TWI387259B - 監控網站應用程式使用情境安全性之系統、方法、監控程式產品及電腦可讀取記錄媒體 - Google Patents

Description

監控網站應用程式使用情境安全性之系統、方法、監控程式產品及電腦可讀取記錄媒體

本發明係關於一種網路安全之系統。確切言之，本發明係關於一種監控網站應用程式使用情境安全性之系統、方法、程式產品及儲存記錄媒體。

隨著網際網路及電子商務技術的成熟發展，許許多多的網站應用程式提供各式各樣方便且強大的功能(如網路購物，網路銀行交易等等)給使用者使用，當牽涉到使用者資料或者交易行為時，這些網站應用程式的安全性也變得格外重要。不論是網站應用程式使用者或是網站應用程式服務的提供者都在意所提供的功能服務是否有足夠的安全性考量，這些常用的網站應用程式如果被駭客植入惡意程式，在使用者在執行的過程中，盜取其隱私資料，將會造成使用者及服務提供者的損失。另外，即使網站應用程式不幸被駭客植入惡意程式，網站應用程式服務的提供者仍然需要在第一時間獲得通知，進而馬上處理，以防客戶受害，並損及自己的商譽。

然而，雖然市面上已存在許多網站安全的監控方案，但是目前安全性檢測服務廠商的作法，系根據網站應用程式使用者或網站應用程式服務提供者(後文中皆統稱為"用戶")提供欲監控的URL或URL列表，進行監控的服務；這樣的方法只做到了個別URL的監控，對於使用者在使用這些網站應用程式的真正使用情境(如網路購物交易，網路銀行 轉帳交易等等)未能做到安全性監控，因為真正的使用情境並非僅是URL列表，還包含了在瀏覽器與網站應用程式使用http通訊協定溝通時的http headers，cookies，sessions，form data等等須用以判斷的資訊，這些都是用戶無法輸入提供的資訊。如此一來，目前市面上的網站應用程式安全監控服務對於在網路上交換的所有資訊無法全部進行監控，而造成了網路安全的一大漏洞。因此，一個能夠針對所有網路上的資訊做監控的網路安全監控方法是必須且重要的。

由於現有方法無法對用戶真正想知道的網站應用程式使用情境安全性做監控，因此本發明之主要目的即是提出一監控網站應用程式使用情境安全性之方法，以網站應用程式使用情境腳本錄製程式解決用戶無法輸入使用情境的問題，以監控代理程式執行用戶使用情境並下載實際網站應用程式產生的網頁及資料，建立虛擬受測網站。解決安全檢測程式無法模擬使用情境中各功能涉及http headers，cookies，sessions，form data等等處理的問題，再將使用情境轉換對應至虛擬受測網站且符合安全檢測程式能接受的輸入格式，以達到監控網站應用程式使用情境之安全性。

本發明之一實施例揭示一種監控網站應用程式使用情境安全性之系統，其包含一監控管理裝置、一監控代理裝置及一安全檢測裝置。該監控管理裝置用以儲存至少一監控 工作要求，該至少一監控工作要求包含一對應一網站應用程式之第一使用情境腳本；該監控代理裝置用以載入該監控工作要求並產生一第二使用情境腳本；以及該安全檢測裝置，用以接收該第二使用情境腳本並對其進行一安全檢測。

本發明另一實施例揭示一種監控網站應用程式使用情境安全性之方法。首先，自一監控管理裝置載入一監控工作要求，該監控工作要求對應至一第一使用情境腳本，該第一使用情境腳本對應於一網站應用程式。接著，依照該第一使用情境腳本於該網站應用程式執行一使用情境，下載執行該使用情境產生的網頁及資料。根據該等網頁及資料建立一虛擬受測網站，並且根據該第一使用情境腳本產生對應於該虛擬受測網站之一第二使用情境腳本。以及，提供該第二使用情境腳本予一安全檢測裝置，使該安全檢測裝置可依照該第二使用情境腳本針對該虛擬受測網站進行一安全檢測。

本發明另一實施例揭示一種電腦可讀取記錄媒體，用以儲存執行前揭根據本發明之方法的電腦程式。此外，由於電腦程式經由網路傳輸應用的特性，本發明之另一實施例係根據前揭之方法，揭示一種監控程式產品。

為讓本發明之上述和其他目的、特徵、和優點能更明顯易懂，下文特舉出較佳實施例，並配合所附圖式，作詳細說明如下。

圖1為本發明一監控網站應用程式使用情境安全性方法之架構之示意圖。監控管理伺服器110包含有記憶體11、CPU13、監控管理程式15、網路介面17以及電腦可讀取紀錄媒體18。監控代理電腦120包含有記憶體21、CPU23、監控代理程式25、網路介面27以及虛擬受測網站29。用戶端電腦130包含有記憶體31、CPU33、錄製程式35、網路介面37以及電腦可讀取紀錄媒體38。安全檢測伺服器150包含有記憶體51、CPU53、安全檢測程式55以及網路介面57。被監控網站伺服器170包含有記憶體71、CPU73、網站應用程式75以及網路介面77。其中，網路介面17、27、37、57、77之間可以http或ftp等的任何通訊協定溝通。

首先，經由網路介面37與網路介面77，用戶端電腦130使用錄製程式35錄製用戶使用被監控網站伺服器170的網站應用程式75過程中的所有資訊得到一使用情境腳本，並將該使用情境腳本儲存於電腦可讀取紀錄媒體38中，其中該使用情境腳本包含執行過程中URL、http headers、cookies、sessions、form data等等資訊。藉由用戶端電腦130的網路介面37和監控管理伺服器110的網路介面17連接，用戶將該使用情境腳本上傳至監控管理伺服器110，儲存於電腦可讀取紀錄媒體18中。並且，用戶可於監控管理伺服器110上設定一監控工作要求，使該監控工作要求包含該使用情境腳本與一監控週期。

監控代理電腦120中的監控代理程式25會經由網路介面27定期偵測監控管理伺服器110上是否有新的監控工作要 求。如果有新的監控工作要求，監控代理電腦120會下載該監控工作要求，並且依照該監控工作要求中之使用情境腳本，經由網路介面27與被監控網站伺服器170的網路介面77，模擬用戶使用該網站應用程式75的過程，下載實際網站應用程式相關之網頁，並根據該網頁建立一虛擬受測網站29。接著，監控代理電腦120將該使用情境腳本轉換使其對應於虛擬受測網站29並且符合安全檢測程式55的輸入格式，經由網路介面27與網路介面57提供該轉換後的使用情境腳本予安全檢測伺服器150，使安全檢測程式55對接收到的使用情境腳本進行一安全檢測。其中，該轉換過後的使用情境腳本可以是一URL、一URL列表、一網頁檔案、或是任何符合該安全檢測程式55輸入格式之資料格式。在另一實施例中，當該上傳至監控代理電腦120之使用情境腳本符合該安全檢測程式55的輸入格式時，監控代理電腦120便不需建立虛擬受測網站29及轉換該使用情境腳本，而直接將該使用情境腳本提供予安全檢測伺服器150進行一安全檢測。

監控代理程式25會根據該監控工作要求之該監控週期重複監控該網站應用程式。為真實反應被監控網站應用程式使用情境當下的安全性，監控代理程式25於每次週期性進行監控前，重新產生一新的虛擬受測網站內容以取代之前所建立的虛擬受測網站內容。

在一實施例中，監控管理伺服器110可經由網路介面17與網路介面57自安全檢測伺服器150接收安全檢測的結 果，分析該結果並產生一報表儲存於電腦可讀取紀錄媒體18中以供用戶查詢。當發現檢測結果有危害用戶安全的疑慮時，監控管理伺服器110可即時以各種媒介(例如，電子郵件或簡訊等等)通知用戶進行後續處理。

在另一實施例中，監控代理程式25或虛擬受測網站29可經由網路介面27與網路介面57自安全檢測伺服器150接收安全檢測的結果，監控代理程式25或虛擬受測網站29再將該結果上傳至監控管理伺服器110。監控管理伺服器110在根據該結果進行分析並產生一報表儲存於電腦可讀取紀錄媒體18中以供用戶查詢。當發現檢測結果有危害用戶安全的疑慮時，監控管理伺服器110可即時以各種媒介(例如，電子郵件或簡訊等等)通知用戶進行後續處理。在一實施例中，監控代理電腦120可將該轉換後的使用情境腳本切割成複數個分段使用情境腳本提供予安全檢測裝置150進行該安全檢測。而監控管理伺服器110可接收安全檢測裝置150進行該安全檢測之複數個檢測結果，並整合該等檢測結果產生一報表。

圖2為本發明監控網站應用程式使用情境安全性方法的流程圖。首先，用戶使用錄製程式針對被監控網站應用程式錄製欲監控的使用情境腳本(S1)，用戶可用錄製程式檢查是否錄製成功(S2)。若錄製失敗，則重新錄製該使用情境腳本(S1)；若錄製成功，則用戶可用錄製程式將錄製成功的使用情境腳本上傳至監控管理伺服器(S3)，監控管理伺服器會儲存該使用情境腳本並啟動該項監控工作要求 (S4)。接著，監控代理程式會自監控管理伺服器下載該監控工作要求及該使用情境腳本，並且根據該下載的使用情境腳本模擬用戶使用被監控網站應用程式的過程並下載相關的網頁(S5)。監控代理程式會根據下載的相關網頁建立一虛擬受測網站，並且轉換該使用情境腳本使其對應於該虛擬受測網站且符合安全檢測程式之輸入格式(S6)。最後，監控代理程式將轉換後的使用情境腳本傳給安全檢測程式(S7)。在安全檢測程式完成安全檢測後，監控管理伺服器可接收安全檢測程式進行一安全檢測之結果，並根據該結果進行分析，當發現檢測結果有危害用戶安全的疑慮時，即時以各種媒介(例如，電子郵件或簡訊等等)通知用戶進行後續處理，並且產生一報表以供用戶查詢(S8)。

相較於習知方法受限於用戶能輸入的資訊僅URL或URL列表，而安全檢測程式僅能接受URL，URL列表，或上傳之網頁檔案，無法針對包含不僅URL，還需含http headers，cookies，sessions，form data等等資訊的網站應用程式使用情境(如網路購物交易，網路銀行轉帳交易等等)做安全性監控，本發明解決這些限制以做到監控網站應用程式使用情境之安全性。本發明之方法，以錄製程式解決用戶無法輸入使用情境的問題，以監控代理程式執行用戶使用情境並下載實際網站應用程式會產生的網頁及資料建立虛擬受測網站解決安全檢測程式無法模擬使用情境中各功能涉及http headers，cookies，sessions，form data等等處理的問題，再將使用情境轉換對應至虛擬受測網站 且符合安全檢測程式能接受的輸入格式，以達到監控網站應用程式使用情境之安全性；其中在監控代理程式執行用戶使用情境用以建立虛擬受測網站時，亦可同時進行其他可執行之監控與測試功能，如效能監控，路程測試，元件測試，功能測試，內容正確性測試等等，如此一來，更可在對被監控網站影響最少，使用最少網路資源的情況下達成多項監控與測試之目的。

本發明雖以較佳實施例揭露如上，然其並非用以限定本發明的範圍，任何熟習此項技藝者，在不脫離本發明之精神和範圍內，當可做些許的更動與潤飾，因此本發明之保護範圍當視後附之申請專利範圍所界定者為準。

11‧‧‧記憶體

13‧‧‧CPU

15‧‧‧監控管理程式

17‧‧‧網路介面

18‧‧‧電腦可讀取紀錄媒體

21‧‧‧記憶體

23‧‧‧CPU

25‧‧‧監控代理程式

27‧‧‧網路介面

29‧‧‧虛擬受測網站

31‧‧‧記憶體

33‧‧‧CPU

35‧‧‧錄製程式

37‧‧‧網路介面

38‧‧‧電腦可讀取紀錄媒體

51‧‧‧記憶體

53‧‧‧CPU

55‧‧‧安全檢測程式

57‧‧‧網路介面

71‧‧‧記憶體

73‧‧‧CPU

75‧‧‧網站應用程式

77‧‧‧網路介面

110‧‧‧監控管理伺服器

120‧‧‧監控代理電腦

130‧‧‧用戶端電腦

150‧‧‧安全檢測伺服器

170‧‧‧被監控網站伺服器

圖1為本發明一監控網站應用程式使用情境安全性方法之架構之示意圖。

圖2為本發明監控網站應用程式使用情境安全性方法的流程圖。

11‧‧‧記憶體

13‧‧‧CPU

15‧‧‧監控管理程式

17‧‧‧網路介面

18‧‧‧電腦可讀取紀錄媒體

21‧‧‧記憶體

23‧‧‧CPU

25‧‧‧監控代理程式

27‧‧‧網路介面

29‧‧‧虛擬受測網站

31‧‧‧記憶體

33‧‧‧CPU

35‧‧‧錄製程式

37‧‧‧網路介面

38‧‧‧電腦可讀取紀錄媒體

51‧‧‧記憶體

53‧‧‧CPU

55‧‧‧安全檢測程式

57‧‧‧網路介面

71‧‧‧記憶體

73‧‧‧CPU

75‧‧‧網站應用程式

77‧‧‧網路介面

110‧‧‧監控管理伺服器

120‧‧‧監控代理電腦

130‧‧‧用戶端電腦

150‧‧‧安全檢測伺服器

170‧‧‧被監控網站伺服器

Claims (44)

1. 一種監控網站應用程式使用情境安全性之系統，其包含：一監控管理裝置，用以儲存至少一監控工作要求，該至少一監控工作要求包含一對應一網站應用程式之第一使用情境腳本；一監控代理裝置，用以載入該監控工作要求並產生一第二使用情境腳本；以及一安全檢測裝置，用以接收該第二使用情境腳本並對其進行一安全檢測。
2. 如請求項1之系統，其中該監控工作要求包括：根據該第一使用情境腳本，於該對應網站應用程式執行一使用情境，並載入執行該使用情境後所產生的至少一筆網頁及資料；以及根據該至少一筆網頁及資料建立一虛擬受測網站，其中該第二使用情境腳本係根據該第一使用情境腳本以及該虛擬受測網站所產生。
3. 如請求項1之系統，其中該第二使用情境腳本可以係一URL、一URL列表、一網頁檔案、或是任何符合該安全檢測程式輸入格式之資料格式。
4. 如請求項1之系統，其中當該第一使用情境腳本之資料格式符合該安全檢測程式輸入格式時，該第二使用情境腳本係該第一使用情境腳本。
5. 如請求項1之系統，其中該監控管理裝置進一步接收該 安全檢測程式進行該安全檢測之一檢測結果，並根據該檢測結果產生一報表。
6. 如請求項1之系統，其中該監控代理裝置進一步定期偵測該監控管理裝置是否有一新的監控工作要求，當有該新的監控工作要求時，該監控代理裝置載入該新的監控工作。
7. 如請求項2之系統，其中該監控代理裝置進一步定期重新建立該虛擬受測網站及該第二使用情境腳本。
8. 如請求項7之系統，其中該監控代理裝置進一步以該重新建立之該虛擬受測網站及該第二使用情境腳本取代原有的該虛擬受測網站及該第二使用情境腳本。
9. 如請求項1之系統，其中該監控代理裝置可將該第二使用情境腳本切割成複數個分段使用情境腳本提供予該安全檢測裝置進行該安全檢測。
10. 如請求項9之系統，其中該監控管理裝置接收該安全檢測裝置進行該安全檢測之複數個檢測結果，並整合該等檢測結果產生一報表。
11. 如請求項1之系統，其中該監控管理裝置提供一錄製程式，該錄製程式用以錄製該至少一第一使用情境腳本。
12. 一種監控網站應用程式使用情境安全性之方法，其包含：自一監控管理裝置載入一監控工作要求，該監控工作要求對應至一第一使用情境腳本，該第一使用情境腳本對應於一網站應用程式； 根據該第一使用情境腳本產生一第二使用情境腳本，使該第二使用情境腳本符合一安全檢測裝置之輸入格式；以及提供該第二使用情境腳本予該安全檢測裝置，使該安全檢測裝置可根據該第二使用情境腳本進行一安全檢測。
13. 如請求項12之方法，其中該第二使用情境腳本可以係一URL、一URL列表、一網頁檔案、或是任何符合該安全檢測程式輸入格式之資料格式。
14. 如請求項12之方法，其中當該第一使用情境腳本之資料格式符合該安全檢測程式輸入格式時，該第二使用情境腳本係該第一使用情境腳本。
15. 如請求項12之方法，其中根據該第一使用情境腳本產生一第二使用情境腳本，使該第二使用情境腳本符合一安全檢測裝置之輸入格式之步驟，進一步包含：根據該第一使用情境腳本於該網站應用程式執行一使用情境；下載執行該使用情境產生的網頁及資料；根據該等網頁及資料建立一虛擬受測網站；以及根據該第一使用情境腳本以及該虛擬受測網站產生該第二使用情境腳本。
16. 如請求項12之方法，進一步包含：接收該安全檢測程式進行該安全檢測之一檢測結果；以及 根據該檢測結果產生一報表。
17. 如請求項12之方法，進一步包含：定期偵測該監控管理裝置是否有一新的監控工作要求；以及當有該新的監控工作要求時，載入該新的監控工作要求。
18. 如請求項15之方法，進一步包含定期重新建立該虛擬受測網站及該第二使用情境腳本。
19. 如請求項18之方法，進一步包含以該重新建立之該虛擬受測網站及該第二使用情境腳本取代原有的該虛擬受測網站及該第二使用情境腳本。
20. 如請求項12之方法，其中該提供該第二使用情境腳本予一安全檢測裝置之步驟，將該第二使用情境腳本切割成複數個分段使用情境腳本提供予該安全檢測裝置進行該安全檢測。
21. 如請求項20之方法，進一步包含接收該安全檢測裝置進行該安全檢測之複數個檢測結果，並整合該等檢測結果產生一報表。
22. 如請求項12之方法，進一步包含提供一錄製程式，用以錄製該使用情境得到該至少一第一使用情境腳本。
23. 一種監控程式產品，用以監控網站應用程式使用情境安全性，其包含：一監控工作載入步驟，自一監控管理裝置載入一監控工作要求，該監控工作要求對應至一第一使用情境腳 本，該第一使用情境腳本對應於一網站應用程式；一使用情境腳本轉換步驟，根據該第一使用情境腳本產生一第二使用情境腳本，使該第二使用情境腳本符合一安全檢測裝置之輸入格式；以及一安全檢測步驟，提供該第二使用情境腳本予該安全檢測裝置，使該安全檢測裝置可根據該第二使用情境腳本進行一安全檢測。
24. 如請求項23之監控程式產品，其中該第二使用情境腳本可以係一URL、一URL列表、一網頁檔案、或是任何符合該安全檢測程式輸入格式之資料格式。
25. 如請求項23之監控程式產品，其中當該第一使用情境腳本之資料格式符合該安全檢測程式輸入格式時，該第二使用情境腳本係該第一使用情境腳本。
26. 如請求項23之監控程式產品，其中該使用情境腳本轉換步驟，進一步包含：一虛擬受測網站建立步驟，根據該第一使用情境腳本於該網站應用程式執行一使用情境，下載執行該使用情境產生的網頁及資料，根據該等網頁及資料建立一虛擬受測網站，其中該第二使用情境腳本係根據該第一使用情境腳本以及該虛擬受測網站產生。
27. 如請求項23之監控程式產品，進一步包含：一報表產生步驟，接收該安全檢測程式進行該安全檢測之一檢測結果，並根據該檢測結果產生一報表。
28. 如請求項23之監控程式產品，進一步包含： 一偵測步驟，定期偵測該監控管理裝置是否有一新的監控工作要求，當有該新的監控工作要求時，載入該新的監控工作要求。
29. 如請求項26之監控程式產品，進一步包含：一重建步驟，定期重新建立該虛擬受測網站及該第二使用情境腳本。
30. 如請求項29之監控程式產品，其中該重建步驟進一步以該重新建立之該虛擬受測網站及該第二使用情境腳本取代原有的該虛擬受測網站及該第二使用情境腳本。
31. 如請求項23之監控程式產品，其中該安全檢測步驟進一步將該第二使用情境腳本切割成複數個分段使用情境腳本提供予該安全檢測裝置進行該安全檢測。
32. 如請求項31之監控程式產品，進一步包含一報表產生步驟，接收該安全檢測裝置進行該安全檢測之複數個檢測結果，並整合該等檢測結果產生一報表。
33. 如請求項23之監控程式產品，進一步包含一錄製程式步驟，提供一錄製程式，該錄製程式用以錄製該至少一第一使用情境腳本。
34. 一種電腦可讀取記錄媒體，儲存一程式使電腦執行下列步驟：一監控工作載入步驟，自一監控管理裝置載入一監控工作要求，該監控工作要求對應至一第一使用情境腳本，該第一使用情境腳本對應於一網站應用程式；一使用情境腳本轉換步驟，根據該第一使用情境腳本 產生一第二使用情境腳本，使該第二使用情境腳本符合一安全檢測裝置之輸入格式；以及一安全檢測步驟，提供該第二使用情境腳本予該安全檢測裝置，使該安全檢測裝置可依照該第二使用情境腳本進行一安全檢測。
35. 如請求項34之記錄媒體，其中該第二使用情境腳本可以係一URL、一URL列表、一網頁檔案、或是任何符合該安全檢測程式輸入格式之資料格式。
36. 如請求項34之記錄媒體，其中當該第一使用情境腳本之資料格式符合該安全檢測程式輸入格式時，該第二使用情境腳本係該第一使用情境腳本。
37. 如請求項34之記錄媒體，其中該使用情境腳本轉換步驟，進一步包含：一虛擬受測網站建立步驟，依照該第一使用情境腳本於該網站應用程式執行一使用情境，下載執行該使用情境產生的網頁及資料，根據該等網頁及資料建立一虛擬受測網站，其中該第二使用情境腳本係根據該第一使用情境腳本及該虛擬受測網站產生。
38. 如請求項34之記錄媒體，進一步包含：一報表產生步驟，接收該安全檢測程式進行該安全檢測之一檢測結果，並根據該檢測結果產生一報表。
39. 如請求項34之記錄媒體，進一步包含：一偵測步驟，定期偵測該監控管理裝置是否有一新的監控工作要求，當有該新的監控工作要求時，載入該新 的監控工作要求。
40. 如請求項37之記錄媒體，進一步包含：一重建步驟，定期重新建立該虛擬受測網站及該第二使用情境腳本。
41. 如請求項40之記錄媒體，其中該重建步驟進一步以該重新建立之該虛擬受測網站及該第二使用情境腳本取代原有的該虛擬受測網站及該第二使用情境腳本。
42. 如請求項34之記錄媒體，其中該安全檢測步驟進一步將該第二使用情境腳本切割成複數個分段使用情境腳本提供予該安全檢測裝置進行該安全檢測。
43. 如請求項42之記錄媒體，進一步包含一報表產生步驟，接收該安全檢測裝置進行該安全檢測之複數個檢測結果，並整合該等檢測結果產生一報表。
44. 如請求項34之記錄媒體，進一步包含一錄製程式步驟，提供一錄製程式，該錄製程式用以錄製該至少一第一使用情境腳本。