CN116340943A - 应用程序保护方法、装置、设备、存储介质和程序产品 - Google Patents

Abstract

本公开的实施例提供了一种基于运行时应用程序自我保护技术的应用程序保护方法，可以应用于计算机技术领域和信息安全技术领域。该方法包括：基于运行时程序自我保护RASP技术获取应用程序的运行时信息；在运行时信息的底层接口中设置钩子函数；通过钩子函数抓取运行时信息的访问数据；以及对访问数据与安全防护规则集合进行匹配判断，如果访问数据在安全防护规则集合内，则触发RASP的主动防御。本公开还提供了一种基于运行时应用程序自我保护技术的应用程序保护装置、计算设备、介质和程序产品。

Description

应用程序保护方法、装置、设备、存储介质和程序产品

技术领域

本公开涉及计算机技术领域，具体涉及信息安全技术领域，特别是涉及一种基于运行时应用程序自我保护技术的应用程序保护方法、装置、设备、介质和程序产品。

背景技术

随着互联网技术的不断发展，Web应用作为银行企业信息化建设过程中的重要应用形式，然而由于云计算技术的普及推广，越来越多的企业业务由传统数据中心迁移到云平台中，使得Web应用环境变得更为复杂。据权威机构统计，75％的攻击行为已由网络层转移到应用层，开源框架引入大幅增加同时频繁被爆出存在RCE(remote command/codeexecute，即远程代码/命令执行漏洞)、Java反序列化漏洞等各类安全漏洞，全球互联网中针对Web应用的网络攻击频率和复杂性不断提升，敏感信息泄露、业务中断、数据篡改等安全事件层出不穷，现有的防火墙设备不能正确分辨出端口传输的信息安全性，针对应用层面的攻击，攻击者可以轻易突破防火墙保护的网站来进行一些弱口令攻击、非授权访问敏感信息、XSS(Cross Site Scripting，即跨站脚本攻击)、SQL注入，以此窃取重要数据、知识产权、敏感信息等，现有的大部分入侵检测系统、WAF(Web Application Firewall，即Web应用防护系统)、杀毒软件为代表的传统边界安全产品作用日渐式微，另外随着等保2.0标准的出台，保障思路由1.0的被动防御向感知预警、动态防护、安全检测、应急响应的主动保障体系转变，偏重于事后审计、回溯、分析。因此加强应用层面的安全防护，对于减少企业面临重大安全威胁有着重要意义。

目前的安全防护产品有WAF应用防火墙、HIPS(Host Intrusion Prevent System，即主机入侵防御系统)统一安全管理系统、防病毒网关、NIPS(Network Intrusion PreventSystem，即网络入侵防御系统)、堡垒机、网络流量异常行为威胁感知等网络安全设备。均工作于受保护的应用程序之前，其中WAF应用防火墙无需了解应用程序内部的工作原理，通过特征规则对请求如何影响应用程序的操作和安全性进行假设，严重依赖攻击特征来识别和阻止恶意输入。在应用程序后端基于JVM(Java Virtual Machine，即Java虚拟机)运行时态的字节码注入技术案例有IAST(Interactive application security testing，即交互式应用安全测试)灰盒扫描工具，这款工具通过运行时的应用插桩技术来实现。

对于网络层面的安全防护设备，攻击者可通过向请求中添加额外的编码来绕过WAF保护，以使其不再匹配WAF配置规则，从而将有效载荷送到应用程序造成安全威胁。传统WAF防御是基于流量分析技术实现对常见Web攻击类型的防御，从而减少Web应用被攻击的风险。但由于该技术依赖于流量分析无法与Web应用紧密结合，从而导致传统WAF无法对Web攻击进行准确分析和有效防御。对于程序后端的基于JVM运行时态的字节码注入技术的IAST灰盒扫描工具，是基于应用中间件配置，无法定位漏洞攻击细节问题，难以实现精准防御。

发明内容

鉴于上述问题，本公开提供了基于运行时应用程序自我保护技术的应用程序保护方法、装置、设备和存储介质。

根据本公开的第一个方面，提供一种基于运行时应用程序自我保护技术的应用程序保护方法，包括：

基于运行时应用程序自我保护技术获取应用程序的运行时信息；

在运行时信息的底层接口中设置钩子函数；

通过所述钩子函数抓取所述运行时信息的访问数据；

对所述访问数据与安全防护规则集合进行匹配判断；以及

如果所述访问数据在所述安全防护规则集合内，则触发所述运行时应用程序自我保护的主动防御。

根据本公开的实施例，其中，所述方法还包括：

基于所述安全防护规则集合对所述应用程序进行模拟攻击，得到模拟攻击结果；

分析所述模拟攻击结果确定所述运行时信息的敏感位置；

基于所述安全防护规则集合，形成安全探针；

将所述安全探针插入所述敏感位置；

对所述访问数据与所述安全探针进行匹配判断；以及

如果匹配成功，则触发所述运行时应用程序自我保护的主动防御。

根据本公开的实施例，其中，所述方法还包括形成安全防护规则集合，所述形成安全防护规则集合包括：

获取应用程序的多个历史攻击行为；

分析所述多个历史攻击行为，得到分析结果；

基于所述分析结果，确定每个历史攻击行为的攻击位置、攻击类型和攻击路径；以及

收集所述每个历史攻击行为的攻击位置、攻击类型和攻击路径的共同点形成所述安全防护规则集合。

根据本公开的实施例，所述运行时应用程序自我保护的主动防御包括：

对访问信息执行拒绝操作；

生成日志记录并上传安全数据库；以及

对所述日志记录的安全漏洞进行补丁修复操作。

根据本公开的实施例，其中，所述方法还包括：根据所述安全数据库的更新数据定时更新所述安全防护规则集合。

根据本公开的实施例，其中，所述通过所述钩子函数抓取所述运行时信息的访问数据包括：

在所述运行时信息的底层接口中设置时间阈值；以及

如果所述底层接口的响应时间超过所述时间阈值，则停止所述钩子函数抓取所述运行时信息的访问数据。

根据本公开的实施例，其中，所述通过所述钩子函数抓取所述运行时信息的访问数据包括：

在所述运行时信息的底层接口中设置负载阈值；以及

如果所述底层接口的响应负载超过所述负载阈值，则停止所述钩子函数抓取所述运行时信息的访问数据。

根据本公开的第二方面提，供了一种基于运行时应用程序自我保护技术的应用程序保护装置，包括：

获取模块，用于基于运行时应用程序自我保护技术获取应用程序的运行时信息；

设置模块，用于在运行时信息的底层接口中设置钩子函数，

抓取模块，通过所述钩子函数抓取所述运行时信息的访问数据；以及

第一匹配模块，用于对所述访问数据与安全防护规则集合进行匹配判断，如果所述访问数据在所述安全防护规则集合内，则触发所述运行时应用程序自我保护的主动防御。

根据本公开的第三方面提，供了一种一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行上述基于运行时应用程序自我保护技术的应用程序保护方法。

根据本公开的第四方面提，一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述基于运行时应用程序自我保护技术的应用程序保护方法。

根据本公开的第五方面还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述基于运行时应用程序自我保护技术的应用程序保护方法。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的应用程序保护方法和装置的应用场景图；

图2示意性示出了根据本公开实施例的底层接口的保护方法的流程图；

图3示意性示出了根据本公开实施例的敏感位置的保护方法的流程图；

图4示意性示出了根据本公开实施例的应用程序保护方法中安全防护规则集合形成的流程图；

图5示意性示出了根据本公开实施例的一种应用程序保护装置结构框图；

图6示意性示出了根据本公开实施例的另一种应用程序保护装置的结构框图；

图7示意性示出了根据本公开实施例的适于实现应用程序保护方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程控制装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

首先，对本文中出现的技术术语作如下解释：

RASP：RASP的全称为Runtime application self-protection，即运行时应用程序自我保护。RASP属于一种新型的应用安全保护技术，它将防护功能“注入”到应用程序当中，与应用程序融为一体，使应用程序具备自我保护能力，当应用程序遭受实际攻击伤害时，能实时监测和阻断安全攻击，而不需要进行人工干预。

JVMTI：是一套代理程序，由JVM提供的针对JVM进行操作的编程接口，也支持第三方工具程序以代理的方式连接和访问JVM。

Payload(有效载重也就是关键信息载荷)称为攻击载荷，主要用于建立目标机与攻击机之间的稳定连接，并返回一个shell(脚本)，也可以进行程序注入。

本公开的实施例提供了一种基于RASP技术的应用程序保护方法，包括：基于运行时程序自我保护RASP技术获取应用程序的运行时信息；在运行时信息的底层接口中设置钩子函数；通过钩子函数抓取运行时信息的访问数据；以及对访问数据与安全防护规则集合进行匹配判断，如果访问数据在安全防护规则集合内，则触发RASP的主动防御。

利用RASP运行时程序自我保护技术在Web程序内部获取运行时信息并进行漏洞攻击行为检测和多层次的信息记录，可发现应用更底层的漏洞攻击，精确甄别攻击类别。克服了传统WAF等网络层安全设备在漏洞防御方面存在过分依赖网络规则不能精准有效防御安全漏洞，可能会直接导致漏报、误报、绕过等问题。

图1示意性示出了根据本公开实施例的基于RASP技术的应用程序保护方法和装置的应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的应用场景100可以包括多个应用终端和应用服务器。例如，多个应用终端包括应用终端101、应用终端102、应用终端103等等。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用应用终端设备101、102、103通过网络104与应用服务器105交互，以接收或发送消息等。应用终端设备101、102、103上可以安装有各种应用程序，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的基于RASP技术的应用程序保护方法一般可以由服务器105执行。相应地，本公开实施例所提供的基于RASP技术的应用程序保护装置一般可以设置于服务器105中。本公开实施例所提供的基于RASP技术的应用程序保护方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的基于RASP技术的应用程序保护装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

以下将基于图1描述的场景，通过图2～图6对公开实施例的基于RASP技术的应用程序保护方法进行详细描述。需要注意的是，上述应用场景仅是为了便于理解本公开的精神和原理而示出，本公开的实施方式在此方面不受任何限制。相反，本公开的实施方式可以应用于适用的任何场景。

图2示意性示出了根据本公开实施例的底层接口的保护方法的流程图。

如图2所示，该方法包括步骤S210～S240。

步骤S210，基于运行时程序自我保护RASP技术获取应用程序的运行时信息。

例如，利用RASP运行时程序自我保护技术在Web程序内部获取运行时信息。

步骤S220，在运行时信息的底层接口中设置钩子函数(即hook函数)。

例如，借助于Agent技术，在Java底层API方法中设置hook点。

步骤S230，通过钩子函数抓取运行时信息的访问数据。

例如，访问数据对应用程序进行访问时，在运行时信息的底层接口处被钩子函数抓取到。

例如，可以在运行时信息的底层接口中设置时间阈值；访问数据对应用程序进行访问时，如果底层接口的响应时间超过时间阈值，则停止钩子函数抓取所述运行时信息的访问数据；如果底层接口的响应时间未超过时间阈值，则在运行时信息的底层接口处被钩子函数抓取到。通过设置合理的时间阈值，来处理API接口的平响超时处理问题，避免长时间等待。

例如，可以在运行时信息的底层接口中设置负载阈值；访问数据对应用程序进行访问时，如果底层接口的响应负载超过负载阈值，则停止钩子函数抓取所述运行时信息的访问数据；如果底层接口的响应负载未超过负载阈值，则在运行时信息的底层接口处被钩子函数抓取到。通过对CPU内存或接口平响等指标设置合理的负载阈值，来适应性停止RASP防护功能，避免引起OOM(Out Of Memory，即计算机内存被耗尽)等问题，影响业务稳定性。

步骤S240，对访问数据与安全防护规则集合进行匹配判断，如果访问数据在安全防护规则集合内，则触发RASP的主动防御。如果访问数据不在安全防护规则集合内，则不触发RASP的主动防御。

例如，各类安全防护规则集合内的Web攻击行为与Java API关联，当访问数据在安全防护规则集合内，这时JVM加载被监控的Java类时就会触发RASP的主动防御；当访问数据不在安全防护规则集合内，就不会触发RASP的主动防御。

例如，RASP的主动防御包括：对访问信息执行拒绝操作并生成日志记录并上传安全数据库，对日志记录的安全漏洞进行补丁修复操作。

在本公开实施例中，利用RASP运行时程序自我保护技术在web程序内部获取运行时信息并进行漏洞攻击行为检测和多层次的信息记录，可发现应用更底层的漏洞攻击，精确甄别攻击类别。黑客攻击Web应用的最终目的是获取服务器权限、内网渗透、脱库、篡改网站数据等，RASP将各类Web攻击行为与Java API关联，借助于Agent(代理)技术，在Java底层API(Application Programming Interface，即应用程序编程接口)方法中设置hook(钩子)点，当JVM加载被监控的Java类时就会触发RASP的主动防御。克服了传统WAF等网络层安全设备在漏洞防御方面存在过分依赖网络规则不能精准有效防御安全漏洞，可能会直接导致漏报、误报、绕过等问题。

在本公开实施例中，通过借助Java的AOP(Aspect Oriented Programming，即面向切面编程)技术将自身检测逻辑注入到开发语言底层API中，完全融入于Web应用服务中，相较于传统的WAF拥有更加精准、深层次的防御。

为了进一步加强防御体系，本公开实施例可以由WAF在前端增加规则拦截降低负载进入量，收窄WAF拦截面，通过联合不断优化防御模型来进一步提升应用运行时的自我保护能力，加强应用的纵深防御体系建设。

图3示意性示出了根据本公开实施例的敏感位置的保护方法的流程图。

如图3所示，该方法包括步骤S310～S350。

步骤S310，基于安全防护规则集合模拟攻击行为对应用程序进行攻击，得到模拟攻击结果。

例如，在字节码加载前进行AOP织入，通过Java Instrumentation技术利用JVMTI实现独立于应用程序源码的Agent程序包，实现对应用程序字节码的动态修改操作。

本公开实施例的配置服务器硬件信息：CPU-1.7GHz四核Intel Core i7，内存-16GB 2133 MHz LPDDR3。配置服务器软件信息：操作系统为macOS 10.15.7，开发工具是IntellijIdea 2020.1，VM：OpenJDK 64-Bit Server VM。采用Java Web框架：Spring系列框架环境使用Spring Boot启动，内置Tomcat应用服务器，JDK版本为1.8.0_131。

本公开实施例选取常见的SQL注入漏洞(2个样本)、远程命令执行漏洞(4个样本)、未知文件上传漏洞(2个样本)、任意文件读取漏洞(2个样本)4种漏洞类型共10个样本。利用Postman来模拟前端页面发送请求。

在针对SQL注入漏洞，构造两个带有恶意查询参数的URL(Uniform ResourceLocator，即统一资源定位符)来模拟攻击。

通过用户名查询数据库信息，构造查询URL发送请求，RASP的Agent包实现拦截的日志记录，得到SQL注入拦截结果1。根据SQL注入拦截结果1可以看出检测程序可以将传入后台的恶意查询参数进行拦截并计算方法耗时，并进行日志记录。

通过用户ID查询数据库信息，构造查询URL发送请求，RASP的Agent包实现拦截的日志记录，得到SQL注入拦截结果2。根据SQL注入拦截结果2可以看出检测程序可以将传入后台的恶意查询参数进行拦截并计算方法耗时和记录日志信息。

针对本地命令执行漏洞，构造请求URL发送请求进行模拟攻击。

Web应用中可能含有执行系统命令的页面，而且执行命令所需的参数是通过URL参数传入，同时由于其并未对传入的参数做过滤或限制，这就可能造成黑客通过修改传入的参数，实现执行任意命令，进而达到破坏或控制系统的目的。因此对本地命令执行的防护过程为：Web进程在执行命令函数时，获取命令执行的参数。并且从HTTP (Hyper TextTransfer Protocol，即超文本传输协议)请求参数中查找是否含有上一步中所获取的参数，如果含有则判定其为命令执行漏洞。当发送此类请求时，得到本地命令执行漏洞拦截结果。可精确定位到存在漏洞的类和方法以及预执行时间。

针对任意文件上传漏洞，构造文件上传的URL发送请求进行模拟攻击。

当上传的文件属于脚本类可执行文件，比如php，python等含有执行命令的文件时，得到上传漏洞拦截结果。通过日志记录程序检测到的非法代码内容上传事件，包括上传文件，存储路径，上传文件名等，并及时阻断上传落盘操作，打印出错误异常栈供事后分析。

当上传的文件存储在系统目录，Web目录等系统级权限受控的文件路径下时，会得到文件未授权路径上传拦截结果。

通过对路径黑名单访问限制，程序可实现实时检测并及时阻断上传操作，记录非法路径存储明细，包括上传文件，预存储路径，上传文件名等，打印出错误异常栈供事后分析。

针对任意文件读取漏洞，构造允许读取授权文件的URL和读取授权文件之外的URL发送请求。

当读取的文件属于敏感类文件比如密码类文件，配置类文件的时候，可得到任意文件读取漏洞拦截结果。

通过日志记录检测到的读取未授权文件事件，包括读取的文件名、文件路径，检测发现时间等，及时阻断读取操作，打印出错误异常栈供事后分析。

相关的异常记录可通过添加到报警平台进行预警分析统计，报表展示等，以更好的掌握程序动态，及时切断攻击源。

本次模拟攻击的结果如表一所示，漏洞利用结果是在没有任何防护设备的前提下攻击成功的结果，检测结果是在启用本次防护程序的情况下检测是否成功的结果。由表可知，利用RASP技术均可检测出模拟攻击样本的攻击行为及易攻击位置。但由于实验的局限性，实际还可增加漏洞检测的多样性和漏洞检测的层次性，比如增加Web应用服务器层，表达式语言层和JDK底层行为监控等。

表一

步骤S320，分析模拟攻击结果确定运行时信息的敏感位置。

例如，本公开实施例通过模拟攻击，发现攻击行为通常会触发的Java接口和类，以确定运行时信息的敏感位置。

步骤S330，基于安全防护规则集合，形成安全探针。

步骤S340，将安全探针插入敏感位置。

例如，对这些敏感位置的Java接口/类处插入安全探针，其中防御重点主要是Servlet(服务连接器)/Filter(过滤器)接口、文件访问(I/O(Input/Output，即输入/输出)，文件读写删除等操作)、JDBC(SQL注入)、命令执行、反序列化。

步骤S350，对访问数据与安全探针进行匹配判断，如果匹配成功，则触发RASP的主动防御。

例如，对访问数据与安全探针进行匹配判断，如果匹配成功，则触发RASP的主动防御；如果匹配不成功，则不触发RASP的主动防御。

通过模拟攻击确定敏感位置，再插入探针，可以实现对敏感位置处的Web攻击进行准确分析和有效防御的技术效果。

图4示意性示出了根据本公开实施例的应用程序保护方法中安全防护规则集合形成的流程图。

步骤S410，获取应用程序的多个历史攻击行为。

步骤S420，分析多个历史攻击行为，得到分析结果。

步骤S430，基于分析结果，确定每个历史攻击行为的攻击位置、攻击类型和攻击路径。

步骤S440，收集每个历史攻击行为的攻击位置、攻击类型和攻击路径的共同点形成安全防护规则集合。

通过安全防护规则集合有效地总结了各类攻击行为的特征，使得RASP技术可以在应用程序中更好的发挥其优势和作用。

在本公开实施例中，安全防护规则集合可以根据安全数据库的更新数据进行更新。

通过安全防护规则集合的不断更新，使RASP技术不断完善，进一步提升对应用程序的检测和防御效果。

在一些其他实施例中，安全防护规则也可根据本领域技术人员根据个人经验自定义的方式进行规定。

为使得RASP技术可以在java后端应用程序中更好的发挥其优势和作用，在一些实施例中，在应用兼容性问题上都做了相应的处理。

例如，在部署通配性问题上，在一些实施例中，解决了RASP与中间件、开发框架、JDK的兼容性问题。

例如，在一些实施例中，通过添加请求白名单的方式来使得RASP与中间件更好的作用。能解决不同的中间件比如Tomcat、TongWeb、Webspher、Weblogic、JBoss等可能会附带相应的控制管理中心，可能会包含一些敏感操作，会影响中间件部分业务流程的问题。

例如，在一些实施例中，使用的RASP技术通过遵循标准的Java EE的API接口规范来使得RASP技术与应用的开发框架兼容匹配。

例如，新版本的JDK可能会带来一些新的java类特性，这些新特性可能包含或修改了一些RASP需要防御的类方法，在一些实施例中，通过关注JDK的版本新特性来适应性修改特性类的防御逻辑，使得该技术能更好的在新的JDK版本上发挥作用。

例如，在部署复杂性问题上，如果采用agentmain模式进行部署，虽然可即时生效，但由于此操作是在基于内存注入的方式，当服务器重启的时候这种方式就会失效，因此需要在服务器启动前指定Agent包，采用premain模式进行部署，但是当Agent包更新的时候则需重启Web容器。因此部署方式上采用自动化热部署方式，尽量减少对业务的影响，避免每次Agent包的更新带来的Web容器重启问题。

为使得RASP技术可以在java后端应用程序中更好的发挥其优势和作用，在一些实施例中，在应用稳定性问题上都做了相应的处理。

由于RASP和Web应用共同运行在同一个JVM进程中，所以RASP防御时自身所消耗的性能会间接影响Web应用的整体性能。本公开实施例有以下应对方案。

例如，在一些实施例中，对于RASP技术自身模块异常引起的问题通过在程序内部使用异常捕获类来进行自处理，避免影响业务本身异常处理逻辑。另外本发明在RASP内部内置自身死循环检测功能，来减少底层栈指令的使用。

例如，在一些实施例中，通过设置合理的时间阈值，来处理API接口的平响超时处理问题，避免长时间等待。

例如，在一些实施例中，通过对CPU内存或接口平响等指标设置合理的负载阈值，来适应性停止RASP防护功能，避免引起OOM(Out Of Memory，即计算机内存被耗尽)等问题，影响业务稳定性。

为使得RASP技术可以在Java后端应用程序中更好的发挥其优势和作用，本公开实施例在误判问题上都做了相应的处理。

RASP能够在执行、检测和阻断实时攻击时对应用程序进行检测和监控，展示应用程序受攻击的过程，方便开发人员及时修正代码消除安全隐患，整体误报率较低。利用RASP不仅可以发现已知的安全漏洞还能发现未被公开的漏洞。

例如，对于任意文件读取类漏洞时，在一些实施例中，在RASP技术中同通过将路径加入白名单的形式来解决此类误报问题。

例如，Web应用中执行的一些探测服务器性能相关的本地系统命令，可能会被误拦截，比如执行系统top命令等，在一些实施例中，通过加入白名单来规避误报问题。

例如，Web应用接受一个来自请求参数的URL地址(Web应用已检测该URL的合理性)并请求该URL，会被RASP误认为是SSRF(Server-Side Request Forgery，即服务端请求伪造)攻击，如果判断是业务合法的URL请求，在一些实施例中，通过加入白名单来规避误报问题。

例如，对于任意文件上传攻击的高危操作，在一些实施例中，使用的RASP技术通过对上传文件的合法性做检测和校验，来防御任务文件上传攻击。

为使得RASP技术可以在Java后端应用程序中更好的发挥其优势和作用，本公开实施例在误判问题上都做了相应的处理。

传统WAF防御基于流量分析技术实现对常见Web攻击类型的防御，由于该技术依赖于流量分析无法与Web后端应用程序紧密结合，从而导致传统WAF无法对Web攻击进行准确分析和有效防御，出现漏报、绕过等问题，将会影响业务稳定性，因此本发明制定差异化策略即根据安全事件的等级来精确配置是异步检测加告警还是检测并实施阻断攻击。对于以下几种WAF漏报漏洞，本公开实施例制定相应的技术措施来进行漏洞防御。

例如，对攻击payload(有效负载)长度过小的探测型SQL注入攻击，在一些实施例中，通过根据业务场景设置合理的负载长度阈值。

例如，攻击者传入的本地系统命令如pwd、whoami等无参数的单个命令不具备攻击性，类似这种探测型的命令拦截规则在一些实施例中，通过自定义规则配置来进行差异化拦截。

例如，Web应用中自身存在可被利用的反序列化类，比如自定义反序列化类来进行命令执行，在一些实施例中，使用的RASP技术通过跟踪触发命令执行的底层调用栈来进行防御。

为使得RASP技术可以在java后端应用程序中更好的发挥其优势和作用，在一些实施例中，通过相应的技术措施解决技术与应用的兼容性问题，如与中间件、开发框架、JDK等的兼容性，并根据业务实际情况采用热部署的方式更新RASP的Agent包，使得业务运行无感知。

RASP技术还可以在应用底层建立最后一道防线，提升应用运行时自我保护能力，同时结合其他安全产品如天眼、WAF、HIPS等防护设备形成网络层、应用层、系统层的纵深防御体系，降低应用安全风险。

基于上述应用程序保护方法，本公开的实施例还提供一种应用程序保护装置，以下结论将结合图5和图6对该装置进行详细描述。

图5示意性示出了根据本公开实施例的一种应用程序保护装置500的结构框图。

如图5所示，应用程序保护装置500包括：获取模块510、设置模块520、抓取模块530和第一匹配模块540。

获取模块510用于获取应用程序的运行时信息，在一实施例中，获取模块510可以用于执行前文描述的操作S210，在此不再赘述。

设置模块520用于设置钩子函数。在一实施例中，设置模块520可以用于执行前文描述的操作S220，在此不再赘述。

抓取模块530用于抓取访问数据。在一实施例中，抓取模块530可以用于执行前文描述的操作S230，在此不再赘述。

第一匹配模块540用于对访问数据与安全防护规则集合进行匹配判断。在一实施例中，第一匹配模块540可以用于执行前文描述的操作S240，在此不再赘述。

根据本公开的实施例，获取模块510、设置模块520、抓取模块530和第一匹配模块540中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，获取模块510、设置模块520、抓取模块530和第一匹配模块540中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，获取模块510、设置模块520、抓取模块530和第一匹配模块540中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图6示意性示出了根据本公开实施例的另一种应用程序保护装置600的结构框图。

如图6所示，应用程序保护装置600包括：模拟攻击模块610、确定模块620、探针形成模块630、插入模块640和第二匹配模块650。

模拟攻击模块610用于对应用程序进行模拟攻击。在一实施例中，模拟攻击模块610可以用于执行前文描述的操作S310，在此不再赘述。

确定模块620用于确定运行时信息的敏感位置。在一实施例中，确定模块620可以用于执行前文描述的操作S320，在此不再赘述。

探针形成模块630用于形成安全探针。在一实施例中，形成安全探针可以用于执行前文描述的步骤S330，在此不再赘述。

插入模块640用于将安全探针插入敏感位置。在一实施例中，插入模块640可以用于执行前文描述的操作S340，在此不再赘述。

第二匹配模块650用于对访问数据与安全探针进行匹配判断。在一实施例中，第二匹配模块650可以用于执行前文描述的操作S350，在此不再赘述。

根据本公开的实施例，模拟攻击模块610、确定模块620、探针形成模块630、插入模块640和第二匹配模块650中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，模拟攻击模块610、确定模块620、探针形成模块630、插入模块640和第二匹配模块650中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，模拟攻击模块610、确定模块620、探针形成模块630、插入模块640和第二匹配模块650中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图7示意性示出了根据本公开实施例的适于实现应用程序保护方法的电子设备的方框图。

如图7所示，根据本公开实施例的电子设备700包括处理器701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。处理器701例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器701还可以包括用于缓存用途的板载存储器。处理器701可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 703中，存储有电子设备700操作所需的各种程序和数据。处理器701、ROM702以及RAM703通过总线704彼此相连。处理器701通过执行ROM 702和/或RAM 703中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM702和RAM 703以外的一个或多个存储器中。处理器701也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备700还可以包括输入/输出(I/O)接口705，输入/输出(I/O)接口705也连接至总线704。电子设备600还可以包括连接至I/O接口705的以下部件中的一项或多项：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM802和/或RAM 703和/或ROM702和RAM703以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本公开实施例所提供的应用程序保护方法。

在该计算机程序被处理器701执行时执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分709被下载和安装，和/或从可拆卸介质711被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。在该计算机程序被处理器701执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (11)

1.一种基于运行时应用程序自我保护技术的应用程序保护方法，其特征在于，包括：

基于运行时应用程序自我保护技术获取应用程序的运行时信息；

在运行时信息的底层接口中设置钩子函数；

通过所述钩子函数抓取所述运行时信息的访问数据；

对所述访问数据与安全防护规则集合进行匹配判断；以及

如果所述访问数据在所述安全防护规则集合内，则触发所述运行时应用程序自我保护的主动防御。

2.根据权利要求1所述的应用程序保护方法，其特征在于，所述方法还包括：

基于所述安全防护规则集合对所述应用程序进行模拟攻击，得到模拟攻击结果；

分析所述模拟攻击结果，以确定所述运行时信息的敏感位置；

基于所述安全防护规则集合，形成安全探针；

将所述安全探针插入所述敏感位置；对所述访问数据与所述安全探针进行匹配判断；以及

如果匹配成功，则触发所述运行时应用程序自我保护的主动防御。

3.根据权利要求1或2所述的应用程序保护方法，其特征在于，所述方法还包括形成安全防护规则集合，所述形成安全防护规则集合包括：

获取应用程序的多个历史攻击行为；

分析所述多个历史攻击行为，得到分析结果；

基于所述分析结果，确定每个历史攻击行为的攻击位置、攻击类型和攻击路径；以及

收集所述每个历史攻击行为的攻击位置、攻击类型和攻击路径的共同点，以形成所述安全防护规则集合。

4.根据权利要求1或2所述的应用程序保护方法，其特征在于，所述运行时应用程序自我保护的主动防御包括：

对访问信息执行拒绝操作；

生成日志记录并上传安全数据库；以及

对所述日志记录的安全漏洞进行补丁修复操作。

5.根据权利要求4所述的应用程序保护方法，其特征在于，所述方法还包括：根据所述安全数据库的更新数据定时更新所述安全防护规则集合。

6.根据权利要求1或2所述的应用程序保护方法，其特征在于，所述通过所述钩子函数抓取所述运行时信息的访问数据包括：

在所述运行时信息的底层接口中设置时间阈值；以及

如果所述底层接口的响应时间超过所述时间阈值，则停止所述钩子函数抓取所述运行时信息的访问数据。

7.根据权利要求1或2所述的应用程序保护方法，其特征在于，所述通过所述钩子函数抓取所述运行时信息的访问数据包括：

在所述运行时信息的底层接口中设置负载阈值；以及

如果所述底层接口的响应负载超过所述负载阈值，则停止所述钩子函数抓取所述运行时信息的访问数据。

8.一种基于运行时应用程序自我保护技术的应用程序保护装置，其特征在于，包括：

获取模块，用于基于运行时应用程序自我保护技术获取应用程序的运行时信息；

设置模块，用于在运行时信息的底层接口中设置钩子函数，

抓取模块，通过所述钩子函数抓取所述运行时信息的访问数据；以及

第一匹配模块，用于对所述访问数据与安全防护规则集合进行匹配判断，如果所述访问数据在所述安全防护规则集合内，则触发所述运行时应用程序自我保护的主动防御。

9.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1～7中任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行如权利要求1～7中任意一项所述的方法。

11.一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现根据权利要求1～7中任一项所述的方法。

Images