CN111786940A - 一种数据处理方法及装置 - Google Patents

Abstract

本申请提供一种数据处理方法及装置，涉及网络安全技术领域，该方法应用于第一服务器中，包括如下步骤：先获取用户通过客户端发送的原始请求信息，然后判断其是否符合预设的拦截规则，若符合，则对其进行拦截并返回干扰信息至客户端，若不符合，则将其转发至第二服务器。共享单车使用用户的原始请求信息还没传给第二服务器之前，先对其请求进行判断，若符合预设的拦截规则，则可将存在威胁的原始请求信息拦截掉。该方法仅需要设置于第一服务器，无需部署额外的硬件防火墙设备，硬件部署成本较小，且相对于公有云防火墙需要向云服务供应商支付的使用成本也较小。

Description

一种数据处理方法及装置

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种数据处理方法及装置。

背景技术

在互联网中，客户端与服务器之间进行交互的过程，常常存在可能遭受黑客等恶意程序的网络攻击的威胁。为了保证网络访问的安全性，通常在终端与服务器的访问路径上部署防火墙，基于防火墙的防护规则，对访问过程进行攻击检测及攻击处理。目前防火墙主要有两种形式，一种是传统硬件类应用安全防火墙设备，另一种是公有云防火墙服务方案。硬件类防火墙需部署在互联网数据中心(Internet Data Center，IDC)网络架构中，这种硬件类防火墙的设备部署成本较大。公有云防火墙服务方案的部署成本小，但其使用成本较高。

发明内容

本申请实施例的目的在于提供一种数据处理方法及装置，用以改善现有技术中部署和使用成本高的问题。

第一方面，本申请实施例提供了一种数据处理方法，应用于第一服务器中，所述方法包括：获取用户通过客户端发送的原始请求信息；判断所述原始请求信息是否符合预设的拦截规则；若符合，则拦截所述原始请求信息并返回干扰信息至所述客户端；若不符合，则将所述原始请求信息转发至第二服务器。

客户端的原始请求信息还没传给第二服务器之前，会先进行判断步骤，通过判断原始请求信息是否符合预设的拦截规则，把可能存在威胁的原始请求信息拦截掉。拦截的规则可以是事先编写好的安全防护策略代码，第一服务器基于这些规则库去执行过滤分析，然后决定是否拦截当前的请求。该方法仅需要设置于第一服务器，无需部署额外的硬件防火墙设备，硬件部署成本较小，且相对于公有云防火墙需要向云服务供应商支付的使用成本也较小。

可选地，所述判断所述原始请求信息是否符合预设的拦截规则的步骤之后，所述方法还包括：若所述原始请求信息符合所述预设的拦截规则，则将符合所述预设的拦截规则的所述原始请求信息记录至日志分析平台。将攻击者通过客户端的原始请求信息以日志的形式记录在日志分析平台上，以便于后期对拦截的所有原始请求信息进行异常分析与深度学习。

可选地，所述判断所述原始请求信息是否符合预设的拦截规则的步骤，包括：判断所述原始请求信息的数据量是否大于预设阈值，若是，则判断所述原始请求信息符合所述预设的拦截规则。

可选地，所述判断所述原始请求信息是否符合预设的拦截规则的步骤，包括：获取所述客户端在预设时间段内发送所述原始请求信息的次数；若所述次数大于与预设次数，则判断所述原始请求信息符合所述预设的拦截规则。

可选地，所述拦截所述原始请求信息并返回干扰信息至所述客户端的步骤，包括：对拦截的所述原始请求信息进行数据加工，并生成干扰信息；将所述干扰信息发送至所述客户端。

可选地，所述方法还包括：检测在预设时间段内接收所述客户端发送的所述原始请求信息的数量；根据所述原始请求信息的数量计算所述数量的增长率；若所述增长率大于预设增长率，则对所述第一服务器中的数据库进行平滑扩容，以应对流量暴增的情况，从而提高该数据处理方法的稳定性。

可选地，所述方法还包括：获取所述第二服务器根据所述原始请求信息向所述客户端发送的反馈信息；根据所述反馈信息对预设的拦截规则进行更新。以避免更新前的预设的拦截规则无法拦截的存在威胁的原始请求信息再次出现，从而保证能够提高该数据处理方法的安全性。

第二方面，本申请实施例提供一种数据处理装置，所述装置包括：信息获取模块，用于获取用户通过客户端发送的原始请求信息；拦截判断模块，用于判断所述原始请求信息是否符合预设的拦截规则；拦截模块，用于若所述原始请求信息符合预设的拦截规则，则拦截所述原始请求信息并返回干扰信息至所述客户端；转发模块，用于若所述原始请求信息不符合预设的拦截规则，则将所述原始请求信息转发至第二服务器。

可选地，所述装置还包括：日志记录模块，用于若所述原始请求信息符合所述预设的拦截规则，则将符合所述预设的拦截规则的所述原始请求信息记录至日志分析平台。

可选地，所述拦截判断模块包括：第一拦截判断单元，用于判断所述原始请求信息的数据量是否大于预设阈值，若是，则判断所述原始请求信息符合所述预设的拦截规则。

可选地，所述拦截判断模块包括：次数获取单元，用于获取所述客户端在预设时间段内发送所述原始请求信息的次数；第二拦截判断单元，用于若所述次数大于与预设次数，则判断所述原始请求信息符合所述预设的拦截规则。

可选地，所述拦截模块包括：干扰信息生成单元，用于对拦截的所述原始请求信息进行数据加工，并生成干扰信息；干扰单元，用于将所述干扰信息发送至所述客户端。

可选地，所述装置还包括：数量检测模块，用于检测在预设时间段内接收所述客户端发送的所述原始请求信息的数量；增长率计算模块，用于根据所述原始请求信息的数量计算所述数量的增长率；平滑扩容模块，用于若所述增长率大于预设增长率，则对所述第一服务器中的数据库进行平滑扩容。

可选地，所述装置还包括：反馈信息获取模块，用于获取所述第二服务器根据所述原始请求信息向所述客户端发送的反馈信息；更新模块，用于根据所述反馈信息对预设的拦截规则进行更新。

第三方面，本申请实施例提供一种电子设备，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如上述第一方面提供的方法。

第四方面，本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时运行如上述第一方面提供的方法。

本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种数据处理方法的流程图；

图2为本申请实施例提供的一种数据处理装置的结构框图；

图3为本申请实施例提供的一种电子设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

在互联网创业公司中，其成本预算等考量因素较大，常常无法采用IDC机房部署硬件防火墙，而公有云防火墙服务方案是依据防护功能点、每秒查询率(Queries-per-second，QPS)、带宽等维度进行收费，通常是一笔较为高昂的费用。为了减少防火墙部署的成本，本申请提供一种数据处理方法及装置，该方法部署于第一服务器中，因此无需额外支出费用，仅需日常服务器的成本费用。

在进一步对本申请的方案进行介绍之前，首先进行简单的说明，本申请实施例中所说的第一服务器可以理解为使用本申请提供的数据处理方法部署防火墙的服务器，第二服务器可以理解为用于处理业务数据的业务服务器。可以理解地，第一服务器和第二服务器可以为同一个服务器，也可以为不同的服务器。

请参看图1，图1为本申请实施例提供的一种数据处理方法的流程图，该方法应用于第一服务器中，包括如下步骤：

步骤S110：获取用户通过客户端发送的原始请求信息。

步骤S120：判断原始请求信息是否符合预设的拦截规则。

若符合，则执行步骤S130：拦截原始请求信息并返回干扰信息至客户端。

若不符合，则执行步骤S140：将原始请求信息转发至第二服务器。

客户端的原始请求信息还没传给第二服务器之前，会先进行判断步骤，通过判断原始请求信息是否符合预设的拦截规则，把可能存在威胁的原始请求信息拦截掉。拦截的规则可以是事先编写好的安全防护策略代码，第一服务器基于这些规则库去执行过滤分析，然后决定是否拦截当前的请求。

具体地，在第一服务器中构建OpenResty集群，OpenResty集群部署于整个业务构架的顶层，以承载公网中所有的流量，并进行中转分配工作。同时，应用LUA脚本语言配置第一服务器中的安全策略，该安全策略包括基于预设的拦截规则对原始请求信息进行拦截。

例如，若该数据处理方法被应用于为共享单车系统服务的第一服务器，则在获取的共享单车使用用户的客户端的原始请求信息正常时，也就是说在获取的原始请求信息没有命中预设的拦截规则的情况下，共享单车使用用户的原始请求信息会经过被转发至第二服务器，也就是后端upstream，然后后端upstream将响应结果response信息返回给共享单车使用用户的客户端。若在获取的共享单车使用用户的客户端的原始请求信息异常时，也就是说在获取的原始请求信息命中预设的拦截规则的情况下，第一服务器将其拦截，以保证其不会被发送至第二服务器。

在拦截原始请求信息并返回干扰信息至客户端时，可以先对拦截的原始请求信息进行数据加工，并生成干扰信息，后将干扰信息发送至客户端。具体地，为了不暴露拦截形为，在拦截原始请求信息预设的拦截规则时，可以把异常的拦截原始请求信息拦截下来，不转发至后端真实业务服务器，也就是不转发给第二服务器，然后采用伪装response数据的逻辑，将原始请求信息进行数据加工，将加工后生成的干扰信息发送至客户端，以完成与攻击者进行交互的过程。

此外，在判断原始请求信息是否符合预设的拦截规则的步骤之后，且在判断出原始请求信息符合预设的拦截规则时，可以将符合预设的拦截规则的原始请求信息记录至日志分析平台。将攻击者通过客户端的原始请求信息以日志的形式记录在日志分析平台上，以便于后期对拦截的所有原始请求信息进行异常分析与深度学习。

在上述实现过程中，仅需要设置于第一服务器，无需部署额外的硬件防火墙设备，硬件部署成本较小，且相对于公有云防火墙需要向云服务供应商支付的使用成本也较小。

判断原始请求信息是否符合预设的拦截规则时，可以有以下几种实施方式。

第一种实施方式，可以判断原始请求信息的数据量是否大于预设阈值，若是，则判断原始请求信息符合预设的拦截规则。

由于一般可能存在威胁的原始请求信息包含攻击者编写的代码、脚本等病毒，因此可以根据原始请求信息的数据量的大小判断原始请求信息是否符合预设拦截规则，当其数据量过大，则表示该原始请求信息可能存在由攻击者编写的攻击病毒，通过该判断方式能够有效地对异常的原始请求信息进行拦截。

第二种实施方式，可以获取客户端在预设时间段内发送原始请求信息的次数，若次数大于与预设次数，则判断原始请求信息符合预设的拦截规则。

客户端在预设时间段内发送原始请求信息的次数过高，则说明该客户端可能存在异常行为，比如客户端被黑客攻击并植入了攻击病毒，然后该攻击病毒能够通过客户端向第二服务器发送存在威胁的原始请求信息，因此可以通过客户端在预设时间段内发送原始请求信息的次数来判断原始请求信息是否符合预设的拦截规则。

此外，为了应对流量暴增的情况，还可以先检测在预设时间段内接收客户端发送的原始请求信息的数量，然后根据原始请求信息的数量计算数量的增长率，若增长率大于预设增长率，则对第一服务器中的数据库进行平滑扩容。也就是说，本申请提供的数据处理方法具备更好的扩容性，且其在实施扩容方案时，无侵入性，而一般的硬件类防火墙需要额外叠加多节点设备，公有云防火墙则需要进行升降配置、域名解析等复杂的前置工作。而本申请提供的数据处理方法为容器化部署，当流量暴增时，也就是根据在预设时间段内检测客户端发送的原始请求信息的数量计算得到的增长率过高时，可平滑扩容一组OpenResty集群以抵御外部异常流量攻击行为，从而提高该数据处理方法的稳定性。

可以理解地，可以获取第二服务器根据原始请求信息向客户端发送的反馈信息，然后根据反馈信息对预设的拦截规则进行更新。以避免更新前的预设的拦截规则无法拦截的存在威胁的原始请求信息再次出现，从而保证能够提高该数据处理方法的安全性。

基于同一发明构思，本申请实施例中还提供一种数据处理装置100，请参看图2，图2为本申请实施例提供的一种数据处理装置100的结构框图。该装置可以是电子设备上的模块、程序段或代码。应理解，该数据处理装置100与上述图1方法实施例对应，能够执行图1方法实施例涉及的各个步骤，该数据处理装置100具体的功能可以参见上文中的描述，为避免重复，此处适当省略详细描述。

数据处理装置100包括：

信息获取模块110，用于获取用户通过客户端发送的原始请求信息。

拦截判断模块120，用于判断原始请求信息是否符合预设的拦截规则。

拦截模块130，用于若原始请求信息符合预设的拦截规则，则拦截原始请求信息并返回干扰信息至客户端。

转发模块140，用于若原始请求信息不符合预设的拦截规则，则将原始请求信息转发至第二服务器。

可选地，数据处理装置100还包括：

日志记录模块，用于若原始请求信息符合预设的拦截规则，则将符合预设的拦截规则的原始请求信息记录至日志分析平台。

可选地，拦截判断模块120包括：

第一拦截判断单元，用于判断原始请求信息的数据量是否大于预设阈值，若是，则判断原始请求信息符合预设的拦截规则。

可选地，拦截判断模块120包括：

次数获取单元，用于获取客户端在预设时间段内发送原始请求信息的次数。

第二拦截判断单元，用于若次数大于与预设次数，则判断原始请求信息符合预设的拦截规则。

可选地，拦截模块130包括：

干扰信息生成单元，用于对拦截的原始请求信息进行数据加工，并生成干扰信息。

干扰单元，用于将干扰信息发送至客户端。

可选地，数据处理装置100还包括：

数量检测模块，用于检测在预设时间段内接收客户端发送的原始请求信息的数量。

增长率计算模块，用于根据原始请求信息的数量计算数量的增长率。

平滑扩容模块，用于若增长率大于预设增长率，则对第一服务器中的数据库进行平滑扩容。

可选地，数据处理装置100还包括：

反馈信息获取模块，用于获取第二服务器根据原始请求信息向客户端发送的反馈信息。

更新模块，用于根据反馈信息对预设的拦截规则进行更新。

请参照图3，图3为本申请实施例提供的一种电子设备的结构框图，该电子设备包括：至少一个处理器301，至少一个通信接口302，至少一个存储器303和至少一个通信总线304。其中，通信总线304用于实现这些组件直接的连接通信，通信接口302用于与其他节点设备进行信令或数据的通信，存储器303存储有处理器301可执行的机器可读指令。当电子设备运行时，处理器301与存储器303之间通过通信总线304通信，机器可读指令被处理器301调用时执行上述方法。

处理器301可以是一种集成电路芯片，具有信号处理能力。上述处理器301可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(NetworkProcessor，NP)等；还可以是数字信号处理器(Digital Signal Processing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。其可以实现或者执行本申请实施例中公开的各种方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

存储器303可以包括但不限于随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。

本申请实施例提供一种可读取存储介质，计算机程序被处理器执行时，执行如图1所示方法实施例中电子设备所执行的方法过程。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置的具体工作过程，可以参考前述方法中的对应过程，在此不再过多赘述。

综上所述，本申请实施例提供了一种数据处理方法及装置，应用于第一服务器中，方法包括：获取用户通过客户端发送的原始请求信息；判断原始请求信息是否符合预设的拦截规则；若符合，则拦截原始请求信息并返回干扰信息至客户端；若不符合，则将原始请求信息转发至第二服务器。客户端的原始请求信息还没传给第二服务器之前，会先进行判断步骤，通过判断原始请求信息是否符合预设的拦截规则，把可能存在威胁的原始请求信息拦截掉。拦截的规则可以是事先编写好的安全防护策略代码，第一服务器基于这些规则库去执行过滤分析，然后决定是否拦截当前的请求。该方法仅需要设置于第一服务器，无需部署额外的硬件防火墙设备，硬件部署成本较小，且相对于公有云防火墙需要向云服务供应商支付的使用成本也较小。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种数据处理方法，其特征在于，应用于第一服务器中，所述方法包括：

获取用户通过客户端发送的原始请求信息；

判断所述原始请求信息是否符合预设的拦截规则；

若符合，则拦截所述原始请求信息并返回干扰信息至所述客户端；

若不符合，则将所述原始请求信息转发至第二服务器。

2.根据权利要求1所述的方法，其特征在于，所述判断所述原始请求信息是否符合预设的拦截规则的步骤之后，所述方法还包括：

若所述原始请求信息符合所述预设的拦截规则，则将符合所述预设的拦截规则的所述原始请求信息记录至日志分析平台。

3.根据权利要求1所述的方法，其特征在于，所述判断所述原始请求信息是否符合预设的拦截规则的步骤，包括：

判断所述原始请求信息的数据量是否大于预设阈值，若是，则判断所述原始请求信息符合所述预设的拦截规则。

4.根据权利要求1所述的方法，其特征在于，所述判断所述原始请求信息是否符合预设的拦截规则的步骤，包括：

获取所述客户端在预设时间段内发送所述原始请求信息的次数；

若所述次数大于与预设次数，则判断所述原始请求信息符合所述预设的拦截规则。

5.根据权利要求1所述的方法，其特征在于，所述拦截所述原始请求信息并返回干扰信息至所述客户端的步骤，包括：

对拦截的所述原始请求信息进行数据加工，并生成干扰信息；

将所述干扰信息发送至所述客户端。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

检测在预设时间段内接收所述客户端发送的所述原始请求信息的数量；

根据所述原始请求信息的数量计算所述数量的增长率；

若所述增长率大于预设增长率，则对所述第一服务器中的数据库进行平滑扩容。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述第二服务器根据所述原始请求信息向所述客户端发送的反馈信息；

根据所述反馈信息对预设的拦截规则进行更新。

8.一种数据处理装置，其特征在于，所述装置包括：

信息获取模块，用于获取用户通过客户端发送的原始请求信息；

拦截判断模块，用于判断所述原始请求信息是否符合预设的拦截规则；

拦截模块，用于若所述原始请求信息符合预设的拦截规则，则拦截所述原始请求信息并返回干扰信息至所述客户端；

转发模块，用于若所述原始请求信息不符合预设的拦截规则，则将所述原始请求信息转发至第二服务器。

9.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1至7中任一项所述的方法。

10.一种可读取存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，运行如权利要求1至7中任一项所述的方法。

Images