CN118018596A - 用于api选择微服务的方法、部件、存储介质和程序产品 - Google Patents

Abstract

本申请提供用于API选择微服务的方法、部件、计算机可读存储介质、计算机程序产品。根据本申请的用于API选择微服务的方法包括：在API要从多个微服务中选择待用微服务时，基于第一矩阵计算多个微服务中各微服务的第一参考值，基于第二矩阵计算所述多个微服务中各微服务的第二参考值；由各微服务的第一参考值和各微服务的第二参考值确定各微服务的安全系数；所述API根据所确定的安全系数，从所述多个微服务中选择其中最安全的微服务；其中，所述第一参考值与攻击点对所述微服务的安全性影响程度有关，所述第二参考值与所述微服务的漏洞对其安全性影响程度有关。根据本申请的方法可使得API从多个微服务中调用安全性高的微服务。

Description

用于API选择微服务的方法、部件、存储介质和程序产品

技术领域

本申请涉及网络安全技术，更为具体地，涉及应用程序接口（ApplicationProgramming Interface，API）选择微服务的技术。

背景技术

对于一种场景，一个应用程序接口API通常对应多个微服务。API在选择微服务时可能会从微服务成本等因素考虑而较少考虑网络中微服务的安全性。

发明内容

根据本申请的一个方面，提供用于API选择微服务的方法以使API可基于安全性调用微服务。根据本申请示例的用于API选择微服务的方法包括在API要从多个微服务中选择待调用微服务时，基于第一矩阵计算所述多个微服务中各微服务的第一参考值，基于第二矩阵计算所述多个微服务中各微服务的第二参考值；由各微服务的第一参考值和各微服务的第二参考值确定各微服务的安全系数；所述API根据所确定的安全系数，从所述多个微服务中选择其中最安全的微服务；其中，所述第一参考值与攻击点对所述多个微服务的安全性影响程度有关，所述第二参考值与所述多个微服务的漏洞对其安全性影响程度有关。

可选地，该方法中，所述第一矩阵与针对所述微服务的攻击有关，所述第二矩阵与所述微服务的漏洞有关。

可选地，该方法中，所述第一矩阵被设置为i× j矩阵，i表示行而j表示列，其中1≤j≤n，n为所述微服务的数量；1≤i≤m，m为针对所述微服务的攻击点的数量；所述第二矩阵被设置为i× j矩阵，i表示行而j表示列，其中1≤j≤n，n为所述微服务的数量；1≤ i ≤p，p为针对所述微服务的漏洞的数量。

可选地，该方法中，所述基于第一矩阵计算所述多个微服务中各微服务的第一参考值包括按照如下公式计算所述第一参考值：

其中，A_j为第一参考值，V_ij表示所述第一矩阵中第i行第j列的值。

可选地，该方法中，所述基于第二矩阵计算各微服务的第二参考值包括按照如下公式计算所述第二参考值：

其中，P_j为第二参考值，V_ij表示所述第二矩阵中第i行第j列的值。

可选地，该方法中，所述由各微服务的第一参考值和各微服务的第二参考值确定各微服务的安全系数包括根据如下公式计算所述安全系数：

其中，service_j为安全系数，ω₁为第一权重系数，ω₂为第二权重系数，ω₁和ω₂的取值均在0和1之间且ω₁和ω₂的和为1。

根据本申请的另一方面，还提供部件，其配置为执行API，所述部件包括处理器和存储器，所述存储器存储指令，所述处理器配置为在执行所述指令时使得所述API可按照如上方法中的任意一种从多个微服务中选择并调用待调用微服务。

还提供计算机可读存储介质，其上存储指令，该些指令被执行时实现以上所述方法中的任意一种。

根据本申请的各示例，可使得API从多个微服务中调用安全性高的微服务。

附图说明

结合附图参阅以下具体实施方式的详细说明，将更加充分地理解本申请，附图中同样的附图标记指代同样的元件，其中：

图1是根据本申请示例的用于API选择微服务的方法的流程图；

图2是第一矩阵的一个例子的示意；

图3是第二矩阵的一个例子的示意；

图4是根据本申请一些具体示例的API选择微服务的过程；

图5是根据本申请的可执行API的部件的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下文将结合附图，对本申请实施方式进行清楚、完整的描述。需要说明的是，所描述的实施方式只是本申请技术方案的一部分实施实施方式，而非全部。本领域普通技术人员基于本申请文件所记载的实施方式，在无需付出创造性劳动的前提下所获得的所有其他实施方式，都由本申请的保护范围所涵盖。

本申请的实施例涉及APP调用微服务的解决方案，能从多个微服务中调用安全性相对高的微服务，提高网络安全。

在本文中，微服务指的是由单一应用程序构成的小服务。通常而言，微服务拥有自己的进程与轻量化处理，服务依业务功能设计。

图1是根据本申请示例的用于API选择微服务的方法的流程图。如图1所示，在步骤S100，在API要从多个微服务中选择待调用微服务时，基于第一矩阵计算该多个微服务中各微服务的第一参考值，基于第二矩阵计算该多个微服务中各微服务的第二参考值。第一参考值与攻击点对微服务的安全性影响程度有关，第二参考值与微服务的漏洞对其安全性影响程度有关。在步骤S102，由各微服务的第一参考值和各微服务的第二参考值确定各微服务的安全系数。根据步骤S100，计算出每一个微服务的第一参考值和第二参考在值，在步骤S102则根据每一个微服务的第一参考值和第二参考值计算出该微服务的安全系数，由此便可确定该多个微服务中每一个微服务的安全系数。在步骤S104，根据所确定的安全系数，该API从该多个微服务中选择其中最安全的微服务。

作为示例，第一矩阵和第二矩阵分别针对该多个微服务的攻击点和漏洞设置。在本申请的例子中，第一矩阵针对攻击点设置而第一参考值与攻击点对微服务的安全影响程度有关，第二矩阵针对微服务漏洞设置而第二参考值与漏洞对微服务的安全影响程度有关。但这只是示例而非限制，比如作为替代，第一矩阵可针对多个微服务的漏洞设置而第二矩阵可针对攻击点设置。

在本申请的例子中，第一矩阵被设置为i× j矩阵，其中，i表示行而j表示列，1≤j≤n，n为所述微服务的数量，1≤i≤m，m为针对所述微服务的攻击点的数量。应理解到，n和m都是整数。

图2是第一矩阵的一个例子的示意。如图2所示，该示例中，共包括11个微服务，也就是说，API要从11个待用微服务中选择要调用的微服务。该11个微服务从微服务1由左到右依次排列到微服务11。同时，第一矩阵的13个列对应13个攻击点，攻击点依次为：SQL诸如、跨站点脚本攻击、操作系统命令注入、换行字符注入、LDAP注入、Xpath注入、SSI注入、目录遍历、强制浏览、跨站点请求伪装、不正确的文件和目录分配、不正确的错误处理、不必要信息。由虚线框所示出的区域为第一矩阵20的区域。第一矩阵20中的每一个值表示其所在列的微服务遭受该值所在行攻击点攻击的程度，例如i和j都为1时的点V₁₁的值为9，表示微服务1受到SQL注入攻击的程度为9。本申请示例中，将V_ij称作第i行第j列对应的权重值，表示的就是第j列微服务受到第i行攻击点攻击的程度，值越大，其被攻击程度越大。对于第一矩阵20中的第j列微服务受到所有攻击点的攻击的影响的值，本申请中称为第一参考值，第一参考值由公式（1）计算：

其中，A_j为第一参考值，表示第j行微服务受到所有攻击点攻击的程度，值越大，被攻击的程度越高；V_ij表示第一矩阵中第i行第j列值，即，第i行攻击点对第j列微服务的攻击程度。第一矩阵中的值是根据微服务和攻击点的攻击数据而预先确定的。

需要说明的是，在图2中，第一矩阵20左侧的列21中所示的数值表示其对应的攻击点对微服务攻击威胁的程度高低，数值从高到底，威胁程度依次降低，其中，数值为5，威胁程度最高。

在本申请的例子中，第二矩阵被设置为i× j矩阵，i表示行而j表示列，其中1≤j≤n，n为微服务的数量；1≤ i ≤p，p为所述微服务的漏洞的数量, p为整数。

图3是第二矩阵的一个例子，该例子中的微服务与图2中的微服务一致，因此，共包括11个微服务，由左到右依次由微服务1排列到微服务11。本例共包括13个漏洞，依次为：可信任站点的漏洞、浏览器和浏览器插件的漏洞、终端用户、可移动的存储设备、网络钓鱼、XML外部实体、键盘记录程序、多重攻击、对web的依赖、机密性缺口、跳板、网关接口漏洞、受损的访问控制。由虚线框框示出的区域为第二矩阵30的区域。第二矩阵中的每一个值表示该值所在行对应的漏洞对该值所在列对应的微服务的安全的影响，本例中，值越大该漏洞使该微服务的安全性越差，例如i和j都为1时的点V₁₁的值为9，表示可信任站点的漏洞对微服务1安全性影响程度为9，也就是说该漏洞对微服务1的安全影响很大，使其安全性很差。对于第二矩阵中第i行的漏洞对第j列微服务的安全性影响程度，本申请中称为第二参考值，其可通过公式（2）计算：

其中，P_j为第二参考值，也就是漏洞对第j列微服务的安全性影响程度，V_ij标识第i行第j列值，即，第i行漏洞对第j列服务的安全影响程度。

第二矩阵30的区域左侧的列31中所示的数值表示其对应的漏洞对微服务所造成的安全性的威胁程度，数值从高到底，威胁程度依次降低，其中，数值为5，威胁程度最高数值为5，然后数值从4到1表示威胁程度依次降低。第二矩阵30的区域上侧的列32中所示的数值表示其对应的微服务因为漏洞而受到安全威胁的程度，值越大，该服务越容易因漏洞而出现安全问题。例如，微服务1的该值为13、而微服务10的该值为4，表示微服务1更容易因为漏洞而受到攻击导致安全性非常低，但服务10则好很多。

在确定了第一矩阵的第一参考值和第二矩阵的第二参考值之后，便可根据公式（3）计算各微服务的安全系数：

其中，Servicej表示第j个微服务的安全系数；ω1为第一权重系数，表示影响攻击点严重程度大小，用来衡量攻击点的概率大小；ω2为第二权重系数，表示影响漏洞严重程度大小，用来衡量漏洞的概率大小；ω1和ω2的和为1，ω1和ω2都是动态自适应变化的值，各自取值满足如下条件：

即，ω1和ω2的取值区间都是在0和1之间。

同时参考图2和图3。在根据公式（3）计算安全系数时，考虑到在图2和图3所示的场景下，攻击点和漏洞的概率基本一致，因此ω1和ω2的取值均为0.5。由此，可基于公式（1）和公式（2）所计算的第一参数值和第二参数值，计算安全系数。本例中，安全系数的值越低，该微服务的安全性越高。攻击点的概率指的是攻击点中被利用以攻击微程序的攻击点数量占攻击点总数的比例，漏洞的概率指的是被利用来影响微程序安全的漏洞数量占漏洞总数量的比例。举例来说，图2所示例子中攻击点的总个数为13，被攻击的可能为6或者7个，攻击点的概率则为6/13或者7/13,四舍五入取值0.5；图3中漏洞的总个数为13个，被利用来影响微程序安全的可能为6或者7个，攻击点的概率则为6/13或者7/13,四舍五入取值0.5；因此，该例子中，攻击点和漏洞的概率基本一致。但如果在其它示例中，攻击点的概率为其它值，例如约为0.8，而漏洞的概率例如约为0.2，则ω1和ω2的取值将分别为0.8和0.2。

由此，API可根据公式（3）所计算的微服务中的安全系数来选择调用其中安全性最高的微服务。

需要说明的是，上文列举的示例中，微服务的数量、攻击点的数量和类型/名称、漏洞的数量和类型/名称都是示意，并不以在此列举的为限制。实际应用中，攻击点的数量和类型都可区别于在此所列举的，漏洞的数量和类型/名称也可区别于在此所列举的。进一步，ω1和ω2的取值在此也是列举而非限制，具体取值可根据攻击点和漏洞的概率而灵活调整。

根据本申请示例的用于API选择微服务的方法中的任意一种可由诸如电脑、平板、智能手机等电子设备执行。举例来说，智能手机的API需要调用用于进行身份校验的微服务时，对于来自不同供应商的身份校验微服务，可通过执行在此所述的方法来根据安全系数评估各微服务的安全性，从而调用其中安全性最高的微服务，而无需像现有技术那样，从成本等方面考虑调用哪些微服务而忽视所需微服务的安全性。更为具体地讲，现有技术中，一个API从多个微服务中调用微服务时，既没有考虑攻击点对不同微服务的影响也没有考虑漏洞因素对微服务的影响，在调用过程中缺乏安全性评估模型。本申请的各示例中，引入了与攻击点有关的矩阵和与漏洞有关的矩阵，由此，提出了基于两个矩阵的决策函数（例如公式（3））来对微服务的安全性进行评估，从而给出决策值以便API调用其中最为安全的微服务。

图4是根据本申请一些具体示例的API选择微服务的过程。如图4所示，在步骤S400，开始。在步骤S402，初始化安全影响值。安全影响值在此指的是初始化攻击点和漏洞对微服务的影响值。对不同微服务的攻击点、同一攻击点对不同微服务的影响、不同的漏洞、不同漏洞对不同微服务的影响等，都是可预先根据大数据获取并确定的。示例地，该些数据已预先获取、确定，并存储在存储器中以便执行本申请示例的方法时调用从而以完成初始化。举例来说，对于作为微服务之一的身份校验微服务，可根据历史或测试数据确定攻击点，确定攻击点中各攻击点被利用来攻击各微服务的情况等，由此预设用于建立矩阵和第二矩阵的值。

在步骤S404，定义矩阵横向和纵向坐标。定义横向坐标即列出本例涉及的多个微服务，定义纵向坐标则是分别列出攻击点和漏洞。在步骤S406，判断矩阵的纵坐标，如果纵坐标表示的是攻击点，则进到步骤S408，如果纵坐标表示的是漏洞，则进到步骤S410。在步骤S408，构建第一矩阵，即与攻击点有关的矩阵，也称作攻击点矩阵。具体而言，构建矩阵的模型已设置，根据攻击点名称并且由大数据获取它们分别对具体微服务的安全影响值，进而构建第一矩阵。在步骤S410，构建第二矩阵，即与漏洞有关的矩阵，也称作漏洞矩阵。具体而言，构建矩阵的模型已设置，根据漏洞名称并由大数据获取它们分别对具体微服务的安全影响值，进而构建第二矩阵。在步骤S412，基于第一矩阵和第二矩阵的相关信息，例如行、列信息构建决策函数，例如确定公式（3）中的各系数值等。在步骤S414，由公式（3）计算各微服务的安全系数值。在步骤S416，对所计算的安全系数值排序。在步骤S418，API调用排序中安全系数值最小，也就是最安全的微服务。在步骤S420，结束。

根据本申请的示例，还提供一种部件。图5是该部件的结构示意图。如图5所示，该部件被配置为能执行API以使API选择并调用微服务。该部件包括处理器40和存储器42。存储器42存储指令。处理器40执行这些指令时，能够使得所述API按照在此描述的方法示例中的任意一种从所述多个微服务选择待调用微服务。作为示例，该部件可以是电脑、平板、智能手机等电子设备。

根据本申请的示例，还提供计算机可读存储介质，其上存储指令，所述存储指令被执行时实现在此描述的方法示例中的任意一种。

还提供计算机程序产品，该计算机程序产品被处理器执行时实现在此描述的方法示例中的任意一种。

在不矛盾、不冲突的情况下，在此所描述的各示例中的技术特征可相互组合从而形成未在此描述的实施方式，这些实施方式也应由本申请的范围所涵盖。

虽然已详细示出并描述了本申请的具体实施例以说明本申请的原理，但应理解的是，本申请可以其它方式实施而不脱离这样的原理，例如本申请的各实施例/示例/例子的技术特征相互结合而形成新的实施方式。

Claims (9)

1.一种用于API选择微服务的方法，其特征在于，所述方法包括：

在API要从多个微服务中选择待调用微服务时，基于第一矩阵计算所述多个微服务中各微服务的第一参考值，基于第二矩阵计算所述多个微服务中各微服务的第二参考值；

由所述各微服务的所述第一参考值和所述各微服务的所述第二参考值确定所述各微服务的安全系数；

所述API根据所述安全系数，从所述多个微服务中选择其中最安全的微服务；

其中，所述第一参考值与攻击点对所述多个微服务的安全性影响程度有关，所述第二参考值与所述多个微服务的漏洞对其安全性影响程度有关。

2.根据权利要求1所述的方法，其特征在于，所述第一矩阵与针对所述微服务的攻击有关，所述第二矩阵与所述微服务的漏洞有关。

3.根据权利要求2所述的方法，其特征在于，所述第一矩阵被设置为i× j矩阵，i表示行而j表示列，其中1≤j≤n，n为所述微服务的数量；1≤i≤m，m为针对所述微服务的攻击点的数量；所述第二矩阵被设置为i× j矩阵，i表示行而j表示列，其中1≤j≤n，n为所述微服务的数量；1≤i ≤p，p为所述微服务的漏洞的数量。

4.根据权利要求3所述的方法，其特征在于，所述基于第一矩阵计算所述多个微服务中各微服务的第一参考值，包括按照如下公式计算所述第一参考值：

其中，A_j为所述第一参考值，V_ij表示所述第一矩阵中第i行第j列的值。

5.根据权利要求4所述的方法，其特征在于，所述基于第二矩阵计算所述多个微服务中各微服务的第二参考值，包括按照如下公式计算所述第二参考值：

其中，P_j为所述第二参考值，V_ij表示所述第二矩阵中第i行第j列的值。

6.根据权利要求5所述的方法，其特征在于，所述由各微服务的第一参考值和各微服务的第二参考值确定各微服务的安全系数，包括 根据如下公式计算所述安全系数：

其中，service_j为安全系数，ω₁为第一权重系数，ω₂为第二权重系数，ω₁和ω₂的取值均在0和1之间且ω₁与ω₂的和为1。

7.一种用于API选择微服务的部件，其配置为能执行API，其特征在于，所述部件包括处理器和存储器，所述存储器存储指令，所述处理器配置为在执行所述指令时使得所述API按照权利要求1到权利要求6中任意一项所述的方法从多个微服务中选择待调用微服务。

8.一种计算机可读存储介质，其上存储指令，其特征在于，所述指令被执行时实现根据权利要求1到权利要求6中任意一项所述的方法。

9.一种计算机程序产品，包括计算机程序指令，其特征在于，该计算机程序指令被处理器执行时实现根据权利要求 1 到权利要求6中任意一项所述的方法。