生成诱导信息后，作为一种可选的实施方式，大数据安全防御系统可以将诱导信息部署在大数据平台中的显著位置。

其中，当大数据平台具备展示功能时，显著位置通常指用户在发起访问请求时首先能够看到的位置，例如，显著位置指的是大数据平台用于展示数据的首页，相应的，当需要通过用户进行翻页操作才能看到的位置则为不显著的位置。当大数据平台不具备展示功能时，显著位置通常指用于保存数据的数据层的表层，可以便于访问者直接访问到或者直接检索到，相应的，数据层的其他层则为不显著的位置。

此外，在一种可选的实施方式中，保存在大数据平台内的数据可以按照预设的排序规则进行排序。在这种实施方式下，大数据安全防御系统还可以将诱导信息插入原有的排序规则形成的数据序列中靠前的位置，使得诱导信息更容易引起非法访问者的访问或者检索。

当大数据安全防御系统的主动防御模式开启后，大数据安全防御系统将对针对大数据平台的访问请求进行监控，以确定是否有针对诱导信息的访问请求。当大数据安全防御系统监测到有针对上述诱导信息的访问请求时，大数据安全防御系统将对这些访问诱导信息的访问请求执行后续防御行为。

步骤S120：针对所述访问请求执行防御行为。

大数据安全防御系统将访问诱导信息的访问确定为非法访问请求。

作为一种可选的实施方式，大数据安全防御系统在监测到非法访问请求后，可以对非法访问请求的访问时间进行拖延。

其中，当大数据安全防御系统对访问请求的访问时间进行拖延时，在一种可选的实施方式中，大数据安全防御系统可以阻断非法访问请求的后续访问，使得非法访问发起者再次尝试发起非法访问请求，从而使得非法访问请求发起者需要使用更多的时间来维持非法访问请求。

在另一种可选的实施方式中，大数据安全防御系统可以将非法访问请求引流到蜜罐中，从而给非法请求发起者伪造出系统漏洞，诱导非法访问请求发起者使用更多的时间来维持非法访问请求。

在另一种可选的实施方式中，大数据安全防御系统可以限制非法访问请求所访问的数据量，从而诱导非法访问请求发起者使用更多的时间来维持对诱导信息的访问。

值得指出的是，以上对访问时间进行拖延的方式仅为举例说明，可以理解，上述举例并不对大数据安全防御系统对访问时间进行拖延的具体方式造成限制，当然，大数据安全防御系统在实际执行对访问时间进行拖延时，可以采用上述方式中的一种或者多种。

在对访问时间进行拖延后，非法访问请求的发起者需要使用更多的时间来维持该非法访问请求，从而为大数据安全防御系统争取到更多的时间来获取到该非法访问请求的访问信息，便于后续根据非法访问请求的访问信息对非法访问请求进行溯源。

其中，访问信息包括但不限于访问者的IP地址、访问路径等。

在一种可选的实施方式中，大数据安全防御系统在获取到非法访问请求的访问信息后，可以将非法访问请求的访问信息提交给相应的安全部门，以便安全部门针对访问信息对非法访问请求的发起者实施攻击或者抓捕。

此外，作为一种可选的实施方式，在确定获取到针对预设的诱导信息的访问请求之后，大数据安全防御系统还可以生成预警指令，以便提醒大数据平台的管控人员存在安全风险。

本申请实施例所提供的一种安全防御方法，大数据安全防御系统主动伪造诱导信息，以诱导非法访问请求的发起者访问诱导信息，从而针对该访问请求主动执行防御行为。在整个防御过程中，由大数据安全防御系统主动发起，与此同时，无论访问请求是已知还是未知，大数据安全防御系统均可以主动发挥防御功能，因此，相对于现有技术，可以对未知的访问请求进行有效地防御。

此外，对应于图1，请参看图2，本申请实施例还提供一种安全防御装置400，安全防御装置400可以包括：确定模块410以及执行模块420。

确定模块410，用于确定获取到针对预设的诱导信息的访问请求；

执行模块420，用于针对所述访问请求执行防御行为。

在一种可能的实施方式中，所述执行模块420，用于对所述访问请求的访问时间进行拖延，以获取所述访问请求的访问信息；根据所述访问信息对所述访问请求进行溯源。

在一种可能的实施方式中，所述执行模块420，用于阻断所述访问请求的后续访问；和/或将所述访问请求引流到蜜罐；和/或限制所述访问请求所访问的数据量。

在一种可能的实施方式中，所述安全防御装置400还包括生成模块，所述生成模块用于生成预警指令。

在一种可能的实施方式中，所述安全防御装置400还包括生成模块，所述生成模块用于生成诱导信息，并将所述诱导信息部署在所述大数据平台的显著位置。

在一种可能的实施方式中，所述生成模块，用于伪造诱导文件，并以诱导性特征对所述诱导文件进行命名，和/或伪造诱导数据，并以诱导性特征对所述诱导数据进行命名。

在一种可能的实施方式中，所述安全防御装置400还包括部署模块，用于将生成的所述诱导信息部署在所述大数据平台的显著位置。

在一种可能的实施方式中，所述部署模块，用于当所述大数据平台具备展示功能时，将所述诱导信息部署在所述大数据平台用于展示数据的首页；或当所述大数据平台以数据层保存数据时，将所述诱导信息部署在所述大数据平台的所述数据层的表层。

本申请实施例所提供的安全防御装置400，其实现原理及产生的技术效果和前述方法实施例相同，为简要描述，装置实施例部分未提及之处，可参考前述方法实施例中相应内容。

此外，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被计算机运行时，执行如上述的安全防御方法所包含的步骤。

此外，请参看图3，本发明实施例还提供一种用于实现本申请实施例的安全防御方法、装置的电子设备100。其中，大数据安全防御系统可以部署在电子设备100内。

电子设备100可以包括：处理器110、存储器120。应当注意，图1所示的电子设备100的组件和结构只是示例性的，而非限制性的，根据需要，电子设备100也可以具有其他组件和结构。

可选的，电子设备100，可以是，但不限于个人电脑(Personal computer，PC)、智能手机、平板电脑、移动上网设备(Mobile Internet Device，MID)、个人数字助理、服务器等设备。其中，服务器可以是，但不限于网络服务器、数据库服务器、云端服务器等。

处理器110、存储器120以及其他可能出现于电子设备100的组件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，处理器110、存储器120以及其他可能出现的组件相互之间可通过一条或多条通讯总线或信号线实现电性连接。

存储器120用于存储程序，例如存储有前文出现的安全防御方法对应的程序或者前文出现的安全防御装置。可选的，当存储器120内存储有安全防御装置时，安全防御装置包括至少一个可以以软件或固件(firmware)的形式存储于存储器120中的软件功能模块。

可选的，安全防御装置所包括软件功能模块也可以固化在电子设备100的操作系统(operating system，OS)中。

处理器110用于执行存储器120中存储的可执行模块，例如安全防御装置包括的软件功能模块或计算机程序。当处理器110在接收到执行指令后，可以执行计算机程序，例如执行：确定获取到针对预设的诱导信息的访问请求；针对所述访问请求执行防御行为。

当然，本申请任一实施例所揭示的方法都可以应用于处理器110中，或者由处理器110实现。

综上所述，本发明实施例提出的安全防御方法、装置、电子设备及计算机可读存储介质，大数据安全防御系统主动伪造诱导信息，以诱导非法访问请求的发起者访问诱导信息，从而针对该访问请求主动执行防御行为。在整个防御过程中，由大数据安全防御系统主动发起，与此同时，无论访问请求是已知还是未知，大数据安全防御系统均可以主动发挥防御功能，因此，相对于现有技术，可以对未知的访问请求进行有效地防御。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，笔记本电脑,服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。

Claims (10)

1.一种安全防御方法，其特征在于，应用于大数据安全防御系统，所述大数据安全防御系统对大数据平台进行安全防御，所述方法包括：

确定获取到针对预设的诱导信息的访问请求；

针对所述访问请求执行防御行为。

2.根据权利要求1所述的方法，其特征在于，所述针对所述访问请求执行防御行为，包括：

对所述访问请求的访问时间进行拖延，以获取所述访问请求的访问信息；

根据所述访问信息对所述访问请求进行溯源。

3.根据权利要求2所述的方法，其特征在于，所述对所述访问请求的访问时间进行拖延，包括：

阻断所述访问请求的后续访问；和/或

将所述访问请求引流到蜜罐；和/或

限制所述访问请求所访问的数据量。

4.根据权利要求1所述的方法，其特征在于，在所述确定获取到针对预设的诱导信息的访问请求之后，所述方法还包括：

生成预警指令。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述方法还包括：

将生成的所述诱导信息部署在所述大数据平台的显著位置。

6.根据权利要求5所述的方法，其特征在于，所述将生成的所述诱导信息部署在所述大数据平台的显著位置，包括：

当所述大数据平台具备展示功能时，将所述诱导信息部署在所述大数据平台用于展示数据的首页；或

当所述大数据平台以数据层保存数据时，将所述诱导信息部署在所述大数据平台的所述数据层的表层。

7.一种安全防御装置，其特征在于，应用于大数据安全防御系统，所述大数据安全防御系统对大数据平台进行安全防御，所述装置包括：

确定模块，用于确定获取到针对预设的诱导信息的访问请求；

执行模块，用于针对所述访问请求执行防御行为。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括部署模块，用于将生成的所述诱导信息部署在所述大数据平台的显著位置。

9.一种电子设备，其特征在于，包括：存储器和处理器，所述存储器和所述处理器连接；

所述存储器用于存储程序；

所述处理器调用存储于所述存储器中的程序，以执行如权利要求1-6中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被计算机运行时执行如权利要求1-6中任一项所述的方法。

Images