CN113676489B - 一种威胁文件处置方法、装置及介质 - Google Patents

一种威胁文件处置方法、装置及介质 Download PDF

Info

Publication number
CN113676489B
CN113676489B CN202111071034.6A CN202111071034A CN113676489B CN 113676489 B CN113676489 B CN 113676489B CN 202111071034 A CN202111071034 A CN 202111071034A CN 113676489 B CN113676489 B CN 113676489B
Authority
CN
China
Prior art keywords
task
threat file
scanning
threat
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111071034.6A
Other languages
English (en)
Other versions
CN113676489A (zh
Inventor
刘晏宇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sangfor Technologies Co Ltd
Original Assignee
Sangfor Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sangfor Technologies Co Ltd filed Critical Sangfor Technologies Co Ltd
Priority to CN202111071034.6A priority Critical patent/CN113676489B/zh
Publication of CN113676489A publication Critical patent/CN113676489A/zh
Application granted granted Critical
Publication of CN113676489B publication Critical patent/CN113676489B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本申请公开了一种威胁文件处置方法、装置及介质，该方法包括：获取威胁文件扫描任务，其中，威胁文件扫描任务中包括待扫描设备的设备信息；将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，其中，所述终端安全管理端为所述云安全平台提供的；从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。这样能够减少企业网络的安全风险，也节约了网络安全防护成本。

Description

一种威胁文件处置方法、装置及介质
技术领域
本申请涉及网络安全技术领域，特别涉及一种威胁文件处置方法、装置及介质。
背景技术
当前许多企业自身缺乏安全能力，存在企业分支及PC(Personal Computer，个人计算机)安全问题，在分支办公及移动办公PC场景中，多采用SD-WAN(Software DefinedWide Area Network，即软件定义广域网)部署的分支配合免费杀毒软件来维护网络安全。但该方式存在如下缺点，首先，分支网络、终端与游离于公司安全防护设备之外的移动办公PC脱离了总部的安全设备防护，存在较大安全风险，一旦失陷则容易将风险扩散到公司内网。其次，每个公司单独部署自己的SD-WAN，对于小型企业来说，大大增加了网络安全防护成本
发明内容
有鉴于此，本申请的目的在于提供一种威胁文件处置方法、装置及介质，能够减少企业网络的安全风险，也节约了网络安全防护成本。其具体方案如下：
第一方面，本申请公开了一种威胁文件处置方法，应用于云安全平台，包括：
获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息；
将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，其中，所述终端安全管理端为所述云安全平台提供的；
从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
可选地，所述威胁文件扫描任务还包括扫描时间，所述将所述威胁文件处理任务下发至终端安全管理端，包括：
根据所述扫描时间将所述威胁文件扫描任务下发至终端安全管理端。
可选地，还包括：
通过所述云安全平台的前端页面对所述扫描结果进行显示。
可选地，所述从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果，包括：
接收所述终端安全管理端返回的所述威胁文件扫描任务对应的第一任务标识；
利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
可选地，所还包括：
向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。
可选地，所述向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务，包括：
在获取到通过所述前端页面输入的威胁文件处置指令的情况下，根据所述威胁文件处置指令和威胁文件处置策略向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务；
或，在获取到所述扫描结果的情况下，根据所述扫描结果和所述威胁文件处置策略自动向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务。
可选地，所述向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务之后，还包括：
接收所述终端安全管理端返回的所述威胁文件处置任务对应的第二任务标识；
利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态。
第二方面，本申请公开了一种云安全平台，包括：
任务获取模块，用于获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息；
扫描任务下发模块，用于将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，其中，所述终端安全管理端为所述云安全平台提供的；
扫描结果查询模块，用于从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
可选的，所述云安全平台，还包括：
威胁处置模块，用于向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。
第三方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述公开的威胁文件处置方法。
可见，本申请公开了一种威胁文件处置方法，应用于云安全平台，包括：获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息。然后将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务。接着从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。由此可见，本申请中由云安全平台、终端安全管理端及终端安全客户端完成威胁文件扫描、处置操作，企业总部和分支只需要通过订阅云安全平台的方式便可以对网络安全进行防护，减少企业网络的安全风险，且不需要部署SD-WAN，也节约了网络安全防护成本。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请公开的一种威胁文件处置方法流程图；
图2为本申请公开的一种具体的威胁文件处置方法部分流程图；
图3为本申请公开的一种具体的威胁文件处置方法部分流程图；
图4为本申请公开的一种整体架构图；
图5为本申请公开的一种定时的威胁文件扫描任务下发示意图；
图6为本申请公开的一种威胁文件扫描任务下发示意图；
图7为本申请公开的一种扫描结果查询示意图；
图8为本申请公开的一种威胁文件处置任务下发示意图；
图9为本申请公开的一种威胁文件处置结果查询示意图；
图10为本申请公开的一种云安全平台结构示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
参见图1所示，本申请实施例公开了一种威胁文件处置方法，应用于云安全平台，该方法包括：
步骤S11：获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息。
所述云安全平台为可以提供安全云服务的平台，例如，可以为SASE(SecureAccess Service Edge，安全访问服务边缘)云平台，SASE是一种基于实体的身份、实时上下文、企业安全/合规策略，以及在整个会话中持续评估风险/信任的服务，实体的身份可与人员、人员组(分支办公室)、设备、应用、服务、物联网系统或边缘计算场地相关联，终端安全管理端用于对终端安全服务进行管理，例如，所述终端安全管理端可以为EDR(EndpointDetection and Resopnse，终端检测响应平台)MGR(Manager)，终端安全客户端用于面向用户提供终端安全检测服务，例如，EDR客户端(例如，EDR Client)，当然，还可以包括所述终端安全客户端对应的终端安全服务端，所述终端安全服务端可以为EDR服务端，也即EDRServer。
在一些具体的实施过程中，当所述云安全平台为SASE云平台，所述终端安全管理端可以为EDR MGR，所述终端安全客户端为EDR客户端，还包括EDR服务端的情况下，SASE云平台、EDR MGR、EDR客户端以及EDR服务端的一种部署方式可以为，在整个云平台的第一节点上部署SASE云平台，然后在整个云平台的第二节点上部署EDR MGR，还需要在整个云平台的第三节点上部署EDR服务端，在用户的终端设备上部署EDR客户端，其中，所述第一节点、所述第二节点以及所述第三节点可以为虚拟机，也可以为物理机，具体可以根据实际情况确定，在此不做具体限定，所述SASE云平台、EDR MGR、EDR服务端的部署可以采用容器方式进行部署，也可以采用非容器进行部署，具体可以根据实际情况确定，在此不做具体限定，所述用户的终端设备包括用户的PC等，具体可以根据实际情况确定，在此不做具体限定。当然，此处只是例举了一种云安全平台、终端安全管理端、终端安全客户端的部署方式，还可以有其他可行的部署方式，本申请不限定具体的部署方式。
在实际应用中，在需要对用户的终端设备进行威胁文件扫描时，可以通过所述云安全平台进行威胁文件扫描，相应地，所述云安全平台需要先获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息。
在具体的实施过程中，云安全平台对外提供前端页面，以便用户通过所述前端页面输入相关信息，所述前端页面可以为网页版的页面，也可以为专用的应用软件的形式，具体可以根据实际情况确定，在此不作具体限定。
相应地，所述获取威胁文件扫描任务，包括：获取通过所述云安全平台的前端页面输入的威胁文件扫描任务，所述前端页面为所述云安全平台为用户提供的与云安全平台交互的接口。也即，用户可以通过所述前端页面输入威胁文件扫描任务，在用户通过所述前端页面输入威胁文件扫描任务之后，便需要所述云安全平台获取通过所述前端页面输入的威胁文件扫描任务。
其中，所述威胁文件扫描任务中除了包括待扫描设备的设备信息之外，还可以包括扫描时间，此外，所述威胁文件扫描任务还可以包括威胁文件处置策略，所述威胁文件处置策略包括不同等级的威胁文件所需要进行的隔离、信任或忽略等操作，当然，所述威胁文件扫描任务也可以不包括威胁文件处置策略，当威胁文件扫描任务不包括威胁文件处置策略时，可以采用所述云安全平台上统一配置的威胁文件处置策略，所述威胁文件扫描任务还可以包括扫描方式，例如，快速扫描，全盘扫描，当然，威胁文件扫描任务也可以不包括扫描方式，当威胁文件扫描任务不包括扫描方式时，可以采用所述终端安全客户端统一配置的扫描方式，所述待扫描设备包括电脑以及网络安全设备等，且所述待扫描设备上均安装有终端安全客户端，例如，EDR客户端。
步骤S12：将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，其中，所述终端安全管理端为所述云安全平台提供的。
在获取到所述威胁文件扫描任务之后，还需要将所述威胁文件扫描任务下发到终端安全管理端，其中，所述终端安全管理端为所述云安全平台提供的，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备下的终端安全客户端，所述终端安全客户端在接收到所述威胁文件扫描任务之后，便会对所述待扫描设备上的数据进行分析，以便扫描到所述待扫描设备上存在的威胁文件，其中，终端安全客户端可以通过分析所述待扫描设备上的文件，从而确定所述待扫描设备是否存在威胁文件，以及威胁文件的文件路径、文件类型及威胁等级等，所述终端安全客户端的扫描方式可以根据实际情况设置，例如，可以将所述终端安全客户端的扫描方式分为快速扫描和全盘扫描，其中，快速扫描可以包括扫描待扫描设备上的部分盘中最近一周之内的文件，全盘扫描可以为扫描待扫描设备上的全部盘中最近半年之内的文件等，具体可以根据实际情况设置，在此不做具体限定。
具体的，所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，可以包括：所述终端安全管理端将所述威胁文件扫描任务下发到终端安全服务端，由所述终端安全服务端再将所述威胁文件扫描任务下发到终端安全客户端执行所述威胁文件扫描任务。例如，EDR MGR将所述威胁文件扫描任务下发到EDR服务端，由所述EDR服务端再将所述威胁文件扫描任务下发到EDR客户端执行所述威胁文件扫描任务。
其中，所述威胁文件扫描任务还包括扫描时间，相应地，将所述威胁文件处理任务下发至终端安全管理端，包括：根据所述扫描时间将所述威胁文件扫描任务下发至终端安全管理端中。具体的，包括：如果获取到所述威胁文件扫描任务的时间在当前时间对应的当前任务拉取周期之后，且所述扫描时间在当前任务拉取周期之后，在下一个任务拉取周期之前，则直接将所述威胁文件扫描任务下发至所述终端安全管理端，以便所述终端安全管理端在达到所述扫描时间时，将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中；如果所述扫描时间在当前任务拉取周期的下一个任务拉取周期之后，则将所述威胁文件扫描任务存储到数据库中，在到达当前任务拉取周期的下一个任务拉取周期时，从所述数据库中拉取所述威胁文件扫描任务，并将所述威胁文件扫描任务下发至所述终端安全管理端，以便所述终端安全管理端在达到所述扫描时间时，将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中。
也即，可以预先设置任务拉取周期，例如，每天上午7点钟开始拉取扫描时间为当天的威胁文件扫描任务，如果获取到所述威胁文件扫描任务的时间在当前时间对应的当前任务拉取周期之后，且扫描时间在当前时间对应的当前任务拉取周期之后，在下一个任务拉取周期之前，则可以直接将所述威胁文件扫描任务下发到所述终端安全管理端中，由所述终端安全管理端对所述威胁文件扫描任务进行暂存或直接下发到所述待扫描设备上的终端安全客户端中，其中，当前时间对应的当前任务拉取周期的理解可以参照以下例子，例如，当前时间为上午10点，任务拉取周期为每天上午7点，则当前时间对应的当前任务拉取周期为今天上午7点。例如，当前时间为上午10点，在此时获取到威胁文件扫描任务，该威胁文件扫描任务的扫描时间是今天下午4点，由于任务拉取周期为每天上午7点，且扫描时间为今天的威胁文件扫描任务的任务拉取周期为今天上午7点，所以在当前时间(也即今天上午10点)获取到的该威胁文件扫描任务需要直接下发到所述终端安全管理端中，以便所述终端安全管理端对该威胁扫描任务进行暂存，在今天下午4点到达时，将该威胁文件扫描任务下发到对应的设备上的终端安全客户端中。
如果扫描时间在下一个任务拉取周期之后，则可以在到达下一个任务拉取周期时，再对该威胁文件扫描任务进行拉取，所以需要将该威胁文件扫描任务存储到数据库中，在到达当前任务拉取周期的下一个任务拉取周期时，从所述数据库中拉取该威胁文件扫描任务，并将该威胁文件扫描任务下发至所述终端安全管理端，所述终端安全管理端在达到所述扫描时间时，会将该威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中，所述终端安全客户端便会执行该威胁文件扫描任务，得到对应的扫描结果。例如，当前时间为下午4点，获取到的威胁文件扫描任务的扫描时间为明天上午10点，任务拉取周期为每天上午7点，则将该威胁文件扫描任务存储到数据库中，在明天上午7点时，从所述数据库中拉取出该威胁文件扫描任务，并将该威胁文件扫描任务下发到终端安全管理端中，终端安全管理端会在达到明天上午10点时，将该威胁文件扫描任务下发到对应设备上的终端安全客户端中。
其中，将所述威胁文件扫描任务存储到数据库中，在到达当前任务拉取周期的下一个任务拉取周期时，从所述数据库中拉取所述威胁文件扫描任务，并将所述威胁文件扫描任务下发至所述终端安全管理端，以便所述终端安全管理端在达到所述扫描时间时，将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中，包括：将所述威胁文件扫描任务存储到数据库中；在到达当前任务拉取周期的下一个任务拉取周期时，通过所述云安全平台上的目标定时任务拉取模块从所述数据库中拉取所述威胁文件扫描任务，并将所述威胁文件扫描任务存储到定时扫描任务队列中，其中，所述目标定时任务拉取模块为在当前任务拉取周期的任务拉取结束时，采用ETCD锁机制获得分布式锁的定时任务拉取模块，所述定时扫描任务队列为RabbitMQ队列；从所述定时扫描任务队列中将所述威胁文件扫描任务下发至所述终端安全管理端以便所述终端安全管理端在达到所述扫描时间时，将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中。
也即，将威胁文件扫描任务存储到数据库中之后，需要由定时任务拉取模块从数据库中将威胁文件扫描任务拉取出来，所述定时任务拉取模块可以包括多个，具体由哪一个定时任务拉取模块进行拉取，可以采用ETCD锁机制进行控制，在每个任务拉取周期的威胁文件扫描任务拉取结束之后，各个定时任务拉取模块采用ETCD锁机制获取分布式锁，当前任务拉取周期获得分布式锁的目标定时任务拉取模块负责下一个任务拉取周期的威胁文件扫描任务拉取。目标定时任务扫描模块在到达下一个任务拉取周期时，从所述数据块中拉取所述威胁文件扫描任务，并将拉取到的所述威胁文件扫描任务存储到定时扫描任务队列中，所述定时扫描任务队列为RabbitMQ队列，然后从所述定时扫描任务队列中将所述威胁文件扫描任务下发至所述终端安全管理端，以便所述终端安全管理端在达到所述扫描时间时，将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端中。
步骤S13：从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
将所述威胁文件扫描任务下发到所述终端安全管理端，再由所述终端安全管理端将所述威胁文件扫描任务下发到所述终端安全客户端中之后，还需要从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果，其中，所述扫描结果中可以包括威胁文件的文件路径、文件类型、威胁等级等
在获取到所述扫描结果之后，还可以通过所述云安全平台的前端页面对所述扫描结果进行显示。这样用户可以通过所述前端页面查看所述扫描结果，便针对所述扫描结果中扫描到的威胁文件进行相应的处置。
获取到所述扫描结果之后，还可以向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。也即，可以对所述扫描结果中的威胁文件进行对应的处置。
其中，向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务，包括：在获取到通过所述前端页面输入的威胁文件处置指令时，根据所述威胁文件处置指令和威胁文件处置策略向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端中，以便对应的终端安全客户端执行所述威胁文件处置任务，其中，所述威胁文件处置指令中包括待处置威胁文件的文件信息及对应的设备信息，所述待处置威胁文件为所述扫描结果中扫描到的威胁文件；或，在获取到所述扫描结果时，根据所述扫描结果和所述威胁文件处置策略自动向所述终端安全管理端下发威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端中，以便对应的终端安全客户端执行所述威胁文件处置任务。
也即，在获取到所述扫描结果之后，还需要对所述扫描结果中扫描到的威胁文件进行处置，可以在获取到用户通过所述前端页面输入威胁文件处置指令的情况下，根据威胁文件处置策略和所述威胁文件处置指令向所述终端安全管理端下发威胁文件处置任务，其中，所述威胁文件处置指令中可以指明需要处置的是哪些设备上的哪些威胁文件，所述威胁文件处置策略可以为在输入所述威胁文件扫描任务时输入的，也可以在所述云安全平台设置时统一配置的。
当然，也可以在获取到所述扫描结果的情况下，根据所述扫描结果和所述威胁文件处置策略自动向所述EDR MGR下发威胁文件处置任务，不需要再由用户触发。
可见，本申请公开了一种威胁文件处置方法，应用于云安全平台，包括：获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息。然后将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务。接着从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。由此可见，本申请中由云安全平台、终端安全管理端及终端安全客户端完成威胁文件扫描、处置操作，企业总部和分支只需要通过订阅云安全平台的方式便可以对网络安全进行防护，减少企业网络的安全风险，且不需要部署SD-WAN，也节约了网络安全防护成本。
参见图2所示，从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果，并通过所述前端页面显示所述扫描结果，包括：
步骤S21：接收所述终端安全管理端返回的所述威胁文件扫描任务对应的第一任务标识。
在将所述威胁文件扫描任务下发到所述终端安全管理端，以便由所述终端安全管理端将所述威胁文件扫描任务下发到所述终端安全客户端之后，还需要从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果，并进行可视化显示。
具体的，就是先获取所述终端安全管理端返回的所述威胁文件扫描任务对应的第一任务标识，其中，所述第一任务标识用于标识所述威胁文件扫描任务，根据所述第一任务标识可以在所述终端安全管理端中找到与所述威胁文件扫描任务相关联的数据。
步骤S22：利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
在获取到所述第一任务标识之后，便可以利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
具体的，可以先将所述第一任务标识存储到查杀结果查询队列中，其中，所述查杀结果查询队列为RabbitMQ队列。
也即，在获取到所述第一任务标识之后，将所述第一任务标识存储到查杀结果查询队列中，其中，所述查杀结果查询队列为RabbitMQ队列。其中，RabbitMQ是实现了高级消息队列协议(AMQP，Advanced Message Queuing Protocol)的开源消息代理软件(亦称面向消息的中间件)，RabbitMQ服务器是用Erlang语言编写的，而集群和故障转移是构建在开放电信平台框架上的，所有主要的编程语言均有与代理接口通讯的客户端库。
然后从所述查杀结果查询队列中获取所述第一任务标识，并利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
也即，接着便可以从所述查杀结果查询队列中获取所述第一任务标识，并利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
在获取到所述扫描结果之后，还可以将所述扫描结果存储到数据库中，并通过所述前端页面显示所述扫描结果。
也即，在获取到所述扫描结果之后需要将所述扫描结果存储到数据库中，并通过所述前端页面显示所述扫描结果。其中，所述数据库可以为MongoDB，MongoDB是一个基于分布式文件存储的数据库，由C++语言编写，旨在为WEB应用提供可扩展的高性能数据存储解决方案。
参见图3所示，向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务之后，还包括：
步骤S31：接收所述终端安全管理端返回的所述威胁文件处置任务对应的第二任务标识；
步骤S32：利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态。
也即，将所述威胁文件处置任务下发给所述终端安全管理端之后，还需要获取到所述终端安全管理端返回的所述威胁文件处置任务对应的第二任务标识，其中，所述第二任务标识可以标识所述威胁文件处置任务。
在获取到所述第二任务标识之后，利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态。具体的，就是先将所述第二任务标识存储到威胁处置结果查询队列中，接着便可以从所述威胁处置结果查询队列中获取所述第二任务标识，并利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态，其中，所述威胁处置结果查询队列为RabbitMQ队列。
在从所述终端安全管理端中查询到所述威胁文件处置任务的处置状态为处置结束时，便需要更新所述数据库中所述扫描结果中扫描到的威胁文件的状态，看是处置成功，还是处置失败，如果是处置失败，还包括失败的原因。
参见图4所示，为本申请提出的一种威胁文件处置方法的整体架构图。包括交互层、逻辑业务层及数据层，其中，所述交互层为用户提供在前端进行威胁文件处置策略选择、威胁文件扫描任务新增等操作的接口，也即前端页面。所述逻辑业务层包括SASE云平台、EDR MGR及EDR等，其中，EDR可以包括EDR服务端和EDR客户端，所述逻辑业务层进行威胁文件扫描任务下发、扫描结果查询、威胁文件处置任务下发以及威胁处置结果查询等操作。所述数据层可以实现威胁文件扫描任务、扫描结果、威胁处置结果相关数据的存取，其中，用于存储威胁文件扫描任务的定时扫描任务下发队列，用于存储前述的第一任务标识的查杀结果查询队列，以及用于存储前述的第二任务标识的威胁处置结果查询队列可以设置为RabbitMQ队列，用于存储威胁文件扫描任务的扫描任务表和用户存储扫描结果的扫描结果表可以存储在MongoDB数据库中。
参见图5所示，为定时的威胁文件扫描任务下发示意图。用户可以在前端页面提交一键查杀任务(也即前述的威胁文件扫描任务)，也即用户可以在SASE云平台的前端页面提交需进行的威胁文件扫描任务，包括待扫描设备、扫描方式、扫描时间、威胁文件处置策略等，其中，威胁文件处置策略包括对不同级别的威胁文件所进行的隔离、信任、忽略等操作。SASE云平台的后台接收到前端页面传来的威胁文件扫描任务后，对威胁文件扫描任务按照入库格式进行组装，SASE云平台的后台与MongoDB连接，将组装好的威胁文件扫描任务放入MongoDB等待定时任务进行拉取。
参见图6所示，为威胁文件扫描任务下发示意图。至少一定时任务采用ETCD锁机制从分布式锁管理中抢夺分布式锁，抢到锁的定时任务从MongoDB数据库中拉取威胁文件扫描任务；任务分发管理模块将定时任务拉取到的威胁文件扫描任务生产至定时扫描任务队列，再从定时扫描任务队列将威胁文件扫描任务下发到EDR MGR中，EDR MGR在到达扫描时间的情况下，将任务下发到EDR客户端，各个EDR客户端进行任务执行，将威胁文件扫描任务下发至EDR MGR处后，EDR MGR返回第一任务标识task_id给所述任务分发管理模块，再由所述任务分发管理模块将第一任务标识task_id生产至查杀结果查杀队列，以备后续的扫描结果查询。
参见图7所示，为扫描结果查询示意图。查杀结果查询模块消费查杀结果查询队列，通过拿到的第一任务标识task_id经由EDR MGR查询扫描结果，其中，所述EDR MGR需要从EDR服务端中获取所述扫描结果，所述EDR服务端从EDR客户端中获取所述扫描结果，并将查到的扫描结果落入MongoDB数据库，以及通过前端页面进行可视化显示。
参见图8所示，为威胁文件处置任务下发示意图。威胁文件的相关信息会在扫描结果中展示，在获取到威胁文件处置指令时，威胁处置模块从MongoDB数据库中获取扫描结果，并根据威胁文件处置指令和威胁文件处置策略下发所述扫描结果对应的威胁文件处置任务，将威胁文件处置任务下发到EDR MGR，以便由EDR MGR下发至EDR客户端，在将威胁文件处置任务下发到EDR MGR之后，威胁处置模块还需要接收EDR MGR返回的第二任务标识task_id，并将第二任务标识task_id存储到威胁处置结果查询队列中。
参见图9所示，为威胁文件处置结果查询示意图。威胁处置结果查询模块监听威胁处置结果查询队列，一旦有新的第二任务标识task_id写入，所述威胁处置结果查询模块便从威胁处置结果查询队列中获取到新写入的第二任务标识task_id，并利用该第二任务标识task_id从EDR MGR轮询对应的威胁处置结果，当威胁处置状态为已完成时则更新扫描结果的威胁文件的处置状态，包括处置成功、失败及失败原因。
参见图10所示，本申请实施例公开了一种云安全平台，包括：
任务获取模块11，用于获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息；
扫描任务下发模块12，用于将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务，其中，所述终端安全管理端为所述云安全平台提供的；
扫描结果查询模块13，用于从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
可见，本申请公开了一种威胁文件处置方法，应用于云安全平台，包括：获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息。然后将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务。接着从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。由此可见，本申请中由云安全平台、终端安全管理端及终端安全客户端完成威胁文件扫描、处置操作，企业总部和分支只需要通过订阅云安全平台的方式便可以对网络安全进行防护，减少企业网络的安全风险，且不需要部署SD-WAN，也节约了网络安全防护成本。
在一些具体的实施过程中，所述威胁文件扫描任务还包括扫描时间，所述任务下发模块12，用于：
根据所述扫描时间将所述威胁文件扫描任务下发至终端安全管理端。
在一些具体的实施过程中，还包括：
所述云安全平台的前端页面，用于对所述扫描结果进行显示。
在一些具体的实施过程中，所述扫描结果查询模块13，用于：
接收所述终端安全管理端返回的所述威胁文件扫描任务对应的第一任务标识；
利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
在一些具体的实施过程中，还包括威胁处置模块，用于：
向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。
在一些具体的实施过程中，所述威胁处置模块，用于：
在获取到通过所述前端页面输入的威胁文件处置指令的情况下，根据所述威胁文件处置指令和威胁文件处置策略向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务；
或，在获取到所述扫描结果的情况下，根据所述扫描结果和所述威胁文件处置策略自动向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务。
在一些具体的实施过程中，还包括：
威胁文件处置结果查询模块，用于接收所述终端安全管理端返回的所述威胁文件处置任务对应的第二任务标识；利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态。
进一步的，本申请实施例还公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述任一实施例中公开的威胁文件处置方法。
其中，关于上述威胁文件处置方法的具体过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
最后，还需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得一系列包含其他要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本申请所提供的一种威胁文件处置方法、装置及介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种威胁文件处置方法，其特征在于，应用于云安全平台，包括：
获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息；
将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务；
从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果；
其中，所述云安全平台部署于云平台的第一节点，所述终端安全管理端部署于所述云平台的第二节点，所述终端安全客户端部署于所述待扫描设备。
2.根据权利要求1所述的威胁文件处置方法，其特征在于，所述威胁文件扫描任务还包括扫描时间，所述将所述威胁文件处理任务下发至终端安全管理端，包括：
根据所述扫描时间将所述威胁文件扫描任务下发至终端安全管理端。
3.根据权利要求1所述的威胁文件处置方法，其特征在于，还包括：
通过所述云安全平台的前端页面对所述扫描结果进行显示。
4.根据权利要求1所述的威胁文件处置方法，其特征在于，所述从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果，包括：
接收所述终端安全管理端返回的所述威胁文件扫描任务对应的第一任务标识；
利用所述第一任务标识从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果。
5.根据权利要求1-4任一项所述的威胁文件处置方法，其特征在于，还包括：
向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。
6.根据权利要求5所述的威胁文件处置方法，其特征在于，所述向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务，包括：
在获取到通过前端页面输入的威胁文件处置指令的情况下，根据所述威胁文件处置指令和威胁文件处置策略向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务；
或，在获取到所述扫描结果的情况下，根据所述扫描结果和所述威胁文件处置策略自动向所述终端安全管理端下发所述威胁文件处置任务，以便所述终端安全管理端将所述威胁文件处置任务下发到对应设备上的终端安全客户端执行所述威胁文件处置任务。
7.根据权利要求5所述的威胁文件处置方法，其特征在于，所述向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务之后，还包括：
接收所述终端安全管理端返回的所述威胁文件处置任务对应的第二任务标识；
利用所述第二任务标识从所述终端安全管理端中获取所述威胁文件处置任务对应的处置状态。
8.一种云安全平台，其特征在于，包括：
任务获取模块，用于获取威胁文件扫描任务，其中，所述威胁文件扫描任务中包括待扫描设备的设备信息；
扫描任务下发模块，用于将所述威胁文件扫描任务下发至终端安全管理端，以便所述终端安全管理端将所述威胁文件扫描任务下发到所述待扫描设备上的终端安全客户端执行所述威胁文件扫描任务；
扫描结果查询模块，用于从所述终端安全管理端中获取所述威胁文件扫描任务对应的扫描结果
其中，所述云安全平台部署于云平台的第一节点，所述终端安全管理端部署于所述云平台的第二节点，所述终端安全客户端部署于所述待扫描设备。
9.根据权利要求8所述的云安全平台，其特征在于，还包括：
威胁处置模块，用于向所述终端安全管理端下发对所述扫描结果中的威胁文件进行处置的威胁文件处置任务。
10.一种计算机可读存储介质，其特征在于，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的威胁文件处置方法。
CN202111071034.6A 2021-09-13 2021-09-13 一种威胁文件处置方法、装置及介质 Active CN113676489B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111071034.6A CN113676489B (zh) 2021-09-13 2021-09-13 一种威胁文件处置方法、装置及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111071034.6A CN113676489B (zh) 2021-09-13 2021-09-13 一种威胁文件处置方法、装置及介质

Publications (2)

Publication Number Publication Date
CN113676489A CN113676489A (zh) 2021-11-19
CN113676489B true CN113676489B (zh) 2023-03-24

Family

ID=78549259

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111071034.6A Active CN113676489B (zh) 2021-09-13 2021-09-13 一种威胁文件处置方法、装置及介质

Country Status (1)

Country Link
CN (1) CN113676489B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114157572A (zh) * 2021-11-29 2022-03-08 中国光大银行股份有限公司 一种安全配置核查系统及方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9716701B1 (en) * 2015-03-24 2017-07-25 Trend Micro Incorporated Software as a service scanning system and method for scanning web traffic
CN110084041A (zh) * 2019-04-29 2019-08-02 深信服科技股份有限公司 病毒文件的查询方法、装置、客户端、管理端及存储介质

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9537882B2 (en) * 2014-12-19 2017-01-03 Fedex Corporated Services, Inc. Methods, systems, and devices for detecting and isolating device posing security threat
CN109905492B (zh) * 2019-04-24 2020-10-02 苏州浪潮智能科技有限公司 基于分布式模块化数据中心的安全运营管理系统及方法
CN110311912B (zh) * 2019-07-01 2022-06-21 深信服科技股份有限公司 云端服务器、内网扫描客户端、系统、内网远程扫描方法、装置及存储介质
CN111368300B (zh) * 2020-03-02 2024-05-24 深信服科技股份有限公司 恶意文件处置方法、装置、设备及存储介质
CN112003862B (zh) * 2020-08-24 2022-08-12 迈普通信技术股份有限公司 终端安全防护方法、装置、系统及存储介质
CN112346933B (zh) * 2020-11-09 2023-03-17 深信服科技股份有限公司 一种恶意文件扫描方法、装置、设备及介质

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9716701B1 (en) * 2015-03-24 2017-07-25 Trend Micro Incorporated Software as a service scanning system and method for scanning web traffic
CN110084041A (zh) * 2019-04-29 2019-08-02 深信服科技股份有限公司 病毒文件的查询方法、装置、客户端、管理端及存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于云安全的自动化扫描修复漏洞研究;夏凡;《数据安全与云计算》;全文 *

Also Published As

Publication number Publication date
CN113676489A (zh) 2021-11-19

Similar Documents

Publication Publication Date Title
CN110535831B (zh) 基于Kubernetes和网络域的集群安全管理方法、装置及存储介质
US9524382B2 (en) System and method for centralizedly controlling server user rights
CN112261172B (zh) 服务寻址访问方法、装置、系统、设备及介质
CN109064345A (zh) 消息处理方法、系统以及计算机可读存储介质
US9172720B2 (en) Detecting malware using revision control logs
US20120042002A1 (en) System and method for context driven centralized help
CN105516266B (zh) 一种业务监控方法、系统及相关设备
CN108509523A (zh) 区块链数据的结构化处理方法、设备及可读存储介质
CN107798037A (zh) 用户特征数据的获取方法及服务器
WO2021169275A1 (zh) Sdn 网络设备访问方法、装置、计算机设备及存储介质
CN111818117A (zh) 数据更新的方法、装置、存储介质及电子设备
CN111225064A (zh) Ceph集群部署方法、系统、设备和计算机可读存储介质
CN113676489B (zh) 一种威胁文件处置方法、装置及介质
CN113590433B (zh) 数据管理方法、数据管理系统和计算机可读存储介质
CN111831682A (zh) 处理公积金业务的方法、装置、设备和计算机可读介质
CN103297548B (zh) 一种云计算环境中域名解析规则的更新方法及装置
US10740085B2 (en) Webserver interface for deployment management tool
US9542171B2 (en) Managing an application modification process
US10521114B2 (en) Adding or removing a storage provider in unified storage manager
US11582345B2 (en) Context data management interface for contact center
CN114595069A (zh) 服务下线方法、装置、电子设备及存储介质
US9548905B2 (en) Scheduled workload assessor
CN113360689A (zh) 图像检索系统、方法、相关装置及计算机程序产品
CN112866359B (zh) 数据上链方法、装置、电子设备及存储介质
CN115809301B (zh) 数据库处理方法、装置、电子设备及可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant