CN112422486B - 一种基于sdk的安全防护方法及设备 - Google Patents

一种基于sdk的安全防护方法及设备 Download PDF

Info

Publication number
CN112422486B
CN112422486B CN201910784991.XA CN201910784991A CN112422486B CN 112422486 B CN112422486 B CN 112422486B CN 201910784991 A CN201910784991 A CN 201910784991A CN 112422486 B CN112422486 B CN 112422486B
Authority
CN
China
Prior art keywords
sdk
risk
node
terminal
terminal device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910784991.XA
Other languages
English (en)
Other versions
CN112422486A (zh
Inventor
胡金涌
李强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Yundun Information Technology Co ltd
Original Assignee
Shanghai Yundun Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Yundun Information Technology Co ltd filed Critical Shanghai Yundun Information Technology Co ltd
Priority to CN201910784991.XA priority Critical patent/CN112422486B/zh
Publication of CN112422486A publication Critical patent/CN112422486A/zh
Application granted granted Critical
Publication of CN112422486B publication Critical patent/CN112422486B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请的目的是提供一种基于SDK的安全防护方法及设备，本申请通过嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；所述SDK获取所述应用程序的数据，将所述数据发送至所述目标代理节点。从而保护用户的网络服务正常运行，有效阻止恶意攻击。

Description

一种基于SDK的安全防护方法及设备
技术领域
本申请涉及计算机领域，尤其涉及一种基于SDK的安全防护方法及设备。
背景技术
二十一世纪是信息化的时代，由于科学技术高速发展，互联网已经成为人们生活，工作中不可缺少的东西。网络在世界范围内迅速普及信息传递主要通过网络来实现，其安全受到了极大的挑战，网络上的攻击约来越普遍，如常见的DDoS攻击、Web应用攻击等。各种网络攻击让人们防不胜防，其目的是使目标服务暂时中断或停止，或造成数据泄漏，由此诞生了各种网络安全技术和产品，如DDoS清洗系统、Web应用防火墙等。
目前针对应用层的网络攻击，没有非常成熟可靠的方案。以HTTP业务为例，目前更多的采用限制单IP的请求频率以抵御攻击，这种方法对于海量IP的低频攻击没有太多效果。有的公司尝试通过收集请求的特征和网站的信息作攻击识别，对疑似IP进行人机识别验证，一方面影响用户体验，另一方面识别的误差影响用户访问。
目前的一些防护方案，着重在网络层和服务层进行安全防护，如网络流量清洗，服务端部署业务安全防护软件等等，大多忽略了终端的安全可信，或无法实现网络连接的安全可信，存在不少的漏杀和误杀。本文提出来一种基于SDK的安全防护方法及设备，可有效解决目前一些防护方案的不足。
发明内容
本申请的一个目的是提供一种基于SDK的安全防护方法及设备，解决现有技术中针对应用层的攻击防护方案的漏杀误杀，识别攻击的效果差，影响用户体验以及识别误差影响用户访问的问题。
根据本申请的一个方面，提供了一种在终端设备端基于SDK的安全防护方法，该方法包括：
嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；
所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；
所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；
所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；
所述SDK获取所述应用程序的数据，将所述数据发送至所述目标代理节点。
进一步地，所述方法包括：
根据所述应用程序的当前运行状态对所述终端设备进行风险标记。
进一步地，根据所述应用程序的当前运行状态对所述终端设备进行风险标记，包括：
当所述应用程序的当前运行状态符合标记要求时，将所述终端设备进行风险标记，其中，所述标记要求包括以下至少任一种：
所述应用程序运行在模拟器或虚拟机中；
所述应用程序使用VPN或代理；
所述终端具有root权限；
所述应用程序被Hook；
所述应用程序处于调试模式；
所述应用程序在终端上有多个运行实例；
所述应用程序使用抓包工具。
进一步地，所述将所述数据发送至所述目标代理节点，包括以下方式的任一种：
将所述数据基于预设私有通信协议发送至目标代理节点；
将所述数据加密后基于预设私有通信协议发送至目标代理节点；
将所述数据加密后发送至目标代理节点。
根据本申请又一个方面，提供了一种在调度系统端基于SDK的安全防护方法，该方法包括：
接收嵌入到终端设备上的应用程序中的SDK发送的分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；
根据所述终端设备的指纹信息和风险标记选择代理节点；
将所述代理节点的资源信息分配至所述终端设备。
进一步地，根据所述终端设备的指纹信息和风险标记选择代理节点，包括：
根据所述终端设备的指纹信息和风险标记确定所述终端设备的风险等级，根据所述风险等级匹配所述终端设备对应的代理节点。
进一步地，根据所述终端设备的指纹信息和风险标记选择代理节点，还包括：
根据所述终端设备所在网络所属运营商及所在地域确定所述终端设备的代理节点。
根据本申请另一个方面，还提供了一种基于SDK的安全防护的终端设备，该终端设备包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如前述所述方法的操作。
根据本申请再一个方面，还提供了一种基于SDK的安全防护的调度系统，该调度系统包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如前述所述方法的操作。
根据本申请再一个方面，还提供了一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现前述所述的方法。
与现有技术相比，本申请通过嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；所述SDK获取所述应用程序的数据，将所述数据发送至所述目标代理节点。从而通过SDK的终端识别认证，识别并拦截恶意黑客的访问请求，保护用户的网络服务正常运行，有效阻止针对应用层的攻击。另外，根据风险等级为该终端设备匹配对应的节点资源池，实现较好的风险隔离，同时保证较好的网络质量。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：
图1示出根据本申请的一个方面提供的一种在终端设备端基于SDK的安全防护方法流程示意图；
图2示出根据本申请又一个方面提供的一种在调度系统端基于SDK的安全防护方法流程示意图；
图3示出本申请一实施例中用于安全防护的系统网络结构示意图。
附图中相同或相似的附图标记代表相同或相似的部件。
具体实施方式
下面结合附图对本申请作进一步详细描述。
在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(例如中央处理器(Central Processing Unit，CPU))、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RandomAccess Memory，RAM)和/或非易失性内存等形式，如只读存储器(Read Only Memory，ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(Phase-Change RAM，PRAM)、静态随机存取存储器(StaticRandom Access Memory，SRAM)、动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、数字多功能光盘(Digital Versatile Disk，DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitorymedia)，如调制的数据信号和载波。
图1示出根据本申请的一个方面提供的一种在终端设备端基于SDK的安全防护方法流程示意图，该方法包括：步骤S11～步骤S15，
在步骤S11中，嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；在步骤S12中，所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；在此，终端设备包括但不限于任何一种可与用户通过触摸板进行人机交互的移动电子产品，例如智能手机、个人数字助理(PersonalDigital Assistant，PDA)等，所述移动电子产品可以采用任意操作系统，如安卓(android)操作系统、苹果(iOS)操作系统等。在终端设备上的应用程序(APP)上嵌入SDK代理，在APP启动时初始化SDK，在初始化SDK时确定终端设备的指纹信息和对终端设备作风险标记，感知终端环境并进行终端风险的评估，将终端风险的评估结果作为该终端风险情况，进而SDK会根据评估出的终端风险情况选择初始化节点，此节点为初始的调度系统节点。
在步骤S13中，所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；在此，在APP启动时初始化SDK，初始化后向调度系统发送分配代理节点的调度请求，发送调度请求时携带该指纹信息和风险标记，以便调度请求根据调度请求携带的信息为该终端设备分配代理节点。其中，SDK为软件开发工具包(Software Development Kit)，风险标记为对该终端设备进行终端风险评估时对评估结果的标记。
在步骤S14中，所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；在此，SDK接收调度系统基于调度请求为终端设备分配的代理节点的资源信息，获得该分配的代理节点的资源信息后开始监听本地端口，等待终端设备上的APP发送数据，从而根据设置的调度规则，选择目标代理节点，该目标代理节点为应用程序使用的代理节点，其中，调度规则用于对节点的风险等级、地理位置、ISP等信息进行综合判断，其包括负载均衡规则。
在步骤S15中，所述SDK获取所述应用程序的数据，将所述数据发送至所述目标代理节点。在此，将应用程序发送的数据发送给目标代理节点，从而使得目标代理节点根据接收到的数据判断SDK发来的数据包是否合法。
具体地，所述将所述数据发送至所述目标代理节点，包括以下方式的任一种：将所述数据基于预设私有通信协议发送至目标代理节点；将所述数据加密后基于预设私有通信协议发送至目标代理节点；将所述数据加密后发送至目标代理节点。在此，发送时可按照预设的私有协议进行编码和加密后进行发送，代理节点接收到SDK发来的数据后按照预设的私有协议进行解析，从而根据解析结果判断SDK发来的数据包是否合法，其中，预设的私有协议可为基于TCP定制的私有的通信协议。在本申请中，SDK与代理节点使用基于TCP定制的私有的通信协议，取代了HTTP等公开的传输协议，使黑客无法通过普通的攻击工具模拟正常请求进行攻击，同时会对通信数据进行混淆加密，增加通信的安全性。通过使用私有的通信协议，代理节点可以很快地将黑客的攻击和来自SDK的正常请求进行区分后处理。本申请所述的基于客户端的SDK的安全防御方案，通过SDK的终端识别认证，识别并拦截恶意黑客的访问请求，保护用户的网络服务正常运行，有效阻止针对应用层的安全攻击。
在本申请一实施例中，对SDK进行初始化时，可以根据所述应用程序的当前运行状态对所述终端设备进行风险标记。在此，初始化时，SDK检测终端设备运行环境，收集运行环境信息，其中，运行环境信息包括终端类型、网络类型、是否使用VPN/代理、终端是否具有root权限、应用程序被Hook、应用程序处于调试模式、应用程序在终端上有多个运行实例、应用是否运行在虚拟机/模拟器中等相关信息。并根据设备的相关型号、参数、制造商等生成终端设备的指纹信息。根据所述应用程序的当前运行状态对所述终端设备进行风险标记，具体地：
当所述应用程序的当前运行状态符合标记要求时，将所述终端设备进行风险标记，其中，所述标记要求包括以下至少任一种：所述应用程序运行在模拟器或虚拟机中；所述终端具有root权限；所述应用程序被Hook；所述应用程序处于调试模式；所述应用程序在终端上有多个运行实例；所述应用程序使用抓包工具。在此，若SDK发现应用程序在模拟器或虚拟机中，或者外部环境中有使用VPN/代理，或者外部有使用了抓包工具(比如wireshark)抓包分析时，将终端设备风险等级标记为风险。进一步地，所述方法还包括：当所述应用程序的当前运行状态为在调试环境中时，退出所述应用程序。在此，当SDK发现应用程序在调试环境中，则会退出应用程序，避免黑客通过调试获取SDK的相关信息以及通讯协议等。在本申请一实施例中，所述SDK监听本地端口以获取所述应用程序发送的数据。在此，SDK获得分配的节点资源后，开始监听本地端口，等待应用程序发送的数据，应用程序需要连接服务器时，根据SDK的本地端口，将数据发送给SDK，应用程序不需要直接连接源服务器，避免源服务器地址泄露。
在本申请一实施例中，目标代理节点处理所述数据时，可以根据所述预设的私有协议对所述应用程序的数据进行解析，若解析正确则将解析后的数据发送至源服务器，若数据不合法则将不合法的数据进行丢弃。在此，目标代理节点接收到SDK发来的数据后，按照预设的私有协议的格式进行解析，若解析正确则将解析后的原始数据发送给源服务器，若解析时发现格式不合法，则表明数据包并非来自SDK，代理节点将不合法的数据包丢弃。
图2示出根据本申请又一个方面提供的一种在调度系统端基于SDK的安全防护方法流程示意图，该方法包括：步骤S21～步骤S23，
在步骤S21中，接收嵌入到终端设备上的应用程序中的SDK发送的分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；在此，调度系统接收到SDK发送的调度请求，其中，SDK嵌入到终端设备上的应用程序中，调度请求携带终端设备的指纹信息和风险标记。从而在步骤S22中，根据所述终端设备的指纹信息和风险标记选择代理节点；接着，在步骤S23中，将所述代理节点的资源信息分配至所述终端设备。在此，根据终端设备的指纹信息以及风险标记为该终端设备匹配对应的代理节点，得到匹配后的代理节点的资源信息，如为某某节点资源池，将该节点资源池分配至终端设备。
在本申请一实施例中，在步骤S22中，根据所述终端设备的指纹信息和风险标记确定所述终端设备的风险等级，根据所述风险等级匹配所述终端设备对应的代理节点。在此，将代理节点资源划分为多个风险等级的节点资源池。调度系统将节点资源分为多个等级，比如分为良好、普通及风险三个等级的节点资源池，三个等级的资源池风险等级逐级增加。接着，根据终端设备的指纹信息和风险标记确定该终端设备的风险等级，比如根据终端设备A的指纹信息和风险标记确定的终端设备A的风险等级为良好这一等级。按照不同等级分配资源池，可实现较好的风险隔离，以及基于终端设备的调度系统，实现风险隔离的同时保证较好的网络质量。
在本申请一实施例中，步骤S22还包括：根据所述终端设备所在网络所属运营商及所在地域确定所述终端设备的代理节点。在此，为终端设备选择代理节点后，从找到的节点资源池中按照终端设备所在网络所属运营商及所在地域选择代理节点，分配给终端设备。
具体地，根据所述终端设备所在网络所属运营商及所在地域从所述对应的节点资源池中确定所述终端设备的代理节点的资源信息，将所述代理节点的资源信息分配至所述终端设备。在此，调度系统得到终端设备的风险等级后，找到对应等级的节点资源池，开始从找到的节点资源池中按照终端设备所在网络所属运营商及所在地域选择代理节点，分配给终端设备。从而根据终端设备的运行环境和历史访问记录，确定终端设备的风险等级，按照不同等级分配资源池，实现较好的风险隔离，以及基于终端设备的调度系统，实现风险隔离的同时保证较好的网络质量。
在本申请一实施例中，根据所述终端设备所在网络所属运营商及所在地域从所述对应的节点资源池中确定所述终端设备的代理节点的资源信息，具体可按照如下步骤：
根据所述终端设备所在网络所属运营商及所在地域从所述对应的节点资源池中选择与所述终端设备相同运营商及相同地域的代理节点。
若同一运营商下相同地域的节点资源池未满足所述终端设备的调度请求，则按照地域优先级从所述相同运营商下选择不同地域下的相同风险等级的节点资源池，从该节点资源池中选择代理节点进行补足。其中，所述地域优先级由所述运营商的网络拓扑信息、监控信息以及历史的网络访问延迟信息确定。
若同一运营商下不同地域的节点资源池未满足所述终端设备的调度请求，则按照运营商优先级从其他运营商下的相同风险等级的节点资源池中选择代理节点进行补足。其中，所述运营商优先级由运营商的网络拓扑信息、监控信息以及历史的网络访问延迟信息确定。
当不同运营商下的节点资源池未满足所述终端设备的调度请求时，将实际确定的代理节点的资源信息发送至所述终端设备。
在此，调度系统根据终端设备所在网络的运营商(ISP)和所在地域，选择与终端设备相同运营商和相同地域的节点；同一个运营商下，相同地域的节点资源池不足时，从相同运营商的不同地域下的节点资源池中选择节点补足需要，地域的优先级根据运营商的网络拓扑、监控情况和历史的网络访问延迟确定。同一个运营商下，不同地域的节点资源池仍然不足时，从其他运营商的节点资源池中选择，运营商的优先级根据运营商的网络拓扑、监控情况和历史的网络访问延迟确定。不同运营商的资源仍然不足时，按照实际选择到的节点数量返回。
在本申请一优选实施例中，可通过终端设备以及调度系统组成的系统实现安全防护，如图3示出的系统网络结构示意图，包括终端设备、调度系统、代理节点集群以及用户源站，其中，终端设备上包括应用程序和嵌入的SDK。终端设备进行环境监测，通过SDK可以更好的检测终端环境，识别出真实的客户端，避免黑客使用虚拟机或者抓包工具等分析代理节点信息，或者通信协议。监控节点每隔一段时间访问一次代理节点，汇总所有监控节点的信息，判断代理节点是否可用、网络质量等。调度系统为基于终端信息的系统，进行构建海量的节点资源池，调度系统将节点资源按照风险等级、地理位置、ISP等信息划分，根据终端信息将终端调度到最佳的代理节点，一旦检测到代理节点宕机或受到攻击等，将为终端分配新的代理节点。
此外，本申请实施例还提供了一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现前述一种基于SDK的安全防护方法。
在本申请一实施例中，还提供了一种基于SDK的安全防护的终端设备，该终端设备包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如前述所述方法的操作。
例如，计算机可读指令在被执行时使所述一个或多个处理器：
嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；
所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；
所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；
所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；
所述SDK获取所述应用程序的数据，将所述数据发送至所述目标代理节点。
在本申请又一实施例中，还提供了一种基于SDK的安全防护的调度系统，该调度系统包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如前述所述方法的操作。
例如，计算机可读指令在被执行时使所述一个或多个处理器：
接收嵌入到终端设备上的应用程序中的SDK发送的分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；
根据所述终端设备的指纹信息和风险标记选择代理节点；
将所述代理节点的资源信息分配至所述终端设备。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。
需要注意的是，本申请可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用目的计算机或任何其他类似硬件设备来实现。在一个实施例中，本申请的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本申请的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。另外，本申请的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。
另外，本申请的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本申请的方法和/或技术方案。而调用本申请的方法的程序指令，可能被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。在此，根据本申请的一个实施例包括一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述根据本申请的多个实施例的方法和/或技术方案。
对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其他的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (10)

1.一种在终端设备端基于SDK的网络安全防护方法，其中，所述方法包括：
嵌入到所述终端设备上的应用程序中的SDK采集终端设备指纹，感知终端环境，评估终端风险；
所述SDK根据终端风险情况，选择初始化节点，将所述初始化节点作为初始的调度系统节点；
所述SDK向所述初始的调度系统发送分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记，以使所述调度系统根据所述终端设备的指纹信息和风险标记选择代理节点；
所述SDK接收所述调度系统分配的代理节点的资源信息，根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点；
所述SDK在获得分配的代理节点的资源信息后开始监听本地端口，以获取所述应用程序的数据，将所述数据发送至所述目标代理节点，以使所述目标代理节点根据所述数据判断SDK发送来的数据包是否合法。
2.根据权利要求1所述的方法，其中，所述方法包括：
根据所述应用程序的当前运行状态对所述终端设备进行风险标记。
3.根据权利要求2所述的方法，其中，根据所述应用程序的当前运行状态对所述终端设备进行风险标记，包括：
当所述应用程序的当前运行状态符合标记要求时，将所述终端设备进行风险标记，其中，所述标记要求包括以下至少任一种：
所述应用程序在模拟器或虚拟机中；
所述应用程序使用VPN或代理；
所述终端具有root权限；
所述应用程序被Hook；
所述应用程序处于调试模式；
所述应用程序在终端上有多个运行实例；
所述应用程序使用抓包工具。
4.根据权利要求1所述的方法，其中，所述将所述数据发送至所述目标代理节点，包括以下方式的任一种：
将所述数据基于预设私有通信协议发送至目标代理节点；
将所述数据加密后基于预设私有通信协议发送至目标代理节点；
将所述数据加密后发送至目标代理节点。
5.一种在调度系统端基于SDK的安全防护方法，其中，所述方法包括：
初始化嵌入到终端设备上的应用程序中的SDK时确定终端设备的指纹信息和风险标记，感知终端设备环境并进行终端设备风险评估，将终端设备风险的评估结果作为该终端设备风险情况，以使SDK根据所述终端设备风险情况选择初始化节点，将所述初始化节点作为初始的调度系统的节点；
接收SDK发送的分配代理节点的调度请求，其中，所述调度请求携带所述终端设备的指纹信息和风险标记；
根据所述终端设备的指纹信息和风险标记选择代理节点；将所述代理节点的资源信息分配至所述终端设备，以使所述SDK根据预设的调度规则及所述代理节点的资源信息选择所述应用程序使用的目标代理节点，并在获得分配的代理节点的资源信息后开始监听本地端口，以获取所述应用程序的数据，将所述数据发送至所述目标代理节点，以使所述目标代理节点根据所述数据判断SDK发送来的数据包是否合法。
6.根据权利要求5所述的方法，其中，根据所述终端设备的指纹信息和风险标记选择代理节点，包括：
根据所述终端设备的指纹信息和风险标记确定所述终端设备的风险等级，根据所述风险等级匹配所述终端设备对应的代理节点。
7.根据权利要求5或6所述的方法，其中，根据所述终端设备的指纹信息和风险标记选择代理节点，还包括：
根据所述终端设备所在网络所属运营商及所在地域确定所述终端设备的代理节点。
8.一种基于SDK的安全防护的终端设备，其中，所述终端设备包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如权利要求1至4中任一项所述方法的操作。
9.一种基于SDK的安全防护的调度系统，其中，所述调度系统包括：
一个或多个处理器；以及
存储有计算机可读指令的存储器，所述计算机可读指令在被执行时使所述处理器执行如权利要求5至7中任一项所述方法的操作。
10.一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现如权利要求1至7中任一项所述的方法。
CN201910784991.XA 2019-08-23 2019-08-23 一种基于sdk的安全防护方法及设备 Active CN112422486B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910784991.XA CN112422486B (zh) 2019-08-23 2019-08-23 一种基于sdk的安全防护方法及设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910784991.XA CN112422486B (zh) 2019-08-23 2019-08-23 一种基于sdk的安全防护方法及设备

Publications (2)

Publication Number Publication Date
CN112422486A CN112422486A (zh) 2021-02-26
CN112422486B true CN112422486B (zh) 2022-12-06

Family

ID=74779841

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910784991.XA Active CN112422486B (zh) 2019-08-23 2019-08-23 一种基于sdk的安全防护方法及设备

Country Status (1)

Country Link
CN (1) CN112422486B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114915565B (zh) * 2022-05-06 2023-09-19 上海哔哩哔哩科技有限公司 网络调试的方法和系统
CN116208682B (zh) * 2023-05-05 2023-07-25 武汉华瑞测智能技术有限公司 交换电力信息的网络系统、设备及介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107241360A (zh) * 2017-08-04 2017-10-10 北京明朝万达科技股份有限公司 一种数据安全共享交换方法和数据安全共享交换平台系统
CN109547547A (zh) * 2018-11-23 2019-03-29 北京知道创宇信息技术有限公司 回源调度方法、装置及其存储介质
CN109787952A (zh) * 2018-11-22 2019-05-21 北京奇艺世纪科技有限公司 一种网络数据访问方法、装置及电子设备
CN109995794A (zh) * 2019-04-15 2019-07-09 深信服科技股份有限公司 一种安全防护系统、方法、设备及存储介质

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10511607B2 (en) * 2016-05-12 2019-12-17 Zscaler, Inc. Multidimensional risk profiling for network access control of mobile devices through a cloud based security system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107241360A (zh) * 2017-08-04 2017-10-10 北京明朝万达科技股份有限公司 一种数据安全共享交换方法和数据安全共享交换平台系统
CN109787952A (zh) * 2018-11-22 2019-05-21 北京奇艺世纪科技有限公司 一种网络数据访问方法、装置及电子设备
CN109547547A (zh) * 2018-11-23 2019-03-29 北京知道创宇信息技术有限公司 回源调度方法、装置及其存储介质
CN109995794A (zh) * 2019-04-15 2019-07-09 深信服科技股份有限公司 一种安全防护系统、方法、设备及存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
上海云盾.上海云盾与业内大咖共话游戏行业安全解决方案.《https://www.sohu.com/a/258334564_724773》.2018, *

Also Published As

Publication number Publication date
CN112422486A (zh) 2021-02-26

Similar Documents

Publication Publication Date Title
CN110445770B (zh) 网络攻击源定位及防护方法、电子设备及计算机存储介质
US10904277B1 (en) Threat intelligence system measuring network threat levels
US9306964B2 (en) Using trust profiles for network breach detection
Malik et al. CREDROID: Android malware detection by network traffic analysis
US9660833B2 (en) Application identification in records of network flows
US8997231B2 (en) Preventive intrusion device and method for mobile devices
US7440406B2 (en) Apparatus for displaying network status
JP5987627B2 (ja) 不正アクセス検出方法、ネットワーク監視装置及びプログラム
US11647037B2 (en) Penetration tests of systems under test
CN114598525A (zh) 一种针对网络攻击的ip自动封禁的方法和装置
CN103746992B (zh) 基于逆向的入侵检测系统及其方法
JP2016508353A (ja) ネットワークメタデータを処理する改良されたストリーミング方法およびシステム
CN111181978B (zh) 异常网络流量的检测方法、装置、电子设备及存储介质
CN106921671B (zh) 一种网络攻击的检测方法及装置
CN112422486B (zh) 一种基于sdk的安全防护方法及设备
CN104486320B (zh) 基于蜜网技术的内网敏感信息泄露取证系统及方法
CN106790073B (zh) 一种Web服务器恶意攻击的阻断方法、装置及防火墙
CN112217777A (zh) 攻击回溯方法及设备
CN115150137B (zh) 一种基于Redis的高频访问预警方法及设备
JP2015127843A (ja) 通信制御装置、通信制御方法、および通信制御プログラム
KR100977827B1 (ko) 악성 웹 서버 시스템의 접속탐지 장치 및 방법
JP6649296B2 (ja) セキュリティ対処案設計装置及びセキュリティ対処案設計方法
KR20150026187A (ko) 드로퍼 판별을 위한 시스템 및 방법
KR101606088B1 (ko) 악성 코드 탐지 방법 및 장치
US9049170B2 (en) Building filter through utilization of automated generation of regular expression

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant