CN117560173A - 一种访问控制方法、装置、系统、电子设备及存储介质 - Google Patents

一种访问控制方法、装置、系统、电子设备及存储介质 Download PDF

Info

Publication number
CN117560173A
CN117560173A CN202311404322.8A CN202311404322A CN117560173A CN 117560173 A CN117560173 A CN 117560173A CN 202311404322 A CN202311404322 A CN 202311404322A CN 117560173 A CN117560173 A CN 117560173A
Authority
CN
China
Prior art keywords
access
access log
identification information
log
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311404322.8A
Other languages
English (en)
Inventor
周杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing QIYI Century Science and Technology Co Ltd
Original Assignee
Beijing QIYI Century Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing QIYI Century Science and Technology Co Ltd filed Critical Beijing QIYI Century Science and Technology Co Ltd
Priority to CN202311404322.8A priority Critical patent/CN117560173A/zh
Publication of CN117560173A publication Critical patent/CN117560173A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本公开关于一种访问控制方法、装置、系统、电子设备及存储介质，包括：接收服务端发送的第一访问日志及客户端发送的第二访问日志；按照预设周期，对比第一访问日志及第二访问日志；在任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值的情况下，将任一标识信息作为目标信息；将目标信息写入防火墙的拦截配置信息中，以使防火墙根据目标信息拦截异常访问请求。如果任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，可以认为服务端受到了恶意脚本刷量攻击，可以根据识别出的异常标识信息进行实时动态封禁，提高服务端的稳定性，避免服务端网页访问异常。

Description

一种访问控制方法、装置、系统、电子设备及存储介质
技术领域
本公开涉及互联网技术领域，尤其涉及一种访问控制方法、装置、系统、电子设备及存储介质。
背景技术
在互联网中，可以通过多种方式对网页页面进行请求和访问，包括人工点击、自动刷新、机器刷量、脚本刷量等方式。其中，网页页面包括服务端渲染(Server Side Render，SSR)页面，SSR页面是指由服务端生成的完整的超文本标记语言(HyperText MarkupLanguage，HTML)页面。
现有技术中，访问SSR页面需要由客户端向服务端发送页面访问请求，然后服务端将所请求的SSR页面发送到客户端。但是，这种页面访问方式的稳定性较差，一旦受到恶意脚本刷量的攻击，将会导致服务端的每秒查询率(Queries-per-second，QPS)激增，使得SSR页面的访问出现异常。
发明内容
本公开提供一种访问控制系统、方法、装置、系统、电子设备及存储介质，以至少解决相关技术中页面访问方式的稳定性较差，一旦受到恶意脚本的刷量攻击，将会导致服务端的QPS激增，使得SSR页面的访问出现异常的问题。本公开的技术方案如下：
根据本公开实施例的第一方面，提供一种访问控制方法，包括：
接收服务端发送的第一访问日志及客户端发送的第二访问日志；所述第一访问日志在所述服务端接收到访问请求时生成，包括所述访问请求的发送端的标识信息；所述第二访问日志在所述客户端发送对所述服务端的访问请求时生成，包括所述客户端的标识信息；
按照预设周期，对比所述第一访问日志及所述第二访问日志；
在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；
将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
可选地，所述接收服务端发送的第一访问日志及客户端发送的第二访问日志之后，包括：
将所述第一访问日志及所述第二访问日志存储至预设数据库；
所述按照预设周期，对比所述第一访问日志及所述第二访问日志，包括：
调用结构化查询语言，按照预设周期，在所述预设数据库中对比所述第一访问日志及所述第二访问日志中的标识信息。
可选地，所述在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息，包括：
在任一标识信息在所述第一访问日志中的出现次数大于第一预设值，且在所述第二访问日志中的出现次数小于第二预设值的情况下，则将所述任一标识信息作为目标信息。
可选地，所述在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息之前，还包括：
计算任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之差，作为差异值；或，
计算任一标识信息在所述第二访问日志中的出现次数与在所述第一访问日志中的出现次数的比值，作为差异值。
可选地，所述将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求，包括：
根据所述目标信息，更新防火墙的拦截配置列表；
调用所述防火墙，根据所述拦截配置列表识别向所述服务端发送的异常访问请求，并对所述异常访问请求进行拦截；所述异常访问请求对应的发送端的标识信息与所述目标信息相同。
可选地，所述第一访问日志及所述第二访问日志中还包括接收端标识，所述服务端包括多个；所述按照预设周期，对比所述第一访问日志及所述第二访问日志，包括：
按照预设周期，基于所述接收端标识，对比所述第一访问日志及所述第二访问日志。
根据本公开实施例的第二方面，提供一种访问控制装置，包括：
接收模块，用于接收服务端发送的第一访问日志及客户端发送的第二访问日志；所述第一访问日志在所述服务端接收到访问请求时生成，包括所述访问请求的发送端的标识信息；所述第二访问日志在所述客户端发送对所述服务端的访问请求时生成，包括所述客户端的标识信息；
对比模块，用于按照预设周期，对比所述第一访问日志及所述第二访问日志；
确定模块，用于在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；
控制模块，用于将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
根据本公开实施例的第三方面，提供一种访问控制系统，包括：
服务端设备，用于在接收到访问请求时，向访问控制设备投递第一访问日志，所述第一访问日志中包括所述访问请求的发送端的标识信息；
客户端设备，用于在发送对所述服务端设备的访问请求时，向所述访问控制设备投递第二访问日志，所述第二访问日志中包括所述客户端设备的标识信息；
所述访问控制设备，用于接收所述第一访问日志及所述第二访问日志；按照预设周期，对比所述第一访问日志及所述第二访问日志；在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；将目标信息写入防火墙的拦截配置信息中，以使防火墙根据目标信息拦截异常访问请求。
根据本公开实施例的第四方面，提供一种访问控制电子设备，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
其中，所述处理器被配置为执行所述指令，以实现所述任一项所述的访问控制方法。
根据本公开实施例的第五方面，提供一种计算机可读存储介质，当所述计算机可读存储介质中的指令由访问控制电子设备的处理器执行时，使得访问控制电子设备能够执行所述任一项所述的访问控制方法。
根据本公开实施例的第六方面，提供一种计算机程序产品，包括计算机程序/指令，所述计算机程序/指令被处理器执行时实现所述任一项所述的访问控制方法。
本公开的实施例提供的技术方案至少带来以下有益效果：
接收服务端发送的第一访问日志及客户端发送的第二访问日志；第一访问日志在服务端接收到访问请求时生成，包括访问请求的发送端的标识信息；第二访问日志在客户端发送对服务端的访问请求时生成，包括客户端的标识信息；按照预设周期，对比第一访问日志及第二访问日志；在任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值的情况下，将任一标识信息作为目标信息；将目标信息写入防火墙的拦截配置信息中，以使防火墙根据目标信息拦截异常访问请求。
这样，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理，并不构成对本公开的不当限定。
图1是根据一示例性实施例示出的一种访问控制方法的流程图。
图2是根据一示例性实施例示出的一种访问控制方法的逻辑示意图。
图3是根据一示例性实施例示出的一种访问控制装置的框图。
图4是根据一示例性实施例示出的一种访问控制系统的结构框图。
图5是根据一示例性实施例示出的一种用于访问控制的电子设备的框图。
图6是根据一示例性实施例示出的一种用于访问控制的装置的框图。
具体实施方式
为了使本领域普通人员更好地理解本公开的技术方案，下面将结合附图，对本公开实施例中的技术方案进行清楚、完整地描述。
需要说明的是，本公开的说明书和权利要求书及所述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本公开的实施例能够以除了在这里图示或描述的那些以外的顺序实施。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。
图1是根据一示例性实施例示出的一种访问控制方法的流程图，如图1所示，该访问控制方法包括：
在步骤S11中，接收服务端发送的第一访问日志及客户端发送的第二访问日志；第一访问日志在服务端接收到访问请求时生成，包括访问请求的发送端的标识信息；第二访问日志在客户端发送对服务端的访问请求时生成，包括客户端的标识信息。
通常，访问SSR页面需要由客户端向服务端发送页面访问请求，然后服务端将所请求的SSR页面发送到客户端。但是，这种页面访问方式的稳定性较差，很容易受到恶意脚本刷量的攻击。
恶意脚本是指从网络上或其他技术来源获取的以制造危害或者损害系统功能为目的的计算机代码或者指令集，恶意脚本可以是单独的一个文件，也可以内置在应用程序、服务端脚本、客户端脚本及模块中。
恶意脚本可以大量伪造客户端向服务端发送的访问请求，服务端在接收到恶意脚本伪造的访问请求后，将这些访问请求识别为客户端发送的，对大量访问请求进行响应及处理，导致服务端的QPS激增，使得SSR页面的访问出现异常。
因此，需要对恶意脚本刷量攻击进行有效的识别和拦截，以提高SSR页面访问的稳定性。
在本申请中，服务端为提供页面服务的一端，服务端所提供的目标页面，可以是由服务端生成的，也可以是其他设备生成，仅由服务端进行维护的，具体不做限定。
客户端为申请页面服务的一端，用户可以通过与客户端的交互，申请访问互联网中的目标页面，进而，客户端向目标页面对应的服务端发送访问请求，以获取目标页面的相关数据。客户端可以是手机、平板电脑、台式电脑、便携式笔记本电脑等多种形式的终端设备，本申请实施例对此不加以限定。
在本申请中，可以在访问页面时，分别由服务端和客户端各投递一次日志，记录访问者的标识信息，其中，服务端投递的日志为第一访问日志，客户端投递的日志为第二访问日志。
其中，标识信息可以为用户代理(User Agent，UA)标识，其中包含了客户端的设备信息，可以看做是一份身份证明。
具体来说，客户端在发送对服务端的访问请求时，可以生成第二访问日志，第二访问日志中包括访问请求的发送端的标识信息，也就是该客户端的标识信息；另外，服务端在接收到访问请求时，可以生成第一访问日志，第一访问日志中同样包括访问请求的发送端的标识信息，但需要注意的是，服务端接收到的访问请求的发送端并不一定是某个客户端，还可能是某个脚本或虚拟终端。
本申请可以应用于访问控制服务器，部署在服务器本地、网络中的其他服务器或终端中，用于接收服务端发送的第一访问日志及客户端发送的第二访问日志并进行后续的访问控制步骤。
上述访问控制服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、内容分发网络(ContentDeliveryNetwork，CDN)、以及大数据和人工智能平台等基础云计算服务的云服务器。
其中，云技术(Cloud technology)是指在广域网或局域网内将硬件、软件、网络等系列资源统一起来，实现数据的计算、储存、处理和共享的一种托管技术。云技术基于云计算商业模式应用的网络技术、信息技术、整合技术、管理平台技术、应用技术等的总称，可以组成资源池，按需所用，灵活便利。云计算技术将变成重要支撑。技术网络系统的后台服务需要大量的计算、存储资源，如视频网站、图片类网站和更多的门户网站。伴随着互联网行业的高度发展和应用，将来每个物品都有可能存在自己的识别标志，都需要传输到后台系统进行逻辑处理，不同程度级别的数据将会分开处理，各类行业数据皆需要强大的系统后盾支撑，只能通过云计算来实现。
在一些实施例中，上述访问控制服务器还可以实现为区块链系统中的节点。区块链(Blockchain)是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层。
在步骤S12中，按照预设周期，对比第一访问日志及第二访问日志。
在本步骤中，可以按照预设周期，周期性地对比第一访问日志及第二访问日志，从而实现对异常访问请求的识别。其中，预设周期可以根据当前场景的需求进行设置，比如可以为1小时，也可以是5分钟，等等。
可以理解，在正常情况下，客户端生成访问请求后，将访问请求发送至服务端，服务端接收访问请求，并将访问请求对应的请求结果返回至客户端，因此，在预设周期内，考虑到网络延迟以及请求结果传输异常等情况，第一访问日志中记录的服务端接收到访问请求的次数和第二访问日志中记录的客户端发送访问请求的次数相差不多。
反之，如果第一访问日志中记录的某个服务端接收到访问请求的次数和第二访问日志中记录的客户端向该服务端发送的访问请求的次数相差较多，表示该服务端接收到的被标识为该客户端发送的访问请求中，大部分并非是由该客户端发送的，那么，可以认为客户端对该服务端的访问出现了异常，很可能是恶意脚本通过伪造该客户端，向服务端发送了大量包括该客户端的标识信息的访问请求。
在本申请中，第一访问日志及第二访问日志中还包括接收端标识，并且可能包括多个不同的服务端，分别为不同的目标页面提供服务，那么，按照预设周期，对比第一访问日志及第二访问日志，包括：
按照预设周期，基于接收端标识，对比第一访问日志及第二访问日志。
由前述可知，第一访问日志由服务端在接收到访问请求时生成，第二访问日志由客户端在发送对服务端的访问请求时生成，也就是说，第一访问日志及第二访问日志分别对应于服务端接收到以及客户端发送出的访问请求。
那么，在存在多个服务端的情况下，仅需对比预设周期内，获取到的所有第一访问日志及目标第二访问日志中，接收端标识相同的访问请求，其中，接收端标识相同可以是指接收该访问请求的服务端相同，也可以是指该访问请求所请求的目标页面相同，这样，可以分别实现针对每个服务端或每个目标页面的异常访问请求的识别。
一种实现方式中，在接收服务端发送的第一访问日志及客户端发送的第二访问日志之后，可以将第一访问日志及第二访问日志存储至预设数据库；那么，按照预设周期，对比第一访问日志及第二访问日志，包括：
调用结构化查询语言(Structured Query Language，SQL)，按照预设周期，在预设数据库中对比第一访问日志及第二访问日志中的标识信息。
其中，第一访问日志及第二访问日志可以分别存储在不同的预设数据库中，或者，也可以存储在同一预设数据库中，具体不做限定。这样，通过预设数据库对接收到的第一访问日志及第二访问日志进行管理，并利用具有交互性特点的SQL语句进行查询，可以有效提高第一访问日志及第二访问日志的对比效率。
在步骤S13中，在任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值的情况下，将任一标识信息作为目标信息。
由前述可知，第一访问日志中包括所对应的访问请求的发送端的标识信息；第二访问日志中包括客户端的标识信息，在正常情况下，预设周期内服务端接收到访问请求的次数和客户端发送访问请求的次数相差不多，因此任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数应该相近。
在本步骤中，首先需要计算某个标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值，举例而言，可以计算任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之差，作为差异值；或者，也可以计算任一标识信息在第二访问日志中的出现次数与在第一访问日志中的出现次数的比值，作为差异值。或者，差异值也可以采用其他方式计算得到，只要可以体现出任一标识信息在第二访问日志中的出现次数与在第一访问日志中的出现次数之间的差异即可，具体不做限定。
如果某个标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表明该标识信息在第一访问日志中的出现次数明显大于在第二访问日志中的出现次数，也就是说，服务端接收到的访问请求的数量远高于客户端发送的访问请求的数量，即服务器接收到的大部分访问请求并非来自于客户端，是非正常的访问请求，这种情况下，可以服务端遭受到了恶意攻击，比如，可能是恶意脚本对服务端的刷量攻击，也就是说，通过运行脚本，伪装为真实的客户端，向服务端发送大量访问请求，那么，将任一标识信息作为目标信息，从而实现对异常访问请求的识别。
一种实现方式中，在任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值的情况下，将任一标识信息作为目标信息，包括：
在任一标识信息在第一访问日志中的出现次数大于第一预设值，且在第二访问日志中的出现次数小于第二预设值的情况下，则将任一标识信息作为目标信息。
举例而言，第一预设值可以为预先设定的预设值，而第二预设值可以为0，也就是说，如果某个标识信息在第一访问日志中的出现次数大于预设值，而该标识信息在第二访问日志中的出现次数为0，也就是说，该标识信息对应的客户端并未向服务端发送访问请求，但服务端却接收到了大量的被标识为客户端发送的访问请求，这种情况下，可以将这些访问请求都看作异常访问请求，因此，将任一标识信息作为目标信息，用于后续对异常访问请求的拦截。
这样，可以针对性地识别出恶意脚本对服务端的刷量攻击，对于网络卡顿等情况导致的客户端重复访问服务端的情况，则不将此类访问请求识别为异常访问请求，从而可以提高服务端网页服务的稳定性。
在步骤S14中，将目标信息写入防火墙的拦截配置信息中，以使防火墙根据目标信息拦截异常访问请求。
在本申请中，客户端向服务器发送的访问请求需要经过防火墙的检测，防火墙可以识别出异常访问请求，并对其进行拦截，这样，服务端不会接收到异常访问请求，从而实现对服务端的保护。
在识别出异常访问请求对应的标识信息，并将识别出的标识信息确定为目标信息后，可以通过对防火墙的配置，控制防火墙实现对异常访问请求的拦截，其中，异常访问请求是指向服务端发送的、所对应的发送端的标识信息与目标信息相匹配的访问请求。
其中，可以在发送端的标识信息与目标信息的相似度高于预设阈值的情况下，判定发送端的标识信息与目标信息相匹配，这样，在同一脚本能够伪装出的多个相似发送端的情况下，仍然对异常访问请求进行有效的识别和拦截，及时阻止恶意脚本刷量攻击。举例而言，一些情况下，只有在发送端的标识信息与目标信息相同时，才会判定发送端的标识信息与目标信息相匹配，从而避免对正常访问请求的错误拦截。
一种实现方式中，将目标信息写入防火墙的拦截配置信息中，以使防火墙根据目标信息拦截异常访问请求，包括：
调用防火墙拦截配置接口，将目标信息更新至防火墙的拦截配置列表；启动防火墙，使得防火墙根据拦截配置列表识别向服务端发送的异常访问请求，并对异常访问请求进行拦截；异常访问请求对应的发送端的标识信息与目标信息相同。
防火墙根据自身配置的拦截配置列表识别并拦截异常访问请求，那么，在确定目标信息后，可以调用防火墙拦截配置接口(Application Programming Interface，API)，将目标信息更新至防火墙的拦截配置列表，这样，启动防火墙后，防火墙可以根据拦截配置列表，识别出发送端的标识信息与目标信息相同的访问请求，作为异常访问请求，并对异常访问请求进行拦截。
这样，防火墙的拦截配置列表也是基于预设周期不断更新的，可以保证需要进行拦截的标识信息是动态的，而不是长期驻留在防火墙的拦截配置列表中，可以自动实现对目标信息的实时封禁。
其中，对拦截配置列表的更新可以是部分覆盖，即将目标信息添加至拦截配置列表后，并保留上一预设周期所配置的旧的拦截配置信息；或者，也可以是完全覆盖，即将目标信息添加至拦截配置列表后，删除上一预设周期所配置的旧的拦截配置信息，这样，还可以同时实现对目标信息的实时解封，进一步提高服务端网页服务的稳定性。
如图2所示，为本申请实施例提供的访问控制方法的逻辑示意图。首先，客户端获取所请求的目标页面的页面地址，并通过内容分发网络(Content Delivery Network，CDN)确定目标页面所在的服务端；然后，客户端发送对服务端的访问请求，同时，生成并投递第二访问日志，第二访问日志中包括客户端的标识信息；服务端在接收到访问请求时生成并投递第一访问日志，第一访问日志中包括访问请求的发送端的标识信息；进而，分析对比第一访问日志及第二访问日志，找出预设周期内，在第一访问日志中的出现次数大于预设值，且在第二访问日志中的出现次数为0的标识信息；然后，将寻找到的标识信息写入防火墙的拦截配置列表；调用防火墙，对发送端的标识信息与目标信息相同的异常访问请求进行拦截。
由以上可见，本公开的实施例提供的技术方案，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
图3是根据一示例性实施例示出的一种访问控制装置框图，包括：
接收模块201，用于接收服务端发送的第一访问日志及客户端发送的第二访问日志；所述第一访问日志在所述服务端接收到访问请求时生成，包括所述访问请求的发送端的标识信息；所述第二访问日志在所述客户端发送对所述服务端的访问请求时生成，包括所述客户端的标识信息；
对比模块202，用于按照预设周期，对比所述第一访问日志及所述第二访问日志；
确定模块203，用于在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；
控制模块204，用于将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
可选地，所述接收模块201，具体用于将所述第一访问日志及所述第二访问日志存储至预设数据库；
所述对比模块202，具体用于调用结构化查询语言，按照预设周期，在所述预设数据库中对比所述第一访问日志及所述第二访问日志中的标识信息。
可选地，所述确定模块203，具体用于：
在任一标识信息在所述第一访问日志中的出现次数大于第一预设值，且在所述第二访问日志中的出现次数小于第二预设值的情况下，则将所述任一标识信息作为目标信息。
可选地，所述确定模块203，还用于：
计算任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之差，作为差异值；或，
计算任一标识信息在所述第二访问日志中的出现次数与在所述第一访问日志中的出现次数的比值，作为差异值。
可选地，所述控制模块204，具体用于：
调用防火墙拦截配置接口，将所述目标信息更新至防火墙的拦截配置列表；
启动所述防火墙，根据所述拦截配置列表识别向所述服务端发送的异常访问请求，并对所述异常访问请求进行拦截；所述异常访问请求对应的发送端的标识信息与所述目标信息相同。
可选地，所述第一访问日志及所述第二访问日志中还包括接收端标识，服务端包括多个；所述对比模块202，具体用于：
按照预设周期，基于所述接收端标识，对比所述第一访问日志及所述第二访问日志。
由以上可见，本公开的实施例提供的技术方案，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
图4是根据一示例性实施例示出的一种访问控制系统的结构框图，包括：
服务端设备，用于在接收到访问请求时，向访问控制设备投递第一访问日志，所述第一访问日志中包括所述访问请求的发送端的标识信息；
客户端设备，用于在发送对所述服务端设备的访问请求时，向访问控制设备投递第二访问日志，所述第二访问日志中包括所述客户端设备的标识信息；
访问控制设备，用于接收第一访问日志及第二访问日志；按照预设周期，对比所述第一访问日志及所述第二访问日志；在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
由以上可见，本公开的实施例提供的技术方案，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
图5是根据一示例性实施例示出的一种用于访问控制的电子设备的框图。
在示例性实施例中，还提供了一种包括指令的计算机可读存储介质，例如包括指令的存储器，所述指令可由电子设备的处理器执行以完成所述方法。可选地，计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
在示例性实施例中，还提供一种计算机程序产品，当其在计算机上运行时，使得计算机实现所述访问控制的方法。
由以上可见，本公开的实施例提供的技术方案，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
图6是根据一示例性实施例示出的一种用于访问控制的装置800的框图。
例如，装置800可以是移动电话，计算机，数字广播电子设备，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。
参照图6，装置800可以包括以下一个或多个组件：处理组件802，存储器804，电力组件806，多媒体组件808，音频组件810，输入/输出(I/O)的接口812，传感器组件814，以及通信组件816。
处理组件802通常控制装置800的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件802可以包括一个或多个处理器820来执行指令，以完成所述的方法的全部或部分步骤。此外，处理组件802可以包括一个或多个模块，便于处理组件802和其他组件之间的交互。例如，处理组件802可以包括多媒体模块，以方便多媒体组件808和处理组件802之间的交互。
存储器804被配置为存储各种类型的数据以支持在设备800的操作。这些数据的示例包括用于在装置800上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器804可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
电源组件807为装置800的各种组件提供电力。电源组件807可以包括电源管理系统，一个或多个电源，及其他与为装置800生成、管理和分配电力相关联的组件。
多媒体组件808包括在所述装置800和账户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自账户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件808包括一个前置摄像头和/或后置摄像头。当设备800处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。
音频组件810被配置为输出和/或输入音频信号。例如，音频组件810包括一个麦克风(MIC)，当装置800处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器804或经由通信组件816发送。在一些实施例中，音频组件810还包括一个扬声器，用于输出音频信号。
I/O接口812为处理组件802和外围接口模块之间提供接口，所述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。
传感器组件814包括一个或多个传感器，用于为装置800提供各个方面的状态评估。例如，传感器组件814可以检测到设备800的打开/关闭状态，组件的相对定位，例如所述组件为装置800的显示器和小键盘，传感器组件814还可以检测装置800或装置800一个组件的位置改变，账户与装置800接触的存在或不存在，装置800方位或加速/减速和装置800的温度变化。传感器组件814可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件814还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件814还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。
通信组件816被配置为便于装置800和其他设备之间有线或无线方式的通信。装置800可以接入基于通信标准的无线网络，如WiFi，运营商网络(如2G、3G、4G或5G)，或它们的组合。在一个示例性实施例中，通信组件816经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件816还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。
在示例性实施例中，装置800可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行第一方面和第二方面所述的方法。
在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器804，所述指令可由装置800的处理器820执行以完成所述方法。可选地，例如，存储介质可以是非临时性计算机可读存储介质，例如，所述非临时性非临时性计算机可读存储介质计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
在示例性实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行所述实施例中任一所述的访问控制方法。
由以上可见，本公开的实施例提供的技术方案，在页面访问过程中，服务端和客户端分别投递一次访问日志，记录访问者的标识信息，在正常情况下，服务端接收访问请求的次数和客户端发送访问请求的次数相差不多，那么，如果发现任一标识信息在第一访问日志中的出现次数与在第二访问日志中的出现次数之间的差异值大于预设值，表示客户端向服务器发送访问请求的数量远少于服务端接收到的访问请求的数量，也就是说，服务器接收到的大部分访问请求并非来自于客户端，即并非是正常的访问请求，那么，可以认为服务端受到了恶意脚本刷量攻击，因此，可以根据识别出的异常标识信息进行实时动态封禁，从而及时阻止恶意脚本刷量攻击，提高服务端的稳定性，避免服务端网页访问出现异常。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (10)

1.一种访问控制方法，其特征在于，包括：
接收服务端发送的第一访问日志及客户端发送的第二访问日志；所述第一访问日志在所述服务端接收到访问请求时生成，包括所述访问请求的发送端的标识信息；所述第二访问日志在所述客户端发送对所述服务端的访问请求时生成，包括所述客户端的标识信息；
按照预设周期，对比所述第一访问日志及所述第二访问日志；
在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；
将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
2.根据权利要求1所述的访问控制方法，其特征在于，所述接收服务端发送的第一访问日志及客户端发送的第二访问日志之后，包括：
将所述第一访问日志及所述第二访问日志存储至预设数据库；
所述按照预设周期，对比所述第一访问日志及所述第二访问日志，包括：
调用结构化查询语言，按照预设周期，在所述预设数据库中对比所述第一访问日志及所述第二访问日志中的标识信息。
3.根据权利要求1所述的访问控制方法，其特征在于，所述在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息，包括：
在任一标识信息在所述第一访问日志中的出现次数大于第一预设值，且在所述第二访问日志中的出现次数小于第二预设值的情况下，则将所述任一标识信息作为目标信息。
4.根据权利要求1所述的访问控制方法，其特征在于，所述在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息之前，还包括：
计算任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之差，作为差异值；或，
计算任一标识信息在所述第二访问日志中的出现次数与在所述第一访问日志中的出现次数的比值，作为差异值。
5.根据权利要求1所述的访问控制方法，其特征在于，所述将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求，包括：
调用防火墙拦截配置接口，将所述目标信息更新至防火墙的拦截配置列表；
启动所述防火墙，根据所述拦截配置列表识别向所述服务端发送的异常访问请求，并对所述异常访问请求进行拦截；所述异常访问请求对应的发送端的标识信息与所述目标信息相同。
6.根据权利要求1～5任一所述的访问控制方法，其特征在于，所述第一访问日志及所述第二访问日志中还包括接收端标识，所述服务端包括多个；所述按照预设周期，对比所述第一访问日志及所述第二访问日志，包括：
按照预设周期，基于所述接收端标识，对比所述第一访问日志及所述第二访问日志。
7.一种访问控制装置，其特征在于，包括：
接收模块，用于接收服务端发送的第一访问日志及客户端发送的第二访问日志；所述第一访问日志在所述服务端接收到访问请求时生成，包括所述访问请求的发送端的标识信息；所述第二访问日志在所述客户端发送对所述服务端的访问请求时生成，包括所述客户端的标识信息；
对比模块，用于按照预设周期，对比所述第一访问日志及所述第二访问日志；
确定模块，用于在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；
控制模块，用于将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
8.一种访问控制系统，其特征在于，包括：
服务端设备，用于在接收到访问请求时，向访问控制设备投递第一访问日志，所述第一访问日志中包括所述访问请求的发送端的标识信息；
客户端设备，用于在发送对所述服务端设备的访问请求时，向所述访问控制设备投递第二访问日志，所述第二访问日志中包括所述客户端设备的标识信息；
所述访问控制设备，用于接收所述第一访问日志及所述第二访问日志；按照预设周期，对比所述第一访问日志及所述第二访问日志；在任一标识信息在所述第一访问日志中的出现次数与在所述第二访问日志中的出现次数之间的差异值大于预设值的情况下，将所述任一标识信息作为目标信息；将所述目标信息写入防火墙的拦截配置信息中，以使所述防火墙根据所述目标信息拦截异常访问请求。
9.一种电子设备，其特征在于，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
其中，所述处理器被配置为执行所述指令，以实现如权利要求1至6中任一项所述的访问控制方法。
10.一种计算机可读存储介质，其特征在于，当所述计算机可读存储介质中的指令由访问控制电子设备的处理器执行时，使得访问控制电子设备能够执行如权利要求1至6中任一项所述的访问控制方法。
CN202311404322.8A 2023-10-26 2023-10-26 一种访问控制方法、装置、系统、电子设备及存储介质 Pending CN117560173A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311404322.8A CN117560173A (zh) 2023-10-26 2023-10-26 一种访问控制方法、装置、系统、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311404322.8A CN117560173A (zh) 2023-10-26 2023-10-26 一种访问控制方法、装置、系统、电子设备及存储介质

Publications (1)

Publication Number Publication Date
CN117560173A true CN117560173A (zh) 2024-02-13

Family

ID=89821187

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311404322.8A Pending CN117560173A (zh) 2023-10-26 2023-10-26 一种访问控制方法、装置、系统、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN117560173A (zh)

Similar Documents

Publication Publication Date Title
CN106603667B (zh) 屏幕信息共享方法及装置
CN105912693B (zh) 网络请求处理方法、网络数据获取方法、装置及服务器
CN106878445B (zh) 资源文件更新方法及装置
CN103914520B (zh) 数据查询方法、终端设备和服务器
US9973513B2 (en) Method and apparatus for communication number update
CN111782391A (zh) 资源分配方法、装置、电子设备和存储介质
CN111611075B (zh) 虚拟资源请求处理方法、装置、电子设备及存储介质
CN109388625B (zh) 多分布式文件系统中处理配置文件的方法及装置
CN107959757B (zh) 用户信息处理方法、装置、app服务器和终端设备
CN110740091B (zh) 分享消息的处理方法、装置、电子设备及可读存储介质
CN111368232A (zh) 口令分享回流方法、装置、电子设备及存储介质
CN109525652B (zh) 信息分享方法、装置、设备和存储介质
CN112818371A (zh) 资源访问控制方法、系统、装置、设备及介质
CN116578297A (zh) H5页面的运行方法、装置、电子设备及存储介质
CN116192371A (zh) 令牌发送、访问请求处理方法、装置、设备、介质及产品
CN111314419B (zh) 网络请求方法及装置
CN112364390A (zh) 一种数据处理方法、装置和用于数据处理的装置
CN114430410B (zh) 基于虚拟域名的系统访问方法、装置及设备
CN117560173A (zh) 一种访问控制方法、装置、系统、电子设备及存储介质
US11363020B2 (en) Method, device and storage medium for forwarding messages
CN109766501B (zh) 爬虫协议管理方法及装置、爬虫系统
CN114265642A (zh) 信息处理方法、装置、电子设备及计算机可读存储介质
CN113206832A (zh) 一种数据处理方法、装置和用于数据处理的装置
CN112102009A (zh) 广告展示方法、装置、设备及存储介质
CN110995767B (zh) 一种请求处理方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination