WO2016008212A1 - 一种终端及检测终端数据交互的安全性的方法、存储介质 - Google Patents
一种终端及检测终端数据交互的安全性的方法、存储介质 Download PDFInfo
- Publication number
- WO2016008212A1 WO2016008212A1 PCT/CN2014/086858 CN2014086858W WO2016008212A1 WO 2016008212 A1 WO2016008212 A1 WO 2016008212A1 CN 2014086858 W CN2014086858 W CN 2014086858W WO 2016008212 A1 WO2016008212 A1 WO 2016008212A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- terminal
- interaction object
- network identifier
- terminal interaction
- preset
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Definitions
- the present invention relates to a mobile terminal security technology, and in particular, to a terminal and a method and a storage medium for detecting security of data interaction of a terminal.
- terminals increasingly need to interact with the network for data, and transfer a large amount of data to and from the network; however, the terminal is in the process of data interaction with the network, especially with unknown web pages or In the process of data interaction between websites, it is difficult to ensure the security of the data of an unknown webpage or website that interacts with the terminal, thereby easily jeopardizing the security of the user information stored in the terminal.
- an embodiment of the present invention is to provide a terminal and a method and a storage medium for detecting security of data interaction of a terminal, which can improve security when the terminal performs data interaction.
- an embodiment of the present invention provides a method for detecting security of data interaction of a terminal, where the method includes:
- the terminal When the terminal performs data interaction, the terminal matches the network identifier of the terminal interaction object with preset information saved by itself;
- the terminal identifies the network identifier of the terminal interaction object according to a preset identification policy
- the preset information includes a whitelist and a blacklist, where the whitelist includes a trusted, secure network identifier; the blacklist includes untrusted , dangerous network identity;
- the network identifier of the terminal interaction object includes a uniform resource locator URL or an IP address of the terminal interaction object.
- the terminal identifies the terminal interaction according to a preset identification policy.
- the network identifier of the object including:
- the terminal identifies the network identifier of the terminal interaction object according to a preset identification policy
- the terminal updates the network identifier of the terminal interaction object to the preset information according to the recognition result, including:
- the terminal adds the network identifier of the terminal interaction object to the blacklist;
- the terminal When the network identifier of the terminal interaction object is identified as a trusted, secure network identifier, the terminal adds the network identifier of the terminal interaction object to the whitelist.
- the terminal identifies the network identifier of the terminal interaction object according to a preset identification policy, and may include at least one of the following:
- the terminal identifies the connection stability of the terminal interaction object, the terminal identifies an abnormal amount of interaction data of the terminal interaction object, and the terminal identifies the terminal interaction object maliciously scans the terminal port, the terminal identification station
- the terminal interaction object initiates an address resolution protocol ARP attack to the terminal, and the terminal identifies the terminal interaction object to send a large size to the terminal. Ping package.
- the terminal identifies the connection stability of the terminal interaction object, including:
- the terminal obtains a complete data length sent by the terminal interaction object by analyzing application layer data of the data packet sent by the terminal interaction object;
- the terminal obtains the data length that the terminal has accepted according to the size of the data packet that has been received by the terminal, and compares with the complete data length;
- the terminal statistics receives the number of the terminated connection data packets sent by the terminal interaction object within a preset first time threshold
- the terminal confirms that the terminal interaction object is unstable, and identifies that the network identifier of the terminal interaction object is untrusted, Dangerous network identity;
- the terminal confirms that the terminal interaction object is stable, and identifies that the network identifier of the terminal interaction object is trusted and secure. Network identity.
- the terminal identifies an abnormal amount of interaction data of the terminal interaction object, including:
- the terminal records a transmission control protocol TCP connection request to the terminal interaction object, and records a first connection time period of the terminal and the terminal interaction object;
- the terminal collects a first data length received from the terminal interaction object in the first time period
- the terminal After the preset time interval, the terminal initiates a TCP connection request to the terminal interaction object for a second time, and collects a second data length received from the terminal interaction object in the first connection time period;
- the terminal When the sum of the first data length and the second data length exceeds a preset first data length threshold, the terminal confirms that the interaction data amount of the terminal interaction object is abnormal, and identifies the terminal interaction object.
- the network identifier is an untrusted, dangerous network identifier
- the terminal confirms that the interaction data amount of the terminal interaction object is abnormal, and identifies the terminal interaction.
- the object's network identity is a trusted, secure network identity.
- the terminal by the terminal, identifies that the terminal interaction object maliciously scans the terminal port, including:
- the terminal After receiving the data packet sent by the terminal interaction object, the terminal parses the TCP header of the data packet;
- the terminal confirms that the terminal interaction object maliciously scans the terminal port, and identifies the terminal interaction object.
- the network identifier is an untrusted, dangerous network identifier
- the terminal confirms that the terminal interaction object does not maliciously scan the terminal port, and identifies that the network identifier of the terminal interaction object is a trusted and secure network identifier.
- the terminal identifies that the terminal interaction object initiates an ARP attack to the terminal, including:
- the terminal In the preset second time period, when the terminal receives the number of ARP request messages sent by the terminal interaction object exceeds a preset second quantity threshold, the terminal confirms that the terminal interacts with the object The terminal initiates an ARP attack, and identifies that the network identifier of the terminal interaction object is an untrusted and dangerous network identifier;
- the terminal In the preset second time period, when the terminal receives the number of ARP request messages sent by the terminal interaction object does not exceed a preset second quantity threshold, the terminal confirms that the terminal interaction object is not An ARP attack is initiated to the terminal, and the network identifier of the terminal interaction object is identified as a trusted, secure network identifier.
- the terminal by the terminal, identifies that the terminal interaction object sends a large-size ping packet to the terminal, including:
- the terminal After receiving the Internet Control Message Protocol (ICMP) packet sent by the terminal interaction object, and confirming that the ICMP data packet is a ping request data packet sent by the terminal interaction object, the terminal parses the ICMP data packet, Obtaining a data length of the ICMP data packet;
- ICMP Internet Control Message Protocol
- the terminal determines that the terminal interaction object sends a large-size ping packet to the terminal, and identifies that the network identifier of the terminal interaction object is Untrusted, dangerous network identity;
- the terminal determines that the terminal interaction object does not send a large-size ping packet to the terminal, and identifies the network of the terminal interaction object. Identified as a trusted, secure network identity.
- the method further includes:
- the terminal terminates data interaction with the terminal interaction object
- the terminal When the network identifier of the terminal interaction object is in the white list, the terminal allows data interaction with the terminal interaction object.
- the method when the network identifier of the terminal interaction object is in the whitelist, the method further includes:
- the terminal In the process of performing data interaction between the terminal and the terminal interaction object, the terminal identifies the network identifier of the terminal interaction object according to the preset identification policy;
- the terminal When the network identifier of the terminal interaction object is identified as an untrusted and dangerous network identifier, the terminal adds the network identifier of the terminal interaction object to the blacklist, and the terminal interaction object The network identifier is deleted from the white list.
- the method further includes:
- the terminal When the preset information includes a preset number of uniform resource locator URLs that belong to the same HOST, the terminal replaces the URLs belonging to the same HOST in the preset information by using the HOST; or
- the terminal When the preset information includes a preset number of network protocol IP addresses belonging to the same gateway, the terminal replaces the IP addresses belonging to the same gateway in the preset information by using the gateway address;
- the terminal matches the network identifier of the terminal interaction object with the preset information saved by the terminal, including:
- the terminal matches the URL of the terminal interaction object with the HOST in the preset information
- the terminal matches the IP address of the terminal interaction object with the gateway address in the preset information.
- an embodiment of the present invention provides a terminal, where the terminal includes: a matching unit, an identifying unit, and an updating unit, where
- the matching unit is configured to match the network identifier of the terminal interaction object with the preset information saved by the terminal when the terminal performs data interaction;
- the identifying unit is configured to identify, when the network identifier of the terminal interaction object is not in the preset information, the network identifier of the terminal interaction object according to a preset identification policy;
- the update unit is configured to update the network identifier of the terminal interaction object to the preset information according to the recognition result of the identification unit.
- the preset information includes a whitelist and a blacklist, where the whitelist includes a trusted, secure network identifier; the blacklist includes untrusted , dangerous network identity;
- the network identifier of the terminal interaction object includes a uniform resource locator URL or an IP address of the terminal interaction object.
- the update unit is configured to:
- the network identifier of the terminal interaction object is identified as a trusted, secure network identifier
- the network identifier of the terminal interaction object is added to the whitelist.
- the identifying unit is configured to identify connection stability of the terminal interaction object, identify an abnormal amount of interaction data of the terminal interaction object, and identify the location
- the terminal interaction object maliciously scans the terminal port, identifies the terminal interaction object, and initiates an address resolution protocol ARP attack to the terminal, and identifies the terminal interaction object to send a large-size ping packet to the terminal.
- the identifying unit is configured to:
- the statistics are received within the preset first time threshold, and the number of the terminated connection data packets sent by the terminal interaction object is received;
- the number of the terminated connection data packets does not exceed the preset first number threshold, confirm that the terminal interaction object is stable, and identify that the network identifier of the terminal interaction object is trusted. Any, secure network identity.
- the identifying unit is configured to:
- a second TCP connection request is initiated to the terminal interaction object, and a second data length received from the terminal interaction object is counted in the first connection time period;
- the identifying unit is configured to:
- the flag bit of the TCP header of the data packet is SYN, and the TCP header of the data packet does not have ACK information, confirm that the terminal interaction object maliciously scans the terminal port, and identify that the network identifier of the terminal interaction object is Untrusted, dangerous network identity;
- the terminal interaction object does not maliciously scan the terminal port, and identifies that the network identifier of the terminal interaction object is a trusted and secure network identifier.
- the identifying unit is configured to:
- the terminal interaction object In a preset second time period, when the number of ARP request packets sent by the terminal interaction object exceeds a preset second number threshold, the terminal interaction object is confirmed to initiate an ARP attack to the terminal. And identifying that the network identifier of the terminal interaction object is an untrusted and dangerous network identifier;
- the identifying unit is configured to:
- the terminal interaction object When the data length of the ICMP data packet does not exceed the preset second data length threshold, determine that the terminal interaction object does not send a large-size ping packet to the terminal, and identify that the network identifier of the terminal interaction object is trusted. Any, secure network identity.
- the terminal further includes: an interaction control unit, configured to terminate when the network identifier of the terminal interaction object is in the blacklist Data interaction of the terminal interaction object;
- the identifying unit is further configured to: when the network identifier of the terminal interaction object is in the whitelist, and in the terminal and the Identifying, by the terminal interaction object, the network identifier of the terminal interaction object according to the preset identification policy;
- the update unit is further configured to: when the network identifier of the terminal interaction object is identified as an untrusted and dangerous network identifier, add the network identifier of the terminal interaction object to the blacklist, and The network identifier of the terminal interaction object is deleted from the white list.
- the terminal further includes a replacement unit, configured to: when the preset information includes a preset number of uniform resource locator URLs belonging to the same HOST, The URL belonging to the same HOST in the preset information is replaced by the HOST; or
- the preset information includes a preset number of network protocol IP addresses belonging to the same gateway, the IP addresses belonging to the same gateway in the preset information are replaced by the gateway address;
- the matching unit is further configured to:
- the embodiment of the invention further provides a storage medium, wherein the storage medium stores a computer program configured to perform the foregoing method for detecting security of data interaction of the terminal.
- the terminal provided by the embodiment of the invention and the method for detecting the security of the data exchange of the terminal; configuring the security list and the non-security list to prevent the terminal from performing data with the webpage or website in the non-secure list during the data interaction process Interaction, which improves the data exchange of the terminal Inter-time security.
- FIG. 1 is a schematic flowchart of a method for detecting security of data interaction of a terminal according to an embodiment of the present invention
- FIG. 2 is a schematic structural diagram of a terminal according to an embodiment of the present invention.
- FIG. 3 is a schematic structural diagram of another terminal according to an embodiment of the present invention.
- FIG. 1 a flow of a method for detecting security of data interaction of a terminal according to an embodiment of the present invention is shown.
- the method may be applied to a terminal, and the terminal may be a smart mobile with communication function.
- Devices such as smart phones, tablets, PDAs, laptop portable computers, wearable electronic devices, and the like; the method can include:
- the preset information may include a whitelist and a blacklist, where the whitelist may include a trusted, secure network identifier; the blacklist may include an untrusted and dangerous network.
- the network identifier may specifically include a Uniform Resource Locator (URL) of the webpage or the website, an IP address, and the like.
- URL Uniform Resource Locator
- the terminal interaction object may be a network element device that interacts with the terminal, such as a server, a gateway, another terminal, etc., and the terminal identifies the network identifier of the terminal interaction object with the terminal.
- the preset information saved by the terminal is matched, that is, the terminal matches the network identifier of the terminal interaction object with the whitelist and the blacklist saved in the terminal respectively.
- the obtained matching result may be divided into: the network identifier of the terminal interaction object is in the In the preset information, the network identifier of the terminal interaction object is not in the preset information;
- the terminal After the terminal matches the network identifier of the terminal interaction object with the whitelist and the blacklist saved in the terminal, the terminal can obtain the following three matching results:
- the network identifier of the terminal interaction object is in the whitelist.
- the network identifier of the terminal interaction object is in the blacklist.
- the network identifier of the terminal interaction object is neither in the whitelist nor in the blacklist.
- the matching results A and B can be regarded as the network identifier of the terminal interaction object in the preset information, and the matching result C can be considered as the network identifier of the terminal interaction object is not in the preset information. in.
- the specific acquisition process of the three matching results of A, B, and C above may be:
- the terminal matches the network identifier of the terminal interaction object with the whitelist;
- the matching result that can be obtained is: the network identifier of the terminal interaction object is in the white list, or the terminal interaction object Network identifier is not in the white list;
- the terminal matches the network identifier of the terminal interaction object with the blacklist; the matching result that can be obtained is: the terminal interaction The network identifier of the object is in the blacklist, or the network identifier of the terminal interaction object is neither in the whitelist nor in the blacklist;
- the terminal when the network identifier of the terminal interaction object is not in the preset information, that is, when the terminal obtains the matching result C, the terminal must also identify the network identifier of the terminal interaction object, such as Step S102;
- the terminal identifies the network identifier of the terminal interaction object according to a preset identification policy, and may include at least one of the following:
- the terminal identifies the connection stability of the terminal interaction object, the terminal identifies an abnormal amount of interaction data of the terminal interaction object, and the terminal identifies the terminal interaction object maliciously scans the terminal port, the terminal identification station
- the terminal interaction object initiates an Address Resolution Protocol (ARP) attack to the terminal, and the terminal identifies the terminal interaction object to send a large-size ping packet to the terminal.
- ARP Address Resolution Protocol
- the terminal may add or delete an identifier for identifying the network identifier of the terminal interaction object according to the actual application scenario of the terminal, which is not specifically limited in this embodiment of the present invention. .
- the terminal that identifies the connection stability of the terminal interaction object may include:
- the terminal obtains a complete data length sent by the terminal interaction object by analyzing application layer data of the data packet sent by the terminal interaction object;
- the terminal obtains the data length that the terminal has accepted according to the size of the data packet that has been received by the terminal, and compares with the complete data length;
- the terminal statistics is received within a preset first time threshold, and the number of the terminated connection data packets sent by the terminal interaction object is received;
- the terminal confirms that the terminal interaction object is unstable, and identifies that the network identifier of the terminal interaction object is untrusted, Dangerous network identity;
- the terminal confirms that the terminal interaction object is stable, and identifies that the network identifier of the terminal interaction object is trusted and secure. Network identity.
- the terminal identifies that the amount of interaction data of the terminal interaction object is abnormal, and may include:
- the terminal records a Transmission Control Protocol (TCP) connection request to the terminal interaction object, and records a first connection time period of the terminal and the terminal interaction object;
- TCP Transmission Control Protocol
- the terminal collects a first data length received from the terminal interaction object in the first time period
- the terminal After the preset time interval, the terminal initiates a TCP connection request to the terminal interaction object for a second time, and collects a second data length received from the terminal interaction object in the first connection time period;
- the terminal When the sum of the first data length and the second data length exceeds a preset first data length threshold, the terminal confirms that the interaction data amount of the terminal interaction object is abnormal, and identifies the terminal interaction object.
- the network identifier is an untrusted, dangerous network identifier
- the terminal confirms that the interaction data amount of the terminal interaction object is abnormal, and identifies the terminal interaction.
- the object's network identity is a trusted, secure network identity.
- the terminal identifying that the terminal interaction object maliciously scans the terminal port may include:
- the terminal After receiving the data packet sent by the terminal interaction object, the terminal parses the TCP header of the data packet;
- the terminal confirms that the terminal interaction object maliciously scans the terminal port, and identifies the terminal interaction object.
- the network identifier is an untrusted, dangerous network identifier
- the terminal confirms that the terminal interaction object does not maliciously scan the terminal port, and identifies that the network identifier of the terminal interaction object is a trusted and secure network identifier.
- the terminal that identifies the terminal interaction object to initiate an ARP attack to the terminal may include:
- the terminal In the preset second time period, when the terminal receives the number of ARP request messages sent by the terminal interaction object exceeds a preset second quantity threshold, the terminal confirms that the terminal interacts with the object The terminal initiates an ARP attack, and identifies that the network identifier of the terminal interaction object is an untrusted and dangerous network identifier;
- the terminal In the preset second time period, when the terminal receives the number of ARP request messages sent by the terminal interaction object does not exceed a preset second quantity threshold, the terminal confirms that the terminal interaction object is not An ARP attack is initiated to the terminal, and the network identifier of the terminal interaction object is identified as a trusted, secure network identifier.
- the terminal identifying that the terminal interaction object sends a large-size ping packet to the terminal may include:
- ICMP Internet Control Message Protocol
- the terminal determines that the terminal interaction object sends a large-size ping packet to the terminal, and identifies that the network identifier of the terminal interaction object is Untrusted, dangerous network identity;
- the terminal determines that the terminal interaction object does not send a large-size ping packet to the terminal, and identifies the network of the terminal interaction object. Identified as a trusted, secure network identity.
- the recognition result may include:
- the network identifier of the terminal interaction object is identified as an untrusted, dangerous network identifier and the network identifier of the terminal interaction object is identified as a trusted, secure network identifier. Results.
- the terminal updates the network identifier of the terminal interaction object to the preset information according to the recognition result;
- the updating, by the terminal, the network identifier of the terminal interaction object to the preset information according to the identification result may include:
- the terminal adds the network identifier of the terminal interaction object to the blacklist;
- the terminal When the network identifier of the terminal interaction object is identified as a trusted, secure network identifier, the terminal adds the network identifier of the terminal interaction object to the whitelist.
- the process of the foregoing S101 to S103 may be such that when the network identifier of the terminal interaction object is not in the preset information, how to update the network identifier of the terminal interaction object to the preset information, so that the pre-implementation can be implemented in the interaction process. Set up an update of the information.
- the terminal may perform the matching result A or the matching result.
- B respectively performs corresponding control operations on the data interaction, and the specific control operations may include:
- the terminal terminates data interaction with the terminal interaction object
- the terminal When the network identifier of the terminal interaction object is in the white list, the terminal allows data interaction with the terminal interaction object.
- the method may further include:
- the terminal may further identify the network identifier of the terminal interaction object according to the preset identification policy;
- the terminal When the network identifier of the terminal interaction object is identified as an untrusted and dangerous network identifier, the terminal adds the network identifier of the terminal interaction object to the blacklist, and the terminal interaction object The network identifier is deleted from the white list;
- the terminal continues to maintain the state of the network identifier of the terminal interaction object in the whitelist.
- the network identifier may specifically include a Uniform Resource Locator (URL) and an IP address of a webpage or a website
- the method may further include:
- the terminal When the preset information includes a preset number of URLs that belong to the same HOST, the terminal replaces the URLs belonging to the same HOST in the preset information by using the HOST;
- the terminal When the preset information includes a preset number of IP addresses belonging to the same gateway, the terminal replaces the IP address belonging to the same gateway in the preset information with the gateway address.
- the terminal that matches the network identifier of the terminal interaction object with the preset information saved by the terminal may include:
- the terminal matches the URL of the terminal interaction object with the HOST in the preset information
- the terminal matches the IP address of the terminal interaction object with the gateway address in the preset information.
- the embodiment of the invention provides a method for detecting the security of the data interaction of the terminal.
- the terminal By configuring the security list and the non-security list, the terminal avoids data with the webpage or website in the non-secure list during the data interaction process. Interaction, which improves the security of the terminal when interacting with data.
- the terminal 20 may include: a matching unit 201, an identifying unit 202, and an updating unit 203, where
- the matching unit 201 is configured to: when the terminal 20 performs data interaction, the end The network identifier of the end interaction object is matched with the preset information saved by the terminal 20;
- the identifying unit 202 is configured to: when the network identifier of the terminal interaction object is not in the preset information, identify the network identifier of the terminal interaction object according to a preset identification policy;
- the updating unit 203 is configured to update the network identifier of the terminal interaction object to the preset information according to the recognition result of the identification unit 202.
- the preset information includes a whitelist and a blacklist, where the whitelist may include a trusted and secure network identifier; the blacklist may include an untrusted and dangerous network identifier.
- the network identifier may specifically include a URL or an IP address of a webpage or a website.
- the whitelist may include a trusted, secure network identifier; the blacklist may include an untrusted and dangerous network identifier; and the network identifier may specifically include a URL of a webpage or a website, IP address, etc.
- the terminal interaction object may be a network element device that interacts with the terminal 20, such as a server, a gateway, another terminal, etc.
- the matching unit 201 identifies the network identifier of the terminal interaction object with the terminal.
- the preset information saved by the terminal 20 is matched, that is, the network identifier of the terminal interaction object is matched with the white list and the blacklist saved in the terminal 20 respectively.
- the matching unit 201 matches the network identifier of the terminal interaction object with the preset information saved by the terminal 20, the matching result obtained may be divided into: the network identifier of the terminal interaction object is in the pre- The network identifier of the terminal interaction object in the information is not in the preset information;
- the matching unit 201 matches the network identifier of the terminal interaction object with the whitelist and the blacklist saved in the terminal 20, the following three matching results can be obtained:
- the network identifier of the terminal interaction object is in the whitelist.
- the network identifier of the terminal interaction object is in the blacklist.
- the network identifier of the terminal interaction object is neither in the whitelist nor in the blacklist.
- the matching results A and B can be regarded as the network identifier of the terminal interaction object in the preset information, and the matching result C can be considered as the network identifier of the terminal interaction object is not in the preset information. in.
- the specific acquisition process of the three matching results of A, B, and C above may be:
- the matching unit 201 matches the network identifier of the terminal interaction object with the whitelist; the matching result that the matching unit 201 can obtain is: the network identifier of the terminal interaction object is in the white list, or the The network identifier of the terminal interaction object is not in the whitelist;
- the matching unit 201 matches the network identifier of the terminal interaction object with the blacklist; the matching result that the matching unit 201 can obtain is: The network identifier of the terminal interaction object is in the blacklist, or the network identifier of the terminal interaction object is neither in the whitelist nor in the blacklist;
- the identifying unit 202 may be configured to identify at least one of the following: The connection stability of the terminal interaction object, the abnormality of the amount of interaction data identifying the terminal interaction object, the identification of the terminal interaction object maliciously scanning the terminal port, and the identification of the terminal interaction object to initiate an ARP attack and identification to the terminal.
- the terminal interaction object sends a large size ping packet to the terminal.
- the identification unit 202 may add or delete an identification item for identifying the network identifier of the terminal interaction object according to the actual application scenario of the terminal 20, which is not specifically described in this embodiment of the present invention. limited.
- the identifying unit 202 can be configured to:
- the statistics are received within the preset first time threshold, and the number of the terminated connection data packets sent by the terminal interaction object is received;
- the terminal interaction object When the number of the terminated connection data packets does not exceed the preset first quantity threshold, confirm that the terminal interaction object is stable, and identify that the network identifier of the terminal interaction object is a trusted and secure network identifier. .
- the identifying unit 202 can be configured to:
- a second TCP connection request is initiated to the terminal interaction object, and a second data length received from the terminal interaction object is counted in the first connection time period;
- the network identifier of the terminal interaction object is a trusted, secure network identifier.
- the identifying unit 202 can be configured to:
- the flag bit of the TCP header of the data packet is SYN, and the TCP header of the data packet does not have ACK information, confirm that the terminal interaction object maliciously scans the terminal port, and identify that the network identifier of the terminal interaction object is Untrusted, dangerous network identity;
- the terminal interaction object does not maliciously scan the terminal port, and identifies that the network identifier of the terminal interaction object is a trusted and secure network identifier.
- the identifying unit 202 can be configured to:
- the terminal interaction object In a preset second time period, when the number of ARP request packets sent by the terminal interaction object exceeds a preset second number threshold, the terminal interaction object is confirmed to initiate an ARP attack to the terminal. And identifying that the network identifier of the terminal interaction object is an untrusted and dangerous network identifier;
- the identifying unit 202 can be configured to:
- the terminal interaction object When the data length of the ICMP data packet does not exceed the preset second data length threshold, determine that the terminal interaction object does not send a large-size ping packet to the terminal, and identify that the network identifier of the terminal interaction object is trusted. Any, secure network identity.
- the result of the identification by the identification unit 202 may include: the network identifier of the terminal interaction object is identified as being untrusted, the dangerous network identifier, and the network identifier of the terminal interaction object are identified as trusted, A secure network identifies these two results.
- the updating unit 203 is configured to add the network identifier of the terminal interaction object to the black when the network identifier of the terminal interaction object is recognized by the identification unit 202 as an untrusted and dangerous network identifier. On the list;
- the network identifier of the terminal interaction object is identified by the identification unit 202 as a trusted, secure network identifier
- the network identifier of the terminal interaction object is added to the whitelist.
- the terminal 20 may further include: an interaction control unit 204 configured to terminate data interaction with the terminal interaction object when the network identifier of the terminal interaction object is in the blacklist;
- the identification unit may be further configured to perform data interaction between the terminal 20 and the terminal interaction object, according to the preset
- the identification policy identifies a network identifier of the terminal interaction object
- the updating unit 203 may be further configured to: when the network identifier of the terminal interaction object is identified as an untrusted and dangerous network identifier, add the network identifier of the terminal interaction object to the blacklist, and The network identifier of the terminal interaction object is deleted from the white list.
- the terminal 20 further includes a replacing unit 205 configured to:
- the preset information includes a preset number of uniform resource locator URLs belonging to the same HOST, the URLs belonging to the same HOST in the preset information are replaced by the HOST; or
- the preset information includes a preset number of network protocol IP addresses belonging to the same gateway, the IP addresses belonging to the same gateway in the preset information are replaced by the gateway address;
- the matching unit 201 can also be configured as:
- the embodiment of the present invention further describes a terminal 20.
- the terminal avoids data interaction with the webpage or the website in the non-secure list in the process of data interaction, thereby improving the terminal. Security when interacting with data.
- the embodiment of the invention further describes a storage medium in which a computer program is stored, the computer program being configured to perform the method for detecting security of data interaction of the terminal in the foregoing embodiments.
- embodiments of the present invention can be provided as a method, system, or computer program product. Accordingly, the present invention can take the form of a hardware embodiment, a software embodiment, or a combination of software and hardware. Moreover, the invention can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage and optical storage, etc.) including computer usable program code.
- the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
- the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
- These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
- the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.
- the invention configures the security list and the non-security list to prevent the terminal from performing data interaction with the webpage or the website in the non-secure list in the process of data interaction, thereby improving the security of the terminal when performing data interaction.
Abstract
本发明实施例公开了一种终端及检测终端数据交互的安全性的方法、存储介质；所述方法包括：当终端进行数据交互时，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配；当所述终端交互对象的网络标识不在所述预设信息中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识；所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息。
Description
本发明涉及移动终端安全技术，尤其涉及一种终端及检测终端数据交互的安全性的方法、存储介质。
随着智能终端的迅猛发展，终端越来越多地需要和网络进行数据交互，与网络之间传输大量的数据；但是，终端在与网络进行数据交互的过程中，特别是与未知的网页或网站进行数据交互的过程中，很难保证与终端进行交互的未知的网页或网站的数据的安全性，从而容易危害到终端内所保存的用户信息的安全。
发明内容
为解决上述技术问题，本发明实施例期望提供一种终端及检测终端数据交互的安全性的方法、存储介质，能够提高终端进行数据交互时的安全性。
本发明实施例的技术方案是这样实现的：
第一方面，本发明实施例提供了检测终端数据交互的安全性的方法，所述方法包括：
当终端进行数据交互时，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配；
当所述终端交互对象的网络标识不在所述预设信息中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识；
所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预
设信息。
根据第一种可能的实现方式，结合第一方面，所述预设信息包括白名单和黑名单，其中，所述白名单包括受信任的、安全的网络标识；所述黑名单包括不受信任的、危险的网络标识；
所述终端交互对象的网络标识包括所述终端交互对象的统一资源定位符URL或IP地址。
根据第二种可能的实现方式，结合第一种可能的实现方式，当所述终端交互对象的网络标识不在所述预设信息中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识，包括：
当所述终端交互对象的网络标识既不在所述白名单中，又不在所述黑名单中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识；
相应地，所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息，包括：
当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中；
当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述白名单中。
根据第三种可能的实现方式，结合第二种可能的实现方式，所述终端按照预设的识别策略识别所述终端交互对象的网络标识，可以包括以下至少一项：
所述终端识别所述终端交互对象的连接稳定性、所述终端识别所述终端交互对象的交互数据量异常、所述终端识别所述终端交互对象恶意扫描所述终端端口、所述终端识别所述终端交互对象向所述终端发起地址解析协议ARP攻击和所述终端识别所述终端交互对象向所述终端发送大尺寸
ping包。
根据第四种可能的实现方式，结合第三种可能的实现方式，所述终端识别所述终端交互对象的连接稳定性，包括：
所述终端通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端交互对象发送的完整数据长度；
所述终端根据自身已接收到的数据包的大小，得到所述终端已经接受的数据长度，并与所述完整数据长度进行比较；
当所述终端已接受的数据长度小于所述完整数据长度时，所述终端统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；
当所述终止连接数据包的个数超过预设的第一数量阈值时，所述终端确认所述终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述终止连接数据包的个数没有超过预设的第一数量阈值时，所述终端确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第五种可能的实现方式，结合第三种可能的实现方式，所述终端识别所述终端交互对象的交互数据量异常，包括：
所述终端记录向所述终端交互对象发起传输控制协议TCP连接请求，并记录所述终端与所述终端交互对象的第一连接时间段；
所述终端统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；
在预设的时间间隔之后，所述终端第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；
当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量无异常，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第六种可能的实现方式，结合第三种可能的实现方式，所述终端识别所述终端交互对象恶意扫描所述终端端口，包括：
所述终端接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；
当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没有ACK信息，所述终端确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
否则，所述终端确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第七种可能的实现方式，结合第三种可能的实现方式，所述终端识别所述终端交互对象向所述终端发起ARP攻击，包括：
在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，所述终端确认所述终端交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，所述终端确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第八种可能的实现方式，结合第三种可能的实现方式，所述终端识别所述终端交互对象向所述终端发送大尺寸ping包，包括：
所述终端在接收到所述终端交互对象发送的因特网控制报文协议ICMP数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；
当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第九种可能的实现方式，结合第一种可能的实现方式，所述方法还包括：
当所述终端交互对象的网络标识在所述黑名单中时，所述终端终止与所述终端交互对象的数据交互；
当所述终端交互对象的网络标识在所述白名单中时，所述终端允许与所述终端交互对象进行数据交互。
根据第十种可能的实现方式，结合第九种可能的实现方式，当所述终端交互对象的网络标识在所述白名单中时，所述方法还包括：
在所述终端与所述终端交互对象进行数据交互的过程中，所述终端根据所述预设的识别策略识别所述终端交互对象的网络标识；
当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除。
根据第十一种可能的实现方式，结合第一方面，所述方法还包括：
当所述预设信息中包括预设数量的统一资源定位符URL属于同一个HOST时，所述终端将所述预设信息中属于同一个HOST的URL用所述HOST代替；或者，
当所述预设信息中包括预设数量的网络协议IP地址属于同一网关时，所述终端将所述预设信息中属于同一个网关的IP地址用所述网关地址代替；
相应地，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配，包括：
所述终端将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；
或者，所述终端将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
第二方面，本发明实施例提供了一种终端，所述终端包括：匹配单元、识别单元和更新单元，其中，
所述匹配单元，配置为当所述终端进行数据交互时，将所述终端交互对象的网络标识与所述终端保存的预设信息进行匹配；
所述识别单元，配置为当所述终端交互对象的网络标识不在所述预设信息中时，按照预设的识别策略识别所述终端交互对象的网络标识；
所述更新单元，配置为根据所述识别单元的识别结果将所述终端交互对象的网络标识更新至所述预设信息。
根据第一种可能的实现方式，结合第二方面，所述预设信息包括白名单和黑名单，其中，所述白名单包括受信任的、安全的网络标识；所述黑名单包括不受信任的、危险的网络标识；
所述终端交互对象的网络标识包括所述终端交互对象的统一资源定位符URL或IP地址。
根据第二种可能的实现方式，结合第一种可能的实现方式，所述更新单元，配置为：
当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中；以及
当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，将所述终端交互对象的网络标识添加到所述白名单中。
根据第三种可能的实现方式，结合第二种可能的实现方式，所述识别单元，配置为识别所述终端交互对象的连接稳定性、识别所述终端交互对象的交互数据量异常、识别所述终端交互对象恶意扫描所述终端端口、识别所述终端交互对象向所述终端发起地址解析协议ARP攻击和识别所述终端交互对象向所述终端发送大尺寸ping包。
根据第四种可能的实现方式，结合第三种可能的实现方式，所述识别单元，配置为：
通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端交互对象发送的完整数据长度；以及，
根据所述终端已接收到的数据包的大小，得到所述终端已接受的数据长度，并与所述完整数据长度进行比较；以及，
当所述终端已接受的数据长度小于所述完整数据长度时，统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；以及
当所述终止连接数据包的个数超过预设的第一数量阈值时，确认所述终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述终止连接数据包的个数没有超过预设的第一数量阈值时，确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信
任的、安全的网络标识。
根据第五种可能的实现方式，结合第三种可能的实现方式，所述识别单元，配置为：
记录向所述终端交互对象发起传输控制协议TCP连接请求，并记录所述终端与所述终端交互对象的第一连接时间段；以及，
统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；以及，
在预设的时间间隔之后，第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；以及，
当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量无异常，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第六种可能的实现方式，结合第三种可能的实现方式，所述识别单元，配置为：
接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；以及，
当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没有ACK信息，确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
否则，确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第七种可能的实现方式，结合第三种可能的实现方式，所述识别单元，配置为：
在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，确认所述终端交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第八种可能的实现方式，结合第三种可能的实现方式，所述识别单元，配置为：
在接收到所述终端交互对象发送的ICMP数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；以及，
当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
根据第九种可能的实现方式，结合第一种可能的实现方式，所述终端还包括：交互控制单元，配置为当所述终端交互对象的网络标识在所述黑名单中时，终止与所述终端交互对象的数据交互；以及
当所述终端交互对象的网络标识在所述白名单中时，允许与所述终端
交互对象进行数据交互。
根据第十种可能的实现方式，结合第九种可能的实现方式，所述识别单元，还配置为当所述终端交互对象的网络标识在所述白名单中，且在所述终端与所述终端交互对象进行数据交互的过程中，根据所述预设的识别策略识别所述终端交互对象的网络标识；
所述更新单元，还配置为当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除。
根据第十一种可能的实现方式，结合第二方面，所述终端还包括替换单元，配置为当所述预设信息中包括预设数量的统一资源定位符URL属于同一个HOST时，将所述预设信息中属于同一个HOST的URL用所述HOST代替；或者，
当所述预设信息中包括预设数量的网络协议IP地址属于同一网关时，将所述预设信息中属于同一个网关的IP地址用所述网关地址代替；
相应地，所述匹配单元，还配置为：
将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；或者，
将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
本发明实施例还提供了一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序配置为执行前述的检测终端数据交互的安全性的方法。
本发明实施例提供的终端及检测终端数据交互的安全性的方法；通过对安全名单和非安全名单进行配置，使得终端在数据交互的过程中，避免与非安全名单中的网页或网站进行数据交互，从而提高了终端进行数据交
互时的安全性。
图1为本发明实施例提供的一种检测终端数据交互的安全性的方法流程示意图；
图2为本发明实施例提供的一种终端的结构示意图；
图3为本发明实施例提供的另一种终端的结构示意图。
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。
参见图1，其示出了本发明实施例提供的一种检测终端数据交互的安全性的方法流程，该方法可以应用于终端中，列举而非限定地，终端可以是具备通信功能的智能移动设备，比如，智能手机、平板电脑、掌上电脑、膝上型便携计算机、可穿戴的电子设备等等；该方法可以包括：
S101：当终端进行数据交互时，所述终端将所述终端交互对象的网络标识与所述终端自身保存的预设信息进行匹配；
示例性地，所述预设信息可以包括白名单和黑名单，其中，所述白名单中可以包括受信任的、安全的网络标识；所述黑名单中可以包括不受信任的、危险的网络标识；而网络标识具体又可以包括网页或网站的统一资源定位符(URL，Uniform Resource Locator)、IP地址等。
可以理解地，所述终端交互对象可以是与所述终端进行交互的网元设备，例如服务器、网关、另一个终端等，而且，所述终端将所述终端交互对象的网络标识与所述终端自身保存的预设信息进行匹配，也就是所述终端将所述终端交互对象的网络标识分别与终端中保存的白名单和黑名单进行匹配。
需要说明的是，所述终端将所述终端交互对象的网络标识与所述终端自身保存的预设信息进行匹配之后，获取的匹配结果可以分为：所述终端交互对象的网络标识在所述预设信息中、所述终端交互对象的网络标识不在所述预设信息中这两种；
而所述终端将所述终端交互对象的网络标识分别与终端中保存的白名单和黑名单进行匹配之后，可以获取以下三个匹配结果：
A、所述终端交互对象的网络标识在所述白名单中；
B、所述终端交互对象的网络标识在所述黑名单中；
C、所述终端交互对象的网络标识既不在所述白名单中，又不在所述黑名单中。
可以理解地，匹配结果A和B可以认为是所述终端交互对象的网络标识在所述预设信息中，而匹配结果C则可以认为是所述终端交互对象的网络标识不在所述预设信息中。
优选地，以上A、B、C三个匹配结果的具体获取过程可以是：
首先，所述终端将所述终端交互对象的网络标识与所述白名单进行匹配；可以获取的匹配结果为：所述终端交互对象的网络标识在所述白名单中，或所述终端交互对象的网络标识不在所述白名单中；
然后，当所述终端交互对象的网络标识不在所述白名单中时，所述终端将所述终端交互对象的网络标识与所述黑名单进行匹配；可以获取的匹配结果为：所述终端交互对象的网络标识在所述黑名单中，或所述终端交互对象的网络标识既不在所述白名单中，也不在所述黑名单中；
值得注意的是，当所述终端交互对象的网络标识不在所述预设信息中，也就是所述终端获取到匹配结果C时，终端还必须对所述终端交互对象的网络标识进行识别，如步骤S102所述；
S102：当所述终端交互对象的网络标识不在所述预设信息中时，所述
终端按照预设的识别策略识别所述终端交互对象的网络标识；
示例性地，所述终端按照预设的识别策略识别所述终端交互对象的网络标识，可以包括以下至少一项：
所述终端识别所述终端交互对象的连接稳定性、所述终端识别所述终端交互对象的交互数据量异常、所述终端识别所述终端交互对象恶意扫描所述终端端口、所述终端识别所述终端交互对象向所述终端发起地址解析协议(ARP，Address Resolution Protocol)攻击和所述终端识别所述终端交互对象向所述终端发送大尺寸ping包。
可以理解地，除了上述的五项以外，所述终端还可以根据自身的实际应用情景添加或删减用于识别所述终端交互对象的网络标识的识别项，本发明实施例对此不作具体限定。
具体地，所述终端识别所述终端交互对象的连接稳定性，可以包括：
所述终端通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端交互对象发送的完整数据长度；
所述终端根据自身已经接收到的数据包的大小，得到所述终端已经接受的数据长度，并与所述完整数据长度进行比较；
当所述终端已经接受的数据长度小于所述完整数据长度时，所述终端统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；
当所述终止连接数据包的个数超过预设的第一数量阈值时，所述终端确认所述终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述终止连接数据包的个数没有超过预设的第一数量阈值时，所述终端确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
具体地，所述终端识别所述终端交互对象的交互数据量异常，可以包括：
所述终端记录向所述终端交互对象发起传输控制协议(TCP，Transmission Control Protocol)连接请求，并记录所述终端与所述终端交互对象的第一连接时间段；
所述终端统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；
在预设的时间间隔之后，所述终端第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；
当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量无异常，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
具体地，所述终端识别所述终端交互对象恶意扫描所述终端端口，可以包括：
所述终端接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；
当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没有ACK信息，所述终端确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
否则，所述终端确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
具体地，所述终端识别所述终端交互对象向所述终端发起ARP攻击，可以包括：
在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，所述终端确认所述终端交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，所述终端确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
具体地，所述终端识别所述终端交互对象向所述终端发送大尺寸ping包，可以包括：
所述终端在接收到所述终端交互对象发送的因特网控制报文协议(ICMP，Internet Control Message Protocol)数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；
当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；
当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
由上述可知，识别结果可以包括：
所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识和所述终端交互对象的网络标识被识别为受信任的、安全的网络标识这两
个结果。
S103：所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息；
具体地，所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息可以包括：
当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中；以及，
当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述白名单中。
以上S101至S103的过程可以使得当所述终端交互对象的网络标识不在预设信息中时，如何将所述终端交互对象的网络标识更新到预设信息中，从而能够在交互过程中实现对预设信息的更新。
此外，当通过步骤S101得到所述终端交互对象的网络标识在所述预设信息中，也就是所述终端获取到匹配结果A或匹配结果B之后，所述终端可以根据匹配结果A或匹配结果B分别对数据交互进行相应的控制操作，具体的控制操作可以包括：
当所述终端交互对象的网络标识在所述黑名单中时，所述终端终止与所述终端交互对象的数据交互；
当所述终端交互对象的网络标识在所述白名单中时，所述终端允许与所述终端交互对象进行数据交互。
优选地，当所述终端交互对象的网络标识在所述白名单中时，所述方法还可以包括：
在所述终端与所述终端交互对象进行数据交互的过程中，所述终端还可以根据所述预设的识别策略识别所述终端交互对象的网络标识；
当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除；
可以理解地，当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，所述终端继续保持所述终端交互对象的网络标识在所述白名单中的状态。
需要说明的是，由于网络标识具体可以包括网页或网站的统一资源定位符(URL，Uniform Resource Locator)和IP地址，所述方法还可以包括：
当所述预设信息中包括预设数量的URL属于同一个HOST时，所述终端将所述预设信息中属于同一个HOST的URL用所述HOST代替；
当所述预设信息中包括预设数量的IP地址属于同一网关时，所述终端将所述预设信息中属于同一个网关的IP地址用所述网关地址代替。
相应地，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配，可以包括：
所述终端将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；
或者，所述终端将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
本发明实施例提供了一种检测终端数据交互的安全性的方法；通过对安全名单和非安全名单进行配置，使得终端在数据交互的过程中，避免与非安全名单中的网页或网站进行数据交互，从而提高了终端进行数据交互时的安全性。
参见图2，其示出了本发明实施例提供的一种终端20的结构，该终端20可以包括：匹配单元201、识别单元202和更新单元203，其中，
所述匹配单元201，配置为当所述终端20进行数据交互时，将所述终
端交互对象的网络标识与所述终端20保存的预设信息进行匹配；
所述识别单元202，配置为当所述终端交互对象的网络标识不在所述预设信息中时，按照预设的识别策略识别所述终端交互对象的网络标识；
所述更新单元203，配置为根据所述识别单元202的识别结果将所述终端交互对象的网络标识更新至所述预设信息。
示例性地，所述预设信息包括白名单和黑名单，其中，所述白名单中可以包括受信任的、安全的网络标识；所述黑名单中可以包括不受信任的、危险的网络标识；而网络标识具体又可以包括网页或网站的URL、IP地址等。
示例性地，所述白名单中可以包括受信任的、安全的网络标识；所述黑名单中可以包括不受信任的、危险的网络标识；而网络标识具体又可以包括网页或网站的URL、IP地址等。
可以理解地，所述终端交互对象可以是与所述终端20进行交互的网元设备，例如服务器、网关、另一个终端等，而且匹配单元201将所述终端交互对象的网络标识与所述终端20自身保存的预设信息进行匹配，也就是将所述终端交互对象的网络标识分别与终端20中保存的白名单和黑名单进行匹配。
需要说明的是，匹配单元201将所述终端交互对象的网络标识与终端20自身保存的预设信息进行匹配之后，获取的匹配结果可以分为：所述终端交互对象的网络标识在所述预设信息中、所述终端交互对象的网络标识不在所述预设信息中这两种；
而匹配单元201将所述终端交互对象的网络标识分别与终端20中保存的白名单和黑名单进行匹配之后，可以获取以下三个匹配结果：
A、所述终端交互对象的网络标识在所述白名单中；
B、所述终端交互对象的网络标识在所述黑名单中；
C、所述终端交互对象的网络标识既不在所述白名单中，又不在所述黑名单中。
可以理解地，匹配结果A和B可以认为是所述终端交互对象的网络标识在所述预设信息中，而匹配结果C则可以认为是所述终端交互对象的网络标识不在所述预设信息中。
优选地，以上A、B、C三个匹配结果的具体获取过程可以是：
首先，匹配单元201将所述终端交互对象的网络标识与所述白名单进行匹配；匹配单元201可以获取的匹配结果为：所述终端交互对象的网络标识在所述白名单中，或所述终端交互对象的网络标识不在所述白名单中；
然后，当所述终端交互对象的网络标识不在所述白名单中时，匹配单元201将所述终端交互对象的网络标识与所述黑名单进行匹配；匹配单元201可以获取的匹配结果为：所述终端交互对象的网络标识在所述黑名单中，或所述终端交互对象的网络标识既不在所述白名单中，也不在所述黑名单中；
值得注意的是，当所述终端交互对象的网络标识不在所述预设信息中，也就是匹配单元201获取到匹配结果C时，所述识别单元202，可以用于识别以下至少一项：识别所述终端交互对象的连接稳定性、识别所述终端交互对象的交互数据量异常、识别所述终端交互对象恶意扫描所述终端端口、识别所述终端交互对象向所述终端发起ARP攻击和识别所述终端交互对象向所述终端发送大尺寸ping包。
可以理解地，除了上述的五项以外，识别单元202还可以根据终端20的实际应用情景添加或删减用于识别所述终端交互对象的网络标识的识别项，本发明实施例对此不作具体限定。
可选地，识别单元202，可以配置为：
通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端
交互对象发送的完整数据长度；以及，
根据所述终端已接收到的数据包的大小，得到所述终端已接受的数据长度，并与所述完整数据长度进行比较；以及，
当所述终端已接受的数据长度小于所述完整数据长度时，统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；以及
当所述终止连接数据包的个数超过预设的第一数量阈值时，确认所述终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述终止连接数据包的个数没有超过预设的第一数量阈值时，确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
可选地，识别单元202，可以配置为：
记录向所述终端交互对象发起传输控制协议TCP连接请求，并记录所述终端与所述终端交互对象的第一连接时间段；以及，
统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；以及，
在预设的时间间隔之后，第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；以及，
当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量无异常，并识别所
述终端交互对象的网络标识为受信任的、安全的网络标识。
可选地，识别单元202，可以配置为：
接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；以及，
当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没有ACK信息，确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
否则，确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
可选地，识别单元202，可以配置为：
在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，确认所述终端交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
可选地，识别单元202，可以配置为：
在接收到所述终端交互对象发送的ICMP数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；以及，
当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，
当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
由上述可知，识别单元202进行识别的结果可以包括：所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识和所述终端交互对象的网络标识被识别为受信任的、安全的网络标识这两个结果。
示例性地，更新单元203，配置为当所述终端交互对象的网络标识被识别单元202识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中；以及
当当所述终端交互对象的网络标识被识别单元202识别为受信任的、安全的网络标识时，将所述终端交互对象的网络标识添加到所述白名单中。
示例性地，参见图3，终端20还可以包括：交互控制单元204，配置为当所述终端交互对象的网络标识在所述黑名单中时，终止与所述终端交互对象的数据交互；以及
当所述终端交互对象的网络标识在所述白名单中时，允许与所述终端交互对象进行数据交互。
优选地，当所述终端交互对象的网络标识在所述白名单中时，识别单元还可以配置为在所述终端20与所述终端交互对象进行数据交互的过程中，根据所述预设的识别策略识别所述终端交互对象的网络标识；
更新单元203，还可以配置为当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除。
需要说明的是，由于网络标识具体可以包括网页或网站的URL和IP地址，参见图3，所述终端20还包括替换单元205，配置为：
当所述预设信息中包括预设数量的统一资源定位符URL属于同一个HOST时，将所述预设信息中属于同一个HOST的URL用所述HOST代替；或者，
当所述预设信息中包括预设数量的网络协议IP地址属于同一网关时，将所述预设信息中属于同一个网关的IP地址用所述网关地址代替；
相应地，匹配单元201，还可以配置为：
将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；
或者，将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
本发明实施例还记载了一种终端20；通过对安全名单和非安全名单进行配置，使得终端在数据交互的过程中，避免与非安全名单中的网页或网站进行数据交互，从而提高了终端进行数据交互时的安全性。
本发明实施例还记载了一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序配置为执行前述各实施例的检测终端数据交互的安全性的方法。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得
通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。
本发明通过对安全名单和非安全名单进行配置，使得终端在数据交互的过程中，避免与非安全名单中的网页或网站进行数据交互，从而提高了终端进行数据交互时的安全性。
Claims (25)
- 一种检测终端数据交互的安全性的方法，包括：当终端进行数据交互时，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配；当所述终端交互对象的网络标识不在所述预设信息中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识；所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息。
- 根据权利要求1所述的方法，其特征在于，所述预设信息包括白名单和黑名单，其中，所述白名单包括受信任的、安全的网络标识；所述黑名单包括不受信任的、危险的网络标识；所述终端交互对象的网络标识包括所述终端交互对象的统一资源定位符URL或IP地址。
- 根据权利要求2所述的方法，其特征在于，当所述终端交互对象的网络标识不在所述预设信息中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识，包括：当所述终端交互对象的网络标识既不在所述白名单中，又不在所述黑名单中时，所述终端按照预设的识别策略识别所述终端交互对象的网络标识；相应地，所述终端根据识别结果将所述终端交互对象的网络标识更新至所述预设信息，包括：当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中；当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述白名单中。
- 根据权利要求3所述的方法，其特征在于，所述终端按照预设的识别策略识别所述终端交互对象的网络标识，可以包括以下至少一项：所述终端识别所述终端交互对象的连接稳定性、所述终端识别所述终端交互对象的交互数据量异常、所述终端识别所述终端交互对象恶意扫描所述终端端口、所述终端识别所述终端交互对象向所述终端发起地址解析协议ARP攻击和所述终端识别所述终端交互对象向所述终端发送大尺寸ping包。
- 根据权利要求4所述的方法，其特征在于，所述终端识别所述终端交互对象的连接稳定性，包括：所述终端通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端交互对象发送的完整数据长度；所述终端根据自身已接收到的数据包的大小，得到所述终端已经接受的数据长度，并与所述完整数据长度进行比较；当所述终端已接受的数据长度小于所述完整数据长度时，所述终端统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；当所述终止连接数据包的个数超过预设的第一数量阈值时，所述终端确认所述终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；当所述终止连接数据包的个数没有超过预设的第一数量阈值时，所述终端确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求4所述的方法，其特征在于，所述终端识别所述终端交互对象的交互数据量异常，包括：所述终端记录向所述终端交互对象发起传输控制协议TCP连接请求， 并记录所述终端与所述终端交互对象的第一连接时间段；所述终端统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；在预设的时间间隔之后，所述终端第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，所述终端确认所述终端交互对象的交互数据量无异常，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求4所述的方法，其特征在于，所述终端识别所述终端交互对象恶意扫描所述终端端口，包括：所述终端接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没有ACK信息，所述终端确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；否则，所述终端确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求4所述的方法，其特征在于，所述终端识别所述终端交互对象向所述终端发起ARP攻击，包括：在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，所述终端确认所述终端 交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；在预设的第二时间段内，当所述终端接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，所述终端确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求4所述的方法，其特征在于，所述终端识别所述终端交互对象向所述终端发送大尺寸ping包，包括：所述终端在接收到所述终端交互对象发送的因特网控制报文协议ICMP数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，所述终端确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求2所述的方法，其特征在于，所述方法还包括：当所述终端交互对象的网络标识在所述黑名单中时，所述终端终止与所述终端交互对象的数据交互；当所述终端交互对象的网络标识在所述白名单中时，所述终端允许与所述终端交互对象进行数据交互。
- 根据权利要求10所述的方法，其特征在于，当所述终端交互对象的网络标识在所述白名单中时，所述方法还包括：在所述终端与所述终端交互对象进行数据交互的过程中，所述终端根 据所述预设的识别策略识别所述终端交互对象的网络标识；当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，所述终端将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除。
- 根据权利要求1所述的方法，其特征在于，所述方法还包括：当所述预设信息中包括预设数量的统一资源定位符URL属于同一个HOST时，所述终端将所述预设信息中属于同一个HOST的URL用所述HOST代替；或者，当所述预设信息中包括预设数量的网络协议IP地址属于同一网关时，所述终端将所述预设信息中属于同一个网关的IP地址用所述网关地址代替；相应地，所述终端将所述终端交互对象的网络标识与自身保存的预设信息进行匹配，包括：所述终端将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；或者，所述终端将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
- 一种终端，包括：匹配单元、识别单元和更新单元，其中，所述匹配单元，配置为当所述终端进行数据交互时，将所述终端交互对象的网络标识与所述终端保存的预设信息进行匹配；所述识别单元，配置为当所述终端交互对象的网络标识不在所述预设信息中时，按照预设的识别策略识别所述终端交互对象的网络标识；所述更新单元，配置为根据所述识别单元的识别结果将所述终端交互对象的网络标识更新至所述预设信息。
- 根据权利要求13所述的终端，其特征在于，所述预设信息包括白 名单和黑名单，其中，所述白名单包括受信任的、安全的网络标识；所述黑名单包括不受信任的、危险的网络标识；所述终端交互对象的网络标识包括所述终端交互对象的统一资源定位符URL或IP地址。
- 根据权利要求14所述的终端，其特征在于，所述更新单元，配置为：当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中；以及当所述终端交互对象的网络标识被识别为受信任的、安全的网络标识时，将所述终端交互对象的网络标识添加到所述白名单中。
- 根据权利要求15所述的终端，其特征在于，所述识别单元，配置为识别所述终端交互对象的连接稳定性、识别所述终端交互对象的交互数据量异常、识别所述终端交互对象恶意扫描所述终端端口、识别所述终端交互对象向所述终端发起地址解析协议ARP攻击和识别所述终端交互对象向所述终端发送大尺寸ping包。
- 根据权利要求16所述的终端，其特征在于，所述识别单元，配置为：通过分析所述终端交互对象发送的数据包的应用层数据得到所述终端交互对象发送的完整数据长度；以及，根据所述终端已接收到的数据包的大小，得到所述终端已接受的数据长度，并与所述完整数据长度进行比较；以及，当所述终端已接受的数据长度小于所述完整数据长度时，统计在预设的第一时间阈值内，接收所述终端交互对象发送的终止连接数据包的个数；以及当所述终止连接数据包的个数超过预设的第一数量阈值时，确认所述 终端交互对象是不稳定的，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，当所述终止连接数据包的个数没有超过预设的第一数量阈值时，确认所述终端交互对象是稳定的，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求16所述的终端，其特征在于，所述识别单元，配置为：记录向所述终端交互对象发起传输控制协议TCP连接请求，并记录所述终端与所述终端交互对象的第一连接时间段；以及，统计所述第一时间段内从所述终端交互对象接收到的第一数据长度；以及，在预设的时间间隔之后，第二次向所述终端交互对象发起TCP连接请求，并在所述第一连接时间段内统计从所述终端交互对象接收到的第二数据长度；以及，当所述第一数据长度与所述第二数据长度的总和超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量异常，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，当所述第一数据长度与所述第二数据长度的总和没有超过预设的第一数据长度阈值时，确认所述终端交互对象的交互数据量无异常，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求16所述的终端，其特征在于，所述识别单元，配置为：接收所述终端交互对象发送的数据包后，对所述数据包的TCP头进行解析；以及，当所述数据包的TCP头的标志位为SYN，且所述数据包的TCP头没 有ACK信息，确认所述终端交互对象恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，否则，确认所述终端交互对象未恶意扫描所述终端端口，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求16所述的终端，其特征在于，所述识别单元，配置为：在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数超过预设的第二数量阈值时，确认所述终端交互对象向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，在预设的第二时间段内，当接收所述终端交互对象发送的ARP请求报文的个数没有超过预设的第二数量阈值时，确认所述终端交互对象未向所述终端发起ARP攻击，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求16所述终端，其特征在于，所述识别单元，配置为：在接收到所述终端交互对象发送的ICMP数据包，且确认所述ICMP数据包为所述终端交互对象发送的ping请求数据包后，解析所述ICMP数据包，获取所述ICMP数据包的数据长度；以及，当所述ICMP数据包的数据长度超过预设的第二数据长度阈值时，确定所述终端交互对象向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为不受信任的、危险的网络标识；以及，当所述ICMP数据包的数据长度没有超过预设的第二数据长度阈值时，确定所述终端交互对象未向所述终端发送大尺寸ping包，并识别所述终端交互对象的网络标识为受信任的、安全的网络标识。
- 根据权利要求14所述的终端，其特征在于，所述终端还包括：交 互控制单元，配置为当所述终端交互对象的网络标识在所述黑名单中时，终止与所述终端交互对象的数据交互；以及当所述终端交互对象的网络标识在所述白名单中时，允许与所述终端交互对象进行数据交互。
- 根据权利要求22所述的终端，其特征在于，所述识别单元，还配置为当所述终端交互对象的网络标识在所述白名单中，且在所述终端与所述终端交互对象进行数据交互的过程中，根据所述预设的识别策略识别所述终端交互对象的网络标识；所述更新单元，还配置为当所述终端交互对象的网络标识被识别为不受信任的、危险的网络标识时，将所述终端交互对象的网络标识添加到所述黑名单中，并将所述终端交互对象的网络标识从所述白名单中进行删除。
- 根据权利要求13所述的终端，其特征在于，所述终端还包括替换单元，配置为当所述预设信息中包括预设数量的统一资源定位符URL属于同一个HOST时，将所述预设信息中属于同一个HOST的URL用所述HOST代替；或者，当所述预设信息中包括预设数量的网络协议IP地址属于同一网关时，将所述预设信息中属于同一个网关的IP地址用所述网关地址代替；相应地，所述匹配单元，还配置为：将所述终端交互对象的URL与所述预设信息中的HOST进行匹配；或者，将所述终端交互对象的IP地址与所述预设信息中的网关地址进行匹配。
- 一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序配置为执行权利要求1至12任一项所述的检测终端数据交互的安全性的方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410336749.3 | 2014-07-15 | ||
| CN201410336749.3A CN105282112A (zh) | 2014-07-15 | 2014-07-15 | 一种终端及检测终端数据交互的安全性的方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2016008212A1 true WO2016008212A1 (zh) | 2016-01-21 |
Family
ID=55077862
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2014/086858 WO2016008212A1 (zh) | 2014-07-15 | 2014-09-18 | 一种终端及检测终端数据交互的安全性的方法、存储介质 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN105282112A (zh) |
| WO (1) | WO2016008212A1 (zh) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2020187295A1 (zh) * | 2019-03-20 | 2020-09-24 | 新华三技术有限公司 | 异常主机的监控 |
| CN116150221A (zh) * | 2022-10-09 | 2023-05-23 | 浙江博观瑞思科技有限公司 | 服务于企业电商运营管理的信息交互方法及系统 |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108234486A (zh) * | 2017-12-29 | 2018-06-29 | 北京神州绿盟信息安全科技股份有限公司 | 一种网络监测方法及监测服务器 |
| CN111125751A (zh) * | 2019-12-03 | 2020-05-08 | 中盈优创资讯科技有限公司 | 数据库的防穿库方法及装置 |
| CN111859361B (zh) * | 2020-09-23 | 2021-08-31 | 歌尔光学科技有限公司 | 一种通信方法、装置及电子设备和存储介质 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102118326A (zh) * | 2011-01-27 | 2011-07-06 | 郭少方 | 一种电子邮件处理方法 |
| CN102708186A (zh) * | 2012-05-11 | 2012-10-03 | 上海交通大学 | 一种钓鱼网站的识别方法 |
| CN103916389A (zh) * | 2014-03-19 | 2014-07-09 | 汉柏科技有限公司 | 防御HttpFlood攻击的方法及防火墙 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8107955B2 (en) * | 2008-07-18 | 2012-01-31 | Research In Motion Limited | Apparatus and method for performing network scanning using black-list network information |
| CN102231745A (zh) * | 2011-07-08 | 2011-11-02 | 盛大计算机（上海）有限公司 | 一种网络应用的安全系统及方法 |
| CN103701804A (zh) * | 2013-12-26 | 2014-04-02 | 北京奇虎科技有限公司 | 网络购物环境安全性检测方法及装置 |
-
2014
- 2014-07-15 CN CN201410336749.3A patent/CN105282112A/zh not_active Withdrawn
- 2014-09-18 WO PCT/CN2014/086858 patent/WO2016008212A1/zh active Application Filing
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102118326A (zh) * | 2011-01-27 | 2011-07-06 | 郭少方 | 一种电子邮件处理方法 |
| CN102708186A (zh) * | 2012-05-11 | 2012-10-03 | 上海交通大学 | 一种钓鱼网站的识别方法 |
| CN103916389A (zh) * | 2014-03-19 | 2014-07-09 | 汉柏科技有限公司 | 防御HttpFlood攻击的方法及防火墙 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2020187295A1 (zh) * | 2019-03-20 | 2020-09-24 | 新华三技术有限公司 | 异常主机的监控 |
| CN116150221A (zh) * | 2022-10-09 | 2023-05-23 | 浙江博观瑞思科技有限公司 | 服务于企业电商运营管理的信息交互方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN105282112A (zh) | 2016-01-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10929538B2 (en) | Network security protection method and apparatus | |
| US10419431B2 (en) | Preventing cross-site request forgery using environment fingerprints of a client device | |
| WO2014172956A1 (en) | Login method,apparatus, and system | |
| WO2016008212A1 (zh) | 一种终端及检测终端数据交互的安全性的方法、存储介质 | |
| CN109768991B (zh) | 报文的重放攻击检测方法、装置、电子设备 | |
| US10218717B1 (en) | System and method for detecting a malicious activity in a computing environment | |
| CN102438028B (zh) | 一种防止dhcp服务器欺骗的方法、装置及系统 | |
| US20140325628A1 (en) | Login method, apparatus, and system | |
| EP4044546A1 (en) | Message processing method, device and apparatus as well as computer readable storage medium | |
| US11722488B2 (en) | Non-intrusive / agentless network device identification | |
| JP2020017809A (ja) | 通信装置及び通信システム | |
| CN108616521B (zh) | 网络接入方法、装置、设备及可读存储介质 | |
| US8572366B1 (en) | Authenticating clients | |
| CN108712369B (zh) | 一种工业控制网多属性约束访问控制决策系统和方法 | |
| CN111756716A (zh) | 流量检测方法、装置及计算机可读存储介质 | |
| CN109495362B (zh) | 一种接入认证方法及装置 | |
| CN107707569A (zh) | Dns请求处理方法及dns系统 | |
| WO2019047693A1 (zh) | 一种进行WiFi网络安全监控的方法与设备 | |
| KR101494329B1 (ko) | 악성 프로세스 검출을 위한 시스템 및 방법 | |
| CN113259429A (zh) | 会话保持管控方法、装置、计算机设备及介质 | |
| JP5385867B2 (ja) | データ転送装置及びアクセス解析方法 | |
| CN114499969A (zh) | 一种通信报文的处理方法、装置、电子设备及存储介质 | |
| Balaji et al. | EUDIS-an encryption scheme for user-data security in public networks | |
| CN108768987B (zh) | 数据交互方法、装置及系统 | |
| US20160337402A1 (en) | Method of slowing down a communication in a network |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 14897759 Country of ref document: EP Kind code of ref document: A1 |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| 122 | Ep: pct application non-entry in european phase |
Ref document number: 14897759 Country of ref document: EP Kind code of ref document: A1 |