CN112583819B - 一种网络接口状态检测方法、装置及设备 - Google Patents

Abstract

本说明书实施例公开了一种网络接口状态检测方法、装置及设备，该方法包括：获取处于上线状态的第一网络接口的标识；确定第一网络接口标识在预设时段内对应的流量信息；根据该流量信息，计算第一网络接口的无流量在线时长；如果某个网络接口的无流量在线时长达到设定生命周期且传输过敏感信息时，确定该网络接口处于需下线状态，对该网络接口进行下线处理。

Description

一种网络接口状态检测方法、装置及设备

技术领域

本申请涉及互联网安全技术领域，尤其涉及一种网络接口状态检测方法、装置及设备。

背景技术

随着业务的高速发展，业务服务端的网络接口每天以几十上百的速度在快速迭代。很多攻击者也利用网络接口进行数据的盗取，因此，网络接口的监管一直备受重视。

目前，对于网络接口数据泄露的发现装置，已经由安全扫描器，安全扫描器可以对活跃的网络接口进行风险扫描。但是，服务端还可能存在很多长期无用的网络接口，这些长时间没有流量的接口，如果本身存在漏洞且传输过敏感数据，可能会导致用户的隐私数据批量泄漏，例如：攻击者利用这些接口爬取用户的敏感数据，而业务***对此无法感知到该风险。而这些接口由于长期没有流量，现有的扫描器无法扫描到这类接口存在的风险。

因此，亟需提供一种更可靠的网络接口状态检测方案。

发明内容

本说明书实施例提供一种网络接口状态检测方法、装置及设备，以解决现有的网络接口风险扫描方法存在的对于长期无流量的接口无法扫描到，导致数据泄露的问题。

为解决上述技术问题，本说明书实施例是这样实现的：

本说明书实施例提供的一种网络接口状态检测方法，所述方法包括：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

本说明书实施例提供的一种网络接口状态检测装置，包括：

接口标识获取模块，用于获取处于上线状态的第一网络接口的标识；

流量信息确定模块，用于确定所述第一网络接口标识在预设时段内对应的流量信息；

在线时长计算模块，用于根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断模块，用于判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

网络接口下线状态确定模块，用于当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

本说明书实施例提供的一种网络接口状态检测设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

本说明书实施例提供的一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现一种网络接口状态检测方法。

本说明书一个实施例实现了能够达到以下有益效果：通过获取处于上线状态的第一网络接口的标识；确定第一网络接口标识在预设时段内对应的流量信息；根据预设时段内对应的流量信息，计算第一网络接口的无流量在线时长；判断是否无流量在线时长达到设定生命周期且第一网络接口传输过敏感信息，得到判断结果；当无流量在线时长达到设定生命周期且第一网络接口传输过敏感信息时，确定第一网络接口处于需下线状态。通过上述方法，可以持续的监控网络接口的使用情况，自动检测出预设时段内没有流量的网络接口的状态，从而发现预设时段内无流量的网络接口存在的风险，以便后续对存在安全隐患的网络接口进行处置，降低未知风险对业务***的影响。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本说明书实施例中一种网络接口状态检测方法的整体方案架构图；

图2为本说明书实施例提供的一种网络接口状态检测方法的流程示意图；

图3是本说明书实施例提供的一种网络接口状态检测装置的结构示意图；

图4是本说明书实施例提供的一种网络接口状态检测设备的结构示意图。

具体实施方式

为使本说明书一个或多个实施例的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书一个或多个实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本说明书一个或多个实施例保护的范围。

以下结合附图，详细说明本说明书各实施例提供的技术方案。

在大数据时代，数据已经成为人类生活的重要组成部分，数据安全成为了各行各业尤为重视的环节。但由数据泄露引发的时间仍呈现出不断增长的趋势。

敏感数据的类型因行业而异，攻击方法也各不相同。例如，金融和工商业必须保护姓名、联系信息、社保号、账号和其它金融信息。同样，医疗记录中包含相同的个人数据，除此之外还包含可以进行身份欺诈的更多详细信息，如医生和处方记录、医疗保险信息以及身高、体重、血型等个人健康特征，因此，医疗行业面临的数据泄露风险也很高。

在页面显示、操作交互中不可避免的会有一些如用户的标识信息、密码、帐号信息、涉及的金额信息等敏感数据(保密性的数据)的存在。这些数据都需要通过网络接口进行传输。

所有行业的敏感数据都很有价值。自然人、法人的许多信息涉及到个人隐私、商业机密等，在共享时需要高度保证数据的安全性，以防止非法窃听、信息涉密等。由于数据通过网络接口进行传输，现有的方案中，出现了一些通过检测网络接口安全性的方式来预防攻击者通过网络接口爬取数据。

基于源代码的扫描方式，或者通过服务端***的流量进行黑盒扫描，仅能对存在流量的网络接口进行扫描。而对于长期无流量的网络接口，代码扫描难以覆盖，扫描器也很难发现这类网络接口的风险，因此，由于这些网络接口流量上的缺失以及缺乏有效的监控，如果这些长期无流量的网络接口存在安全漏洞，往往会被攻击者利用，从而导致用户隐私数据被爬取，且用户无法感知该风险。

因此，本方案提供一种网络接口的状态检测方案，用于自动化的对这类存在安全隐患的接口在不影响业务正常运行的前提下进行自动化的处置。

为了解决现有技术中的缺陷，本方案给出了以下实施例：

图1为本说明书实施例中一种网络接口状态检测方法的整体方案架构图。如图1所示，本说明书实施例中的方案涉及有服务端网关101、网关配置中心102、网关巡检平台103。

其中，服务网端网关101可以将所有移动端数据所产生的原始流量日志进行保存；网关配置中心102可以对所有网络接口的注册信息进行记录；网关巡检平台103可以接收网关配置中心102同步的网络上下线信息，通过网关对需要下线的网络接口进行下线。在服务端网关101处，可以从保存的原始流量日志中，按照权重抽样的方式，按照接口唯一标识，如RPC流量里的operation Type或者Http请求的URL信息，进行权重抽样，将抽取到的数据进行持久存储，形成数据表1。另外一方面，可以对整体的原始流量日志进行敏感信息检测，主要检测服务端返回数据的内容是否包含敏感信息，如身份证、姓名、手机号等，并进行增量存储，形成数据表2。

网关配置中心102中存在接口信息表，接口信息表中可以包括接口名称、负责人、所属业务、生效日期以及当前状态等信息。网关配置中心根据接口信息表可以确定每个网络接口的上下线状态，结合数据表1和处于在线状态的网络接口状态，看哪些接口从何时起没有流量，再看是否超过了计算得到的设定生命周期，再结合数据表2中的敏感信息进行判断，可以确定出需要治理的网络接口(历史存在敏感信息且长时间无流量情况的接口)，将数据同步给网关巡检平台103，网关巡检平台103可以通过网关配置中心102对需要下线的网络接口进行下线处理。

需要说明的是，图1中的数据表1在后续实施例中的描述中，用第一数据表代替，数据表2用第二数据表代替。这里的第“第一”、“第二”仅用于表示存储不同信息的数据表，并不具有其他限定意义。不影响本方案的保护范围。

接下来，将针对说明书实施例提供的一种网络接口状态检测方法结合附图进行具体说明：

图2为本说明书实施例提供的一种网络接口状态检测方法的流程示意图。从程序角度而言，流程的执行主体可以为搭载于应用服务器的程序或应用客户端。在该实施例中，下列步骤的执行主体可以是网关配置中心对应的一个或多个服务器，网关配置中心检测到网络接口的状态信息之后，可以将该数据同步给网关巡检平台对应的一个或多个服务器。当然，该方法的执行主体还可以是业务***中专门用于监控管理网络接口状态的服务器。

如图2所示，该流程可以包括以下步骤：

步骤202：获取处于上线状态的第一网络接口的标识。

上线状态，可以指的是在业务***中注册的网络接口所对应的状态，一个网络接口被注册可以理解为该网络接口被上线。网络接口的标识可以唯一表示该网络接口。

本说明书实施例中，检测的对象为未下线的网络接口，即属于上线状态的网络接口。

步骤204：确定所述第一网络接口标识在预设时段内对应的流量信息。

预设时段可以根据实际业务需求进行设定，例如：可以是30天、60天或90天。

流量信息可以表示该网络接口的使用情况，即通过该网络接口传输数据对应的信息，至少可以包括时间戳、进出流量等信息。

步骤206：根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长。

根据流量信息，可以确定第一网络接口中每个接口存在流量的时间戳，从而可以确定每个网络接口的无流量在线时长。例如：存在A、B、C三个在线网络接口，检测这三个接口在60天内的流量信息，以网络接口A为例进行说明：在计算网络接口A的无流量在线时长时，先确定网络接口A最后一次存在流量的时间戳(例如：为2019年1月1日上午7:30)，当前时刻为2019年1月1日下午14:30，此时，网络接口A的无流量在线时长为7个小时。

需要说明的是，假设一个网络接口在预设时间段内，都不存在流量信息，那么可以认为该网络接口在该时间段内都未被使用，在计算无流量在线时长时，可以以开始检测的时间作为该网络接口无流量在线时长计算的开始时间。

步骤208：判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果。

不同的行业、不同的用户，其敏感信息可能不同，例如：金融类的机构，敏感信息可以包括：姓名、联系信息、银行卡账号、消费情况以及其它金融信息。在医疗机构，敏感信息可以包括：处方记录、患者病历数据、医疗保险信息、患者姓名、身高、体重、血型等。对于个人来说，其对应的敏感信息可以包括：身份证号、姓名、手机号等个人基本信息以及银行***、消费记录等等。

需要说明的是，在本说明书实施例中，设定生命周期，并非是由人为直接设定的生命周期，而是需要通过计算得到的用于作为比对基准的生命周期。

在计算得到在线网络接口的无流量在线时长之后，可以进行两方面的操作：

一方面，判断这些在线网络接口的无流量在线时长是否达到设定生命周期。

另一方面，判断这些在线网络接口是否传输过敏感信息，增加安全风险的判断纬度。

沿用上述例子，采用同样的方式，计算得到网络接口B的无流量在线时长为31天，网络接口C的无流量在线时长为40天。假设计算得到的设定生命周期为30天，则网络接口B以及网络接口C均达到了设定生命周期，但是还需要进一步判断网络接口B以及网络接口C是否传输过敏感信息。得到判断结果。

步骤210：当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

判断结果可以包括以下几种情况：

1)无流量在线时长达到设定生命周期，但第一网络接口未传输过敏感信息。此时，虽然长时间不存在流量，但是这类接口并未传输过敏感数据，因此，不存在隐私相关风险，因此，不需要对其进行下线。

2)无流量在线时长达到设定生命周期，且第一网络接口传输过敏感信息，此时，第一网络接口存在安全风险，外部人员可能利用该接口爬取用户的数据，因此，确定第一网络接口处于需下线状态。

3)无流量在线时长未达到设定生命周期，第一网络接口未传输过敏感信息。此时，第一网络接口未传输过敏感信息，不管无流量在线时长是否达到设定生命周期，都不需要对其进行下线。

4)无流量在线时长未达到设定生命周期，第一网络接口传输过敏感信息。此时，虽然第一网络接口传输过敏感信息，但是由于该类网络接口仍然处于正常使用中，风险扫描器可以对其进行风险筛查，不需要对其进行下线处理。

应当理解，本说明书一个或多个实施例所述的方法其中部分步骤的顺序可以根据实际需要相互交换，或者其中的部分步骤也可以省略或删除。

图2中的方法，通过获取处于上线状态的第一网络接口的标识；确定第一网络接口标识在预设时段内对应的流量信息；根据预设时段内对应的流量信息，计算第一网络接口的无流量在线时长；判断是否无流量在线时长达到设定生命周期且第一网络接口传输过敏感信息，得到判断结果；当判断结果表示无流量在线时长达到设定生命周期且第一网络接口传输过敏感信息时，确定第一网络接口处于需下线状态。可以持续的监控服务***接口的使用情况，对于存在安全隐患的接口，在不影响业务正常运行的前提下进行自动化的处置，降低网络接口未知风险对服务端的影响。

基于图2的方法，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。

可选的，所述确定所述第一网络接口处于需下线状态之后，还可以包括：

对所述第一网络接口进行下线处理。

具体地，所述对所述第一网络接口进行下线处理，具体可以包括：

确定所述第一网络接口的接口类型；

调用下线接口对所述接口类型对应的所述第一网络接口进行下线，并记录被下线的第一网络接口的接口信息以及下线信息。

需要说明的是，对于存在安全隐患的网络接口，通过网关配置信息，找到该网络接口对应研发的通讯方式，进行邮件通知。开发者会进行确认，如果确认可以下线，邮件中可以有一个下线按钮，点击改下线按钮，可以直接将其网络接口进行下线。其中，下线按钮的操作是：调用网关的http下线接口，根据网络接口的唯一标识，以及确认下线的网络接口信息，对该网络接口进行下线，并记录其下线信息。

其中，接口唯一标识是对一个服务端的访问接口进行唯一标记的字符串，在远程过程调用协议(Remote Procedure Call Protocol，简称RPC)中，在Http/Https中，服务端的接口唯一标识(Operation Type)，是以域名+域名URL后缀+参数k按照(A-Z)的顺序进行组合得到的。

需下线的网络接口可以理解为存在安全隐患的网络接口，对于这类接口，需要进行下线处理，以在不影响业务正常运行的前提下，对存在安全隐患的网络接口济宁自动化处置，从而降低未知风险对服务端的影响。

可选的，所述判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果之前，还可以包括：

获取注册的全量网络接口的相关信息；所述相关信息中至少包括各个注册的网络接口的上线时间、下线时间以及各个注册的网络接口的当前状态；

根据所述各个注册的网络接口的当前状态，确定所述全量网络接口中处于下线状态的第二网络接口；

根据所述上线时间、下线时间计算每个所述第二网络接口的生命周期；

根据每个所述第二网络接口的生命周期，确定所述设定生命周期。

需要说明的是，在实际应用场景中，需要计算网络接口可容忍的最长生命周期，上述步骤中的设定生命周期就可以理解为可容忍的最长生命周期。

还需要计算待检测的每个网络接口的无流量在线时长。这里的无流量在线时长可以表示的是该网络接口持续没有流量的时长。

对于任意一个网络接口，通过比较该网络接口的无流量在线时长与设定生命周期，就可以确定该网络接口是否满足需下线接口的时间要求。

网关配置中心可以记录全量的网络接口信息，包含了现在线上已有的注册过的网络接口，并且有这些网络接口的相关状态。每个网络接口在上线使用时，都需要进行注册，在注册时，当前业务***中的网关配置中心会记录其网络接口注册的相关信息，其中，相关信息中可以包括：注册的网络接口的接口名称、负责人、所属业务、生效日期(上线时间，下线时间)以及当前状态等信息。因此，对于待检测的网络接口，根据这些接口在网关配置中心中的相关信息就可以确定网络接口的当前状态，例如：上线状态或下线状态。

网关配置中心的相关信息，可以有两方面作用：

第一方面，提供网络接口的状态，确定哪些网络接口在线，哪些网络接口已下线。

第二方面，可以基于相关信息计算已下线的网络接口的平均生命周期。

对于处于下线状态的网络接口，根据该网络接口的上线时间和下线时间，就可以确定该网络接口的生命周期。例如：存在一个网络接口A，网络接口A的上线时间为：2018年1月1日，下线时间为2019年2月1日，则可以确定网络接口A的生命周期为13个月。

在实际计算过程中，有一部分网络接口的上线就是为了支持某个节日或重要活动的进行，等活动结束，这类网络接口就会被下线，例如：双十一期间，支付平台上线的网络接口，在活动结束之后，就会对其进行下线。因此，在实际计算设定生命周期时，如果根据一个网络接口或者及其相似的网络接口计算其设定周期，这是不准确的。因此，在计算网络接口的设定生命周期时，可以从网关配置中心中获取设定时间段内所有下线的网络接口，根据所有下线的网络接口的生命周期来计算设定生命周期。需要说明的是，根据实际业务需求以及对于计算结果的精度要求，设定时间应该设置合理，不能过短，导致数据过少，从而计算结果不够准确，也不能过多，导致计算数据量过大，影响计算效率，因此，设定时间可以是根据实际业务的类型，来进行设定。

进一步地，所述根据每个所述第二网络接口的生命周期，确定所述设定生命周期，具体可以包括：

根据每个所述第二网络接口的生命周期，计算所述第二网络接口的平均生命周期；

确定所述第二网络接口的生命周期中的最长生命周期；

将所述平均生命周期与所述最长生命周期之和的中间值确定为所述设定生命周期。

通过上述步骤，在计算设定生命周期时，先计算已下线接口的生命周期的总和/总的下线接口数＝当前***业务接口的平均生命周期；再计算当前业务***已下线接口存活最长时间的业务接口的生命周期；最后将所述平均生命周期与所述最长生命周期之和的中间值确定为所述设定生命周期。可以举例进行说明：例如：存在4个处于下线状态的网络接口A、B、C、D，生命周期分别为20天、35天、45天、60天。下线网络接口的平均生命周期为：(20+35+45+60)/4＝40天，其中，下线接口中，最长生命周期为60天，设定生命周期＝(40+60)/2＝50天。

通过上述方法，当业务的网络接口没有流量的时间超过了当前业务***可容忍的最长生命周期，并且存在敏感信息，则认为可以将该网络接口进行下线。

所述根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长，具体可以包括：

获取第一数据表；所述第一数据表中包括每个所述第一网络接口的流量信息；

对于任意一个所述第一网络接口，根据所述流量信息，确定所述任意一个第一网络接口的无流量的连续时长；

将所述连续时长确定为所述任意一个第一网络接口的无流量在线时长。

其中，第一数据表的生成方式，具体可以包括：

获取原始流量日志；

在预设时间周期内，按照业务类型从所述原始流量日志中抽取对应网络接口的预设数目条数据；

对抽取的数据进行持久化存储，得到所述第一数据表。

需要说明的是，第一数据表可以是由服务端网关生成，在服务端网关，用户的正常APP操作，比如：发起网络请求，都会需要通过网关进入业务***。服务端网关会对用户APP的流量日志进行采集，采集之后，会将所有的移动端数据所产生的原始流量日志进行保存。

其中，在互联网中，流量日志可以包括时间戳、源IP、目的IP、源端口、目的端口、进出流量、服务质量等信息。对于本说明书实施例，服务端网关保存的流量日志中可以包括存在流量的每个网络接口的接口名称、存在流量的时间戳、传输的流量内容等信息。

但是，在生成第一数据表时，如果将每天的全量流量日志都进行存储，无疑会增加存储开销，增大成本。因此，在本方案的应用中，可以按照权重抽样的方式，按照接口唯一标识，如RPC流量里的operation Type或者Http请求的URL信息，进行权重抽样，能够保障每个接口每天抽样10-15条数据，并持久存储于第一数据表中，以便进行长期观察，某一个网络接口每天是否有流量产生。其中，权重抽样是一种抽样算法，可根据某一个属性权重进行抽样，在本说明书实施例中，可以表示根据接口唯一标识的唯一性进行抽样，可以理解为根据网络接口的业务类型进行抽样，一个唯一的业务接口，在N个业务接口中，opeartion Type标记了某一个业务，每个operation Type可以有对应的业务类型。比如一个operationType抽样5条数据。

因此，在抽样时，可以按照业务类型从原始流量日志中抽取对应网络接口的预设数据条数据。例如：可以设置每种业务类型每天抽取15-20条数据。

具体地，所述在预设时间周期内，按照业务类型从所述原始流量日志中抽取对应网络接口的预设数目条数据之前，还可以包括：

按照预设时间周期内对应的流量大小，确定待抽取的数据条目的数量；

或，按照预设时间周期内对应的业务请求类型，确定待抽取的数据条目的数量。

在实际应用场景中，按照预设周期内对应的流量大小，确定待抽取的数据条目的数量，例如：假设预设时间周期为1天，在一天中，根据统计数据得出的结论是：每天晚上的成交量远远大于上午和下午，那么在设置抽取数据的数量时，可以设置上午和下午各抽取2-3条，晚上抽取15-20条。再比如：以一个月为预设周期时，在某个月存在购物节，购物节的流量远远大于其他正常时间段，那么可以设置购物节那天抽取更多数目的数据。

另外，预设时间周期内，不同的业务类型，对应的流量信息也可能不相同，因此，可以根据不同业务类型对应的流量情况对待抽取数据的数据量进行设置，例如：假设服饰类的订单量远远大于家电类的订单量，那么对于服饰类的流量数据的抽取数目可以大于家电类的数据抽取数目。

第一数据表中可以包括网络接口的接口名称，流量信息以及当前抽样的请求个数。从第一数据表中可以看出已有的网络接口中，哪些接口从何时开始没有流量。因此，在生成第一数据表后，可以根据第一数据表中的信息分析每个网接口的流量活跃情况。具体地，可以通过在线的接口，根据第一数据表中的信息进行mysql group by计算，从而统计每个业务接口近期的流量活跃情况。其中，关系型数据库管理***(mysql)中的group by语法可以理解为根据给定数据列的每个成员对查询结果进行分组统计，最终得到一个分组汇总表。

通过上述方法，可以在保证存储开销的情况下，增加数据的覆盖率，从而更好地统计每个网络接口的流量活跃情况。

除此之外，从原始流量日志中还可以获取各个网络接口传输过的数据内容，因此，所述判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果之前，还可以包括：

获取第二数据表；所述第二数据表中包括网络接口名称以及每个网络接口对应的敏感信息。

第二数据表中可以包含网络接口的接口名称，数据中存在的敏感信息类型等信息。

其中，第二数据表的生成方式，具体可以包括：

获取原始流量日志；

确定出所述流量日志中传输过敏感数据的网络接口；

将传输过敏感数据的网络接口进行增量存储，得到第二数据表。

通过上述方式，可以统计出传输过敏感数据的网络接口，以及这些网络接口具体传输过的具体的敏感数据的数据类型以及数据内容等。便于后续对网络接口的风险进行监测。

通过本说明书实施例中的方案，可以实现以下技术效果：

1)通过自动计算在线网络接口的无流量在线时长，以及根据已下线的网络接口计算设定生命周期，并根据每个网络接口的无流量在线时长以及设定生命周期，自行检测长时间没有用户调用，处于废弃状态且曾经传输过敏感信息的风险网络接口。除了废弃时间，还增加了敏感词按此的安全风险判断维度，能够准确检测出存在安全隐患的网络接口。

2)传统的扫描器一方面对于基于流量的扫描器，这类没有用户调用的接口不会产生流量，无法被覆盖，而基于代码的安全扫描，由于代码留存已久，且不知道分支、以及仓库位置的情况下，提高代码覆盖面也是一种投入产出比很小的方式。本说明书实施例中的方案，一方面对于流量进行抽样并持久化存储，用于长期监控接口的流量波动情况；另一方面将安全扫描器的部分规则(敏感信息检测)放到日常的计算任务中，并与网关***进行联动，对无法覆盖的接口进行自动化处置，很好的解决了安全扫描器很难覆盖的空缺。

3)根据***本身业务的生命周期的计算方法，以及接口历史敏感数据传输的情况，持续监控服务***接口的使用情况，从而将服务端存在安全隐患的接口进行处置，降低未知风险对服务端的影响。

基于同样的思路，本说明书实施例还提供了上述方法对应的装置。图3是本说明书实施例提供的一种网络接口状态检测装置的结构示意图。如图3所示，该装置可以包括：

接口标识获取模块302，用于获取处于上线状态的第一网络接口的标识；

流量信息确定模块304，用于确定所述第一网络接口标识在预设时段内对应的流量信息；

在线时长计算模块306，用于根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断模块308，用于判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

网络接口下线状态确定模块310，用于当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

基于图3的装置，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。

可选的，所述装置，还可以包括：

下线处理模块，用于对所述第一网络接口进行下线处理。

可选的，所述下线处理模块，具体可以包括：

接口类型确定单元，用于确定所述第一网络接口的接口类型；

下线单元，用于调用下线接口对所述接口类型对应的所述第一网络接口进行下线，并记录被下线的第一网络接口的接口信息以及下线信息。

可选的，所述装置，还可以包括：

全量网络接口相关信息获取模块，用于获取注册的全量网络接口的相关信息；所述相关信息中至少包括各个注册的网络接口的上线时间、下线时间以及各个注册的网络接口的当前状态；

下线网络接口确定模块，用于根据所述各个注册的网络接口的当前状态，确定所述全量网络接口中处于下线状态的第二网络接口；

生命周期计算模块，用于根据所述上线时间、下线时间计算每个所述第二网络接口的生命周期；

设定生命周期确定模块，用于根据每个所述第二网络接口的生命周期，确定所述设定生命周期。

可选的，所述设定生命周期确定模块，具体可以包括：

平均生命周期计算单元，用于根据每个所述第二网络接口的生命周期，计算所述第二网络接口的平均生命周期；

最长生命周期确定单元，用于确定所述第二网络接口的生命周期中的最长生命周期；

设定生命周期计算单元，用于将所述平均生命周期与所述最长生命周期之和的中间值确定为所述设定生命周期。

可选的，所述装置，还可以包括：

无需下线状态确定模块，用于当所述判断结果表示所述无流量在线时长未达到设定生命周期，

或，所述第一网络接口未传输过敏感信息时，

确定所述第一网络接口处于无需下线状态。

可选的，所述在线时长计算模块306，具体可以包括：

第一数据表获取单元，用于获取第一数据表；所述第一数据表中包括每个所述第一网络接口的流量信息；

无流量在线时长确定单元，用于对于任意一个所述第一网络接口，根据所述流量信息，确定所述任意一个第一网络接口的无流量的连续时长；

无流量在线时长确定单元，用于将所述连续时长确定为所述任意一个第一网络接口的无流量在线时长。

其中，第一数据表的生成方式，具体可以包括：

获取原始流量日志；

在预设时间周期内，按照业务类型从所述原始流量日志中抽取对应网络接口的预设数目条数据；

对抽取的数据进行持久化存储，得到所述第一数据表。

对于待抽取的数据条目的数量，还可以采用以下方式确定：

按照预设时间周期内对应的流量大小，确定待抽取的数据条目的数量；

或，按照预设时间周期内对应的业务请求类型，确定待抽取的数据条目的数量。

可选的，所述装置，还可以包括：

第二数据表获取模块，用于获取第二数据表；所述第二数据表中包括网络接口名称以及每个网络接口对应的敏感信息。

其中，第二数据表的生成方式，具体包括：

获取原始流量日志；

确定出所述流量日志中传输过敏感数据的网络接口；

将传输过敏感数据的网络接口进行增量存储，得到第二数据表。

基于同样的思路，本说明书实施例还提供了上述方法对应的设备。

图4是本说明书实施例提供的一种网络接口状态检测设备的结构示意图。如图4所示，设备400可以包括：

至少一个处理器410；以及，

与所述至少一个处理器通信连接的存储器430；其中，

所述存储器430存储有可被所述至少一个处理器410执行的指令420，所述指令被所述至少一个处理器410执行，以使所述至少一个处理器410能够：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

基于同样的思路，本说明书实施例还提供了上述方法对应的计算机可读介质。计算机可读介质上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现以下方法：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于图4所示的网络接口状态检测设备而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。

另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字符***“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的***、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字符助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字符多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带式磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (21)

1.一种网络接口状态检测方法，所述方法包括：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态，处于需下线状态的所述第一网络接口表示存在安全隐患的网络接口。

2.根据权利要求1所述的方法，所述确定所述第一网络接口处于需下线状态之后，还包括：

对所述第一网络接口进行下线处理。

3.根据权利要求2所述的方法，所述对所述第一网络接口进行下线处理，具体包括：

确定所述第一网络接口的接口类型；

调用下线接口对所述接口类型对应的所述第一网络接口进行下线，并记录被下线的第一网络接口的接口信息以及下线信息。

4.根据权利要求1所述的方法，所述判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果之前，还包括：

获取注册的全量网络接口的相关信息；所述相关信息中至少包括各个注册的网络接口的上线时间、下线时间以及各个注册的网络接口的当前状态；

根据所述各个注册的网络接口的当前状态，确定所述全量网络接口中处于下线状态的第二网络接口；

根据所述上线时间、下线时间计算每个所述第二网络接口的生命周期；

根据每个所述第二网络接口的生命周期，确定所述设定生命周期。

5.根据权利要求4所述的方法，所述根据每个所述第二网络接口的生命周期，确定所述设定生命周期，具体包括：

根据每个所述第二网络接口的生命周期，计算所述第二网络接口的平均生命周期；

确定所述第二网络接口的生命周期中的最长生命周期；

将所述平均生命周期与所述最长生命周期之和的中间值确定为所述设定生命周期。

6.根据权利要求1所述的方法，所述判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果之后，还包括：

当所述判断结果表示所述无流量在线时长未达到设定生命周期，

或，所述第一网络接口未传输过敏感信息时，

确定所述第一网络接口处于无需下线状态。

7.根据权利要求1所述的方法，所述根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长，具体包括：

获取第一数据表；所述第一数据表中包括每个所述第一网络接口的流量信息；

对于任意一个所述第一网络接口，根据所述流量信息，确定所述任意一个第一网络接口的无流量的连续时长；

将所述连续时长确定为所述任意一个第一网络接口的无流量在线时长。

8.根据权利要求7所述的方法，第一数据表的生成方式，具体包括：

获取原始流量日志；

在预设时间周期内，按照业务类型从所述原始流量日志中抽取对应网络接口的预设数目条数据；

对抽取的数据进行持久化存储，得到所述第一数据表。

9.根据权利要求8所述的方法，所述在预设时间周期内，按照业务类型从所述原始流量日志中抽取对应网络接口的预设数目条数据之前，还包括：

按照预设时间周期内对应的流量大小，确定待抽取的数据条目的数量；

或，按照预设时间周期内对应的业务请求类型，确定待抽取的数据条目的数量。

10.根据权利要求1所述的方法，所述判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果之前，还包括：

获取第二数据表；所述第二数据表中包括网络接口名称以及每个网络接口对应的敏感信息。

11.根据权利要求10所述的方法，第二数据表的生成方式，具体包括：

获取原始流量日志；

确定出所述流量日志中传输过敏感数据的网络接口；

将传输过敏感数据的网络接口进行增量存储，得到第二数据表。

12.一种网络接口状态检测装置，包括：

接口标识获取模块，用于获取处于上线状态的第一网络接口的标识；

流量信息确定模块，用于确定所述第一网络接口标识在预设时段内对应的流量信息；

在线时长计算模块，用于根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断模块，用于判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

网络接口下线状态确定模块，用于当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态，处于需下线状态的所述第一网络接口表示存在安全隐患的网络接口。

13.根据权利要求12所述的装置，所述装置，还包括：

下线处理模块，用于对所述第一网络接口进行下线处理。

14.根据权利要求13所述的装置，所述下线处理模块，具体包括：

接口类型确定单元，用于确定所述第一网络接口的接口类型；

下线单元，用于调用下线接口对所述接口类型对应的所述第一网络接口进行下线，并记录被下线的第一网络接口的接口信息以及下线信息。

15.根据权利要求12所述的装置，所述装置，还包括：

全量网络接口相关信息获取模块，用于获取注册的全量网络接口的相关信息；所述相关信息中至少包括各个注册的网络接口的上线时间、下线时间以及各个注册的网络接口的当前状态；

下线网络接口确定模块，用于根据所述各个注册的网络接口的当前状态，确定所述全量网络接口中处于下线状态的第二网络接口；

生命周期计算模块，用于根据所述上线时间、下线时间计算每个所述第二网络接口的生命周期；

设定生命周期确定模块，用于根据每个所述第二网络接口的生命周期，确定所述设定生命周期。

16.根据权利要求15所述的装置，所述设定生命周期确定模块，具体包括：

平均生命周期计算单元，用于根据每个所述第二网络接口的生命周期，计算所述第二网络接口的平均生命周期；

最长生命周期确定单元，用于确定所述第二网络接口的生命周期中的最长生命周期；

设定生命周期计算单元，用于将所述平均生命周期与所述最长生命周期之和的中间值确定为所述设定生命周期。

17.根据权利要求12所述的装置，所述装置，还包括：

无需下线状态确定模块，用于当所述判断结果表示所述无流量在线时长未达到设定生命周期，

或，所述第一网络接口未传输过敏感信息时，

确定所述第一网络接口处于无需下线状态。

18.根据权利要求12所述的装置，所述在线时长计算模块，具体包括：

第一数据表获取单元，用于获取第一数据表；所述第一数据表中包括每个所述第一网络接口的流量信息；

无流量在线时长确定单元，用于对于任意一个所述第一网络接口，根据所述流量信息，确定所述任意一个第一网络接口的无流量的连续时长；

无流量在线时长确定单元，用于将所述连续时长确定为所述任意一个第一网络接口的无流量在线时长。

19.根据权利要求12所述的装置，所述装置，还包括：

第二数据表获取模块，用于获取第二数据表；所述第二数据表中包括网络接口名称以及每个网络接口对应的敏感信息。

20.一种网络接口状态检测设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

获取处于上线状态的第一网络接口的标识；

确定所述第一网络接口标识在预设时段内对应的流量信息；

根据所述预设时段内对应的流量信息，计算所述第一网络接口的无流量在线时长；

判断是否所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息，得到判断结果；

当所述判断结果表示所述无流量在线时长达到设定生命周期且所述第一网络接口传输过敏感信息时，确定所述第一网络接口处于需下线状态，处于需下线状态的所述第一网络接口表示存在安全隐患的网络接口。

21.一种计算机可读介质，其上存储有计算机可读指令，所述计算机可读指令可被处理器执行以实现权利要求1至11中任一项所述的网络接口状态检测方法。

Images