WO2023072057A1 - 提供安全服务的方法及装置、电子设备及计算机存储介质 - Google Patents

提供安全服务的方法及装置、电子设备及计算机存储介质 Download PDF

Info

Publication number
WO2023072057A1
WO2023072057A1 PCT/CN2022/127338 CN2022127338W WO2023072057A1 WO 2023072057 A1 WO2023072057 A1 WO 2023072057A1 CN 2022127338 W CN2022127338 W CN 2022127338W WO 2023072057 A1 WO2023072057 A1 WO 2023072057A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
host
information
service
tenant
Prior art date
Application number
PCT/CN2022/127338
Other languages
English (en)
French (fr)
Inventor
沈宁敏
Original Assignee
中移(苏州)软件技术有限公司
中国移动通信集团有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中移(苏州)软件技术有限公司, 中国移动通信集团有限公司 filed Critical 中移(苏州)软件技术有限公司
Publication of WO2023072057A1 publication Critical patent/WO2023072057A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the present disclosure relates to the field of computer technology, in particular to a method and device for providing security services, electronic equipment, and computer storage media.
  • the disclosure provides a method and device for providing security services, electronic equipment, and a computer storage medium.
  • the first aspect of the present disclosure provides a method for providing a security service, the method including:
  • the host information includes at least: order information of the host and asset information of the host;
  • a second aspect of the present disclosure provides a device for providing security services, the device comprising:
  • An acquisition module configured to acquire host information under a tenant; wherein, the host information at least includes: order information of the host and asset information of the host;
  • a determining module configured to input the host information into the security model, and obtain security service information output by the security model
  • a providing module configured to provide corresponding security services to hosts of the tenants based on the security service information.
  • a third aspect of the present disclosure provides an electronic device, the electronic device comprising: a processor and a memory configured to store a computer program that can run on the processor; wherein,
  • the fourth aspect of the present disclosure provides a computer storage medium, the computer storage medium stores computer-executable instructions; after the computer-executable instructions are executed by a processor, the provision of security services as described in the first aspect of the present disclosure can be implemented. Methods.
  • Fig. 1 is a schematic flowchart of a method for providing security services shown in an exemplary embodiment
  • Fig. 2 is a schematic flowchart of a method for providing security services shown in an exemplary embodiment
  • Fig. 3 is a schematic flowchart of a method for providing security services shown in an exemplary embodiment
  • Fig. 4 is a schematic diagram of a unified host security detection model under the carrier service of the cloud security center shown in an exemplary embodiment
  • Fig. 5 is a security architecture diagram of a cloud resource host shown in an exemplary embodiment
  • FIG. 6 is a multi-node-based host terminal security protection model shown in an exemplary embodiment
  • Fig. 7 is a relationship diagram of tenants using cloud center carrier service modules shown in an exemplary embodiment
  • Fig. 8 is a schematic diagram of a tenant security service process shown in an exemplary embodiment
  • Fig. 9 is a schematic diagram of the field structure of the directional push field of the security report provided to the tenant according to an exemplary embodiment
  • Fig. 10 is a schematic structural diagram of an apparatus for providing security services shown in an exemplary embodiment.
  • An embodiment of the present disclosure provides a method for providing a security service, as shown in FIG. 1 , the method includes:
  • Step S101 creating a host security model under the constraints of a normalized statement
  • Step S102 acquiring host information under the tenant; wherein, the host information includes at least: order information of the host and asset information of the host;
  • Step S103 input the host information into the security model, and obtain the security service information output by the security model;
  • Step S104 based on the security service information, provide corresponding security services to the tenant's host.
  • T (Tenant) is set as the tenant
  • CSC Cloud Security carrier
  • GO Global Order
  • CH Cloud Host
  • H HyperText
  • SM Security Model
  • L Level
  • P Pools
  • SS Security Service
  • step S101 the host security model is created under the constraints of the normalized statement; the normalized statement will be formulated for the security model using the above T, CSC, GO, CH, H, SM, L, P, and SS.
  • first-order logic also known as first-order predicate calculus, is a formal system that allows quantitative statements.
  • First-order logic is a combing logic that distinguishes it from higher-order logic, and does not allow quantitative properties; properties are characteristics of an object.
  • the cloud security center carrier provides security services to resource pool hosts under tenants, and manages all assets under a tenant based on host assets under resource pool nodes and tenant-defined categories as targets. Integrating multiple security module capabilities of different categories and capabilities, it manages the status of host assets at the granularity of tenants, performs corresponding processing based on different security events, and uniformly reports tenants and issues corresponding alarms.
  • the carrier service center the data of all tenants is collected, stored and reported in a unified manner, and the tenants only need to simply subscribe to register the carrier service once to realize the decoupling from the resource pool nodes and use the corresponding security capabilities as needed.
  • Figure 4 shows the unified host security detection model under the carrier service of the cloud security center.
  • the cloud security center carrier will obtain the assets of the host on the cloud and/or the host off the cloud, and update the asset information of the host synchronously according to the asset changes of the host To the cloud security center carrier.
  • a host security model is created under the constraints of a normalized statement, and the normalized statement indicates the user's host information.
  • the security model After the order information and asset information included in the host information are input into the security model, a normalized sentence representation of the host information will be generated, and the security model will output security service information according to the normalized sentence representation.
  • the cloud security center carrier provides corresponding security services to the hosts of the tenants based on the security service information.
  • the meaning of the security model in step S101 is the security set of the security service level corresponding to the prevention and reinforcement of the host on the cloud and the host assets off the cloud under the condition of global ordering by the tenant.
  • On-host assets including the summary of security capabilities that all hosts under multiple resource pool nodes should have, that is, single or multiple security sub-capabilities form corresponding security service associations on one or more hosts; for off-cloud host assets, in tenants Under the premise of custom management, a service mapping relationship is formed with the corresponding security sub-capability.
  • the subscription information of the host includes but is not limited to: the level of the security service subscribed by the tenant for the host, and whether the tenant has subscribed for the global service for the host.
  • the higher the level of the security service the greater the number of categories of the security service.
  • the number of categories of security services includes, but is not limited to: detection and alarm for brute force cracking, abnormal login, maintenance of WEB backdoor security, virus detection and killing, maintenance of cloud honeypot data, abnormal alarm, baseline Repair, vulnerability repair, virus isolation and other measures, and generate security logs and security reports.
  • step S103 after the order information and asset information included in the host information are input into the security model, the security service information output by the security model is obtained.
  • the security service information indicates whether the tenant has subscribed to the global service. If the tenant has subscribed to the global service, the asset to be maintained under the subscribed global service will output the combination of security service modules selected by the tenant.
  • step S104 providing the corresponding security service to the host of the tenant based on the security service information is to provide the corresponding security service to the host of the tenant based on the security service output from the security model. category.
  • the host security model is created under the constraints of standardized sentences; the host information is input into the security model, and the security service information output by the security model is obtained; based on the security service information, corresponding security services are provided to the tenant's host; and Compared with the current technology, a single resource pool orders security services once, a single resource pool is independent and has no statistical security capabilities, and cannot provide appropriate global security services on demand.
  • the security model in the embodiments of the present disclosure can be based on the subscription of tenant hosts Information and asset information output security service information, and can provide corresponding security services to the hosts of the tenants as required.
  • the inputting the host information into the security model includes:
  • Asset information expressed in a second normalized statement is input to the security model.
  • the first normalized sentence indicates the level of the subscription service in the subscription information and whether to subscribe to the global service.
  • the first normalization statement specifies the attribute feature L, and the GO value domain relationship, Li is represented as the i-th level, and its levels are arranged in order of size, and Contains the security capability module of the i-th level for the j-th level.
  • GO 0/1 indicates whether the tenant subscribes to the global service, 0 means not subscribed, 1 means subscribed.
  • the second normalization statement represents a combination of asset information.
  • the host assets on the cloud and the host assets under the cloud under multiple nodes are combined into all the host assets under the tenant, which can be represented by P 1 ⁇ P 2 ⁇ P 3 ...P p (p>0) ⁇ CH+ H, CH ⁇ H, P p represents the corresponding host assets on the cloud under the pth node.
  • order information is represented by the above-mentioned first normalized sentence
  • asset information is represented by the above-mentioned second normalized sentence
  • the order information represented by the first normalized sentence is input into the security model
  • the order information represented by the second normalized sentence will be represented by the second normalized sentence
  • the asset information of the tenant is input into the security model, which can integrate the order information and asset information of the tenant, and provide security services to the tenant according to the actual needs of the tenant.
  • the order information at least includes:
  • GO value constraining whether the tenant subscribes to the global service if the GO value is the first value, it indicates that the tenant subscribes to the security service; if the GO value is the second value, it indicates that the tenant has not subscribed security services;
  • n indicates that the security service subscribed by the tenant belongs to the nth level, and the n is configured to determine the number of module categories that provide the security service.
  • the value of GO that restricts whether the tenant subscribes to the global service: if the value of GO is the first value, it indicates that the tenant subscribes to the security service; if the value of the GO is the second value, it indicates that the A security service not subscribed by the tenant; here, the first value is different from the second value, and if the tenant does not subscribe to the global security service, the global security service provided by the cloud security center carrier cannot be used.
  • the first value may take a value of 1, and the second value may take a value of 0.
  • the value of Ln of the security service level subscribed by the tenant is constrained; n indicates that the security service subscribed by the tenant belongs to the nth level, and the n is configured to determine the number of module categories that provide the security service; here, the level n is arranged in order of size, the higher the level, the greater the value of n, and the greater the number of module categories of the corresponding security service.
  • the modules that serve the j-th level of security include the modules that serve the i-th level of security.
  • the value of GO indicates whether the tenant subscribes to the global service
  • the value of Ln indicates the level of the security service subscribed by the tenant, and then indicates the module of the security service that the tenant needs to subscribe, and it can be determined whether to provide the global service according to the needs of the tenant , and determine the module category of the security service selected by the tenant according to the level of the tenant under the global service.
  • the asset information includes:
  • the asset information refers to the asset information of the host on the cloud and the asset information of the host under the cloud corresponding to multiple nodes under the tenant, and P P represents the corresponding host asset under the pth node.
  • the set of assets of multiple hosts to be maintained uses symbols P 1 ⁇ P 2 ⁇ P 3 . . . P p (p>0) ⁇ CH+H, CH ⁇ H. Indicates the conjunction of host assets of multiple nodes to form a set CH+H of assets of multiple hosts.
  • each host is marked independently of each other, which is convenient for distinguishing and identifying multiple hosts and providing security services.
  • the inputting the host information into the security model to obtain the security service information output by the security model further includes:
  • step S1031 the host information is input into the security model, and the security service information output by the security model in a third normalized sentence is obtained.
  • the third standardized statement refers to: different types of security capabilities form a security module, and multiple security modules form a security service under capability orchestration, symbolic representation (SM 1 ⁇ SM 2 ⁇ SM 3 ⁇ SM... SM t ) ⁇ SS l
  • SM 1 ⁇ SM 2 ⁇ SM 3 ⁇ SM... SM t is the smth security sub-capability under the specified security module category.
  • the security service SS l of level l contains the security sub-capability module of level l-1, and so on, and the security service module of higher level contains the security service module of lower level.
  • the host information is input into the security model, and the security service information output by the security model in the third normalized statement is obtained, that is, the order information and asset information indicated by the host information are input into the security model, and the security model passes
  • the third normalized statement represents the security service information output by the third normalized statement as a security model that provides a category combination of corresponding security service modules provided to the tenant. In this way, required and corresponding security services can be provided for tenants.
  • the provision of corresponding security services to hosts of the tenants based on the security service information includes:
  • Step S1041 based on the security service information, obtain the security service module category quantity combination under the condition that the tenant subscribes to the security service of the global service;
  • Step S1042 Provide corresponding security services to hosts of the tenants according to the combination of types and quantities of the security service modules.
  • model formula of the security model is:
  • T represents the tenant
  • l represents the security service level for the target
  • CH represents the host on the cloud
  • P is the number of resource pool nodes
  • H represents the host asset under the cloud
  • SM represents the security service sub-capability
  • sm Represents the number of multiple security subcapabilities.
  • in the above model formula Indicates that tenant T has subscribed to the security service under the global service, Indicates the collection of host assets belonging to nodes from 1 to p, Indicates a collection of 1 to sm security sub-capability services SM, Indicates that there is a security service level l greater than 0, and a set of security sub-capabilities from 1 to sm belongs to the security service corresponding to the security service level l.
  • the meaning of the above security model formula means that the security service SS required by the tenant T is in Subscribed to the global service, under the condition that the security service level L is greater than 0, and the set of 1 to sm security subcapabilities belongs to the security service corresponding to the security service level l, according to the set of host assets under the 1 to p nodes
  • the security service module categories and quantities under CH+H are combined to provide tenant T with security service SS l corresponding to level L.
  • the security services required by the tenants can be provided to the tenants.
  • the cloud security center carrier will update the host assets to the cloud security center carrier synchronously according to the asset changes of the host under the tenant. After the synchronization of the host assets is completed, the cloud security center carrier will use the security model to update the input The security service level and the corresponding security service module are combined with the assets of the host under the tenant to generate the security service SS corresponding to the tenant.
  • the cloud security center carrier after determining the corresponding security service SS provided to the tenant, the cloud security center carrier will generate a terminal engine component installation command uniquely identified by the tenant, and send it to each host for automatic or manual installation. After the installation is completed, The host's back-end thread automatically establishes a communication link with the security center carrier.
  • the security center carrier After starting the security service, the security center carrier starts the security engine thread to first detect the host system status, security configuration, and firewall, and obtains the baseline, vulnerability, risk, virus and other rule bases from the center carrier service, and performs security detection based on the rule information , if the corresponding risk item is detected, based on the low-risk, medium-risk, and high-risk levels of the risk item, combined with the repair measures of the default configuration or the standards set by the tenant on the platform, whether it is repaired to achieve security reinforcement, and an alarm is automatically triggered to notify in time Tenant-related data information, dependent files or security configurations that need to be reinforced are automatically pulled from the central carrier service.
  • the security engine thread can automatically monitor external intrusion traffic, such as brute force cracking and abnormal login, under the definition of corresponding security rules, and form a set of virtual security walls for host terminal operations initiated by non-tenants themselves, realizing terminal Safety precautions.
  • external intrusion traffic such as brute force cracking and abnormal login
  • the tenant logs in to the cloud security center carrier, subscribes to the security service of the global service, and obtains the capability service of the corresponding specification.
  • the multi-node host under the tenant can be globalized and centralized Security detection and reinforcement; and, according to the order information and asset information of the host under the tenant, according to the needs of the tenant, provide corresponding and appropriate security services to the tenant.
  • Example 1 A method of providing a security service.
  • each resource pool has the same, independent, and non-statistical security capabilities.
  • user host assets correspond to resource pool nodes
  • security capabilities are associated with resource pool nodes
  • cloud security protection capabilities it has the isolation of host assets, the repetition of product ordering, and the diversity of security capabilities and terminal protection processes.
  • This is a security capability architecture model based on node distribution. In terms of resource deployment and security data analysis, it is independent of resource nodes and is a non-global unified model.
  • Disadvantage 2 In the case of statistics on the security status of host assets, the user reports the same security event on multiple resource pool nodes, which cannot be detected and processed in a centralized manner. If it is necessary to set an alarm threshold or a security whitelist for attack items, It is also necessary to maintain multiple thresholds or multiple whitelists, and it is difficult to achieve consistent processing of security prevention and reinforcement of user host assets.
  • Disadvantage 3 In the multi-node security protection capability, the cloud security capability provider and the tenant asset data cannot be managed in a centralized manner, and the security capability cluster center has resources deployed in each independent resource pool node, so the unified management of cluster resources and The unified monitoring of service running status adds multiple times of operation and maintenance costs. At the same time, in the case of processing security detection data, unified security processing and security report statistics cannot be performed in the dimension of tenants.
  • the embodiment of the present disclosure implements a globalization, centralization, and cloud processing security detection and reinforcement method for tenant host assets, so that all security event processing is unified with the tenant as the granularity, and new resource pool nodes and new hosts Assets and new security protection capabilities are capable of dynamic expansion. Tenants can perform unified security inspections on all host assets under the full resource pool node without repeatedly ordering or operating related products.
  • a security capability center cluster is provided to manage the host asset status of all tenants, and conduct unified analysis and processing of security data, so that the host security status detection, reinforcement, and alarms are consistent.
  • resource management also reduces the complexity of cluster management and reduces the maintenance cost of operation and maintenance personnel. And provide corresponding security services according to the needs of tenants.
  • the embodiment of the present disclosure proposes a unified detection of host security under the carrier service of the cloud security center.
  • This method is based on the target of host assets under resource pool nodes and user-defined categories, and manages all host assets under a tenant in a unified manner. Integrating multiple security module capabilities of different categories and capabilities, it manages the status of host assets at the granularity of tenants, performs corresponding processing based on different security events, and uniformly reports tenants and issues corresponding alarms.
  • the carrier service center the data of all tenants is collected, stored and reported in a unified manner, and the tenants only need to simply subscribe to the registered carrier service once to realize decoupling from the resource pool nodes and use the corresponding security capabilities as needed.
  • Model operation Figure 4 shows the host security unified detection model under the carrier service of the cloud security center.
  • L i (i>0) is the i-th level, and its levels are arranged in order of size, and Contains the security capability module of the i-th level for the j-th level.
  • GO 0/1 indicates whether the tenant subscribes to the global service, 0 means not subscribed, 1 means subscribed.
  • multi-tenants can detect and strengthen the cloud security capabilities of different nodes and different custom host assets in the cloud center carrier service.
  • the model formula is:
  • T represents the tenant
  • l represents the corresponding service level
  • CH represents the host on the cloud
  • p is the number of resource pool nodes
  • H represents the host asset under the cloud
  • SM represents the security service sub-capability
  • sm Indicates the number of multiple security sub-capabilities.
  • the meaning of the above formula model is the security set of prevention and reinforcement corresponding to the service level of the on-cloud host and off-cloud host assets under the condition of global ordering by the tenant.
  • the on-cloud host assets including all hosts under multiple resource pool nodes
  • the center service analyzes and counts the security service level and the corresponding security sub-capabilities to generate a terminal engine component installation command uniquely identified by the tenant, and automatically through the public network or proxy service It is sent to each terminal for automatic installation or tenants manually obtain self-installation from the platform side.
  • the back-end thread automatically establishes a communication link with the central carrier service. After the thread is started, it first checks the host system status, security configuration, firewall, etc., and obtains the baseline, vulnerability, risk, virus and other rule bases from the central carrier service. The thread automatically performs security detection based on the rule information.
  • the security engine thread can automatically monitor external intrusion traffic, such as brute force cracking, abnormal login, etc., under the definition of corresponding security rules, and form a set of virtual security walls for host terminal operations initiated by non-tenants themselves to achieve terminal security prevention.
  • the shown tenant uses the cloud center carrier service module relationship diagram.
  • the tenant logs in to the cloud platform platform and passes the authentication
  • the cloud center carrier service collects and monitors the security data of all node hosts in a unified manner, outputs alarms, automatically reinforces them, and provides repair suggestions;
  • a unified security report is formed for the security monitoring data of all tenants and all assets, which is regularly pushed and checked by operation and maintenance personnel.
  • a host security detection and reinforcement model based on cloud center carrier services is proposed, and standardized semantics are used to define and constrain the model, so as to realize single-tenant to multi-node, custom Security detection, data collection, and security reinforcement are performed for the host category.
  • custom Security detection, data collection, and security reinforcement are performed for the host category.
  • the number and type of tenant hosts can be dynamically expanded, and the security of the hosts can be managed and tested in a unified manner.
  • the sub-capabilities and security capability categories of the security module are uniformly organized, and expanded sequentially according to the specification level, and the security service capability is integrated and managed in the cloud center carrier, and the level of authority corresponding to the maintenance and management realizes the external unification of the security capability Service, which can dynamically add and delete other types of host security capabilities, and has horizontal expansion of service capabilities.
  • the provision of carrier services is centralized and globalized, so that service capability clusters have unified management and status monitoring in terms of resource management.
  • the corresponding statistical analysis fields of tenant security reports are defined, so that the operation and maintenance side can process and analyze the security data of all tenants, and also realize regular push of security reports for tenants.
  • an apparatus 200 for providing security services includes:
  • Create a module 201 configured to create a host security model under the constraints of a normalized statement
  • the obtaining module 202 is configured to obtain host information under the tenant; wherein, the host information includes at least: subscription information of the host and asset information of the host;
  • the determination module 203 is configured to input the host information into the security model, and obtain the security service information output by the security model;
  • the providing module 204 is configured to provide corresponding security services to hosts of the tenant based on the security service information.
  • the determination module is configured to input the host information into the security model, including:
  • Asset information expressed in a second normalized statement is input to the security model.
  • the order information at least includes:
  • GO value constraining whether the tenant subscribes to the global service if the GO value is the first value, it indicates that the tenant subscribes to the security service; if the GO value is the second value, it indicates that the tenant has not subscribed security services;
  • n indicates that the security service subscribed by the tenant belongs to the nth level, and the n is configured to determine the number of module categories that provide the security service.
  • the asset information includes:
  • the determination module is further configured to:
  • It is configured to input the host information into the security model, and obtain the security service information output by the security model in a third normalized statement.
  • the providing module is further configured to:
  • It is configured to obtain, based on the security service information, the combination of the number of security service module categories under the condition that the tenant subscribes to the security service of the global service;
  • It is configured to provide corresponding security services to hosts of the tenants according to the combination of the number of categories of the security service modules.
  • a device in an embodiment of the present disclosure, includes:
  • memory configured to store processor-executable instructions
  • a medium is provided, wherein there are computer-executable instructions in the medium, and the computer-executable instructions are executed by a processor to implement the steps in the compensation method described above.
  • the above-mentioned integrated units in the embodiments of the present disclosure are implemented in the form of software function modules and sold or used as independent products, they may also be stored in a computer-readable storage medium.
  • the computer software product is stored in a storage medium, and includes several instructions for Make a computer device (which may be a personal computer, a server, or a network device, etc.) execute all or part of the methods described in various embodiments of the present disclosure.
  • the aforementioned storage media include: removable storage devices, read-only memory (ROM, Read-Only Memory), random access memory (RAM, Random Access Memory), magnetic disks or optical disks, and other media that can store program codes.
  • the method for providing a security service in an embodiment of the present disclosure includes: creating a host security model under the constraints of a standardized statement; inputting host information into the security model to obtain security service information output by the security model; based on the security service information, providing Corresponding security services; Compared with the current technology, a single resource pool orders a single security service, a single resource pool is independent and has no statistical security capabilities, and cannot provide appropriate global security services on demand, the security model in the embodiments of the present disclosure can The security service information is output based on the subscription information and asset information of the tenant's host, and corresponding security services can be provided to the tenant's host as required.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

一种提供安全服务的方法及装置、电子设备及计算机存储介质，所述方法包括：在规范化语句的约束下创建主机安全模型（S101）；获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息（S102）；将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息（S103）；基于所述安全服务信息，向所述租户的主机提供对应的安全服务（S104）；通过规范化语句的约束创建安全模型，并且利用安全模型输出的安全服务信息向租户的所有主机提供对应的全局化的安全服务，进行相应的安全预防和加固。

Description

提供安全服务的方法及装置、电子设备及计算机存储介质
相关申请的交叉引用
本公开基于申请号为202111258008.4、申请日为2021年10月27日、申请名称为“提供安全服务的方法及装置、电子设备及计算机存储介质”的中国专利申请提出，并要求该中国专利申请的优先权，该中国专利申请的全部内容在此引入本公开作为参考。
技术领域
本公开涉及计算机技术领域，具体涉及提供安全服务的方法及装置、电子设备及计算机存储介质。
背景技术
随着计算机的普及，网络入侵、病毒爆发、信息泄露等安全事件问题也日益突出，计算机终端安全问题一直受到安全领域各类厂商、云服务中心的密切关注，目前关于对于租户下的多个资源池的多个节点的安全维护是针对单个资源池进行单独安全服务，这使得租户需要针对不同的资源池重复订购多次安全服务，并且无法提供与资源池对应且合适的安全服务。
因此，需要一种能进行提供全局服务且能按需提供安全服务的装置。
发明内容
本公开提供一种提供安全服务的方法及装置、电子设备及计算机存储介质。
本公开第一方面提供了一种提供安全服务的方法，所述方法包括：
在规范化语句的约束下创建主机安全模型；
获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
本公开第二方面提供一种提供安全服务的装置，所述装置包括：
创建模块，配置为在规范化语句的约束下创建主机安全模型；
获取模块，配置为获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
确定模块，配置为将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
提供模块，配置为基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
本公开第三方面提供一种电子设备，所述电子设备包括：处理器和配置为存储能够在处理器上运行的计算机程序的存储器；其中，
所述处理器运行所述计算机程序情况下，执行本公开第一方面的提供安全服务的方法的步骤。
本公开第四方面提供一种计算机存储介质，所述计算机存储介质存储有计算机可执行指令；所述计算机可执行指令被处理器执行后，能够实现如本公开第一方面所述的提供安全服务的方法。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，而非限制本公开。根据下面参考附图对示例性实施例的详细说明，本公开实施例的其它特征将变得清楚。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，这些附图示出了符合本公开的实施例，并与说明书一起用于说明本公开的技术方案。
图1为一示例性实施例示出的提供安全服务的方法的流程示意图；
图2为一示例性实施例示出的提供安全服务的方法的流程示意图；
图3为一示例性实施例示出的提供安全服务的方法的流程示意图；
图4为一示例性实施例示出的云安全中心载体服务下的主机安全统一检测模型示意图；
图5为一示例性实施例示出的云资源主机安全架构图；
图6为一示例性实施例示出的基于多节点下主机终端安全防护模型；
图7为一示例性实施例示出的租户使用云中心载体服务模块关系图；
图8为一示例性实施例示出的租户安全服务流程示意图；
图9为一示例性实施例示出的提供给租户的安全报告定向推送字段结构示意图；
图10为一示例性实施例示出的提供安全服务的装置的结构示意图。
具体实施方式
以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。
在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。
本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中术语“至少一种”表示多种中的任意一种或多种中的至少两种的任意组合，例如，包括A、B、C中的至少一种，可以表示包括从A、B和C构成的集合中选择的任意一个或多个元素。
另外，为了更好地说明本公开实施例，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开实施例同样可以实施。在一些实施例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开实施例的主旨。
本公开实施例提供了一种提供安全服务的方法，结合图1所示，所述方法包括：
步骤S101，在规范化语句的约束下创建主机安全模型；
步骤S102，获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
步骤S103，将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
步骤S104，基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
本公开实施例中，设定T(Tenant)为租户，CSC(Cloud Security carrier)为云安全载体，GO(Global Order)为全局订购，CH(Cloud Host)为云上主机，H(Hosts)为自定义主机，SM(Security Model)为安全能力模块，L(Level)为安全能力服务等级，P(Pools)为资源池节点，SS((Security Service)为安全服务)。
本公开实施例，步骤S101中在规范化语句的约束下创建主机安全模型；会对使用上述T、CSC、GO、CH、H、SM、L、P、SS针对安全模型制定规范化语句。
本公开实施例中，使用一阶逻辑的谓词表示规范化语句。一阶逻辑也称一阶谓词演算，允许量化陈述的公式，是一种形式系统，一阶逻辑是区别与高阶逻辑的梳理逻辑，不允许量化性质；性质是一个物体的特性。采用符号∧表示合取，∨表示析取，符号
Figure PCTCN2022127338-appb-000001
表示全称量词，
Figure PCTCN2022127338-appb-000002
表示存在量词，符号→表示蕴涵，
Figure PCTCN2022127338-appb-000003
表示双条件。
本公开实施例中，云安全中心载体向租户下的资源池主机提供安全服务，基于资源池节点下及租户自定义类别的主机资产为目标，将一个租户下所有资产进行统一管理。在集成多类不同类别，不同能力的安全模块能力，以租户为粒度，对主机资产进行状态管理、基于不同的安全事件进行相应的处理，并且统一上报租户及发出对应的告警。在载体服务中心，对所有租户的数据进行统一采集、存储及日志上报，而租户只需简单的订购一次注册载体服务，实现与资源池节点的解耦，按需使用对应的安全能力，示意图参见图4所示的云安全中心载体服务下的主机安全统一检测模型。
本公开实施例中，如图4所示，租户一次订购全局服务之后，云安全中心载体会获取云上主机和/或云下主机的资产，并根据主机的资产变化，同步更新主机的资产信息至云安全中心载体。
本公开实施例中，在规范化语句的约束下创建主机安全模型，规范化语句指示用户的主机信息。主机信息所包括的订购信息以及资产信息输入至安全模型后，会生成主机信息的规范化语句的表示，安全模型根据规范化的语句的表示，输出安全服务信息。云安全中心载体基于安全服务信息，向所 述租户的主机提供对应的安全服务。
本公开实施例中，在步骤S101中的安全模型的含义为租户在全局化订购的条件下，云上主机以及云下主机资产所具备的预防及加固对应的安全服务等级的安全集合，针对云上主机资产，包括多个资源池节点下所有主机应具备的安全能力汇总，即单个或多个安全子能力在单个或多个主机上形成对应的安全服务关联；针对云下主机资产，在租户自定义管理的前提下，与对应安全子能力形成服务映射关系。
本公开实施例中，在步骤S102中，主机的订购信息包括但不限于是：租户为主机订购的安全服务的等级，以及租户是否为主机订购了全局服务。
本公开实施例中，安全服务的等级越高，说明安全服务的类别数量越多。
本公开实施例中，安全服务的类别数量包括但不限于：针对暴力破解、异常登录的检测和告警、对于WEB后门安全性的维护、病毒查杀、云蜜罐数据的维护、异常告警、基线修复、漏洞修复、病毒隔离等措施，并生成安全日志和安全报告。
本公开实施例中，在步骤S103中，将主机信息包括的订购信息和资产信息输入到所述安全模型后，得到所述安全模型输出的安全服务信息。这里，安全服务信息指示租户是否订购了全局服务，若租户订购了全局服务，则在订购的全局服务下对待维护的资产，输出租户选择的安全服务模块的组合。
本公开实施例中，在步骤S104中，基于所述安全服务信息，向所述租户的主机提供对应的安全服务，是基于与安全模型输出的安全服务，向租户的主机提供对应的安全服务的类别。
本公开实施例中，在规范化语句的约束下创建主机安全模型；将主机信息输入到安全模型，得到安全模型输出的安全服务信息；基于安全服务信息，向租户的主机提供对应的安全服务；与目前技术单个资源池单次订购安全服务，单个资源池独立且没有统计的安全能力，无法按需提供合适的全局化安全服务相比，本公开实施例中的安全模型可以基于租户的主机的订购信息和资产信息输出安全服务信息，可以按需向所述租户的主机提供对应的安全服务。
本公开实施例中，所述将所述主机信息输入到所述安全模型，包括：
将以第一规范化语句表示的订购信息输入到所述安全模型；
和/或，
将以第二规范化语句表示的资产信息输入到所述安全模型。
本公开实施例中，第一规范化语句表示订购信息中的订购服务的等级以及是否订购全局服务。
本公开实施例中，第一规范化语句对属性特征L，GO值域关系约定，Li表示为第i个等级，其等级按大小顺序排列，且
Figure PCTCN2022127338-appb-000004
为第j个等级包含第i个等级的安服能力模块。GO 0/1表示租户是否订购全局服务，0为未订购，1为订购。
本公开实施例中，第二规范化语句表示资产信息的组合。
本公开实施例中，多个节点下的云上主机资产及云下主机资产组合成租户下所有的主机资产，可以用P 1∧P 2∧P 3…P p(p>0)∈CH+H,CH∪H，P p表示第p个节点下对应的云上主机资产。
本公开实施例中，通过上述第一规范化语句表示订购信息，上述第二规范化语句表示资产信息，并且将以第一规范化语句表示的订购信息输入到所述安全模型，将以第二规范化语句表示的资产信息输入到安全模型，可以综合租户的订购信息和资产信息，按租户的实际需求对租户提供安全服务。
本公开实施例中，所述订购信息至少包括：
约束租户是否订购全局服务的GO取值：若所述GO取值为第一值，指示所述租户订购的是安全服务；若所述GO取值为第二值，指示所述租户未订购的安全服务；
约束租户订购的安全服务等级的Ln的值；n表示租户订购的安全服务属于第n个等级，所述n配置为确定提供所述安全服务的模块类别数量。
本公开实施例中，约束租户是否订购全局服务的GO取值：若GO取值为第一值，指示所述租户订购的是安全服务；若所述GO取值为第二值，指示所述租户未订购的安全服务；这里，第一值与第二值不同，并且，若租户未订购全局化的安全服务，则无法使用云安全中心载体提供的全局化的安全服务。
本公开实施例中，第一值可以取值为1，第二值可以取值为0。
本公开实施例中，约束租户订购的安全服务等级的Ln的值；n表示租户订购的安全服务属于第n个等级，所述n配置为确定提供所述安全服务的模块类别数量；这里，等级n是按照大小顺序排列的，等级越高，n值越大，对应的安全服务的模块类别数量就越多。
在一个实施例中，n＝i的情况下，安全服务等级为Li；n＝j情况下，安全服务等级为Lj。且
Figure PCTCN2022127338-appb-000005
为第j个等级的安全服务的模块包含第i个等级的安全服务的模块。
本公开实施例中，通过GO值表示租户是否订购全局服务，通过Ln的值表示租户订购的安全服务的等级，进而表示租户需要订购的安全服务的模块，可以按租户的需求确定是否提供全局服务，以及在全局服务下根据租户的等级确定租户选择的安全服务的模块类别。如此，通过规范化语句约束表示租户的订购信息的属性，可以为按需为租户提供安全服务。
本公开实施例中，所述资产信息包括：
待维护的多个主机的资产的集合。
本公开实施例中，资产信息是指租户下的多个节点对应的云上主机资产信息以及云下主机资产信息，用P P表示第p个节点下对应的主机资产。
本公开实施例中，待维护的多个主机的资产的集合用符号P 1∧P 2∧P 3…P p(p>0)∈CH+H,CH∪H。表示多个节点的主机资产的合取组成多个主机的资产的集合CH+H。
本公开实施例中，关于多个主机的资产的合取，即使组合成集合，每个主机都是相互独立标注，便于之后针对多个主机进行分辨和识别，以及提供安全服务。
本公开实施例中，需要确定主机的资产信息，才能确定安全服务对主机的维护对象，便于对主机下的这些资产进行安全服务的检测和维护，如此，能为主机提供对应的安全服务。
本公开实施例中，结合图2所示，所述将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息，还包括：
步骤S1031将所述主机信息输入到所述安全模型，得到所述安全模型以第三规范化语句输出的安全服务信息。
本公开实施例中，第三规范化语句是指：不同类型的安全能力组成安全模块，多个安全模块在能力编排下形成安全服务，符号表示(SM 1∧SM 2∧SM 3∧SM...SM t)→SS l|l>0,t>0，SM sm为指定安全模块类别下的第sm个安全子能力。上述符号表示多个安全子能力的合取组成的集构成第L等级的安全服务SS l的模块。
本公开实施例中，对于不同的租户，根据是否进行全局订购具有不同的安全能力服务，
Figure PCTCN2022127338-appb-000006
表示在l>0的条件下，第l等级的安全服务SS l包含第l-1的安全子能力模块，依次类推，等级越高的安全服务模块包含等级低的安全服务模块。
本公开实施例中，将主机信息输入到安全模型，得到安全模型以第三规范化语句输出的安全服务信息，也即是，将主机信息指示的订购信息和资产信息输入到安全模型，安全模型通过第三规范 化语句表示对租户提供的对应的安全服务模块的类别组合作为安全模型以第三规范化语句输出的安全服务信息。如此，能为租户提供需要且对应的安全服务。
本公开实施例中，结合图3所示，所述基于所述安全服务信息，向所述租户的主机提供对应的安全服务，包括：
步骤S1041，基于所述安全服务信息，得到在所述租户有订购全局服务情况下的安全服务情况下的安全服务模块类别数量组合；
步骤S1042，根据所述安全服务模块类别数量组合，向所述租户的主机提供对应的安全服务。
本公开实施例中，安全模型的模型公式为：
Figure PCTCN2022127338-appb-000007
T代表租户，l代表对于的安全服务等级，GO＝1代表租户进行了全局订购，CH代表云上主机，P为资源池节点数量，H代表云下主机资产，SM代表安全服务子能力，sm代表多个安全子能力的数量。
在上述模型公式中的含义为租户T在订购了全局服务(GO＝1)的条件下，云上主机CH以及云下主机H的资产所对应的安全服务等级l对应的安全服务模块的集合SS l。
本公开实施例中，在上述模型公式中，
Figure PCTCN2022127338-appb-000008
表示租户T在订购了全局服务下的安全服务、
Figure PCTCN2022127338-appb-000009
表示1到p的节点下所属的主机资产的集合、
Figure PCTCN2022127338-appb-000010
表示1到sm个安全子能力服务SM的集合、
Figure PCTCN2022127338-appb-000011
表示存在安全服务等级l大于0，1到sm个安全子能力的集合属于安全服务等级l对应的安全服务，综合而言，上述安全模型公式的含义是指，租户T需要的安全服务SS是在订购了全局化服务，在存在安全服务等级L大于0，且1到sm个安全子能力的集合属于安全服务等级l对应的安全服务的条件下，根据1到p个节点下的主机资产的集合CH+H下的安全服务模块类别数量组合，形成向租户T提供与等级L对应的安全服务SS l。
本公开实施例中，通过根据所述安全服务模块类别数量组合，向所述租户的主机提供对应的安全服务，可以向租户提供租户需要的安全服务。
本公开实施例中，云安全中心载体会根据租户下的主机的资产变化，将主机资产同步更新到云安全中心载体，对主机资产同步完成后，云安全中心载体会利用安全模型，对输入的安全服务等级以及对应的安全服务模块，结合租户下主机的资产生成与租户对应的安全服务SS。
本公开实施例中，在确定提供给租户对应的安全服务SS之后，云安全中心载体会生成租户唯一标识的终端引擎组件安装命令，下发到各个主机，进行自动或手动安装，安装完成后，主机的后端线程与安全中心载体自动建立通信链路。在启动安全服务之后，安全中心载体启动安全引擎线程首先对主机系统状态、安全配置、防火墙进行检测，并且从中心载体服务中获取基线、漏洞、风险、病毒等规则库，基于规则信息进行安全检测，若检测出相应的风险项，基于风险项的低危、中危及高危级别，结合默认配置的修复措施或租户在平台设定的标准觉得是否修复以实现安全加固，同时自动触发告警，及时通知租户相关数据信息，需要加固的依赖文件或安全配置在中心载体服务自动拉取。
本公开实施例中，安全引擎线程在相应安全规则定义下，可自动监听外部入侵流量，如暴力破解、异常登录等，针对非租户自身发起的主机终端操作形成一套虚拟的安全墙，实现终端安全预防。
本公开实施例中，租户登录到云安全中心载体，对全局服务性的安全服务进行订购，并且获取对应规格的能力服务，如此，可以实现对租户下的多节点的主机进行全局化、中心化的安全检测及 加固；并且，根据租户下的主机的订购信息和资产信息，根据租户的需求，向租户提供对应且合适的安全服务。
结合上述实施例提供以下示例：
示例1：一种提供安全服务的方法。
目前技术中，随着计算机的使用在人类生活中各类普及，网络入侵、病毒爆发、信息泄露等安全事件问题也日益突出，计算机终端安全问题一直受到安全领域各类厂商、云服务中心的密切关注。计算机终端安全问题其本质是其在所运行的环境下，包括物理环境、网络环境或虚拟环境下，受到外界攻击事件的入侵或自身组件漏洞的影响导致终端部分服务或整体服务不可用状态。针对终端安全问题在解决方案中，基于客户粒度大小的不同可分为单体终端或云终端安全防护，而在公有云市场的环境下，在考虑用户所属地域的差异及服务性能的影响，针对云上服务的客户主机提供了异地多套安全防护，每个资源池归属主机对应的安全检测及加固建议在不同的节点均有体现。如图5所示的云资源主机安全架构图，基于部署节点的个数及网络带宽的影响下，每个资源池均存在相同的、独立的、无统计的安全能力。
对于单资源池云主机安全的安全检测、防护及加固在提供服务上，是基于用户主机资产分布的特点进行定向服务，同一个租户或用户在申请资产防护的情况下，需进行多次订购、多次资源操作，在云安全能力使用上具有一定的重复性事件，在安全加固上也需针对单点资源池主机资产进行独立处理，如图6所示的基于多节点下主机终端安全防护模型。对于云安全能力提供者，在安全能力输出层面，需要同时部署多个地域性的安全核心集群对应租户下所涵盖的所有资源节点。同时，在安全能力侧，若同一个安全厂商不具备强安全防护能力，如防病毒中的病毒检测或云查杀、暴力破解、异常登录、反弹shell、云平台配置、病毒查杀等，则需针对不同的安全模块能力进行独立、隔离提供。
目前的多资源池节点主机终端安全模型中，用户主机资产与资源池节点对应、安全能力提供与资源池节点关联，而主机终端安全又存在一个或多个独立的安全客户端，这样形成租户在使用云安全防护能力的情况下，具有主机资产的隔断性、产品订购的重复性、安全能力终端防护进程的多样性。这是一种基于节点分布的安全能力架构模型，在资源部署和安全数据分析上，具有资源节点独立性，是一种非全局的统一模型。
目前的基于多节点下主机终端安全防护在使用上有如下缺点：
缺点1、单租户在对主机资产进行安全检测、防护及加固上，只能以资源池节点为单位，进行逐一产品功能订购及使用，使得租户在安全能力使用上具有重复性和冗余性，若用户需使用不同的终端安全防护能力，需在主机资产上进行手动拉起多个进程，其在用户操作具备一定的复杂性且用户体验较差。
缺点2、用户在统计主机资产安全状况的情况下，针对同一安全事件报告，在多个资源池节点 均有上报，不能集中检测及处理，若需针对攻击事项设定告警阈值或安全白名单，也需维护多个阈值或多个白名单列表，对用户主机资产的安全预防及加固很难达到一致性处理。
缺点3、在多节点安全防护能力中，针对云安全能力提供者，针对租户资产数据不能集中管理，且安全能力集群中心在每个独立资源池节点均有资源部署，对集群资源的统一管理及服务运行状态的统一监控添加了多倍的运维成本，同时在处理安全检测数据的情况下，不能以租户的维度进行统一安全处理及安全报告统计。
本公开实施例，实现一种针对租户主机资产的全局化、中心化、云处理的安全检测及加固方法，使得所有的安全事件处理统一以租户为粒度，对新增资源池节点、新增主机资产、新增安全防护能力均具备动态扩展的能力，租户在无需重复订购或操作相关产品，可以对全资源池节点下的所有主机资产进行统一安全检测。同时，对云安全能力侧，提供一个安全能力中心集群，纳管所有租户的主机资产状态，对安全数据进行统一分析处理，使得主机安全状态检测、加固及告警保持一致性。同时在资源管理也减少集群管理的复杂度，降低运维人员的维护成本。并且按照租户的需求提供对应的安全服务。
本公开实施例提出一种云安全中心载体服务下的主机安全统一检测。该方法是基于资源池节点下及用户自定义类别的主机资产为目标，将一个租户下所有主机资产进行统一管理。在集成多类不同类别，不同能力的安全模块能力，以租户为粒度，对主机资产进行状态管理、基于不同的安全事件进行相应的处理，并统一上报租户及发出对应的告警。在载体服务中心，对所有租户的数据进行相应的统一采集、存储及日志上报，而租户只需简单的订购一次注册载体服务，实现与资源池节点的解耦，按需使用对应的安全能力，模型操作如图4所示的云安全中心载体服务下的主机安全统一检测模型。
设定T(Tenant)为租户，CSC(Cloud Security carrier)为云安全载体，GO(Global Order)为全局订购，CH(Cloud Host)为云上主机，H(Hosts)为自定义主机，SM(Security Model)为安全能力模块，L(Level)为安全能力服务等级，P(Pools)为资源池节点，SS(Security Service)为安全服务。下面针对统一访问模型制定一些语义约束性规范，规范采用一阶谓词逻辑表示，符号∧，∨表示合取、析取，符号
Figure PCTCN2022127338-appb-000012
表示全称量词、存在量词，符号→表示蕴涵。约定规范如下：
规范1：对属性特征L，GO值域及关系约定，L i(i>0)为第i个等级，其等级按大小顺序排列，且
Figure PCTCN2022127338-appb-000013
为第j个等级包含第i个等级的安服能力模块。GO 0/1表示租户是否订购全局服务，0为未订购，1为订购。
规范2：多个节点下的云主机资产及云下主机组合成租户下所有的主机资产，符号表示P 1∧P 2∧P 3…P p(p>0)∈CH+H,CH∪H，P p表示第p个节点下对应的云上主机资产。
规范3：不同类型的安全能力组合成安全模块，多个安全模块在能力编排下形成安全服务，符号表示(SM 1∧SM 2∧SM 3...SM t)→SS l|l>0,t>0，SM sm为指定安全模块类别下的第sm个安全子能力。对于不同的租户，根据是否进行全局订购具有不同的安全能力服务，
Figure PCTCN2022127338-appb-000014
基于上述定义的规则1-3，实现多租户在云中心载体服务中对不同节点、不同自定义主机资产进行云安全能力检测及加固，其模型公式为：
Figure PCTCN2022127338-appb-000015
其中T代表租户，l代表对应的服务等级，GO＝1表示租户进行了全局订购，CH代表云上主机，p为资源池节点数量，H代表云下主机资产，SM代表安全服务子能力，sm表示多个安全子能力数量。
上述公式模型含义为租户在全局化订购的条件下云上主机及云下主机资产所具备的预防及加固对应服务等级的安全集合，针对云上主机资产，包括多个资源池节点下所有的主机应具备的安全能力汇总，即单个或多个安全子能力在单个或多个主机上形成对应的安全服务关联；针对云下主机资产，在租户自定义管理的前提下，与对应安全子能力形成服务映射关系。
当云中心载体服务中对租户的主机资产已同步完成后，中心服务对安全服务等级及对应的安全子能力进行分析统计生成租户唯一标识的终端引擎组件安装命令，通过公网或代理服务形式自动下发到各个终端进行自动安装或租户从平台侧手动获取自行安装，安装完成后端线程与中心载体服务自动建立通信链路。线程在启动之后首先对主机系统状态、安全配置、防火墙等，并从中心载体服务中获取基线、漏洞、风险、病毒等规则库，线程自动基于规则信息进行安全检测，若检测出相应的风险项，基于风险项的低危、中危及高危级别，结合默认配置的修复措施或租户在平台设定的标准觉得是否修复以实现安全加固，同时自动触发告警，及时通知租户相关数据信息，需要加固的依赖文件或安全配置在中心载体服务自动拉取。针对主机安全预防，安全引擎线程在相应安全规则定义下，可自动监听外部入侵流量，如暴力破解、异常登录等，针对非租户自身发起的主机终端操作形成一套虚拟的安全墙，实现终端安全预防。
租户订购登录到云平台，对云能力产品进行全局订购，获取对应规格的能力服务，即可对多节点的云上主机及云下主机进行全局化、中心化的安全检测及加固，如图7所示的租户使用云中心载体服务模块关系图。
使用服务的步骤对应的租户安全服务流程图如图8所示：
1、租户登录云中台平台，认证通过；
2、选择对应满足条件的安全服务，进行服务等级确定；
3、对云上主机及云下主机进行预先采集，形成初始状态下的租户主机资产清单，当主机信息发生改变或主机资源退订，需要及时对主机资产数据进行更新、后期资产变动进行定期同步；
4、建立主机终端与云中心载体服务互访的链路，进行安全服务模块启动；
5、云中心载体服务对所有节点主机安全数据进行统一采集及监控，输出告警、自动加固、提供修复建议；
6、针对全量租户、全部资产的安全监测数据形成统一的安全报告，定期推送并运维人员查看。
租户通过云中台使用云中心载体服务的情况下，会产生大量的安全日志。基于租户资产运行状态及事件分析，形成标准的推送通知及安全统计报告，以便租户在有状态感知的前提下提前进行预防。如图9所示，定义定向推送的字段，租户ID，主机数，不同规格加固主机数，检测时间。
本公开实施例中，基于全局化、中心化概念提出了一种基于云中心载体服务的主机安全检测及加固模型，利用规范化语义对模型进行相关定义及约束，实现单租户对多节点、自定义主机类别进行安全检测、数据采集、安全加固，同时可动态扩展租户主机数量和类别，对主机安全进行统一纳管及检测。
本公开实施例中，对安全模块子能力、安全能力类别进行统一编排，按规格等级依次扩展，将安全服务能力在云中心载体中进行融合管理，维护管理对应的等级权限实现安全能力对外的统一服务，可动态对其它类别的主机安全能力进行增、删，具备服务能力的横向扩容。
本公开实施例中，在载体服务提供中，具备中心化、全局化，使得服务能力集群在资源管理上具备统一管理、状态统一监控。同时定义了租户安全报告相应的统计分析字段，实现运维侧对全量租户的安全数据进行处理分析，也为租户实现安全报告定期推送。
本公开实施例的的优点如下：
优点1，利用形成化语义定义，设计云安全中心载体服务下的主机安全统一检测模型，租户仅需配置一次规格权限，即可使用对应的云中心能力服务，且支持多节点下的主机资产及租户自定义主机资产，对资产统计可动态延伸及缩减。
优点2，通过对安全子能力模块进行能力编排，对外提供一个统一的能力输出，在安全能力服务可提供按需使用，根据租户主机本身安全状态进行相应的安全预防及安全加固。
优点3，在云中心载体服务管理中，对资源管理、安全数据管理及租户资源安全报告生成均统一中心集群维护，可实现多节点动态资产扩容及中心服务的横向扩展。
本公开实施例中，结合图10，提供一种提供安全服务的装置200，所述装置200包括：
创建模块201，配置为在规范化语句的约束下创建主机安全模型；
获取模块202，配置为获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
确定模块203，配置为将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
提供模块204，配置为基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
本公开实施例中，所述确定模块配置为将所述主机信息输入到所述安全模型，包括：
将以第一规范化语句表示的订购信息输入到所述安全模型；
和/或，
将以第二规范化语句表示的资产信息输入到所述安全模型。
本公开实施例中，所述订购信息至少包括：
约束租户是否订购全局服务的GO取值：若所述GO取值为第一值，指示所述租户订购的是安全服务；若所述GO取值为第二值，指示所述租户未订购的安全服务；
约束租户订购的安全服务等级的Ln的值；n表示租户订购的安全服务属于第n个等级，所述n配置为确定提供所述安全服务的模块类别数量。
本公开实施例中，所述资产信息包括：
待维护的多个主机的资产的集合。
本公开实施例中，所述确定模块，还配置为：
配置为将所述主机信息输入到所述安全模型，得到所述安全模型以第三规范化语句输出的安全服务信息。
本公开实施例中，所述提供模块，还配置为：
配置为基于所述安全服务信息，得到在所述租户有订购全局服务情况下的安全服务情况下的安全服务模块类别数量组合；
配置为根据所述安全服务模块类别数量组合，向所述租户的主机提供对应的安全服务。
在本公开实施例中，提供一种设备，所述设备，包括：
处理器；
被配置为存储处理器可执行指令的存储器；
其中所述处理器被配置为运行所述计算机服务的情况下，实现上述所述的补偿方法中的步骤。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行的情况下，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
在本公开实施例中，提供一种介质，所述介质中有计算机可执行指令，所述计算机可执行指令被处理器执行实现上述所述的补偿方法中的步骤。
或者，本公开实施例上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用的情况下，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本公开实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本公开各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本公开的具体实施方式，但本公开的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应以申请文件的保护范围为准。
工业实用性
本公开实施例提供安全服务的方法，包括：在规范化语句的约束下创建主机安全模型；将主机信息输入到安全模型，得到安全模型输出的安全服务信息；基于安全服务信息，向租户的主机提供对应的安全服务；与目前技术单个资源池单次订购安全服务，单个资源池独立且没有统计的安全能力，无法按需提供合适的全局化安全服务相比，本公开实施例中的安全模型可以基于租户的主机的订购信息和资产信息输出安全服务信息，可以按需向所述租户的主机提供对应的安全服务。

Claims (10)

  1. 一种提供安全服务的方法，其中，所述方法包括；
    在规范化语句的约束下创建主机安全模型；
    获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
    将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
    基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
  2. 根据权利要求1所述的提供安全服务的方法，其中，所述将所述主机信息输入到所述安全模型，包括：
    将以第一规范化语句表示的订购信息输入到所述安全模型；
    和/或，
    将以第二规范化语句表示的资产信息输入到所述安全模型。
  3. 根据权利要求2所述的提供安全服务的方法，其中，所述订购信息至少包括：
    约束租户是否订购全局服务的GO取值：若所述GO取值为第一值，指示所述租户订购的是安全服务；若所述GO取值为第二值，指示所述租户未订购的安全服务；
    约束租户订购的安全服务等级的Ln的值；n表示租户订购的安全服务属于第n个等级，所述n配置为确定提供所述安全服务的模块类别数量。
  4. 根据权利要求1所述的提供安全服务的方法，其中，所述资产信息包括：
    待维护的多个主机的资产的集合。
  5. 根据权利要求1所述的提供安全服务的方法，其中，所述将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息，还包括：
    将所述主机信息输入到所述安全模型，得到所述安全模型以第三规范化语句输出的安全服务信息。
  6. 根据权利要求5所述的提供安全服务的方法，其中，所述基于所述安全服务信息，向所述租户的主机提供对应的安全服务，包括：
    基于所述安全服务信息，得到在所述租户有订购全局服务时的安全服务时的安全服务模块类别数量组合；
    根据所述安全服务模块类别数量组合，向所述租户的主机提供对应的安全服务。
  7. 一种提供安全服务的装置，其中，所述装置包括：
    创建模块，配置为在规范化语句的约束下创建主机安全模型；
    获取模块，配置为获取租户下的主机信息；其中，所述主机信息至少包括：主机的订购信息以及所述主机的资产信息；
    确定模块，配置为将所述主机信息输入到所述安全模型，得到所述安全模型输出的安全服务信息；
    提供模块，配置为基于所述安全服务信息，向所述租户的主机提供对应的安全服务。
  8. 根据权利要求7所述的提供安全服务的装置，其中，所述确定模块配置为将所述主机信息输入到所述安全模型，包括：
    将以第一规范化语句表示的订购信息输入到所述安全模型；
    和/或，
    将以第二规范化语句表示的资产信息输入到所述安全模型。
  9. 一种电子设备，其中，所述电子设备包括：处理器和配置为存储能够在处理器上运行的计算机程序的存储器；其中，
    所述处理器运行所述计算机程序时，执行权利要求1至6任一项所述提供安全服务的方法的步骤。
  10. 一种计算机存储介质，其中，所述计算机存储介质存储有计算机可执行指令；所述计算机可执行指令被处理器执行后，能够实现如权利要求1至6任一项所述的提供安全服务的方法。
PCT/CN2022/127338 2021-10-27 2022-10-25 提供安全服务的方法及装置、电子设备及计算机存储介质 WO2023072057A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202111258008.4A CN116028938A (zh) 2021-10-27 2021-10-27 提供安全服务的方法及装置、电子设备及计算机存储介质
CN202111258008.4 2021-10-27

Publications (1)

Publication Number Publication Date
WO2023072057A1 true WO2023072057A1 (zh) 2023-05-04

Family

ID=86069426

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/127338 WO2023072057A1 (zh) 2021-10-27 2022-10-25 提供安全服务的方法及装置、电子设备及计算机存储介质

Country Status (2)

Country Link
CN (1) CN116028938A (zh)
WO (1) WO2023072057A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102937901A (zh) * 2012-10-17 2013-02-20 武汉钢铁(集团)公司 多租户架构设计方法
US20150007274A1 (en) * 2011-06-30 2015-01-01 International Business Machines Corporation Authentication and authorization methods for cloud computing platform security
CN107852417A (zh) * 2016-05-11 2018-03-27 甲骨文国际公司 多租户身份和数据安全性管理云服务
CN108932121A (zh) * 2018-05-22 2018-12-04 哈尔滨工业大学（威海） 一种面向多租户分布式服务组件研发的模块及方法
CN112688899A (zh) * 2019-10-17 2021-04-20 中国移动通信集团重庆有限公司 云内安全威胁检测方法、装置、计算设备及存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150007274A1 (en) * 2011-06-30 2015-01-01 International Business Machines Corporation Authentication and authorization methods for cloud computing platform security
CN102937901A (zh) * 2012-10-17 2013-02-20 武汉钢铁(集团)公司 多租户架构设计方法
CN107852417A (zh) * 2016-05-11 2018-03-27 甲骨文国际公司 多租户身份和数据安全性管理云服务
CN108932121A (zh) * 2018-05-22 2018-12-04 哈尔滨工业大学（威海） 一种面向多租户分布式服务组件研发的模块及方法
CN112688899A (zh) * 2019-10-17 2021-04-20 中国移动通信集团重庆有限公司 云内安全威胁检测方法、装置、计算设备及存储介质

Also Published As

Publication number Publication date
CN116028938A (zh) 2023-04-28

Similar Documents

Publication Publication Date Title
US11824646B1 (en) Processing anomaly data to identify network security threats by use of rarity analysis
US11343268B2 (en) Detection of network anomalies based on relationship graphs
US10108411B2 (en) Systems and methods of constructing a network topology
US10540264B2 (en) Computerized method and end-to-end “Pilot as a service” system for controlling start-up/enterprise interactions
US11252168B2 (en) System and user context in enterprise threat detection
US10476749B2 (en) Graph-based fusing of heterogeneous alerts
Ficco Security event correlation approach for cloud computing
US8544098B2 (en) Security vulnerability information aggregation
JP2019145107A (ja) 機械学習モデルを用いてｅメールネットワークを保護するサイバー脅威防御システム
US20170178025A1 (en) Knowledge base in enterprise threat detection
US10476752B2 (en) Blue print graphs for fusing of heterogeneous alerts
CN113424157A (zh) IoT设备行为的多维周期性检测
WO2023072057A1 (zh) 提供安全服务的方法及装置、电子设备及计算机存储介质
US20230105087A1 (en) Systems and methods for detecting malicious hands-on-keyboard activity via machine learning
CN114756301A (zh) 日志处理方法、装置和系统
US12001550B1 (en) Cybersecurity incident response techniques utilizing artificial intelligence
Deng et al. Analysis and prediction of network connection behavior anomaly based on knowledge graph features
CN117201352A (zh) 服务资源运行状态检测方法、装置、设备及存储介质
Li et al. Research on SDN traffic anomaly detection technology based on knowledge graph
CN115373887A (zh) 故障根因确定方法、装置、电子设备及可读存储介质
CN116521383A (zh) 多媒体数据检测方法、装置、设备和存储介质
WO2023105264A1 (en) Generating an ontology for representing a system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22885934

Country of ref document: EP

Kind code of ref document: A1