CN112118249B - 基于日志和防火墙的安全防护方法及装置 - Google Patents

Abstract

本申请实施例提供一种基于日志和防火墙的安全防护方法及装置，当用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝域名访问请求，并对域名访问请求的关联访问行为进行防火墙配置。并且，当用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将域名访问请求转发至对应的域名服务器，并将域名访问请求对应的监控日志信息写入预设日志数据库。在这个过程中，每隔预设监控周期从预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新预设防护名单。如此，能够基于监控日志信息自适应性对预设防护名单进行更新，提高安全防护效果。

Description

基于日志和防火墙的安全防护方法及装置

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种基于日志和防火墙的安全防护方法及装置。

背景技术

随着快递业务的飞速发展，智能快递柜是随着快递业务不断发展新生的事物。智能快递柜的功能主要是协助快递员收寄快递，面对的用户是广大的快递员和收件人。作为24小时无人值守的快递暂存柜，通过物联卡与服务端交互，作为物联网技术在现代物流行业中的应用，智能快递柜是电子商务末端物流最后一公里最有效的解决方法，提高了快递员的派送效率，降低了派送成本，保障了用户的隐私和安全，逐步得到广泛认可和推广。

智能快递柜系统作为快递终端的服务端，提供了用户认证，配置，调度，监控，操作日志等数据服务，作为24小时持续提供服务并高频使用的系统，对于系统安全性提出了比较高的要求。

目前大部分安全策略都是通过设定单一的预设防护名单进行安全防护，无法自适应性对预设防护名单进行更新，导致安全防护效果不强。

发明内容

基于现有设计的不足，本申请提供一种基于日志和防火墙的安全防护方法及装置，能够基于监控日志信息自适应性对预设防护名单进行更新，提高安全防护效果。

根据本申请的第一方面，提供一种基于日志和防火墙的安全防护方法，应用于服务器，所述方法包括：

接收用户终端发送的域名访问请求，并判断所述域名访问请求中所述用户终端的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配；

当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝所述域名访问请求，并根据预先配置的防火墙对所述域名访问请求的关联访问行为进行防火墙配置；

当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将所述域名访问请求转发至对应的域名服务器，并将所述域名访问请求对应的监控日志信息写入预设日志数据库；

每隔预设监控周期从所述预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新所述预设防护名单。

在第一方面的一种可能的实施方式中，所述根据每个标识地址信息对应的监控日志信息更新所述预设防护名单的步骤，包括：

判断该标识地址信息是否在预设时间段的访问请求超过预设次数，当超过预设次数时，将该标识地址信息添加到所述预设防护名单内；

根据该标识地址信息在所述预设防护名单内的历史添加次数配置该标识地址信息在所述预设防护名单内的存储时间。

在第一方面的一种可能的实施方式中，所述根据该标识地址信息在所述预设防护名单内的历史添加次数配置该标识地址信息在所述预设防护名单内的存储时间的步骤，包括：

获取该标识地址信息在所述预设防护名单内的历史添加次数所对应的目标预设存储时间；

将该标识地址信息在所述预设防护名单内的存储时间配置为所述目标预设存储时间。

在第一方面的一种可能的实施方式中，所述根据每个标识地址信息对应的监控日志信息更新所述预设防护名单的步骤，包括：

获取每个标识地址信息对应的监控日志信息中每个监控日志功能区域中第一防护监控程序的防护监控进程；

通过预设特征识别网络对每个监控日志功能区域进行特征识别，得到每个监控日志功能区域的特征识别结果，所述特征识别结果用于表示所述监控日志功能区域中标记的异常特征区域；

其中，所述第一防护监控程序需要识别的防护解析数据字段中至少存在与第二防护监控程序需要识别的第一基础防护解析数据字段不同的防护解析数据字段；所述预设特征识别网络是在用于执行所述第二防护监控程序的基础特征识别网络的基础上，对所述基础特征识别网络能够识别的第一场景防护解析数据字段进行区分学习得到；

根据所述预设特征识别网络能够识别的防护解析数据字段与所述第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将所述预设特征识别网络识别出的防护解析数据字段进行映射处理，得到所述第一防护监控程序的目标参考数据字段；

从所述每个监控日志功能区域的特征识别结果中确定是否存在所述目标参考数据字段对应的目标异常特征区域，当存在时，将该监控日志功能区域对应的标识地址信息添加到所述预设防护名单。

在第一方面的一种可能的实施方式中，所述基础特征识别网络能够识别的防护解析数据字段包括第一场景防护解析数据字段以及至少一种所述第一基础防护解析数据字段，所述预设特征识别网络能够识别的防护解析数据字段包括第二场景防护解析数据字段、至少一种所述第一基础防护解析数据字段、以及至少一种第二基础防护解析数据字段，所述第一防护监控程序需要识别的防护解析数据字段包括第三场景防护解析数据字段、以及至少一种第三基础防护解析数据字段；

所述根据所述预设特征识别网络能够识别的防护解析数据字段与所述第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将所述预设特征识别网络识别出的防护解析数据字段进行映射处理，得到所述第一防护监控程序的目标参考数据字段，包括：

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三基础防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系；

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三场景防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段是所述第二场景防护解析数据字段。

在第一方面的一种可能的实施方式中，在通过预设特征识别网络对每个监控日志功能区域进行特征识别之前，所述方法还包括：

在所述基础特征识别网络中的分类单元中增加防护监控节点，其中，所述防护监控节点用于识别所述第一防护监控程序需要识别、且所述基础特征识别网络无法识别的第二基础防护解析数据字段，得到初始化的所述预设特征识别网络；

获取用于训练所述基础特征识别网络的第一参考训练对象序列以及用于训练所述预设特征识别网络的第二参考训练对象序列；

通过所述第二参考训练对象序列，生成初始化的所述预设特征识别网络的分类单元中用于识别所述第二基础防护解析数据字段的防护监控节点的初始参数；

对所述第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理，并将标注处理结果应用于所述第二参考训练对象序列，得到更新后的第二参考训练对象序列；

基于所述更新后的第二参考训练对象序列，对所述预设特征识别网络进行迭代训练，以在初始化的所述预设特征识别网络的基础上得到训练后的预设特征识别网络。

在第一方面的一种可能的实施方式中，所述对所述第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理的步骤，包括：

针对所述第一参考训练对象序列中所述第一场景防护解析数据字段的每个参考训练对象，将所述第一场景防护解析数据字段的参考训练对象在所述预设特征识别网络中进行第一方向训练，得到所述第一场景防护解析数据字段的参考训练对象属于每个所述第二基础防护解析数据字段的置信度；

针对所述第一场景防护解析数据字段的每个参考训练对象，确定该参考训练对象属于每个所述第二基础防护解析数据字段的置信度中的最大置信度；

当所述最大置信度大于模糊字段置信度阈值时，将所述第一场景防护解析数据字段的参考训练对象确定为对应所述最大置信度的第二基础防护解析数据字段的模糊字段；

针对每个所述模糊字段，将所述模糊字段中属于所述第二基础防护解析数据字段的参考训练对象标注为所述第二基础防护解析数据字段的参考训练对象；

将所述模糊字段中不属于所述第二基础防护解析数据字段的参考训练对象标注为第二场景防护解析数据字段的参考训练对象。

根据本申请的第二方面，提供一种基于日志和防火墙的安全防护装置，应用于服务器，所述装置包括：

判断模块，用于接收用户终端发送的域名访问请求，并判断所述域名访问请求中所述用户终端的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配；

配置模块，用于当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝所述域名访问请求，并根据预先配置的防火墙对所述域名访问请求的关联访问行为进行防火墙配置；

写入模块，用于当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将所述域名访问请求转发至对应的域名服务器，并将所述域名访问请求对应的监控日志信息写入预设日志数据库；

更新模块，用于每隔预设监控周期从所述预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新所述预设防护名单。

基于上述任一方面，本申请提供的实施方式中，当用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝域名访问请求，并对域名访问请求的关联访问行为进行防火墙配置。并且，当用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将域名访问请求转发至对应的域名服务器，并将域名访问请求对应的监控日志信息写入预设日志数据库。在这个过程中，每隔预设监控周期从预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新预设防护名单。如此，能够基于监控日志信息自适应性对预设防护名单进行更新，提高安全防护效果。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本申请实施例所提供的基于日志和防火墙的安全防护系统的应用场景示意图；

图2示出了本申请实施例所提供的基于日志和防火墙的安全防护方法的流程示意图；

图3示出了本申请实施例所提供的基于日志和防火墙的安全防护装置的功能模块示意图；

图4示出了本申请实施例所提供的用于执行上述的基于日志和防火墙的安全防护方法的服务器的组件结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，应当理解，本申请中附图仅起到说明和描述的目的，并不用于限定本申请的保护范围。另外，应当理解，示意性的附图并未按实物比例绘制。本申请中使用的流程图示出了根据本申请实施例的一些实施例实现的操作。应该理解，流程图的操作可以不按顺序实现，没有逻辑的上下文关系的步骤可以反转顺序或者同时实施。此外，本领域技术人员在本申请内容的指引下，可以向流程图添加一个或多个其它操作，也可以从流程图中移除一个或多个操作。

图1示出了本申请实施例所提供的基于日志和防火墙的安全防护系统10的应用场景示意图。本实施例中，基于日志和防火墙的安全防护系统10可以包括服务器100以及与服务器100通信连接的用户终端200。

在其它可行的实施例中，该基于日志和防火墙的安全防护系统10也可以仅包括图1所示组成部分的其中一部分或者还可以包括其它的组成部分。

图2示出了本申请实施例提供的基于日志和防火墙的安全防护方法的流程示意图，本实施例中，该基于日志和防火墙的安全防护方法可以由图1中所示的服务器100执行。应当理解，在其它实施例中，本实施例的基于日志和防火墙的安全防护方法其中部分步骤的顺序可以根据实际需要相互交换，或者其中的部分步骤也可以省略或删除。该基于日志和防火墙的安全防护方法的详细步骤介绍如下。

步骤S110，接收用户终端200发送的域名访问请求，并判断域名访问请求中用户终端200的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配。

步骤S120，当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝域名访问请求，并根据预先配置的防火墙对域名访问请求的关联访问行为进行防火墙配置。

步骤S130，当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将域名访问请求转发至对应的域名服务器，并将域名访问请求对应的监控日志信息写入预设日志数据库。

步骤S140，每隔预设监控周期从预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新预设防护名单。

本实施例中，当用户终端200访问服务器200时，首先会通过服务器200的负载均衡分配服务器，负载均衡分配服务器可以获取用户终端200的标识地址信息并在预设防护名单中检索是否存在，当存在时直接拒绝访问，当不存在是则会转发至后端应用的域名服务器。

并且，在上述过程中，负载均衡分配服务器可以将域名访问请求对应的监控日志信息写入预设日志数据库，其中监控日志信息可以包括，但不限于，日期时间、请求域名、请求URL、客户端外网IP、请求完成用时、客户端IP所在省份、客户端IP所在城市、请求状态等，但不限于此。

基于上述设计，当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝域名访问请求，并对域名访问请求的关联访问行为进行防火墙配置。并且，当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将域名访问请求转发至对应的域名服务器，并将域名访问请求对应的监控日志信息写入预设日志数据库。在这个过程中，每隔预设监控周期从预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新预设防护名单。如此，能够基于监控日志信息自适应性对预设防护名单进行更新，提高安全防护效果。

在一种可能的实施方式中，在步骤S140中，为了进一步实现安全防护，提升安全性和抗攻击能力，步骤S140可以通过以下示例性的子步骤实现，详细描述如下。

子步骤S141，判断该标识地址信息是否在预设时间段的访问请求超过预设次数，当超过预设次数时，将该标识地址信息添加到预设防护名单内。

子步骤S142，根据该标识地址信息在预设防护名单内的历史添加次数配置该标识地址信息在预设防护名单内的存储时间。

例如，可以获取该标识地址信息在预设防护名单内的历史添加次数所对应的目标预设存储时间，然后将该标识地址信息在预设防护名单内的存储时间配置为目标预设存储时间。

比如，该标识地址信息第一次加入预设防护名单时，生效5分钟，5分钟后自动清理该标识地址信息。又比如，该标识地址信息第二次加入预设防护名单时，生效30分钟，30分钟后自动清理该标识地址信息。再比如，该标识地址信息第三次加入预设防护名单后，那么则长期生效。

可以理解，在实际实施过程中，本领域技术人员可以基于实际设计来灵活配置历史添加次数所对应的目标预设存储时间，以上仅为示例，不应被理解为对本申请实施例的限制。

在一种可能的实施方式中，仍旧针对步骤S140，为了进一步提高安全防护的效果，提高特征识别的准确性，步骤S140还可以通过以下示例性的子步骤实现，详细描述如下。

子步骤S143，获取每个标识地址信息对应的监控日志信息中每个监控日志功能区域中第一防护监控程序的防护监控进程。

子步骤S144，通过预设特征识别网络对每个监控日志功能区域进行特征识别，得到每个监控日志功能区域的特征识别结果，特征识别结果用于表示监控日志功能区域中标记的异常特征区域。

示例性地，第一防护监控程序需要识别的防护解析数据字段中至少存在与第二防护监控程序需要识别的第一基础防护解析数据字段不同的防护解析数据字段。

其中，预设特征识别网络是在用于执行第二防护监控程序的基础特征识别网络的基础上，对基础特征识别网络能够识别的第一场景防护解析数据字段进行区分学习得到。

子步骤S145，根据预设特征识别网络能够识别的防护解析数据字段与第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将预设特征识别网络识别出的防护解析数据字段进行映射处理，得到第一防护监控程序的目标参考数据字段。

子步骤S146，从每个监控日志功能区域的特征识别结果中确定是否存在目标参考数据字段对应的目标异常特征区域，当存在时，将该监控日志功能区域对应的标识地址信息添加到预设防护名单。

在一种可能的实施方式中，基础特征识别网络能够识别的防护解析数据字段包括第一场景防护解析数据字段以及至少一种第一基础防护解析数据字段，预设特征识别网络能够识别的防护解析数据字段包括第二场景防护解析数据字段、至少一种第一基础防护解析数据字段、以及至少一种第二基础防护解析数据字段，第一防护监控程序需要识别的防护解析数据字段包括第三场景防护解析数据字段、以及至少一种第三基础防护解析数据字段。

在此基础上，对于子步骤S145而言，当预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成每个监控日志功能区域属于第三基础防护解析数据字段的目标参考数据字段：

预设特征识别网络识别出的防护解析数据字段为任一种第二基础防护解析数据字段、且与第三基础防护解析数据字段具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段为任一种第一基础防护解析数据字段、且与第三基础防护解析数据字段具有关联关系。

进一步地，当预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成每个监控日志功能区域属于第三场景防护解析数据字段的目标参考数据字段：

预设特征识别网络识别出的防护解析数据字段为任一种第二基础防护解析数据字段、且与第三基础防护解析数据字段不具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段为任一种第一基础防护解析数据字段、且与第三基础防护解析数据字段不具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段是第二场景防护解析数据字段。

在一种可能的实施方式中，在子步骤S144之前，还可以包括预设特征识别网络的训练过程中，详细描述如下。

首先，可以在基础特征识别网络中的分类单元中增加防护监控节点。例如，防护监控节点用于识别第一防护监控程序需要识别、且基础特征识别网络无法识别的第二基础防护解析数据字段，得到初始化的预设特征识别网络。

然后，获取用于训练基础特征识别网络的第一参考训练对象序列以及用于训练预设特征识别网络的第二参考训练对象序列。

接着，通过第二参考训练对象序列，生成初始化的预设特征识别网络的分类单元中用于识别第二基础防护解析数据字段的防护监控节点的初始参数，然后对第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理，并将标注处理结果应用于第二参考训练对象序列，得到更新后的第二参考训练对象序列。

由此，可以基于更新后的第二参考训练对象序列，对预设特征识别网络进行迭代训练，以在初始化的预设特征识别网络的基础上得到训练后的预设特征识别网络。

在一种可能的实施方式中，在对第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理的过程中，可以通过以下示例性的实施方式来实现，描述如下。

首先，针对第一参考训练对象序列中第一场景防护解析数据字段的每个参考训练对象，将第一场景防护解析数据字段的参考训练对象在预设特征识别网络中进行第一方向训练，得到第一场景防护解析数据字段的参考训练对象属于每个第二基础防护解析数据字段的置信度。

然后，针对第一场景防护解析数据字段的每个参考训练对象，确定该参考训练对象属于每个第二基础防护解析数据字段的置信度中的最大置信度。

当最大置信度大于模糊字段置信度阈值时，将第一场景防护解析数据字段的参考训练对象确定为对应最大置信度的第二基础防护解析数据字段的模糊字段。并且，针对每个模糊字段，将模糊字段中属于第二基础防护解析数据字段的参考训练对象标注为第二基础防护解析数据字段的参考训练对象。这样，即可将模糊字段中不属于第二基础防护解析数据字段的参考训练对象标注为第二场景防护解析数据字段的参考训练对象。

基于同一发明构思，请参阅图3，示出了本申请实施例提供的基于用户终端200的业务测试装置110的功能模块示意图，本实施例可以根据上述方法实施例对基于用户终端200的业务测试装置110进行功能模块的划分。例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。比如，在采用对应各个功能划分各个功能模块的情况下，图3示出的基于用户终端200的业务测试装置110只是一种装置示意图。其中，基于用户终端200的业务测试装置110可以包括判断模块111、配置模块112、写入模块113以及更新模块114，下面分别对该基于用户终端200的业务测试装置110的各个功能模块的功能进行详细阐述。

判断模块111，用于接收用户终端200发送的域名访问请求，并判断域名访问请求中用户终端200的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配。可以理解，该判断模块111可以用于执行上述步骤S110，关于该判断模块111的详细实现方式可以参照上述对步骤S110有关的内容。

配置模块112，用于当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝域名访问请求，并根据预先配置的防火墙对域名访问请求的关联访问行为进行防火墙配置。可以理解，该配置模块112可以用于执行上述步骤S120，关于该配置模块112的详细实现方式可以参照上述对步骤S120有关的内容。

写入模块113，用于当用户终端200的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将域名访问请求转发至对应的域名服务器，并将域名访问请求对应的监控日志信息写入预设日志数据库。可以理解，该写入模块113可以用于执行上述步骤S130，关于该写入模块113的详细实现方式可以参照上述对步骤S130有关的内容。

更新模块114，用于每隔预设监控周期从预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新预设防护名单。可以理解，该更新模块114可以用于执行上述步骤S140，关于该更新模块114的详细实现方式可以参照上述对步骤S140有关的内容。

在一种可能的实施方式中，更新模块114具体用于：

获取每个标识地址信息对应的监控日志信息中每个监控日志功能区域中第一防护监控程序的防护监控进程；

通过预设特征识别网络对每个监控日志功能区域进行特征识别，得到每个监控日志功能区域的特征识别结果，特征识别结果用于表示监控日志功能区域中标记的异常特征区域；

其中，第一防护监控程序需要识别的防护解析数据字段中至少存在与第二防护监控程序需要识别的第一基础防护解析数据字段不同的防护解析数据字段；预设特征识别网络是在用于执行第二防护监控程序的基础特征识别网络的基础上，对基础特征识别网络能够识别的第一场景防护解析数据字段进行区分学习得到；

根据预设特征识别网络能够识别的防护解析数据字段与第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将预设特征识别网络识别出的防护解析数据字段进行映射处理，得到第一防护监控程序的目标参考数据字段；

从每个监控日志功能区域的特征识别结果中确定是否存在目标参考数据字段对应的目标异常特征区域，当存在时，将该监控日志功能区域对应的标识地址信息添加到预设防护名单。

在一种可能的实施方式中，基础特征识别网络能够识别的防护解析数据字段包括第一场景防护解析数据字段以及至少一种第一基础防护解析数据字段，预设特征识别网络能够识别的防护解析数据字段包括第二场景防护解析数据字段、至少一种第一基础防护解析数据字段、以及至少一种第二基础防护解析数据字段，第一防护监控程序需要识别的防护解析数据字段包括第三场景防护解析数据字段、以及至少一种第三基础防护解析数据字段。

更新模块114具体用于：

当预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成每个监控日志功能区域属于第三基础防护解析数据字段的目标参考数据字段：

预设特征识别网络识别出的防护解析数据字段为任一种第二基础防护解析数据字段、且与第三基础防护解析数据字段具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段为任一种第一基础防护解析数据字段、且与第三基础防护解析数据字段具有关联关系；

当预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成每个监控日志功能区域属于第三场景防护解析数据字段的目标参考数据字段：

预设特征识别网络识别出的防护解析数据字段为任一种第二基础防护解析数据字段、且与第三基础防护解析数据字段不具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段为任一种第一基础防护解析数据字段、且与第三基础防护解析数据字段不具有关联关系，或者，预设特征识别网络识别出的防护解析数据字段是第二场景防护解析数据字段。

基于同一发明构思，请参阅图4，示出了本申请实施例提供的用于执行上述基于日志和防火墙的安全防护方法的服务器100的结构示意框图，该服务器100可以包括基于日志和防火墙的安全防护装置110、机器可读存储介质120和处理器130。

机器可读存储介质120用于存储执行本申请方案的机器可执行指令。处理器130用于执行机器可读存储介质120中存储的机器可执行指令，以实现前述方法实施例提供的基于日志和防火墙的安全防护方法。

基于日志和防火墙的安全防护装置110可以包括存储在机器可读存储介质120的软件功能模块（例如图3中所示的判断模块111、配置模块112、写入模块113以及更新模块114），当处理器130执行基于日志和防火墙的安全防护装置110中的软件功能模块时，以实现前述方法实施例提供的基于日志和防火墙的安全防护方法。

由于本申请实施例提供的服务器100是上述服务器100执行的方法实施例的另一种实现形式，且服务器100可用于执行上述方法实施例提供的基于日志和防火墙的安全防护方法，因此其所能获得的技术效果可参考上述方法实施例，在此不再赘述。

以上所描述的实施例仅仅是本申请的一部分实施例，而不是全部的实施例。通常在附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，在附图中提供的本申请的实施例的详细描述并非旨在限制本申请的保护范围，而仅仅是表示本申请的选定实施例。因此，本申请的保护范围应以权利要求的保护范围为准。此外，基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下可获得的所有其它实施例，都应属于本申请保护的范围。

Claims (8)

1.一种基于日志和防火墙的安全防护方法，其特征在于，应用于服务器，所述方法包括：

接收用户终端发送的域名访问请求，并判断所述域名访问请求中所述用户终端的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配；

当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝所述域名访问请求，并根据预先配置的防火墙对所述域名访问请求的关联访问行为进行防火墙配置；

当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将所述域名访问请求转发至对应的域名服务器，并将所述域名访问请求对应的监控日志信息写入预设日志数据库；

每隔预设监控周期从所述预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新所述预设防护名单；

其中，所述根据每个标识地址信息对应的监控日志信息更新所述预设防护名单的步骤，包括：获取每个标识地址信息对应的监控日志信息中每个监控日志功能区域中第一防护监控程序的防护监控进程；

通过预设特征识别网络对每个监控日志功能区域进行特征识别，得到每个监控日志功能区域的特征识别结果，所述特征识别结果用于表示所述监控日志功能区域中标记的异常特征区域；其中，所述第一防护监控程序需要识别的防护解析数据字段中至少存在与第二防护监控程序需要识别的第一基础防护解析数据字段不同的防护解析数据字段；所述预设特征识别网络是在用于执行所述第二防护监控程序的基础特征识别网络的基础上，对所述基础特征识别网络能够识别的第一场景防护解析数据字段进行区分学习得到；

根据所述预设特征识别网络能够识别的防护解析数据字段与所述第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将所述预设特征识别网络识别出的防护解析数据字段进行映射处理，得到所述第一防护监控程序的目标参考数据字段；

从所述每个监控日志功能区域的特征识别结果中确定是否存在所述目标参考数据字段对应的目标异常特征区域，当存在时，将该监控日志功能区域对应的标识地址信息添加到所述预设防护名单。

2.根据权利要求1所述的基于日志和防火墙的安全防护方法，其特征在于，所述根据每个标识地址信息对应的监控日志信息更新所述预设防护名单的步骤，包括：

判断该标识地址信息是否在预设时间段的访问请求超过预设次数，当超过预设次数时，将该标识地址信息添加到所述预设防护名单内；

根据该标识地址信息在所述预设防护名单内的历史添加次数配置该标识地址信息在所述预设防护名单内的存储时间。

3.根据权利要求2所述的基于日志和防火墙的安全防护方法，其特征在于，所述根据该标识地址信息在所述预设防护名单内的历史添加次数配置该标识地址信息在所述预设防护名单内的存储时间的步骤，包括：

获取该标识地址信息在所述预设防护名单内的历史添加次数所对应的目标预设存储时间；

将该标识地址信息在所述预设防护名单内的存储时间配置为所述目标预设存储时间。

4.根据权利要求1所述的基于日志和防火墙的安全防护方法，其特征在于，所述基础特征识别网络能够识别的防护解析数据字段包括第一场景防护解析数据字段以及至少一种所述第一基础防护解析数据字段，所述预设特征识别网络能够识别的防护解析数据字段包括第二场景防护解析数据字段、至少一种所述第一基础防护解析数据字段、以及至少一种第二基础防护解析数据字段，所述第一防护监控程序需要识别的防护解析数据字段包括第三场景防护解析数据字段、以及至少一种第三基础防护解析数据字段；

所述根据所述预设特征识别网络能够识别的防护解析数据字段与所述第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将所述预设特征识别网络识别出的防护解析数据字段进行映射处理，得到所述第一防护监控程序的目标参考数据字段，包括：

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三基础防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系；

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三场景防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段是所述第二场景防护解析数据字段。

5.根据权利要求1所述的基于日志和防火墙的安全防护方法，其特征在于，在通过预设特征识别网络对每个监控日志功能区域进行特征识别之前，所述方法还包括：

在所述基础特征识别网络中的分类单元中增加防护监控节点，其中，所述防护监控节点用于识别所述第一防护监控程序需要识别、且所述基础特征识别网络无法识别的第二基础防护解析数据字段，得到初始化的所述预设特征识别网络；

获取用于训练所述基础特征识别网络的第一参考训练对象序列以及用于训练所述预设特征识别网络的第二参考训练对象序列；

通过所述第二参考训练对象序列，生成初始化的所述预设特征识别网络的分类单元中用于识别所述第二基础防护解析数据字段的防护监控节点的初始参数；

对所述第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理，并将标注处理结果应用于所述第二参考训练对象序列，得到更新后的第二参考训练对象序列；

基于所述更新后的第二参考训练对象序列，对所述预设特征识别网络进行迭代训练，以在初始化的所述预设特征识别网络的基础上得到训练后的预设特征识别网络。

6.根据权利要求5所述的基于日志和防火墙的安全防护方法，其特征在于，所述对所述第一参考训练对象序列中的第一场景防护解析数据字段的参考训练对象进行样本标注处理的步骤，包括：

针对所述第一参考训练对象序列中所述第一场景防护解析数据字段的每个参考训练对象，将所述第一场景防护解析数据字段的参考训练对象在所述预设特征识别网络中进行第一方向训练，得到所述第一场景防护解析数据字段的参考训练对象属于每个所述第二基础防护解析数据字段的置信度；

针对所述第一场景防护解析数据字段的每个参考训练对象，确定该参考训练对象属于每个所述第二基础防护解析数据字段的置信度中的最大置信度；

当所述最大置信度大于模糊字段置信度阈值时，将所述第一场景防护解析数据字段的参考训练对象确定为对应所述最大置信度的第二基础防护解析数据字段的模糊字段；

针对每个所述模糊字段，将所述模糊字段中属于所述第二基础防护解析数据字段的参考训练对象标注为所述第二基础防护解析数据字段的参考训练对象；

将所述模糊字段中不属于所述第二基础防护解析数据字段的参考训练对象标注为第二场景防护解析数据字段的参考训练对象。

7.一种基于日志和防火墙的安全防护装置，其特征在于，应用于服务器，所述装置包括：

判断模块，用于接收用户终端发送的域名访问请求，并判断所述域名访问请求中所述用户终端的标识地址信息是否与预设防护名单中任意一个防护标识地址信息匹配；

配置模块，用于当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息匹配时，拒绝所述域名访问请求，并根据预先配置的防火墙对所述域名访问请求的关联访问行为进行防火墙配置；

写入模块，用于当所述用户终端的标识地址信息与预设防护名单中任意一个防护标识地址信息不匹配时，将所述域名访问请求转发至对应的域名服务器，并将所述域名访问请求对应的监控日志信息写入预设日志数据库；

更新模块，用于每隔预设监控周期从所述预设日志数据库中遍历每个标识地址信息对应的监控日志信息，并根据每个标识地址信息对应的监控日志信息更新所述预设防护名单；

其中，所述更新模块具体用于：

获取每个标识地址信息对应的监控日志信息中每个监控日志功能区域中第一防护监控程序的防护监控进程；

通过预设特征识别网络对每个监控日志功能区域进行特征识别，得到每个监控日志功能区域的特征识别结果，所述特征识别结果用于表示所述监控日志功能区域中标记的异常特征区域；其中，所述第一防护监控程序需要识别的防护解析数据字段中至少存在与第二防护监控程序需要识别的第一基础防护解析数据字段不同的防护解析数据字段；所述预设特征识别网络是在用于执行所述第二防护监控程序的基础特征识别网络的基础上，对所述基础特征识别网络能够识别的第一场景防护解析数据字段进行区分学习得到；

根据所述预设特征识别网络能够识别的防护解析数据字段与所述第一防护监控程序需要识别的防护解析数据字段之间的关联关系，将所述预设特征识别网络识别出的防护解析数据字段进行映射处理，得到所述第一防护监控程序的目标参考数据字段；

从所述每个监控日志功能区域的特征识别结果中确定是否存在所述目标参考数据字段对应的目标异常特征区域，当存在时，将该监控日志功能区域对应的标识地址信息添加到所述预设防护名单。

8.根据权利要求7所述的基于日志和防火墙的安全防护装置，其特征在于，所述基础特征识别网络能够识别的防护解析数据字段包括第一场景防护解析数据字段以及至少一种所述第一基础防护解析数据字段，所述预设特征识别网络能够识别的防护解析数据字段包括第二场景防护解析数据字段、至少一种所述第一基础防护解析数据字段、以及至少一种第二基础防护解析数据字段，所述第一防护监控程序需要识别的防护解析数据字段包括第三场景防护解析数据字段、以及至少一种第三基础防护解析数据字段；

所述更新模块具体用于：

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三基础防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段具有关联关系；

当所述预设特征识别网络识别出的防护解析数据字段满足以下条件至少之一时，生成所述每个监控日志功能区域属于所述第三场景防护解析数据字段的目标参考数据字段：

所述预设特征识别网络识别出的防护解析数据字段为任一种所述第二基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段为任一种所述第一基础防护解析数据字段、且与所述第三基础防护解析数据字段不具有关联关系，或者，所述预设特征识别网络识别出的防护解析数据字段是所述第二场景防护解析数据字段。

Images