CN117376033A - 文件处理方法以及装置 - Google Patents

文件处理方法以及装置 Download PDF

Info

Publication number
CN117376033A
CN117376033A CN202311667432.3A CN202311667432A CN117376033A CN 117376033 A CN117376033 A CN 117376033A CN 202311667432 A CN202311667432 A CN 202311667432A CN 117376033 A CN117376033 A CN 117376033A
Authority
CN
China
Prior art keywords
file
task
uploading
type
history
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311667432.3A
Other languages
English (en)
Inventor
柳寒
张园超
高嵩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang eCommerce Bank Co Ltd
Original Assignee
Zhejiang eCommerce Bank Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang eCommerce Bank Co Ltd filed Critical Zhejiang eCommerce Bank Co Ltd
Priority to CN202311667432.3A priority Critical patent/CN117376033A/zh
Publication of CN117376033A publication Critical patent/CN117376033A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • Storage Device Security (AREA)

Abstract

本说明书实施例提供文件处理方法以及装置，其中方法包括：接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；若未命中，则拦截文件处理请求。通过识别文件处理请求是否命中预设可信关系对，在未命中情况下拦截文件处理请求，可以将可信防御策略从黑名单策略升级为白名单策略，有效提高对抗未知风险的能力，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，进一步提高白名单策略的安全性和可靠性。

Description

文件处理方法以及装置
技术领域
本说明书实施例涉及计算机技术领域，特别涉及一种文件处理方法。
背景技术
目前，在企业信息安全建设过程中，往往会面临攻防不对等的局势。传统黑名单策略无法对抗来自内部用户的恶意攻击，也无法完全对抗外部攻击，因此，为了更有效对抗未知风险，需要将传统的黑名单策略升级为白名单策略。
然而，白名单策略通常是根据访问方数据库中存储的验证信息，对访问方身份进行校验。由于验证信息通常为可执行文件的名称和路径，这就导致黑客可以将相同名称的恶意可执行文件放入文件系统的相同路径下，以使恶意可执行文件命中白名单进而被允许执行，从而完成对企业系统的攻击。因此，亟需一种更加安全的文件处理方法。
发明内容
有鉴于此，本说明书实施例提供了一种文件处理方法。本说明书一个或者多个实施例同时涉及一种文件处理装置，一种计算设备，一种计算机可读存储介质以及一种计算机程序，以解决现有技术中存在的技术缺陷。
根据本说明书实施例的第一方面，提供了一种文件处理方法，包括：
接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；
基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；
若未命中，则拦截文件处理请求。
根据本说明书实施例的第二方面，提供了一种文件处理装置，包括：
接收模块，被配置为接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；
识别模块，被配置为基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；
拦截模块，被配置为若未命中，则拦截文件处理请求。
根据本说明书实施例的第三方面，提供了一种计算设备，包括：
存储器和处理器；
所述存储器用于存储计算机可执行指令，所述处理器用于执行所述计算机可执行指令，该计算机可执行指令被处理器执行时实现上述文件处理方法的步骤。
根据本说明书实施例的第四方面，提供了一种计算机可读存储介质，其存储有计算机可执行指令，该指令被处理器执行时实现上述文件处理方法的步骤。
根据本说明书实施例的第五方面，提供了一种计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行上述文件处理方法的步骤。
本说明书一个实施例实现了接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；若未命中，则拦截文件处理请求。
如此，通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高系统对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
附图说明
图1是本说明书一个实施例提供的一种文件处理方法的流程图；
图2是本说明书一个实施例提供的一种文件处理方法的应用过程示意图；
图3是本说明书一个实施例提供的一种文件处理方法的上传阶段处理过程流程图；
图4是本说明书一个实施例提供的一种文件处理方法的下载阶段处理过程流程图；
图5是本说明书一个实施例提供的一种文件处理装置的结构示意图；
图6是本说明书一个实施例提供的一种计算设备的结构框图。
具体实施方式
在下面的描述中阐述了很多具体细节以便于充分理解本说明书。但是本说明书能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本说明书内涵的情况下做类似推广，因此本说明书不受下面公开的具体实施的限制。
在本说明书一个或多个实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书一个或多个实施例。在本说明书一个或多个实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本说明书一个或多个实施例中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本说明书一个或多个实施例中可能采用术语第一、第二等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书一个或多个实施例范围的情况下，第一也可以被称为第二，类似地，第二也可以被称为第一。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
此外，需要说明的是，本说明书一个或多个实施例所涉及的用户信息（包括但不限于用户设备信息、用户个人信息等）和数据（包括但不限于用于分析的数据、存储的数据、展示的数据等），均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。
首先，对本说明书一个或多个实施例涉及的名词术语进行解释。
白名单策略：只允许符合安全规则的包通过防火墙。
黑名单策略：禁止与安全规则相冲突的包通过防火墙。
可信：一种可靠的、可用的、信息和行为安全的理念，能够对操作行为是否属于预期内行为进行准确判断。
后门文件：能够提供一种登录系统的方法，植入后门文件后，攻击者不仅能够绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
目前，在企业信息安全建设过程中，往往会面临攻防不对等的局势。传统黑名单策略无法对抗来自内部用户的恶意攻击，也无法完全对抗外部攻击，因此，为了更有效对抗未知风险，需要将传统的黑名单策略升级为白名单策略。
然而，白名单策略通常是根据访问方数据库中存储的验证信息，对访问方身份进行校验。由于验证信息通常为可执行文件的名称和路径，这就导致黑客可以将相同名称的恶意可执行文件放入文件系统的相同路径下，以使恶意可执行文件命中白名单进而被允许执行，从而完成对企业系统的攻击。并且，攻击者还可以通过传输后门文件的攻击行为对企业以及个人的终端设备植入安全漏洞。传统白名单策略很难预防用户对后门文件的下载，从而使企业资产数据和个人隐私信息面临安全隐患。
基于此，本说明书一个实施例实现了接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；若未命中，则拦截文件处理请求。
如此，通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高系统对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
在本说明书中，提供了一种文件处理方法，本说明书同时涉及一种文件处理装置，一种计算设备，以及一种计算机可读存储介质，在下面的实施例中逐一进行详细说明。
参见图1，图1示出了根据本说明书一个实施例提供的一种文件处理方法的流程图，具体包括以下步骤。
步骤102：接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息。
实际应用中，可以接收目标用户发送的文件处理请求，并根据文件处理请求包括的待处理文件的文件类型、目标处理任务的任务信息，执行后续处理操作。
具体地，目标用户可以理解为需要上传文件或者下载文件的用户。从企业维度来看，目标用户可以包括外部的互联网用户，也可以包括内部用户，比如内部员工、安全工程师、网络管理人员等等。文件处理请求可以理解为对待处理文件进行处理的请求，也可以理解为对存储服务进行访问的访问请求，文件处理请求可以包括对待处理文件的上传请求，也可以包括对待处理文件的下载请求。文件处理请求可以携带针对待处理文件的目标处理任务。文件处理请求中可以包括待处理文件的文件类型和目标处理任务的任务信息，在目标处理任务为上传任务的情况下，文件处理请求中还可以包括待处理文件。待处理文件的文件类型、格式、数量以及内容不限，具体可以根据实际情况确定。目标处理任务可以理解为对待处理文件执行相应处理的任务，包括上传任务和下载任务。文件类型可以包括图片、视频、语音、文字等等，文件类型可以直接携带在文件处理请求中，也可以是通过解析得到的，比如从文件后缀名中解析得到，或者基于文件内容解析得到。任务信息可以理解为目标处理任务对应的信息，具体可以包括任务类型、任务的特殊要求、任务的对象标识信息等等。其中，任务类型可以包括上传类型或者下载类型、特殊要求可以包括指定任务的执行时间，或者执行紧急程度等等，例如定时任务或者紧急任务、对象标识信息可以包括目标用户标识和/或项目系统标识，其中，目标用户标识可以理解为上传或者下载文件的目标用户对应的标识信息，项目系统标识可以理解为是目标用户所要上传或者下载文件的系统的标识信息。
实际应用中，由于传统黑名单策略无法有效对抗未知风险，因此，为了提高防御策略的安全性和有效性，可以将黑名单策略升级为白名单策略。但是，白名单策略往往采用校验文件名称和文件路径的方式对访问请求是否符合安全规定进行验证，这种验证方式也无法有效对抗攻击者滥用存储服务功能传输后门文件的攻击行为，并且攻击者一旦获取到安全验证信息中的文件名称和文件路径，就可以将携带病毒的恶意文件以相同的名称存储至相同的路径中，导致白名单策略失效。
基于此，本说明书提供一种文件处理方法，通过接收目标用户发送的文件处理请求，并获取文件处理请求包括的待处理文件的文件类型、目标处理任务的任务信息，结合文件类型判断文件处理请求是否命中白名单中的可信关系对，能够有效避免攻击者对文件内容进行替换、防止攻击者上传后门文件或者用户下载后门文件，从而打破攻击者攻击行动链路，实现可信的防御策略，提高企业信息安全性和个人隐私数据安全性。
步骤104：基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到。
实际应用中，在接收目标用户发送的文件处理请求的基础上，可以基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，从而判断该文件处理请求是否为预期内行为，也即判断该文件处理请求是否符合白名单要求。
具体地，预设可信关系对是基于不同处理任务下的历史文件类型和任务信息构建得到的。进一步地，不同处理任务可以理解为存储服务在历史一段时间内执行的多种处理任务。由于存储服务历史执行的处理任务，通过了严格安全校验，因此历史执行的处理任务中记录的历史文件类型和任务信息就可以构成存储服务的白名单，也即预设可信关系对，从而对后续文件处理请求进行安全校验。
为了提高白名单策略的校验效果，在本说明书一个可选的实施例中，任务信息可以包括任务类型和待处理文件的存储位置；基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，可以包括如下步骤：
基于任务类型，确定任务类型对应的目标关系库，其中，目标关系库包括多个预设可信关系对；
基于存储位置和文件类型，识别文件处理请求是否命中目标关系库中的预设可信关系对。
具体地，目标关系库可以理解为存储有该任务类型下对应的多个可信关系对的存储对象。目标关系库可以是数据库，也可以是表单等其他能够用于存储数据的存储工具。预设可信关系对可以理解为包含多种不同类型参数信息的多元组，例如二元组、三元组等等，预设可信关系对可以是预先构建的，也可以在接收到文件处理请求的基础上构建。不同任务类型对应的可信关系对可以不同。例如上传阶段需要校验的可信关系对与下载阶段所需校验的可信关系对可以不同。
在本说明书一个或多个可选的实施例中，基于存储位置和文件类型，识别文件处理请求是否命中目标关系库中的预设可信关系对，可以是识别文件处理请求是否命中目标关系库中的一种预设可信关系对，也即是否命中一种类型的可信关系对多元组；也可以是识别文件处理请求是否命中目标关系库中的多种预设可信关系对，也即是否命中多种类型的可信关系对多元组。不同类型多元组中包含的参数信息的数量不同，或者包含的参数信息不同。
通过校验文件处理请求是否命中预设可信关系对，而不是针对文件名称、文件存储路径这样单独的信息进行校验，能够提高白名单策略的安全性，从而提高数据安全性。
可选地，任务类型包括上传任务。容易理解的是，为了提高文件上传或下载过程中可信校验的效率，预设可信关系对往往预先构建并存储在目标关系库中。因此，在本说明书一个可选的实施例中，在基于任务类型，确定任务类型对应的目标关系库之前，还可以包括如下步骤：
获取历史文件上传日志；
基于历史文件上传日志，获得上传任务对应的历史存储位置和历史文件类型；
基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对；
基于上传任务对应的多个预设可信关系对，构建上传任务对应的目标关系库。
实际应用中，可以根据历史文件上传日志预先构建上传阶段对应的可信关系对白名单，也即上传任务对应的目标关系库，从而在接收到文件处理请求后可以直接对上传任务对应的目标关系库进行获取，提高可信校验效率。
具体地，历史文件上传日志可以包括存储服务的访问日志和项目系统的应用日志。其中，存储服务的访问日志可以理解为由存储服务记录的，用户或系统访问存储服务并上传文件对应的日志；项目系统的应用日志可以理解为由项目系统记录的，用户访问项目系统所产生的日志。存储服务可以是云存储服务，也可以是其他类型的存储服务，支持存储服务的设备可以是单台服务器，也可以是分布式服务器集群，具体可以根据实际情况确定，本说明书对此不做任何限制。
实际实现过程中，可以根据历史文件上传日志中记载的上传任务对应的历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对，从而将多个预设可信关系对应用于上传阶段中的文件处理请求的安全校验。
具体地，历史存储位置可以是默认存储位置，也可以是目标用户指定的存储位置。示例性地，存储服务可以给每个用户指定一个默认存储点位，以使指定用户上传的文件可以存储至该默认存储点位。根据实际应用中面对的不同情况，用户也可以指定存储位置，将文件存储至指定的存储位置。比如两个不同的用户合作处理同一个项目，则这两个不同用户也可以将该项目对应的数据存储至存储服务中的同一个存储位置。
在本说明书一个可选的实施例中，基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对，可以是构建多个形式为（存储位置，文件类型）的可信关系对。
在本说明书另一个可选的实施例中，基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对，还可以是构建多个形式为（存储位置，文件类型列表）的可信关系对。具体地，可以根据同一历史存储位置对应的不同历史文件类型，构建文件类型列表，文件类型列表用于记录该存储位置处允许上传并存储的多种不同类型的文件。
示例性地，历史文件上传日志中记载有：用户a第一次在其对应的默认存储点位A处存储了文件类型为1的文件，第二次在默认存储点位A处存储了文件类型为2、3的两种文件，第三次在默认存储点位A处存储了文件类型为1、2和6的三种文件，则根据历史文件上传日志中的历史存储位置和历史文件类型，可以确定存储点位A处对应的文件类型列表为1、2、3、6。后续在上传过程中，如果文件处理请求中存储点位为A，且文件类型列表中的文件类型为1、2、3、6这四种类型中的任一种或者任几种，则判定为识别结果命中预设可信关系对；而如果文件类型列表中的文件类型包括除1、2、3、6这四种类型外的任一种，则判定为识别结果未命中预设可信关系对，也即该文件处理请求不是预期内的处理请求，具有安全风险。
可选地，上传任务对应的多个预设可信关系对不仅可以基于历史文件上传日志构建，还可以基于历史文件上传日志和企业内部资产数据共同进行构建。如此，可以根据企业内部资产数据对历史文件上传日志中记录的信息进一步进行校验，确保预设可信关系对的准确性和安全性。
本说明书一个实施例，通过获取历史文件上传日志；基于历史文件上传日志，获得上传任务对应的历史存储位置和历史文件类型，并基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对，实现了将黑名单策略升级为白名单策略，通过多个预设可信关系对对上传阶段中的文件处理请求进行安全校验，能够有效提高校验结果的可靠性，有效对抗未知风险，并且，通过基于文件类型进行安全校验，能够对文件类型不符合预设可信关系对中文件类型的后门文件进行识别，有效打破攻击者的行动链路，避免攻击者上传后门文件，从而进一步提高企业信息安全性和个人隐私信息安全性。基于上传任务对应的多个预设可信关系对，构建上传任务对应的目标关系库，能够在校验过程中直接对目标关系库进行获取，提高校验效率，从而提高文件上传效率。
需要说明的是，在本说明书一种具体应用场景中，用户可以访问项目系统，并将文件上传至项目系统进行存储。项目系统接收用户上传的文件后，可以将该文件上传至云存储服务中，通过云存储服务实现对该文件的存储。为了提高文件上传过程中的安全性，避免攻击者利用防御漏洞上传后门文件，需要在用户上传文件至项目系统的过程中以及项目系统将该文件上传至云存储服务的过程中均进行一次基于可信防御策略的安全校验。然而，在文件传输的各个阶段均进行安全校验会导致文件上传效率降低，同时也会导致可信关系对白名单的构建工作量增加、维护难度增大。
基于此，本说明书一个实施例通过构建包含不同参数信息的不同类型预设可信关系对，将上述面向不同端侧的上传过程中的两次校验过程合并为一次校验，从而在保障文件上传安全的基础上，提高安全校验效率，进而提高文件上传效率。
具体地，在基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对之前，还可以包括如下步骤：
基于历史文件上传日志，确定上传任务对应的对象标识信息。
具体地，历史文件上传日志可以包括存储服务的访问日志和项目系统的应用日志。其中，存储服务的访问日志可以理解为由存储服务记录的，用户或系统访问存储服务并上传文件对应的日志；项目系统的应用日志可以理解为由项目系统记录的，用户访问项目系统所产生的日志。对象标识信息可以包括项目系统标识和用户标识。通过存储服务的访问日志，可以获得上传任务对应的存储位置、文件类型以及项目系统标识，通过项目系统的应用日志，可以获得上传任务对应的用户标识、存储位置以及文件类型。
因此，基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对，可以包括如下步骤：
基于对象标识信息、历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对。
实际应用中，在基于历史文件上传日志，确定上传任务对应的对象标识信息、历史存储位置和历史文件类型的情况下，就可以基于对象标识信息、历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对。
进一步地，在本说明书一个或多个可选的实施例中，基于历史文件上传日志，确定上传任务对应的对象标识信息，可以包括如下步骤：
对历史文件上传日志进行分析，确定上传任务对应的项目系统标识和/或用户标识。
实际应用中，由于用户向项目系统发送文件处理请求，以向项目系统上传文件的过程中，项目系统的应用日志会对用户发送的文件处理请求中的用户标识、文件类型和存储位置进行记录，因此，对历史文件上传日志进行分析，可以确定上传任务对应的用户标识。同理，由于项目系统将上传文件发送至云存储服务进行存储的过程中，云存储服务的访问日志会对项目系统发送的文件处理请求中的项目系统标识、文件类型和存储位置进行记录，因此，对历史文件上传日志进行分析，也可以确定上传任务对应的项目系统标识。
进一步地，可以根据项目系统标识和/或用户标识，以及历史存储位置和历史文件类型，对上传任务对应的预设可信关系对进行构建，从而提高白名单策略的安全性。
可选地，预设可信关系对可以根据项目系统标识、历史存储位置和历史文件类型构建，构建得到的预设可信关系对可以是（项目系统标识、存储位置、文件类型列表）。预设可信关系对也可以根据用户标识、历史存储位置和历史文件类型构建，构建得到的预设可信关系对可以是（用户标识、存储位置、文件类型列表）。此外，预设可信关系对还可以根据其他信息进行构建，比如上传任务对应的来源IP地址、浏览器类型等等，构建得到例如（来源IP地址、存储位置、文件类型列表）和（浏览器类型、存储位置、文件类型列表）的可信关系对。
可选地，用于构成目标关系库的预设可信关系对可以包括上述的可信关系对二元组，也可以包括上述的可信关系对三元组，具体可以根据实际应用中的情况确定，本说明书对此不做任何限定。示例性地，上传任务对应的预设可信关系对可以包括如下所示的一个二元组和两个三元组：（存储位置、文件类型列表）、（项目系统标识、存储位置、文件类型列表）、（用户标识、存储位置、文件类型列表）。需要说明的是，上述示例仅用于帮助技术人员更好地理解本说明书实施例，并不用于对上传任务对应的预设可信关系对进行限定。
通过根据项目系统标识和/或用户标识构建预设可信关系对，可以进一步提高校验结果可靠性，提高白名单策略安全性。并且，同时对能否命中项目系统标识和用户标识进行校验，还可以将文件上传过程中，面向不同端侧的多次校验合并为一次，提高安全校验的效率。
可选地，任务类型还可以包括下载任务；在基于任务类型，确定任务类型对应的目标关系库之前，还可以包括如下步骤：
获取历史文件下载日志；
基于历史文件下载日志，获得下载任务对应的对象标识信息、历史存储位置和历史文件类型；
基于对象标识信息、历史存储位置和历史文件类型，构建下载任务对应的多个预设可信关系对；
基于下载任务对应的多个预设可信关系对，构成下载任务对应的目标关系库。
实际应用中，在执行下载任务之前，还需要先对文件处理请求是否为预期内行为进行判断。也即是，需要获取下载任务对应的目标关系库，识别文件处理请求是否命中下载任务对应的目标关系库中的多个预设可信关系对。因此，在基于任务类型，确定任务类型对应的目标关系库之前，还需要构建下载任务对应的目标关系库。具体地，可以通过获取历史文件下载日志，基于历史文件下载日志，获得下载任务对应的对象标识信息、历史存储位置和历史文件类型，从而基于对象标识信息、历史存储位置和历史文件类型，构建下载任务对应的多个预设可信关系对并根据下载任务对应的多个预设可信关系对，构成下载任务对应的目标关系库。
在本说明书一种具体应用场景中，用户可以访问项目系统，从项目系统中下载所需的文件。项目系统接收用户的文件处理请求后，可以根据文件处理请求中携带的存储位置和文件类型，从云存储服务中下载对应文件。因此，历史文件下载日志也可以包括云存储服务的访问日志和项目系统的应用日志。
可选地，在通过历史文件下载日志构建可信关系对的基础上，也可以结合企业内部资产数据，对预设可信关系对进行构建。如此，可以根据企业内部资产数据对历史文件下载日志中记录的信息进一步进行校验，确保预设可信关系对的准确性和安全性。
本说明书一个实施例，通过获取历史文件下载日志；基于历史文件下载日志，获得下载任务对应的对象标识信息、历史存储位置和历史文件类型，并基于对象标识信息、历史存储位置和历史文件类型，构建下载任务对应的多个预设可信关系对，实现了将黑名单策略升级为白名单策略，通过多个预设可信关系对对下载阶段中的文件处理请求进行安全校验，能够有效提高校验结果的可靠性，有效对抗未知风险，并且，通过基于文件类型进行安全校验，能够对文件类型不符合预设可信关系对中文件类型的后门文件进行识别，有效打破攻击者的行动链路，避免用户下载后门文件，从而进一步提高企业信息安全性和个人隐私信息安全性。基于下载任务对应的多个预设可信关系对，构建下载任务对应的目标关系库，能够在校验过程中直接对目标关系库进行获取，提高校验效率，从而提高文件下载效率。
在本申请一个或多个可选的实施例中，基于历史文件下载日志，获得下载任务对应的对象标识信息，可以包括如下步骤：
对历史文件下载日志进行分析，确定下载任务对应的项目系统标识和/或用户标识。
实际应用中，由于用户向项目系统发送访问请求，以从项目系统下载文件的过程中，项目系统的应用日志会对用户发送的文件处理请求中的用户标识、文件类型和存储位置进行记录，因此，对历史文件下载日志进行分析，可以确定下载任务对应的用户标识。同理，由于项目系统将文件处理请求发送至云存储服务进行文件下载的过程中，云存储服务的访问日志会对项目系统发送的文件处理请求中的项目系统标识、文件类型和存储位置进行记录，因此，对历史文件下载日志进行分析，也可以确定下载任务对应的项目系统标识。
进一步地，可以根据项目系统标识和/或用户标识，以及历史存储位置和历史文件类型，对下载任务对应的预设可信关系对进行构建，从而提高白名单策略的安全性。
可选地，预设可信关系对可以根据项目系统标识、历史存储位置和历史文件类型构建，构建得到的预设可信关系对可以是（项目系统标识、存储位置、文件类型列表）。预设可信关系对也可以根据用户标识、历史存储位置和历史文件类型构建，构建得到的预设可信关系对可以是（用户标识、存储位置、文件类型列表）。此外，预设可信关系对还可以根据其他信息进行构建，比如下载任务对应的来源IP地址、浏览器类型等等，构建得到例如（来源IP地址、存储位置、文件类型列表）和（浏览器类型、存储位置、文件类型列表）的可信关系对。
可选地，用于构成目标关系库的预设可信关系对可以包括上述的至少一个可信关系对三元组，具体可以根据实际应用中的情况确定，本说明书对此不做任何限定。示例性地，下载任务对应的预设可信关系对可以包括如下所示的两个三元组：（项目系统标识、存储位置、文件类型列表）、（用户标识、存储位置、文件类型列表）。需要说明的是，上述示例仅用于帮助技术人员更好地理解本说明书实施例，并不用于对下载任务对应的预设可信关系对进行限定。
通过根据项目系统标识和/或用户标识构建预设可信关系对，可以进一步提高校验结果可靠性，提高白名单策略安全性。并且，同时对能否命中项目系统标识和用户标识进行校验，还可以将文件下载过程中，面向不同端侧的多次校验合并为一次，提高安全校验的效率。
可选地，项目系统标识可以包括内部项目系统标识或者外部项目系统标识；用户标识可以包括内部用户标识或者外部用户标识。
具体地，内部项目系统标识可以理解为企业内部项目系统对应的系统标识；外部项目系统标识可以理解为互联网项目系统等企业外部项目系统对应的系统标识。内部用户标识可以理解为企业内部员工对应的用户标识，或者项目系统内部工作人员对应的用户标识；外部用户标识可以理解为互联网用户等企业外部人员以及项目系统的外部用户对应的用户标识。
实际应用中，通过内部项目系统标识、外部项目系统标识、内部用户标识和外部用户标识，可以构造互联网用户、企业内部办公网用户、各网络环境下的项目系统、存储位置以及文件类型多元组可信关系对，该多元组可信关系对作为可信防御策略，可以对所有针对存储服务发出的文件处理请求进行安全校验。只要文件处理请求中存在任意一种无法命中该多元组可信关系对的信息，该文件处理请求就会受到拦截，可以有效提高各系统对抗未知风险的能力，无论在内部应用场景还是在外部应用场景中，都能够避免攻击者上传后门文件以及避免用户下载攻击者上传的后门文件，从而有效打破攻击者行动链路，提高企业信息安全性和个人隐私数据安全性。
示例性地，在内部应用场景中，上传任务对应的预设可信关系对可以包括：（存储位置、文件类型列表）、（内部项目系统标识、存储位置、文件类型列表）、（内部用户标识、存储位置、文件类型列表）；下载任务对应的预设可信关系对可以包括：（内部项目系统标识、存储位置、文件类型列表）、（内部用户标识、存储位置、文件类型列表）。
在外部应用场景中（如互联网用户的文件上传和下载），上传任务对应的预设可信关系对可以包括：（存储位置、文件类型列表）、（外部项目系统标识、存储位置、文件类型列表）、（外部用户标识、存储位置、文件类型列表）；下载任务对应的预设可信关系对可以包括：（外部项目系统标识、存储位置、文件类型列表）、（外部用户标识、存储位置、文件类型列表）。
需要说明的是，上述示例仅用于帮助技术人员更好地理解本说明书实施例，并不用于对内外部的上传任务以及下载任务对应的预设可信关系对进行限定。
需要说明的是，在存储服务为云存储服务的情况下，云存储服务还需要对其中存储的各个文件进行文件落盘处理，在进行文件落盘处理的过程中，可以通过多元组可信关系对的安全校验，避免将后门文件和携带病毒的文件存储至存储实体中。
可选地，在本说明书一个或多个实施例中，在基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对之后，还可以包括如下步骤：
若命中，则根据文件处理请求，执行目标处理任务。
实际应用中，在识别到文件处理请求命中预设可信关系对的情况下，存储服务就可以根据文件处理请求，执行目标处理任务。
具体地，目标处理任务可以包括文件上传任务或者文件下载任务，在目标处理任务是文件上传任务的情况下，存储服务可以根据上传任务对应的存储位置，将待上传文件存储至存储服务对应的存储位置处，并根据本次上传任务对应的文件类型、存储位置、对象标识信息等信息生成上传任务记录，存储在上传日志中。在目标处理任务是文件下载任务的情况下，存储服务可以根据下载任务对应的存储位置和文件类型等任务信息，从存储位置处下载待下载文件并发送至目标用户，并根据本次下载任务对应的文件类型、存储位置、对象标识信息等信息生成下载任务记录，存储在下载日志中。
通过在识别到文件处理请求命中预设可信关系对的情况下，根据文件处理请求执行目标处理任务，可以通过可信的白名单策略对预期内行为进行执行，提高任务执行安全性。
步骤106：若未命中，则拦截文件处理请求。
实际应用中，在基于文件类型和任务信息，识别得到文件处理请求未命中预设可信关系对的情况下，则对文件处理请求进行拦截。
需要说明的是，文件处理请求中可以携带文件类型，以及多种类型的任务信息，只要这些信息中的任一个存在未能命中任意一个预设可信关系对的情况，该文件处理请求就会被判断为非预期内行为，并进行拦截。
可选地，在本说明书一个实施例中，在拦截文件处理请求之后，还可以包括如下步骤：
将文件处理请求转发至安全对象，以驱动安全对象识别文件处理请求是否为攻击行为。
具体地，安全对象可以是安全工程师、网络管理员等工作人员，也可以是校验系统、校验平台等机器。
实际应用中，在对文件处理请求进行拦截的情况下，可以将该文件处理请求转发至安全对象，以驱动安全对象对该文件处理请求进一步进行核查，研究并判断该文件处理请求是否为攻击行为。从而进一步提高可信校验的准确性和严谨性。
可选地，在本说明书一个实施例中，在拦截文件处理请求之后，还可以包括如下步骤：
根据文件处理请求生成告警信息，并将告警信息发送至目标用户，以使目标用户自行检查文件处理请求。
本说明书一个实施例实现了接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；若未命中，则拦截文件处理请求。
如此，通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
参见图2，图2示出了根据本说明书一个实施例提供的一种文件处理方法的应用过程示意图。如图2所示，图2示出了内部、外部两种网络环境以及上传任务和下载任务两种任务类型分别对应的处理过程。
其中，外部网络环境对应的是上传阶段：互联网用户访问互联网项目系统，通过互联网项目系统向云存储服务发送文件处理请求，其中，文件处理请求包括上传任务对应的任务信息以及上传文件的文件类型。云存储服务在接收到文件处理请求的情况下，获取可信防御策略对应的外部上传阶段白名单，其中，外部上传阶段白名单包括可信关系对二元组（云存储点位，文件类型列表）、可信关系对三元组（外部项目系统名，云存储点位，文件类型列表）和（互联网用户，云存储点位，文件类型列表）。
内部网络环境对应的是下载阶段：办公网内部员工访问办公网后台系统，通过办公网后台系统发送文件处理请求，其中，文件处理请求包括下载任务对应的任务信息以及下载文件的文件类型。云存储服务在接收到文件处理请求的情况下，获取可信防御策略对应的内部下载阶段白名单，其中，内部下载阶段白名单包括内部系统访问阶段白名单对应的可信关系对三元组（内部项目系统名，云存储点位，文件类型列表）和内部用户访问阶段白名单对应的可信关系对三元组（内部用户，云存储点位，文件类型列表）。
下述结合附图3，以本说明书提供的文件处理方法在云存储服务执行互联网用户通过互联网系统发送文件上传任务的应用为例，对所述文件处理方法进行进一步说明。其中，图3示出了本说明书一个实施例提供的一种文件处理方法的上传阶段处理过程流程图，具体包括以下S302-S310。
S302：互联网用户访问互联网项目系统，将文件上传请求发送至互联网项目系统。
S304：互联网项目系统将文件上传请求发送至云存储服务。
S306：云存储服务获取外部上传阶段白名单，外部上传阶段白名单包括二元组（云存储点位，文件类型列表）和三元组（互联网项目系统名，云存储点位，文件类型列表）、（互联网用户，云存储点位，文件类型列表）。
S308：云存储服务根据文件上传请求包括的互联网用户标识、互联网项目系统标识、云存储点位和文件类型，识别文件上传请求是否命中外部上传阶段白名单。
S310：若未命中，则拦截文件上传请求，并将文件上传请求发送至安全对象，以驱动安全对象识别文件处理请求是否为攻击行为。
本说明书一个实施例实现了通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
下述结合附图4，以本说明书提供的文件处理方法在云存储服务执行内部员工通过内部系统发送文件下载任务的应用为例，对所述文件处理方法进行进一步说明。其中，图4示出了本说明书一个实施例提供的一种文件处理方法的下载阶段处理过程流程图，具体包括以下S402-S410。
S402：办公网用户访问办公网后台系统，将文件下载请求发送至办公网后台系统。
S404：办公网后台系统将文件下载请求发送至云存储服务。
S406：云存储服务获取内部下载阶段白名单，内部下载阶段白名单包括内部系统访问阶段白名单和内部员工访问阶段白名单，其中，内部系统访问阶段白名单包括三元组（办公网后台系统名，云存储点位，文件类型列表），内部员工访问阶段白名单包括三元组（办公网用户，云存储点位，文件类型列表）。
S408：云存储服务根据文件下载请求包括的办公网用户标识、办公网后台系统名、云存储点位和文件类型，识别文件下载请求是否命中内部下载阶段白名单。
S410：若命中，则从云存储点位获取待下载文件，并将待下载文件下载至办公网用户对应的用户终端。
实际应用中，云存储服务在执行内部用户通过内部系统发送文件上传任务的过程中，除了验证员工访问的内部系统所对应的三元组信息外，还可以对文件所要落盘的实体存储介质或服务器对应的文件存储系统所对应的三元组信息进行验证。从而提高数据传输过程中各个环节的安全性。
本说明书一个实施例实现了通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
与上述方法实施例相对应，本说明书还提供了文件处理装置实施例，图5示出了本说明书一个实施例提供的一种文件处理装置的结构示意图。如图5所示，该装置包括：
接收模块502：被配置为接收目标用户发送的文件处理请求，其中，文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息。
识别模块504：被配置为基于文件类型和任务信息，识别文件处理请求是否命中预设可信关系对，其中，预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到。
拦截模块506：被配置为若未命中，则拦截文件处理请求。
可选地，任务信息包括任务类型和待处理文件的存储位置；识别模块504，进一步被配置为：
基于任务类型，确定任务类型对应的目标关系库，其中，目标关系库包括多个预设可信关系对；
基于存储位置和文件类型，识别文件处理请求是否命中目标关系库中的预设可信关系对。
可选地，任务类型包括上传任务；文件处理装置还包括第一构建模块，被配置为：
获取历史文件上传日志；
基于历史文件上传日志，获得上传任务对应的历史存储位置和历史文件类型；
基于历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对；
基于上传任务对应的多个预设可信关系对，构建上传任务对应的目标关系库。
可选地，第一构建模块，进一步被配置为：
基于历史文件上传日志，确定上传任务对应的对象标识信息；
基于对象标识信息、历史存储位置和历史文件类型，构建上传任务对应的多个预设可信关系对。
可选地，第一构建模块，进一步被配置为：
对历史文件上传日志进行分析，确定上传任务对应的项目系统标识和/或用户标识。
可选地，任务类型包括下载任务；文件处理装置还包括第二构建模块，被配置为：
获取历史文件下载日志；
基于历史文件下载日志，获得下载任务对应的对象标识信息、历史存储位置和历史文件类型；
基于对象标识信息、历史存储位置和历史文件类型，构建下载任务对应的多个预设可信关系对；
基于下载任务对应的多个预设可信关系对，构成下载任务对应的目标关系库。
可选地，第二构建模块，进一步被配置为：
对历史文件下载日志进行分析，确定下载任务对应的项目系统标识和/或用户标识。
可选地，项目系统标识包括内部项目系统标识或者外部项目系统标识；用户标识包括内部用户标识或者外部用户标识。
可选地，文件处理装置还包括执行模块，被配置为：
若命中，则根据文件处理请求，执行目标处理任务。
可选地，文件处理装置还包括转发模块，被配置为：
将文件处理请求转发至安全对象，以驱动安全对象识别文件处理请求是否为攻击行为。
本说明书一个实施例实现了通过基于文件类型和任务信息，识别文件处理请求是否命中基于不同处理任务下的历史文件类型和任务信息构建得到的预设可信关系对，并在未命中的情况下拦截该文件处理请求，可以将可信防御策略从黑名单策略升级为基于文件类型进行校验的白名单策略，从而有效提高对抗未知风险的能力，并且，通过识别文件类型是否命中预设可信关系对，能够避免攻击者传输后门文件的攻击行为，有效打破攻击者的攻击行动链路，进一步提高白名单策略的安全性和可靠性。
上述为本实施例的一种文件处理装置的示意性方案。需要说明的是，该文件处理装置的技术方案与上述的文件处理方法的技术方案属于同一构思，文件处理装置的技术方案未详细描述的细节内容，均可以参见上述文件处理方法的技术方案的描述。
图6示出了根据本说明书一个实施例提供的一种计算设备600的结构框图。该计算设备600的部件包括但不限于存储器610和处理器620。处理器620与存储器610通过总线630相连接，数据库650用于保存数据。
计算设备600还包括接入设备640，接入设备640使得计算设备600能够经由一个或多个网络660通信。这些网络的示例包括公用交换电话网（PSTN，Public SwitchedTelephone Network）、局域网（LAN，Local Area Network）、广域网（WAN，Wide AreaNetwork）、个域网（PAN，Personal Area Network）或诸如因特网的通信网络的组合。接入设备640可以包括有线或无线的任何类型的网络接口（例如，网络接口卡（NIC，networkinterface controller））中的一个或多个，诸如IEEE802.11无线局域网（WLAN，WirelessLocal Area Network）无线接口、全球微波互联接入（Wi-MAX，WorldwideInteroperability for Microwave Access）接口、以太网接口、通用串行总线（USB，Universal Serial Bus）接口、蜂窝网络接口、蓝牙接口、近场通信（NFC，Near FieldCommunication）。
在本说明书的一个实施例中，计算设备600的上述部件以及图6中未示出的其他部件也可以彼此相连接，例如通过总线。应当理解，图6所示的计算设备结构框图仅仅是出于示例的目的，而不是对本说明书范围的限制。本领域技术人员可以根据需要，增添或替换其他部件。
计算设备600可以是任何类型的静止或移动计算设备，包括移动计算机或移动计算设备（例如，平板计算机、个人数字助理、膝上型计算机、笔记本计算机、上网本等）、移动电话（例如，智能手机）、可佩戴的计算设备（例如，智能手表、智能眼镜等）或其他类型的移动设备，或者诸如台式计算机或个人计算机（PC，Personal Computer）的静止计算设备。计算设备600还可以是移动式或静止式的服务器。
其中，处理器620用于执行如下计算机可执行指令，该计算机可执行指令被处理器执行时实现上述文件处理方法的步骤。
上述为本实施例的一种计算设备的示意性方案。需要说明的是，该计算设备的技术方案与上述的文件处理方法的技术方案属于同一构思，计算设备的技术方案未详细描述的细节内容，均可以参见上述文件处理方法的技术方案的描述。
本说明书一实施例还提供一种计算机可读存储介质，其存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现上述文件处理方法的步骤。
上述为本实施例的一种计算机可读存储介质的示意性方案。需要说明的是，该存储介质的技术方案与上述的文件处理方法的技术方案属于同一构思，存储介质的技术方案未详细描述的细节内容，均可以参见上述文件处理方法的技术方案的描述。
本说明书一实施例还提供一种计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行上述文件处理方法的步骤。
上述为本实施例的一种计算机程序的示意性方案。需要说明的是，该计算机程序的技术方案与上述的文件处理方法的技术方案属于同一构思，计算机程序的技术方案未详细描述的细节内容，均可以参见上述文件处理方法的技术方案的描述。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
所述计算机指令包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据专利实践的要求进行适当的增减，例如在某些地区，根据专利实践，计算机可读介质不包括电载波信号和电信信号。
需要说明的是，对于前述的各方法实施例，为了简便描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本说明书实施例并不受所描述的动作顺序的限制，因为依据本说明书实施例，某些步骤可以采用其它顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定都是本说明书实施例所必须的。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其它实施例的相关描述。
以上公开的本说明书优选实施例只是用于帮助阐述本说明书。可选实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施方式。显然，根据本说明书实施例的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本说明书实施例的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本说明书。本说明书仅受权利要求书及其全部范围和等效物的限制。

Claims (22)

1.一种文件处理方法，包括：
接收目标用户发送的文件处理请求，其中，所述文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；
基于所述文件类型和所述任务信息，识别所述文件处理请求是否命中预设可信关系对，其中，所述预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；
若未命中，则拦截所述文件处理请求。
2.根据权利要求1所述的文件处理方法，所述任务信息包括任务类型和所述待处理文件的存储位置；所述基于所述文件类型和所述任务信息，识别所述文件处理请求是否命中预设可信关系对，包括：
基于所述任务类型，确定所述任务类型对应的目标关系库，其中，所述目标关系库包括多个预设可信关系对；
基于所述存储位置和所述文件类型，识别所述文件处理请求是否命中所述目标关系库中的预设可信关系对。
3.根据权利要求2所述的文件处理方法，所述任务类型包括上传任务；在所述基于所述任务类型，确定所述任务类型对应的目标关系库之前，还包括：
获取历史文件上传日志；
基于所述历史文件上传日志，获得所述上传任务对应的历史存储位置和历史文件类型；
基于所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对；
基于所述上传任务对应的多个预设可信关系对，构建所述上传任务对应的目标关系库。
4.根据权利要求3所述的文件处理方法，在所述基于所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对之前，还包括：
基于所述历史文件上传日志，确定所述上传任务对应的对象标识信息；
所述基于所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对，包括：
基于所述对象标识信息、所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对。
5.根据权利要求4所述的文件处理方法，所述基于所述历史文件上传日志，确定所述上传任务对应的对象标识信息，包括：
对所述历史文件上传日志进行分析，确定所述上传任务对应的项目系统标识和/或用户标识。
6.根据权利要求2所述的文件处理方法，所述任务类型包括下载任务；在所述基于所述任务类型，确定所述任务类型对应的目标关系库之前，还包括：
获取历史文件下载日志；
基于所述历史文件下载日志，获得所述下载任务对应的对象标识信息、历史存储位置和历史文件类型；
基于所述对象标识信息、所述历史存储位置和所述历史文件类型，构建所述下载任务对应的多个预设可信关系对；
基于所述下载任务对应的多个预设可信关系对，构成所述下载任务对应的目标关系库。
7.根据权利要求6所述的文件处理方法，所述基于所述历史文件下载日志，获得所述下载任务对应的对象标识信息，包括：
对所述历史文件下载日志进行分析，确定所述下载任务对应的项目系统标识和/或用户标识。
8.根据权利要求5或7所述的文件处理方法，所述项目系统标识包括内部项目系统标识或者外部项目系统标识；所述用户标识包括内部用户标识或者外部用户标识。
9.根据权利要求1所述的文件处理方法，在所述基于所述文件类型和所述任务信息，识别所述文件处理请求是否命中预设可信关系对之后，还包括：
若命中，则根据所述文件处理请求，执行所述目标处理任务。
10.根据权利要求1所述的文件处理方法，在所述拦截所述文件处理请求之后，还包括：
将所述文件处理请求转发至安全对象，以驱动所述安全对象识别所述文件处理请求是否为攻击行为。
11.一种文件处理装置，包括：
接收模块，被配置为接收目标用户发送的文件处理请求，其中，所述文件处理请求包括待处理文件的文件类型、目标处理任务的任务信息；
识别模块，被配置为基于所述文件类型和所述任务信息，识别所述文件处理请求是否命中预设可信关系对，其中，所述预设可信关系对基于不同处理任务下的历史文件类型和任务信息构建得到；
拦截模块，被配置为若未命中，则拦截所述文件处理请求。
12.根据权利要求11所述的文件处理装置，所述任务信息包括任务类型和所述待处理文件的存储位置；所述识别模块，进一步被配置为：
基于所述任务类型，确定所述任务类型对应的目标关系库，其中，所述目标关系库包括多个预设可信关系对；
基于所述存储位置和所述文件类型，识别所述文件处理请求是否命中所述目标关系库中的预设可信关系对。
13.根据权利要求12所述的文件处理装置，所述任务类型包括上传任务；所述文件处理装置还包括第一构建模块，所述第一构建模块被配置为：
获取历史文件上传日志；
基于所述历史文件上传日志，获得所述上传任务对应的历史存储位置和历史文件类型；
基于所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对；
基于所述上传任务对应的多个预设可信关系对，构建所述上传任务对应的目标关系库。
14.根据权利要求13所述的文件处理装置，所述第一构建模块，进一步被配置为：
基于所述历史文件上传日志，确定所述上传任务对应的对象标识信息；
基于所述对象标识信息、所述历史存储位置和所述历史文件类型，构建所述上传任务对应的多个预设可信关系对。
15.根据权利要求14所述的文件处理装置，所述第一构建模块，进一步被配置为：
对所述历史文件上传日志进行分析，确定所述上传任务对应的项目系统标识和/或用户标识。
16.根据权利要求12所述的文件处理装置，所述任务类型包括下载任务；所述文件处理装置还包括第二构建模块，所述第二构建模块被配置为：
获取历史文件下载日志；
基于所述历史文件下载日志，获得所述下载任务对应的对象标识信息、历史存储位置和历史文件类型；
基于所述对象标识信息、所述历史存储位置和所述历史文件类型，构建所述下载任务对应的多个预设可信关系对；
基于所述下载任务对应的多个预设可信关系对，构成所述下载任务对应的目标关系库。
17.根据权利要求16所述的文件处理装置，所述第二构建模块进一步被配置为：
对所述历史文件下载日志进行分析，确定所述下载任务对应的项目系统标识和/或用户标识。
18.根据权利要求15或17所述的文件处理装置，所述项目系统标识包括内部项目系统标识或者外部项目系统标识；所述用户标识包括内部用户标识或者外部用户标识。
19.根据权利要求11所述的文件处理装置，所述文件处理装置还包括执行模块，所述执行模块被配置为：
若命中，则根据所述文件处理请求，执行所述目标处理任务。
20.根据权利要求11所述的文件处理装置，所述文件处理装置还包括转发模块，所述转发模块被配置为：
将所述文件处理请求转发至安全对象，以驱动所述安全对象识别所述文件处理请求是否为攻击行为。
21.一种计算设备，包括：
存储器和处理器；
所述存储器用于存储计算机可执行指令，所述处理器用于执行所述计算机可执行指令，该计算机可执行指令被处理器执行时实现权利要求1至10任意一项所述文件处理方法的步骤。
22.一种计算机可读存储介质，其存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现权利要求1至10任意一项所述文件处理方法的步骤。
CN202311667432.3A 2023-12-06 2023-12-06 文件处理方法以及装置 Pending CN117376033A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311667432.3A CN117376033A (zh) 2023-12-06 2023-12-06 文件处理方法以及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311667432.3A CN117376033A (zh) 2023-12-06 2023-12-06 文件处理方法以及装置

Publications (1)

Publication Number Publication Date
CN117376033A true CN117376033A (zh) 2024-01-09

Family

ID=89393268

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311667432.3A Pending CN117376033A (zh) 2023-12-06 2023-12-06 文件处理方法以及装置

Country Status (1)

Country Link
CN (1) CN117376033A (zh)

Citations (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102819713A (zh) * 2012-06-29 2012-12-12 北京奇虎科技有限公司 一种检测弹窗安全性的方法和系统
CN102984162A (zh) * 2012-12-05 2013-03-20 北京奇虎科技有限公司 可信网站的识别方法和收集系统
CN103875003A (zh) * 2011-10-17 2014-06-18 迈克菲股份有限公司 用于在移动网络环境中把应用列入白名单的系统和方法
CN105159744A (zh) * 2015-08-07 2015-12-16 浪潮电子信息产业股份有限公司 一种虚拟机的度量方法及装置
CN105991587A (zh) * 2015-02-13 2016-10-05 中国移动通信集团山西有限公司 一种入侵检测方法及系统
CN106529281A (zh) * 2016-11-07 2017-03-22 广东浪潮大数据研究有限公司 一种可执行文件处理方法及装置
US9619649B1 (en) * 2015-03-13 2017-04-11 Symantec Corporation Systems and methods for detecting potentially malicious applications
CN109240991A (zh) * 2018-09-26 2019-01-18 Oppo广东移动通信有限公司 文件推荐方法、装置、存储介质及智能终端
CN110049116A (zh) * 2019-04-04 2019-07-23 厦门网宿有限公司 一种智能调度业务请求的方法和系统
CN110083338A (zh) * 2019-05-27 2019-08-02 广东金赋科技股份有限公司 基于智能网关的服务系统
CN110688628A (zh) * 2019-10-09 2020-01-14 北京达佳互联信息技术有限公司 多媒体信息处理方法、装置及服务器
CN110796450A (zh) * 2019-10-31 2020-02-14 支付宝(杭州)信息技术有限公司 可信关系处理方法以及装置
CN110826075A (zh) * 2019-12-20 2020-02-21 宁波和利时信息安全研究院有限公司 Plc动态度量方法、装置、系统、存储介质及电子设备
WO2020186786A1 (zh) * 2019-03-20 2020-09-24 平安科技（深圳）有限公司 文件处理方法、装置、计算机设备和存储介质
CN112565297A (zh) * 2020-12-24 2021-03-26 杭州迪普科技股份有限公司 一种报文控制方法及装置
CN113190837A (zh) * 2021-03-29 2021-07-30 贵州电网有限责任公司 一种基于文件服务系统的web攻击行为检测方法及系统
CN114417431A (zh) * 2021-12-23 2022-04-29 珠海大横琴科技发展有限公司 一种文件归档方法和装置
CN116455890A (zh) * 2023-03-29 2023-07-18 阿里巴巴（中国）有限公司 文件输出方法、文件下载方法、设备和存储介质
CN117081790A (zh) * 2023-08-01 2023-11-17 中国电信股份有限公司技术创新中心 基于零信任网关的文件访问和上传方法、系统及相关设备

Patent Citations (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103875003A (zh) * 2011-10-17 2014-06-18 迈克菲股份有限公司 用于在移动网络环境中把应用列入白名单的系统和方法
CN102819713A (zh) * 2012-06-29 2012-12-12 北京奇虎科技有限公司 一种检测弹窗安全性的方法和系统
CN102984162A (zh) * 2012-12-05 2013-03-20 北京奇虎科技有限公司 可信网站的识别方法和收集系统
CN105991587A (zh) * 2015-02-13 2016-10-05 中国移动通信集团山西有限公司 一种入侵检测方法及系统
US9619649B1 (en) * 2015-03-13 2017-04-11 Symantec Corporation Systems and methods for detecting potentially malicious applications
CN105159744A (zh) * 2015-08-07 2015-12-16 浪潮电子信息产业股份有限公司 一种虚拟机的度量方法及装置
CN106529281A (zh) * 2016-11-07 2017-03-22 广东浪潮大数据研究有限公司 一种可执行文件处理方法及装置
CN109240991A (zh) * 2018-09-26 2019-01-18 Oppo广东移动通信有限公司 文件推荐方法、装置、存储介质及智能终端
WO2020186786A1 (zh) * 2019-03-20 2020-09-24 平安科技（深圳）有限公司 文件处理方法、装置、计算机设备和存储介质
CN110049116A (zh) * 2019-04-04 2019-07-23 厦门网宿有限公司 一种智能调度业务请求的方法和系统
CN110083338A (zh) * 2019-05-27 2019-08-02 广东金赋科技股份有限公司 基于智能网关的服务系统
CN110688628A (zh) * 2019-10-09 2020-01-14 北京达佳互联信息技术有限公司 多媒体信息处理方法、装置及服务器
CN110796450A (zh) * 2019-10-31 2020-02-14 支付宝(杭州)信息技术有限公司 可信关系处理方法以及装置
CN110826075A (zh) * 2019-12-20 2020-02-21 宁波和利时信息安全研究院有限公司 Plc动态度量方法、装置、系统、存储介质及电子设备
CN112565297A (zh) * 2020-12-24 2021-03-26 杭州迪普科技股份有限公司 一种报文控制方法及装置
CN113190837A (zh) * 2021-03-29 2021-07-30 贵州电网有限责任公司 一种基于文件服务系统的web攻击行为检测方法及系统
CN114417431A (zh) * 2021-12-23 2022-04-29 珠海大横琴科技发展有限公司 一种文件归档方法和装置
CN116455890A (zh) * 2023-03-29 2023-07-18 阿里巴巴（中国）有限公司 文件输出方法、文件下载方法、设备和存储介质
CN117081790A (zh) * 2023-08-01 2023-11-17 中国电信股份有限公司技术创新中心 基于零信任网关的文件访问和上传方法、系统及相关设备

Similar Documents

Publication Publication Date Title
US10542006B2 (en) Network security based on redirection of questionable network access
US11489855B2 (en) System and method of adding tags for use in detecting computer attacks
US10382436B2 (en) Network security based on device identifiers and network addresses
US10887330B2 (en) Data surveillance for privileged assets based on threat streams
US10999302B2 (en) System and method for providing data and device security between external and host devices
US10574698B1 (en) Configuration and deployment of decoy content over a network
US10057295B2 (en) System and method for providing network and computer firewall protection with dynamic address isolation to a device
RU2536663C2 (ru) Система и способ защиты от нелегального использования облачных инфраструктур
US8170352B2 (en) String searching facility
US20220417277A1 (en) Secure browsing
CN110730175A (zh) 一种基于威胁情报的僵尸网络检测方法及检测系统
Alotaibi et al. Sdn-based detection of self-propagating ransomware: the case of badrabbit
RU2762528C1 (ru) Способ обработки событий информационной безопасности перед передачей на анализ
BalaGanesh et al. Smart devices threats, vulnerabilities and malware detection approaches: a survey
CN113904826B (zh) 数据传输方法、装置、设备和存储介质
Hegarty et al. Extrusion detection of illegal files in cloud-based systems
US11095682B1 (en) Mitigating phishing attempts
RU2601162C1 (ru) Способ использования выделенного сервиса компьютерной безопасности
CN113824678B (zh) 处理信息安全事件的系统、方法和非暂时性计算机可读介质
CN117376033A (zh) 文件处理方法以及装置
CN115277237A (zh) 移动终端接入企业内网的控制方法及装置
Anwar et al. Understanding internet of things malware by analyzing endpoints in their static artifacts
RU2763115C1 (ru) Способ корректировки параметров модели машинного обучения для определения ложных срабатываний и инцидентов информационной безопасности
Berasaluce Cybercrime in the IoT era
Conde Ortiz Ethical Hacking Of An Industrial Control System

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination