WO2015000428A1 - 数据处理的方法、服务器及系统 - Google Patents

数据处理的方法、服务器及系统 Download PDF

Info

Publication number
WO2015000428A1
WO2015000428A1 PCT/CN2014/081623 CN2014081623W WO2015000428A1 WO 2015000428 A1 WO2015000428 A1 WO 2015000428A1 CN 2014081623 W CN2014081623 W CN 2014081623W WO 2015000428 A1 WO2015000428 A1 WO 2015000428A1
Authority
WO
WIPO (PCT)
Prior art keywords
url
interception
blocked
sum
preset threshold
Prior art date
Application number
PCT/CN2014/081623
Other languages
English (en)
French (fr)
Inventor
刘健
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Publication of WO2015000428A1 publication Critical patent/WO2015000428A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic

Definitions

  • the present invention relates to the field of Internet technologies, and in particular, to a data processing method, server, and system. Background of the invention
  • the server on the network side can provide users with a URL security authentication service.
  • the server intercepts the malicious URL and prompts the user by pushing the interception page.
  • servers need to constantly update the interception method to improve the accuracy of malicious URL interception.
  • the server may intercept the exception. For example, blocking a large number of normal URLs as malicious URLs.
  • the server needs to discover and handle the exception in time to minimize the negative impact of the exception.
  • Embodiments of the present invention provide a data processing method, a server, and a system, which can be timely Effectively handles interception exceptions, improves the efficiency of interception exception handling, and improves server service quality.
  • An embodiment of the present invention provides a data processing method, including:
  • the second interception data of the website requested to be accessed is counted in a predetermined time period; when the second interception data satisfies the abnormal condition, it is determined that the current interception mode is abnormal.
  • An embodiment of the present invention provides a server, including:
  • a first statistic unit configured to collect first intercepting data of the requested URL
  • a selecting unit configured to: when the first intercepting data meets a preset abnormal condition, select at least one URL from the intercepted web address
  • An intercepting unit configured to stop intercepting at least one web address selected by the selecting unit; and a second statistic unit, configured to collect second intercepting data of the web address requested to be accessed within a predetermined time period;
  • a determining unit configured to determine that an abnormality occurs in the current intercept mode when the second interception data satisfies the preset abnormal condition.
  • the embodiment of the invention provides a data processing system, including: the server and at least one client.
  • Embodiments of the present invention provide a computer readable storage medium storing a program, the program being capable of causing a computer to perform the following steps:
  • the second interception data of the website requested to be accessed is counted in a predetermined time period; when the second interception data satisfies the abnormal condition, it is determined that the current interception mode is abnormal.
  • the server can determine in time that the current interception mode is abnormal.
  • the method for exception processing provided by the embodiment of the present invention can detect the interception abnormality in time when the interception abnormality occurs, thereby effectively processing the abnormality and improving the efficiency of the abnormal processing. Improve the quality of service of the server.
  • FIG. 1 is a schematic diagram of an embodiment of a data processing method according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of an embodiment of a server according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of another embodiment of a server in an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of an embodiment of a data processing system in an embodiment of the present invention. Mode for carrying out the invention
  • an embodiment of a method for data processing provided by an embodiment of the present invention includes the following steps.
  • the web address is also called a webpage address, and each webpage corresponds to a Uniform Resource Locator (URL).
  • URL Uniform Resource Locator
  • the server When the client requests access to a certain URL from the server, the server first determines the type of the URL according to the local cache record, and feeds back a response message to the client.
  • the types of URLs include unknown, safe, drive-by download, phishing or pom. If the type of the URL is unknown, that is, the URL is not included in the local cache record, the server performs security determination on the URL according to the current interception method after the feedback response message, determining security, hanging horse, fishing and pornography. One is the type of the URL, and the determined type is saved to this cache record.
  • the client when the client sends a URL request to the server, the client carries the Globally Unique Identifier (GUID) and URL parameters corresponding to the user.
  • GUID Globally Unique Identifier
  • the GUID is used to identify the client.
  • the client corresponding to each GUID can request access to multiple different URLs.
  • the response message returned by the server to the client usually carries the GUID, the URL, the type of the address, the interception indication information, and the IP parameters.
  • the server intercepts the URL.
  • the server indicates whether the URL carried in the response message is to be intercepted by intercepting the indication information. For example, when the URL needs to be intercepted, the value of the interception indication is 0. When the URL does not need to be intercepted, the value of the interception indication is 1. Therefore, the server can determine the intercepted web address according to the interception indication information, and count the number of times the web address is intercepted.
  • the interception data of the website includes one or a group of unit time. The number of times the URL was blocked.
  • the first interception data satisfies the abnormal condition, it triggers a judgment on whether the current interception mode is abnormal, so that the interception abnormality can be found in time to avoid the occurrence of large-scale false alarms.
  • the abnormal condition may be set according to the actual situation of the network.
  • an exception condition can be set based on the number of times each or each group of URLs are intercepted per unit time or the number of interceptions.
  • one or more URLs having a relatively large influence on the fluctuation of the interception data may be selected from the intercepted web addresses according to the abnormal condition.
  • the number of web addresses to be selected may be set in advance.
  • the abnormal condition may include: the number of times at least one URL is intercepted exceeds a first preset threshold.
  • the first preset threshold may be 50/min or 100/min.
  • the abnormal condition may include: the increment of the at least one URL being intercepted exceeds the second preset threshold.
  • the second preset threshold may be 30%/min or 50%/min.
  • the abnormal condition may include: the sum of the number of times the one or more URLs corresponding to the same GUID are intercepted exceeds a third preset threshold.
  • the third preset threshold may be 30/min or 50/min.
  • the GUID corresponding to the sum of the times exceeding the third preset threshold may be first determined, and then the intercepted web address corresponding to the determined GUID is selected; or may be determined first
  • the at least one GUID corresponding to the sum of the corresponding times is, for example, sorting the sum of the times corresponding to each GUID from large to small, determining one or more GUIDs ranked first, and then selecting the web address corresponding to the determined GUID.
  • the abnormal condition may include: increasing the sum of the number of times the one or more URLs corresponding to the same GUID are intercepted exceeds a fourth preset threshold.
  • the fourth preset threshold may be 30%/min or 50%/min.
  • the GUID corresponding to the increment of the sum of the times exceeding the fourth preset threshold may be first determined, and then the web address corresponding to the determined GUID is selected; or may be determined first
  • the at least one GUID corresponding to the sum of the maximum number of increments for example, sorting the sum of the sum of the times corresponding to each GUID from large to small, determining one or more GUIDs arranged in front, and selecting the determined GUID The corresponding URL.
  • the abnormal condition may include: the sum of the number of times the one or more URLs corresponding to the same IP are intercepted exceeds a fifth preset threshold.
  • a hacker may deliberately attack an IP, so that the intercepted number of the URL corresponding to the IP rises in a short time, and the number of times the multiple URLs corresponding to the same IP are intercepted in each minute exceeds the fifth preset width. value.
  • the fifth preset threshold may be 50/min or 60/min.
  • the IP corresponding to the sum of the times exceeding the fifth preset threshold may be first determined, and the URL corresponding to the determined IP is selected; or the sum of the corresponding times is first determined.
  • At least one IP for example, sorting the sum of the times corresponding to each IP from large to small, determining one or more IPs in front, and selecting the network corresponding to the determined IP Address.
  • the abnormal condition may include: increasing the sum of the number of times the one or more URLs corresponding to the same IP are intercepted exceeds a sixth preset threshold.
  • the sixth preset threshold may be 30%/min or 50%/min.
  • the IP corresponding to the increment of the sum of the times exceeding the sixth preset threshold may be first determined, and the determined URL corresponding to the IP is selected; or the corresponding At least one IP with the largest increment of the sum of times, for example, sorting the sum of the sum of the times corresponding to each IP from large to small, determining one or more IPs ranked first, and selecting the determined IP corresponding URL.
  • one or more of the above abnormal conditions may be used as the abnormal condition used in step 102.
  • step 102 the current URL that has a relatively large impact on the interception fluctuation is selected.
  • the predetermined time period is relatively short, which may be 3 minutes, 5 minutes, because the URL that stops intercepting in step 103 may be an unsafe web address. Therefore, while determining whether the current interception mode is abnormal, it is avoided to allow the user to access the unsecure URL for a long time.
  • the explanation is blocked before The current interception mode does not have an abnormality, and the current interception mode can be continued, and at least one selected URL in the intercepting step 102 is restored.
  • the server when an abnormality occurs in the currently used interception mode, the server automatically stops using the current interception mode. In one embodiment of the invention, the server suspends security determination of the URL and clears new cached records for a period of time, such as clearing new cached records in the past 10 minutes. After that, the server automatically initiates the alternate interception mode to perform security determination on the URLs whose subsequent types are unknown, and intercepts the requested URLs, so as to timely handle the interception abnormalities and avoid large-scale false positives.
  • the alternate interception mode may be a normal interception mode used before the current interception mode, or a preset interception mode.
  • the abnormality detection is avoided by using manual analysis, and the abnormality can be detected in time and effectively in the event of an abnormality, and the abnormality is further processed, thereby improving the efficiency of the abnormal processing, thereby improving the service quality of the server.
  • the server records and counts the response message returned to the client in real time, and determines the intercepted URL and the number of times the URL is intercepted according to the interception indication information in the response message. When one or a set of URLs meets a preset exception condition within a predetermined number of exceptions, one or more URLs are selected from the intercepted web addresses.
  • the server obtains the response message in the current minute in real time, determines the number of times each URL is intercepted, the sum of the number of times the URL corresponding to each GUID is intercepted, and the number of times the URL corresponding to each IP is intercepted.
  • Table 1 URL Table Number of intercepts when the URL is normal / min Intercept number of intercepts / min Intercepting the amount of increase
  • the interception data of the URL corresponding to the client GUID_1 fluctuated greatly, and the interception amount per hour suddenly increased by 495 times.
  • the interception data of the URL corresponding to IP_1 fluctuated greatly, and the interception amount per minute suddenly increased by 1000 times.
  • the web addresses corresponding to the first three URLs in Table 1 are selected, the web addresses corresponding to the first three GUIDs in Table 2 are selected, and the web addresses corresponding to the first three IPs in Table 3 are selected.
  • the server stopped intercepting the selected 9 URLs.
  • the server continues to monitor the response message within the predetermined time period, for example, continuously monitors the response message for 3 minutes, and determines in real time whether the current interception data satisfies the preset abnormal condition.
  • the current interception data does not meet the preset exception condition, it indicates that the interception mode currently used by the server is not abnormal.
  • the fluctuation of the interception data is only caused by the abnormal access of some URLs.
  • the specific URL is maliciously promoted through tools such as instant messaging tools, short messages, spam, etc., or a hacker sends a large number of query requests for malicious websites at a specific IP address by forging a specific GUID client.
  • the server can resume the interception of the selected nine URLs in time.
  • the server stops using the current interception method and initiates an alternate interception method to intercept the URL.
  • the server can use the current intercept mode to update the normal intercept mode used before.
  • the abnormality detection is avoided by using manual analysis, and the abnormality can be detected in time and effectively in the event of an abnormality, and the abnormality is further processed, thereby improving the efficiency of the abnormal processing, thereby improving the service quality of the server.
  • an embodiment of the server 20 provided by the embodiment of the present invention includes a first statistic unit 201, a selecting unit 202 and an intercepting unit 203, a second statistic unit 204, and a determining unit 205.
  • the first statistic unit 201 is configured to count the first interception data of the web address requested to be accessed.
  • the selecting unit 202 is configured to select at least one web address from the intercepted web addresses when the first intercepting data satisfies a preset abnormal condition.
  • the intercepting unit 203 is configured to stop intercepting at least one web address selected by the selecting unit.
  • the second statistic unit 204 is configured to count the second interception data of the web address requested to be accessed within a predetermined time period.
  • the determining unit 205 is configured to determine that an abnormality occurs in the current intercept mode when the second interception data satisfies the preset abnormal condition.
  • the false alarm processing can be avoided by using manual analysis, and the abnormality can be effectively processed in time when an abnormality occurs, thereby improving the efficiency of the abnormal processing, thereby improving the service quality of the server.
  • the determining, by the determining unit 202, the URL that meets the stop interception condition includes the web address of the intercepted webpage whose abnormal number exceeds the first preset threshold.
  • the abnormal condition may include: the number of times at least one URL is intercepted exceeds a first preset threshold.
  • the selecting unit 202 selects at least one URL from the intercepted web addresses, it may select each webpage whose intercepted number exceeds the first preset threshold; or select at least one URL that is intercepted the most, for example, each The number of blocked URLs is arranged in descending order, selecting one or more URLs that are listed first.
  • the abnormal condition may include: increasing the number of intercepted times of the at least one web address by more than a second predetermined threshold.
  • the selecting unit 202 selects at least one URL from the intercepted web addresses, it may select each URL whose number of times of interception exceeds the second preset threshold; or at least one URL with the largest increment of the number of interceptions, For example, the increments of the number of interceptions for each URL are arranged in descending order, selecting one or more URLs that are listed first.
  • the abnormal condition may include: the sum of the number of times the one or more URLs corresponding to the same GUID are intercepted exceeds a third preset threshold.
  • the selecting unit 202 may first determine a GUID corresponding to the sum of the times of the third preset thresholds, and then select the intercepted web address corresponding to the determined GUID, or select at least one web address from the intercepted web addresses; or The at least one GUID corresponding to the sum of the corresponding times may be first determined. For example, the sum of the times corresponding to each GUID is sorted from large to d, and one or more GUIDs are determined, and then the determined GUID is selected. The corresponding URL.
  • the abnormal condition may include: increasing the sum of the number of times the one or more URLs corresponding to the same GUID are intercepted exceeds a fourth preset threshold.
  • the selecting unit 202 selects at least one web address from the intercepted web addresses, the GUID corresponding to the increment of the sum of the times exceeding the fourth preset threshold value may be first determined, and then the web address corresponding to the determined GUID is selected; or The at least one GUID corresponding to the sum of the maximum number of increments may be determined first. For example, the increment of the sum of the times corresponding to each GUID is sorted from large to small, and the one or more GUIDs listed in the front are determined. Determine the URL corresponding to the GUID.
  • the abnormal condition may include: the sum of the number of times the one or more URLs corresponding to the same IP are intercepted exceeds a fifth preset threshold.
  • the selecting unit 202 may first determine an IP corresponding to the sum of the times exceeding the fifth preset threshold, and select the web address corresponding to the determined IP; or first determine the corresponding The at least one IP with the highest number of times, for example, sorting the sum of the times corresponding to each IP from large to small, determining one or more IPs ranked first, and selecting the URL corresponding to the determined IP.
  • the abnormal condition may include: increasing the sum of the number of times the one or more URLs corresponding to the same IP are intercepted exceeds a sixth preset threshold.
  • the selecting unit 202 may first select an IP corresponding to the increment of the sum of the times of the times exceeding the sixth preset threshold, and select the URL corresponding to the determined IP; or first Determining at least one IP with the largest increment of the sum of the corresponding times, for example, sorting the sum of the sum of the times corresponding to each IP in descending order, determining one or more IPs ranked first, and selecting the determination The IP corresponding URL.
  • the selecting unit 202 may use one or more of the abnormal conditions described above as a preset abnormal condition.
  • the first statistic unit is configured to obtain a response message corresponding to each requested URL, where the response message carries the requested URL pair
  • the interception indication information should be; according to the interception indication information, the first interception data of the requested access URL is counted.
  • the second statistic unit is configured to obtain a response message corresponding to the web address that is requested to be accessed, where the response message carries the interception indication information corresponding to the requested website address, and according to the interception indication information, the statistics are The second interception data of the URL requested to be accessed.
  • the intercepting unit 203 is further configured to stop using the current intercept mode after the determining unit 205 determines that the current intercept mode is abnormal, and start the standby intercept mode.
  • the alternate interception mode may be a normal interception mode used before the current interception mode, or a preset interception mode.
  • the determining unit 205 is further configured to determine that the current intercept mode is normal, and the intercepting unit 203 is further configured to resume intercepting the selected at least one URL.
  • the embodiment of the invention further provides a computer readable storage medium, wherein the medium stores a program, and the program includes some or all of the steps of the data processing method.
  • FIG. 3 is a schematic structural diagram of a server 30 according to an embodiment of the present invention.
  • Server 30 can include input device 310, output device 320, processor 330, and memory 340.
  • Memory 340 can include read only memory and random access memory and provides instructions and data to processor 330. A portion of the memory 340 may also include a non-volatile random access memory (NVRAM).
  • NVRAM non-volatile random access memory
  • Memory 340 stores the following elements, executable modules or data structures, or a subset of them, or their extended set:
  • Operation instructions Includes various operation instructions for implementing various operations.
  • Operating System Includes a variety of system programs for implementing basic services and handling hardware-based tasks.
  • the processor 330 calls the operation finger stored in the memory 340.
  • the operation instruction can be stored in the operating system), performing the following operations: counting interception data of the URL requested by the client; when the interception data satisfies a preset abnormal condition, determining that the intercepted URL meets the stop Blocking the URL of the condition; stopping the interception of the URL that meets the condition of stopping the interception
  • the server may enable the user to download or update the software in advance, thereby improving the efficiency of the software update.
  • the processor 330 controls the operation of the server 30, which may also be referred to as a CPU (Central Processing Unit).
  • Memory 340 can include read only memory and random access memory and provides instructions and data to processor 330. A portion of memory 340 may also include non-volatile random access memory (NVRAM).
  • NVRAM non-volatile random access memory
  • the various components of the server 30 are coupled together by a bus system 350.
  • the bus system 350 may include a power bus, a control bus, and a status signal bus in addition to the data bus. However, for clarity of description, various buses are labeled as bus system 350 in the figure.
  • Processor 330 may be an integrated circuit chip with signal processing capabilities. In the implementation process, each step of the foregoing method may be completed by an integrated logic circuit of hardware in the processor 330 or an instruction in a form of software.
  • the processor 330 described above may be a general purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), an off-the-shelf programmable gate array (FPGA) or other programmable logic device, discrete gate or transistor logic, steps and Logical block diagram.
  • DSP digital signal processor
  • ASIC application specific integrated circuit
  • FPGA off-the-shelf programmable gate array
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented as a hardware decoding processor, or may be performed by a combination of hardware and software modules in the decoding processor.
  • the software module can be located in a random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, etc.
  • the storage medium is located in the memory 340, and the processor 330 reads the information in the memory 340 and performs the steps of the above method in combination with the hardware thereof.
  • the data processing system includes the server 30 and at least one client 40 described above.
  • the program can be stored in a computer readable storage medium.
  • the storage medium can include: ROM, RAM, disk or CD, etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种数据处理的方法，包括：统计被请求访问的网址的第一拦截数据；当所述第一拦截数据满足预设的异常条件时，从被拦截的网址中选择至少一个网址；停止对所述选择的至少一个网址的拦截；在预定时间段内统计被请求访问的网址的第二拦截数据；当所述第二拦截数据满足所述异常条件时，确定当前拦截方式出现异常。

Description

数据处理的方法、 服务器及系统 本申请要求于 2013 年 7 月 5 日提交中国专利局、 申请号为 201310282382.7, 发明名称为 "一种数据处理的方法、 服务器及系统" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及互联网技术领域， 具体涉及一种数据处理的方法、 服务 器及系统。 发明背景
随着互联网技术的快速发展， 互联网的安全问题也越来越多。 网络 侧的服务器可以为用户提供网址安全鉴定服务。 当用户访问某恶意网址 时， 服务器对恶意网址进行拦截， 并通过推送拦截页面提示该用户。
由于各类新的恶意网站层出不穷， 服务器需要不断更新拦截方式， 以提高对恶意网址拦截的精确性。 当频繁更新拦截方式或者新的拦截方 式存在缺陷时， 服务器可能会出现拦截异常的情况。 例如， 将大量正常 网址视为恶意网址拦截下来。 当异常发生时， 服务器需要及时发现和处 理异常， 将异常带来的负面影响降到最低。
现有的服务器在确定拦截异常时，通常釆用人工分析的方法。例如， 运营人员收集用户的网站申诉反馈， 或这随机抽取被拦截网站进行检 查。 由于运营人员的专业技术水平限制， 并不能保证及时有效发现拦截 异常， 导致拦截异常的处理效率低下， 服务器的服务质量低下。 发明内容
本发明实施例提供一种数据处理的方法， 服务器和系统， 可以及时 有效处理拦截异常， 提高了拦截异常处理的效率， 从而提高了服务器的 服务质量。
本发明实施例提供一种数据处理的方法， 包括：
统计被请求访问的网址的第一拦截数据；
当所述第一拦截数据满足预设的异常条件时， 从被拦截的网址中选 择至少一个网址； 停止拦截所述选择的至少一个网址；
在预定时间段内统计被请求访问的网址的第二拦截数据； 当所述第二拦截数据满足所述异常条件时， 确定当前拦截方式出现 异常。
本发明实施例提供一种服务器， 包括：
第一统计单元， 用于统计被请求访问的网址的第一拦截数据； 选择单元， 用于当所述第一拦截数据满足预设的异常条件时， 从被 拦截的网址中选择至少一个网址；
拦截单元， 用于停止拦截所述选择单元选择的至少一个网址； 第二统计单元， 用于在预定时间段内统计被请求访问的网址的第二 拦截数据；
确定单元， 用于当所述第二拦截数据满足所述预设的异常条件时， 确定当前拦截方式出现异常。
本发明实施例提供一种数据处理系统， 包括： 上述服务器和至少一 个用户端。
本发明实施例提供一种计算机可读存储介质， 存储有程序， 所述程 序能够使计算机执行如下步骤：
统计被请求访问的网址的第一拦截数据；
当所述第一拦截数据满足预设的异常条件时， 从被拦截的网址中选 择至少一个网址；
停止拦截所述选择的至少一个网址；
在预定时间段内统计被请求访问的网址的第二拦截数据； 当所述第二拦截数据满足所述异常条件时， 确定当前拦截方式出现 异常。
根据本发明实施例， 服务器可以及时确定当前拦截方式出现异常。 与现有技术中需要人工分析拦截异常相比， 本发明实施例提供的异常处 理的方法， 可以在出现拦截异常时， 及时发现拦截异常， 进而有效地处 理异常， 提高了异常处理的效率， 从而提高了服务器的服务质量。 附图简要说明
为了更清楚地说明本发明实施例中的技术方案， 下面将对实施例描 述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图 仅仅是本发明的一些实施例， 对于本领域技术人员来讲， 在不付出创造 性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例中数据处理的方法的一实施例示意图； 图 2是本发明实施例中服务器的一实施例示意图；
图 3是本发明实施例中服务器的另一实施例示意图；
图 4是本发明实施例中数据处理系统的一实施例示意图。 实施本发明的方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案 进行清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实 施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域技术人员 在没有作出创造性劳动前提下所获得的所有其他实施例， 都属于本发明 保护的范围。
参阅图 1， 本发明实施例提供的数据处理的方法的一实施例包括如 下步骤。
101、 统计被请求访问的网址的第一拦截数据。
在本发明实施例中， 网址也叫网页地址， 每个网址对应一个统一定 位资源符 ( Uniform Resource Locator, URL )。
当用户端向服务器请求访问某个网址后， 服务器会首先根据本地緩 存记录确定该网址的类型， 并反馈响应消息给该用户端。 其中， 网址的 类型包括未知 ( unknown ). 安全 ( safe )、 挂马 ( Drive-by download ). 钓鱼（phishing )或色情（pom )等。 如果该网址的类型是未知， 即该网 址没有包含在本地緩存记录中， 则服务器在反馈响应消息后根据当前拦 截方式， 对该网址进行安全性判定， 确定安全， 挂马， 钓鱼和色情中的 一个为该网址的类型， 并将确定后的类型保存到本次緩存记录中。
本发明实施例中， 用户端向服务器发送网址请求时， 会携带有该用 户端对应的全球唯一标识符 ( Globally Unique Identifier, GUID )和 URL 两个参数。 其中， GUID用于标识用户端。 每个 GUID对应的用户端可 以请求访问多个不同的网址。
服务器返回给用户端的响应消息中会通常会携带 GUID、 URL, 网 址的类型、 拦截指示信息、 IP等参数。
当该网址的类型为挂马、 钓鱼或色情时， 服务器就会拦截该网址。 服务器通过拦截指示信息指示对该响应消息中携带的网址是否要进行 拦截。 例如， 当该网址需要拦截时， 拦截指示信息的值为 0， 当该网址 不需要拦截时， 拦截指示信息的值为 1。 因此， 服务器可以根据该拦截 指示信息确定被拦截网址， 并统计该网址被拦截的次数。
在本发明实施例中， 网址的拦截数据包括单位时间内一个或者一组 网址被拦截的次数。
102、 当第一拦截数据满足预设的异常条件时，从被拦截的网址中选 择至少一个网址。
当被拦截的网址的数据出现较大波动时， 有可能是某些网址被黑客 攻击， 也有可能是服务器当前使用的拦截方式异常导致安全的网址视为 恶意网址被拦截。 在本步骤中， 当第一拦截数据满足该异常条件时， 触 发对当前拦截方式是否出现异常的判断， 从而能够及时发现拦截异常， 避免大规模误报的发生。
在本实施例中， 异常条件可以根据网络的实际情况设置。 例如， 可 以根据单位时间内每个或者每组网址被拦截的次数或者被拦截次数的 增量设置异常条件。 相应地， 可以根据该异常条件， 从被拦截的网址中 选择一个或多个对本次拦截数据的波动影响比较大的网址。 在本实施例 中， 可以预先设置需要选择的网址的个数。
在本发明一个实施例中， 该异常条件可以包括： 至少一个网址被拦 截的次数超过第一预置阔值。 其中， 该第一预置阔值可以是 50/min或 100/min。从被拦截的网址中选择至少一个网址时， 可以选择被拦截的次 数超过第一预置阔值的每个网址； 或者选择被拦截的次数最多的至少一 个网址， 例如， 将每个网址的被拦截次数按照从大到小的顺序排列， 选 择排在前面的一个或者多个网址。
在本发明一个实施例中， 该异常条件可以包括： 至少一个网址被拦 截次数的增量超过第二预设阔值。其中，该第二预置阔值可以是 30%/min 或 50%/min。 从被拦截的网址中选择至少一个网址时， 可以选择被拦截 的次数的增量超过第二预置阔值的每个网址； 或者被拦截的次数的增量 最多的至少一个网址， 例如， 将每个网址的被拦截次数的增量按照从大 到小的顺序排列， 选择排在前面的一个或者多个网址。 在本发明一个实施例中， 该异常条件可以包括： 对应同一 GUID的 一个或者多个网址被拦截的次数之和超过第三预置阔值。 其中， 该第三 预置阔值可以为 30/min或者 50/min。在从被拦截的网址中选择至少一个 网址时，可以首先确定每个超过第三预置阔值的次数之和对应的 GUID， 之后选择该确定的 GUID对应的被拦截的网址； 或者可以首先确定对应 的次数之和最多的至少一个 GUID， 例如， 将每个 GUID对应的次数之 和按从大到小排序， 确定排在前面的一个或者多个 GUID， 之后选择该 确定的 GUID对应的网址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 GUID的 一个或多个网址被拦截的次数之和的增量超过第四预置阔值。 例如， 该 第四预置阔值可以为 30%/min或者 50%/min。 在从被拦截的网址中选择 至少一个网址时， 可以首先确定每个超过第四预置阔值的次数之和的增 量对应的 GUID， 之后选择该确定的 GUID对应的网址； 或者可以首先 确定增量最多的次数之和对应的至少一个 GUID， 例如， 将每个 GUID 对应的次数之和的增量按从大到小排序， 确定排在前面的一个或者多个 GUID， 选择该确定的 GUID对应的网址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 IP的一个 或多个网址被拦截的次数之和超过第五预置阔值。 黑客可能会刻意攻击 某个 IP， 从而使该 IP对应的网址的被拦截的数量在短时间内上升， 导 致同一 IP对应的多个网址在每分钟内的被拦截的次数超过第五预置阔 值。 例如， 该第五预置阔值可以为 50/min或者 60/min。 在从被拦截的网 址中选择至少一个网址时， 可以首先确定每个超过第五预置阔值的次数 之和对应的 IP， 选择该确定的 IP对应的网址； 或者首先确定对应的次 数之和最多的至少一个 IP， 例如， 将每个 IP对应的次数之和按从大到 小排序， 确定排在前面的一个或者多个 IP， 选择该确定的 IP对应的网 址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 IP的一个 或多个网址被拦截的次数之和的增量超过第六预置阔值。 例如， 该第六 预置阔值可以为 30%/min或者 50%/min。 在从被拦截的网址中选择至少 一个网址时， 可以首先确定每个超过第六预置阔值的次数之和的增量对 应的 IP， 选择该确定的 IP对应的网址； 或者首先确定对应的次数之和 的增量最多的至少一个 IP， 例如， 将每个 IP对应的次数之和的增量按 从大到小排序， 确定排在前面的一个或者多个 IP， 选择该确定的 IP对 应的网址。
在本发明实施例中， 可以釆用上述异常条件中的一个或多个作为步 骤 102中釆用的异常条件。
103、 停止拦截选择的至少一个网址。
通过步骤 102， 选择出当前对拦截波动影响比较大的网址。 在本步 骤中， 停止拦截选择出的网址， 以便确定当前拦截波动是否由当前拦截 方式出现异常引起的。
104、 在预定时间段内统计被请求访问的网址的第二拦截数据。 由于步骤 103中停止拦截的网址有可能是不安全的网址， 在本发明 实施例中， 预定时间段比较短， 可以为 3分钟、 5分钟。 从而在确定当 前拦截方式是否异常的同时， 避免长时间允许用户访问不安全的网址。
105、 当该第二拦截数据满足预设的异常条件时，确定当前拦截方式 出现异常。
当预定时间内的第二拦截数据满足该异常条件时， 说明之前被拦截 当前拦截方式出现异常。
当预定时间内的第二拦截数据不满足该异常条件时， 说明之前被拦 当前拦截方式未出现异常， 可以继续使用当前拦截方式， 并恢复拦截步 骤 102中选择的至少一个网址。
106， 停止使用所述当前拦截方式， 启动备用的拦截方式。
在本实施例中， 当前使用的拦截方式出现异常时， 服务器自动停止 使用所述当前拦截方式。 在本发明一个实施例中， 服务器暂停对网址进 行安全性判定， 清除过去一段时间内新增的緩存记录， 例如清除过去 10 分钟内新增的緩存记录。 之后， 服务器自动启动备用的拦截方式对后续 类型为未知的网址进行安全性判定， 以及对被请求访问的网址进行拦 截， 从而及时处理拦截异常， 避免出现大规模的误报。 其中， 该备用的 拦截方式可以是当前拦截方式之前使用的正常拦截方式， 或者预设的一 种拦截方式。
可见， 通过本发明实施例， 避免利用人工分析进行异常检测， 可以 在出现异常时， 及时有效的发现异常， 并进一步的处理异常， 提高了异 常处理的效率， 从而提高了服务器的服务质量。
下面以一个应用场景为例， 说明本发明实施例中数据处理的过程。 服务器实时记录和统计返回给用户端的响应消息， 根据该响应消息 中的拦截指示信息确定被拦截的网址和该网址被拦截的次数。 当一个或 者一组网址每分钟内的拦截次数满足预置的异常条件时， 从被拦截的网 址中选择一个或多个网址。
例如， 服务器实时获取当前这一分钟内的响应消息， 确定每个网址 被拦截的次数， 每个 GUID对应的网址被拦截的次数之和， 以及每个 IP 对应的网址被拦截的次数之和， 生成类似下面示例的 URL表、 GUID表 和 IP表。
表 1 : URL表 URL 正常时拦截次数 /min 异常时拦截次数 /min 拦截上升量
URL—l 20 200 180
URL_2 48 68 20
URL—3 35 40 5
• . . • . . • . . • . .
其中， URL_1的拦截数据出现较大波动， 每分钟拦截量突然上升了 180次 /min。
表 2 ： GUID表
Figure imgf000011_0001
其中， 客户端 GUID_1对应的网址的拦截数据出现较大波动， 每 钟拦截量突然上升了 495次。
表 3 ： IP表
Figure imgf000011_0002
其中， IP_1对应的网址的拦截数据出现较大波动， 每分钟拦截量突 然上升了 1000次。
在本实施中，选择表 1中的前三个 URL对应的网址，选择表 2中的 前三个 GUID对应的网址，并且选择表 3中的前三个 IP对应的网址。月良 务器停止拦截选择出的 9个网址。 服务器继续监控预定时间段内的响应消息， 例如继续监控 3分钟的 响应消息， 实时确定当前的拦截数据是否满足预设的异常条件。
如果当前的拦截数据不满足预设的异常条件， 说明服务器当前使用 的拦截方式并未发生异常， 拦截数据的波动仅仅是由于某些网址的访问 异常造成的。 例如该特定 URL被通过即时通讯工具、 短信、 垃圾邮件 等工具大量恶意推广， 或黑客通过伪造特定 GUID 的客户端在特定 IP 地址发送大量对恶意网站的查询请求。 在确定服务器的拦截方式并未发 生异常后， 服务器可以及时恢复对选择出的 9个网址的拦截。
如果当前的拦截数据满足预设的异常条件， 说明服务器当前使用的 拦截方式出现异常， 可能出现大规模误报。 因此服务器停止使用当前的 拦截方式， 并启动备用的拦截方式对网址进行拦截。
在本实施例中， 服务器可以釆用当前拦截方式更新前使用的正常拦 截方式。
可见， 通过本发明实施例， 避免利用人工分析进行异常检测， 可以 在出现异常时， 及时有效的发现异常， 并进一步的处理异常， 提高了异 常处理的效率， 从而提高了服务器的服务质量。
参阅图 2， 本发明实施例提供的服务器 20的一实施例包括第一统计 单元 201， 选择单元 202和拦截单元 203， 第二统计单元 204， 确定单元 205。
第一统计单元 201用于统计被请求访问的网址的第一拦截数据。 选择单元 202用于当第一拦截数据满足预设的异常条件时， 从被拦 截的网址中选择至少一个网址。
拦截单元 203用于停止拦截所述选择单元选择的至少一个网址。 第二统计单元 204用于在预定时间段内统计被请求访问的网址的第 二拦截数据。 确定单元 205 用于当所述第二拦截数据满足所述预设的异常条件 时， 确定当前拦截方式出现异常。
可见， 利用本发明实施例提供的服务器， 可以避免利用人工分析进 行误报处理， 可以在出现异常时， 及时有效处理异常， 提高了异常处理 的效率， 从而提高了服务器的服务质量。
在本发明一个实施例中， 所述确定单元 202确定的符合停止拦截条 件的网址包括被拦截的网址中异常数量超过第一预置阔值的网址。
在本发明一个实施例中， 该异常条件可以包括： 至少一个网址被拦 截的次数超过第一预置阔值。 选择单元 202从被拦截的网址中选择至少 一个网址时， 可以选择被拦截的次数超过第一预置阔值的每个网址； 或 者选择被拦截的次数最多的至少一个网址， 例如， 将每个网址的被拦截 次数按照从大到小的顺序排列， 选择排在前面的一个或者多个网址。
在本发明一个实施例中， 该异常条件可以包括： 至少一个网址被拦 截次数的增量超过第二预设阔值。 选择单元 202从被拦截的网址中选择 至少一个网址时， 可以选择被拦截的次数的增量超过第二预置阔值的每 个网址； 或者被拦截的次数的增量最多的至少一个网址， 例如， 将每个 网址的被拦截次数的增量按照从大到小的顺序排列， 选择排在前面的一 个或者多个网址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 GUID的 一个或者多个网址被拦截的次数之和超过第三预置阔值。 选择单元 202 在从被拦截的网址中选择至少一个网址时， 可以首先确定每个超过第三 预置阔值的次数之和对应的 GUID， 之后选择该确定的 GUID对应的被 拦截的网址；或者可以首先确定对应的次数之和最多的至少一个 GUID， 例如， 将每个 GUID对应的次数之和按从大到 d、排序， 确定排在前面的 一个或者多个 GUID， 之后选择该确定的 GUID对应的网址。 在本发明一个实施例中， 该异常条件可以包括： 对应同一 GUID的 一个或多个网址被拦截的次数之和的增量超过第四预置阔值。 选择单元 202在从被拦截的网址中选择至少一个网址时， 可以首先确定每个超过 第四预置阔值的次数之和的增量对应的 GUID，之后选择该确定的 GUID 对应的网址； 或者可以首先确定增量最多的次数之和对应的至少一个 GUID, 例如， 将每个 GUID对应的次数之和的增量按从大到小排序， 确定排在前面的一个或者多个 GUID，选择该确定的 GUID对应的网址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 IP的一个 或多个网址被拦截的次数之和超过第五预置阔值。 选择单元 202在从被 拦截的网址中选择至少一个网址时， 可以首先确定每个超过第五预置阔 值的次数之和对应的 IP， 选择该确定的 IP对应的网址； 或者首先确定 对应的次数之和最多的至少一个 IP， 例如， 将每个 IP对应的次数之和 按从大到小排序， 确定排在前面的一个或者多个 IP， 选择该确定的 IP 对应的网址。
在本发明一个实施例中， 该异常条件可以包括： 对应同一 IP的一个 或多个网址被拦截的次数之和的增量超过第六预置阔值。 选择单元 202 在从被拦截的网址中选择至少一个网址时， 可以首先确定每个超过第六 预置阔值的次数之和的增量对应的 IP， 选择该确定的 IP对应的网址； 或者首先确定对应的次数之和的增量最多的至少一个 IP， 例如， 将每个 IP对应的次数之和的增量按从大到小排序， 确定排在前面的一个或者多 个 IP， 选择该确定的 IP对应的网址。
在本发明实施例中， 选择单元 202可以釆用上述异常条件中的一个 或多个作为预设的异常条件。
在本发明一个实施例中， 第一统计单元用于获取对应每个被请求访 问的网址对应的响应消息， 该响应消息中携带所述被请求访问的网址对 应的拦截指示信息； 才艮据所述拦截指示信息， 统计所述被请求访问的网 址的第一拦截数据。 第二统计单元用于获取对应每个被请求访问的网址 对应的响应消息， 该响应消息中携带所述被请求访问的网址对应的拦截 指示信息； 才艮据所述拦截指示信息， 统计所述被请求访问的网址的第二 拦截数据。
在本发明一个实施例中， 拦截单元 203进一步用于在确定单元 205 确定所述当前拦截方式出现异常之后， 停止使用当前拦截方式， 启动备 用的拦截方式。 其中， 备用的拦截方式可以是当前拦截方式之前使用的 正常拦截方式， 或者预设的一种拦截方式。
在本发明一个实施例中， 当第二拦截数据不满足所述异常条件时， 确定单元 205进一步用于确定当前拦截方式正常， 拦截单元 203进一步 用于恢复对所述选择的至少一个网址的拦截。
本发明实施例还提供了一种计算机可读存储介质， 该介质中存储有 程序， 该程序执行时包括上述数据处理的方法中的部分或者全部步骤。
图 3是本发明实施例服务器 30的结构示意图。 服务器 30可包括输 入设备 310、 输出设备 320、 处理器 330和存储器 340。
存储器 340可以包括只读存储器和随机存取存储器，并向处理器 330 提供指令和数据。 存储器 340的一部分还可以包括非易失性随机存取存 储器（ NVRAM )。
存储器 340存储了如下的元素， 可执行模块或者数据结构， 或者它 们的子集， 或者它们的扩展集：
操作指令： 包括各种操作指令， 用于实现各种操作。
操作系统： 包括各种系统程序， 用于实现各种基础业务以及处理基 于硬件的任务。
在本发明实施例中， 处理器 330通过调用存储器 340存储的操作指 令（该操作指令可存储在操作系统中）， 执行如下操作： 统计对用户端所请求的网址的拦截数据； 当所述拦截数据满足预设 的异常条件时， 确定被拦截的网址中符合停止拦截条件的网址； 停止对 所述符合停止拦截条件的网址的拦截本发明实施例中， 服务器可以使用 户端预先下载或者更新软件， 从而提高了软件更新的效率。
处理器 330控制服务器 30 的操作， 处理器 330还可以称为 CPU ( Central Processing Unit, 中央处理单元）。 存储器 340可以包括只读存 储器和随机存取存储器， 并向处理器 330提供指令和数据。 存储器 340 的一部分还可以包括非易失性随机存取存储器（ NVRAM )。 具体的应用 中， 服务器 30的各个组件通过总线系统 350耦合在一起， 其中总线系 统 350除包括数据总线之外， 还可以包括电源总线、 控制总线和状态信 号总线等。 但是为了清楚说明起见， 在图中将各种总线都标为总线系统 350。
上述本发明实施例揭示的方法可以应用于处理器 330中， 或者由处 理器 330实现。 处理器 330可能是一种集成电路芯片， 具有信号的处理 能力。 在实现过程中， 上述方法的各步骤可以通过处理器 330中的硬件 的集成逻辑电路或者软件形式的指令完成。 上述的处理器 330可以是通 用处理器、 数字信号处理器（DSP )、 专用集成电路（ ASIC )、 现成可编 程门阵列 （FPGA )或者其他可编程逻辑器件、 分立门或者晶体管逻辑 法、 步骤及逻辑框图。 通用处理器可以是微处理器或者该处理器也可以 是任何常规的处理器等。 结合本发明实施例所公开的方法的步骤可以直 接体现为硬件译码处理器执行完成， 或者用译码处理器中的硬件及软件 模块组合执行完成。软件模块可以位于随机存储器， 闪存、只读存储器， 可编程只读存储器或者电可擦写可编程存储器、 寄存器等本领域成熟的 存储介质中。 该存储介质位于存储器 340， 处理器 330读取存储器 340 中的信息， 结合其硬件完成上述方法的步骤。
参阅图 4， 本发明实施例提供的数据处理系统的一实施例。 在本实 施例中， 数据处理系统包括上述服务器 30和至少一个用户端 40。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部 分步骤是可以通过程序来指令相关的硬件来完成， 该程序可以存储于一 计算机可读存储介质中， 存储介质可以包括： ROM、 RAM, 磁盘或光 盘等。
以上对本发明实施例所提供的数据处理的方法、 服务器以及系统进 了阐述， 以上实施例的说明只是用于帮助理解本发明的方法及其核心思 想； 同时， 对于本领域的一般技术人员， 依据本发明的思想， 在具体实 施方式及应用范围上均会有改变之处， 综上所述， 本说明书内容不应理 解为对本发明的限制。

Claims

权利要求书
1、 一种数据处理的方法， 其特征在于， 包括：
统计被请求访问的网址的第一拦截数据；
当所述第一拦截数据满足预设的异常条件时， 从被拦截的网址中选 择至少一个网址； 停止拦截所述选择的至少一个网址；
在预定时间段内统计被请求访问的网址的第二拦截数据；
当所述第二拦截数据满足所述异常条件时， 确定当前拦截方式出现 异常。
2、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括：至少一个网址被拦截的次数超过第一预置阔值； 所述从被拦截的网址中选择至少一个网址包括： 选择所述被拦截的 次数超过第一预置阔值的每个网址； 或者选择被拦截的次数最多的至少 一个网址。
3、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括： 至少一个网址被拦截次数的增量超过第二预设 阔值； 所述从被拦截的网址中选择至少一个网址包括： 选择所述被拦截 的次数的增量超过第二预置阔值的每个网址； 或者选择被拦截的次数的 增量最多的至少一个网址。
4、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括： 对应同一全球唯一标识符（GUID )的至少一个 网址被拦截的次数之和超过第三预置阔值； 所述从被拦截的网址中选择 至少一个网址包括： 确定每个超过第三预置阔值的次数之和对应的 GUID, 选择所述确定的 GUID对应的被拦截的网址； 或者确定对应的 次数之和最多的至少一个 GUID， 选择所述确定的 GUID对应的网址。
5、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括： 对应同一 GUID的至少一个网址被拦截的次数 之和的增量超过第四预置阔值； 所述从被拦截的网址中选择至少一个网 址包括： 确定每个对应的次数之和的增量超过第四预置阔值的 GUID， 选择所述确定的 GUID对应的网址； 或者确定对应的次数之和的增量最 多的至少一个 GUID， 选择所述确定的 GUID对应的网址。
6、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括： 对应同一网络之间的互连协议（IP ) 的至少一 个网址被拦截的次数之和超过第五预置阔值； 所述从被拦截的网址中选 择至少一个网址包括： 确定每个对应的次数之和超过第五预置阔值的 IP, 选择所述确定的 IP对应的网址； 或者确定对应的的次数之和最多的 至少一个 IP， 选择所述确定的 IP对应的网址。
7、 根据权利要求 1所述的方法， 其特征在于，
所述异常条件包括：对应同一 IP的至少一个网址被拦截的次数之和 的增量超过第六预置阔值； 所述从被拦截的网址中选择至少一个网址包 括： 确定每个对应的次数之和的增量超过第六预置阔值的 IP， 选择所述 确定的 IP对应的网址；或者确定对应的次数之和的增量最多的至少一个 IP， 选择所述确定的 IP对应的网址。
8、根据权利要求 1至 7任一所述的方法， 其特征在于， 所述统计被 请求访问的网址的第一拦截数据， 包括：
获取对应每个被请求访问的网址对应的响应消息， 所述响应消息中 携带所述被请求访问的网址对应的拦截指示信息；
根据所述拦截指示信息， 统计所述被请求访问的网址的第一拦截数 据； 所述统计被请求访问的网址的第二拦截数据， 包括： 获取对应每个被请求访问的网址对应的响应消息， 所述响应消息中 携带所述被请求访问的网址对应的拦截指示信息；
根据所述拦截指示信息， 统计所述被请求访问的网址的第二拦截数 据。
9、根据权利要求 1所述的方法， 其特征在于， 确定当前拦截方式出 现异常之后， 进一步包括：
停止使用所述当前拦截方式， 启动备用的拦截方式。
10、 根据权利要求 9所述的方法， 其特征在于， 所述备用的拦截方 式包括： 所述当前拦截方式之前使用的正常拦截方式， 或者预设的一种 拦截方式。
11、 根据权利要求 1所述的方法， 其特征在于， 进一步包括： 当所述第二拦截数据不满足所述异常条件时， 确定所述当前拦截方 式正常， 恢复拦截所述选择的至少一个网址。
12、 一种服务器， 其特征在于， 包括：
第一统计单元， 用于统计被请求访问的网址的第一拦截数据； 选择单元， 用于当所述第一拦截数据满足预设的异常条件时， 从被 拦截的网址中选择至少一个网址；
拦截单元， 用于停止拦截所述选择单元选择的至少一个网址； 第二统计单元， 用于在预定时间段内统计被请求访问的网址的第二 拦截数据；
确定单元， 用于当所述第二拦截数据满足所述预设的异常条件时， 确定当前拦截方式出现异常。
13、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括：至少一个网址被拦截的次数超过第一预置阔值； 所述从被拦截的网址中选择至少一个网址包括： 选择所述被拦截的 次数超过第一预置阔值的每个网址； 或者选择被拦截的次数最多的至少 一个网址。
14、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括： 至少一个网址被拦截次数的增量超过第二预设 阔值； 所述从被拦截的网址中选择至少一个网址包括： 选择所述被拦截 的次数的增量超过第二预置阔值的至少一个网址； 或者选择被拦截的次 数的增量最多的至少一个网址。
15、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括： 对应同一全球唯一标识符（GUID )的至少一个 网址被拦截的次数之和超过第三预置阔值； 所述从被拦截的网址中选择 至少一个网址包括： 确定每个对应的次数之和超过第三预置阔值的 GUID, 选择所述确定的 GUID对应的被拦截的网址； 或者确定对应的 次数之和最多的至少一个 GUID， 选择所述确定的 GUID对应的网址。
16、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括： 对应同一 GUID的至少一个网址被拦截的次数 之和的增量超过第四预置阔值； 所述从被拦截的网址中选择至少一个网 址包括： 确定每个对应的次数之和的增量超过第四预置阔值的 GUID， 选择所述确定的 GUID对应的网址； 或者确定对应的次数之和的增量最 多的至少一个 GUID， 选择所述确定的 GUID对应的网址。
17、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括： 对应同一网络之间的互连协议（IP ) 的至少一 个网址被拦截的次数之和超过第五预置阔值； 所述从被拦截的网址中选 择至少一个网址包括： 确定每个对应的次数之和超过第五预置阔值的 IP, 选择所述确定的 IP对应的网址； 或者确定对应的的次数之和最多的 至少一个 IP， 选择所述确定的 IP对应的网址。
18、 根据权利要求 12所述的服务器， 其特征在于，
所述异常条件包括：对应同一 IP的至少一个网址被拦截的次数之和 的增量超过第六预置阔值； 所述从被拦截的网址中选择至少一个网址包 括： 确定每个对应的次数之和的增量超过第六预置阔值的 IP， 选择所述 确定的 IP对应的网址；或者确定对应的次数之和的增量最多的至少一个 IP， 选择所述确定的 IP对应的网址。
19、 根据权利要求 12至 18任一所述的服务器， 其特征在于， 所述第一统计单元， 用于获取对应每个被请求访问的网址对应的响 应消息， 所述响应消息中携带所述被请求访问的网址对应的拦截指示信 息； 根据所述拦截指示信息， 统计所述被请求访问的网址的第一拦截数 据；
所述第二统计单元， 用于获取对应每个被请求访问的网址对应的响 应消息， 所述响应消息中携带所述被请求访问的网址对应的拦截指示信 息； 根据所述拦截指示信息， 统计所述被请求访问的网址的第二拦截数 据。
20、 根据权利要求 12所述的服务器， 其特征在于，
所述拦截单元， 进一步用于， 在所述确定单元确定所述当前拦截方 式出现异常之后， 停止使用所述当前拦截方式， 启动备用的拦截方式。
21、根据权利要求 20所述的服务器， 其特征在于， 所述备用的拦截 方式包括： 所述当前拦截方式之前使用的正常拦截方式， 或者预设的一 种拦截方式。
22、 根据权利要求 12所述的服务器， 其特征在于，
当所述第二拦截数据不满足所述异常条件时，
所述确定单元， 进一步用于确定所述当前拦截方式正常； 所述拦截单元，进一步用于恢复对所述选择的至少一个网址的拦截。
23、 一种数据处理系统， 其特征在于， 包括： 服务器和至少一个用 户端，
所述服务器为上述权利要求 12-22任一所述的服务器。
24、 一种计算机可读存储介质， 其特征在于， 存储有程序， 所述程 序能够使计算机执行如下步骤：
统计被请求访问的网址的第一拦截数据；
当所述第一拦截数据满足预设的异常条件时， 从被拦截的网址中选 择至少一个网址； 停止拦截所述选择的至少一个网址；
在预定时间段内统计被请求访问的网址的第二拦截数据；
当所述第二拦截数据满足所述异常条件时， 确定当前拦截方式出现 异常。
PCT/CN2014/081623 2013-07-05 2014-07-04 数据处理的方法、服务器及系统 WO2015000428A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310282382.7 2013-07-05
CN201310282382.7A CN104219219B (zh) 2013-07-05 2013-07-05 一种数据处理的方法、服务器及系统

Publications (1)

Publication Number Publication Date
WO2015000428A1 true WO2015000428A1 (zh) 2015-01-08

Family

ID=52100355

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/081623 WO2015000428A1 (zh) 2013-07-05 2014-07-04 数据处理的方法、服务器及系统

Country Status (2)

Country Link
CN (1) CN104219219B (zh)
WO (1) WO2015000428A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3332947A1 (en) 2016-12-12 2018-06-13 LUXeXcel Holding B.V. Identification system for optical components

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107623700A (zh) * 2017-10-25 2018-01-23 成都视达科信息技术有限公司 一种防火墙的实现方法和系统
CN110197374B (zh) * 2018-06-15 2024-02-20 腾讯科技（深圳）有限公司 交易拦截控制方法及装置
CN109600751B (zh) * 2018-11-19 2020-09-18 华中科技大学 一种基于网络侧用户数据的伪基站检测方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011018316A1 (en) * 2009-08-12 2011-02-17 F-Secure Corporation Web browser security
CN102325061A (zh) * 2011-09-16 2012-01-18 北京星网锐捷网络技术有限公司 网络监控方法、设备及系统
CN102724190A (zh) * 2012-06-11 2012-10-10 腾讯科技（深圳）有限公司 恶意url拦截提示方法及装置
CN102930211A (zh) * 2012-11-07 2013-02-13 北京奇虎科技有限公司 一种多核浏览器中拦截恶意网址的方法和多核浏览器

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102137059B (zh) * 2010-01-21 2014-12-10 阿里巴巴集团控股有限公司 一种恶意访问的拦截方法和系统
CN102957699B (zh) * 2012-10-26 2017-07-21 北京奇安信科技有限公司 一种企业内网访问控制方法和系统
CN103116723A (zh) * 2013-02-06 2013-05-22 北京奇虎科技有限公司 一种网址拦截处理的方法、装置和系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011018316A1 (en) * 2009-08-12 2011-02-17 F-Secure Corporation Web browser security
CN102325061A (zh) * 2011-09-16 2012-01-18 北京星网锐捷网络技术有限公司 网络监控方法、设备及系统
CN102724190A (zh) * 2012-06-11 2012-10-10 腾讯科技（深圳）有限公司 恶意url拦截提示方法及装置
CN102930211A (zh) * 2012-11-07 2013-02-13 北京奇虎科技有限公司 一种多核浏览器中拦截恶意网址的方法和多核浏览器

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3332947A1 (en) 2016-12-12 2018-06-13 LUXeXcel Holding B.V. Identification system for optical components

Also Published As

Publication number Publication date
CN104219219B (zh) 2018-02-27
CN104219219A (zh) 2014-12-17

Similar Documents

Publication Publication Date Title
US11316878B2 (en) System and method for malware detection
US10432650B2 (en) System and method to protect a webserver against application exploits and attacks
WO2021184586A1 (zh) 基于非扁平网络的私有云监控方法、装置、计算机设备及存储介质
JP6246943B2 (ja) ネットワークフォレンジクスのための記憶媒体、装置及び方法
US20180054458A1 (en) System and method for mitigating distributed denial of service attacks in a cloud environment
US8904524B1 (en) Detection of fast flux networks
US8646038B2 (en) Automated service for blocking malware hosts
WO2021139643A1 (zh) 加密攻击网络流量检测方法，其装置及电子设备
RU2666289C1 (ru) Система и способ для ограничения запросов доступа
EP3488559B1 (en) Network attack defense system and method
WO2017041666A1 (zh) 一种针对访问请求的处理方法和装置
US20200287920A1 (en) Endpoint network traffic analysis
CN110636068B (zh) 在cc攻击防护中识别未知cdn节点的方法以及装置
EP3111616A1 (en) Detecting and managing abnormal data behavior
WO2017004952A1 (zh) 用于检测和阻止恶意点击广告链接的方法和装置
WO2015000428A1 (zh) 数据处理的方法、服务器及系统
US9847970B1 (en) Dynamic traffic regulation
US7441026B2 (en) System and method for guarding against infinite loops from multi-point redirects in a multi-threaded environment
US9195805B1 (en) Adaptive responses to trickle-type denial of service attacks
JP2012181744A (ja) 分散ファイルシステムにおける運用監視システム及び運用監視方法
CN113904843B (zh) 一种终端异常dns行为的分析方法和装置
US20080201776A1 (en) Method And Computing System For Avoiding Denial Of Service Attacks
US20200067973A1 (en) Safer Password Manager, Trusted Services, and Anti-Phishing Process
CN112637171A (zh) 数据流量处理方法、装置、设备、系统和存储介质
US11792209B2 (en) Robust learning of web traffic

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14819463

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205N DATED 15/03/2016)

122 Ep: pct application non-entry in european phase

Ref document number: 14819463

Country of ref document: EP

Kind code of ref document: A1