CN110362992A - 在基于云端环境中阻挡或侦测计算机攻击的方法和设备 - Google Patents

在基于云端环境中阻挡或侦测计算机攻击的方法和设备 Download PDF

Info

Publication number
CN110362992A
CN110362992A CN201910174819.2A CN201910174819A CN110362992A CN 110362992 A CN110362992 A CN 110362992A CN 201910174819 A CN201910174819 A CN 201910174819A CN 110362992 A CN110362992 A CN 110362992A
Authority
CN
China
Prior art keywords
mentioned
attack
address
package
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910174819.2A
Other languages
English (en)
Other versions
CN110362992B (zh
Inventor
江格
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Publication of CN110362992A publication Critical patent/CN110362992A/zh
Application granted granted Critical
Publication of CN110362992B publication Critical patent/CN110362992B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提出一种在基于云端环境中阻挡或侦测计算机攻击的方法，由设备的处理单元执行，包括：通过因特网从客户端***接收第一IP(因特网协议，Internet Protocol)封包；从上述第一IP封包取得服务请求，其中上述服务请求向受防护计算机资产请求服务；判断上述服务请求是否包括计算机攻击；以及当上述服务请求包括上述计算机攻击时，执行攻击阻挡/侦测操作以阻挡上述受防护计算机资产受到损害。

Description

在基于云端环境中阻挡或侦测计算机攻击的方法和设备
技术领域
本发明涉及一种计算机安全技术，特别是一种在基于云端环境中阻挡或侦测计算机攻击的方法以及使用该方法的设备。
背景技术
在计算机安全情境，黑客寻找并攻击计算机***或计算机网络中的弱点。企业通常会因为这些攻击而遭受伤害，例如危害计算机服务、客户私人数据遭窃、降低利润或声誉等风险。计算机攻击通常通过因特网进行。因此，需要一种在基于云端环境中阻挡或侦测计算机攻击的方法以及使用该方法的设备，以有效率地阻挡这些攻击。
发明内容
本发明的实施例提出一种在基于云端环境中阻挡或侦测计算机攻击的方法，由设备的处理单元执行，包括：通过因特网从客户端***接收一个或多个IP(因特网协议，Internet Protocol)封包；从上述IP封包取得服务请求，其中上述服务请求向受防护计算机资产请求服务；判断上述服务请求是否包括计算机攻击；以及当上述服务请求包括上述计算机攻击时，执行攻击阻挡/侦测操作以阻挡上述受防护计算机资产受到损害。
本发明的实施例提出一种在基于云端环境中阻挡或侦测计算机攻击的设备，包括：通讯接口；以及处理单元。上述处理单元耦接至上述通讯接口，经由上述通讯接口通过因特网从客户端***接收一个或多个IP(因特网协议，Internet Protocol)封包；从上述IP封包取得服务请求，其中上述服务请求向受防护计算机资产请求服务；判断上述服务请求是否包括计算机攻击；以及当上述服务请求包括上述计算机攻击时，执行攻击阻挡/侦测操作以阻挡上述受防护计算机资产受到损害。
具体的实施方式将在以下实施例及参考附图中给出详细的描述。
附图说明
图1是依据本发明实施例的网络架构示意图。
图2是依据本发明实施例的攻击阻挡/侦测服务器的***架构图。
图3是根据本发明实施例的两阶段过滤方法的流程图。
图4是依据本发明实施例的软件模块示意图，被处理单元加载并执行，用以处理流经攻击阻挡/侦测服务器的网络封包。
图5是根据本发明实施例中在客户端***和受防护计算机资产间传送服务请求和响应的示意图。
图6是根据本发明实施例在基于云端环境中用于阻挡或侦测的计算机攻击的方法的流程图。
具体实施方式
以下说明为完成发明的较佳实现方式，其目的在于描述本发明的基本精神，但并不用以限定本发明。实际的发明内容必须参考之后的权利要求范围。
本发明将针对具体的实施例并参照某些附图进行描述，但本发明不限于此且仅受权利要求的限制。必须了解的是，使用在本说明书中的“包含”、“包括”等词，用以表示存在特定的技术特征、数值、方法步骤、作业处理、组件以及/或组件，但并不排除可加上更多的技术特征、数值、方法步骤、作业处理、组件、组件，或以上的任意组合。
在权利要求中使用如“第一”、“第二”、“第三”等语句用来修饰权利要求中的组件，并非用来表示之间具有优先权顺序、先行关系，或者是一个组件先于另一个组件，或者是执行方法步骤时的时间先后顺序，仅用来区别具有相同名字的组件。
本发明实施例提出一种网络架构，用以连接多种受防护计算机资产，例如计算机、计算机服务器、监控***、物联网(Internet of Things,IoT)装置等。图1是依据本发明实施例的网络架构示意图。受防护计算机资产包含服务器140a至140c、监控***中的监控主机150a及监控摄影机150b及150c、物联网装置及客户端计算机等。物联网设备包括如照明控制***160a、智能电视160b、门禁控制***160c等，客户端计算机包括如笔记本电脑170a、个人计算机170b、平板计算机170c等。服务器140a、140b或140c可为网站服务器、应用服务器、电子邮件服务器、即时消息(Instant Messaging,IM)服务器、网络连接存储(Network Attached Storage,NAS)服务器、或其他类型的服务器。网站服务器可存储、产生及传送网页给客户端。客户端及网站服务器间的通讯可使用超文件传输通讯协议(Hypertext Transfer Protocol,HTTP)或其他通讯协议。网页通常为超文件标示语言(Hyper-text Markup Language,HTML)文件，其中包含文字、相片、样式表单(style sheet)及脚本指令(scripts)等。应用服务器可为一种软件框架(software framework)，用以提供建立网页应用程序的工具，以及执行网页应用程序的服务器环境。应用服务器可包含庞杂的服务层模型(service layer model)。应用服务器可执行一组组件(components)，用以让软件开发者通过框架本身制定的应用程序编程接口(Application ProgrammingInterface,API)进行存取。对网页应用程序而言，其组件可在与其网页服务器相同的运算环境中执行，其主要任务是支持网页的架构。网页应用程序可实施如丛集(clustering)、故障转移(fail-over)及负载平衡(load-balancing)等服务，使得软件开发者可专注于撰写企业逻辑。电子邮件服务器可以中继方式使用简易邮件转递通讯协议(Simple MailTransfer Protocol,SMTP)从客户端接收邮件，以及使用第三代邮局通讯协议(PostOffice Protocol version 3,POP3)或因特网信息存取通讯协议(Internet MessageAccess Protocol,IMAP)传送邮件给客户端。即时消息(Instant Messaging,IM)服务器可协助一个或多个参与者间的沟通，达到立即的信息接收确认或回复。网络连接存储(Network Attached Storage,NAS)服务器可让不同种类客户端进行数据存取，包含一或多部以逻辑、冗余设置的存储装置，或安排为独立硬盘冗余数组(Redundant Array ofIndependent Disks,RAID)。监控摄影机150b及150c可为视讯摄影机，用以监视一区域，以及监控主机150a可包含记录装置，用以记录及压缩从监控摄影机150b及150c取得的影像，以及存储压缩视讯至可供搜寻的数据库。物联网装置160a至160c可为嵌入电子电路、软件、传感器及连接器等设备的实体装置，使得此装置可与其他连接装置交换数据。物联网装置允许装置进行感测，以及跨网络基础建设进行控制。客户***190连接上因特网，可传送请求至受防护计算机资产140a至170c中中的任何一个提供服务。本发明并非只包含以上所列的装置，可以理解的是其他类型的服务器、物联网装置及计算机***亦可受到防护。
受防护计算机资产140a至170c中的每一个连接至集线器(hubs)130a至130d中的一个。每一集线器将多部以太网络装置连接在一起，使得这些设备运作起来如单一网络区段(network segment)。集线器具有多个输入/输出埠，任何一个端口的输入讯号会输出到除了本身以外的每一其他埠。集线器130a至130d中的任何一个可替换为无线存取点(Access Point,AP)。无线存取点可使用Wi-Fi或其他标准，让受防护计算机资产140a至170c连接至有线网络。路由器120a至120b中的每一个在计算机网络间转递网络封包。网络封包通常从一个路由器通过互联网络转递至另一个，直到到达目的地节点。路由器通过二或多个数据线连接至不同网络。当网络封包从数据线中的一个进入，路由器读取封包中的地址信息来决定最终目的地。接着，路由器使用其中的路由表(routing table)或路由政策(routing policy)，将网络封包转递至下一个网络。路由器120a至120b可为家庭或小型办公路由器，在受防护计算机资产140a至170c及因特网之间单纯传递数据，例如网页、电子邮件、即时消息、音频串流、视讯串流等。家庭或小型办公路由器可为电缆或数字用户线(DataSubscriber Line,DSL)路由器，通过因特网服务供货商(Internet Service Provider,ISP)连接至因特网。路由器120a至120b中的任何一个可替换为企业路由器，用以连接大型企业或ISP网络，甚至是强大的主干路由器(core router)，在因特网主干上以光纤线路高速转递资料。网关(gateway)110可运行为代理服务器(proxy server)及防火墙服务器(firewall server)。网关110可整合路由器及交换器的功能，路由器知道将到达网关110的网络封包导向何处，而交换器用以为特定封包决定输入及输出网关110的实际路径。
攻击阻挡/侦测服务器180位于因特网上，以阻挡受防护计算机资产140a至170c受到计算机攻击的损害。受防护计算机资产140a至170c的IP地址并未公开且存储在攻击阻挡/侦测服务器180中。也就是说，黑客无法得知受防护计算机资产140a至170c的实际IP地址。受防护计算机资产140a至170c对广泛范围服务的请求首先被引导至攻击阻挡/侦测服务器180进行检测。在云端环境中，攻击阻挡/侦测服务器180像受防护计算机资产140a至170c的虚拟闸门般运作。受防护计算机资产140a至170c实质上位于攻击阻挡/侦测服务器180后端。只有无攻击请求能经由攻击阻挡/侦测服务器180转传至相关的受防护计算机资产140a至170c。攻击阻挡/侦测服务器180的IP地址可被公开以伪装成任何受防护计算机资产140a至170c的IP地址。可能有几种方式实施上述公开。受防护计算机资产140a至170c中的任何一个的管理员可通过域名***(Domain Name System,DNS)服务器注册映像至攻击阻挡/侦测服务器180的IP地址的域名。本领域技术人员应可理解在域名***中注册的任何名称都是域名。域名由域名***的规则及程序所组成。域名可用于网络上下文和特定应用程序的命名和寻址目的中。例如，域名表示IP(因特网协议)资源，如托管网站的服务器计算机或该网站本身，或通过因特网通讯的任何其他服务。域名***服务器将攻击阻挡/侦测服务器180的IP地址回复给查询该域名IP地址的任何客户端。受防护计算机资产140a至170c中的任何一个的管理员可公开攻击阻挡/侦测服务器180的IP地址，以假装成在网页或其他可读媒体中受防护计算机资产的IP地址。客户端***190发布具有攻击阻挡/侦测服务器180的IP地址的服务请求至攻击阻挡/侦测服务器180，以请求广泛范围服务及携带请求流的封包。
图2是依据本发明实施例的攻击阻挡/侦测服务器的***架构图。处理单元210可使用多种方式实施，例如能以微码程序或软件指令执行本文所列功能的专用硬件或通用硬件(例如，单处理器、具平行处理能力的多处理器、图形处理器或其他具运算能力的处理器)。***架构更包含存储器250用以存储执行过程中需要的数据，例如，变量、数据表(datatables)、数据摘要等，以及存储装置240，用以存储白名单(white list)、黑名单(blacklist)以及各种过滤规则。通讯接口260包含在***架构中，处理单元210可由此与其他电子设备进行通讯。通讯接口260可以是局域网络(Local Area Network,LAN)模块、无线局域网络(Wireless Local Area Network,WLAN)模块或其他具有通讯能力的模块。***架构还包括一个或多个输入装置230以接收用户输入，如键盘、鼠标、触摸板等。用户可按下键盘上的硬键来输入字符，通过操作鼠标来控制显示器上的鼠标指针，或通过在触摸板上做出一个或多个手势来控制执行的应用程序。这些手势包含但不局限于单击、双击、单指拖曳和多指拖曳。诸如薄膜晶体管液晶显示器(Thin film transistor liquid-crystal display,TFT-LCD)面板、有机发光二极管(Organic Light-Emitting Diode,OLED)面板或其他显示单元等的显示单元220也可包含其中以显示输入字符、数字和符号、拖曳鼠目标移动轨迹、绘制的图案或应用程序所提供的画面，提供给使用者观看。
为阻挡受防护计算机资产140a至170c受计算机攻击损害，两阶段过滤方法的实施例被引入，以有效的方式检查包括多种服务请求且被路由到攻击阻挡/侦测服务器180的网络封包，并当侦测到任何网络封包包括一攻击模板时，则执行攻击阻挡/侦测操作。上述方法是在处理单元210加载并执行具有预定模板的相关软件程序代码或指令时，由攻击阻挡/侦测服务器180所执行。
图3是根据本发明实施例的两阶段过滤方法的流程图。该方法可检查封装在流动网络封包中的第7层(Layer 7)(即所谓的应用层)信息以侦测攻击模板。每一服务请求可包括目的端地址、目的端端口号、请求信息、可执行的脚本指令(executable scripts)、窗体对象(form objects)、后行动(post actions)、可执行的上载程序(executable program-uploads)或其他任何组合。图4是根据本发明实施例处理流经攻击阻挡/侦测服务器180的网络封包模块示意图。软件模块410至470可依循开放***互连(Open SystemsInterconnection,OSI)模型的规范，用以一层一层地解析数据或信息。OSI模型将电信通讯或计算机***的通讯分层归类并标准化，使得每一层可不管下层的内部构造及技术。网络接口260可实施物理层模块(physical-layer module)410、数据链路层模块(data-link-layer module)420、网络层模块(network-layer module)430、传输层模块(transport-layer module)440。物理层模块410可建立及中止经由通讯媒介直接联机的二个节点间的联机。数据连接的电性及实体规范可包含脚位布局、电压、接线阻抗、电缆规范、讯号时序等。数据链路层模块420可提供节点对节点的数据传输，并且通过侦测可能发生在物理层中的错误并尝试修正错误，用以提供二个联机节点间的可靠联机。数据链路层可分成二个子层：媒体访问控制(Media Access Control，MAC)层，负责控制网络中的装置如何存取数据和传输数据的权限；逻辑链接控制(Logical Link Control，LLC)层，用以控制错误检查及封包间的同步。网络层模块430可提供功能性及程序性手段，从一个节点传递可变长度数据序列(又称为数据块(datagrams))至另一个。网络层模块430可转译逻辑网络地址成为实体机器地址。每个节点具有地址，通过提供信息内容及目的地节点的地址，允许连接在网络上的一个节点传递信息至连接在网络上的其他节点，使得网关或路由器可找到绕送“路由(route)”信息至目的地节点。除了信息路由外，网络层模块430可将信息分割成数块，以不同路径发送每一块以及组合这些块，记录发送的错误等，用以实现信息递送。传输层模块440可通过流量控制、分割/重组及错误控制来控制特定联机的可靠性。传输层模块440可持续追踪所有块的传送，并且在失败时重传。传输层模块440也可提供成功传输数据的确认信息，并在无任何错误发生时传送其余的数据。传输层模块440可从应用层模块(application-layer module)470接收信息并产生封包。传输层模块440使用的传输层通讯协议可为传输控制通讯协议(Transmission Control Protocol,TCP)，其通常建立在因特网通讯协议(Internet Protocol,IP)上。会话层模块(Session-layer Module)450、表现层模块(Presentation-layer Module)460及应用层模块(Application-layer module)470可在处理单元210加载及执行软件码或指令时实施。会话层模块450可建立、管理及中止本地及远程应用程序间的联机。表现层模块460可建立应用层实体间的上下文(context)，其中当表现服务提供应用层实体间的映像关系时，应用层实体可使用不同的语法及语意。如果一个映像关系存在，可将表现服务数据单元(presentation service data units)封装成会话协议数据单元(session protocol data units)，并且传送至协议栈(protocolstack)的下层。应用层模块470可通过应用程序及网络格式间的转译提供独立于数据表现层的功能(例如，加密)。应用层模块470可将数据转变为应用程序可接受的格式。例如，应用层模块470可从因特网封包摘取请求信息(又称为第七层信息)，诸如超文件传递通讯协议(HyperText Transfer Protocol,HTTP)、加密超文件传递通讯协议(Secure HyperTextTransfer Protocol,HTTPS)、无线应用讯协议(Wireless Application Protocol,WAP)、文件传输协议(File Transfer Protocol,FTP)、轻量目录存取通讯协议(LightweithtDirectory Access Protocol,LDAP)、安全壳协议(Secure Shell,SSH)等请求，或者转译请求信息为因特网封包。此方法通过网络接口260不断接收从客户端***190传送来的请求(步骤S310)。如图3所示的过滤方法可实施在攻击预防攻击阻挡/侦测模块480中。在步骤S310，攻击阻挡/侦测模块480可从应用层模块470接收服务请求。
在接收到服务请求之后(步骤S310)，执行两阶段过滤。在第一阶段中，包含三种判断中的至少一个。第一判断决定每个服务请求中是否包含任何白名单模板(white-listpattern)(步骤S320)。使用者新增或更新的白名单模板可为通用表示式(regularexpressions)或其他表示式语言。白名单模板读取自存储装置240并提供来加速决策的速度并且避免误报(false positives)。也就是说，处理单元210快速通过具有白名单模板的服务请求，而不进一步做更多侦测。第二判断决定每个服务请求中是否包含任何黑名单模板(black-list pattern)(步骤S325)。使用者新增或更新的黑名单模板可包含特定来源IP地址等。黑名单模板读取自存储装置240并提供来加速决策的速度。也就是说，处理单元210直接执行攻击阻挡操作(attack prevention operation)。第三判断决定每一服务请求中是否包含任何客制规则模板(custom-rule pattern)(步骤S330)。存储装置240存储客制规则模板，并随着特定类型的受防护计算机资产进行新增、修改或加强(reinforce)，例如网站服务器、应用服务器、即时消息服务器、网络附加存储服务器、电子邮件服务器、监控***、物联网装置、客户端计算机等。客制规则模板可视为特定类别的受防护计算机资产的增强模板(enhanced patterns)。举例来说，如果企业主要防止网站服务器不受伤害，关联于网站服务器的客制规则模板被提供来过滤对网站服务器的可能攻击。一旦发现白名单模板(步骤S320中的“是”路径)，处理单元210运行的攻击阻挡/侦测模块480直接转送服务请求至受防护计算机资产(步骤S350)。详细来说，传输层模块440可缓存(cache)相应于每一服务请求的网络封包在存储器250中，例如TCP/IP封包及目的端IP地址(步骤S310)，以及，发现白名单模板后(步骤S320中的“是”路径)，攻击阻挡/侦测模块480驱动传输层模块440直接传送缓存的网络封包至协议栈的下层，使得网络封包中的服务请求可转送至受防护计算机资产，而无需由表现层模块460及会话层模块450重新产生网络封包(步骤S350)。替代性地，攻击阻挡/侦测模块480可直接下传服务请求至表现层模块460，使得网络封包中的服务请求可转送至受防护计算机资产(步骤S350)。一旦未发现白名单模板(步骤S320中“否”路径)但却发现黑名单模板(步骤S325中“是”路径)，处理单元210运行的攻击阻挡/侦测模块480执行攻击阻挡/侦测操作(步骤S360)。一旦未发现白名单模板及黑名单模板(步骤S320中“否”路径接着步骤S325中“否”路径)但却发现客制规则模板(步骤S330中“是”路径)，处理单元210运行的攻击阻挡/侦测模块480执行攻击阻挡/侦测操作(步骤S360)。客制规则模板为受防护***或现存弱点做特别设计。在例子中，客制规则模板包含字符串“a＝2147483647”，可触发特定应用错误，而处理单元210在侦测到服务请求中的请求信息“HTTP-GET:http://www.example.com/index.php？a＝2147483647”包含此字符串后，执行攻击阻挡/侦测操作。在另一例子中，客制规则模板包含在预先决定的时间区间尝试登入的允许次数，而处理单元210在侦测到客户端***190预先决定的时间区间尝试的登入受防护计算机资产的次数超过了允许次数后，执行攻击阻挡/侦测操作。在又一例中，客制规则模板包含译码及检查以base64编码的信息，而处理单元210在侦测到译码的服务请求包含恶意内容(malicious content)后，执行攻击阻挡/侦测操作。在又一例中，客制规则模板包含防护特定物联网装置所辨认出的弱点模板。虽然以上三种判断以特定顺序执行，本领域技术人员可依据设计的需要更改顺序，本发明并不以此为限。
一旦发现没有白名单模板(步骤S320中“否”路径)、没有黑名单模板(步骤S325中“否”路径)以及没有客制规则模板(步骤S330中「否」路径)后，执行第二阶段过滤。在第二阶段中，处理单元210决定每个服务请求中是否包含任何基础规则模板(base-rule pattern)(步骤S340)。存储装置240存储基础规则模板，并提供来阻挡一般性重大攻击，而不会让受防护计算机资产遭受损害。基础规则模板并非专为个别***或弱点设计。基础规则模板用以阻挡一般性攻击。基础规则模板可周期性更新，例如每日、每周一次，用以应付最新发现的攻击行为。当未发现服务请求中包含基础规则模板时(步骤S340中“否”路径)，处理单元210运行的攻击阻挡/侦测模块480转送服务请求至受防护计算机资产(步骤S350)。在步骤S350，如先前所讨论的，攻击阻挡/侦测模块480可驱动传输层模块440转传服务请求至受防护计算机资产以直接传送缓存的网络封包至协议栈的下层，或者直接下传服务请求至表现层模块460。当发现服务请求中包含基础规则模板时(步骤S340中“是”路径)，处理单元210运行的攻击阻挡/侦测模块480执行攻击阻挡/侦测操作(步骤S360)。在例子中，基础规则模板包含字符串“'or 1＝1--”，而处理单元210在侦测到服务请求中的可执行脚本指令包含此字符串后，执行攻击阻挡/侦测操作。在另一例中，基础规则模板包含字符串““><script>alert(‘0’)；</script>”，而处理单元210在侦测到服务请求中的可执行脚本指令包含此字符串后，执行攻击阻挡/侦测操作。在又一例中，基础规则模板包含服务请求中的请求信息的字符的允许数目，而处理单元210在侦测到请求信息的长度超过了允许数目后，其中可能包含缓冲区溢出(buffer-overflow)攻击，执行攻击阻挡/侦测操作。在攻击阻挡/侦测操作的实施例中，服务请求的请求信息中所拥有包括可能触发执行恶意攻击的脚本指令的特殊字符，可替换成等同的字符串，例如，特殊字符“<”and“>”可分别替换为字符串“&lt”及“&gt”，接着，转送修改后的请求信息给受防护计算机资产。本领域技术人员理解，当触发执行的脚本指令被包括在字符串“&lt”及“&gt”，并不会触发恶意攻击的脚本指令的执行。也就是说，通过以上特殊字符的替换，而替换后字符串中的脚本指令不能转入执行上下文。在另一实施例，丢弃包含侦测到客制规则模板或基础规则模板的服务请求，而不转送请求信息给受防护计算机资产。在又一实施例，阻挡包含侦测到客制规则模板或基础规则模板的服务请求，而不转送请求信息给受防护计算机资产，并且回复信息给客户端***190。信息可为“HTTP 500-内部服务器错误”、“HTTP 403-禁止”、“HTTP 200-OK”，或其他信息。在又一实施例，转送包含侦测到之客制规则模板或基础规则模板的服务请求给受防护计算机资产，并且记录侦测到客制规则模板或基础规则模板的时间，或其他相关信息到日志中。在又一实施例，将连结到警示网页的单一资源寻址(uniform resource locator,URL)回复给客户端***190，从而使得使用者浏览此警示网页。警示网页可显示非法或不安全存取的警告信息。在又一实施例中，转送包含侦测到的客制规则模板或基础规则模板的服务请求至沙盒(sandbox)中的目的端装置，可将伤害控制在有限范围。可理解的是，在步骤S320、S330或S340中，攻击阻挡/侦测模块480可检查服务请求中的请求信息、可执行的脚本指令、窗体对象、后行动、可执行的上载程序等，用以决定服务请求中是否包含任何的白名单模板、黑名单模板、客制规则模板或基础规则模板。存储装置240中的白名单模板、黑名单模板、客制规则模板或基础规则模板可加载至存储器250。
以上所述的方法可应用来降低因SQL隐码攻击(SQLinjection attacks)、跨站脚本指令攻击(cross-site scripting attacks,XSS)、造访路径攻击(path traversalattacks)、命令隐码攻击(command injection attacks)、缓冲区溢出攻击(buffer-overflow attacks)、跨站假要求攻击(cross-site request forgery attacks,CSRF)，或其他类型的攻击所造成的损害。SQL隐码攻击用以***恶意脚本指令至SQL指令(query)。一个成功的SQL隐码攻击可从数据库读取隐私数据，如以Insert、Update或Delete的指令修改数据库数据，执行数据库的管理者作业，例如关闭数据库管理***(Database ManagementSystem,DBMS)，回复DBMS文件***的特定档案内容，或发送命令给操作***。跨站脚本指令攻击可***恶意脚本指令至信任的网站服务器，又称为持续式跨站脚本指令攻击。跨站脚本指令攻击可发生在当攻击者使用网站应用程序传送恶意码(通常以浏览器侧脚本指令的形式)给另外的使用者，又称为反射式跨站脚本指令攻击。造访路径攻击尝试存取网站跟文件夹(web root folder)外的档案及路径。通过访问目录的方式，攻击者找寻存储在网站服务器、应用服务器、电子邮件服务器、即时消息服务器、网络附加存储服务器，或其他类型服务器中档案的绝对路径。通过将变量改变为“../”序列及其变量，可存取文件***中任意的档案及目录，包含受到操作***访问控制限制住的应用程序原始码、组态数据、重要***档案。攻击者可使用“../”序列移动到根目录，用以浏览文件***。访问目录的序列可承载***请求，例如，“http://www.test.com/../../../”。命令隐码攻击通过有弱点的应用程序来执行主机操作***上的任意命令。当应用***传递用户提供的不安全数据(例如窗体、Cookies、HTTP标头等)给***核心时，命令隐码攻击就可能出现。缓冲区溢出攻击用以瘫痪网站服务器或应用服务器的执行堆栈。攻击者可通过输入精心设计的指令至网站应用程序，使得网站应用程序执行这些指令时造成缓冲区溢出。跨站假要求攻击强迫用户在网站应用程序上执行不想要但已授权出去的操作。藉社交应用程序的协助(例如，通过电子邮件或实时通讯软件发送链接)，攻击者可假装网站应用程序的真实用户，执行攻击者选择的操作。如果受害者是一般使用者，成功的跨站假要求攻击可强迫使用者执行状态转换请求，像转账、电子邮件地址或密码变更等。如果受害者是管理者账号，跨站假要求攻击可能危害整个网站应用程序。
如上述第二阶段过滤中，基础规则模板(basic-rule patterns)尽可能涵盖所有类型的攻击行为。换句话说，基础规则模板较客制规则模板涵盖更多类型的受防护计算机资产。进一步，基础规则模板可防护一些在企业网络中不存在的弱点。这些规则并不是特别为单一***设计。例如，公司网络没有物联网装置，而基础规则模板可提供物联网装置的一般性攻击防护。值得注意的是，公司网络未来可能配备物联网装置，而必须具有基础规则模板，用以避免物联网装置遭受计算机攻击。然而，全面检查服务请求的内容，用以决定是否通过基础规则模板的检验，需花费大量的时间。包含白名单模板及客制规则模板的第一阶段过滤被执行在第二阶段过滤之前。客制规则模板用来防护位于网关110或路由器120a或120b之后的有限受防护计算机资产。客制规则为特定计算机资产或软件弱点进行详细设计。依据受防护***的不同，可有不同的客制规则模板。一方面，每当发现任何的白名单模板，马上转送服务请求至目的端装置，而不再进行任何的检查。第一阶段过滤也可包含黑名单模板，早期阻挡攻击者，例如，特定IP地址。其他方面下，一旦发现任何客制规则模板，马上执行攻击阻挡/侦测作业。
虽然实施例在第一阶段过滤中使用客制规则模板而第二阶段过滤中使用基础规则模板，然而，本领域技术人员可交换这二个。换句话说，可根据不同需求交换步骤S330及S340。例如，当企业网络面对较特定的受防护计算机资产、***或弱点更多的一般性攻击时，在第一阶段过滤中使用基础规则模板而第二阶段过滤中使用客制规则模板。
攻击阻挡/侦测服务器180不仅能够辨识来自服务请求的计算机攻击，而且还能扮演将未含攻击的服务请求传送到受防护计算机资产，并将受防护计算机资产的响应传送到发出请求的客户端***的角色。图5是根据本发明实施例中在客户端***和受防护计算机资产间传送服务请求和响应的示意图。客户端***190将携带服务请求的一个或多个IP封包R51发送到攻击阻挡/侦测服务器180。任何服务请求都将经过判断步骤S320、S325、S330和S340。当判定服务请求转传至受防护计算机资产510时，例如受防护计算机资产140a到170c中的任何一个(步骤S350)，处理单元210会产生并传送一个或多个携带有服务请求的IP封包R53至受防护计算机资产510。每一IP封包R53的来源端地址是攻击阻挡/侦测服务器180的IP地址，且每个IP包R53的目的端地址是受防护计算机资产510的IP地址。此外，客户端***190的IP地址被封装在每一IP封包R53的包头或负载中，以使受防护计算机资产510知道发布服务请求的实际来源端在何处。应该注意的是，服务请求的表达可能不像步骤S350中描述的那样改变，或者可以如步骤S360中描述的那样改变。受防护计算机资产510执行相关操作以响应服务请求，并将一个或多个IP封包R55所携带的响应回复给攻击阻挡/侦测服务器180。每一IP封包R55的来源端地址是受防护计算机资产510的IP地址，而IP封包R55的目的端地址是攻击阻挡/侦测服务器180的IP地址。此外，客户端***190的IP地址被封装在每一响应IP封包R55的包头或负载，以使攻击阻挡/侦测服务器180知道此响应的实际目的地为何处。处理单元210相应产生并传送携带回复的一个或多个IP封包R57至客户端***190。每一IP封包R57的来源端地址是攻击阻挡/侦测服务器180的IP地址，而每一IP封包R57的目的端地址是客户端***190的IP地址。处理单元210可从各IP封包R55产生每一IP封包R57。更详细地说，处理单元210通过从每一IP封包R55的包头或负载中移除客户端***190的IP地址，用攻击阻挡/侦测服务器180的IP地址取代IP封包R55的来源端地址，以及用客户端***190的IP地址取代IP封包R55的目的端地址来产生IP封包R57。因此，从客户端***190的角度来看，受防护计算机资产510是隐藏的。
攻击阻挡/侦测服务器180可配置为受防护计算机资产的虚拟闸。存储装置240存储受防护计算机资产的IP地址以供参考。更详细地说明，在步骤S350中，处理单元210产生并传送具有将已存储IP地址作为目的端IP地址的IP封包至受防护计算机资产，这些IP封包携带由客户端***190发出的服务请求。攻击阻挡/侦测服务器180可为管理员提供人机接口(Man-Machine Interface,MMI)，以从攻击阻挡/侦测服务器180和受防护计算机资产间采用的各候选协议(如HTTP、HTTPS、WAP、FTP、LDAP、SSH等)中选择协议。因此，攻击阻挡/侦测服务器180遵循协议的规范，以传送服务请求至受防护计算机资产/从受防护计算机资产接收服务请求。
攻击阻挡/侦测服务器180可配置为两个或更多的受防护计算机资产的虚拟闸。存储装置240可以存储映像至受防护计算机资产的IP地址的请求类型。上述映像可以数据结构实施，像是如数据表格、二维数组等，上述映像通过文件***、关系数据库管理***(relational database system)、文档数据库***(document database system)或其他***来存取。请求类型则可由埠号所指示。根据携带服务请求的IP封包的目的端埠号可判定每一服务请求可被转传至受防护计算机资产。在表格1中可看到映像至受防护计算机资产IP地址的示范性端口号。
表格1
埠号 受防护计算机资产的IP地址 URI
80 192.168.10.10 Bank.com
443 192.168.10.10 Bank.com
109 192.168.10.20 Mail1.com
110 192.168.10.30 Mail2.com
995 192.168.10.30 Mail2.com
156 192.168.10.40 DB.com
更详细地说明，在步骤S350中，处理单元210根据客户端***190所发送带有服务请求的每个IP封包的目的端端口号搜寻表格1，以找出受防护计算机资产的实际IP地址。接着，处理单元210产生并传送将所发现的IP地址作为目的端IP地址的IP封包至受防护计算机资产，其中该IP封包携带服务请求。此外，本领域的技术人员则可根据客户端***190发送的每一IP封包的来源端端口号来搜寻表格1。
在一些实施例中，请求类型可由来源端IP地址所指示。根据携带服务请求的IP封包的来源端IP地址判定每一服务请求将转发至哪个受防护计算机资产。在表格2中可看到映像至受防护计算机资产的IP地址的示例性来源端IP地址。
表格2
来源端IP地址 受防护计算机资产的IP地址 URI
140.92.0.0～140.92.255.255 192.168.10.20 Mail1.com
192.192.0.0～192.192.255.255 192.168.10.30 Mail2.com
140.57.0.0～140.57.255.255 192.168.10.40 Mail3.com
更明确地说明，在步骤S350中，处理单元210根据客户端***190发送携带服务请求的每一IP封包的来源端IP地址来搜寻表格2，以找出受防护计算机资产的实际IP地址。接着，处理单元210产生并发送以所发现的IP地址作为目的端IP地址一IP封包至受防护计算机资产，其中上述IP封包携带服务请求。此外，本领域的技术人员则可使用子网(subnet)来设计表格2的来源端IP地址。
攻击阻挡/侦测服务器180可以向管理员提供人机接口，以配置如表格1或2所示的映射。
图6是根据本发明实施例在基于云端环境中用于阻挡或侦测的计算机攻击的方法的流程图，该方法可以检查封装在流动网络封包中的第7层(所谓的应用层)信息，以侦测攻击模板。图6所描述的方法可以在攻击阻挡/检测模块480中实现。攻击阻挡/侦测服务器180的处理单元210重复执行循环，以调查封装在由客户端***190发送一个或多个IP封包中的每一服务请求。流程开始于经由通讯接口260从客户端***190接收一个或多个IP封包(步骤S610)，并且从IP封包中取得服务请求，其中上述服务请求向受防护计算机资产请求服务(步骤S620)。判断服务请求是否包括计算机攻击(步骤S630)。上述计算机攻击的判断至少可通过如图3所示的两阶段过滤方法中步骤S340来实现。计算机攻击的判断还可进一步包括如图3所示的步骤S320、S325或S330及其他任何组合。当服务请求包括计算机攻击时(步骤S630的“是”路径)，执行攻击阻挡/检测操作以阻挡受防护计算机资产攻击受到损害(步骤S640)。对在步骤S640的细节，读者可参考步骤S360的描述，此处为了简洁起见而将其省略。当服务请求不包括计算机攻击时(步骤S630的“否”路径)，处理单元210取得受防护计算机资产的IP地址(步骤S651)，产生并经由通讯接口260传送携带服务请求的IP封包至受防护计算机资产(步骤S653)。在步骤S651中，受防护计算机资产的IP地址可由存储装置240中所读取。或者，根据IP封包的请求类型，受防护计算机资产的IP地址可通过搜寻表格1或表格2来取得。请求类型可由IP封包的目的端埠号、来源端埠号或来源端IP地址等所指示。在步骤S653中，客户端***190的IP地址可由已产生IP封包的包头或负载所提供，而客户端***190发送的服务请求被提供在已产生IP封包的负载中。
在另一实施例中，整个***可配置如下：除了上述攻击阻挡/侦测服务器180之外，每一受防护计算机资产140a到170c可配置防病毒软件，和/或网页应用防火墙，和/或代理服务器，或其他在受防护计算机资产前端用于侦测和阻挡计算机攻击的防护措施。防病毒软件、网页应用防火墙及代理服务器可统称为保护替代方案。一旦侦测到任何包括计算机攻击的服务请求时(步骤S630的“是”路径)，攻击阻挡/侦测服务器180的处理单元210就可将服务请求转传至指定的受防护计算机资产，以测试相应的防病毒软件、网页应用防火墙及代理服务器或其任何组合是否被配置并正常运行(步骤S640)。更详细地说明，在步骤S640中，攻击阻挡/侦测服务器180的处理单元210可经由通讯接口260转传服务请求至一个或多个受防护计算机资产。应注意的是，为了测试的目的，封装在服务请求中的攻击模板并不做修改。之后，当侦测并阻挡计算机攻击时，相应的防病毒软件、网页应用防火墙及代理服务器或其任何组合将由回复错误代码，以通知攻击阻挡/侦测服务器180受防护计算机资产发现计算机攻击，或直接忽略服务请求使转传的服务请求逾时。当未侦测到计算机攻击时，则攻击阻挡/侦测服务器180从受保护的计算机上窃取机密数据，破坏受防护计算机资产或执行任何损害受防护计算机资产的事。攻击阻挡/侦测服务器180的处理单元210可在预定时间期间内经由通讯接口260从受防护计算机资产中收集回复，并产生报告以指示已侦测到的计算机攻击是否可被各受防护计算机资产的防护替代方案所捕获。表格3描述了示范性报告。
表格3
该示范性报告显示，在POP3服务器中运作的防护替代方案“192.100.40.1#110”并未在2017年1月1日0:00所执行的测试中捕获编号为20232444的SQL隐码攻击。随后，操作者可修复发生在失败计算机资产中侦测到的问题，或检查失败计算机资产中因计算机攻击造成的影响范围。在某些情况下，一个或多个受防护计算机资产可能不受任何防护替代方案的保护，因而面临计算机攻击的风险。当受防护计算机资产执行操作以响应包括计算机攻击的服务请求时，一些功能可能会意外损坏。攻击阻挡/侦测服务器180可在没有防护下转传服务请求至受防护计算机资产，以便检查损坏范围。
虽然图2中包含了以上描述的组件，但不排除在不违反发明的精神下，使用更多其他的附加组件，已达成更佳的技术效果。此外，虽然图3及图6的方法流程图采用特定的顺序来执行，但应可理解，这些过程可以包括更多或更少的操作，其可以串行或平行执行(例如，使用平行处理器或多线程环境)。
虽然本发明使用以上实施例进行说明，但需要注意的是，这些描述并非用以限缩本发明。相反地，此发明涵盖了本领域技术人员显而易见的修改与相似设置。所以，申请权利要求范围须以最宽广的方式解释来包含所有显而易见的修改与相似设置。
符号说明
110 网关
120a、120b 路由器
130a～130d 集线器
140a～140c 服务器
150a 监控主机
150b、150c 监控摄影机
160a 照明控制***
160b 智能电视
160c 门禁控制***
170a 笔记本电脑
170b 个人计算机
170c 平板计算机
190 客户端计算机
210 处理单元
220 显示设备
230 输入装置
240 存储单元
250 存储器
260 网络接口
S310、S320、S325、S330、S340、S350、S360 方法步骤
410 物理层模块
420 数据链路层模块
430 网络层模块
440 传输层模块
450 会话层模块
460 表现层模块
470 应用层模块
480 攻击阻挡/侦测模块
510 受防护计算机资产
R51、R53、R55、R57 IP封包
S610、S620、S630、S640、S651、S653 方法步骤

Claims (31)

1.一种在基于云端环境中阻挡或侦测计算机攻击的方法，由设备的处理单元执行，包括：
通过因特网从客户端***接收第一IP(因特网协议，Internet Protocol)封包；
从上述第一IP封包取得服务请求，其中上述服务请求向受防护计算机资产请求服务；
判断上述服务请求是否包括计算机攻击；以及
当上述服务请求包括上述计算机攻击时，执行攻击阻挡/侦测操作以阻挡上述受防护计算机资产受到损害。
2.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，还包括：
当上述服务请求不包括上述计算机攻击时，取得上述受防护计算机资产的IP地址；以及
通过上述因特网产生并传送携带上述服务请求的第二IP封包至上述受防护计算机资产，其中上述第二IP封包的来源端地址是上述设备的IP地址，上述第二IP封包的目的端地址是上述受防护计算机资产的上述IP地址。
3.如权利要求2所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述受防护计算机资产的上述IP地址由上述设备的存储装置中所读取。
4.如权利要求2所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中当上述服务请求不包括上述计算机攻击时，取得上述受防护计算机资产的上述IP地址的步骤包括：
根据上述第一IP封包的请求类型搜寻上述设备的存储装置的表格，以取得上述受防护计算机资产的上述IP地址，其中上述表格存储复数请求类型且每一请求类型映像至IP地址。
5.如权利要求4所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述第一IP封包的上述请求类型由上述第一IP封包的目的端埠号、来源端埠号或来源端IP地址所指示。
6.如权利要求2所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述第二IP封包的包头或负载包括上述客户端***的上述IP地址。
7.如权利要求6所述的在基于云端环境中阻挡或侦测计算机攻击的方法，包括：
从上述受防护计算机资产接收携带响应的第三IP封包，其中上述第三IP封包的包头或负载包括上述客户端***的上述IP地址；以及
通过上述因特网产生并传送携带上述响应的第四IP封包至上述客户端***，其中上述第四IP封包的来源端地址是上述设备的上述IP地址，且上述第四IP封包的目的端地址是上述客户端***的上述IP地址。
8.如权利要求7所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述第四IP封包通过从上述第三IP封包的上述包头或负载中移除上述客户端***的上述IP地址，用上述设备的上述IP地址取代上述第三IP封包的来源端地址，以及用上述客户端***的上述IP地址取代上述第三IP封包的目的端地址来产生。
9.如权利要求2所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中判断上述服务请求是否包含上述计算机攻击的步骤包括：
当在第一阶段过滤中从上述服务请求中发现白名单模板时，判定上述服务请求不包含上述计算机攻击；以及
在完成上述第一阶段过滤之后执行第二阶段过滤。
10.如权利要求9所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中判断上述服务请求是否包含上述计算机攻击的步骤包括：
提供复数黑名单模板；以及
当发现上述服务请求不包括上述白名单模板但在上述第一阶段过滤中包括至少一个黑名单模板时，判定上述服务请求包括计算机攻击。
11.如权利要求10所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中判断上述服务请求是否包含上述计算机攻击的步骤包括：
提供复数客制规则模板；以及
当发现上述服务请求不包括上述白名单模板但在上述第一阶段过滤中包括至少一个客制规则模板时，判定上述服务请求包括计算机攻击。
12.如权利要求11所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中执行上述第二阶段过滤的步骤还包括：
提供复数基本规则模板；以及
当发现上述服务请求包括至少一个基本规则模板时，执行上述攻击阻挡/侦测操作。
13.如权利要求12所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述基本规则模板较上述客制规则模板涵盖更多类型的受防护计算机资产。
14.如权利要求13所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述客制规则模板是专门为单一***或漏洞而设计，而上述基本规则模板被设计用以阻挡常见攻击。
15.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述服务请求包括第7层(Layer 7)信息。
16.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以取代特殊字符以防止字符串切换到任何执行上下文，并转传上述修改的服务请求至上述受防护计算机资产。
17.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以丢弃上述服务请求，且不将上述服务请求转传至上述受防护计算机资产。
18.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以阻止上述服务请求被转传至上述受防护计算机资产并以信息响应上述客户端***。
19.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以转传上述服务请求至上述受防护计算机资产并记录侦测到上述客制规则模板或上述基础规则模板的时间到日志(log)中。
20.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以回复上述客户端***链接至警示网页的单一资源定位符(Uniform Resource Locator,URL)。
21.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以转传上述服务请求至沙盒(sandbox)的目的端装置。
22.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以转传上述服务请求至一个或多个受防护计算机资产，以测试在接收上述服务请求的每一受防护计算机资产上运行的一保护替代方案是否能侦测到上述计算机攻击。
23.如权利要求1所述的在基于云端环境中阻挡或侦测计算机攻击的方法，其中上述攻击阻挡/侦测操作被执行以转传上述服务请求至没有保护的一个或多个受防护计算机资产，以实施损坏范围的检查。
24.一种在基于云端环境中阻挡或侦测计算机攻击的设备，包括：
通讯接口；以及
处理单元，耦接至上述通讯接口，经由上述通讯接口通过因特网从客户端***接收第一IP(因特网协议，Internet Protocol)封包；从上述第一IP封包取得服务请求，其中上述服务请求向受防护计算机资产请求服务；判断上述服务请求是否包括计算机攻击；以及当上述服务请求包括上述计算机攻击时，执行攻击阻挡/侦测操作以阻挡上述受防护计算机资产受到损害。
25.如权利要求24所述的在基于云端环境中阻挡或侦测计算机攻击的设备，其中当上述服务请求不包括上述计算机攻击时，上述处理单元取得上述受防护计算机资产的IP地址；以及经由上述通讯接口通过上述因特网产生并传送携带上述服务请求的第二IP封包至上述受防护计算机资产，其中上述第二IP封包的来源端地址是上述设备的IP地址，上述第二IP封包的目的端地址是上述受防护计算机资产的上述IP地址。
26.如权利要求24所述的在基于云端环境中阻挡或侦测计算机攻击的设备，包括：
存储装置，存储上述受防护计算机资产的IP地址；
其中，上述处理单元从上述存储装置读取上述受防护计算机资产的上述IP地址。
27.如权利要求24所述的在基于云端环境中阻挡或侦测计算机攻击的设备，包括：
存储装置，存储表格，其中上述表格存储复数请求类型且每一请求类型映像至IP地址；
其中上述处理单元根据上述第一IP封包的请求类型搜寻上述表格，以取得上述受防护计算机资产的上述IP地址。
28.如权利要求26所述的在基于云端环境中阻挡或侦测计算机攻击的设备，其中上述第一IP封包的上述请求类型由上述第一IP封包的目的端埠号、来源端埠号或来源端IP地址所指示。
29.如权利要求25所述的在基于云端环境中阻挡或侦测计算机攻击的设备，其中上述第二IP封包的包头或负载包括上述客户端***的上述IP地址。
30.如权利要求29所述的在基于云端环境中阻挡或侦测计算机攻击的设备，其中上述处理单元从上述受防护计算机资产接收携带响应的第三IP封包，其中上述第三IP封包的包头或负载包括上述客户端***的上述IP地址；以及上述处理单元通过上述因特网产生并传送携带上述响应的第四IP封包至上述客户端***，其中上述第四IP封包的来源端地址是上述设备的上述IP地址，且上述第四IP封包的目的端地址是上述客户端***的上述IP地址。
31.如权利要求30所述的在基于云端环境中阻挡或侦测计算机攻击的设备，其中上述第四IP封包通过从上述第三IP封包的上述包头或负载中移除上述客户端***的上述IP地址，用上述设备的上述IP地址取代上述第三IP封包的来源端地址，以及用上述客户端***的上述IP地址取代上述第三IP封包的目的端地址来产生。
CN201910174819.2A 2018-03-26 2019-03-08 在基于云端环境中阻挡或侦测计算机攻击的方法和设备 Active CN110362992B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US15/936,338 2018-03-26
US15/936,338 US10841281B2 (en) 2018-03-26 2018-03-26 Methods for preventing or detecting computer attacks in a cloud-based environment and apparatuses using the same

Publications (2)

Publication Number Publication Date
CN110362992A true CN110362992A (zh) 2019-10-22
CN110362992B CN110362992B (zh) 2021-06-08

Family

ID=67985811

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910174819.2A Active CN110362992B (zh) 2018-03-26 2019-03-08 在基于云端环境中阻挡或侦测计算机攻击的方法和设备

Country Status (2)

Country Link
US (1) US10841281B2 (zh)
CN (1) CN110362992B (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20190317776A1 (en) 2018-04-12 2019-10-17 Pearson Management Services Limited Systems and methods for automated customized microservice creation
JP7060800B2 (ja) * 2018-06-04 2022-04-27 日本電信電話株式会社 感染拡大攻撃検知システム及び方法、並びに、プログラム
GB201820853D0 (en) * 2018-12-20 2019-02-06 Palantir Technologies Inc Detection of vulnerabilities in a computer network
US20210377220A1 (en) * 2020-06-02 2021-12-02 Code 42 Software, Inc. Open sesame
CN111800401B (zh) * 2020-06-28 2023-05-23 腾讯科技（深圳）有限公司 业务报文的防护方法、装置、***和计算机设备
CN113507440A (zh) * 2021-06-08 2021-10-15 贵州电网有限责任公司 一种基于web应用运行时的零规则XSS攻击检测方法
CN113297577B (zh) * 2021-06-16 2024-05-28 深信服科技股份有限公司 一种请求处理方法、装置、电子设备及可读存储介质
CN114944951B (zh) * 2022-05-18 2024-02-06 北京天融信网络安全技术有限公司 一种请求的处理方法及装置、拟态设备、存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070258438A1 (en) * 2006-05-05 2007-11-08 Broadcom Corporation, A California Corporation Switching network employing a user challenge mechanism to counter denial of service attacks
US20090049537A1 (en) * 2006-08-08 2009-02-19 A10 Networks, Inc. System and Method for Distributed Multi-Processing Security Gateway
CN101902456A (zh) * 2010-02-09 2010-12-01 北京启明星辰信息技术股份有限公司 一种Web网站安全防御***
CN102638474A (zh) * 2012-05-08 2012-08-15 山东大学 一种应用层DDoS分布式拒绝服务攻击防御方法
US20140282816A1 (en) * 2013-03-14 2014-09-18 Fortinet, Inc. Notifying users within a protected network regarding events and information
CN104717212A (zh) * 2014-10-21 2015-06-17 中华电信股份有限公司 一种云端虚拟网络安全的防护方法与***

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7418504B2 (en) * 1998-10-30 2008-08-26 Virnetx, Inc. Agile network protocol for secure communications using secure domain names
US20050193429A1 (en) * 2004-01-23 2005-09-01 The Barrier Group Integrated data traffic monitoring system
US7721091B2 (en) * 2006-05-12 2010-05-18 International Business Machines Corporation Method for protecting against denial of service attacks using trust, quality of service, personalization, and hide port messages
US9054943B2 (en) * 2009-12-23 2015-06-09 Citrix Systems, Inc. Systems and methods for mixed mode handling of IPv6 and IPv4 traffic by a virtual server
CN103905510B (zh) * 2012-12-28 2018-04-27 深圳市腾讯计算机***有限公司 一种数据包的处理方法及后台服务器
US9553899B2 (en) * 2013-08-30 2017-01-24 Comcast Cable Communications, Llc Single pass load balancing and session persistence in packet networks
US9253206B1 (en) * 2014-12-18 2016-02-02 Docusign, Inc. Systems and methods for protecting an online service attack against a network-based attack
US10237875B1 (en) * 2015-09-25 2019-03-19 Amazon Technologies, Inc. Routing-aware network limiter
US10375110B2 (en) * 2016-05-12 2019-08-06 Attivo Networks Inc. Luring attackers towards deception servers

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070258438A1 (en) * 2006-05-05 2007-11-08 Broadcom Corporation, A California Corporation Switching network employing a user challenge mechanism to counter denial of service attacks
US20090049537A1 (en) * 2006-08-08 2009-02-19 A10 Networks, Inc. System and Method for Distributed Multi-Processing Security Gateway
CN101902456A (zh) * 2010-02-09 2010-12-01 北京启明星辰信息技术股份有限公司 一种Web网站安全防御***
CN102638474A (zh) * 2012-05-08 2012-08-15 山东大学 一种应用层DDoS分布式拒绝服务攻击防御方法
US20140282816A1 (en) * 2013-03-14 2014-09-18 Fortinet, Inc. Notifying users within a protected network regarding events and information
CN104717212A (zh) * 2014-10-21 2015-06-17 中华电信股份有限公司 一种云端虚拟网络安全的防护方法与***

Also Published As

Publication number Publication date
US20190297056A1 (en) 2019-09-26
US10841281B2 (en) 2020-11-17
CN110362992B (zh) 2021-06-08

Similar Documents

Publication Publication Date Title
US12001504B2 (en) Internet-based proxy service to modify internet responses
CN110362992A (zh) 在基于云端环境中阻挡或侦测计算机攻击的方法和设备
US11245662B2 (en) Registering for internet-based proxy services
KR101689299B1 (ko) 보안이벤트 자동 검증 방법 및 장치
TWI625641B (zh) 二階段過濾的電腦攻擊阻擋方法以及使用該方法的裝置
CN101849238B (zh) 跨站脚本过滤器
US7464407B2 (en) Attack defending system and attack defending method
WO2020210538A1 (en) Systems and methods for detecting injection exploits
US20160119371A1 (en) Identifying bots
US20160044054A1 (en) Network appliance for dynamic protection from risky network activities
Giani et al. Data exfiltration and covert channels
Catakoglu et al. Attacks landscape in the dark side of the web
TW202009767A (zh) 閘道裝置、惡意網域與受駭主機的偵測方法及其非暫態電腦可讀取媒體
Lewandowski et al. Spidertrap—An innovative approach to analyze activity of internet bots on a website
Zhao et al. Network security model based on active defense and passive defense hybrid strategy
Selvamani et al. Protection of web applications from cross-site scripting attacks in browser side
Nikiforakis et al. Exploring the ecosystem of referrer-anonymizing services
Invernizzi Detecting the stealthy distribution of malicious and abusive content online
Iheagwara The effectiveness of intrusion detection systems
Jayamsakthi Study of Security Issues and Development of Risk Minimization Techniques for Web Applications
Mahmood et al. Gateway Access Permission Technology for High Assurance

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant