CN111641721B - 安全检测方法、安全检测装置、计算设备以及介质 - Google Patents

Abstract

本公开提供了一种安全检测方法，包括：获取访问请求，其中，访问请求是第一节点用于访问目标设备的请求；根据访问请求，确定目标设备的设备类型；当目标设备的设备类型为转发设备类型时，确定目标设备的地址转换信息，地址转换信息表征目标设备是否具有地址转换功能；以及基于地址转换信息，生成检测结果，检测结果表征建立数据传输通道的过程是否存在安全问题，其中，当目标设备的设备类型为转发设备类型时，目标设备用于将访问请求转发到至少一个第二节点，以便建立第一节点和至少一个第二节点之间的数据传输通道。本公开还提供了一种安全检测装置、一种计算设备以及一种计算机可读存储介质。

Description

安全检测方法、安全检测装置、计算设备以及介质

技术领域

本公开涉及计算机技术领域，特别是涉及一种安全检测方法、一种安全检测装置、一种计算设备以及一种计算机可读存储介质。

背景技术

在网络系统中，具有相同网段信息的多个节点可以直接通信。为了提高节点的通信能力，一些节点可以通过目标设备对外提供服务，目标设备可以是负载均衡设备。由于具有相同网段信息的多个节点可以直接通信以及一些节点通过目标设备对外提供服务，从而可能产生“三角路由”的通信问题而导致节点之间的通信异常。例如，节点A与节点B具有相同的网段信息，节点B通过目标设备C对外提供服务，在建立节点A和节点B之间的数据传输通道时，节点A将访问请求发送给目标设备C，目标设备C将访问请求发送给节点B，访问请求的发送路径为从节点A经由目标设备C至节点B。节点B接收到访问请求后，由于节点B和节点A具有相同的网段信息，因此，节点B可以将反馈信息直接发送给节点A，因此反馈信息的返回路径为从节点B至节点A。在建立节点A和节点B之间的数据传输通道的过程中，由于发送路径和返回路径不一致，导致数据传输通道建立失败。其中，由于发送路径和返回路径不一致导致出现数据传输通道建立失败的问题为“三角路由”问题。

在实现本公开构思的过程中，发明人发现相关技术中至少存在如下问题。

相关技术通常在业务开发运行后通过数据传输通道建立失败的结果来确定“三角路由”问题，导致难以及时解决“三角路由”问题，影响业务的运行。另外，通过数据传输通道建立失败的结果来确定“三角路由”问题，只能发现已经出现的“三角路由”问题，难以发现潜在的“三角路由”问题。

发明内容

有鉴于此，本公开提供了一种优化的安全检测方法、安全检测装置、计算设备和计算机可读存储介质。

本公开的一个方面提供了一种安全检测方法，包括：获取访问请求，其中，所述访问请求是第一节点用于访问目标设备的请求，根据所述访问请求，确定所述目标设备的设备类型，当所述目标设备的设备类型为转发设备类型时，确定所述目标设备的地址转换信息，所述地址转换信息表征所述目标设备是否具有地址转换功能，基于所述地址转换信息，生成检测结果，所述检测结果表征建立数据传输通道的过程是否存在安全问题，其中，当所述目标设备的设备类型为所述转发设备类型时，所述目标设备用于将所述防问请求转发到至少一个第二节点，以便建立所述第一节点和所述至少一个第二节点之间的所述数据传输通道。

根据本公开实施例，上述访问请求包括源方地址信息和目的方地址信息，所述源方地址信息包括所述第一节点的地址信息，所述目的方地址信息包括所述目标设备的地址信息。其中，所述地址转换功能表示所述目标设备处理所述访问请求得到经转换访问请求，处理所述访问请求包括将所述访问请求中的源方地址信息转换为所述目标设备的地址信息。其中，所述至少一个第二节点中的目标第二节点用于将反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备，所述反馈信息是基于所述经转换访问请求生成的信息。

根据本公开实施例，上述确定所述目标设备的地址转换信息包括：确定与所述目标设备连接的所述至少一个第二节点，基于所述第一节点的地址信息和所述至少一个第二节点中每个第二节点的地址信息，确定所述至少一个第二节点是否包括所述目标第二节点，其中，所述地址信息包括网段信息，所述目标第二节点的网段信息与所述第一节点的网段信息一致，当所述至少一个第二节点包括所述目标第二节点时，确定所述目标设备的地址转换信息。

根据本公开实施例，上述确定所述目标设备的地址转换信息包括：获取所述访问请求中的目的方地址信息，基于所述目的方地址信息，获取所述目标设备的配置信息，其中，所述配置信息至少包括用于表征所述目标设备是否具有地址转换功能的信息，基于所述配置信息，确定所述目标设备的地址转换信息。

根据本公开实施例，上述目标设备的配置信息还包括与所述目标设备连接的所述至少一个第二节点的标识信息。其中，所述确定与所述目标设备连接的所述至少一个第二节点包括：基于所述配置信息，确定与所述目标设备连接的所述至少一个第二节点。

根据本公开实施例，上述根据所述访问请求，确定所述目标设备的设备类型包括：获取地址信息库，其中，所述地址信息库中包括多个网段信息和与所述多个网段信息一一对应的多个网段类型，获取所述访问请求中目的方地址信息包括的所述目标设备的网段信息，基于所述目标设备的网段信息，确定所述地址信息库中与所述目标设备的网段信息对应的目标网段类型，根据目标网段类型，确定所述目标设备的设备类型。

根据本公开实施例，当所述地址转换信息表征所述目标设备具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程不存在安全问题，当所述地址转换信息表征所述目标设备不具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程存在安全问题。

根据本公开实施例，上述方法还包括：基于所述检测结果，输出提示信息，其中，所述提示信息包括安全信息和所述目标第二节点的标识信息，所述安全信息用于提示建立所述数据传输通道的过程存在安全问题，所述目标第二节点的标识信息用于作为对所述目标第二节点进行配置操作的依据，以便于通过配置后的目标第二节点将所述反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备。

本公开的另一个方面提供了一种安全检测装置，包括：获取模块、第一确定模块、第二确定模块以及生成模块。其中，获取模块，获取访问请求，其中，所述访问请求是第一节点用于访问目标设备的请求。第一确定模块，根据所述访问请求，确定所述目标设备的设备类型。第二确定模块，当所述目标设备的设备类型为转发设备类型时，确定所述目标设备的地址转换信息，所述地址转换信息表征所述目标设备是否具有地址转换功能。生成模块，基于所述地址转换信息，生成检测结果，所述检测结果表征建立数据传输通道的过程是否存在安全问题，其中，当所述目标设备的设备类型为所述转发设备类型时，所述目标设备用于将所述访问请求转发到至少一个第二节点，以便建立所述第一节点和所述至少一个第二节点之间的所述数据传输通道。

根据本公开实施例，上述访问请求包括源方地址信息和目的方地址信息，所述源方地址信息包括所述第一节点的地址信息，所述目的方地址信息包括所述目标设备的地址信息。其中，所述地址转换功能表示所述目标设备处理所述访问请求得到经转换访问请求，处理所述访问请求包括将所述访问请求中的源方地址信息转换为所述目标设备的地址信息。其中，所述至少一个第二节点中的目标第二节点用于将反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备，所述反馈信息是基于所述经转换访问请求生成的信息。

根据本公开实施例，上述确定所述目标设备的地址转换信息包括：确定与所述目标设备连接的所述至少一个第二节点，基于所述第一节点的地址信息和所述至少一个第二节点中每个第二节点的地址信息，确定所述至少一个第二节点是否包括所述目标第二节点，其中，所述地址信息包括网段信息，所述目标第二节点的网段信息与所述第一节点的网段信息一致，当所述至少一个第二节点包括所述目标第二节点时，确定所述目标设备的地址转换信息。

根据本公开实施例，上述确定所述目标设备的地址转换信息包括：获取所述访问请求中的目的方地址信息，基于所述目的方地址信息，获取所述目标设备的配置信息，其中，所述配置信息至少包括用于表征所述目标设备是否具有地址转换功能的信息，基于所述配置信息，确定所述目标设备的地址转换信息。

根据本公开实施例，上述目标设备的配置信息还包括与所述目标设备连接的所述至少一个第二节点的标识信息。其中，所述确定与所述目标设备连接的所述至少一个第二节点包括：基于所述配置信息，确定与所述目标设备连接的所述至少一个第二节点。

根据本公开实施例，上述根据所述访问请求，确定所述目标设备的设备类型包括：获取地址信息库，其中，所述地址信息库中包括多个网段信息和与所述多个网段信息一一对应的多个网段类型，获取所述访问请求中目的方地址信息包括的所述目标设备的网段信息，基于所述目标设备的网段信息，确定所述地址信息库中与所述目标设备的网段信息对应的目标网段类型，根据目标网段类型，确定所述目标设备的设备类型。

根据本公开实施例，当所述地址转换信息表征所述目标设备具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程不存在安全问题，当所述地址转换信息表征所述目标设备不具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程存在安全问题。

根据本公开实施例，上述装置还包括：输出模块，基于所述检测结果，输出提示信息，其中，所述提示信息包括安全信息和所述目标第二节点的标识信息，所述安全信息用于提示建立所述数据传输通道的过程存在安全问题，所述目标第二节点的标识信息用于作为对所述目标第二节点进行配置操作的依据，以便于通过配置后的目标第二节点将所述反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备。

本公开的另一方面提供了一种计算设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上所述的方法。

本公开的另一方面提供了一种非易失性可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

根据本公开的实施例，利用如上所述的安全检测方法，可以至少部分地解决难以及时解决“三角路由”问题，影响业务的运行，以及难以发现潜在的“三角路由”问题。因此可以实现及时发现“三角路由”问题，减小对业务运行的影响，并且可以发现潜在的“三角路由”问题，以便提前采取解决措施的技术效果。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开实施例的安全检测方法和安全检测装置的应用场景；

图2示意性示出了根据本公开实施例的安全检测方法的流程图；

图3示意性示出了根据本公开另一实施例的安全检测方法的流程图；

图4示意性示出了根据本公开实施例的安全检测装置的框图；

图5示意性示出了根据本公开另一实施例的安全检测装置的框图；以及

图6示意性示出了根据本公开实施例的用于实现安全检测的计算机系统的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程控制装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

因此，本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本公开的上下文中，计算机可读存储介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

本公开的实施例提供了一种安全检测方法，包括：获取访问请求，其中，访问请求是第一节点用于访问目标设备的请求。然后，根据访问请求，确定目标设备的设备类型，当目标设备的设备类型为转发设备类型时，确定目标设备的地址转换信息，地址转换信息表征目标设备是否具有地址转换功能。接下来，基于地址转换信息，生成检测结果，检测结果表征建立数据传输通道的过程是否存在安全问题，其中，当目标设备的设备类型为转发设备类型时，目标设备用于将访问请求转发到至少一个第二节点，以便建立第一节点和至少一个第二节点之间的数据传输通道。

图1示意性示出了根据本公开实施例的安全检测方法和安全检测装置的应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的应用场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的应用场景100例如可以包括第一节点110、目标第二节点120、目标设备130以及安全检测装置140。

根据本公开实施例，第一节点110和目标第二节点120例如可以是网络系统中的服务器。目标设备130例如可以是网络系统中的负载均衡设备，目标设备130例如可以和至少一个第二节点连接，至少一个第二节点中的每个第二节点例如可以通过目标设备130对外提供服务。

其中，目标第二节点120例如可以是至少一个第二节点中网段信息与第一节点110的网段信息一致的第二节点。第一节点110和目标第二节点120之间例如可以直接进行数据通信，或者通过交换机来实现数据通信。

根据本公开实施例，第一节点110和目标第二节点120之间可以建立数据传输通道，以便于基于数据传输通道来传输数据。其中，建立数据传输通道例如可以是建立TCP(Transmission Control Protocol)连接。

在本公开实施例中，由于具有相同网段信息的第一节点110和目标第二节点120可以直接通信以及目标第二节点120通过目标设备130对外提供服务，因此产生“三角路由”的通讯问题而造成节点之间的通信异常。例如，目标第二节点120通过目标设备130对外提供服务，在建立第一节点110和目标第二节点120之间的数据传输通道时，第一节点110将访问请求发送给目标设备130，由目标设备130将访问请求发送给目标第二节点120，访问请求的发送路径例如为从第一节点110经由目标设备130至目标第二节点120。目标第二节点120接收到访问请求后，由于第一节点110和目标第二节点120具有相同的网段信息，因此，目标第二节点120可以将响应于访问请求生成的反馈信息直接发送给第一节点110，反馈信息的返回路径例如为从目标第二节点120至第一节点110。由此可见，在数据传输通道的建立过程中，由于发送路径和返回路径不一致，导致数据传输通道建立失败。

由于相关技术是在业务开发运行后根据数据传输通道建立失败的结果来确定“三角路由”问题，导致难以及时解决“三角路由”问题，影响业务的运行。

因此，本公开实施例通过在业务部署阶段来检测网络系统中是否存在“三角路由”问题。在本公开实施例中，可以通过安全检测装置140自动检测在数据传输通道的建立过程中网络系统是否存在“三角路由”问题。具体过程将在以下图2和图3中描述。

下面结合图1的应用场景，参考图2～图3来描述根据本公开示例性实施方式的安全检测方法。需要注意的是，上述应用场景仅是为了便于理解本公开的精神和原理而示出，本公开的实施方式在此方面不受任何限制。相反，本公开的实施方式可以应用于适用的任何场景。

图2示意性示出了根据本公开实施例的安全检测方法的流程图。

如图2所示，本公开实施例的安全检测方法例如可以包括以下操作S210～操作S240。本公开实施例的安全检测方法例如可以由图1所示的安全检测装置140执行。

在操作S210，获取访问请求，其中，访问请求是第一节点用于访问目标设备的请求。

根据本公开实施例，例如可以收集第一节点用于访问目标设备的访问请求。该访问请求可以由用户提供或者由应用部署方提供。由于本公开实施例的安全检测方法可以在业务部署阶段执行，因此，本公开实施例的访问请求可以是由用户提供或者应用部署方提供的用于进行安全检测的数据，而并非在业务开发运行后产生的真实访问请求。当用户或者应用部署方提供多个访问请求时，可以将多个访问请求逐个输入安全检测装置进行检测或者批量输入安全检测装置进行检测。或者，也可以通过开通自动调用功能来调用访问请求进行检测。

在操作S220，根据防问请求，确定目标设备的设备类型。

根据本公开实施例，访问请求中例如包括源方地址信息和目的方地址信息。在本公开实施例中，源方地址信息例如包括第一节点的地址信息，目的方地址信息例如包括目标设备的地址信息。其中，地址信息例如可以为IP地址。

根据本公开实施例，可以获取地址信息库。然后，获取访问请求中目的方地址信息包括的目标设备的网段信息。接下来，基于目标设备的网段信息，确定地址信息库中与目标设备的网段信息对应的目标网段类型，并根据目标网段类型确定目标设备的设备类型。

根据本公开实施例，地址信息库例如可以预先配置。该地址信息库中例如包括多个网段信息和与多个网段信息一一对应的多个网段类型。其中，网段类型例如可以包括实服务器网段类型和负载均衡虚拟服务网段类型。其中，网段类型属于实服务器网段类型的设备例如为一般服务节点，一般服务节点例如包括本公开实施例的第一节点和第二节点。网段类型属于负载均衡虚拟服务网段类型的设备例如为负载均衡设备。该负载均衡设备例如可以为一般服务节点对外提供服务，例如，负载均衡设备可以转发一般节点之间的通信数据。

根据本公开实施例，当从地址信息库中确定与目标设备的网段信息对应的目标网段类型为负载均衡虚拟服务网段类型时，可以表示目标设备的设备类型为转发设备类型。

在操作S230，当目标设备的设备类型为转发设备类型时，确定目标设备的地址转换信息，地址转换信息表征目标设备是否具有地址转换功能。

根据本公开实施例，当目标设备的设备类型为转发设备类型时，目标设备用于将访问请求转发到至少一个第二节点，以便建立第一节点和至少一个第二节点之间的数据传输通道。

根据本公开实施例，当目标设备的设备类型为转发设备类型时，可以表示在业务开发运行阶段时，目标设备可以用于将访问请求转发到至少一个第二节点，以便建立第一节点和至少一个第二节点之间的数据传输通道。

根据本公开实施例，地址转换功能例如可以表示目标设备能够处理访问请求得到经转换访问请求。其中，处理访问请求例如包括将访问请求中的源方地址信息转换为目标设备的地址信息，从而得到经转换访问请求。在本公开实施例中，访问请求中的源方地址信息例如可以是第一节点的地址信息，经转换访问请求中的源方地址信息例如可以是目标设备的地址信息。

根据本公开实施例，至少一个第二节点中的目标第二节点的网段信息例如与第一节点的网段信息一致。当目标设备接收到第一节点的访问请求后，可以通过地址转换功能处理访问请求以得到经转换访问请求，然后目标设备可以将经转换访问请求转发给目标第二节点。目标第二节点可以基于经转换访问请求生成反馈信息，然后，目标第二节点可以将反馈信息经由经转换访问请求中的源方地址信息发送至目标设备，然后再由目标设备将反馈信息发送给第一节点，从而实现访问请求的发送路径和反馈信息的返回路径一致，从而可以成功建立第一节点和目标第二节点之间的数据传输通道，避免了建立数据传输通道过程中出现“三角路由”风险。

接下来，在操作S240，基于地址转换信息，生成检测结果，检测结果表征建立数据传输通道的过程是否存在安全问题。

根据本公开实施例，由于地址转换信息表征目标设备是否具有地址转换功能，可以基于地址转换信息生成用于指示建立数据传输通道的过程是否存在安全问题的检测结果。如果地址转换信息表征目标设备具有地址转换功能，则检测结果例如表征建立数据传输通道的过程不存在安全问题。即，当目标设备具有地址转换功能时，可以保证访问请求的发送路径和反馈信息的返回路径一致。

根据本公开实施例，如果地址转换信息表征目标设备不具有地址转换功能，则检测结果例如表征建立数据传输通道的过程存在安全问题。即，当目标设备不具有地址转换功能时，反馈信息例如直接由目标第二节点返回第一节点，从而使得防问请求的发送路径和反馈信息的返回路径不一致，使得建立第一节点和目标第二节点之间的数据传输通道的过程出现安全问题，即，建立数据传输通道过程中出现“三角路由”风险而导致数据传输通道建立失败。

在一种情况下，当无法确定目标设备是否具有地址转换功能的信息时，则可以确定建立数据传输通道的过程存在潜在的安全问题，即存在潜在的“三角路由”风险，以便于业务人员关注该潜在的“三角路由”风险以提前采取防护措施。

本公开实施例通过在业务部署阶段自动检测安全问题。例如，通过获取访问请求，并响应访问请求确定目标设备的设备类型，并在目标设备的设备类型为转发设备类型时，进一步确定目标设备是否具有地址转换功能。接下来，根据目标设备是否具有地址转换功能来判断第一节点和目标第二节点之间的数据传输通道的建立过程是否存在安全问题，从而可以实现及时发现存在的安全问题，减小对业务运行的影响，并且可以发现潜在的安全问题以便提前采取解决措施。

根据本公开实施例，上述操作S230的具体实现过程例如如下描述。

根据本公开实施例，当确定目标设备的设备类型为转发设备类型时，确定目标设备的地址转换信息例如可以包括：获取访问请求中的目的方地址信息，然后基于目的方地址信息，获取目标设备的配置信息，该配置信息例如至少包括用于表征目标设备是否具有地址转换功能的信息。接下来，可以基于配置信息，确定目标设备的地址转换信息，该地址转换信息表征目标设备是否具有地址转换功能。

根据本公开实施例，每个目标设备例如均具有对应的配置信息，该配置信息例如存储于外部数据库中。根据目标设备的地址信息从外部数据库中获取与该目标设备的地址信息对应的配置信息。然后，基于该配置信息来确定目标设备的地址转换信息，以便通过地址转换信息来确定目标设备是否具有地址转换功能。

根据本公开实施例，目标设备的配置信息例如还可以包括与目标设备连接的至少一个第二节点的标识信息。

根据本公开实施例，例如在至少一个第二节点包括目标第二节点的情况下，才需要进一步确定目标设备是否具有地址转换功能。

根据本公开实施例，确定至少一个第二节点是否包括目标第二节点例如如下描述。

例如，首先确定与目标设备连接的至少一个第二节点。由于目标设备的配置信息中包括与目标设备连接的至少一个第二节点的标识信息，因此，可以基于目标设备的配置信息，确定与目标设备连接的至少一个第二节点。

然后，基于第一节点的地址信息和至少一个第二节点中每个第二节点的地址信息，确定至少一个第二节点是否包括目标第二节点。其中，地址信息例如包括网段信息，目标第二节点的网段信息与第一节点的网段信息一致。即，首先确定至少一个第二节点中每个第二节点的网段信息和第一节点的网段信息，然后确定至少一个第二节点中网段信息与第一节点的网段信息一致的第二节点作为目标第二节点。在确定至少一个第二节点包括目标第二节点时，可以进一步确定目标设备的地址转换信息，便于通过地址转换信息确定目标设备是否具有地址转换功能。

图3示意性示出了根据本公开另一实施例的安全检测方法的流程图。

如图3所示，本公开实施例的安全检测方法例如可以包括操作S210～操作S240以及以下操作S310。

在操作S310，基于检测结果，输出提示信息。其中，提示信息例如包括安全信息和目标第二节点的标识信息。

根据本公开实施例，安全信息例如可以用于提示建立数据传输通道的过程存在安全问题。即，该安全信息可以表示建立数据传输通道的过程存在“三角路由”风险或者潜在“三角路由”风险。。

根据本公开实施例，目标第二节点的标识信息例如用于作为对目标第二节点进行配置操作的依据，该目标第二节点的网段信息例如与第一节点的网段信息相同。通过目标第二节点的标识信息，可以找到目标第二节点并对目标第二节点进行配置操作，以便于通过配置后的目标第二节点将响应于经转换访问请求生成的反馈信息经由经转换访问请求中的源方地址信息发送至目标设备。即，业务人员可以根据提示信息对目标第二节点进行配置，配置后的目标第二节点在接收到目标设备的访问请求后，可以将生成的反馈信息强制牵引回目标设备，再经由目标设备将反馈信息发送给第一节点，从而保证访问请求的发送路径和反馈信息的返回路径一致，从而可以成功建立第一节点和目标第二节点之间的数据传输通道，避免了建立数据传输通道过程中出现“三角路由”风险。

根据本公开实施例，对于潜在的“三角路由”风险，可以将所收集的访问请求的相关信息输入闭环跟踪数据库，相关信息例如包括提供访问请求的用户信息、访问请求的访问关系，其中，访问关系例如包括源方信息和目的方信息。针对存在的“三角路由”风险，也可以将其风险信息输至闭环跟踪数据库中。由此可见，闭环跟踪数据库可以包括多条待解决风险记录。

根据本公开实施例，例如可以调用服务器管理系统来部署解决方案从而解决潜在的“三角路由”风险和存在的“三角路由”风险。当服务器管理系统针对闭环跟踪数据库中某一条待解决风险记录完成解决方案部署后，可以更新闭环跟踪数据库，清除该条待解决风险记录。另外，可以联动邮件系统，通过邮件提醒业务人员关于闭环跟踪数据库内尚存的待解决风险记录，以便于业务人员及时处理闭环跟踪数据库内尚存的待解决风险记录，当待解决风险记录被处理后可以清除该记录。

根据本公开实施例，通过将通讯原理转化为程序逻辑，实时动态检测“三角路由”风险，通过自动化安全检测装置在业务部署阶段发现风险并解决问题。另外，通过安全检测装置、服务器管理系统、邮件系统等跨专业的多个工具进行联动来发现问题以及提示风险，实现全流程自动化解决问题，提前在业务部署阶段解决问题，确保了业务的正常上线运行。

图4示意性示出了根据本公开实施例的安全检测装置的框图。

如图4所示，安全检测装置400例如可以包括获取模块410、第一确定模块420、第二确定模块430以及生成模块440。

获取模块410可以用于获取访问请求，其中，访问请求是第一节点用于访问目标设备的请求。根据本公开实施例，获取模块410例如可以执行上文参考图2描述的操作S210，在此不再赘述。

第一确定模块420可以用于根据访问请求，确定目标设备的设备类型。根据本公开实施例，第一确定模块420例如可以执行上文参考图2描述的操作S220，在此不再赘述。

第二确定模块430可以用于当目标设备的设备类型为转发设备类型时，确定目标设备的地址转换信息，地址转换信息表征目标设备是否具有地址转换功能。根据本公开实施例，第二确定模块430例如可以执行上文参考图2描述的操作S230，在此不再赘述。

生成模块440可以用于基于地址转换信息，生成检测结果，检测结果表征建立数据传输通道的过程是否存在安全问题，其中，当目标设备的设备类型为转发设备类型时，目标设备用于将访问请求转发到至少一个第二节点，以便建立第一节点和至少一个第二节点之间的数据传输通道。根据本公开实施例，生成模块440例如可以执行上文参考图2描述的操作S240，在此不再赘述。

根据本公开实施例，访问请求包括源方地址信息和目的方地址信息，源方地址信息包括第一节点的地址信息，目的方地址信息包括目标设备的地址信息。其中，地址转换功能表示目标设备处理访问请求得到经转换访问请求，处理访问请求包括将访问请求中的源方地址信息转换为目标设备的地址信息。其中，至少一个第二节点中的目标第二节点用于将反馈信息经由经转换访问请求中的源方地址信息发送至目标设备，反馈信息是基于经转换访问请求生成的信息。

根据本公开实施例，确定目标设备的地址转换信息包括：确定与目标设备连接的至少一个第二节点，基于第一节点的地址信息和至少一个第二节点中每个第二节点的地址信息，确定至少一个第二节点是否包括目标第二节点，其中，地址信息包括网段信息，目标第二节点的网段信息与第一节点的网段信息一致，当至少一个第二节点包括目标第二节点时，确定目标设备的地址转换信息。

根据本公开实施例，确定目标设备的地址转换信息包括：获取访问请求中的目的方地址信息，基于目的方地址信息，获取目标设备的配置信息，其中，配置信息至少包括用于表征目标设备是否具有地址转换功能的信息，基于配置信息，确定目标设备的地址转换信息。

根据本公开实施例，目标设备的配置信息还包括与目标设备连接的至少一个第二节点的标识信息。其中，确定与目标设备连接的至少一个第二节点包括：基于配置信息，确定与目标设备连接的至少一个第二节点。

根据本公开实施例，根据访问请求，确定目标设备的设备类型包括：获取地址信息库，其中，地址信息库中包括多个网段信息和与多个网段信息一一对应的多个网段类型，获取访问请求中目的方地址信息包括的目标设备的网段信息，基于目标设备的网段信息，确定地址信息库中与目标设备的网段信息对应的目标网段类型，根据目标网段类型，确定目标设备的设备类型。

根据本公开实施例，当地址转换信息表征目标设备具有地址转换功能时，检测结果表征建立数据传输通道的过程不存在安全问题，当地址转换信息表征目标设备不具有地址转换功能时，检测结果表征建立数据传输通道的过程存在安全问题。

图5示意性示出了根据本公开另一实施例的安全检测装置的框图。

如图5所示，安全检测装置500例如可以包括获取模块410、第一确定模块420、第二确定模块430、生成模块440以及输出模块510。其中，获取模块410、第一确定模块420、第二确定模块430以及生成模块440例如与图4描述的模块相同或类似，在此不再赘述。

输出模块510可以基于检测结果，输出提示信息，其中，提示信息包括安全信息和目标第二节点的标识信息。根据本公开实施例，输出模块510例如可以执行上文参考图3描述的操作S310，在此不再赘述。

根据本公开实施例，安全信息用于提示建立数据传输通道的过程存在安全问题，目标第二节点的标识信息用于作为对目标第二节点进行配置操作的依据，以便于通过配置后的目标第二节点将反馈信息经由经转换访问请求中的源方地址信息发送至目标设备。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，获取模块410、第一确定模块420、第二确定模块430、生成模块440以及输出模块510中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，获取模块410、第一确定模块420、第二确定模块430、生成确定模块440以及输出模块510中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，获取模块410、第一确定模块420、第二确定模块430、生成模块440以及输出模块510中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图6示意性示出了根据本公开实施例的用于实现安全检测的计算机系统的方框图。图6示出的计算机系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图6所示，计算机系统600包括处理器601、计算机可读存储介质602。该系统600可以执行根据本公开实施例的方法。

具体地，处理器601例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器601还可以包括用于缓存用途的板载存储器。处理器601可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质602，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质602可以包括计算机程序603，该计算机程序603可以包括代码/计算机可执行指令，其在由处理器601执行时使得处理器601执行根据本公开实施例的方法或其任何变形。

计算机程序603可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序603中的代码可以包括一个或多个程序模块，例如包括603A、模块603B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器601执行时，使得处理器601可以执行根据本公开实施例的方法或其任何变形。

根据本公开的实施例，获取模块410、第一确定模块420、第二确定模块430、生成模块440以及输出模块510中的至少一个可以实现为参考图6描述的计算机程序模块，其在被处理器601执行时，可以实现上面描述的相应操作。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现上述方法。

根据本公开的实施例，计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (11)

1.一种安全检测方法，包括：

获取访问请求，其中，所述访问请求是第一节点用于访问目标设备的请求；

根据所述访问请求，确定所述目标设备的设备类型；

当所述目标设备的设备类型为转发设备类型时，确定所述目标设备的地址转换信息，所述地址转换信息表征所述目标设备是否具有地址转换功能；以及

基于所述地址转换信息，生成检测结果，所述检测结果表征建立数据传输通道的过程是否存在安全问题，

其中，当所述目标设备的设备类型为所述转发设备类型时，所述目标设备用于将所述访问请求转发到至少一个第二节点，以便建立所述第一节点和所述至少一个第二节点之间的所述数据传输通道。

2.根据权利要求1所述的方法，其中，所述访问请求包括源方地址信息和目的方地址信息，所述源方地址信息包括所述第一节点的地址信息，所述目的方地址信息包括所述目标设备的地址信息；

其中，所述地址转换功能表示所述目标设备处理所述访问请求得到经转换访问请求，处理所述访问请求包括将所述访问请求中的源方地址信息转换为所述目标设备的地址信息；

其中，所述至少一个第二节点中的目标第二节点用于将反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备，所述反馈信息是基于所述经转换访问请求生成的信息。

3.根据权利要求2所述的方法，其中，所述确定所述目标设备的地址转换信息包括：

确定与所述目标设备连接的所述至少一个第二节点；

基于所述第一节点的地址信息和所述至少一个第二节点中每个第二节点的地址信息，确定所述至少一个第二节点是否包括所述目标第二节点，其中，所述地址信息包括网段信息，所述目标第二节点的网段信息与所述第一节点的网段信息一致；以及

当所述至少一个第二节点包括所述目标第二节点时，确定所述目标设备的地址转换信息。

4.根据权利要求3所述的方法，其中，所述确定所述目标设备的地址转换信息包括：

获取所述访问请求中的目的方地址信息；

基于所述目的方地址信息，获取所述目标设备的配置信息，其中，所述配置信息至少包括用于表征所述目标设备是否具有地址转换功能的信息；以及

基于所述配置信息，确定所述目标设备的地址转换信息。

5.根据权利要求4所述的方法，其中，所述目标设备的配置信息还包括与所述目标设备连接的所述至少一个第二节点的标识信息；

其中，所述确定与所述目标设备连接的所述至少一个第二节点包括：基于所述配置信息，确定与所述目标设备连接的所述至少一个第二节点。

6.根据权利要求2所述的方法，其中，所述根据所述访问请求，确定所述目标设备的设备类型包括：

获取地址信息库，其中，所述地址信息库中包括多个网段信息和与所述多个网段信息一一对应的多个网段类型；

获取所述访问请求中目的方地址信息包括的所述目标设备的网段信息；以及

基于所述目标设备的网段信息，确定所述地址信息库中与所述目标设备的网段信息对应的目标网段类型；以及

根据目标网段类型，确定所述目标设备的设备类型。

7.根据权利要求1所述的方法，其中：

当所述地址转换信息表征所述目标设备具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程不存在安全问题；以及

当所述地址转换信息表征所述目标设备不具有地址转换功能时，所述检测结果表征建立所述数据传输通道的过程存在安全问题。

8.根据权利要求2或3所述的方法，还包括：

基于所述检测结果，输出提示信息，其中，所述提示信息包括安全信息和所述目标第二节点的标识信息，

所述安全信息用于提示建立所述数据传输通道的过程存在安全问题；

所述目标第二节点的标识信息用于作为对所述目标第二节点进行配置操作的依据，以便于通过配置后的目标第二节点将所述反馈信息经由所述经转换访问请求中的源方地址信息发送至所述目标设备。

9.一种安全检测装置，包括：

获取模块，获取访问请求，其中，所述访问请求是第一节点用于访问目标设备的请求；

第一确定模块，根据所述访问请求，确定所述目标设备的设备类型；

第二确定模块，当所述目标设备的设备类型为转发设备类型时，确定所述目标设备的地址转换信息，所述地址转换信息表征所述目标设备是否具有地址转换功能；以及

生成模块，基于所述地址转换信息，成检测结果，所述检测结果表征建立数据传输通道的过程是否存在安全问题，

其中，当所述目标设备的设备类型为所述转发设备类型时，所述目标设备用于将所述访问请求转发到至少一个第二节点，以便建立所述第一节点和所述至少一个第二节点之间的所述数据传输通道。

10.一种计算设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1～8中任一项所述的方法。

11.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1～8中任一项所述的方法。

Images