CN114285602B - 一种分布式业务安全检测方法 - Google Patents

Abstract

本发明公开了一种分布式业务安全检测方法，基于分布式业务系统实现，分布式业务系统包括中心服务器、若干业务终端、对应中心服务器的代理中心、对应若干业务终端的若干代理节点，构建包括若干代理节点的环形对等网络，将环形对等网络中所有代理节点的状态进行比对以判断所有的代理节点的真实状态，所述真实状态包括正常状态、异常状态、断开状态；并针对环形对等网络中任一处于异常状态的代理节点，通过计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例以判断是否对处于异常状态的代理节点触发保护；本发明具有有效判别恶意攻击，在降低不必要节点保护触发的前提下对代理节点进行有效安全检测与保护。

Description

一种分布式业务安全检测方法

技术领域

本发明属于业务安全检测的技术领域，具体涉及一种分布式业务安全检测方法。

背景技术

网络业务需要在中心服务器与各个业务终端之间进行频繁的信息交互，在信息交互过程中，因为业务终端自身故障、中心服务器自身故障、外来恶意攻击等原因，会造成业务终端与中心服务器失联。为了保证业务安全，通常通过监控系统或杀毒软件对业务进行监测。

监控系统，比如zabbix平台，通过在宿主机安装代理采集宿主机上的数据，统一再监控平台展示，能看到个各个主机的cpu，io，磁盘等数据信息。通过平台数据的汇总，展现能看到主机在某方面的异常信息。但是，这些采集的数据都是和业务不相关的，只能单纯的反应出系统的状态信息；

杀毒软件，杀毒软件往往是通过病毒的一些行为特征来进行判断，如果这些特征未被收录，可能错过检测，或者这种破坏行为，就是人为的操作，杀毒软件也是检测不出来的。

即现有的安全检测手段均缺少对业务环境的判断，其安全判断结果高度依赖于网络结果，同时未考虑分布式业务的情况下，非故障节点是否正常工作，进而只能判断哪些节点出现问题，并针对出现问题的节点触发保护机制。但是现有的业务安全检测方法无法进一步判断问题节点出现是源于业务本身的问题还是受到外来恶意攻击，因此在业务本身存在问题是也会触发保护机制，造成资源浪费。

发明内容

本发明的目的在于提供一种分布式业务安全检测方法，实现对分布式业务系统中各节点的状态进行比对判断，进一步分别出节点是否受到外来恶意攻击，进而减少不必要的保护触发，大大节约分布式业务系统的资源。

本发明通过下述技术方案实现：

一种分布式业务安全检测方法，基于分布式业务系统实现，分布式业务系统包括中心服务器、若干业务终端、对应中心服务器的代理中心、对应若干业务终端的若干代理节点，构建包括若干代理节点的环形对等网络，将环形对等网络中所有代理节点的状态进行比对以判断所有的代理节点的真实状态，所述真实状态包括正常状态、异常状态、断开状态；并针对环形对等网络中任一处于异常状态的代理节点，通过计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例以判断是否对处于异常状态的代理节点触发保护。

为了更好的实现本发明，进一步地，具体包括以下步骤：

步骤A1、通过若干代理节点建立环形对等网络，通过代理节点向代理中心以及其他代理节点发送环形网络心跳包以判断环形对等网络中任一代理节点的状态；

步骤A2、根据环形对等网络中代理节点的状态对环形对等网络中的代理节点进行添加或移除，以矫正环形对等网络；

步骤A3、若当前的代理节点处于与代理中心正常连接的在线状态，则标记当前的代理节点为正常状态；若当前的代理节点处于与代理中心没有连接的离线状态，则询问环形对等网络中其余的代理节点的状态，若其余的代理节点均处于离线状态，则标记当前的代理节点为断开状态，若其余的代理节点中至少有一个处于在线状态，则标记当前的代理节点为异常状态；

步骤A4、针对处于异常状态的代理节点，计算环形对等网络中其余的代理节点中处于异常状态的节点数的数量或所占总节点数的比例，判断是否对处于异常状态的代理节点触发保护。

为了更好的实现本发明，进一步地，所述步骤A4为：

步骤A4.1、统计环形对等网络中所有的代理节点的总节点数；

步骤A4.2、若总节点数小于等于20，则计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例大于等于50%时，对处于异常状态的代理节点触发保护；

步骤A4.3、若总节点数大于20，则计算环形对等网络中代理节点中处于异常状态的节点数大于等于10时，对处于异常状态的代理节点触发保护。

为了更好的实现本发明，进一步地，所述步骤A2具体为：

步骤A2.1、通过一致HASH算法获取代理节点在环形对等网络中与时间节点对应的序号以构成环形网络心跳包，代理节点按照时间节点向代理中心及其他的代理节点发送环形网络心跳包；

步骤A2.2、通过检测代理节点在每个时间节点是否向代理中心以及其他代理节点发送环形网络心跳包，对环形对等网络中的代理节点进行添加或移除。

为了更好的实现本发明，进一步地，所述步骤A2.2对环形对等网络中的代理节点进行添加具体为：

在当前时间节点检测环形对等网络中是否出现新的环形网络心跳包，若发现新的环形网络心跳包，则将发出新的环形网络心跳包的代理节点添加至环形对等网络中。

为了更好的实现本发明，进一步地，将发出新的环形网络心跳包的代理节点添加至环形对等网络具体为：

通过一致HASH算法根据代理节点的IP地址计算出当前节点在环形对等网络中的序号，根据序号将代理节点添加至环形对等网络，同时代理中心对添加的代理节点进行版本和状态更新，添加的代理节点将版本和状态更新的信息传输至其他的代理节点，其他的代理节点对接收到的版本和状态更新的信息进行谣言式传播，直到环形对等网络中所有的代理节点均完成版本和状态更新。

为了更好的实现本发明，进一步地，所述步骤A2.2对环形对等网络中的代理节点进行移除具体为：

在当前时间节点检测代理节点是否发出环形网络心跳包，若代理节点在连续三个时间节点均没有发出环形网络心跳包，则以第三个时间节点将代理节点从环形对等网络中移除。

为了更好的实现本发明，进一步地，所述环形网络心跳包以组播的方式发送。

本发明与现有技术相比，具有以下优点及有益效果：

（1）本发明在业务终端发生异常时，通过将业务终端对应的代理节点与环形对等网络中的其他代理节点进行状态询问对比，若其他代理节点均离线，则判定当前代理节点处于断开状态；若其他的代理节点存在至少一个与代理中心连接，则判断当前代理节点错异常状态；通过遍历所有代理节点的状态并进行比对后，得到异常状态的节点数的数量或异常状态的节点数占总结点数的比例，进而通过异常的节点数或比例判断是否对异常状态的节点触发保护，能够进一步判断代理节点是受到恶意攻击还是自身故障，进而减少不必要的保护触发。

（2）本发明通过一致HASH算法对代理节点进行处理，实现新代理节点在环形对等网络中的添加或离线节点在环形对等网络中的移除，进而实现环形对等网络共识，有效解决网络风暴，降低代理中心的压力；

（3）本发明通过设置触发保护的阈值，就可以通过代理中心进行保护配置，也可以通过代理节点在环形对等网络中的交互通信进行保护配置，进而高效完成整个分布式业务系统的部署、更新和保护。

附图说明

图1为本发明的流程示意图；

图2为环形对等网络的示意图；

图3为添加代理节点的流程示意图。

具体实施方式

实施例1：

本实施例的一种分布式业务安全检测方法，如图1所示，基于分布式业务系统实现，所述分布式业务系统包括中心服务器、若干业务终端、对应中心服务器的代理中心、对应若干业务终端的若干代理节点，构建包括若干代理节点的环形对等网络，将环形对等网络中所有代理节点的状态进行比对以判断所有的代理节点的真实状态，所述真实状态包括正常状态、异常状态、断开状态；并针对环形对等网络中任一处于异常状态的代理节点，通过计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例以判断是否对处于异常状态的代理节点触发保护。

分布式业务系统包括中心服务器以及若干业务终端，对应中心服务器设置有代理中心，对应若干业务终端设置与若干代理节点，且代理节点与业务终端一一对应。中心服务器对业务终端的监控可以通过代理中心与代理节点之间的数据交互完成。代理节点与代理中心失联时，不会影响业务终端的正常使用，但是需要判别代理节点与代理中心失联是否源于恶意攻击，进而判别是否对代理节点以及相应的业务终端触发保护机制。

若干代理节点构成环形对等网络，环形对等网络中的代理节点即互为对等的节点。新的业务终端通过其对应的代理节点以组播的方式加入环形对等网络。环形对等网络中的若干代理节点之间进行数据交互。

当出现网络故障或受到恶意攻击时，造成业务终端对应的代理节点与代理中心失联，但此时若干代理节点之间通过环形对等网络依旧能够实现数据交互。若失联源于恶意攻击，则需要触发保护机制，若失联源于网络故障等因素，则不需要触发保护机制。为了判断当前的业务终端与中心服务器失联是否源于恶意攻击，此时通过故障的业务终端对应的代理节点向环形与等网络中的其余代理节点进行状态信息交互，即对应故障业务终端的代理节点将自身与代理中心失联的状态发送至其余的代理节点，同时其余的代理节点将自身与代理中心的连接状态发送至对应故障业务终端的代理节点。

若其余的代理节点中处于与代理中心失联的数量或比例超过预先设定的阈值，则判断失联源于网络故障、中心服务器故障、业务终端故障等非恶意攻击原因；若其余的代理节点中处于与代理中心失联的数量或比例小于预先设定的阈值，即其余的代理节点基本正常，则判断失联源于恶意攻击原因，此时对失联的代理节点触发保护机制。

实施例2：

本实施例在实施例1的基础上做进一步优化，具体包括以下步骤：

步骤A1、通过若干代理节点建立环形对等网络，通过代理节点向代理中心以及其他代理节点发送环形网络心跳包以判断环形对等网络中任一代理节点的状态；

步骤A2、根据环形对等网络中代理节点的状态对环形对等网络中的代理节点进行添加或移除，以矫正环形对等网络；

步骤A3、若当前的代理节点处于与代理中心正常连接的在线状态，则标记当前的代理节点为正常状态；若当前的代理节点处于与代理中心没有连接的离线状态，则询问环形对等网络中其余的代理节点的状态，若其余的代理节点均处于离线状态，则标记当前的代理节点为断开状态，若其余的代理节点中至少有一个处于在线状态，则标记当前的代理节点为异常状态；

步骤A4、针对处于异常状态的代理节点，计算环形对等网络中其余的代理节点中处于异常状态的节点数的数量或所占总节点数的比例，判断是否对处于异常状态的代理节点触发保护。

本实施例的其他部分与实施例1相同，故不再赘述。

实施例3：

本实施例在上述实施例1或2的基础上做进一步优化，所述步骤A4具体为：

步骤A4.1、统计环形对等网络中所有的代理节点的总节点数；

步骤A4.2、若总节点数小于等于20，则计算环形对等网络中处于异常状态的代理节点的异常节点数所占总节点数的比例，所述比例大于等于50%时，对处于异常状态的代理节点触发保护；

步骤A4.3、若总节点数大于20，则计算环形对等网络中代理节点中处于异常状态的节点数大于等于10时，对处于异常状态的代理节点触发保护。

进一步的，也可按照处于正常状态的代理节点的正常节点数的数量或正常节点数所占总结点数的比例判断是否触发保护。具体判断如下：

若总节点数小于等于20，则计算环形对等网络中处于正常状态的代理节点的正常节点数所占总节点数的比例，所述比例小于50%时，对处于异常状态的代理节点触发保护；若总节点数大于20，则计算环形对等网络中的正常节点数小于10时，对处于异常状态的代理节点触发保护。

本实施例的其他部分与上述实施例1或2相同，故不再赘述。

实施例4：

本实施例在上述实施例1-3任一项的基础上做进一步优化，如图2和图3所示，所述步骤A2具体为：

步骤A2.1、通过一致HASH算法获取代理节点在环形对等网络中与时间节点对应的序号以构成环形网络心跳包，代理节点按照时间节点向代理中心及其他的代理节点发送环形网络心跳包；

一致HASH算法如下，对代理节点的网络IP进行HASH，用网络IP对环形对等网络中的代理节点的总数进行去余运算。当网络IP出现HASH冲突的时候解决办法：冲突的代理节点是知道自己在环形对等网络中的节点列表中的序号的，序号大的代理节点顺移到下一个空闲的序号。

比如：环形对等网络中有5个代理节点，其网络IP分别为：192.168.0.1，192.168.0.2，192.168.0.4，192.168.0.16，192.168.0.21。取余后HASH结果为：192.168.0.1（1），192.168.0.1（2），192.168.0.4（4），192.168.0.16（1），192.168.0.21（1）。则冲突解决结果为：192.168.0.16（1）冲突→192.168.0.6（2+1），192.168.0.21（1）冲突→192.168.0.6（4+1）。

步骤A2.2、通过检测代理节点在每个时间节点是否向代理中心以及其他代理节点发送环形网络心跳包，对环形对等网络中的代理节点进行添加或移除。

过一致HASH算法对环形对等网络进一步优化，环形网络中的代理节点数量，一定是比配置的节点数量低。环形对等网络首次启动时，代理节点发出依次环形网络心跳包即为一次心跳，每次心跳的时候均需要矫正环形对等网络，即通过检测网络心跳包判断是否有新的代理节点加入环形对等网络或有代理节点从环形对等网络中断开。

进一步的，所述步骤A2.2对环形对等网络中的代理节点进行添加具体为：

在当前时间节点检测环形对等网络中是否出现新的环形网络心跳包，若发现新的环形网络心跳包，则将发出新的环形网络心跳包的代理节点添加至环形对等网络中。

进一步的，将发出新的环形网络心跳包的代理节点添加至环形对等网络具体为：

通过一致HASH算法根据代理节点的IP地址计算出当前节点在环形对等网络中的序号，根据序号将代理节点添加至环形对等网络，同时代理中心对添加的代理节点进行版本和状态更新，添加的代理节点将版本和状态更新的信息传输至其他的代理节点，其他的代理节点对接收到的版本和状态更新的信息进行谣言式传播，直到环形对等网络中所有的代理节点均完成版本和状态更新。

本实施例的其他部分与上述实施例1-3相同，故不再赘述。

实施例5：

本实施例在上述实施例1-4任一项的基础上做进一步优化，如图3所示，新的代理节点发现并添加至环形对等网络具体为：

1 、新的代理节点启动时，新的代理节点开启心跳用于网络发现，即新的代理节点向其他的代理节点及代理中发送心跳，心跳以组播的方式发送；

2 、环形对等网络中原本的代理节点都有组播网内的所有代理节点数据，环形对等网络中的代理节点收到新的代理节点的心跳后，将所有代理节点数据发送至新的代理节点，代理节点数据包括代理节点的网络IP、在环形对等网络中的序号等；

3 、新的代理节点通过收到的代理节点数据，根据自己的网络IP计算出自己在环形对等网络中的序号，根据得到的序号将新的代理节点添加至环形对等网络；

4 、添加的代理节点根据需要，在特定的时间自我唤醒，开启工作模式；

5 、添加的代理节点更新唤醒后即向代理中心询问是否有新版本和数据更新；

6 、如果添加的代理节点更新数据成功，则将更新的数据广播告知环形对等网络中的其他代理节点；

7 、其他的代理节点进行对等谣言式的数据更新，所述对等谣言式的数据更新是指1个代理节点作为源节点更新2个或多个代理节点。例如一个代理节点作为源节点同步更新其他三个代理节点，其他三个代理节点更新完以后，就形成4个源节点，然后即可更新4×4×4个代理节点，以此类推可以很快完成所有代理节点的更新。

进一步的，环形对等网络中的所有的代理节点构成一个虚拟的环形网络，同一时间只有一个代理节点可以通过环形对等网络从代理中心下载更新，通过代理中心下发的更新数据、配置版本号、CRC等信息，可以判断代理节点是否需要更新。

本实施例的其他部分与上述实施例1-4相同，故不再赘述。

实施例6：

本实施例在上述实施例1-5任一项的基础上做进一步优化，在当前时间节点检测代理节点是否发出环形网络心跳包，若代理节点在连续三个时间节点均没有发出环形网络心跳包，则以第三个时间节点将代理节点从环形对等网络中移除。

当代理节点在第一个时间节点没有发出环形网络心跳包，此时对当前代理节点进行标记，若连续三个时间节点均检测到当前代理节点没有发出环形网络心跳包，则以第三个时间节点将代理节点从环形对等网络中移除。

本实施例的其他部分与上述实施例1-5任一项相同，故不再赘述。

实施例7：

本实施例在上述实施例1-6任一项的基础上做进一步优化，若干业务终端对应的代理节点组成的一个环形对等网络，新的业务终端对应的新的代理节点通过组播的方式加入环形对等网络。环形对等网络中的代理节点之间相互通信，进行信息的交互并完成安全验证。

具体为：

1、每个业务终端对应的代理节点登陆终端操作系统后，代理节点中的代理程序将获取到代理中心下发的策略参数，策略参数包括终端保护触发策略、组播通信加密方式、密钥、心跳超时参数、环形对等网络接入条件参数等。

2、代理程序启动后，将随机选取一个时间范围作为心跳时间范围，优选30s-60s，并在心跳时间范围内以组播的方式发送心跳；

3、每个代理节点中的代理程序将维护其在环形对等网络中的信任节点列表；

4、信任节点列表维护是在收到其他的代理节点的心跳后，向对方询问得到代理节点的基础信息，通过统一的加解密方式对基础信息进行翻译，然后将代理节点的基础信息加入信任节点列表；同时将基础信息通过摘要算法sha256生成认证key。之后代理节点广播的心跳只包含认证key数据，进而减少通讯数据量。

本实施例的其他部分与上述实施例1-6任一项相同，故不再赘述。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围。

Claims (4)

1.一种分布式业务安全检测方法，基于分布式业务系统实现，所述分布式业务系统包括中心服务器、若干业务终端、对应中心服务器的代理中心、对应若干业务终端的若干代理节点，其特征在于，构建包括若干代理节点的环形对等网络，将环形对等网络中所有代理节点的状态进行比对以判断所有的代理节点的真实状态，所述真实状态包括正常状态、异常状态、断开状态；并针对环形对等网络中任一处于异常状态的代理节点，通过计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例以判断是否对处于异常状态的代理节点触发保护；具体包括以下步骤：

步骤A1、通过若干代理节点建立环形对等网络，通过代理节点向代理中心以及其他代理节点发送环形网络心跳包以判断环形对等网络中任一代理节点的状态；

步骤A2、根据环形对等网络中代理节点的状态对环形对等网络中的代理节点进行添加或移除，以矫正环形对等网络；

步骤A3、若当前的代理节点处于与代理中心正常连接的在线状态，则标记当前的代理节点为正常状态；若当前的代理节点处于与代理中心没有连接的离线状态，则询问环形对等网络中其余的代理节点的状态，若其余的代理节点均处于离线状态，则标记当前的代理节点为断开状态，若其余的代理节点中至少有一个处于在线状态，则标记当前的代理节点为异常状态；

步骤A4、针对处于异常状态的代理节点，计算环形对等网络中其余的代理节点中处于异常状态的节点数的数量或所占总节点数的比例，判断是否对处于异常状态的代理节点触发保护；

所述步骤A2具体为：

步骤A2.1、通过一致HASH算法获取代理节点在环形对等网络中与时间节点对应的序号以构成环形网络心跳包，代理节点按照时间节点向代理中心及其他的代理节点发送环形网络心跳包；

步骤A2.2、通过检测代理节点在每个时间节点是否向代理中心以及其他代理节点发送环形网络心跳包，对环形对等网络中的代理节点进行添加或移除；

所述步骤A2.2对环形对等网络中的代理节点进行添加具体为：

在当前时间节点检测环形对等网络中是否出现新的环形网络心跳包，若发现新的环形网络心跳包，则将发出新的环形网络心跳包的代理节点添加至环形对等网络中；将发出新的环形网络心跳包的代理节点添加至环形对等网络具体为：

通过一致HASH算法根据代理节点的IP地址计算出当前节点在环形对等网络中的序号，根据序号将代理节点添加至环形对等网络，同时代理中心对添加的代理节点进行版本和状态更新，添加的代理节点将版本和状态更新的信息传输至其他的代理节点，其他的代理节点对接收到的版本和状态更新的信息进行谣言式传播，直到环形对等网络中所有的代理节点均完成版本和状态更新；所述谣言式传播即为对等谣言式的数据更新，是指1个代理节点作为源节点更新多个代理节点，即将一个代理节点作为源节点同步更新其他代理节点，其他代理节点更新完以后，就形成新的源节点，然后即可更新其余代理节点，以此类推可以完成所有代理节点的更新。

2.根据权利要求1所述的一种分布式业务安全检测方法，其特征在于，所述步骤A4包括以下步骤：

步骤A4.1、统计环形对等网络中所有的代理节点的总节点数；

步骤A4.2、若总节点数小于等于20，则计算环形对等网络中代理节点中处于异常状态的节点数所占总节点数的比例大于等于50%时，对处于异常状态的代理节点触发保护；

步骤A4.3、若总节点数大于20，则计算环形对等网络中代理节点中处于异常状态的节点数大于等于10时，对处于异常状态的代理节点触发保护。

3.根据权利要求1所述的一种分布式业务安全检测方法，其特征在于，所述步骤A2.2对环形对等网络中的代理节点进行移除具体为：

在当前时间节点检测代理节点是否发出环形网络心跳包，若代理节点在连续三个时间节点均没有发出环形网络心跳包，则以第三个时间节点将代理节点从环形对等网络中移除。

4.根据权利要求1-3任一项所述的一种分布式业务安全检测方法，其特征在于，所述环形网络心跳包以组播的方式发送。