CN115643079A - 数据包安全风险检测方法、装置、电子设备和存储介质 - Google Patents

Abstract

本申请提供数据包安全风险检测方法、装置、电子设备和存储介质。该方法包括：确定待检测数据包的本地通信信息；根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。因此，该方法能够用于确定待检测数据包的安全风险，从而解决现有技术中的问题。

Description

数据包安全风险检测方法、装置、电子设备和存储介质

技术领域

本申请涉及信息安全技术领域，具体而言，涉及数据包安全风险检测方法、装置、电子设备和存储介质。

背景技术

在实际应用中，网络终端(包括服务端和用户端)之间通常通过数据包进行交互，因此针对数据包的安全性进行检测至关重要。

发明内容

本申请实施例的目的在于提供数据包安全风险检测方法、装置、电子设备和存储介质，用于检测数据包的安全风险。

本申请实施例第一方面提供了一种数据包安全风险检测方法，所述方法包括：

确定待检测数据包的本地通信信息；

根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；

利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。

于一实施例中，所述方法还包括：通过所述预设进程名单的时间戳和版本信息，确定所述预设进程名单是否合法；以及，

利用所述进程标识查询预设进程名单，具体包括：

在确定所述预设进程名单合法的情况下，利用所述进程标识查询预设进程名单。

于一实施例中，在确定待检测数据包的本地通信信息之前，所述方法还包括：

确定所述待检测数据包的传输报头；

利用所述传输报头查询访问控制列表ACL，以确定所述访问控制列表 ACL是否包括所述传输报头；以及，

确定待检测数据包的本地通信信息，具体包括：

在所述访问控制列表ACL包括所述传输报头的情况下，确定所述待检测数据包的本地通信信息。

于一实施例中，所述方法还包括：

在所述访问控制列表ACL不包括所述传输报头的情况下，确定所述待检测数据包的安全风险为高安全风险。

于一实施例中，在确定待检测数据包的本地通信信息之前，所述方法还包括：

判断所述待检测数据包的通信协议是否为指定通信协议，其中，所述指定通信协议具体包括TCP或UDP；以及，

确定待检测数据包的本地通信信息，具体包括：

在所述待检测数据包的通信协议为指定通信协议的情况下，确定待检测数据包的本地通信信息。

于一实施例中，根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识，具体包括：

以所述本地通信信息为依据，查询使用所述指定通信协议的第一进程；

根据进程间的关联关系以及所述第一进程的进程标识，确定组建所述待检测数据包的目标进程的进程标识。

于一实施例中，在确定出所述待检测数据包的安全风险为低安全风险的情况下，所述方法还包括：向服务端或其他用户端发送所述待检测数据包；或，

在所述待检测数据包的通信协议不为指定通信协议的情况下，直接向服务端或其他用户端发送所述待检测数据包。

本申请实施例第二方面提供了一种数据包安全风险检测装置，所述装置包括：

本地通信信息确定单元，用于确定待检测数据包的本地通信信息；

进程标识确定单元，用于根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；

安全风险确定单元，用于利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。

本申请实施例第三方面提供了一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；其中，所述处理器被配置为执行本申请实施例第一方面任意一项所述的方法。

本申请实施例第四方面提供了一种存储介质，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行，以完成本申请实施例第一方面任意一项所述的方法。

采用本申请实施例所提供的方法，先确定待检测数据包的本地通信信息，然后根据该本地通信信息，确定组建该待检测数据包的目标进程的进程标识，然后利用该进程标识查询预设进程名单，以确定该待检测数据包的安全风险。因此，该方法能够用于确定待检测数据包的安全风险，从而解决现有技术中的问题。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请一实施例提供的电子设备的结构示意图；

图2为本申请一实施例提供的，应用程序的权限控制方法的具体流程示意图；

图3为本申请另一实施例提供的，应用程序的权限控制方法的具体流程示意图；

图4为本申请一实施例提供的，应用程序的权限控制装置的具体结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。在本申请的描述中，诸如“第一”、“第二”、“第三”等术语仅用于区分描述，而不能理解为指示或暗示相对重要性或先后顺序。

如前所述，网络终端之间通常通过数据包进行交互，因此针对数据包的安全性进行检测至关重要。比如，用户端在向服务端或其他用户端发送数据包以用于进行交互时，通常需要先对该数据包所存在的安全风险进行检测。

基于此，本申请实施例提供了一种数据包安全风险检测方法、装置、电子设备和存储介质，能够用于对数据包的安全风险进行检测。如图1所示，本实施例提供一种电子设备1，该电子设备1包括：至少一个处理器11和存储器12，图1中以一个处理器为例。处理器11和存储器12可以通过总线10连接，存储器12存储有可被处理器11执行的指令，指令被处理器11执行，以使电子设备1可执行下述的实施例中方法的全部或部分流程。

在实际应用中，该电子设备1可以是手机、笔记本电脑、台式电脑等，结合本申请的应用场景，该电子设备1也可以作为用户端或服务端，从而用于对数据包的安全风险进行检测。比如，该电子设备1可以是用户端，该用户端在向服务端或其他用户端发送数据包之前，可以将该数据包作为待检测数据包，先对该数据包的安全风险进行检测。

本申请实施例提供了一种数据包安全风险检测方法，其中，该方法可以由图1所示的电子设备1来执行，这里可以对该电子设备1作为用户端，来执行该方法进行说明。如图2所示为该方法的具体流程示意图，该方法包括如下步骤：

步骤S21：确定待检测数据包的本地通信信息。

其中，用户端在向服务端或其他用户端发送数据包之前，可以将该数据包作为待检测数据包，从而确定该待检测数据包的本地通信信息。该本地通信信息可以为，该用户端本地的IP地址(即源IP地址)、用于发送该待检测数据包的端口号(即源端口号)等。

另外，确定待检测数据包的本地通信信息的具体方式，比如可以是对该待检测数据包的传输报头进行解析，从而确定出该本地通信信息。在实际应用中，根据相关的通信协议，待检测数据包的传输报头通常可以包括源IP地址、源端口号、接收端IP地址、接收端端口号等，因此可以通过对待检测数据包的传输报头的解析，来得到该本地通信信息。

步骤S22：根据该本地通信信息，确定组建该待检测数据包的目标进程的进程标识。

其中，该进程标识可以用于唯一标识该目标进程，在实际应用中该进程标识比如可以为进程号、进程名等。

该目标进程为组建该待检测数据包的进程，该目标进程在组建该待检测数据包的过程中，需要先确定该待检测数据包的通信协议，然后根据该通信协议来确定使用该通信协议的进程(后续称之为第一进程)，进而利用进程间的关联关系，包括进程间的协同、通信等关联关系，通过第一进程来实现相关资源的调用，以组建出该待检测数据包。其中，该通信协议可以为TCP、UDP、HTTP或其他的通信协议。

因此，在确定待检测数据包的本地通信信息之后，可以进一步根据该本地通信信息，确定组建该待检测数据包的目标进程的进程标识，比如，可以先根据待检测数据包的传输报头来确定该待检测数据包的通信协议，然后以本地通信信息为依据，来查询使用该通信协议的第一进程，然后进一步根据进程间的关联关系以及该第一进程的进程标识，来确定出组建待检测数据包的目标进程的进程标识。

步骤S23：利用该进程标识查询预设进程名单，以确定该待检测数据包的安全风险。

其中，该预设进程名单包括白名单和/或黑名单，其中，白名单用于记录低安全风险的进程的进程标识，黑名单用于记录高安全风险的进程的进程标识。比如，该预设进程名单可以为白名单，也可以为黑名单，还可以为白名单和黑名单。

因此，在确定出组建待检测数据包的目标进程的进程标识之后，可以利用该进程标识查询预设进程名单，比如，在该预设进程名单为白名单的情况下，可以利用该进程标识查询该白名单，若该白名单中包括该进程标识，则说明该目标进程存在低安全风险，进而确定出该目标进程所组建的该待检测数据包的安全风险也为低安全风险；或者，若该白名单中不包括该进程标识，则说明该目标进程不为存在低安全风险(可能存在高安全风险)，进而确定出该待检测数据包的安全风险也为高安全风险。

在该预设进程名单为黑名单的情况下，可以利用该进程标识查询该黑名单，若该黑名单中包括该进程标识，则说明该目标进程存在高安全风险，进而确定出该目标进程所组建的该待检测数据包的安全风险也为高安全风险；或者，若该黑名单中不包括该进程标识，则说明该目标进程不为存在高安全风险(可能存在低安全风险)，进而确定出该待检测数据包的安全风险也为低安全风险。

在该预设进程名单为白名单和黑名单的情况下，可以利用该进程标识查询该白名单和黑名单，若该黑名单中包括该进程标识，则说明该目标进程存在高安全风险，进而确定出该目标进程所组建的该待检测数据包的安全风险也为高安全风险；或者，若该白名单中包括该进程标识，则说明该目标进程存在低安全风险，进而确定出该目标进程所组建的该待检测数据包的安全风险也为低安全风险；或者，若该白名单和黑名单均不包括该进程标识，则可以根据实际应用场景确定该目标进程的安全风险，比如在安全需求较高的场景下，可以将该目标进程确定为存在高安全风险，进而确定出该待检测数据包的安全风险也为高安全风险，反之，在安全需求较低的场景下，可以将该目标进程确定为存在低安全风险，进而确定出该待检测数据包的安全风险也为低安全风险。

采用本申请实施例所提供的方法，先确定待检测数据包的本地通信信息，然后根据该本地通信信息，确定组建该待检测数据包的目标进程的进程标识，然后利用该进程标识查询预设进程名单，以确定该待检测数据包的安全风险。因此，该方法能够用于确定待检测数据包的安全风险，从而解决现有技术中的问题。

在本申请实施例所提供的方法中，其发明思路在于，根据进程的安全风险来确定该进程所组件的数据包的安全风险。具体来说，待检测数据包由目标进程所组建，根据该发明思路，可以先确定出该待检测数据包的本地通信信息，然后根据该本地通信信息来确定出组建该待检测数据包的目标进程的进程标识，然后通过该目标进程的进程标识来查询预设进程名单，从而确定出该目标进程的安全风险，进而根据该目标进程的安全风险来确定待检测数据包的安全风险，实现了对该待检测数据包的安全风险的检测。

在实际应用中，在执行上述步骤S23之前，本申请实施例所提供的方法还可以包括确定该预设进程名单是否合法，具体来说，可以根据该预设进程名单的时间戳和版本信息，来确定预设进程名单是否合法。当然，还可以包括获取该预设进程名单，比如可以从服务端获取该预设进程名单。

比如，根据该版本信息，来确定该预设进程名单是否为最新的预设进程名单，若是，则说明该预设进程名单合法，若否，则说明该预设进程名单不合法；或，根据该时间戳，来确定该时间戳与当前时间的时间间隔是否小于预设阈值，若是，则说明该预设进程名单合法，若否，则说明该预设进程名单不合法。

当然，在确定出该预设进程名单合法的情况下，可以直接执行上述的步骤S23，即，利用目标进程的进程标识查询预设进程名单，以确定待检测数据包的安全风险；或，在确定出该预设进程名单不合法的情况下，可以先对该预设进程名单进行更新，然后再执行上述的步骤S23，即，利用目标进程的进程标识查询更新后的预设进程名单，以确定该待检测数据包的安全风险。其中，对该预设进程名单进行更新的具体方式可以是，从服务端或云端获取最新的预设进程名单，作为该更新后的预设进程名单。

需要说明的是，在实际应用中，通常更倾向于通过TCP和UDP 的数据包来实现其非法目的，因此使得不同通信协议的数据包所存在的安全风险通常并不相同，而TCP和UDP的数据包可能存在相对更高的安全风险。因此，在上述的步骤S21之前，本申请实施例所提供的方法还可以包括：判断该待检测数据包的通信协议是否为指定通信协议，其中，该指定通信协议具体包括TCP或UDP，此时在确定出该待检测数据包的通信协议不为指定通信协议的情况下，说明该待检测数据包可能存在相对较低的安全风险，可以不用执行后续的步骤S21～步骤S23，比如直接向服务端或其他用户端发送该待检测数据包；或，在确定出该待检测数据包的通信协议为指定通信协议的情况下，说明该待检测数据包可能存在相对较高的安全风险，需要通过执行后续的步骤S21～步骤S23来进一步确定该待检测数据包的安全风险，并且在通过步骤S21～步骤S23，确定出该待检测数据包的安全风险为低安全风险的情况下，向服务端或其他用户端发送该待检测数据包。

需要进一步说明的是，通过先判断该待检测数据包的通信协议是否为指定通信协议，进而在该通信协议不为指定通信协议的情况下，直接向服务端或其他用户端发送该待检测数据包，该方式只有在该通信协议为指定通信协议的情况下，才执行后续的步骤S21～步骤S23，因此在所需要发送的数据包的数量较多的情况下，通过先进行该判断的步骤，能够直接发送不为指定通信协议的数据包(这些数据包的安全风险也相对较低)，从而综合考虑了数据包的整体发送效率和安全风险，达到更优的效果。

比如，在待检测数据包的通信协议为指定通信协议的情况下，可以确定待检测数据包的本地通信信息(比如该本地通信信息为源端口号)，然后进一步以该源端口号为依据，来查询使用该指定通信协议的第一进程，然后进一步根据进程间的关联关系以及该第一进程的进程标识，来确定出组建待检测数据包的目标进程的进程标识，进而利用该进程标识查询预设进程名单，以确定待检测数据包的安全风险。

在实际应用中，用户端通常还设置有访问控制列表(Access Control List，ACL)，该访问控制列表ACL能够用于控制该用户端对数据包的收发。因此，在上述的步骤S21之前，本申请实施例所提供的方法还可以包括：确定该待检测数据包的传输报头，然后利用该传输报头查询访问控制列表 ACL，以确定访问控制列表ACL是否包括该传输报头，若确定该访问控制列表ACL包括该传输报头，则说明可以发送该待检测数据包，因此需要进一步执行步骤S21～步骤S23，以确定该待检测数据包的安全风险；或，若确定该访问控制列表ACL不包括该传输报头，则可以确定该待检测数据包的安全风险为高安全风险，并且不能发送该待检测数据包，此时可以丢弃该待检测数据包，并且可以不执行后续的步骤S21～步骤S23。其中，访问控制列表ACL可以从服务端获取，也可以由用户端生成。

上述是对本申请实施例所提供的数据包安全风险检测方法的具体说明，为了便于理解，这里可以结合具体应用场景，对该方法进一步说明。在该场景下，目标进程组建了待检测数据包，并且需要将该待检测数据包向服务端发送，预设进程名单具体为白名单。如图3所示为该方法的具体流程示意图，该方法包括：

步骤S31：确定待检测数据包的传输报头。

步骤S32：利用该传输报头查询访问控制列表ACL，以确定访问控制列表ACL是否包括该传输报头，若是，则执行步骤S33，若否，则执行步骤S39。

步骤S33：通过白名单的时间戳和版本信息，确定该白名单是否合法，若是，则执行步骤S34。

当然，若该白名单不合法，可以先对该白名单进行更新，然后再次执行该步骤S33。

步骤S34：判断该待检测数据包的通信协议是否为指定通信协议，若是，则执行步骤S35，若否，则执行步骤S38。

其中，该指定通信协议具体包括TCP或UDP。

步骤S35：确定待检测数据包的本地通信信息。

该本地通信信息可以为源IP地址、源端口号等。

步骤S36：根据该本地通信信息，确定组建待检测数据包的目标进程的进程标识。

步骤S37：利用该进程标识查询白名单，以确定该待检测数据包的安全风险，并且在该待检测数据包为低安全风险的情况下，执行步骤S38，或在在该待检测数据包为高安全风险的情况下，执行步骤S39。

步骤S38：向服务端发送该待检测数据包。

步骤S39：丢弃该待检测数据包。

显然，通过该图3所示的方法，也能够解决现有技术中的问题，这里对此不再赘述。

基于与本申请实施例所提供的，数据包安全风险检测方法相同的发明构思，本申请实施例还提供了一种数据包安全风险检测装置，对于该装置实施例，如有不清楚之处，可以参考方法实施例的相应内容。如图4所示为该装置40的具体结构示意图，该装置40包括：本地通信信息确定单元 401、进程标识确定单元402和安全风险确定单元403，其中：

本地通信信息确定单元401，用于确定待检测数据包的本地通信信息；

进程标识确定单元402，用于根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；

安全风险确定单元403，用于利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。

采用本申请实施例所提供的装置40，由于该装置40采用与本申请实施例所提供的，数据包安全风险检测方法具有相同的发明构思，在该方法能够解决技术问题的前提下，该装置40也能够解决技术问题，这里对此不再赘述。

另外，在实际应用中，通过将该装置40与具体硬件设备、云技术等相结合所取得的技术效果，也在本申请的保护范围之内，比如采用分布式集群的方式将该装置40中的不同单元布设于分布式集群中的不同节点中，从而提高效率等；或，将该装置40中的部分单元布设于云端，从而降低成本等。

该装置40还可以包括合法性确定单元，用于通过所述预设进程名单的时间戳和版本信息，确定所述预设进程名单是否合法；以及，利用所述进程标识查询预设进程名单，具体包括：在确定所述预设进程名单合法的情况下，利用所述进程标识查询预设进程名单。

该装置40还可以包括ACL判断单元，用于确定所述待检测数据包的传输报头；利用所述传输报头查询访问控制列表ACL，以确定所述访问控制列表ACL是否包括所述传输报头；以及，本地通信信息确定单元401可以包括本地通信信息确定子单元，用于在所述访问控制列表ACL包括所述传输报头的情况下，确定所述待检测数据包的本地通信信息。

该装置40还可以包括：风险确定单元，用于在所述访问控制列表ACL 不包括所述传输报头的情况下，确定所述待检测数据包的安全风险为高安全风险。

该装置40还可以包括通信协议判断单元，用于判断所述待检测数据包的通信协议是否为指定通信协议，其中，所述指定通信协议具体包括TCP 或UDP；以及，本地通信信息确定单元401可以包括本地通信信息第二确定子单元，用于在所述待检测数据包的通信协议为指定通信协议的情况下，确定待检测数据包的本地通信信息。

进程标识确定单元402具体包括进程标识确定子单元，用于以所述本地通信信息为依据，查询使用所述指定通信协议的第一进程；根据进程间的关联关系以及所述第一进程的进程标识，确定组建所述待检测数据包的目标进程的进程标识。

该装置40还可以包括发送单元，用于在确定出所述待检测数据包的安全风险为低安全风险的情况下，所述方法还包括：向服务端或其他用户端发送所述待检测数据包；或，在所述待检测数据包的通信协议不为指定通信协议的情况下，直接向服务端或其他用户端发送所述待检测数据包。

本发明实施例还提供了一种存储介质，该存储介质存储有计算机程序，计算机程序可由处理器执行以完成本申请实施例中方法的全部或部分流程。其中，存储介质可为磁盘、光盘、只读存储记忆体(Read-Only Memory， ROM)、随机存储记忆体(Random AccessMemory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive， SSD)等。存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (10)

1.一种数据包安全风险检测方法，其特征在于，所述方法包括：

确定待检测数据包的本地通信信息；

根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；

利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：通过所述预设进程名单的时间戳和版本信息，确定所述预设进程名单是否合法；以及，

利用所述进程标识查询预设进程名单，具体包括：

在确定所述预设进程名单合法的情况下，利用所述进程标识查询预设进程名单。

3.根据权利要求1所述的方法，其特征在于，在确定待检测数据包的本地通信信息之前，所述方法还包括：

确定所述待检测数据包的传输报头；

利用所述传输报头查询访问控制列表ACL，以确定所述访问控制列表ACL是否包括所述传输报头；以及，

确定待检测数据包的本地通信信息，具体包括：

在所述访问控制列表ACL包括所述传输报头的情况下，确定所述待检测数据包的本地通信信息。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述访问控制列表ACL不包括所述传输报头的情况下，确定所述待检测数据包的安全风险为高安全风险。

5.根据权利要求1所述的方法，其特征在于，在确定待检测数据包的本地通信信息之前，所述方法还包括：

判断所述待检测数据包的通信协议是否为指定通信协议，其中，所述指定通信协议具体包括TCP或UDP；以及，

确定待检测数据包的本地通信信息，具体包括：

在所述待检测数据包的通信协议为指定通信协议的情况下，确定待检测数据包的本地通信信息。

6.根据权利要求5所述的方法，其特征在于，根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识，具体包括：

以所述本地通信信息为依据，查询使用所述指定通信协议的第一进程；

根据进程间的关联关系以及所述第一进程的进程标识，确定组建所述待检测数据包的目标进程的进程标识。

7.根据权利要求5所述的方法，其特征在于，在确定出所述待检测数据包的安全风险为低安全风险的情况下，所述方法还包括：向服务端或其他用户端发送所述待检测数据包；或，

在所述待检测数据包的通信协议不为指定通信协议的情况下，直接向服务端或其他用户端发送所述待检测数据包。

8.一种数据包安全风险检测装置，其特征在于，所述装置包括：

本地通信信息确定单元，用于确定待检测数据包的本地通信信息；

进程标识确定单元，用于根据所述本地通信信息，确定组建所述待检测数据包的目标进程的进程标识；

安全风险确定单元，用于利用所述进程标识查询预设进程名单，以确定所述待检测数据包的安全风险，所述预设进程名单包括白名单和/或黑名单，其中，所述白名单用于记录低安全风险的进程的进程标识，所述黑名单用于记录高安全风险的进程的进程标识。

9.一种电子设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；其中，所述处理器被配置为执行如权利要求1-7任意一项所述的方法。

10.一种存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成权利要求1-7任意一项所述的方法。

Images