CN116866028A - 一种安全检测方法、系统、设备及存储介质 - Google Patents

Abstract

本申请公开了一种安全检测方法、系统、设备及存储介质，涉及网络安全技术领域。该方法，包括：当确定出第一服务器身份校验合格时，获取第一服务器内待检测的固件的可信签名，该第一服务器为域内服务器中的服务器；对可信签名进行校验，确定固件是否存在异常；若固件正常，则输出指示第一微服务启动的启动指令，该第一微服为第一服务器上所部署的微服务；若固件异常，则输出指示固件存在异常的提示信息，用以提高服务器整体运行的安全性。

Description

一种安全检测方法、系统、设备及存储介质

技术领域

本申请涉及网络安全技术领域，尤其涉及一种安全检测方法、系统、设备及存储介质。

背景技术

随着数字化时代到来，各种服务器应运而生，且在各行各业以及生活中得到了广泛应用。服务器主要可由CPU、硬盘、内存，系统、系统总线等构成，在网络中为其它客户机(如电脑、智能手机等)提供计算或者应用服务。服务器上可以承载很多应用服务来满足用户的需求，这些应用服务可基于微服务架构实现，一个应用服务对应一个微服务。其中，微服务架构是指将单个应用程序由许多松散耦合且可独立部署的较小组件或服务组成。

然而，随着信息安全技术的迭代发展，攻击者采取攻击的方式也层出不穷，特别是从服务器的硬件芯片着手，一旦成功就可以避开服务器上安装的杀毒软件、安全辅助工具的追踪，且隐蔽性极高，被攻击者也难以查觉。

例如，参阅图1所示，当服务器A的微服务a要访问服务器B的微服务b时，微服务A将自身签名、访问目标、请求参数提交至微服务代理平台；微服务代理平台对微服务a进行校验，若合法，则将令牌发送至微服务a，微服务a将自身的令牌发送给微服务b，若微服务b校验对端的令牌合格，则微服务a与微服务b之间建立通信。采用这种方式进行安全性检测，仅对应用层进行安全性检测，且微服务启动前服务器安全性未知，忽略了服务器本身是否存在潜在危险，降低了服务器整体运行的安全性。

发明内容

本申请提供了一种安全检测方法，用以提高服务器整体运行的安全性。

第一方面，提供一种安全检测方法，包括：

当确定出第一服务器身份校验合格时，获取所述第一服务器内待检测的固件的可信签名，所述第一服务器为域内服务器中的服务器；对所述可信签名进行校验，确定所述固件是否存在异常；若所述固件正常，则输出指示第一微服务启动的启动指令，所述第一微服为所述第一服务器上所部署的微服务；若所述固件异常，则输出指示所述固件存在异常的提示信息。

可选的，所述输出指示所述第一服务器中第一微服务的启动指令之后，还包括：

记录所述第一微服务的基础信息；其中，所述基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；根据所述第一微服务的基础信息和所述第一服务器的设备信息，生成第一私钥和第一公钥；将所述第一私钥发送给所述第一微服务，并将所述第一公钥进行存储。

可选的，所述方法还包括：

当所述第一微服务与第二微服务待建立通信连接时，获取所述第一微服务使用所述第一私钥加密后的第一加密文件和所述第二微服务使用第二私钥加密后的第二加密文件；其中，所述第二微服务为所述域内服务中第二服务器上所部署的微服务，所述第二私钥是根据所述第二微服务的基础信息和所述第二服务器的设备信息生成的；根据所述第一加密文件对所述第一微服务进行认证，并根据第二加密文件对所述第二微服务进行认证；若所述第一微服务与所述第二微服务均认证通过，则将所述第一微服务的IP地址发送给所述第二微服务，以及将所述第二微服务的IP地址发送给所述第一微服务，以使所述第一微服务和所述第二微服务基于对方的IP地址建立通信连接。

可选的，所述确定出第一服务器身份校验合格，包括：

获取所述第一服务器的设备信息；根据所述设备信息对所述第一服务器进行身份校验；若所述设备信息符合规格要求，则确定所述第一服务器身份校验合格。

可选的，所述待检测的固件包括以下至少一种：

BIOS固件；引导程序固件；系统内核固件。

可选的，所述方法还包括：

若确定出所述第一服务器的身份校验不合格，则输出指示关闭所述第一服务器的关机指令。

第二方面，提供一种安全检测系统，包括：

安全检测模块、可信签名存储模块；

所述安全检测模块，用于当确定出第一服务器身份校验合格时，从所述可信签名存储模块中获取所述第一服务器内待检测的固件的可信签名，所述第一服务器为域内服务器中的服务器；对所述可信签名进行校验，确定所述固件是否存在异常；若所述固件正常，则输出指示第一微服务启动的启动指令，所述第一微服务为所述第一服务器上所部署的微服务；若所述固件异常，则输出指示所述固件存在异常的提示信息；所述可信签名存储模块，用于存储所述第一服务器内待检测的固件的可信签名。

可选的，所述安全检测模块，还用于：

记录所述第一微服务的基础信息；其中，所述基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；根据所述第一微服务的基础信息和所述第一服务器的设备信息，生成第一私钥和第一公钥；将所述第一私钥发送给所述第一微服务，并将所述第一公钥进行存储。

可选的，所述安全检测模块，还用于：

当所述第一微服务与第二微服务待建立通信连接时，获取所述第一微服务使用所述第一私钥加密后的第一加密文件和所述第二微服务使用第二私钥加密后的第二加密文件；其中，所述第二微服务为所述域内服务中第二服务器上所部署的微服务，所述第二私钥是根据所述第二微服务的基础信息和所述第二服务器的设备信息生成的；根据所述第一加密文件对所述第一微服务进行认证，并根据第二加密文件对所述第二微服务进行认证；若所述第一微服务与所述第二微服务均认证通过，则将所述第一微服务的IP地址发送给所述第二微服务，以及将所述第二微服务的IP地址发送给所述第一微服务，以使所述第一微服务和所述第二微服务基于对方的IP地址建立通信连接。

可选的，所述安全检测模块，具体用于：

获取所述第一服务器的设备信息；根据所述设备信息对所述第一服务器进行身份校验；若所述设备信息符合规格要求，则确定所述第一服务器身份校验合格。

可选的，所述待检测的固件包括以下至少一种：

BIOS固件；引导程序固件；系统内核固件。

可选的，所述安全检测模块，还用于：

若确定出所述第一服务器的身份校验不合格，则输出指示关闭所述第一服务器的关机指令。

第三方面，提供一种电子设备，包括：

存储器，用于存放计算机程序；处理器，用于执行所述存储器上所存放的计算机程序时，实现第一方面中任一项所述的方法步骤。

第四方面，提供一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第一方面中任一项中所述的方法步骤。

本申请实施例中，当确定出第一服务器身份校验合格时，获取第一服务器内待检测的固件的可信签名，第一服务器为域内服务器中的服务器；对可信签名进行校验，确定固件是否存在异常；若固件正常，则输出指示第一微服务启动的启动指令，该第一微服为第一服务器上所部署的微服务；若固件异常，则输出指示固件存在异常的提示信息；由于在微服务启动时，上述方式不仅对服务器本身的身份进行校验，还对服务器中固件进行校验，因此多方面考虑到了微服务启动时所存在的安全隐患，提高了服务器整体运行的安全性。

上述第二方面至第四方面中的各个方面以及各个方面可能达到的技术效果请参照上述针对第一方面或第一方面中的各种可能方案可以达到的技术效果说明，这里不再重复赘述。

附图说明

图1为目前微服务访问进行安全检测的场景示意图；

图2为本申请实施例适用的一种应用场景示意图；

图3为本申请实施例提供的一种安全检测方法的流程图；

图4为本申请实施例提供的一种微服务访问的流程图；

图5为本申请实施例提供的一种完整的安全检测方法的流程图；

图6为本申请实施例提供的一种安全检测系统的结构示意图；

图7为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述。方法实施例中的具体操作方法也可以应用于装置实施例或系统实施例中。需要说明的是，在本申请的描述中“多个”理解为“至少两个”。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。A与B连接，可以表示：A与B直接连接和A与B通过C连接这两种情况。另外，在本申请的描述中，“第一”、“第二”等词汇，仅用于区分描述的目的，而不能理解为指示或暗示相对重要性，也不能理解为指示或暗示顺序。

为了便于本领域技术人员理解，首先对本申请实施例中涉及的名词和技术术语进行解释。

(1)基本输入输出系统(Basic Input Output System，BIOS)固件是一组固化到计算设备主板上一存储芯片中的系统程序，它对于计算机系统正常初始化、启动和操作系统引导起着不可或缺的作用，是实现计算机系统的安全性、可靠性等关键功能的关键环节。

(2)引导程序位于电脑或其他计算机应用上，是指引导操作系统的程序。

(3)系统内核是操作系统最基本的部分，它负责管理系统的进程、内存、设备驱动程序、文件和网络系统等，决定着操作系统的性能和稳定性。

(4)固件是指终端设备内部保存的设备“驱动程序”，通过固件，操作系统才能按照标准的设备驱动实现特定机器的运行动作，比如光驱、刻录机等都有内部固件。

(5)微服务架构它提倡将一个单一的应用程序拆分成多个小型服务，这些小型服务都在各自独立的进程中运行，服务之间使用轻量级通信机制，为用户提供最终价值。

(6)非对称密钥是用于非对称加密。它使用一对密钥，一个用于加密，一个用于解密，加密的密钥称为私钥，解密的密钥称为公钥。

下面对本申请实施例的技术方案能够适用的应用场景做一些简单介绍，需要说明的是，以下介绍的应用场景仅用于说明本申请实施例而非限定。在具体实施时，可以根据实际需要灵活地应用本申请实施例提供的技术方案。

图2为本申请实施例适用的应用场景示意图。如图2所示，该应用场景主要包括：安全检测系统200、服务器201、服务器202；其中，服务器201上部署有微服务201a，服务器202上部署有微服务202b，安全检测系统200可分别与服务器201上的微服务201a、服务器202上的微服务202b进行通信连接,微服务201a与微服务202b之间也可进行通信连接。

需要说明的是，本申请实施例对上述服务器的数量，以及服务器上述部署的微服务的数量不做任何限制，多个服务器组成一个域内服务器，图2仅以2个服务器、2个微服务进行描述。

需要说明的是，本申请实施例对上述服务器的规模、类型不做任何限制，在规模上，服务器201和服务器202可以是工作组服务器、部门服务器、企业服务器等；在类型上，服务器201和服务器202可以是机架式服务器、刀片时服务器、机柜式服务器等。

安全检测系统200，用于当服务器(例如，图2中的服务器201)启动时，可对服务器201本身进行身份校验；还对服务器201中的固件进行安全校验；进一步的，还对微服务之间(例如，图2中的微服务201a和微服务202b)通信时进行双向认证，若上述任一个环节校验不合格，则可进行相应的提示，使服务器启动、运行、访问等过程中都能进行安全性能检测，整体安全性得到了提升。

为进一步说明本申请实施例提供的技术方案，下面结合附图以及具体实施方式对此进行详细的说明。虽然本申请实施例提供了如下述实施例或附图所示的方法操作步骤，但基于常规或者无需创造性的劳动在所述方法中可以包括更多或者更少的操作步骤。在逻辑上不存在必要因果关系的步骤中，这些步骤的执行顺序不限于本申请实施例提供的执行顺序。所述方法在实际的处理过程中或者装置执行时，可按照实施例或者附图所示的方法顺序执行或者并执行。

图3为本申请实施例提供的一种安全检测方法的流程图。该流程可由安全检测系统(如图2所示的安全检测系统200)所执行，用以提高服务器整体运行的安全性。如图3所示，该流程包括如下步骤：

301：当确定出第一服务器身份校验合格时，获取该第一服务器内待检测的固件的可信签名。

该步骤中，第一服务器具体可以是图2所示的服务器201，或者是服务器202。

可选的，对第一服务器进行身份校验，具体可通过如下方式：

获取该第一服务器的设备信息，该设备信息可包括服务器的互联网协议(Internet Protocol Address，IP)地址、型号、编号、名称等，根据该设备信息对第一服务器进行身份校验，确定该设备信息中的型号、编号等是否符合规格要求，若是，则确定该第一服务器身份校验合格，若否，则表明该第一服务器不符合规格，输出指示关闭第一服务器的关机指令，禁止该第一服务器入网。

可选的，待检测的固件可包括BIOS固件、引导程序固件、系统内核固件，还可包括其他容易被攻击的固件，本申请实施例在此不做限制。

302：对上述可信签名进行校验，确定上述固件是否存在异常，若是，则转入303，若否，则转入304。

可选的，对上述可信签名进行校验，可包括以下几个方面：

方面1：校验可信签名中的内容是否完整，若是，则表明该固件正常，转入304，若否，则表明该固件存在异常，转入303。

方面2：校验签名时间是否有效，则表明该固件正常，转入304，若否，则表明该固件存在异常，转入303。

方面3：校验安全证书是否存在，则表明该固件正常，转入304，若否，则表明该固件存在异常，转入303。

需要说明的是，上述提供的几个方面只是一种示例，在实际过程中还可对可信签名进行其他校验，申请实施例在此不做限制。

需要说明的是，确定固件是否存在异常，可从上述一个进行校验，也可从多个方面进行校验，本申请实施例在此不做限制。

303：输出指示固件存在异常的提示信息。

可选的，该提示信息可包括固件的标识、位置、异常原因等，便于提示用户采取相应措施。

304：输出指示该第一微服务启动的启动指令。

该步骤中，第一微服是第一服务器上所部署的微服务(例如，图2所示的微服务201a)。

可选的，输出指示该第一微服务启动的启动指令之后，还可记录第一微服务的基础信息，该基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；根据第一微服务的基础信息和第一服务器的设备信息，生成第一私钥和第一公钥；将第一私钥发送给第一微服务，并将该第一公钥进行存储，以使第一微服务可根据该第一私钥对相关的设备信息、基础信息等进行加密处理，进一步保证了通信的安全性。

可选的，可基于数字签名算法(Digital Signature Algorithm，DSA)、RSA算法、DH算法中的某一种生成第一公钥和第一私钥。

需要说明的是，域内服务器中的其他服务器在进行启动或部署的微服务运行时，也可按照图3所示的方法进行安全性能检测，在此不在重复描述。

本申请实施例中，当确定出第一服务器身份校验合格时，获取第一服务器内待检测的固件的可信签名，第一服务器为域内服务器中的服务器；对可信签名进行校验，确定固件是否存在异常；若固件正常，则输出指示第一微服务启动的启动指令，该第一微服为第一服务器上所部署的微服务；若固件异常，则输出指示固件存在异常的提示信息；由于在微服务启动时，上述方式不仅对服务器本身的身份进行校验，还对服务器中固件进行校验，因此多方面考虑到了微服务启动时所存在的安全隐患，提高了服务器整体运行的安全性。

在一些实施例中，当域服务器内中各独立的服务器需建立通信连接时，可对其双方进行双向认证，从而确保两端的微服务在进行通信时都无安全隐患，进一步提高了服务器整体运行的安全性，如图4所示，示例性示出了本申请实施例提供的一种微服务访问的流程图，该流程包括如下步骤：

401：当第一微服务与第二微服务待建立通信连接时，获取第一微服务使用第一私钥加密后的第一加密文件和第二微服务使用第二私钥加密后的第二加密文件。

其中，该第一微服务可以是图2所示的微服务202a，第二微服务可以是图2所示的微服务202b，该第二私钥是根据第二微服务的基础信息和第二服务器的设备信息生成的。

可选的，该第一加密文件具体可包括第一服务器的设备信息、可信签名和第一微服务的基础信息，该第二加密文件具体可包括第二服务器的设备信息、可信签名和第二微服务的基础信息。

402：根据上述第一加密文件对第一微服务进行认证，并根据第二加密文件对上述第二微服务进行认证，确定该第一微服务和第二微服务是否均认证通过，若是，则转入403，若否，则转入404。

可选的，确定第一微服务是否认证通过，具体可以是：使用与第一私钥成对的第一公钥对该第一加密文件进行解密后，对该第一加密文件中的可信签名、设备信息、微服务版本号进行逐一校验，若校验成功，则确定第一微服务认证通过，转入403；否则，表明第一微服务存在安全隐患，转入404。

可选的，确定第二微服务是否认证通过，具体可以是：使用与第二私钥成对的第二公钥对该第二加密文件进行解密后，对该第二加密文件中的可信签名、设备信息、微服务版本号进行逐一校验，若校验成功，则确定第二微服务认证通过，转入403；否则，表明第二微服务存在安全隐患，转入404。

403：将该第一微服务的IP地址发送给第二微服务，以及将该第二微服务的IP地址发送给该第一微服务。

该步骤中，双方获取到对方的IP地址后，便可建立通信连接。

在一些实施例中，在微服务通信过程中，还可按照设定周期对服务器的设备信息、可信签名、微服务的基础信息进行校验，从而可及时检测出存在安全隐患的服务器，进一步提高了服务器整体运行的安全性。

404：禁止该第一微服务与该第二微服务进行通信连接。

在微服务访问过程中，通过上述图4所示的双向认证，可使双方都能确定对方微服务的安全性，相较于使用单向认证(如图1所示)进一步保证了在访问过程中的安全性。

基于上述图3和图4所示的方法，图5为本申请实施例中提供的一种完整的安全检测方法的流程图。如图5所示，该流程包括如下步骤：

501：当第一服务器启动时，获取该第一服务器的设备信息。

该第一服务器可以是图1所示的服务器201。

502：根据该设备信息，确定该第一服务器身份是否合格，若是，则转入503，若否，则输出指示关闭第一服务器的关机指令。

503：获取该第一服务器内待检测的固件的可信签名。

504：对固件的可信签名进行校验，确定固件是否存在异常，若否，则转入505，若是，则输出指示固件存在异常的提示信息。

505：输出指示该第一微服务启动的启动指令。

该第一微服务可以是图1所示的微服务201a。

506：记录第一微服务的基础信息，并根据该基础信息和第一服务器的设备信息，生成第一私钥和第一公钥。

507：将第一私钥发送给第一微服务，并将该第一公钥进行存储。

508：当第一微服务与第二微服务待建立通信连接时，分别与第一微服务和第二微服务进行双向认证，确定该第一微服务和第二微服务是否均认证通过，若是，则转入509，若否，则禁止该第一微服务和第二微服务进行通信连接。

该步骤中的双向认证与图4相似，在此不再重复描述。

509：将该第一微服务的IP地址发送给第二微服务，以及将该第二微服务的IP地址发送给该第一微服务，以使双方获取到对方的IP地址后，建立通信连接。

通过上述图5所示的方式，在微服务访问过程中，首先对服务器身份进行校验，再对服务器中的固件进行校验，最后还需进行双向认证，从多个维度进行安全性能检测，使整体的安全性得到了提升，提高了用户体验。

基于相同的技术构思，本申请实施例中还提供了一种安全检测系统的结构示意图，该系统可实现本申请实施例中上述安全检测方法流程。

图6为本申请实施例提供的一种安全检测系统的结构示意图。如图6所示，该系统包括：安全检测模块601、可信签名存储模块602。

安全检测模块601，用于当确定出第一服务器身份校验合格时，从所述可信签名存储模块中获取所述第一服务器内待检测的固件的可信签名，所述第一服务器为域内服务器中的服务器；对所述可信签名进行校验，确定所述固件是否存在异常；若所述固件正常，则输出指示第一微服务启动的启动指令，所述第一微服务为所述第一服务器上所部署的微服务；若所述固件异常，则输出指示所述固件存在异常的提示信息。

可信签名存储模块602，用于存储所述第一服务器内待检测的固件的可信签名。

可选的，所述安全检测模块601，还用于：

记录所述第一微服务的基础信息；其中，所述基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；根据所述第一微服务的基础信息和所述第一服务器的设备信息，生成第一私钥和第一公钥；将所述第一私钥发送给所述第一微服务，并将所述第一公钥进行存储。

可选的，所述安全检测模块601，还用于：

当所述第一微服务与第二微服务待建立通信连接时，获取所述第一微服务使用所述第一私钥加密后的第一加密文件和所述第二微服务使用第二私钥加密后的第二加密文件；其中，所述第二微服务为所述域内服务中第二服务器上所部署的微服务，所述第二私钥是根据所述第二微服务的基础信息和所述第二服务器的设备信息生成的；根据所述第一加密文件对所述第一微服务进行认证，并根据第二加密文件对所述第二微服务进行认证；若所述第一微服务与所述第二微服务均认证通过，则将所述第一微服务的IP地址发送给所述第二微服务，以及将所述第二微服务的IP地址发送给所述第一微服务，以使所述第一微服务和所述第二微服务基于对方的IP地址建立通信连接。

可选的，所述安全检测模块601，具体用于：

获取所述第一服务器的设备信息；根据所述设备信息对所述第一服务器进行身份校验；若所述设备信息符合规格要求，则确定所述第一服务器身份校验合格。

可选的，所述安全检测模块601，还用于：

若确定出所述第一服务器的身份校验不合格，则输出指示关闭所述第一服务器的关机指令。

在此需要说明的是，本申请实施例提供的上述系统，能够实现上述方法实施例中的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。

基于相同的技术构思，本申请实施例中还提供了一种电子设备，所述电子设备可以实现前述一种安全检测系统的功能。

图7为本申请实施例提供的电子设备的结构示意图。

至少一个处理器701，以及与至少一个处理器701连接的存储器702，本申请实施例中不限定处理器701与存储器702之间的具体连接介质，图7中是以处理器701和存储器702之间通过总线700连接为例。总线700在图7中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。总线700可以分为地址总线、数据总线、控制总线等，为便于表示，图7中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。或者，处理器701也可以称为控制器，对于名称不做限制。

在本申请实施例中，存储器702存储有可被至少一个处理器701执行的指令，至少一个处理器701通过执行存储器702存储的指令，可以执行前文论述的一种安全检测方法。处理器701可以实现图6所示的系统中各个模块的功能。

其中，处理器701是该装置的控制中心，可以利用各种接口和线路连接整个该控制设备的各个部分，通过运行或执行存储在存储器702内的指令以及调用存储在存储器702内的数据，该装置的各种功能和处理数据，从而对该装置进行整体监控。

在一种可能的设计中，处理器701可包括一个或多个处理单元，处理器701可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器701中。在一些实施例中，处理器701和存储器702可以在同一芯片上实现，在一些实施例中，它们也可以在独立的芯片上分别实现。

处理器701可以是通用处理器，例如中央处理器(CPU)、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的一种安全检测方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

存储器702作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块。存储器702可以包括至少一种类型的存储介质，例如可以包括闪存、硬盘、多媒体卡、卡型存储器、随机访问存储器(Random AccessMemory，RAM)、静态随机访问存储器(Static Random Access Memory，SRAM)、可编程只读存储器(Programmable Read Only Memory，PROM)、只读存储器(Read Only Memory，ROM)、带电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、磁性存储器、磁盘、光盘等等。存储器702是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器702还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。

通过对处理器701进行设计编程，可以将前述实施例中介绍的一种安全检测方法所对应的代码固化到芯片内，从而使芯片在运行时能够执行图3所示的实施例的一种安全检测方法。如何对处理器701进行设计编程为本领域技术人员所公知的技术，这里不再赘述。

在此需要说明的是，本申请实施例提供的上述通电子设备，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。

本申请实施例还提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机可执行指令，计算机可执行指令用于使计算机执行上述实施例中的一种安全检测方法。

本申请实施例还提供了一种计算机程序产品，所述计算机程序产品在被计算机调用时，使得所述计算机执行上述实施例中的一种安全检测方法。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

Claims (14)

1.一种安全检测方法，其特征在于，包括：

当确定出第一服务器身份校验合格时，获取所述第一服务器内待检测的固件的可信签名，所述第一服务器为域内服务器中的服务器；

对所述可信签名进行校验，确定所述固件是否存在异常；

若所述固件正常，则输出指示第一微服务启动的启动指令，所述第一微服为所述第一服务器上所部署的微服务；

若所述固件异常，则输出指示所述固件存在异常的提示信息。

2.如权利要求1所述的方法，其特征在于，所述输出指示所述第一服务器中第一微服务的启动指令之后，还包括：

记录所述第一微服务的基础信息；其中，所述基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；

根据所述第一微服务的基础信息和所述第一服务器的设备信息，生成第一私钥和第一公钥；

将所述第一私钥发送给所述第一微服务，并将所述第一公钥进行存储。

3.如权利要求1或2所述的方法，其特征在于，所述方法还包括：

当所述第一微服务与第二微服务待建立通信连接时，获取所述第一微服务使用所述第一私钥加密后的第一加密文件和所述第二微服务使用第二私钥加密后的第二加密文件；其中，所述第二微服务为所述域内服务中第二服务器上所部署的微服务，所述第二私钥是根据所述第二微服务的基础信息和所述第二服务器的设备信息生成的；

根据所述第一加密文件对所述第一微服务进行认证，并根据第二加密文件对所述第二微服务进行认证；

若所述第一微服务与所述第二微服务均认证通过，则将所述第一微服务的IP地址发送给所述第二微服务，以及将所述第二微服务的IP地址发送给所述第一微服务，以使所述第一微服务和所述第二微服务基于对方的IP地址建立通信连接。

4.如权利要求1所述的方法，其特征在于，所述确定出第一服务器身份校验合格，包括：

获取所述第一服务器的设备信息；

根据所述设备信息对所述第一服务器进行身份校验；

若所述设备信息符合规格要求，则确定所述第一服务器身份校验合格。

5.如权利要求1所述的方法，其特征在于，所述待检测的固件包括以下至少一种：

基本输入输出系统BIOS固件；

引导程序固件；

系统内核固件。

6.如权利要求1所述的方法，其特征在于，所述方法还包括：

若确定出所述第一服务器的身份校验不合格，则输出指示关闭所述第一服务器的关机指令。

7.一种安全检测系统，其特征在于，所述系统包括：安全检测模块、可信签名存储模块；

所述安全检测模块，用于当确定出第一服务器身份校验合格时，从所述可信签名存储模块中获取所述第一服务器内待检测的固件的可信签名，所述第一服务器为域内服务器中的服务器；对所述可信签名进行校验，确定所述固件是否存在异常；若所述固件正常，则输出指示第一微服务启动的启动指令，所述第一微服务为所述第一服务器上所部署的微服务；若所述固件异常，则输出指示所述固件存在异常的提示信息；

所述可信签名存储模块，用于存储所述第一服务器内待检测的固件的可信签名。

8.如权利要求7所述的系统，其特征在于，所述安全检测模块，还用于：

记录所述第一微服务的基础信息；其中，所述基础信息包括第一微服务端口号、第一微服务内网域名信息、第一微服务版本号中的至少一种；

根据所述第一微服务的基础信息和所述第一服务器的设备信息，生成第一私钥和第一公钥；

将所述第一私钥发送给所述第一微服务，并将所述第一公钥进行存储。

9.如权利要求7或8所述的系统，其特征在于，所述安全检测模块，还用于：

当所述第一微服务与第二微服务待建立通信连接时，获取所述第一微服务使用所述第一私钥加密后的第一加密文件和所述第二微服务使用第二私钥加密后的第二加密文件；其中，所述第二微服务为所述域内服务中第二服务器上所部署的微服务，所述第二私钥是根据所述第二微服务的基础信息和所述第二服务器的设备信息生成的；

根据所述第一加密文件对所述第一微服务进行认证，并根据第二加密文件对所述第二微服务进行认证；

若所述第一微服务与所述第二微服务均认证通过，则将所述第一微服务的IP地址发送给所述第二微服务，以及将所述第二微服务的IP地址发送给所述第一微服务，以使所述第一微服务和所述第二微服务基于对方的IP地址建立通信连接。

10.如权利要求7所述的系统，其特征在于，所述安全检测模块，具体用于：

获取所述第一服务器的设备信息；

根据所述设备信息对所述第一服务器进行身份校验；

若所述设备信息符合规格要求，则确定所述第一服务器身份校验合格。

11.如权利要求7所述的系统，其特征在于，所述待检测的固件包括以下至少一种：

基本输入输出系统BIOS固件；

引导程序固件；

系统内核固件。

12.如权利要求7所述的系统，其特征在于，所述安全检测模块，还用于：

若确定出所述第一服务器的身份校验不合格，则输出指示关闭所述第一服务器的关机指令。

13.一种电子设备，其特征在于，包括：

存储器，用于存放计算机程序；

处理器，用于执行所述存储器上所存放的计算机程序时，实现权利要求1-6中任一项所述的方法步骤。

14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-6中任一项中所述的方法步骤。