CN111949979A

CN111949979A - 一种网络端口保护方法、系统、电子设备及存储介质

Info

Publication number: CN111949979A
Application number: CN202010745262.6A
Authority: CN
Inventors: 张宇
Original assignee: Shandong Yingxin Computer Technology Co Ltd
Current assignee: Shandong Yingxin Computer Technology Co Ltd
Priority date: 2020-07-29
Filing date: 2020-07-29
Publication date: 2020-11-17

Abstract

本申请公开了一种网络端口保护方法，所述网络端口保护方法包括利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；判断配置文件中是否包括所述网络端口进程对应的目标访问处理规则；若是，则从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；若否，则放行所述端口访问请求。本申请能够提高网络端口的安全性。本申请还公开了一种端口保护系统、一种电子设备及一种存储介质，具有以上有益效果。

Description

一种网络端口保护方法、系统、电子设备及存储介质

技术领域

本申请涉及计算机技术领域，特别涉及一种网络端口保护方法、系统、一种电子设备及一种存储介质。

背景技术

在计算机操作系统中，系统的网络端口是系统与外界进行交互的基础。网络端口是网络设备与操作系统通讯的入口，如果系统的网络端口被黑客盗用并执行恶意程序，则会给操作系统带来极高的威胁。相关技术中，端口控制系统会简单对某个网络端口进行关闭与打开，但是无法审计与追溯恶意程序的操作与入侵。

因此，如何提高网络端口的安全性是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种网络端口保护方法、系统、一种电子设备及一种存储介质，能够提高网络端口的安全性。

为解决上述技术问题，本申请提供一种网络端口保护方法，该网络端口保护方法包括：

利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；

判断配置文件中是否包括所述网络端口进程对应的目标访问处理规则；

若是，则从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；

若否，则放行所述端口访问请求。

可选的，根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作，包括：

根据所述目标访问处理规则生成所述网络端口进程的标准端口访问请求配置；

判断所述端口访问请求是否符合所述标准端口访问请求配置；

若是，则对所述端口访问请求执行放行操作；

若否，则对所述端口访问请求执行拦截操作。

可选的，所述标准端口访问请求配置包括标准读写规则、标准请求协议和标准进程路径。

可选的，在确定所述端口访问请求对应的网络端口进程之前，还包括：

判断系统的当前保护策略是否包括拦截策略；

若是，则执行确定所述端口访问请求对应的网络端口进程的操作；

若否，则放行所述端口访问请求。

可选的，还包括：

根据接收到的策略切换指令设置所述当前保护策略；其中，所述当前保护策略包括第一类策略和第二类策略，所述第一类策略包括拦截策略或不拦截策略，所述第二类策略包括记录策略或不记录策略。

可选的，在对所述端口访问请求执行拦截操作或放行操作之后，还包括：

若系统的所述当前保护策略包括记录策略，则更新所述网络端口进程的访问请求处理日志；

其中，所述访问请求处理日志包括端口读数据的进程、端口读数据的字节数、端口写数据的进程、端口写数据的字节数和请求处理结果中的任一项或任几项的组合，所述请求处理结果包括请求被拦截或请求被放行。

可选的，在对所述端口访问请求执行拦截操作之后，还包括：

对所有被拦截的端口访问请求执行恶意程序溯源操作，并根据恶意程序溯源结果确定恶意应用程序；

若接收到所述恶意应用程序的端口访问请求，则执行拦截操作并生成提示信息。

本申请还提供了一种网络端口保护系统，该系统包括：

端口确定模块，用于利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；

判断模块，用于判断配置文件中是否包括所述网络端口进程对应的目标访问处理规则；

第一处理模块，用于若配置文件中包括所述网络端口进程对应的目标访问处理规则，则从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；

第二处理模块，用于若配置文件中不包括所述网络端口进程对应的目标访问处理规则，则放行所述端口访问请求。

本申请还提供了一种存储介质，其上存储有计算机程序，所述计算机程序执行时实现上述网络端口保护方法执行的步骤。

本申请还提供了一种电子设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器调用所述存储器中的计算机程序时实现上述网络端口保护方法执行的步骤。

本申请提供了一种网络端口保护方法，包括：利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；判断配置文件中是否包括所述网络端口进程对应的目标访问处理规则；若是，则从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；若否，则放行所述端口访问请求。

本申请利用Linux安全模块的钩子函数获取网络端口接收的端口访问请求，根据端口访问请求确定被访问的网络端口进程。若配置文件中包括网络端口进程的目标访问处理规则，则根据目标访问处理规则对端口访问请求执行拦截操作或放行操作；若配置文件中不包括网络端口进程的目标访问处理规则，则直接放行端口访问请求。本申请能够基于读取的配置文件对端口访问操作进行处理，可以对异常的端口访问进行拦截，提高了网络端口的安全性。本申请同时还提供了一种端口保护系统、一种电子设备和一种存储街绘制，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例所提供的一种网络端口保护方法的流程图；

图2为本申请实施例所提供的一种网络端口保护装置的原理示意图；

图3为本申请实施例所提供的一种端口保护系统的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面请参见图1，图1为本申请实施例所提供的一种网络端口保护方法的流程图。

具体步骤可以包括：

S101：利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；

其中，其中本实施例可以应用于具有网络端口的电子设备，该电子设备可以为基于Linux系统的设备，可以利用Linux安全模块(Linux Secrity Module)的钩子函数获取各个网络端口接收的端口访问请求。Linux安全模块是一种轻量级访问控制框架吗，可以适合于多种访问控制，在它上面以内核可加载模块的形式实现，用户可以根据自己的需求选择合适的安全模块加载到内核上实现。

本步骤中所提到的端口访问请求对应的网络端口进程指接收该端口访问请求的网络端口对应的进程，本实施例不限定端口访问请求和网络端口进程的数量。

S102：判断配置文件中是否包括网络端口进程对应的目标访问处理规则；若是，则进入S103；若否，则进入S104；

其中，在本步骤之前可以存在读取配置文件的操作，进而根据读取结果判断配置文件中是否包括网络端口进程对应的目标访问处理规则。目标访问处理规则为关于网络端口进程的规则，若网络端口进程对应的网络端口接收到符合目标访问处理规则的端口访问请求，则允许端口访问请求通过网络端口；若网络端口进程对应的网络端口接收到不符合目标访问处理规则的端口访问请求，则不允许端口访问请求通过网络端口，即执行拦截操作。在本实施例中，先判断配置文件中是否包括目标访问处理规则，若存在网络端口进程对应的目标访问处理规则，则执行S103规则检测操作；若不存在网络端口进程对应的目标访问处理规则，则可以直接允许端口访问请求通过网络端口。

S103：从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；

其中，本步骤建立在已经确定配置文件中存在网络端口进程对应的目标访问处理规则的基础上，可以读取目标访问处理规则并判断端口访问请求是否符合目标访问处理规则。若端口访问请求符合目标访问处理规则，则对端口访问请求执行放行操作；若端口访问请求不符合目标访问处理规则，则对端口访问请求执行拦截操作。拦截操作指控制网络端口进程拒绝端口访问请求通过网络端口，放行操作指控制网络端口进程允许端口访问请求通过网络端口。

作为一种可行的实施方式，根据目标访问处理规则处理所述端口访问请求的过程可以包括：根据所述目标访问处理规则生成所述网络端口进程的标准端口访问请求配置；判断所述端口访问请求是否符合所述标准端口访问请求配置；若是，则对所述端口访问请求执行放行操作；若否，则对所述端口访问请求执行拦截操作。上述标准端口访问请求配置可以包括标准读写规则、标准请求协议和标准进程路径。若端口访问请求同时符合网络端口进程对应的标准读写规则、标准请求协议和标准进程路径，则判定端口访问请求符合标准端口访问请求配置；反之则端口访问请求不符合标准端口访问请求配置。

作为一种可行的实施方式，在对所述端口访问请求执行拦截操作之后，还可以对所有被拦截的端口访问请求执行恶意程序溯源操作，并根据恶意程序溯源结果确定恶意应用程序；若接收到所述恶意应用程序的端口访问请求，则执行拦截操作并生成提示信息。

S104：放行所述端口访问请求。

本实施例利用Linux安全模块的钩子函数获取网络端口接收的端口访问请求，根据端口访问请求确定被访问的网络端口进程。若配置文件中包括网络端口进程的目标访问处理规则，则根据目标访问处理规则对端口访问请求执行拦截操作或放行操作；若配置文件中不包括网络端口进程的目标访问处理规则，则直接放行端口访问请求。本实施例能够基于读取的配置文件对端口访问操作进行处理，可以对异常的端口访问进行拦截，提高了网络端口的安全性。通过本实施例监听方法可以有效的提升端口的安全性，并可以根据自定义的规则对端口的访问控制进行追溯和审计。本实施例可以实现对端口对应的进程的单独控制，提高网络端口控制的可靠性。

通过本实施例对端口的访问控制与保护，能够在对端口进行开放关闭等基础控制的同时，对端口的绑定的应用进程进行管理，对端口的访问数据进行统计以及对端口的行为进行审计，从而有效的保护操作系统端口的安全性与可靠性，还可以为操作系统日常维护提供数据和依据。

作为对于图1对应实施例的进一步介绍，在S101确定所述端口访问请求对应的网络端口进程之前，还可以先判断系统的当前保护策略是否包括拦截策略；若是，则执行确定所述端口访问请求对应的网络端口进程的操作；若否，则放行所述端口访问请求。

当前保护策略指网络端口进程所在系统当前的端口保护策略，若当前保护策略包括拦截策略，则可以执行图1对应实施例中S101、S102和S103，或S101、S102和104的相关操作，若当前保护策略包括不拦截策略则可以直接放行端口访问请求(即允许端口访问请求通过网络端口)。

进一步的，本实施例可以根据接收到的策略切换指令设置所述当前保护策略；其中，所述当前保护策略包括第一类策略和第二类策略，所述第一类策略包括拦截策略或不拦截策略，所述第二类策略包括记录策略或不记录策略。因此本实施例中的当前保护策略可以存在以下四种情况：(1)拦截且记录；(2)拦截但不记录；(3)不拦截但记录；(4)不拦截且不记录。本实施例可以在前两种情况下继续执行S101的相关操作。

作为一种可行的实施方式，在对所述端口访问请求执行拦截操作或放行操作之后，若系统的所述当前保护策略包括记录策略，则更新所述网络端口进程的访问请求处理日志；其中，所述访问请求处理日志包括端口读数据的进程、端口读数据的字节数、端口写数据的进程、端口写数据的字节数和请求处理结果中的任一项或任几项的组合，所述请求处理结果包括请求被拦截或请求被放行。

下面通过在实际应用中的实施例说明上述实施例描述的流程。请参见图2，图2为本申请实施例所提供的一种网络端口保护装置的原理示意图，本是私立所提供的端口保护装置可以包括：监听装置、规则解析装置、记录装置和配置装置。在操作系统启动时进入监听装置，监听装置会挂载Linux安全模块的钩子函数以便对将所有网络端口的访问数据进行监听，无关的数据则进行过滤。规则解析装置通过读取配置文件配置的端口，将配置文件的配置解析为判断是否允许端口访问请求通过的规则。当监听装置记录到网络端口的访问时，首先记录装置会对端口的访问进行记录，并且根据规则解析装置解析的规则，对本次端口的访问进行控制。如果该端口已经被配置文件配置，则通过访问的规则配置进行拦截与放行。如果该端口没有配置，则默认放行该端口。

本实施例中，若端口的访问如果没有进行过配置则默认不受控制，未配置的端口都可以双向访问。端口配置可以自定义的记录的通讯协议，通过通讯协议进行放行与拦截。本实施例可以通过配置装置来配置本方案的工作模式，工作模式分为：拦截不记录,拦截并记录，记录不拦截，不记录不拦截四种。记录装置可以对系统的访问情况进行统计，可以通过配置修改记录与统计的维度，支持的统计维度包括：按分钟统计，按小时统计，按天统计。本实施例的具体实施过程如下：

步骤1：当操作系统启动时，监听装置通过实现Linux安全模块的钩子函数实现对端口的访问情况的监听。

默认情况下，监听装置的工作方式有以下两种：方式(1)如果选择的模式需要记录或者拦截，监听装置会默认将所有的端口访问请求发送至规则解析装置与记录装置。由规则解析装置与记录装置对访问进行处理。方式(2)如果选择的模式无需要记录或者拦截,监听装置会默认将所有的端口访问操作进行放行，不做任何处理。

其中，配置装置可以读取操作系统的配置信息对本方案进行配置，也可以通过用户的操作对本方案的配置进行修改。通过配置文件配置的方式如下：在操作系统启动时，本方案会读取/etc/port_ctl.conf中的模式配置模块。支持配置的模式有四种，分别为：拦截不记录,拦截并记录，记录不拦截，不记录不拦截四种。对应的配置为:FilterOnly,FilterRecoder,RecoderOnly,None四种。例如配置只记录不拦截的配置为mode:None。通过系统命令进行配置的方式如下：提供两个系统命令，可以在操作系统运行时，实时修改本方案的配置模式。命令有两个，分别为：portfilter[–s 1]，portrecoder[–s 1]。通过-s参数可以分别修改本方案中规则解析装置与记录装置的工作方式。配置其开启与关闭。系统命令配置为本次启动生效，当系统重启后配置依旧遵循配置文件的配置方案。

步骤2：规则解析装置读取默认的配置文件/etc/port_ctl.conf，通过该配置文件配置的规则进行解析。

配置文件配置的规则可以包括以下几点，规则(1)将配置文件中没有做配置的网络端口视为无需进行访问控制的端口。当监听装置监听到无需访问控制的端口访问时，不做任何操作，对该端口的访问进行放行。规则(2)若配置文件中存在该网络端口的规则时，在/etc/port_ctl.conf添加一条该端口的记录，记录方式为port:{[读写规则].[协议].[绑定进程].[记录方式]}。例如，若需要对80端口进行配置时，配置文件/etc/port_ctl.conf的配置方式为:80:{rw.tcp./usr/bin/nginx,/usr/bin/httpd.d}。规则(3)配置的网络端口可以为端口号或别名。例如80端口在操作系统中的别名为http端口。所以http:{rw.tcp./usr/bin/nginx,/usr/bin/httpd.d}与80:{rw.tcp./usr/bin/nginx,/usr/bin/httpd.d}是等效的。规则(4)协议的配置支持TCP/UDP协议。

步骤3：如果配置文件中配置有该网络端口的规则，则对该网络端口的规则对端口访问请求进行控制(拦截或放行)。

例如端口访问请求对应的进程只配置了读取权限，则此进程无法将数据写入至该端口。本实施例需要端口访问请求绑定的进程为严格的路径匹配，如果绑定至该端口的进程的路径不是完全匹配，则认为进程不符合规则而被过滤。

步骤4：记录装置根据不同的端口配置规则，对端口访问请求的处理情况进行数据统计与记录。

记录装置记录的数据可以具有以下特点：特点(1)在一个统计维度下，记录装置会生成一条统计数据。统计的维度包括分钟(M),小时(H)和天(D)。特点(2)在一个统计维度下，记录下该统计维度区间内所有进程对该端口的访问，其中可以包括允许的进程与不允许的进程。

作为一种可行的实施方式，记录装置会生成记录日志，默认的记录日志的维持数量为60个维度。例如配置的维度是天，则会维持60天内的日志，超期自动删除。记录装置记录的数据有:端口读数据的进程，读数据的字节数，写数据的进程，写数据的字节数，操作(放行或拦截)。记录装置的记录格式可以支持配置修改，默认的配置为[日期时间][端口读数据的进程][读数据的字节数][写数据的进程][写数据的字节数][操作]。通过修改该配置，可以修改记录日志的方式。

本实施例在操作系统初始化时进入监听装置，实现的钩子函数会对操作系统端口数据的访问。根据配置装置读取的配置信息对已经配置的端口进行过滤与放行。规则解析装置通过配置装置的配置规则进行解析，最终形成放行与拦截指令。记录装置通过配置装置配置的记录维度来进行记录，生成日志。配置装置可以通过命令修改配置，修改后会将修改后的配置传递至规则解析装置与记录装置，从而实现修改配置。本实施例使得网络端口可以得以进行保护，为网络端口的访问实现了最小权限原则的管理，从而提高了端口的安全性，进而提高了系统的安全性。

请参见图3，图3为本申请实施例所提供的一种端口保护系统的结构示意图；

该系统可以包括：

端口确定模块100，用于利用Linux安全模块的钩子函数获取端口访问请求，确定所述端口访问请求对应的网络端口进程；

判断模块200，用于判断配置文件中是否包括所述网络端口进程对应的目标访问处理规则；

第一处理模块300，用于若配置文件中包括所述网络端口进程对应的目标访问处理规则，则从所述配置文件中读取所述目标访问处理规则，并根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作；

第二处理模块400，用于若配置文件中不包括所述网络端口进程对应的目标访问处理规则，则放行所述端口访问请求。

本实施例利用Linux安全模块的钩子函数获取网络端口接收的端口访问请求，根据端口访问请求确定被访问的网络端口进程。若配置文件中包括网络端口进程的目标访问处理规则，则根据目标访问处理规则对端口访问请求执行拦截操作或放行操作；若配置文件中不包括网络端口进程的目标访问处理规则，则直接放行端口访问请求。本实施例能够基于读取的配置文件对端口访问操作进行处理，可以对异常的端口访问进行拦截，提高了网络端口的安全性。

进一步的，第一处理模块300包括：

标准配置生成单元，用于根据所述目标访问处理规则生成所述网络端口进程的标准端口访问请求配置；

配置判断单元，用于判断所述端口访问请求是否符合所述标准端口访问请求配置；若是，则对所述端口访问请求执行放行操作；若否，则对所述端口访问请求执行拦截操作。

进一步的，所述标准端口访问请求配置包括标准读写规则、标准请求协议和标准进程路径。

进一步的，还包括：

策略判断模块，用于在确定所述端口访问请求对应的网络端口进程之前，判断系统的当前保护策略是否包括拦截策略；若是，则执行确定所述端口访问请求对应的网络端口进程的操作；若否，则放行所述端口访问请求。

进一步的，还包括：

策略设置模块，用于根据接收到的策略切换指令设置所述当前保护策略；其中，所述当前保护策略包括第一类策略和第二类策略，所述第一类策略包括拦截策略或不拦截策略，所述第二类策略包括记录策略或不记录策略。

进一步的，还包括：

记录模块，用于在对所述端口访问请求执行拦截操作或放行操作之后，若系统的所述当前保护策略包括记录策略，则更新所述网络端口进程的访问请求处理日志；

进一步的，还包括：

溯源模块，用于在对所述端口访问请求执行拦截操作之后，对所有被拦截的端口访问请求执行恶意程序溯源操作，并根据恶意程序溯源结果确定恶意应用程序；

异常处理模块，用于若接收到所述恶意应用程序的端口访问请求，则执行拦截操作并生成提示信息。

由于系统部分的实施例与方法部分的实施例相互对应，因此系统部分的实施例请参见方法部分的实施例的描述，这里暂不赘述。

本申请还提供了一种存储介质，其上存有计算机程序，该计算机程序被执行时可以实现上述实施例所提供的步骤。该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本申请还提供了一种电子设备，可以包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时，可以实现上述实施例所提供的步骤。当然所述电子设备还可以包括各种网络接口，电源等组件。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的状况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种网络端口保护方法，其特征在于，包括：

若否，则放行所述端口访问请求。

2.根据权利要求1所述网络端口保护方法，其特征在于，根据所述目标访问处理规则对所述端口访问请求执行拦截操作或放行操作，包括：

若是，则对所述端口访问请求执行放行操作；

若否，则对所述端口访问请求执行拦截操作。

3.根据权利要求2所述网络端口保护方法，其特征在于，所述标准端口访问请求配置包括标准读写规则、标准请求协议和标准进程路径。

4.根据权利要求1所述网络端口保护方法，其特征在于，在确定所述端口访问请求对应的网络端口进程之前，还包括：

判断系统的当前保护策略是否包括拦截策略；

若否，则放行所述端口访问请求。

5.根据权利要求4所述网络端口保护方法，其特征在于，还包括：

6.根据权利要求5所述网络端口保护方法，其特征在于，在对所述端口访问请求执行拦截操作或放行操作之后，还包括：

7.根据权利要求1所述网络端口保护方法，其特征在于，在对所述端口访问请求执行拦截操作之后，还包括：

8.一种网络端口保护系统，其特征在于，包括：

9.一种电子设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1至7任一项所述网络端口保护方法的步骤。

10.一种存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如上权利要求1至7任一项所述网络端口保护方法的步骤。