CN113676473A - 网络业务安全防护装置、方法以及存储介质 - Google Patents

Abstract

本公开提供了一种网络业务安全防护装置、方法以及存储介质，其中的装置包括：防护检测模块，用于根据服务地址信息、禁止入访地址信息以及预先设置的病毒信息，对与业务平台相对应的访问请求进行检测；资源检测模块，用于对与业务平台相对应的系统开销进行检测；接口检测模块，用于对与业务平台相对应的网络接口进行网络攻击检测，用以使业务平台保持对外提供服务；报警过滤模块，用于对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。本公开的装置、方法以及存储介质，提升了安全防护工作的精度和效率，提供高精度、高效率的安全防护服务。

Description

网络业务安全防护装置、方法以及存储介质

技术领域

本发明涉及通信技术领域，尤其涉及一种网络业务安全防护装置、方法以及存储介质。

背景技术

随着计算机网络、人工智能、大数据、云计算的发展，使网络业务平台与应用更加广泛与深入，同时也使其安全问题日益突出。由于计算机网络具有开放式体系结构，在带给人们便利的同时也导致网络的不安全性，网络被攻击、侵害事件时有发生。对于业务平台的现有安全防控技术可归纳为业务外部/前端的拦截，与业务内部自行部署的安全检测两类，但存在以下问题：1、安全公司的FW、WAF、IPS等设备，依赖病毒库，与真实业务脱节，存在严重的误报情况，增加无谓工作开销；2、检测网络中可执行文件是否被篡改、是否被植入等都是重点检查内容，文件数据签名是通常使用的文件比对验证技术，但存在计算资源、存储开销大，性能低、响应慢问题。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种网络业务安全防护装置、方法以及存储介质。

根据本公开的第一方面，提供一种网络业务安全防护装置，包括：配置模块，用于配置业务平台对外提供的服务地址信息以及禁止入访地址信息；防护检测模块，用于根据所述服务地址信息、所述禁止入访地址信息以及预先设置的病毒信息，对与所述业务平台相对应的访问请求进行检测；资源检测模块，用于对与所述业务平台相对应的系统开销进行检测；接口检测模块，用于对与所述业务平台相对应的网络接口进行网络攻击检测，用以使所述业务平台保持对外提供服务；报警过滤模块，用于对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

可选地，密码检测模块，用于对与所述业务平台相对应的登录日志进行检测，用以确定异常信息；其中，所述异常信息包括：密码输入错误信息、登录请求IP异常信息；文件检测模块，用于对与所述业务平台相对应的文件进行检测，用以判断所述文件是否发生修改。

可选地，任务调度模块，用于在所述配置模块配置完成后，采用定时任务调度方式调度所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块并行运行，进行检测处理。

可选地，数据采集模块，用于设置数据采集时间间隔，基于所述数据采集时间间隔数据设置采集周期，周期性获取所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块的结果数据，对所述结果数据通过融合方式进行存储。

可选地，所述数据采集模块，用于通过shell脚本定期采集所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块和所述文件检测模块的结果数据，对此结果数据采用融合排列方式进行处理并进行存储。

可选地，所述文件检测模块，用于设置与所述文件相对应的文件大区，将所述文件划分为多个文件小块，将各个文件小块分配到对应的文件大区；周期性地对所述文件大区进行检测，用以判断所述文件大区内的文件小块是否发生修改。

可选地，所述文件检测模块，还用于对各个文件大区进行数字签名处理；基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

可选地，所述报警过滤模块，用于接收与所述第三方安防系统相对应的报表，用以获取安全警报信息；其中，所述报表的表头携带的信息包括：发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明。

根据本公开的第二方面，提供一种网络业务安全防护方法，包括：配置模块配置业务平台对外提供的服务地址信息以及禁止入访地址信息；防护检测模块根据所述服务地址信息、所述禁止入访地址信息以及预先设置的病毒信息，对与所述业务平台相对应的访问请求进行检测；资源检测模块对与所述业务平台相对应的系统开销进行检测；接口检测模块对与所述业务平台相对应的网络接口进行网络攻击检测，用以使所述业务平台保持对外提供服务；报警过滤模块对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

可选地，密码检测模块对与所述业务平台相对应的登录日志进行检测，用以确定异常信息；其中，所述异常信息包括：密码输入错误信息、登录请求IP异常信息；文件检测模块对与所述业务平台相对应的文件进行检测，用以判断所述文件是否发生修改。

可选地，任务调度模块在所述配置模块配置完成后，采用定时任务调度方式调度所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块并行运行，进行检测处理。

可选地，数据采集模块设置数据采集时间间隔；所述数据采集模块基于所述数据采集时间间隔数据设置采集周期，周期性获取所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块的结果数据；所述数据采集模块对所述结果数据通过融合方式进行存储。

可选地，所述数据采集模块通过shell脚本定期采集所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块和所述文件检测模块的结果数据；所述数据采集模块对此结果数据采用融合排列方式进行处理并进行存储。

可选地，所述文件检测模块设置与所述文件相对应的文件大区，将所述文件划分为多个文件小块，将各个文件小块分配到对应的文件大区；所述文件检测模块周期性地对所述文件大区进行检测，用以判断所述文件大区内的文件小块是否发生修改。

可选地，所述文件检测模块对各个文件大区进行数字签名处理；基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

可选地，所述报警过滤模块接收与所述第三方安防系统相对应的报表，用以获取安全警报信息；其中，所述报表的表头携带的信息包括：发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明。

根据本公开的第三方面，提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述指令被处理器执行如上所述的方法。

本公开的网络业务安全防护装置、方法以及存储介质，能够解决现有的依靠第三方安防产品导致的安全误报问题，以及内部安全巡检处理资源开销大、性能慢的问题。结合第三方提供的安全信息、内部业务信息、主机运行信息，对外部拦截触发的报警信息进行过滤，提升了安全防护工作的精度和效率，提供高精度、高效率的安全防护服务。

附图说明

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1根据本公开的网络业务安全防护装置的一个实施例的模块示意图；

图2根据本公开的网络业务安全防护装置的另一个实施例的模块示意图；

图3根据本公开的网络业务安全防护装置的一个实施例的应用示意图；

图4为对结果数据采用融合排列方式进行处理的示意图；

图5为对文件进行划分的示意图；

图6为根据本公开的网络业务安全防护方法的一个实施例的流程示意图。

具体实施方式

下面参照附图对本公开进行更全面的描述，其中说明本公开的示例性实施例。下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

在一个实施例中，如图1所示，本公开提供一种网络业务安全防护装置，包括配置模块11、资源检测模块12、防护检测模块13、接口检测模块14和报警过滤模块15。配置模块11配置业务平台对外提供的服务地址信息以及禁止入访地址信息。业务平台可以为多种业务的平台，业务可以为语音、视频等。防护检测模块13根据服务地址信息、禁止入访地址信息以及预先设置的病毒信息，对与业务平台相对应的访问请求进行检测。

资源检测模块12对与业务平台相对应的系统开销进行检测。接口检测模块14对与业务平台相对应的网络接口进行网络攻击检测，用以使业务平台保持对外提供服务。报警过滤模块15对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

在一个实施例中，如图2所示，网络业务安全防护装置还包括密码检测模块16、文件检测模块17、任务调度模块18和数据采集模块19。密码检测模块16对与业务平台相对应的登录日志进行检测，用以确定异常信息，异常信息包括密码输入错误信息、登录请求IP异常信息等。文件检测模块17对与业务平台相对应的文件进行检测，用以判断文件是否发生修改。

任务调度模块18在配置模块11配置完成后，采用定时任务调度方式调度防护检测模块13、资源检测模块12、接口检测模块14、密码检测模块16、文件检测模块17和报警过滤模块15中的至少一个模块并行运行，进行检测处理。

在一个实施例中，数据采集模块19设置数据采集时间间隔，基于数据采集时间间隔数据设置采集周期，周期性获取防护检测模块13、资源检测模块12、接口检测模块14、密码检测模块16、文件检测模块17和报警过滤模块15中的至少一个模块的结果数据，对结果数据通过融合方式进行存储。

数据采集模块19可以通过shell脚本定期采集防护检测模块13、资源检测模块12、接口检测模块14、密码检测模块16和文件检测模块17的结果数据，对此结果数据采用融合排列方式进行处理并进行存储，融合排列方式可以将各个模块的结果数据进行交叉排列等。

在一个实施例中，文件检测模块17设置与文件相对应的文件大区，将文件划分为多个文件小块，将各个文件小块分配到对应的文件大区。文件检测模块17周期性地对文件大区进行检测，判断文件大区内的文件小块是否发生修改。文件检测模块17对各个文件大区进行数字签名处理，基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

报警过滤模块15接收与第三方安防系统相对应的报表，用以获取安全警报信息，报表的表头携带的信息包括发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明等信息。

上述实施例中的网络业务安全防护装置，能够解决现有的单纯依靠第三方安防产品导致的误报问题，以及内部安全巡检处理资源开销大、性能慢的问题，结合业务实际对外部拦截触发的报警信息进行过滤，提升了安全防护工作的精度和效率，可以弥补现有技术的不足。

在一个实施例中，如图3所示，第三方安全设备FW/WAF向网络业务安全防护装置发送安全告警信息。在业务系统(平台)以及云主机上设置植入脚本，向网络业务安全防护装置发送数据，网络业务安全防护装置生成安全报告。

配置模块11可以为黑白名单配置模块，黑白名单配置模块配置业务平台对外提供的服务URI，配置禁止入访的IP清单，作为防护检测模块的输入。防护检测模块13根据黑白名单配置，结合内置病毒库，对所有入访请求进行分析。

资源检测模块12可以为运行资源检测模块，运行资源检测模块对业务平台所在服务器的系统开销进行检测，包括CPU、内存使用率等。接口检测模块14可以为存活性检测模块，存活性检测模块对业务平台所在服务器的网络接口进行检测，避免因DDos攻击等导致的服务停用。

密码检测模块16可以为密码爆破检测模块，密码爆破检测模块对操作系统登录日志进行检测，及时发现密码多次输入错误、登录请求IP异常等情况。文件检测模块17可以为文件修改检测模块，文件修改检测模块对核心文件/全局文件进行定期比对，识别是否发生修改。报警过滤模块15结合内部巡检诊断情况，对第三方安防产品给出的安全警报信息进行过滤，剔除无效信息。

通过管理配置模块11设置有效参数后，网络业务安全防护装置的各个模块通过定时任务调度方式运行，以多通道并行方式，分别对第三方安全报警信息、业务系统运行状态、云主机状态进行健康巡检。设置T间隔的数据采集周期，业务和主机信息通过“交叉排列”方式入库保存，对多因素进行混排(字节粒度)，如图4所示。外部报警信息通过“误报添加例外”方式入库保存。触发方式可以为外部报警、内部定时巡检等两种触发方式。

如图5所示，将文件划分为MxN个文件小块，并设置K个文件大区(K＝1min/巡检频率)，每次巡检对其中一个大区进行数字校验，每一分钟对全文件进行遍历，单文件的检测可以控制在200ms以内。

在一个实施例中，网络业务安全防护装置结合第三方提供的安全信息、内部业务信息、主机运行信息，对网络安全防护提供高精度、高效率的功能服务。第三方信息通过线下文件报表方式提供，报表表头中的信息至少包括：发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明、攻击详情等信息。

内部业务信息和主机运行信息通过shell脚本进行定期采集，采集间隔设置为20s，采集范围包括：业务安全运行状态、业务对请求的应答响应(200、302、404、500等状态码需要明确列出)、系统运行负载(cpu、内存等使用率)、主机账号密码登录情况(密码是否输错、登录IP等信息)、核心文件是否变更。

设定每一分钟需要对文件做一次完全比对，可以将文件划分为三个文件大区，每20s仅扫描一个文件大区，对该文件大区通过MD5方式做数字签名，通过shell脚本文件指针操作，读取指定文件大区内的数据片段，形成比对文件。

图6为根据本公开的网络业务安全防护方法的一个实施例的流程示意图，如图6所示：

步骤601，配置模块配置业务平台对外提供的服务地址信息以及禁止入访地址信息。

步骤602，防护检测模块根据服务地址信息、禁止入访地址信息以及预先设置的病毒信息，对与业务平台相对应的访问请求进行检测。

步骤603，资源检测模块对与业务平台相对应的系统开销进行检测。

步骤604，接口检测模块对与业务平台相对应的网络接口进行网络攻击检测，用以使业务平台保持对外提供服务。

步骤605，报警过滤模块对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

在一个实施例中，密码检测模块对与业务平台相对应的登录日志进行检测，用以确定异常信息；异常信息包括密码输入错误信息、登录请求IP异常信息等。文件检测模块对与业务平台相对应的文件进行检测，用以判断文件是否发生修改。

任务调度模块在配置模块配置完成后，采用定时任务调度方式调度防护检测模块、资源检测模块、接口检测模块、密码检测模块、文件检测模块和报警过滤模块中的至少一个模块并行运行，进行检测处理。

数据采集模块设置数据采集时间间隔，基于数据采集时间间隔数据设置采集周期，周期性获取防护检测模块、资源检测模块、接口检测模块、密码检测模块、文件检测模块和报警过滤模块中的至少一个模块的结果数据；数据采集模块对结果数据通过融合方式进行存储。

在一个实施例中，数据采集模块通过shell脚本定期采集防护检测模块、资源检测模块、接口检测模块、密码检测模块和文件检测模块的结果数据；数据采集模块对此结果数据采用融合排列方式进行处理并进行存储。

文件检测模块设置与文件相对应的文件大区，将文件划分为多个文件小块，将各个文件小块分配到对应的文件大区；文件检测模块周期性地对文件大区进行检测，用以判断文件大区内的文件小块是否发生修改。文件检测模块对各个文件大区进行数字签名处理；基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

报警过滤模块接收与第三方安防系统相对应的报表，用以获取安全警报信息，报表的表头携带的信息包括发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明等。

在一个实施例中，本公开提供一种计算机可读存储介质，计算机可读存储介质存储有计算机指令，指令被处理器执行时实现如上任一个实施例中的网络业务安全防护方法。

上述实施例中的网络业务安全防护装置、方法以及存储介质，能够解决现有的依靠第三方安防产品导致的安全误报问题，以及内部安全巡检处理资源开销大、性能慢的问题。结合第三方提供的安全信息、内部业务信息、主机运行信息，对外部拦截触发的报警信息进行过滤，提升了安全防护工作的精度和效率，提供高精度、高效率的安全防护服务。

可能以许多方式来实现本公开的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本公开的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本公开的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本公开实施为记录在记录介质中的程序，这些程序包括用于实现根据本公开的方法的机器可读指令。因而，本公开还覆盖存储用于执行根据本公开的方法的程序的记录介质。

本公开的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本公开限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本公开的原理和实际应用，并且使本领域的普通技术人员能够理解本公开从而设计适于特定用途的带有各种修改的各种实施例。

Claims (17)

1.一种网络业务安全防护装置，包括：

配置模块，用于配置业务平台对外提供的服务地址信息以及禁止入访地址信息；

防护检测模块，用于根据所述服务地址信息、所述禁止入访地址信息以及预先设置的病毒信息，对与所述业务平台相对应的访问请求进行检测；

资源检测模块，用于对与所述业务平台相对应的系统开销进行检测；

接口检测模块，用于对与所述业务平台相对应的网络接口进行网络攻击检测，用以使所述业务平台保持对外提供服务；

报警过滤模块，用于对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

2.如权利要求1所述的装置，还包括：

密码检测模块，用于对与所述业务平台相对应的登录日志进行检测，用以确定异常信息；其中，所述异常信息包括：密码输入错误信息、登录请求IP异常信息；

文件检测模块，用于对与所述业务平台相对应的文件进行检测，用以判断所述文件是否发生修改。

3.如权利要求2所述的装置，还包括：

任务调度模块，用于在所述配置模块配置完成后，采用定时任务调度方式调度所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块并行运行，进行检测处理。

4.如权利要求2所述的装置，还包括：

数据采集模块，用于设置数据采集时间间隔，基于所述数据采集时间间隔数据设置采集周期，周期性获取所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块的结果数据，对所述结果数据通过融合方式进行存储。

5.如权利要求4所述的装置，其中，

所述数据采集模块，用于通过shell脚本定期采集所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块和所述文件检测模块的结果数据，对此结果数据采用融合排列方式进行处理并进行存储。

6.如权利要求2所述的装置，其中，

所述文件检测模块，用于设置与所述文件相对应的文件大区，将所述文件划分为多个文件小块，将各个文件小块分配到对应的文件大区；周期性地对所述文件大区进行检测，用以判断所述文件大区内的文件小块是否发生修改。

7.如权利要求6所述的装置，其中，

所述文件检测模块，还用于对各个文件大区进行数字签名处理；基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

8.如权利要求1所述的装置，其中，

所述报警过滤模块，用于接收与所述第三方安防系统相对应的报表，用以获取安全警报信息；其中，所述报表的表头携带的信息包括：发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明。

9.一种网络业务安全防护方法，包括：

配置模块配置业务平台对外提供的服务地址信息以及禁止入访地址信息；

防护检测模块根据所述服务地址信息、所述禁止入访地址信息以及预先设置的病毒信息，对与所述业务平台相对应的访问请求进行检测；

资源检测模块对与所述业务平台相对应的系统开销进行检测；

接口检测模块对与所述业务平台相对应的网络接口进行网络攻击检测，用以使所述业务平台保持对外提供服务；

报警过滤模块对第三方安防系统发送的安全警报信息进行过滤处理，用以去除无效的安全警报信息。

10.如权利要求9所述的方法，还包括：

密码检测模块对与所述业务平台相对应的登录日志进行检测，用以确定异常信息；其中，所述异常信息包括：密码输入错误信息、登录请求IP异常信息；

文件检测模块对与所述业务平台相对应的文件进行检测，用以判断所述文件是否发生修改。

11.如权利要求10所述的方法，还包括：

任务调度模块在所述配置模块配置完成后，采用定时任务调度方式调度所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块并行运行，进行检测处理。

12.如权利要求10所述的方法，还包括：

数据采集模块设置数据采集时间间隔；

所述数据采集模块基于所述数据采集时间间隔数据设置采集周期，周期性获取所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块、所述文件检测模块和所述报警过滤模块中的至少一个模块的结果数据；

所述数据采集模块对所述结果数据通过融合方式进行存储。

13.如权利要求12所述的方法，其中，

所述数据采集模块通过shell脚本定期采集所述防护检测模块、所述资源检测模块、所述接口检测模块、所述密码检测模块和所述文件检测模块的结果数据；

所述数据采集模块对此结果数据采用融合排列方式进行处理并进行存储。

14.如权利要求10所述的方法，其中，

所述文件检测模块设置与所述文件相对应的文件大区，将所述文件划分为多个文件小块，将各个文件小块分配到对应的文件大区；

所述文件检测模块周期性地对所述文件大区进行检测，用以判断所述文件大区内的文件小块是否发生修改。

15.如权利要求10所述的方法，还包括：

所述文件检测模块对各个文件大区进行数字签名处理；基于预设的扫描间隔读取一个文件大区进行检测，直至全部文件大区被检测完毕。

16.如权利要求9所述的方法，还包括：

所述报警过滤模块接收与所述第三方安防系统相对应的报表，用以获取安全警报信息；其中，所述报表的表头携带的信息包括：发现时间、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、攻击说明。

17.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述指令被处理器执行如权利要求9至16中任一项所述的方法。

Images