CN114584565B - 一种应用防护方法及系统、电子设备及存储介质 - Google Patents

Abstract

本申请实施例公开了一种应用防护方法及系统、电子设备及存储介质。所述应用防护方法可包括：获取目标防护带宽；确定防护设备集群中备选设备组的当前利用率；确定所述备选设备组的平均请求处理数；根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护。如此可以实现动态协同的智能轮询算法，根据设备组的当前性能参数，为目标防护带宽确定防护性能最适合的设备组提供防护。

Description

一种应用防护方法及系统、电子设备及存储介质

技术领域

本发明涉及应用防护领域，尤其涉及一种应用防护方法及系统、电子设备及存储介质。

背景技术

目前在云平台部署全球局域网Web应用防护集群，主要通过部署大量同等性能的Web应用防护设备为租户提供服务；Web请求流量到达负载均衡模块后，负载均衡模块根据预先配置的轮询算法，如根据IP段平均分配到不同的Web应用防护设备组，或随机选择设备组，将Web应用防护站点建立在选中的Web应用防护设备组上。如此，负载分配到不同设备组后，可能导致设备组的负载性能不均衡，集群内不同设备组使用效率差距较大，无法保证整个集群发挥最佳性能。

发明内容

有鉴于此，本发明实施例提供一种应用防护方法及系统、电子设备及存储介质。

本发明的技术方案是这样实现的：

第一方面，本发明实施例提供一种应用防护方法，包括：

获取目标防护带宽；

确定防护设备集群中备选设备组的当前利用率；

确定备选设备组的平均请求处理数；

根据当前利用率和平均请求处理数，从备选设备组中选择出与目标防护带宽所需防护性能匹配的目标设备组，其中，目标设备组用于为目标防护带宽提供防护。

进一步地，确定防护设备集群中备选设备组的当前利用率，包括：

获取备选设备组当前已防护带宽和最大吞吐量；

根据当前已防护带宽和最大吞吐量，确定当前利用率。

进一步地，确定备选设备组的平均请求处理数，包括：

获取备选设备组当前预设时长内的总请求处理数；

根据预设时长和总请求处理数，确定平均请求处理数。

进一步地，根据当前利用率和平均请求处理数，从备选设备组中选择出与目标防护带宽所需防护性能匹配的目标设备组，包括：

根据备选设备组的当前利用率，确定当前利用率最低的第一数量的设备组；

根据备选设备组的平均请求处理数，确定当前平均请求处理数最低的第二数量的设备组；

根据第一数量的设备组和第二数量的设备组，确定目标设备组。

进一步地，根据第一数量的设备组和第二数量的设备组，确定目标设备组，包括：

将第一数量的设备组和第二数量的设备组进行对比；

若第一数量的设备组和第二数量的设备组所共有的设备组为一个，则确定共有的设备组为目标设备组；

若第一数量的设备组和第二数量的设备组所共有的设备组为多个，且多个共有的设备组性能相同，则选择多个共有的设备组中所述当前利用率最低的一个所述目标设备组。

进一步地，若第一数量的设备组和第二数量的设备组所共有的设备组为多个，根据多个共有的设备组性能，以及目标防护带宽所属区间与每一共有设备组最大吞吐量的接近程度，确定目标设备组。

进一步地，根据所述多个共有的设备组性能，以及目标防护带宽所属区间与每一共有设备组最大吞吐量的接近程度，包括：

获取防护设备集群已防护带宽的带宽值；

将带宽值排序；

按预设间隔值将排序后的带宽值划分为多个区间，其中，预设间隔值为每一区间所包含带宽值的最小值与最大值的差值；

将目标防护带宽所属区间在多个区间中的位置转换为第一百分比；

根据第一百分比和每一共有设备组的最大吞吐量，确定目标设备组。

进一步地，根据第一百分比和每一共有设备组的最大吞吐量，确定目标设备组，包括：

获取备选设备组的最大吞吐量排序后的序列；

将每一共有设备组最大吞吐量在排序后的最大吞吐量中序列的位置转换为第二百分比；

确定与第一百分比最接近的第二百分比所属的共有设备组为目标设备组。

进一步地，若所述第一数量的设备组和所述第二数量的设备组无共有的设备组，则在第一数量的设备组与第二数量的设备组中，确定加权统计值最低的设备组为目标设备组。

进一步地，确定加权统计值最低的设备组为目标设备组，包括：

确定每一设备组当前利用率的第一平均差；

确定每一设备组平均请求处理数的第二平均差；

确定每一设备组第一平均差与第二平均差的加权统计值；

确定加权统计值最低的设备组为目标设备组。

第二方面，本发明实施例提供一种应用防护系统，包括：

控制设备，用于获取目标防护带宽；确定防护设备集群中备选设备组的当前利用率；确定备选设备组的平均请求处理数；根据当前利用率和平均请求处理数，从备选设备组中选择出与目标防护带宽所需防护性能匹配的目标设备组，其中，目标设备组用于为目标防护带宽提供防护；

防护设备集群，与控制设备连接，包含多个防护性能不同的防护设备组子集，其中，每个防护设备组子集，包含多个防护性能相同的备选设备组；用于提供应用防护。

进一步地，所述系统还包括：

服务器，用于为目标防护带宽部署应用防护站点；

交换设备，用于网络连通以及数据传输。

第三方面，本发明实施例提供一种电子设备，所述电子设备包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器；

处理器运行所述计算机程序时，执行前述一个或多个技术方案所述方法的步骤。

第四方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令；计算机可执行指令被处理器执行后，能够实现前述一个或多个技术方案所述方法。

本发明提供的应用防护方法，获取目标防护带宽；确定防护设备集群中备选设备组的当前利用率；确定所述备选设备组的平均请求处理数；根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护。通过当前利用率这一动态数据选择设备组，使不同性能的设备组保持负载均衡，抑制设备集群中出现各设备组负荷差距过大的情况。另外结合平均请求处理数，协同选择设备组，可动态选择与当前所需防护性能匹配的的设备组，保证防护设备集群具备最的防护效果及防护效果。

附图说明

图1为本发明实施例提供的一种应用防护方法的流程示意图；

图2为本发明实施例提供的一种应用防护方法的流程示意图；

图3为本发明实施例提供的一种应用防护方法的流程示意图；

图4为本发明实施例提供的一种应用防护方法的流程示意图；

图5为本发明实施例提供的一种应用防护方法的流程示意图；

图6为本发明实施例提供的一种应用防护方法的流程示意图；

图7为本发明实施例提供的一种应用防护方法的流程示意图；

图8为本发明实施例提供的一种应用防护方法的流程示意图；

图9为本发明实施例提供的一种应用防护方法的流程示意图；

图10为本发明实施例提供的一种应用防护方法的流程示意图；

图11为本发明实施例提供的一种应用防护系统的结构示意图；

图12为本发明实施例提供的一种应用防护系统的结构示意图；

图13为本发明实施例提供的一种应用防护方法的流程示意图；

图14为本发明实施例提供的一种应用防护方法的流程示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，所描述的实施例不应视为对本发明的限制，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

在以下的描述中，涉及到“一些实施例”，其描述了所有可能实施例的子集，但是可以理解，“一些实施例”可以是所有可能实施例的相同子集或不同子集，并且可以在不冲突的情况下相互结合。

在以下的描述中，所涉及的术语“第一\第二\第三”仅仅是是区别类似的对象，不代表针对对象的特定排序，可以理解地，“第一\第二\第三”在允许的情况下可以互换特定的顺序或先后次序，以使这里描述的本发明实施例能够以除了在这里图示或描述的以外的顺序实施。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中所使用的术语只是为了描述本发明实施例的目的，不是旨在限制本发明。

如图1所示，本发明实施例提供一种应用防护方法，所述方法包括：

S110：获取目标防护带宽；

S120：确定防护设备集群中备选设备组的当前利用率；

S130：确定所述备选设备组的平均请求处理数；

S140：根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护。

这里，目标防护带宽为有应用防护需求的目标所需防护带宽，例如云平台租户根据其全球广域网web站点业务状态的实际流量选择的防护带宽值。防护设备集群为大量应用防护设备组的集合，例如由多个不同性能的设备组子集构成，每个子集包含多个相同性能的设备组。设备组为两台设备组成，例如采用双主模式提供防护服务的两台设备的组合。与所述目标防护带宽所需防护性能匹配的目标设备组，可以是当前利用率与平均请求处理数等性能参数在当前防护设备集群中所处的等级，与目标防护带宽值在全部已防护带宽值中所处的等级最接近的设备组。例如，目标防护带宽值在全部已防护带宽值中偏高，则与其所需防护性能所匹配的目标设备组的性能参数，在防护设备集群全部设备组的性能参数中也处于偏高的位置。

在本发明实施例中，当前利用率可以表征设备组当前已使用的处理资源的占比，可通过设备组的负载率来表示，负载率越高则利用率也越高；平均请求处理数为一段时间内单位时间处理的请求数，可以表征设备组当前的工作负荷状态，其中处理的请求为通过交换设备接收到的提供防护服务的请求，包括：提供反向代理、流量清洗、漏洞检测、信息过滤等各种应用防护请求。基于设备组的当前利用率，可以优先选择当前利用率较低的设备组，使得防护设备集群中各设备组的利用率保持均衡，抑制出现部分设备组负载过高，而部分设备组利用率低下的情况，使防护设备集群中各设备组的利用率尽量接近整体平均值。在此基础上结合平均请求处理数，通过智能轮询算法动态协同选择目标设备组，可以防止选择当前处理请求量高的设备组作为防护站点，提高整体的防护效率，保证防护设备集群整体具备最优防护性能。如此，可以为目标防护带宽提供当前最佳性能的防护，并实现对防护设备集群的最大化利用效果。

在一些实施例中，如图2所示，所述S120，包括：

S121：获取所述备选设备组当前已防护带宽和最大吞吐量；

S122：根据所述当前已防护带宽和所述最大吞吐量，确定所述当前利用率。

在本发明实施例中，当前已防护带宽为设备组当前负责防护的全部带宽，最大吞吐量可以表征设备组最大防护能力。根据当前已防护带宽a与最大吞吐量b，可以计算出设备组的当前利用率c＝a/b。如此，通过获取设备组的已防护带宽和最大吞吐量，可以确定设备组的动态属性即当前利用率，准确地得知该设备组当前已使用的处理资源占比，得到设备组的处理资源可用情况，作为动态选择设备组的参考依据。

在一些实施例中，如图3所示，所述S130，包括：

S131：获取所述备选设备组当前预设时长内的总请求处理数；

S132：根据所述预设时长和所述总请求处理数，确定所述平均请求处理数。

在本发明实施例中，根据设备组当前一定时间内的请求处理数量，计算当前的平均请求处理数。例如，预设时长可以为10分钟，获取设备组前10分钟内的请求处理总数d，则设备组平均请求处理数e＝d/10。如此，根据一段时间内的请求处理量，可以避免计算全部的请求处理量，使平均请求处理数更具有参考价值，可更为准确地获知设备组当前工作负荷的高低，进而作为另一参考依据用以协同选择设备组。

在一些实施例中，如图4所示，所述S140，包括：

S141：根据所述备选设备组的所述当前利用率，确定所述当前利用率最低的第一数量的设备组；

S142：根据所述备选设备组的所述平均请求处理数，确定所述当前平均请求处理数最低的第二数量的设备组；

S143：根据所述第一数量的设备组和所述第二数量的设备组，确定所述目标设备组。

在本发明实施例中，分别确定出当前利用率最低和平均请求处理数最低的一定数量的设备组，并结合确定出最佳的目标设备组。其中，确定第一数量的设备组，可以对备选设备组的当前利用率进行排序，例如第一数量取值为3，则确定备选设备组中当前利用率前三低的设备组，为当前利用率最低的第一数量的设备组。确定第二数量的设备组同理。

在一个实施例中，若存在多个设备组的当前利用率均为最低值，则在其中随机选取第一数量的设备组，第二数量设备组的选择同理。

在另一个实施例中，若存在多个设备组的当前利用率同为最低值，或者相差在预设值之内，可根据设备组的新旧状态，优先选择其中老化程度较低的设备组用于确定第一数量设备组。同样地，若存在多个设备组的平均请求处理数同为最低值，或者相差在预设值之内，亦优先选择其中老化程度较低的设备组用于确定第二数量设备组。如此，可以保证优先选择状态较新较好的设备组，减少设备组过度老化的情况，亦可保证设备组的工作状态，提供较好防护效果。

在又一个实施例中，若存在多个设备组的当前利用率同为最低值，或者相差在预设值之内，可优先选择设备组编号低的设备组用于确定第一数量设备组。同样地，若存在多个设备组的平均请求处理数同为最低值，或者相差在预设值之内，亦优先选择设备组编号低的设备组用于确定第二数量设备组。其中，设备组编号为每个设备组的唯一标识序号。

优选地，第一数量和第二数量均为3个，则在确定出的这6个设备组中，选择当前利用率和平均请求处理数最低的设备组为目标设备组。如此，可以保证用于为目标防护带宽提供防护的设备组，是所有备选设备组中当前利用率和平均请求处理数均为最低的，即可用处理资源最多且当前处理压力最小的设备组，保证优先选择防护性能最佳的设备组提供防护。且限定性能最适于提供防护的一定数量的设备组，可以大大简化智能轮询算法的选择过程，避免在大量设备组中进行选择，提高设备组分配的速度。

在一些实施例中，如图5所示，所述S143，包括：

S210：将所述第一数量的设备组和所述第二数量的设备组进行对比；

S220：若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为一个，则确定所述共有的设备组为所述目标设备组；和/或，

S230：若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为多个，且所述多个共有的设备组性能相同，则选择所述多个共有的设备组中所述当前利用率最低的一个所述目标设备组。

在本发明实施例中，根据已确定的第一数量设备组和第二数量设备组，确定这两个集合的交集中设备组的数量。如果交集中仅有一个设备组，则可直接确定该设备组为目标设备组。如果交集中有多个设备组且性能相同，即性能参数最大吞吐量相同，则根据这几个设备组的当前利用率，优先选择其中当前利用率最低的设备组为目标设备组。若性能相同且当前利用率也相同，则确定其中平均请求处理数最低的设备组为目标设备组。

在一个实施例中，若交集中有多个设备组，性能相同且当前利用率和平均请求处理数也相同，则根据设备组的新旧状态，优先选择其中老化程度较低的设备组作为目标设备组。

在另一个实施例中，若交集中有多个设备组，性能相同且当前利用率和平均请求处理数也相同，则根据设备组编号，确定其中编号低的设备组为目标设备组。

如此，可以保证最终得到的目标设备组，是所有备选设备组中当前利用率和平均请求处理数均为最低的，即可用处理资源最多且当前处理压力最小的设备组，保证优先选择防护性能最佳的设备组提供防护，可以同时满足对目标防护带宽的高防护性能和对防护设备集群的高利用效率。

在一些实施例中，如图6所示，所述S143，还包括：

S240：若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为多个，根据所述多个共有的设备组性能，以及所述目标防护带宽所属区间与每一共有设备组最大吞吐量的接近程度，确定所述目标设备组。

在本发明实施例中，当第一数量设备组与第二数量设备组的交集中，存在多个设备组且性能并非全部相同时，根据目标防护带宽在防护设备集群全部已防护带宽中所属区间，与交集中每一共有设备组的最大吞吐量的接近程度，确定目标设备组。其中，接近程度可以表征共有设备组的最大吞吐量与目标防护带宽的匹配程度，例如，目标防护带宽在全部已防护带宽中所占区间等级较高，则可对应选择相近等级的最大吞吐量的设备组提供防护。

在一个实施例中，当交集中部分共有设备组的性能相同时，例如交集中有4个共有设备组，其中2个设备组的性能相同，且与另外2个设备组到的性能各不相同，则在相同性能的2个设备组里选择当前利用率最低的设备组，当前利用率亦相同时，选择平均请求处理数最低的设备组。在这2个相同性能的设备组里选择出更优的设备组后，将其与另外2个不同性能的设备组相比较，则根据目标防护带宽在防护设备集群全部已防护带宽中所属区间，与设备组最大吞吐量的接近程度，确定接近程度最高的设备组为目标设备组。

当交集中共有设备组性能各不相同时，则根据目标防护带宽在防护设备集群全部已防护带宽中所属区间，与设备组最大吞吐量的接近程度，确定接近程度最高的设备组为目标设备组。

如此，可以避免一味选择最大吞吐量最高的即性能最好的设备组提供防护，而是为目标防护带宽选择与其最接近最匹配的防护性能的设备组，避免高性能的设备组用于低带宽防护引起的性能浪费以及分配不平衡，保证为目标带宽分配的设备组对其最有利，性能与其防护带宽等级最匹配，既满足对不同防护带宽的自适应设备组分配，又可以节省防护集群的成本。

在一些实施例中，如图7所示，所述S240，包括：

S241：获取所述防护设备集群已防护带宽的带宽值；

S242：将所述带宽值排序；

S243：按预设间隔值将所述排序后的带宽值划分为多个区间，其中，所述预设间隔值为每一所述区间所包含带宽值的最小值与最大值的差值；

S244：将所述目标防护带宽所属区间在所述多个区间中的位置转换为第一百分比；

S245：根据所述第一百分比和所述每一共有设备组的最大吞吐量，确定所述目标设备组。

在本发明实施例中，防护设备集群已防护带宽的带宽值，为集群中所有设备组已进行防护的全部带宽值。将带宽值排序，包括按带宽值进行升序或降序的排列。

例如，对带宽值进行升序排列，并取预设间隔值为10M，将排序后的带宽值分为m个区间，即0-10M为第1个区间,11-21M为第2个区间…以此类推，根据目标防护带宽值，例如为18M，则目标防护带宽所属区间为第2个区间，则第一百分比为

如此，根据自适应学习得到的全部已防护带宽，通过区间划分的计算形式目标防护带宽的等级，保证对于不同防护带宽的防护需求，均可以实现高匹配度的设备组分配。基于目标防护带宽所属区间的位置与等级，而非简单地根据带宽值确定目标设备组，可以大大提高对不同防护带宽的性能匹配度，在此基础上又可以实现设备组的性能在整个防护设备集群中得到最优的利用，避免性能浪费和分配不平衡的情况出现。

在一些实施例中，如图8所示，所述S245，包括：

S245a：获取所述备选设备组的最大吞吐量排序后的序列；

S245b：将所述每一共有设备组最大吞吐量在所述排序后的最大吞吐量序列中的位置转换为第二百分比；

S245c：确定与所述第一百分比最接近的所述第二百分比所属的共有设备组为所述目标设备组。

在本发明实施例中，对防护设备集群中所有备选设备组的最大吞吐量进行升序或降序排列。需要说明的是，对最大吞吐量的排列方式应与前述带宽值排列方式相同，即均为升序或均为降序，这样才能保证得到的第一和第二百分比具有匹配性。优选地，将最大吞吐量升序排列，按不同最大吞吐量将设备组分为n个区间，最大吞吐量相同的设备组划至同一区间，例如1G、2G、3G…以此类推，若共有设备组的最大吞吐量为2G，则第二百分比为对于第一百分比p1与第二百分比p2的接近程度，可以根据p1与p2的差值绝对值确定，与p1的差值绝对值最小的p2是与p1最接近的；也可以是当p1与p2的差值绝对值达到预设的阈值时，例如0-5％，确定对应的p2为与p1最接近的。进而确定与p1最接近的p2对应的设备组为目标设备组。

如此，根据最大吞吐量在全部设备组最大吞吐量序列中所排列的位置，确定共有设备组的性能等级，对应目标防护带宽的等级，选择与之最接近的最大吞吐量所属的共有设备组提供防护，抑制仅根据最大吞吐量的数值进行选择，而是根据与目标防护带宽的匹配程度，确定最适合目标防护带宽的设备组，既足够保证对目标防护带宽的防护效果，使各等级的防护带宽可以获得同等级的防护设备组，又可以避免仅根据吞吐量进行选择设备组引起的性能浪费和分配不平衡，使目标防护带宽和防护设备集群均可以达到最优防护性能和最佳利用效果。

在一些实施例中，如图9所示，所述S143，还包括：

S250：若所述第一数量的设备组和所述第二数量的设备组无共有的设备组，则在所述第一数量的设备组与第二数量的设备组中，确定加权统计值最低的设备组为所述目标设备组。

在本发明实施例中，当第一数量和第二数量设备组的交集中没有共有设备组时，则对这两个集合取并集。例如，第一数量和第二数量均为3个时，则在这6个设备组中选择加权统计值最低的设备组为目标设备组。其中，加权统计值可以表征每个设备组在这6个设备组中，当前利用率和平均请求处理数的整体水平。优选地，若存在多个设备组的加权平均值均为最低值，则选择设备组编号低的设备组。

如此，对于当前利用率最低和平均请求处理数最低的设备组不存在共有设备组的情况，通过已确定的最适合进行当前防护的所有设备组，进行加权统计值的计算，根据这些设备组中性能参数的整体水平与平均水平，确定出目标设备组。可以保证在无法确定交集设备组的特殊情况下，依然可以选择出当前整体性能最适合提供防护的设备组，从而保障对目标防护带宽的防护性能和防护设备集群的利用效果，使智能轮询算法更加全面适用，准确性更高。

在一些实施例中，如图10所示，所述S250，包括：

S251：确定每一设备组所述当前利用率的第一平均差；

S252：确定每一设备组所述平均请求处理数的第二平均差；

S253：确定每一设备组所述第一平均差与所述第二平均差的加权统计值；

S254：确定所述加权统计值最低的设备组为所述目标设备组。

在本发明实施例中，确定当前第一数量与第二数量之和为n，这n个设备组的当前利用率X的平均值为平均请求处理数Y的平均值为/>则每一设备组当前利用率X的第一平均差/> 平均请求处理数Y的第二平均差/>加权统计值/>

如此，通过平均差与加权统计值的计算，将已确定出的第一数量和第二数量设备组中各设备组的性能参数进行处理，基于加权统计结果可以得知每一设备组的性能整体水平以及第一与第二数量设备组中的平均水平，由此确定出的目标设备组，是性能参数最优的多个设备组中整体性能最佳的。既可以弥补当第一数量与第二数量设备组没有交集时无法选择设备组的缺陷，又可以选择出当前整体性能最适合为目标防护带宽提供防护的设备组，实现对动态协同智能轮询算法的优化和完善。

如图11所示，本发明实施例提供了一种应用防护系统，所述系统包括：

控制设备110，用于获取目标防护带宽；确定防护设备集群中备选设备组的当前利用率；确定所述备选设备组的平均请求处理数；根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护；

防护设备集群120，与所述控制设备连接，包含多个防护性能不同的防护设备组子集，其中，每个所述防护设备组子集，包含多个防护性能相同的所述备选设备组；用于提供应用防护。

在一些实施例中，所述系统还包括：

服务器130，用于为所述目标防护带宽部署应用防护站点；

交换设备140，用于网络连通以及数据传输。

以下结合上述任一实施例提供一个具体示例：

如图12所示，本实施例选择使用多种不同性能规格的Web应用防护设备，构建Web应用防护设备集群。整个集群由多个不同性能设备组子集构成，每个子集中包含多个相同性能两两一组的设备组，设备组内两台设备采用双主模式为租户提供服务。云平台租户按需订购Web应用防护产品后，共享集群中的Web应用防护设备，根据云平台中租户的防护带宽，结合集群中设备组利用率及设备组平均请求处理数，提出一种动态协同的智能轮询算法，为租户选择最优设备组进行Web站点防护，在保证云平台租户Web站点防护效果最佳同时保障Web应用防护设备集群具备最高效的设备利用率，且此过程对租户无感知。

云平台多租户Web应用防护集群系统架构包括：为租户提供防护功能的Web应用防护集群模块；结合Web应用防护集群性能参数通过动态协同的智能轮询算法选择Web应用设备组的负载均衡模块；为租户提供云服务器部署租户Web站点的云平台服务器；系统中负责网络联通的交换机及接入交换机。

根据设备组当前已防护带宽/当前设备组最大吞吐量计算出设备组当前利用率，考虑设备组当前利用率这一因素可保证不同性能的设备组在用户使用过程中保持设备利用率接近平均值，避免出现部分设备组高负荷，部分设备组利用率低；同时协同计算设备组的平均请求处理数，结合这一数据动态选择防护设备组，以达到Web防护设备集群整体具备最优利用率，防止出现某一时段设备组处理请求量高的情况下，仍选择了该设备组创建防护站点。

如图13所示，在结合设备组当前利用率及请求处理数无法选择出设备组时，计算当前租户防护带宽在整个自学习防护带宽分布区间集合中的哪个区间内，同时计算每个设备组在整个设备组吞吐量分布区间集合中的哪个区间内。选择与当前租户防护带宽所在区间占比最接近的设备组，可保证在给云平台下的多租户提供最优防护效果的同时保障租户在高价格购买防护带宽的情况下能够享受使用高性能设备的权利。

负载均衡模块收集云平台服务器模块提供的租户Web防护带宽，结合Web应用防护集群中设备组部署方式，计算Web应用防护集群模块中各设备组性能参数，通过动态协同的智能轮询算法为租户选择最优防护设备组，如图14所示，具体步骤如下：

1、通过自适应学习收集每个租户的防护带宽，按升序排列到集合M中，将集合M中的数据按10M带宽为阶梯分成m个子集；根据设备组的吞吐量，按照升序排列到集合N中，将设备组根据不同吞吐量分成n个子集，相同吞吐量设备组划分到同一个子集；

2、利用设备组当前已防护带宽/当前设备组吞吐量计算出各设备组当前利用率，并按从低到高排序，相同值情况下设备组编号低的排前面；

3、计算设备组前10分钟内的平均请求处理数，并按从低到高排序,相同值情况下设备组编号低的排前面；执行

4、分别取利用率低的前三组得集合A，取平均请求处理量低的前三组得集合B，集合A与集合B取交集I：

交集中只有一个设备组：选择交集中设备组；

交集中有多个设备组：

交集中的设备组在同一个子集中，优先选择设备组利用率最低设备组，利用率相同情况下，选择平均请求处理数低的设备组；

交集中的设备组不在同一个子集中：

计算当前租户防护带宽在整个自学习防护带宽分布区间集合中的所属区间，计算该所属区间占整个防护带宽区间集合位置的百分比；

计算每个设备组(n1,n2,…)在整个设备组吞吐量分布区间集合中的所属区间，计算每个设备组(n1,n2,…)所属区间占整个设备组区间集合位置的百分比；

将(1)中计算所得的百分比分别与(2)中各设备组计算出的百分比比较，选择区间位置百分比最接近设备组；

交集中无设备组：

将两个集合取并集U，计算U集合中的设备组当前已防护带宽/当前设备组吞吐量这一组数据的平均差

计算U集合中设备组前10分钟内的平均请求处理数这一组数据的平均差

分别计算集合U中的设备组加权统计x′y′值，计算公式计算出后选择最6组中x′y′值最低的一组，如果存在值相同情况取设备组编号低的一组。

本发明实施例还提供一种电子设备，所述电子设备包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，处理器运行所述计算机程序时，执行前述一个或多个技术方案所述方法的步骤。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，计算机可执行指令被处理器执行后，能够实现前述一个或多个技术方案所述方法。

本实施例提供的计算机存储介质可为非瞬间存储介质。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它行驶的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理模块中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的行驶实现，也可以采用硬件加软件功能单元的行驶实现。

在一些情况下，上述任一两个技术特征不冲突的情况下，可以组合成新的方法技术方案。

在一些情况下，上述任一两个技术特征不冲突的情况下，可以组合成新的设备技术方案。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (14)

1.一种应用防护方法，其特征在于，所述方法包括：

获取目标防护带宽；

确定防护设备集群中备选设备组的当前利用率；

确定所述备选设备组的平均请求处理数；

根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护；

其中，所述根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，包括：

根据所述备选设备组中所述当前利用率最低的第一数量的设备组和所述备选设备组中所述平均请求处理数最低的第二数量的设备组，确定与所述目标防护带宽所需防护性能匹配的目标设备组。

2.根据权利要求1所述的方法，其特征在于，所述确定防护设备集群中备选设备组的当前利用率，包括：

获取所述备选设备组当前已防护带宽和最大吞吐量；

根据所述当前已防护带宽和所述最大吞吐量，确定所述当前利用率。

3.根据权利要求1所述的方法，其特征在于，所述确定所述备选设备组的平均请求处理数，包括：

获取所述备选设备组当前预设时长内的总请求处理数；

根据所述预设时长和所述总请求处理数，确定所述平均请求处理数。

4.根据权利要求1所述的方法，其特征在于，所述根据所述当前利用率和所述平均请求处理数，从所述备选设备组中选择出与所述目标防护带宽所需防护性能匹配的目标设备组，包括：

根据所述备选设备组的所述当前利用率，确定所述当前利用率最低的第一数量的设备组；

根据所述备选设备组的所述平均请求处理数，确定所述平均请求处理数最低的第二数量的设备组；

根据所述第一数量的设备组和所述第二数量的设备组，确定所述目标设备组。

5.根据权利要求4所述的方法，其特征在于，所述根据所述第一数量的设备组和所述第二数量的设备组，确定所述目标设备组，包括：

将所述第一数量的设备组和所述第二数量的设备组进行对比；

若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为一个，则确定所述共有的设备组为所述目标设备组；

若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为多个，且多个共有的设备组性能相同，则选择所述多个共有的设备组中所述当前利用率最低的一个所述目标设备组。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

若所述第一数量的设备组和所述第二数量的设备组所共有的设备组为多个，根据所述多个共有的设备组性能，以及所述目标防护带宽所属区间与每一共有设备组最大吞吐量的接近程度，确定所述目标设备组。

7.根据权利要求6所述的方法，其特征在于，所述根据所述多个共有的设备组性能，以及所述目标防护带宽所属区间与每一共有设备组最大吞吐量的接近程度，确定所述目标设备组，包括：

获取所述防护设备集群已防护带宽的带宽值；

将所述带宽值排序；

按预设间隔值将排序后的带宽值划分为多个区间，其中，所述预设间隔值为每一所述区间所包含带宽值的最小值与最大值的差值；

将所述目标防护带宽所属区间在所述多个区间中的位置转换为第一百分比；

根据所述第一百分比和所述每一共有设备组的最大吞吐量，确定所述目标设备组。

8.根据权利要求7所述的方法，其特征在于，所述根据所述第一百分比和所述每一共有设备组的最大吞吐量，确定所述目标设备组，包括：

获取所述备选设备组的最大吞吐量排序后的序列；

将所述每一共有设备组最大吞吐量在所述排序后的最大吞吐量序列中的位置转换为第二百分比；

确定与所述第一百分比最接近的所述第二百分比所属的共有设备组为所述目标设备组。

9.根据权利要求5所述的方法，其特征在于，所述方法还包括：

若所述第一数量的设备组和所述第二数量的设备组无共有的设备组，则在所述第一数量的设备组与第二数量的设备组中，确定加权统计值最低的设备组为所述目标设备组。

10.根据权利要求9所述的方法，其特征在于，所述确定加权统计值最低的设备组为所述目标设备组，包括：

确定每一设备组所述当前利用率的第一平均差；

确定每一设备组所述平均请求处理数的第二平均差；

确定每一设备组所述第一平均差与所述第二平均差的加权统计值；

确定所述加权统计值最低的设备组为所述目标设备组。

11.一种应用防护系统，其特征在于，所述系统包括：

控制设备，用于获取目标防护带宽；确定防护设备集群中备选设备组的当前利用率；确定所述备选设备组的平均请求处理数；根据所述备选设备组中所述当前利用率最低的第一数量的设备组和所述备选设备组中所述平均请求处理数最低的第二数量的设备组，确定与所述目标防护带宽所需防护性能匹配的目标设备组，其中，所述目标设备组用于为所述目标防护带宽提供防护；

防护设备集群，与所述控制设备连接，包含多个防护性能不同的防护设备组子集，其中，每个所述防护设备组子集，包含多个防护性能相同的所述备选设备组；用于提供应用防护。

12.根据权利要求11所述的系统，其特征在于，所述系统还包括：

服务器，用于为所述目标防护带宽部署应用防护站点；

交换设备，用于网络连通以及数据传输。

13.一种电子设备，其特征在于，所述电子设备包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器；其中，

所述处理器运行所述计算机程序时，执行权利要求1至10任一项所述应用防护方法的步骤。

14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机可执行指令；所述计算机可执行指令被处理器执行后，能够实现如权利要求1至10任一项所述应用防护方法。