CN112507329A - 安全防护方法及装置 - Google Patents

Abstract

本申请提供实施例，属于信息安全技术，提供一种于安全防护方法及装置，安全防护装置包括控制模块、执行模块和存储模块，该方法包括：控制模块从存储模块中获取用户输入的安全配置信息；控制模块获取可执行安全配置信息的目标服务的服务信息；控制模块根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略；控制模块将目标服务的安全执行策略发送给执行模块；执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。通过该方式，可以针对各工作节点上的服务分别执行安全执行策略，从而可以对工作节点之间以及服务之间设置安全防护，进而提高了智能语音云平台的信息安全性。

Description

安全防护方法及装置

技术领域

本申请实施例涉及信息安全技术。更具体地讲，涉及一种安全防护方法及装置。

背景技术

目前，为适应智能语音业务的发展，智能语音云平台在逐步进行微服务化。智能语音云平台大多采用自动化容器操作(kubernetes，K8S)技术对众多微服务通进行管理和调度。

相关技术中，智能语音云平台通常部署在内网，在内网和外网之间，通常设置有安全装置来提供安全防护，从而一定程度上降低智能语音云平台以及智能语音云平台上的微服务所面临的外部进入的安全风险。

然而，相关技术的对于智能语音云平台的安全防护方法，只能防护智能语音云平台外部的安全攻击，智能语音云平台上的微服务以及微服务所在的工作节点之间均不设置安全防护策略。因此，相关技术的安全防护方法，对于突破已经突破外部安全装置的攻击，则缺少保护手段，也无法防止内部相互感染的防线，从而导致智能语音云平台的信息安全性较低。

发明内容

本申请示例性的实施方式提供一种安全防护方法及装置，以解决现有技术中智能语音云平台的信息安全性较低的问题。

第一方面，本申请实施例提供一种安全防护方法，该方法应用于安全防护装置，该安全防护装置包括控制模块、执行模块和存储模块，该方法包括：

所述控制模块从所述存储模块中获取用户输入的安全配置信息；

所述控制模块获取可执行所述安全配置信息的目标服务的服务信息；

所述控制模块根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；

所述控制模块将所述目标服务的安全执行策略发送给所述执行模块；

所述执行模块在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

本申请一些实施例中，在所述控制模块获取可执行所述安全配置信息的目标服务的服务信息之前，所述方法还包括：

所述控制模块根据策略标准信息，确定所述安全配置信息是否有效；

所述控制模块获取可执行所述安全配置信息的目标服务的服务信息，包括：

若所述安全配置信息有效，则所述控制模块获取可执行所述安全配置信息的目标服务的服务信息。

本申请一些实施例中，所述控制模块获取可执行所述安全配置信息的目标服务的服务信息，包括：

所述控制模块从所述安全防护设备的接口服务获取可执行所述安全配置信息的目标服务的服务信息。

本申请一些实施例中，所述方法还包括：

所述执行模块接收重启指示，所述重启指示用于指示重启所述执行模块；

所述执行模块向所述控制模块发送获取请求，所述获取请求用于请求重新获取所述目标服务的安全执行策略；

所述控制模块向所述执行模块重新发送所述目标服务的安全执行策略；

所述执行模块重新在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

本申请一些实施例中，所述方法还包括：

所述控制模块从所述安全防护设备的接口服务获取所述目标服务对应的工作节点的状态；

若所述目标服务对应的工作节点的状态变更，则所述控制模块向所述执行模块发送变更指示，所述变更指示用于删除或新增所述目标服务的安全执行策略；

所述执行模块执行所述变更指示。

本申请一些实施例中，在所述执行模块执行所述变更指示之后，所述方法还包括：

所述执行模块向所述控制模块发送所述变更指示的执行结果；

所述控制模块将所述变更指示的执行结果存入所述存储模块中的执行结果表中。

本申请一些实施例中，所述安全防护设备还包括界面模块；在所述控制模块从所述存储模块中获取用户输入的安全配置信息之前，所述方法还包括：

所述界面模块接收用户输入的安全配置信息；

所述界面模块将所述安全配置信息存入所述存储模块中的策略信息表中。

本申请一些实施例中，在所述执行模块在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略之后，所述方法还包括：

所述执行模块向所述控制模块反馈所述安全执行策略的执行结果；

所述控制模块将所述安全执行策略的执行结果存入所述存储模块中的执行结果表中。

第二方面，本申请实施例提供一种安全防护方法，包括：

获取用户输入的安全配置信息；

获取可执行所述安全配置信息的目标服务的服务信息；

根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；

在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

第三方面，本申请实施例提供一种安全防护装置，包括：

控制模块、执行模块和存储模块；

所述存储模块，用于存储用户输入的安全配置信息；

所述控制模块，用于获取可执行所述安全配置信息的目标服务的服务信息；所述控制模块根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；所述控制模块将所述目标服务的安全执行策略发送给所述执行模块；

所述执行模块，用于在所述目标服务对应的工作节点上执行所述安全执行策略。

本申请一些实施例中，所述控制模块，还用于根据策略标准信息，确定所述安全配置信息是否有效；若安全配置信息有效，则获取可执行所述安全配置信息的目标服务的服务信息。

本申请一些实施例中，所述控制模块，具体用于从所述安全防护设备的接口服务获取可执行所述安全配置信息的目标服务的服务信息。

本申请一些实施例中，所述执行模块，还用于接收重启指示，所述重启指示用于指示重启所述执行模块；向所述控制模块发送获取请求，所述获取请求用于请求重新获取所述目标服务的安全执行策略；接收所述控制模块重新发送的所述目标服务的安全执行策略；重新在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

本申请一些实施例中，所述控制模块还用于从所述安全防护设备的接口服务获取所述目标服务对应的工作节点的状态；若所述目标服务对应的工作节点的状态变更，则向所述执行模块发送变更指示，所述变更指示用于删除或新增所述目标服务的安全执行策略；

所述执行模块，用于执行所述变更指示。

本申请一些实施例中，所述执行模块，还用于向所述控制模块发送所述变更指示的执行结果；

所述控制模块，还用于将所述变更指示的执行结果存入所述存储模块中的执行结果表中。

本申请一些实施例中，所述安全防护设备还包括界面模块；

所述界面模块，用于接收用户输入的安全配置信息，并将所述安全配置信息存入所述存储模块中的策略信息表中。

本申请一些实施例中，所述执行模块，还用于向所述控制模块反馈所述安全执行策略的执行结果；

所述控制模块，还用于将所述安全执行策略的执行结果存入所述存储模块中的执行结果表中。

第四方面，本申请还提供一种电子设备，包括：

存储器与处理器；

所述存储器，用于存储所述处理器的可执行指令；

所述处理器配置为经由执行所述可执行指令来执行第一或第二方面所述的方法。

第五方面，本发明还提供一种存储有计算机指令的非瞬时计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现第一或第二方面中任意一种可能的方法。

本申请实施例提供的安全防护方法及装置，安全防护装置包括控制模块、执行模块和存储模块，控制模块从存储模块中获取用户输入的安全配置信息；控制模块获取可执行安全配置信息的目标服务的服务信息；控制模块根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略；控制模块将目标服务的安全执行策略发送给执行模块；执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。通过该方式，可以针对各工作节点上的服务分别执行安全执行策略，从而可以对工作节点之间以及服务之间设置安全防护，进而提高了智能语音云平台的信息安全性。

附图说明

为了更清楚地说明本申请实施例或相关技术中的实施方式，下面将对实施例或相关技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1中示例性示出了根据一些实施例的显示设备与控制装置之间操作场景的示意图；

图2中示例性示出了根据一些实施例的显示设备的硬件配置框图；

图3中示例性示出了根据一些实施例的控制设备的硬件配置框图；

图4示例性示出了根据一些实施例的一种语音识别网络架构示意图；

图5示例性示出了根据一些实施例的一种安全防护方法的原理示意图；

图6示例性示出了根据一些实施例的一种安全防护方法的信令交互图；

图7示例性示出了根据一些实施例的另一种安全防护方法的信令交互图；

图8示例性示出了根据一些实施例的再一种安全防护方法的信令交互图；

图9示例性示出了根据一些实施例的又一种安全防护方法的信令交互图；

图10示例性示出了根据一些实施例的一种安全防护方法的流程示意图；

图11示例性示出了根据一些实施例的安全防护设备的结构示意图。

具体实施方式

为使本申请的目的和实施方式更加清楚，下面将结合本申请示例性实施例中的附图，对本申请示例性实施方式进行清楚、完整地描述，显然，描述的示例性实施例仅是本申请一部分实施例，而不是全部的实施例。

需要说明的是，本申请中对于术语的简要说明，仅是为了方便理解接下来描述的实施方式，而不是意图限定本申请的实施方式。除非另有说明，这些术语应当按照其普通和通常的含义理解。

本申请中说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”等是用于区别类似或同类的对象或实体，而不必然意味着限定特定的顺序或先后次序，除非另外注明。应该理解这样使用的用语在适当情况下可以互换。

术语“包括”和“具有”以及他们的任何变形，意图在于覆盖但不排他的包含，例如，包含了一系列组件的产品或设备不必限于清楚地列出的所有组件，而是可包括没有清楚地列出的或对于这些产品或设备固有的其它组件。

术语“模块”是指任何已知或后来开发的硬件、软件、固件、人工智能、模糊逻辑或硬件或/和软件代码的组合，能够执行与该元件相关的功能。

图1为根据实施例中显示设备与控制装置之间操作场景的示意图。如图1所示，用户可通过智能设备300或控制装置100操作显示设备200。

在一些实施例中，控制装置100可以是遥控器，遥控器和显示设备的通信包括红外协议通信或蓝牙协议通信，及其他短距离通信方式，通过无线或有线方式来控制显示设备200。用户可以通过遥控器上按键、语音输入、控制面板输入等输入用户指令，来控制显示设备200。

在一些实施例中，也可以使用智能设备300(如移动终端、平板电脑、计算机、笔记本电脑等)以控制显示设备200。例如，使用在智能设备上运行的应用程序控制显示设备200。

在一些实施例中，显示设备200还可以采用除了控制装置100和智能设备300之外的方式进行控制，例如，可以通过显示设备200设备内部配置的获取语音指令的模块直接接收用户的语音指令控制，也可以通过显示设备200设备外部设置的语音控制设备来接收用户的语音指令控制。

在一些实施例中，显示设备200还与服务器400进行数据通信。可允许显示设备200通过局域网(LAN)、无线局域网(WLAN)和其他网络进行通信连接。服务器400可以向显示设备200提供各种内容和互动。服务器400可以是一个集群，也可以是多个集群，可以包括一类或多类服务器。

图2示例性示出了根据示例性实施例中控制装置100的配置框图。如图2所示，控制装置100包括控制器110、通信接口130、用户输入/输出接口140、存储器、供电电源。控制装置100可接收用户的输入操作指令，且将操作指令转换为显示设备200可识别和响应的指令，起用用户与显示设备200之间交互中介作用。

图3示出了根据示例性实施例中显示设备200的硬件配置框图。

在一些实施例中，显示设备200包括调谐解调器210、通信器220、检测器230、外部装置接口240、控制器250、显示器260、音频输出接口270、存储器、供电电源、用户接口中的至少一种。

在一些实施例中控制器包括处理器，视频处理器，音频处理器，图形处理器，RAM，ROM，用于输入/输出的第一接口至第n接口。

在一些实施例中，显示器260包括用于呈现画面的显示屏组件，以及驱动图像显示的驱动组件，用于接收源自控制器输出的图像信号，进行显示视频内容、图像内容以及菜单操控界面的组件以及用户操控UI界面。

在一些实施例中，显示器260可为液晶显示器、OLED显示器、以及投影显示器，还可以为一种投影装置和投影屏幕。

在一些实施例中，通信器220是用于根据各种通信协议类型与外部设备或服务器进行通信的组件。例如：通信器可以包括Wifi模块，蓝牙模块，有线以太网模块等其他网络通信协议芯片或近场通信协议芯片，以及红外接收器中的至少一种。显示设备200可以通过通信器220与外部控制设备100或服务器400建立控制信号和数据信号的发送和接收。

在一些实施例中，用户接口，可用于接收控制装置100(如：红外遥控器等)的控制信号。

在一些实施例中，检测器230用于采集外部环境或与外部交互的信号。例如，检测器230包括光接收器，用于采集环境光线强度的传感器；或者，检测器230包括图像采集器，如摄像头，可以用于采集外部环境场景、用户的属性或用户交互手势，再或者，检测器230包括声音采集器，如麦克风等，用于接收外部声音。

在一些实施例中，外部装置接口240可以包括但不限于如下：高清多媒体接口(HDMI)、模拟或数据高清分量输入接口(分量)、复合视频输入接口(CVBS)、USB输入接口(USB)、RGB端口等任一个或多个接口。也可以是上述多个接口形成的复合性的输入/输出接口。

在一些实施例中，调谐解调器210通过有线或无线接收方式接收广播电视信号，以及从多个无线或有线广播电视信号中解调出音视频信号，如以及EPG数据信号。

在一些实施例中，控制器250和调谐解调器210可以位于不同的分体设备中，即调谐解调器210也可在控制器250所在的主体设备的外置设备中，如外置机顶盒等。

在一些实施例中，控制器250，通过存储在存储器上中各种软件控制程序，来控制显示设备的工作和响应用户的操作。控制器250控制显示设备200的整体操作。例如：响应于接收到用于选择在显示器260上显示UI对象的用户命令，控制器250便可以执行与由用户命令选择的对象有关的操作。

在一些实施例中，对象可以是可选对象中的任何一个，例如超链接、图标或其他可操作的控件。与所选择的对象有关操作有：显示连接到超链接页面、文档、图像等操作，或者执行与图标相对应程序的操作。

在一些实施例中控制器包括中央处理器(Central Processing Unit，CPU)，视频处理器，音频处理器，图形处理器(Graphics Processing Unit，GPU)，RAM Random AccessMemory，RAM)，ROM(Read-Only Memory,ROM)，用于输入/输出的第一接口至第n接口，通信总线(Bus)等中的至少一种。

CPU处理器。用于执行存储在存储器中操作系统和应用程序指令，以及根据接收外部输入的各种交互指令，来执行各种应用程序、数据和内容，以便最终显示和播放各种音视频内容。CPU处理器，可以包括多个处理器。如，包括一个主处理器以及一个或多个子处理器。

在一些实施例中，图形处理器，用于产生各种图形对象，如：图标、操作菜单、以及用户输入指令显示图形等。图形处理器包括运算器，通过接收用户输入各种交互指令进行运算，根据显示属性显示各种对象；还包括渲染器，对基于运算器得到的各种对象，进行渲染，上述渲染后的对象用于显示在显示器上。

在一些实施例中，视频处理器，用于将接收外部视频信号，根据输入信号的标准编解码协议，进行解压缩、解码、缩放、降噪、帧率转换、分辨率转换、图像合成等视频处理，可得到直接可显示设备200上显示或播放的信号。

在一些实施例中，视频处理器，包括解复用模块、视频解码模块、图像合成模块、帧率转换模块、显示格式化模块等。其中，解复用模块，用于对输入音视频数据流进行解复用处理。视频解码模块，用于对解复用后的视频信号进行处理，包括解码和缩放处理等。图像合成模块，如图像合成器，其用于将图形生成器根据用户输入或自身生成的GUI信号，与缩放处理后视频图像进行叠加混合处理，以生成可供显示的图像信号。帧率转换模块，用于对转换输入视频帧率。显示格式化模块，用于将接收帧率转换后视频输出信号，改变信号以符合显示格式的信号，如输出RGB数据信号。

在一些实施例中，音频处理器，用于接收外部的音频信号，根据输入信号的标准编解码协议，进行解压缩和解码，以及降噪、数模转换、和放大处理等处理，得到可以在扬声器中播放的声音信号。

在一些实施例中，用户可在显示器260上显示的图形用户界面(GUI)输入用户命令，则用户输入接口通过图形用户界面(GUI)接收用户输入命令。或者，用户可通过输入特定的声音或手势进行输入用户命令，则用户输入接口通过传感器识别出声音或手势，来接收用户输入命令。

在一些实施例中，“用户界面”，是应用程序或操作系统与用户之间进行交互和信息交换的介质接口，它实现信息的内部形式与用户可以接受形式之间的转换。用户界面常用的表现形式是图形用户界面(Graphic User Interface，GUI)，是指采用图形方式显示的与计算机操作相关的用户界面。它可以是在电子设备的显示屏中显示的一个图标、窗口、控件等界面元素，其中控件可以包括图标、按钮、菜单、选项卡、文本框、对话框、状态栏、导航栏、Widget等可视的界面元素。

在一些实施例中，显示设备的系统可以包括内核(Kernel)、命令解析器(shell)、文件系统和应用程序。内核、shell和文件系统一起组成了基本的操作系统结构，它们让用户可以管理文件、运行程序并使用系统。上电后，内核启动，激活内核空间，抽象硬件、初始化硬件参数等，运行并维护虚拟内存、调度器、信号及进程间通信(IPC)。内核启动后，再加载Shell和用户应用程序。应用程序在启动后被编译成机器码，形成一个进程。

图3示例性示出了根据示例性实施例中控制设备100的配置框图。如图3所示，控制设备100包括控制器110、通信接口130、用户输入/输出接口、存储器、供电电源。

控制设备100被配置为控制显示设备200，以及可接收用户的输入操作指令，且将操作指令转换为显示设备200可识别和响应的指令，起用用户与显示设备200之间交互中介作用。如：用户通过操作控制设备100上频道加减键，显示设备200响应频道加减的操作。

在一些实施例中，控制设备100可是一种智能设备。如：控制设备100可根据用户需求安装控制显示设备200的各种应用。

在一些实施例中，如图1所示，移动终端300或其他智能电子设备，可在安装操控显示设备200的应用之后，可以起到控制设备100类似功能。如：用户可以通过安装应用，在移动终端300或其他智能电子设备上可提供的图形用户界面的各种功能键或虚拟按钮，以实现控制设备100实体按键的功能。

控制器110包括处理器112和RAM 113和ROM 114、通信接口130以及通信总线。控制器用于控制控制设备100的运行和操作，以及内部各部件之间通信协作以及外部和内部的数据处理功能。

通信接口130在控制器110的控制下，实现与显示设备200之间控制信号和数据信号的通信。如：将接收到的用户输入信号发送至显示设备200上。通信接口130可包括WiFi芯片131、蓝牙模块132、NFC模块133等其他近场通信模块中至少之一种。

用户输入/输出接口140，其中，输入接口包括麦克风141、触摸板142、传感器143、按键144等其他输入接口中至少一者。如：用户可以通过语音、触摸、手势、按压等动作实现用户指令输入功能，输入接口通过将接收的模拟信号转换为数字信号，以及数字信号转换为相应指令信号，发送至显示设备200。

输出接口包括将接收的用户指令发送至显示设备200的接口。在一些实施例中，可以红外接口，也可以是射频接口。如：红外信号接口时，需要将用户输入指令按照红外控制协议转化为红外控制信号，经红外发送模块进行发送至显示设备200。再如：射频信号接口时，需将用户输入指令转化为数字信号，然后按照射频控制信号调制协议进行调制后，由射频发送端子发送至显示设备200。

在一些实施例中，控制设备100包括通信接口130和输入输出接口140中至少一者。控制设备100中配置通信接口130，如：WiFi、蓝牙、NFC等模块，可将用户输入指令通过WiFi协议、或蓝牙协议、或NFC协议编码，发送至显示设备200.

存储器190，用于在控制器的控制下存储驱动和控制控制设备200的各种运行程序、数据和应用。存储器190，可以存储用户输入的各类控制信号指令。

供电电源180，用于在控制器的控制下为控制设备100各元件提供运行电力支持。可以电池及相关控制电路。

在一些实施例中，系统可以包括内核(Kernel)、命令解析器(shell)、文件系统和应用程序。内核、shell和文件系统一起组成了基本的操作系统结构，它们让用户可以管理文件、运行程序并使用系统。上电后，内核启动，激活内核空间，抽象硬件、初始化硬件参数等，运行并维护虚拟内存、调度器、信号及进程间通信(IPC)。内核启动后，再加载Shell和用户应用程序。应用程序在启动后被编译成机器码，形成一个进程。

为清楚说明本申请的实施例，下面结合图4对本申请实施例提供的一种语音识别网络架构进行描述。

参见图4，图4示例性示出了根据一些实施例的一种语音识别网络架构示意图。图4中，智能设备用于接收输入的信息以及输出对该信息的处理结果。语音识别服务设备为部署有语音识别服务的电子设备，语义服务设备为部署有语义服务的电子设备，业务服务设备为部署有业务服务的电子设备。这里的电子设备可包括服务器、计算机等，这里的语音识别服务、语义服务(也可称为语义引擎)和业务服务为可部署在电子设备上的web服务，其中，语音识别服务用于将音频识别为文本，语义服务用于对文本进行语义解析，业务服务用于提供具体的服务如墨迹天气的天气查询服务、QQ音乐的音乐查询服务等。在一个实施例中，图4所示架构中可存在部署有不同业务服务的多个实体服务设备，也可以一个或多个实体服务设备中集合一项或多项功能服务。

需要说明的是，图4所示架构只是一种示例，并非对本申请保护范围的限定。本申请实施例中，也可采用其他架构来实现类似功能，例如：三个过程全部或部分可以由智能终端来完成，在此不做赘述。

下面对于本申请中涉及的名称进行解释。

应用程序接口服务(application programming interface，API server)为一种K8S平台的接口服务，提供K8S各类资源对象的增删改查及查看等接口，API server为整个K8S平台的数据总线和数据中心。具体的，API server提供了集群管理的接口，包括认证授权、数据校验以及集群状态变更；API server提供其他模块之间的数据交互和通信的枢纽；API server提供资源配额控制的入口；API server拥有完备的集群安全机制。

系统服务(Service)为K8S核心的资源对象之一，Service定义了一个服务的访问入口地址，前端的应用容器(Pod)通过服务的访问入口地址访问其背后的一组由Pod副本组成的集群实例。Service与Service后端Pod副本集群之间则是通过标签选择器(LabelSelector)来实现"无缝对接"。而复制控制器(Replication Controller，RC)的作用实际上是保证Service的服务能力和服务质量处于预期的标准。

目前，为适应智能语音业务的发展，智能语音云平台在逐步进行微服务化。智能语音云平台大多采用K8S技术对众多微服务通进行管理和调度。

相关技术中，智能语音云平台通常部署在内网，在内网和外网之间，通常设置有安全装置来提供安全防护，从而一定程度上降低智能语音云平台以及智能语音云平台上的微服务所面临的外部进入的安全风险。然而，相关技术的对于智能语音云平台的安全防护方法，只能防护智能语音云平台外部的安全攻击，智能语音云平台上的微服务以及微服务所在的工作节点之间均不设置安全防护策略。因此，相关技术的安全防护方法，对于突破已经突破外部安全装置的攻击，则缺少保护手段，也无法防止内部相互感染的防线，从而导致智能语音云平台的信息安全性较低。

为解决上述问题，本申请实施例提供一种安全防护设备以及安全防护方法，以解决现有技术中智能语音云平台的信息安全性较低的问题。本申请实施例通过安全防护设备中的控制模块为目标服务分别生成安全执行策略，并通过下发给执行模块来使目标服务对应的工作节点上执行安全执行策略。通过该方式，可以针对各工作节点上的服务分别执行安全执行策略，从而可以对工作节点之间以及服务之间设置安全防护，进而提高了智能语音云平台的信息安全性。

可以理解，上述安全防护方法可以通过本申请实施例提的安全防护设备实现，在一些实施例中，该安全防护装置可以为服务器，在另一些实施例中，上述显示设备也可以作为智能语音云平台的安全防护装置。

下面对于本申请实施例涉及的安全防护设备以及安全防护方法进行说明。下面以集成或安装有相关执行代码的安全防护设备为例以具体地实施例对本申请实施例的技术方案进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例不再赘述。

本申请实施例提供一种安全防护方法。图5示例性示出了根据一些实施例的一种安全防护方法的原理示意图。如图5所示，该安全防护方法涉及的是如何为安全防护设备内的服务之间设置如何安全执行策略的具体过程。

在本申请实施例中，当需要进行安全防护时，安全防护设备的控制模块可以从安全防护设备的存储模块中获取用户输入的安全配置信息。

其中，控制模块可以为K8S平台中的内部安全控制器(Internal SecurityController)，安全配置信息中可以包括可执行安全配置信息的目标服务、允许访问的服务、安全配置状态以及安全策略说明等信息。

本申请实施例对于用户如何向安全防护输入安全配置信息不作限制，在一些实施例中，安全防护设备还包括界面模块。在控制模块从存储模块中获取用户输入的安全配置信息之前，界面模块可以接收用户输入的安全配置信息。随后，界面模块将安全配置信息存入存储模块中的配置信息表中。

其中，界面模块可以为K8S平台中的内部安全界面(Internal SecurityDashboard)，用于为用户提供登录及安全配置查看页面，并将用户输入的安全配置信息写入存储模块中。

需要说明的是，本申请实施例涉及的存储模块，可以包含多个数据表，各个数据表用于存储不同的数据。在一些实施例中，安全配置信息可以存储在存储模块中的策略信息表(Policy Table)中。相应的，控制模块可以从存储模块中的配置信息表中获取用户输入的安全配置信息。示例性的，表1为本申请实施例提供的一种配置信息表。该配置信息表可以存储安全配置信息对应的service、目标服务、配置状态、安全配置说明等信息。

表1

在本申请实施例中，当控制模块获取到安全配置信息后，控制模块可以根据策略标准信息，确定安全配置信息是否有效。若是，则控制模块获取可执行安全配置信息的目标服务的服务信息。若否，向输入安全配置信息的终端发送错误提示。

本申请实施例对于如何确定安全配置信息是否有效不作限制，在一些实施例中，控制模块可以将用户输入安全配置信息与安全配置信息的标准配置规则进行核验，从而确定安全配置信息是否有效。

其中，目标服务的服务信息包括service信息，目标服务所在的工作节点(node)信息、目标服务对应的网际互连协议(Internet Protocol，IP)地址和访问目标服务的目的服务对应的容器(pod)名，pod IP及目标服务所在的节点IP。

本申请实施例对于如何获取目标服务的服务信息不作限制，在一些实施例中，控制模块可以从安全防护设备的接口服务获取可执行安全配置信息的目标服务的服务信息。

在本申请实施例中，当控制模块获取可执行安全配置信息的目标服务的服务信息后，可以根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略。

在一些实施例中，控制模块可以依据目标服务的服务信息，对安全配置信息进行适配，从而生成专用于目标服务的目标服务的安全执行策略。

在一种可选的实施方式中，当控制模块生成目标服务的安全执行策略后，可以将目标服务的安全执行策略存入存储模块中的执行策略表中。

示例性的，表2为本申请实施例提供的一种执行策略表(Exec Policy Table)。该执行策略表可以存储安全策略对应的目标服务的服务信息。

表2

在本申请实施例中，当控制模块生成目标服务的安全执行策略后，可以将目标服务的安全执行策略发送给执行模块。随后，执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。

在一些实施例中，执行模块接收到安全执行策略后，可以根据安全执行策略查找目标服务以及目标服务允许访问的服务的IP。随后，基于目标服务以及目标服务允许访问的服务的IP创建网络策略(Network Policy)对象文件，再在Network Policy对象文件中添加安全执行策略中包含的防火墙规则，最后进一步通过集群的命令行工具(kubectl)创建Network Policy对象。

在一些实施例中，创建Network Policy对象，可以包括入目标服务所在容器的安全策略(Ingress)和出安全节点的安全策略(Egress)。在创建Network Policy对象的过程中，如果创建过程中包括Ingress，则Ingress部分定义的安全策略生效，如果创建过程中包括Egress，则Egress部分定义的安全策略生效。

需要说明的是，ingress与egress都只包含一条安全策略，两者都是数组，可以包含多条规则。当包含多条时，条目之间的逻辑关系是“或”，只要匹配其中一条就可以。

在一些实施例中，Network Policy对象还可以包括其他安全数组(.spec.ingress[].from)，数组成员对访问目标服务所在容器的外部资源进行描述，符合条件的外部资源才可以访问目标服务所在容器。示例性的，安全数组可以通过允许通过的协议及端口号对访问目标服务所在容器的外部资源进行描述。

在另一些实施例中，Network Policy对象还可以定义的是目标服务所在容器想要访问的外部访问地址。

在本申请实施例中，执行模块在执行完安全执行策略后，还可以向控制模块反馈安全执行策略的执行结果。控制模块接收到安全执行策略后，还可以将安全执行策略的执行结果存入存储模块中的执行结果表中。

示例性的，表3为本申请实施例提供的一种执行结果表(Policy Result Table)。该执行结果表可以存储安全策略执行结果。

表3

下面提供几种在执行安全策略后安全防护设备针对不同情况的应对方式。

在一些实施例中，执行模块在执行安全执行策略后，若执行模块被指示重新启动，则当执行模块接收到重启指示后，可以向控制模块发送获取请求，该获取请求用于请求重新获取目标服务的安全执行策略。随后，控制模块在接收到获取请求后，可以向执行模块重新发送的目标服务的安全执行策略。最后，执行模块重新在目标服务对应的工作节点上执行目标服务的安全执行策略。

在一些实施例中，执行模块在执行安全执行策略后，若工作节点的状态发生变化后，控制模块可以从安全防护设备的接口服务获取目标服务对应的工作节点的状态。若目标服务对应的工作节点的状态变更，则控制模块向执行模块发送变更指示，该变更指示用于删除或新增目标服务的安全执行策略。随后，执行模块在接收到变更指示后，可以删除目标服务的安全执行策略，或新增目标服务的安全执行策略。最后，执行模块向控制模块发送变更指示的执行结果，控制模块将变更指示的执行结果存入存储模块中的执行结果表中。

在一些实施例中，执行模块在执行安全执行策略后，如果安全执行策略由有效更改为无效，则控制模块可以在存储模块中的执行结果表中删除该安全执行策略，并向执行模块发送该安全执行策略的删除指令。

下面以智能语音云平台中的语音购物服务为例，举例说明语音购物服务进行安全防护的过程。

示例性的，若用户想要对语音购物服务的访问进行安全限制，例如，将语音购物服务设置为仅可以被智能电视服务访问，或者，将语音购物服务设置为可以访问开支付服务，则用户首先可以通过安全防护设备的界面模块将上述访问限制条件作为安全配置信息发送给安全防护设备。其次，安全防护设备的控制模块可以确定可执行该安全配置信息的目标服务为语音购物服务，并获取语音购物服务的IP地址、pod IP等服务信息。再次，安全防护设备的控制模块基于安全配置信息以及语音购物服务的服务信息，生成访问限制相关的安全执行策略，该安全执行策略中可以包括智能电视服务的服务名、智能电视服务的IP、支付服务的服务名、支付服务的IP，语音购物服务所在的工作节点的IP、语音购物服务对应的端口等信息。最后，安全防护设备的控制模块将安全执行策略发送给语音购物服务所在的工作节点，由语音购物服务所在的工作节点执行该安全执行策略。在执行该安全执行策略后，语音购物服务成功建立起访问限制，除智能电视服务以外的服务无法访问语音购物服务，语音购物服务也无法访问支付服务以外的服务。

本申请实施例提供的安全防护方法，控制模块从存储模块中获取用户输入的安全配置信息。控制模块获取可执行安全配置信息的目标服务的服务信息。控制模块根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略。控制模块将目标服务的安全执行策略发送给执行模块。执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。通过该方式，可以针对各工作节点上的服务分别执行安全执行策略，从而可以对工作节点之间以及服务之间设置安全防护，从而提高了智能语音云平台的信息安全性。

图6示例性示出了根据一些实施例的一种安全防护方法的信令交互图，本实施例涉及的是安全防护设备如何为目标服务设置安全执行策略的具体过程，该安全防护方法应用于安全防护设备，该安全防护设备包括控制模块、执行模块和存储模块。如图6所示，该方法包括：

S301、存储模块向控制模块发送用户输入的安全配置信息。

S302、控制模块获取可执行安全配置信息的目标服务的服务信息。

S303、控制模块根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略。

S304、控制模块将目标服务的安全执行策略发送给执行模块。

S305、执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。

在上述实施例的基础上，下面对于执行模块在执行安全执行策略后安全执行策略发生变化的情况进行说明。图7示例性示出了根据一些实施例的另一种安全防护方法的信令交互图，如图7所示，该方法包括：

S401、存储模块向控制模块中发送变更后的安全配置信息。

S402、控制模块判断变更后的安全配置信息是否有效。

若是，则执行S404，若否，则执行S403。

S403、控制模块向界面模块反馈错误提示。

S404、控制模块确定原有安全配置信息被删除。

S405、控制模块向存储模块发送第一删除指示，该第一删除指示用于指示删除存储模块中存储的原有安全配置信息对应的安全执行策略。

S406、控制模块向执行模块发送第二删除指示，该第二删除指示用于指示执行模块删除安全配置信息对应的安全执行策略。

S407、执行模块删除安全配置信息对应的安全执行策略。

S408、执行模块向控制模块反馈第二删除指示的执行结果。

S409、控制模块向存储模块发送第二删除指示的执行结果。

在上述实施例的基础上，下面对于执行模块在执行安全执行策略后工作节点的状态发生变化的情况进行说明。图8示例性示出了根据一些实施例的再一种安全防护方法的信令交互图，如图8所示，该方法包括：

S501、控制模块从安全防护设备的接口服务获取目标服务对应的工作节点的状态。

S502、控制模块判断目标服务对应的工作节点的工作状态是否变更。

若是，则执行S503，若否，则执行S501。

S503、控制模块向存储模块发送第一变更指示，该第一变更指示用于指示在存储模块中删除或增加安全执行策略。

S504、控制模块向执行模块发送第二变更指示，该第二变更指示用于指示执行模块删除或增加安全执行策略。

S505、执行模块删除或增加安全执行策略。

S506、执行模块向控制模块反馈第二变更指示的执行结果。

S507、控制模块向存储模块发送第二变更指示的执行结果。

在上述实施例的基础上，下面对于执行模块在执行安全执行策略后执行模块重启的情况进行说明。图9示例性示出了根据一些实施例的又一种安全防护方法的信令交互图，如图9所示，该方法包括：

S601、执行模块判断执行模块是否重启。

若是，则执行S602，若否，则执行S601。

S602、执行模块向控制模块发送获取请求，该获取请求用于请求重新获取目标服务的安全执行策略。

S603、控制模块向执行模块重新发送目标服务的安全执行策略。

S604、执行模块重新在目标服务对应的工作节点上执行目标服务的安全执行策略。

在上述实施例的基础上，图10示例性示出了根据一些实施例的一种安全防护方法的流程示意图，如图10所示，该方法包括：

S701、获取用户输入的安全配置信息。

S702、获取可执行安全配置信息的目标服务的服务信息。

S703、根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略。

S704、在目标服务对应的工作节点上执行目标服务的安全执行策略。

本申请实施例提供的安全防护方法，控制模块从存储模块中获取用户输入的安全配置信息。控制模块获取可执行安全配置信息的目标服务的服务信息。控制模块根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略。控制模块将目标服务的安全执行策略发送给执行模块。执行模块在目标服务对应的工作节点上执行目标服务的安全执行策略。通过该方式，可以针对各工作节点上的服务分别执行安全执行策略，从而可以对工作节点之间以及服务之间设置安全防护，从而提高了智能语音云平台的信息安全性。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图11示例性示出了根据一些实施例的安全防护装置的结构示意图。该安全防护设备可以通过软件、硬件或者两者的结合实现，以执行上述实施例中的安全防护方法，该安全防护设备可例如上述服务器。如图11所示，该安全防护设备800包括：控制模块801、执行模块802、存储模块803和界面模块804。

存储模块803，用于存储用户输入的安全配置信息；

控制模块801，用于获取可执行安全配置信息的目标服务的服务信息；控制模块801根据安全配置信息和目标服务的服务信息，生成目标服务的安全执行策略；控制模块801将目标服务的安全执行策略发送给执行模块802；

执行模块802，用于在目标服务对应的工作节点上执行安全执行策略。

在本申请一些实施例中，控制模块801，还用于根据策略标准信息，确定安全配置信息是否有效；若安全配置信息有效，则获取可执行安全配置信息的目标服务的服务信息。

在本申请一些实施例中，控制模块801，具体用于从安全防护设备的接口服务获取可执行安全配置信息的目标服务的服务信息。

在本申请一些实施例中，执行模块802，还用于接收重启指示，重启指示用于指示重启执行模块802；向控制模块801发送获取请求，获取请求用于请求重新获取目标服务的安全执行策略；接收控制模块801重新发送的目标服务的安全执行策略；重新在目标服务对应的工作节点上执行目标服务的安全执行策略。

在本申请一些实施例中，控制模块801还用于从安全防护设备的接口服务获取目标服务对应的工作节点的状态；若目标服务对应的工作节点的状态变更，则向执行模块802发送变更指示，变更指示用于删除或新增目标服务的安全执行策略；

执行模块802，用于执行变更指示。

在本申请一些实施例中，执行模块802，还用于向控制模块801发送变更指示的执行结果；

控制模块801，还用于将变更指示的执行结果存入存储模块803中的执行结果表中。

在本申请一些实施例中，安全防护设备还包括界面模块804；

界面模块804，用于接收用户输入的安全配置信息，并将安全配置信息存入存储模块803中的策略信息表中。

在本申请一些实施例中，执行模块802，还用于向控制模块801反馈安全执行策略的执行结果；

控制模块801，还用于将安全执行策略的执行结果存入存储模块803中的执行结果表中。

本申请实施例提供的安全防护设备，可以执行上述方法实施例中的安全防护方法的动作，其实现原理和技术效果类似，在此不再赘述。

本申请实施例还提供一种电子设备，包括：存储器与处理器；

存储器，用于存储处理器的可执行指令；

处理器配置为经由执行可执行指令来执行上述安全防护方法。

本申请实施例还提供一种程序，该程序在被处理器执行时用于执行以上方法实施例提供的安全防护方法。

本申请实施例还提供一种程序产品，例如计算机可读存储介质，该程序产品中存储有指令，当其在计算机上运行时，使得计算机执行上述方法实施例提供的安全防护方法。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生根据本发明实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

为了方便解释，已经结合具体的实施方式进行了上述说明。但是，上述示例性的讨论不是意图穷尽或者将实施方式限定到上述公开的具体形式。根据上述的教导，可以得到多种修改和变形。上述实施方式的选择和描述是为了更好的解释原理以及实际的应用，从而使得本领域技术人员更好的使用实施方式以及适于具体使用考虑的各种不同的变形的实施方式。

Claims (10)

1.一种安全防护方法，其特征在于，所述方法应用于安全防护装置，所述安全防护装置包括控制模块、执行模块和存储模块，所述方法包括：

所述控制模块从所述存储模块中获取安全配置信息；

所述控制模块获取可执行所述安全配置信息的目标服务的服务信息；

所述控制模块根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；

所述控制模块将所述目标服务的安全执行策略发送给所述执行模块；

所述执行模块在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

2.根据权利要求1所述的方法，其特征在于，在所述控制模块获取可执行所述安全配置信息的目标服务的服务信息之前，所述方法还包括：

所述控制模块根据策略标准信息，确定所述安全配置信息是否有效；

所述控制模块获取可执行所述安全配置信息的目标服务的服务信息，包括：

若所述安全配置信息有效，则所述控制模块获取可执行所述安全配置信息的目标服务的服务信息。

3.根据权利要求2所述的方法，其特征在于，所述控制模块获取可执行所述安全配置信息的目标服务的服务信息，包括：

所述控制模块从所述安全防护设备的接口服务获取可执行所述安全配置信息的目标服务的服务信息。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述执行模块接收重启指示，所述重启指示用于指示重启所述执行模块；

所述执行模块向所述控制模块发送获取请求，所述获取请求用于请求重新获取所述目标服务的安全执行策略；

所述控制模块向所述执行模块重新发送所述目标服务的安全执行策略；

所述执行模块重新在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述控制模块从所述安全防护设备的接口服务获取所述目标服务对应的工作节点的状态；

若所述目标服务对应的工作节点的状态变更，则所述控制模块向所述执行模块发送变更指示，所述变更指示用于删除或新增所述目标服务的安全执行策略；

所述执行模块执行所述变更指示。

6.根据权利要求5所述的方法，其特征在于，在所述执行模块执行所述变更指示之后，所述方法还包括：

所述执行模块向所述控制模块发送所述变更指示的执行结果；

所述控制模块将所述变更指示的执行结果存入所述存储模块中的执行结果表中。

7.根据权利要求1-6任一项所述的方法，其特征在于，所述安全防护设备还包括界面模块；在所述控制模块从所述存储模块中获取用户输入的安全配置信息之前，所述方法还包括：

所述界面模块接收用户输入的安全配置信息；

所述界面模块将所述安全配置信息存入所述存储模块中的策略信息表中。

8.根据权利要求1-6任一项所述的方法，其特征在于，在所述执行模块在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略之后，所述方法还包括：

所述执行模块向所述控制模块反馈所述安全执行策略的执行结果；

所述控制模块将所述安全执行策略的执行结果存入所述存储模块中的执行结果表中。

9.一种安全防护方法，其特征在于，所述方法包括：

获取用户输入的安全配置信息；

获取可执行所述安全配置信息的目标服务的服务信息；

根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；

在所述目标服务对应的工作节点上执行所述目标服务的安全执行策略。

10.一种安全防护装置，其特征在于，包括：控制模块、执行模块和存储模块；

所述存储模块，用于存储用户输入的安全配置信息；

所述控制模块，用于获取可执行所述安全配置信息的目标服务的服务信息；所述控制模块根据所述安全配置信息和所述目标服务的服务信息，生成所述目标服务的安全执行策略；所述控制模块将所述目标服务的安全执行策略发送给所述执行模块；

所述执行模块，用于在所述目标服务对应的工作节点上执行所述安全执行策略。

Images