CN112541183B - 数据处理方法及装置、边缘计算设备、存储介质 - Google Patents

Abstract

本发明涉及计算机技术领域，公开了一种数据处理方法及装置、边缘计算设备、存储介质。本发明通过与局域网建立通信连接的边缘计算设备采集局域网内传输的客户端样本数据，并对客户端样本数据进行检测得到检测结果，进而根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性；解决了相关技术中由于云端设备的处理数据量大造成对客户端样本数据的处理效率低的问题，降低了云端设备的处理压力，提升了对客户端样本数据的处理效率。

Description

数据处理方法及装置、边缘计算设备、存储介质

技术领域

本发明涉及计算机技术领域，尤其涉及一种数据处理方法、数据处理装置、边缘计算设备及存储介质。

背景技术

随着计算机技术的发展，尤其是计算机网络的飞速发展，相应数据的数量有着呈指数级增长的趋势。目前，各个大安全厂商普遍采用采集客户端样本数据，并将其上报至云端设备处实现相应处理，从而保证客户端样本数据的安全性，例如该客户端样本数据是否为恶意数据。但是，这种处理方式对于云端设备而言，处理的客户端样本数据的数量庞大，加重了云端设备的处理压力，且由于处理的客户端样本数据的数量庞大，也降低了对客户端样本数据的处理效率。

因此，如何能够降低云端设备的处理数据量以提升对客户端样本数据的处理效率是函待解决的问题。

发明内容

本发明的主要目的在于提供数据处理方法及装置、边缘计算设备、存储介质，旨在解决如何降低云端设备的处理数据量以提升对客户端样本数据的处理效率。

为实现上述目的，本发明提供一种数据处理方法，所述数据处理方法包括以下步骤：

采集所述局域网内传输的客户端样本数据；

对所述客户端样本数据进行检测得到检测结果；

根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理，以保证所述客户端样本数据的安全性。

可选的，所述对所述客户端样本数据进行检测得到检测结果的步骤，包括：

从所述客户端样本数据中提取出静态特征数据；

对所述静态特征数据进行检测得到静态检测结果。

可选的，所述对所述静态特征数据进行检测得到静态检测结果的步骤，包括：

将所述静态特征数据输入至静态检测模型中，得到所述静态特征数据对应的检测结果。

可选的，所述静态特征数据包括以下中的至少一种：

所述客户端样本数据的二进制文件、所述客户端样本数据的函数结构、

所述客户端样本数据的字符串以及所述客户端样本数据对应的图标。

可选的，所述对所述客户端样本数据进行检测得到检测结果的步骤，还包括：

从所述客户端样本数据中提取出动态行为特征数据；

对所述动态行为特征数据进行检测得到动态行为检测结果。

可选的，所述对所述动态行为特征数据进行检测得到动态行为检测结果的步骤，包括：

将所述动态行为特征数据输入至动态检测模型中，得到所述动态行为特征数据对应的检测结果。

可选的，所述动态行为特征数据包括以下中的至少一种：

所述客户端样本数据的虚拟行为启发时的行为特征、所述客户端样本数据的网络行为特征以及所述客户端样本数据的在沙箱中运行时的行为特征。

可选的，所述对所述客户端样本数据进行检测得到检测结果的步骤之后，还包括：

根据所述静态检测结果和所述动态行为检测结果生成安全检测结果；

所述根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理的步骤，包括：

根据所述安全检测结果在预设处理表中查找对应的处理规则，基于所述查找到的处理规则对所述客户端样本数据进行处理。

可选的，当查找到的处理规则为告警处理时，所述基于所述查找到的处理规则对所述客户端样本数据进行处理的步骤，包括：

基于所述安全检测结果生成告警信息，将所述告警信息发送至与所述局域网建立通信连接的管理设备，以使得所述管理设备对所述客户端样本数据进行展示。

可选的，所述对所述客户端样本数据进行检测得到检测结果的步骤之后，还包括：

接收云端设备发送的安全检测结果获取指令；

将所述安全检测结果发送至所述云端设备，以使得所述云端设备对各局域网的客户端样本数据进行整合分析。

可选的，所述采集所述局域网内传输的客户端样本数据的步骤，包括：

对与所述局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；

采集各设备对应的客户端样本数据。

可选的，所述对所述客户端样本数据进行检测得到检测结果的步骤之前，还包括：

根据预设筛选规则对所述客户端样本数据进行筛选，将筛选出的数据作为目标数据；

所述对所述客户端样本数据进行检测得到检测结果的步骤，包括：

对所述目标数据进行检测得到检测结果。

此外，为实现上述目的，本发明还提出一种数据处理装置，设置于与局域网建立通信连接的边缘计算设备上，所述数据处理装置包括：

采集模块，用于采集所述局域网内传输的客户端样本数据；

检测模块，用于对所述客户端样本数据进行检测得到检测结果；

处理模块，用于根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理，以保证所述客户端样本数据的安全性。

可选的，所述检测模块，还用于从所述客户端样本数据中提取出静态特征数据，对所述静态特征数据进行检测得到静态检测结果。

可选的，所述检测模块，还用于从所述客户端样本数据中提取出动态行为特征数据，对所述动态行为特征数据进行检测得到动态检测结果。

可选的，所述检测模块，还用于根据所述静态检测结果和所述动态行为检测结果生成安全检测结果；

所述处理模块，还用于根据所述安全检测结果在预设处理表中查找对应的处理规则，基于所述查找到的处理规则对所述客户端样本数据进行处理。

可选的，所述数据处理装置还包括：

接收模块，用于接收云端设备发送的安全检测结果获取指令；

发送模块，用于将所述安全检测结果发送至所述云端设备，以使得所述云端设备对各局域网的客户端样本数据进行整合分析。

可选的，所述采集模块，还用于对与所述局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；采集各设备对应的客户端样本数据。

此外，为实现上述目的，本发明还提出一种边缘计算设备，所述边缘计算设备包括：存储器、处理器及存储在所述存储器上并在所述处理器上运行数据处理程序，所述数据处理程序被所述处理器执行时实现如上文所述的数据处理方法的步骤。

此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有数据处理程序，所述数据处理程序被处理器执行时实现如上文所述的数据处理方法的步骤。

本发明提供的技术方案，通过与局域网建立通信连接的边缘计算设备采集局域网内传输的客户端样本数据，并对客户端样本数据进行检测得到检测结果，进而根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性；解决了相关技术中由于云端设备的处理数据量大造成对客户端样本数据的处理效率低的问题。

也即本发明提供的技术方案，直接由与局域网建立通信连接的边缘计算设备来对局域网内的客户端样本数据的安全进行管控，不用再分别上报至云端设备，避免了云端设备处理的客户端样本数据的数量大、处理压力大，进而造成对客户端样本数据的处理效率低的现象发生，即降低了云端设备的处理压力，提升了对客户端样本数据的处理效率。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的设备结构示意图；

图2为本发明数据处理方法第一实施例的流程示意图；

图3为本发明数据处理方法第二实施例的流程示意图；

图4为本发明数据处理方法第三实施例的流程示意图；

图5为本发明数据处理方法第四实施例的流程示意图；

图6为本发明数据处理装置第一实施例的结构框图；

图7为本发明数据处理装置第二实施例的结构框图；

图8为本发明数据处理装置第三实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

请参照图1，图1为本发明实施例方案涉及的硬件运行环境的边缘计算设备结构示意图。

如图1所示，该边缘计算设备可以包括：处理器1001，例如中央处理器（CentralProcessing Unit，CPU），通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏（Display），可选用户接口1003还可以包括标准的有线接口以及无线接口，而用户接口1003的有线接口在本发明中可为通用串行总线（Universal Serial Bus，USB）接口。网络接口1004可选的可以包括标准的有线接口以及无线接口（如WI-FI接口）。存储器1005可以是高速随机存取存储器（Random Access Memory，RAM）；也可以是稳定的存储器，比如，非易失存储器（Non-volatile Memory），具体可为，磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图1中示出的结构并不构成对边缘计算设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及数据处理程序。

在图1所示的边缘计算设备中，网络接口1004主要用于连接后台服务器，与后台服务器进行数据通信；用户接口1003主要用于连接外设；边缘计算设备通过处理器1001调用存储器1005中存储的数据处理程序，并执行本发明实施例提供的数据处理方法。

基于上述硬件结构，提出本发明的各实施例。

请参照图2，图2为本发明数据处理方法第一实施例的流程示意图。

本实施例中数据处理方法应用于与局域网建立通信连接的边缘计算设备，可以包括至少以下步骤：

需要说明的是，本实施例中的边缘计算设备引用了边缘计算，其具有云端设备的相应计算、处理能力。也即，本实施例中各局域网的客户端样本数据由原本的云端设备进行计算、处理，转换成由与各局域网分别建立通信连接的边缘计算设备来进行计算、处理，从而保证客户端样本数据的安全性。

其中，可以理解的是，边缘计算起源于传媒领域，是指在靠近物或数据源头的一侧，采用网络、计算、存储、应用核心能力为一体的开放平台，就近提供最近端服务；其应用程序在边缘侧发起，产生更快的网络服务响应，满足行业在实时业务、应用智能、安全与隐私保护等方面的基本需求；边缘计算处于物理实体和工业连接之间，或处于物理实体的顶端。

应当明确的是，本实施例中的局域网可以表征内部网络或私有网络或封闭网络。也即，本实施例中的数据处理方法尤其针对于内部网络或私有网络或封闭网络，其对安全性的要求往往较高，所以需要保证在内部网络或私有网络或封闭网络中传输的客户端样本数据的安全性。

其中，可以理解的是，内部网络或私有网络或封闭网络是指采用Internet技术建立的企业内部专用网络；它以TCP/IP协议作为基础，以Web为核心应用，构成统一和便利的信息交换平台；它可提供Web出版、交互、目录、电子邮件、广域互连、文件管理、打印和网络管理等多种服务。

步骤S20：采集局域网内传输的客户端样本数据。

在本实施例中，采集局域网内传输的客户端样本数据的步骤，可以包括至少以下步骤：

首先，对与局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；

然后，采集各设备对应的客户端样本数据。

可以理解的是，本实施例中可以对与局域网建立通信连接的各设备进行监测，从而采集客户端样本数据；具体地，可以对与局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的一个或多个进行监测，从而采集各设备对应的客户端样本数据。

其中，网络安全设备是指通过防火墙设置，使Internet或外部网络无法访问内部网络，或者对这种访问配备更多的限定条件；网络流量监控设备是指对数据流量进行监控过滤，将不良信息有效的掌握在监控范围内；主动探测设备是指通过不同位置的探测源和不同种类的探测接收器对网络问题进行测试，从而产生的网络问题进行解决，使其能够正常工作。

值得注意的是，本实施例中从与局域网建立通信连接的各设备中采集对应的客户端样本数据，并不局限于上述所示例的几种设备，只要能采集到客户端样本数据的设备均在本发明的保护范畴内，本发明对此不做具体限定，在实际应用中，可以根据具体应用场景做灵活调整。

在一些示例中，可以每隔预设时长监测与局域网建立通信连接的各设备，例如可以每隔1分钟、2分钟等监测与局域网建立通信连接的各设备，这样可以在一定程序上节省边缘计算设备的资源消耗。

在一些示例中，也可以持续监测与局域网建立通信连接的各设备，这样可以在一定程序上提升监测准确率，且能够获取到更多的客户端样本数据，从而提升了边缘计算设备对客户端样本数据进行处理的准确性，保证了客户端样本数据的安全性。

步骤S21：对客户端样本数据进行检测得到检测结果。

需要说明的是，本实施例中保证客户端样本数据的安全性考虑从客户端样本数据是否包含恶意代码。

其中，可以理解的是，恶意代码为运行在计算机上，使系统按照攻击者意愿执行任务的一组指令，恶意代码通过将指令在隐蔽自身的条件下嵌入到其他代码中，从而达到破坏被感染计算机上的数据信息的完整性、运行具有入侵性的程序的目的。

在本实施例中，对客户端样本数据进行检测得到检测结果的步骤，可以包括至少以下步骤：

首先，从客户端样本数据中提取出静态特征数据；

然后，对静态特征数据进行检测得到静态检测结果。

应当明确的是，本实施例中可以通过对客户端样本数据进行分析从而提取有效信息生成静态特征。

可以理解的是，本实施例中的静态特征数据包括但不限于客户端样本数据的二进制文件、客户端样本数据的函数结构、客户端样本数据的字符串以及客户端样本数据对应的图标；具体地，本实施例中的静态特征数据可以包括客户端样本数据的二进制文件、客户端样本数据的函数结构、客户端样本数据的字符串以及客户端样本数据对应的图标中的至少一种或多种。

值得注意的是，本实施例中的静态特征数据并不局限于上述所示例的几种静态特征数据，在实际应用中，可以根据具体应用场景做灵活调整；为了更好地理解，本实施例后续以静态特征数据包括客户端样本数据的二进制文件、客户端样本数据的函数结构、客户端样本数据的字符串以及客户端样本数据对应的图标进行示例说明。

其中，本实施例中对静态特征数据进行检测得到静态检测结果的步骤，可以包括至少以下步骤：

将静态特征数据输入至静态检测模型中，得到静态特征数据对应的检测结果。

可以理解的是，本实施例中边缘计算设备可以预设生成静态检测模型，进而可以直接将从客户端样本数据中提取出的静态特征数据输入至该静态检测模型中，输出对应的检测结果；这样，实现了对客户端样本数据的静态检测，且实现过程简单、易于实现，效率高。

具体地：

当静态特征数据包括客户端样本数据的二进制文件时，将客户端样本数据的二进制文件输入至静态检测模型中，得到客户端样本数据的二进制文件是否为已知恶意代码二进制文件的检测结果；

当静态特征数据包括客户端样本数据的函数结构时，将客户端样本数据的函数结构输入至静态检测模型中，得到客户端样本数据的函数结构是否为已知恶意代码函数结构的检测结果；

当静态特征数据包括客户端样本数据的字符串时，将客户端样本数据的字符串输入至静态检测模型中，得到客户端样本数据的字符串是否为已知恶意代码字符串的检测结果；

当静态特征数据包括客户端样本数据对应的图标时，将客户端样本数据对应的图标输入至静态检测模型中，得到客户端样本数据对应的图标是否为已知恶意代码图标的检测结果。

在本实施例中，对客户端样本数据进行检测得到检测结果的步骤，还可以包括至少以下步骤：

首先，从客户端样本数据中提取出动态行为特征数据；

然后，对动态行为特征数据进行检测得到动态行为检测结果。

应当明确的是，本实施例中恶意代码的动态行为特征表征恶意代码的API函数调用特征，软件的运行基本上利用操作系统提供的各种API函数来实现程序既定的功能；例如通过API调用对操作系统内存中的数据分配、读写、清楚、移动等，通过API调用与远程服务器建立连接，监听某个端口的网络信息等，而多态及变种恶意代码在运行时整体的API函数调用是类似的，因此提取恶意代码的动态行为特征后，就可以用于检测其他类似未知和变种恶意代码。因此，本实施例中可以通过跟踪程序的行为，例如以Hook，SSDT表，DebugAPI，或使用微软提供的平台WDK来获取API调用行为。

可以理解的是，本实施例中的动态行为特征数据包括但不限于客户端样本数据的虚拟行为启发时的行为特征、客户端样本数据的网络行为特征以及客户端样本数据的在沙箱中运行时的行为特征；具体地，本实施例中的动态行为特征数据可以包括客户端样本数据的虚拟行为启发时的行为特征、客户端样本数据的网络行为特征以及客户端样本数据的在沙箱中运行时的行为特征中的一种或多种。

值得注意的是，本实施例中的动态行为特征数据并不局限于上述所示例的几种动态行为特征数据，在实际应用中，可以根据具体应用场景做灵活调整；为了更好地理解，本实施例后续以动态行为特征数据包括客户端样本数据的虚拟行为启发时的行为特征、客户端样本数据的网络行为特征以及客户端样本数据的在沙箱中运行时的行为特征进行示例说明。

其中，本实施例中对动态行为特征数据进行检测得到动态行为检测结果的步骤，可以包括至少以下步骤：

将动态行为特征数据输入至动态检测模型中，得到动态行为特征数据对应的检测结果。

可以理解的是，本实施例中边缘计算设备可以预设生成动态检测模型，进而可以直接将从客户端样本数据中提取出的动态行为特征数据输入至该动态检测模型中，输出对应的检测结果；这样，实现了对客户端样本数据的动态检测，且实现过程简单、易于实现，效率高。

具体地：

当动态行为特征数据包括客户端样本数据虚拟行为启发时的行为特征时，将客户端样本数据虚拟行为启发时的行为特征输入至动态行为检测模型中，得到客户端样本数据虚拟行为启发时的行为特征是否为已知恶意代码虚拟行为启发时的行为特征的检测结果；

当动态行为特征数据包括客户端样本数据的网络行为特征时，将客户端样本数据的网络行为特征输入至动态行为检测模型中，得到客户端样本数据的网络行为特征是否为已知恶意代码的网络行为特征的检测结果；

当动态行为特征数据包括客户端样本数据在沙箱中运行时的行为特征时，将客户端样本数据在沙箱中运行时的行为特征输入至动态行为检测模型中，得到客户端样本数据在沙箱中运行时的行为特征是否为已知恶意代码在沙箱中运行时的行为特征的检测结果。

需要说明的是，本实施例中从客户端样本数据中提取出静态特征数据，并对静态特征数据进行检测得到静态检测结果，与本实施例中从客户端样本数据中提取出动态行为特征数据，并对动态行为特征数据进行检测得到动态行为检测结果，可以并行执行，也可以任一先执行任一后执行，对此本发明不做具体限定，在实际应用中，可以根据具体应用场景做灵活调整。

在本实施例中，对客户端样本数据进行检测得到检测结果的步骤之后，还包括至少以下步骤：

根据静态检测结果和动态行为检测结果生成安全检测结果。

可以理解的是，本实施例中在对客户端样本数据进行静态检测和动态检测，得到对应的静态检测结果和动态行为检测结果之后，还可以根据静态检测结果和动态行为检测结果生成安全检测结果。也即，本实施例中将安全检测结果作为对客户端样本数据的最终检测结果，从而后续可以根据该安全检测结果获知客户端样本数据的安全性，以在客户端样本数据的安全性较低时，对客户端样本数据进行相应处理，从而以保证客户端样本数据的安全性。

在本实施例中，对客户端样本数据进行检测得到检测结果的步骤之前，还可以包括至少以下步骤：

根据预设筛选规则对客户端样本数据进行筛选，将筛选出的数据作为目标数据。

其中，本实施例中对客户端样本数据进行检测得到检测结果的步骤，可以包括至少以下步骤：

对目标数据进行检测得到检测结果。

可以理解的是，本实施例中可以按照预设筛选规则对客户端样本数据进行筛选，并将筛选出的数据作为目标数据，进而对目标数据进行检测得到检测结果；具体地，对目标数据进行静态检测和动态检测，已在上述进行说明，这里不再赘述。这样，通过对客户端样本数据先进行筛选，减少了边缘计算设备的数据量，从而进一步提升了处理效率。

可以理解的是，本实施例中的预设筛选规则包括但不限于数据是否重复，数据是否包含敏感关键词，数据是否包含预设关键词等，例如根据预设筛选规则筛选出重复数据、敏感数据、红线数据等；在实际应用中，预设筛选规则可以根据具体应用场景做灵活调整。

在本实施例中，对客户端样本数据进行检测得到检测结果的步骤之后，还可以包括至少以下步骤：

首先，接收云端设备发送的安全检测结果获取指令；

然后，将安全检测结果发送至云端设备，以使得云端设备对各局域网的客户端样本数据进行整合分析。

可以理解的是，本实施例中的边缘计算设备还可以与云端设备建立通信连接，因此，边缘计算设备可以接收云端设备发送的安全检测结果获取指令，进而在接收到云端设备发送的安全检测结果获取指令时，将安全检测结果发送至云端设备，从而云端设备能够获取到来自不同边缘计算设备发送的安全检测结果，并对各安全检测结果进行整合分析。这样，通过将检测结果发送至云端设备进行整合分析，实现了从整体上对来自不同局域网的客户端样本数据进行全面分析，进一步保证了客户端样本数据的安全性。

在一些示例中，也可以是边缘计算设备在生成安全检测结果之后，便直接将安全检测结果发送至云端设备，无需等待云端设备下发安全检测结果获取指令。

在一些示例中，边缘计算设备还可以接收云端设备发送的整合分析结果，这样，边缘计算设备能够根据该整合分析结果实现对客户端样本数据的检测与处理，进一步保证了客户端样本数据的安全性。

步骤S22：根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性。

在本实施例中，根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理的步骤，可以包括至少以下步骤：

根据安全检测结果在预设处理表中查找对应的处理规则，基于查找到的处理规则对客户端样本数据进行处理。

可以理解的是，本实施例中可以预先生成预设处理表，其中预设处理表中包含了各安全检测结果及其各自对应的处理规则；例如请参照表一所示，为一种示例的预设处理表。

表一

安全检测结果	处理规则
		安全性<A1	K1
A2<安全性<A3	K2
		A4<安全性<A5	K3

具体地，当查找到的处理规则为告警处理时，基于查找到的处理规则对客户端样本数据进行处理的步骤，可以包括至少以下步骤：

基于安全检测结果生成告警信息，将告警信息发送至与局域网建立通信连接的管理设备，以使得管理设备对客户端样本数据进行展示。

可以理解的是，本实施例中在安全检测结果的安全性低于预设阈值时，即表征极大可能为恶意代码，所以可以基于安全检测结果生成告警信息，并将告警信息发送至与局域网建立通信连接的管理设备，从而管理设备能够获知该客户端样本数据为恶意代码，对客户端样本数据进行展示。

值得注意的是，本实施例中处理规则包括但不限于告警处理、拦截处理等，在实际应用中，可以根据具体应用场景做灵活调整。

本实施例中，通过与局域网建立通信连接的边缘计算设备来对局域网内的客户端样本数据的安全进行管控，不用再分别上报至云端设备，避免了云端设备处理的客户端样本数据的数量大、处理压力大，进而造成对客户端样本数据的处理效率低的现象发生，降低了云端设备的处理压力，提升了对客户端样本数据的处理效率。

请参照图3，图3为本发明数据处理方法第二实施例的流程示意图，基于上述各实施例，提出本发明数据处理方法的第二实施例。

步骤S30：采集局域网内传输的客户端样本数据。

需要说明的是，本实施例中的各步骤均由与局域网建立通信连接的边缘计算设备执行。

其中，本实施例中步骤S31包括以下步骤，具体地：

步骤S310：从客户端样本数据中提取出静态特征数据。

其中，本实施例中的静态特征数据包括客户端样本数据的二进制文件、客户端样本数据的函数结构、客户端样本数据的字符串以及客户端样本数据对应的图标。

步骤S311：对静态特征数据进行检测得到静态检测结果。

其中，本实施例中：

当静态特征数据包括客户端样本数据的二进制文件时，将客户端样本数据的二进制文件输入至静态检测模型中，得到客户端样本数据的二进制文件是否为已知恶意代码二进制文件的检测结果；

当静态特征数据包括客户端样本数据的函数结构时，将客户端样本数据的函数结构输入至静态检测模型中，得到客户端样本数据的函数结构是否为已知恶意代码函数结构的检测结果；

当静态特征数据包括客户端样本数据的字符串时，将客户端样本数据的字符串输入至静态检测模型中，得到客户端样本数据的字符串是否为已知恶意代码字符串的检测结果；

当静态特征数据包括客户端样本数据对应的图标时，将客户端样本数据对应的图标输入至静态检测模型中，得到客户端样本数据对应的图标是否为已知恶意代码图标的检测结果。

步骤S312：从客户端样本数据中提取出动态行为特征数据。

其中，本实施例中的动态行为特征数据包括客户端样本数据的虚拟行为启发时的行为特征、客户端样本数据的网络行为特征以及客户端样本数据的在沙箱中运行时的行为特征。

步骤S313：对动态行为特征数据进行检测得到动态行为检测结果。

其中，本实施例中：

当动态行为特征数据包括客户端样本数据虚拟行为启发时的行为特征时，将客户端样本数据虚拟行为启发时的行为特征输入至动态行为检测模型中，得到客户端样本数据虚拟行为启发时的行为特征是否为已知恶意代码虚拟行为启发时的行为特征的检测结果；

当动态行为特征数据包括客户端样本数据的网络行为特征时，将客户端样本数据的网络行为特征输入至动态行为检测模型中，得到客户端样本数据的网络行为特征是否为已知恶意代码的网络行为特征的检测结果；

当动态行为特征数据包括客户端样本数据在沙箱中运行时的行为特征时，将客户端样本数据在沙箱中运行时的行为特征输入至动态行为检测模型中，得到客户端样本数据在沙箱中运行时的行为特征是否为已知恶意代码在沙箱中运行时的行为特征的检测结果。

需要说明的是，本实施例中的步骤S310~步骤S311与步骤S312~步骤S313并行执行。

步骤S32：根据静态检测结果和动态行为检测结果生成安全检测结果。

步骤S33：根据安全检测结果在预设处理表中查找对应的处理规则，基于查找到的处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性。

其中，本实施例中当查找到的处理规则为告警处理时，基于安全检测结果生成告警信息，将告警信息发送至与局域网建立通信连接的管理设备，以使得管理设备对客户端样本数据进行展示。

本实施例中，通过边缘计算设备对客户端样本数据进行静态检测和动态检测，得到对应的静态检测结果和动态行为检测结果，并根据静态检测结果和动态行为检测结果生成安全检测结果，进而将安全检测结果作为对客户端样本数据的最终检测结果，从而可以根据该安全检测结果获知客户端样本数据的安全性，以在客户端样本数据的安全性较低时，对客户端样本数据进行相应处理，保证了客户端样本数据的安全性。

请参照图4，图4为本发明数据处理方法第三实施例的流程示意图，基于上述各实施例，提出本发明数据处理方法的第三实施例。

步骤S40：对与局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测。

需要说明的是，本实施例中的各步骤均由与局域网建立通信连接的边缘计算设备执行。

步骤S41：采集各设备对应的客户端样本数据。

步骤S42：根据预设筛选规则对客户端样本数据进行筛选，将筛选出的数据作为目标数据。

步骤S43：对目标数据进行检测得到检测结果。

其中，本实施例中可以通过对客户端样本数据进行静态检测和动态检测，得到对应的静态检测结果和动态行为检测结果，并根据静态检测结果和动态行为检测结果生成安全检测结果，即得到最终的检测结果。

步骤S44：根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性。

其中，本实施例中当查找到的处理规则为告警处理时，基于检测结果生成告警信息，将告警信息发送至与局域网建立通信连接的管理设备，以使得管理设备对客户端样本数据进行展示。

本实施例中，通过边缘计算设备从诸多设备中采集客户端样本数据，采集到的客户端样本数据更加全面、完善，从而提升了对客户端样本数据进行安全保护的全面性；并且还通过按照预设筛选规则对客户端样本数据进行筛选，减少了边缘计算设备的数据量，提升了处理效率。

请参照图5，图5为本发明数据处理方法第四实施例的流程示意图，基于上述各实施例，提出本发明数据处理方法的第四实施例。

步骤S50：采集局域网内传输的客户端样本数据。

需要说明的是，本实施例中的各步骤均由与局域网建立通信连接的边缘计算设备执行。

步骤S51：对客户端样本数据进行检测得到检测结果。

其中，本实施例中可以通过对客户端样本数据进行静态检测和动态检测，得到对应的静态检测结果和动态行为检测结果，并根据静态检测结果和动态行为检测结果生成安全检测结果，即得到最终的检测结果。

步骤S52：判断是否接收到云端设备发送的检测结果获取指令；

若是，执行步骤S53，若否，继续执行步骤S52。

步骤S53：将检测结果发送至云端设备，以使得云端设备对各局域网的客户端样本数据进行整合分析。

其中，本实施例中的步骤S52~步骤S53与步骤S54可以并行执行，也可以任一先执行，任一后执行。

其中，本实施例中也可以是在生成安全检测结果之后，直接将安全检测结果发送至云端设备，无需等待云端设备下发安全检测结果获取指令。

步骤S54：根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性。

本实施例中，通过边缘计算设备将检测结果发送至云端设备进行整合分析，实现了从整体上对来自不同局域网的客户端样本数据进行全面分析，保证了客户端样本数据的安全性。

请参照图6，图6为本发明数据处理装置第一实施例的结构框图，其中数据处理装置设置于与局域网建立通信连接的边缘计算设备上，数据处理装置包括：

采集模块60，用于采集局域网内传输的客户端样本数据；

检测模块61，用于对客户端样本数据进行检测得到检测结果；

处理模块62，用于根据检测结果确定处理规则，基于处理规则对客户端样本数据进行处理，以保证客户端样本数据的安全性。

具体实现中，采集模块60，还可以用于对与局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；采集各设备对应的客户端样本数据。

具体实现中，检测模块61，还可以用于从客户端样本数据中提取出静态特征数据，对静态特征数据进行检测得到静态检测结果。其中，检测模块61，用于将静态特征数据输入至静态检测模型中，得到静态特征数据对应的检测结果。

可以理解的是，本实施例中数据处理装置可以预设生成静态检测模型，进而可以直接将从客户端样本数据中提取出的静态特征数据输入至该静态检测模型中，输出对应的检测结果；这样，实现了对客户端样本数据的静态检测，且实现过程简单、易于实现，效率高。

本实施例中的静态特征数据包括但不限于客户端样本数据的二进制文件、客户端样本数据的函数结构、客户端样本数据的字符串以及客户端样本数据对应的图标。其中：

当静态特征数据包括客户端样本数据的二进制文件时，检测模块61用于将客户端样本数据的二进制文件输入至静态检测模型中，得到客户端样本数据的二进制文件是否为已知恶意代码二进制文件的检测结果；

当静态特征数据包括客户端样本数据的函数结构时，检测模块61用于将客户端样本数据的函数结构输入至静态检测模型中，得到客户端样本数据的函数结构是否为已知恶意代码函数结构的检测结果；

当静态特征数据包括客户端样本数据的字符串时，检测模块61用于将客户端样本数据的字符串输入至静态检测模型中，得到客户端样本数据的字符串是否为已知恶意代码字符串的检测结果；

当静态特征数据包括客户端样本数据对应的图标时，检测模块61用于将客户端样本数据对应的图标输入至静态检测模型中，得到客户端样本数据对应的图标是否为已知恶意代码图标的检测结果。

具体实现中，检测模块61，还可以用于从客户端样本数据中提取出动态行为特征数据，对动态行为特征数据进行检测得到动态检测结果。其中，检测模块61，用于将动态行为特征数据输入至动态检测模型中，得到动态行为特征数据对应的检测结果。

可以理解的是，本实施例中数据处理装置可以预设生成动态检测模型，进而可以直接将从客户端样本数据中提取出的动态行为特征数据输入至该动态检测模型中，输出对应的检测结果；这样，实现了对客户端样本数据的动态检测，且实现过程简单、易于实现，效率高。

本实施例中的动态行为特征数据包括客户端样本数据的虚拟行为启发时的行为特征、客户端样本数据的网络行为特征以及客户端样本数据的在沙箱中运行时的行为特征。其中：

当动态行为特征数据包括客户端样本数据虚拟行为启发时的行为特征时，检测模块61用于将客户端样本数据虚拟行为启发时的行为特征输入至动态行为检测模型中，得到客户端样本数据虚拟行为启发时的行为特征是否为已知恶意代码虚拟行为启发时的行为特征的检测结果；

当动态行为特征数据包括客户端样本数据的网络行为特征时，检测模块61用于将客户端样本数据的网络行为特征输入至动态行为检测模型中，得到客户端样本数据的网络行为特征是否为已知恶意代码的网络行为特征的检测结果；

当动态行为特征数据包括客户端样本数据在沙箱中运行时的行为特征时，检测模块61用于将客户端样本数据在沙箱中运行时的行为特征输入至动态行为检测模型中，得到客户端样本数据在沙箱中运行时的行为特征是否为已知恶意代码在沙箱中运行时的行为特征的检测结果。

具体实现中，检测模块61，还可以用于根据静态检测结果和动态行为检测结果生成安全检测结果；

具体实现中，处理模块62，还可以用于根据安全检测结果在预设处理表中查找对应的处理规则，基于查找到的处理规则对客户端样本数据进行处理。

其中，当查找到的处理规则为告警处理时，处理模块62用于基于安全检测结果生成告警信息，将告警信息发送至与局域网建立通信连接的管理设备，以使得管理设备对客户端样本数据进行展示。

本实施例提供的数据处理装置，通过对客户端样本数据进行静态检测和动态检测，得到对应的静态检测结果和动态行为检测结果，并根据静态检测结果和动态行为检测结果生成安全检测结果，进而将安全检测结果作为对客户端样本数据的最终检测结果，从而可以根据该安全检测结果获知客户端样本数据的安全性，以在客户端样本数据的安全性较低时，对客户端样本数据进行相应处理，保证了客户端样本数据的安全性。

请参照图7所示，图7为本发明数据处理装置第二实施例的结构框图，基于上述实施例，数据处理装置还可以包括：

接收模块63，用于接收云端设备发送的安全检测结果获取指令；

发送模块64，用于将安全检测结果发送至云端设备，以使得云端设备对各局域网的客户端样本数据进行整合分析。

具体实现中，接收模块63，还可以用于接收云端设备发送的整合分析结果。

具体实现中，发送模块64，还可以用于直接将安全检测结果发送至云端设备，无需等待云端设备下发安全检测结果获取指令。

本实施例提供的数据处理装置，通过在接收到云端设备发送的安全检测结果获取指令时，将安全检测结果发送至云端设备，从而云端设备能够获取到来自不同边缘计算设备发送的安全检测结果，并对各安全检测结果进行整合分析；这样，实现了从整体上对来自不同局域网的客户端样本数据进行全面分析，进一步保证了客户端样本数据的安全性。并且，还能够根据该整合分析结果实现对客户端样本数据的检测与处理，进一步保证了客户端样本数据的安全性。

请参照图8所示，图8为本发明数据处理装置第三实施例的结构框图，基于上述各实施例，数据处理装置还可以包括：

筛选模块65，用于根据预设筛选规则对客户端样本数据进行筛选，将筛选出的数据作为目标数据；

进一步地，检测模块61，用于对目标数据进行检测得到检测结果。

可以理解的是，本实施例中的预设筛选规则包括但不限于数据是否重复，数据是否包含敏感关键词，数据是否包含预设关键词等，例如根据预设筛选规则筛选出重复数据、敏感数据、红线数据等；在实际应用中，预设筛选规则可以根据具体应用场景做灵活调整。

本实施例提供的数据处理装置，通过按照预设筛选规则对客户端样本数据进行筛选，并将筛选出的数据作为目标数据，进而对目标数据进行检测得到检测结果；这样，减少了数据处理装置的处理数据量，从而进一步提升了处理效率。

本发明的数据处理装置采用了上述所有实施例的全部技术方案，因此至少具有上述实施例的技术方案所带来的所有有益效果，在此不再一一赘述。

此外，本发明实施例还提出一种存储介质，存储介质上存储有数据处理程序，数据处理程序被处理器执行时实现如上文的数据处理方法的步骤。

该存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、计算机程序模块或其他数据)的任何方法或技术中实施的易失性或非易失性、可移除或不可移除的介质。存储介质包括但不限于RAM（Random Access Memory，随机存取存储器）, ROM（Read-OnlyMemory，只读存储器）, EEPROM（Electrically Eraable Programmable read onlymemory，带电可擦可编程只读存储器）、闪存或其他存储器技术、CD-ROM（Compact DiscRead-Only Memory，光盘只读存储器），数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。

可见，本领域的技术人员应该明白，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件（可以用计算装置可执行的计算机程序代码来实现）、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (14)

1.一种数据处理方法，其特征在于，应用于与局域网建立通信连接的边缘计算设备，所述数据处理方法包括以下步骤：

采集所述局域网内传输的客户端样本数据；

对所述客户端样本数据进行检测得到检测结果；

根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理，以保证所述客户端样本数据的安全性；

所述对所述客户端样本数据进行检测得到检测结果的步骤，包括：

从所述客户端样本数据中提取出静态特征数据；

对所述静态特征数据进行检测得到静态检测结果；

所述对所述客户端样本数据进行检测得到检测结果的步骤，还包括：

从所述客户端样本数据中提取出动态行为特征数据；

对所述动态行为特征数据进行检测得到动态行为检测结果；

所述对所述客户端样本数据进行检测得到检测结果的步骤之后，还包括：

接收云端设备发送的安全检测结果获取指令；

将所述安全检测结果发送至所述云端设备，以使得所述云端设备对各局域网的客户端样本数据进行整合分析。

2.如权利要求1所述的数据处理方法，其特征在于，所述对所述静态特征数据进行检测得到静态检测结果的步骤，包括：

将所述静态特征数据输入至静态检测模型中，得到所述静态特征数据对应的检测结果。

3.如权利要求2所述的数据处理方法，其特征在于，所述静态特征数据包括以下中的至少一种：

所述客户端样本数据的二进制文件、所述客户端样本数据的函数结构、

所述客户端样本数据的字符串以及所述客户端样本数据对应的图标。

4.如权利要求1所述的数据处理方法，其特征在于，所述对所述动态行为特征数据进行检测得到动态行为检测结果的步骤，包括：

将所述动态行为特征数据输入至动态检测模型中，得到所述动态行为特征数据对应的检测结果。

5.如权利要求4所述的数据处理方法，其特征在于，所述动态行为特征数据包括以下中的至少一种：

客户端样本数据的虚拟行为启发时的行为特征、所述客户端样本数据的网络行为特征以及所述客户端样本数据的在沙箱中运行时的行为特征。

6.如权利要求1所述的数据处理方法，其特征在于，所述对所述客户端样本数据进行检测得到检测结果的步骤之后，还包括：

根据所述静态检测结果和所述动态行为检测结果生成安全检测结果；

所述根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理的步骤，包括：

根据所述安全检测结果在预设处理表中查找对应的处理规则，基于所述查找到的处理规则对所述客户端样本数据进行处理。

7.如权利要求6所述的数据处理方法，其特征在于，当查找到的处理规则为告警处理时，所述基于所述查找到的处理规则对所述客户端样本数据进行处理的步骤，包括：

基于所述安全检测结果生成告警信息，将所述告警信息发送至与所述局域网建立通信连接的管理设备，以使得所述管理设备对所述客户端样本数据进行展示。

8.如权利要求1-7中任一项所述的数据处理方法，其特征在于，所述采集所述局域网内传输的客户端样本数据的步骤，包括：

对与所述局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；

采集各设备对应的客户端样本数据。

9.如权利要求1-7中任一项所述的数据处理方法，其特征在于，所述对所述客户端样本数据进行检测得到检测结果的步骤之前，还包括：

根据预设筛选规则对所述客户端样本数据进行筛选，将筛选出的数据作为目标数据；

所述对所述客户端样本数据进行检测得到检测结果的步骤，包括：

对所述目标数据进行检测得到检测结果。

10.一种数据处理装置，其特征在于，设置于与局域网建立通信连接的边缘计算设备上，所述数据处理装置包括：

采集模块，用于采集所述局域网内传输的客户端样本数据；

检测模块，用于对所述客户端样本数据进行检测得到检测结果；

处理模块，用于根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理，以保证所述客户端样本数据的安全性；

所述对所述客户端样本数据进行检测得到检测结果，包括：

从所述客户端样本数据中提取出静态特征数据；

对所述静态特征数据进行检测得到静态检测结果；

所述对所述客户端样本数据进行检测得到检测结果，还包括：

从所述客户端样本数据中提取出动态行为特征数据；

对所述动态行为特征数据进行检测得到动态行为检测结果；

所述对所述客户端样本数据进行检测得到检测结果之后，还包括：

接收云端设备发送的安全检测结果获取指令；

将所述安全检测结果发送至所述云端设备，以使得所述云端设备对各局域网的客户端样本数据进行整合分析。

11.如权利要求10所述的数据处理装置，其特征在于，所述检测模块，还用于根据所述静态检测结果和所述动态行为检测结果生成安全检测结果；

所述处理模块，用于根据所述检测结果确定处理规则，基于所述处理规则对所述客户端样本数据进行处理，包括：

根据所述安全检测结果在预设处理表中查找对应的处理规则，基于所述查找到的处理规则对所述客户端样本数据进行处理。

12.如权利要求10-11中任一项所述的数据处理装置，其特征在于，所述采集模块，用于采集所述局域网内传输的客户端样本数据，包括：

对与所述局域网建立通信连接的网络安全设备、网络流量监控设备以及主动探测设备中的至少一个进行监测；

采集各设备对应的客户端样本数据。

13.一种边缘计算设备，其特征在于，所述边缘计算设备包括：存储器、处理器及存储在所述存储器上并在所述处理器上运行数据处理程序，所述数据处理程序被所述处理器执行时实现如权利要求1-9中任一项所述的数据处理方法的步骤。

14.一种存储介质，其特征在于，所述存储介质上存储有数据处理程序，所述数据处理程序被处理器执行时实现如权利要求1-9中任一项所述的数据处理方法的步骤。

Images