一种基于参数特征向量的内外网数据过滤方法及装置制造方法及图纸

本发明专利技术公开了一种基于参数特征向量的内外网数据过滤方法及装置，用于外网与内网的restful服务进行数据交互，实现数据共享。该装置部署在内外网边界处，通过代理的方式将内网业务的restful服务映射到外网，向外网业务提供服务。该方法通过获取外网业务的实时访问请求，对restful服务请求的参数信息进行分析，生成此次请求的参数特征向量，并与计算的向量基线进行比对，判定此次请求是否合法，对不合法请求进行阻断。本发明专利技术能够保证外网向内网访问时参数交互的安全性。时参数交互的安全性。时参数交互的安全性。

【技术实现步骤摘要】
一种基于参数特征向量的内外网数据过滤方法及装置


[0001]本申请涉及通信安全
，尤其涉及一种基于参数特征向量的内外网数据过滤方法及装置。

技术介绍

[0002]REST(Representational State Transfer，简称REST)是一种通过HTTP设计松散耦合应用程序的架构风格，通常用于Web服务的开发。在目前主流的三种Web服务交互方案中，REST相比于SOAP(Simple Object Access protocol，简单对象访问协议)以及XML
‑
RPC更加简单明了，无论是对URL的处理还是对Payload的编码，REST都倾向于用更加简单轻量的方法设计和实现。RESTful是满足REST这些约束条件和原则的应用程序或设计。在RESTful服务中，每个资源都有一个地址。资源本身都是方法调用的目标，方法列表对所有资源都是一样的。这些方法都是标准方法，包括HTTP GET、POST、PUT、DELETE。
[0003]出于安全考虑，在电力企业建设的内部网络(内网)严禁直接与外部网络(如互联网等外网)互联，造成网络安全隐患。随着移动化办公、5G及物联网等业务的快速发展，越来越多的业务需要从外网与内网应用进行数据交互，而现有的基于数据库访问过滤的数据过滤方式已经无法满足业务的快速扩展需求。

技术实现思路

[0004]针对现有技术存在的不足，本专利技术的目的是提供一种基于参数特征向量检查的内外网数据过滤方法及装置，保证当内外网应用使用restful服务接口进行跨网交互时，通过对restful服务的请求传参内容进行识别，形成参数特征向量进行检查，确保传递参数的安全性，避免攻击者通过restful服务请求参数的篡改或恶意构造向服务端的攻击风险。
[0005]为实现上述技术目的，本专利技术通过以下技术方案实现：
[0006]本专利技术提供一种基于参数特征向量的内外网数据过滤方法，包括：
[0007]获取外网业务的访问请求，形成访问请求的参数特征向量集合；
[0008]根据访问请求与服务接口的对应关系，以及所述访问请求的参数特征向量集合，计算生成每个服务接口的参数特征向量基线；
[0009]基于访问请求的参数特征向量集合以及所述参数特征向量基线对外网业务的访问请求进行合法性检查，过滤出合法的访问请求转发至内网。
[0010]进一步的，所述形成访问请求的参数特征向量集合，包括：
[0011]解析外网业务restful访问请求的http报文，获取此次访问请求使用的方法；
[0012]根据访问请求使用的方法，提取传参键值对；
[0013]遍历传参键值对，提取此次访问请求的参数特征形成特征向量集合；
[0014]其中，每个参数的特征向量表示为：
[0015]param＝(paramName,paramType,paramLength,paramValue)；
[0016]paramName为参数名称；paramType为参数类型；paramLength为参数长度；
paramValue为参数取值。
[0017]进一步的，所述根据访问请求使用的方法，提取传参键值对，包括：
[0018]若为get或delete方法，则通过解析访问请求的url，获取“？”后的传参字符串，分解后获取此次传参键值对信息；
[0019]若为post或put方法，则解析访问请求的body内容，获取json或xml格式的传参，提取此次传参键值对信息。
[0020]进一步的，所述计算生成每个服务接口的参数特征向量基线，包括：
[0021]根据访问请求与服务接口的对应关系，获得对应服务接口的参数特征向量集合；
[0022]对每个服务接口的参数特征向量集合中每个参数的特征向量进行统计，形成该参数的统计数据集；
[0023]对每个参数的统计数据集按照如下规则进行计算，生成所属服务接口的参数特征向量基线，表示为：Params_B＝(paramName_B,paramType_B,paramRange_B)；
[0024]规则如下：
[0025]以参数统计数据集中的参数名称，作为该参数特征向量基线的参数名称paramName_B；
[0026]统计该参数统计数据集中的参数类型，取计算后占比最大的参数类型作为该参数特征向量基线的参数类型paramType_B；
[0027]统计该参数统计数据集中的参数长度，
[0028]若参数类型为字符型，则取该参数统计数据集中，参数长度最大值作为该参数特征向量基线中的参数长度最大值，取参数长度最小值作为该参数特征向量基线中的参数长度最小值，参数长度最大值和参数长度最小值构成参数取值范围paramRange_B；
[0029]若参数类型为数值型，则取该参数统计数据集中，参数最大取值作为该参数特征向量基线中的参数长度最大值，取参数最小取值作为该参数特征向量基线中的参数长度最小值，参数长度最大值和参数长度最小值构成参数取值范围paramRange_B。
[0030]进一步的，所述对外网业务的访问请求进行合法性检查，包括：
[0031]根据访问请求与服务接口的对应关系，获得对应服务接口的参数特征向量集合；
[0032]对访问请求的参数特征向量集合中的每一个参数特征向量，根据参数名称，检查参数类型是否符合所对应参数特征向量基线中该参数的参数类型，若不一致，则为非法访问；
[0033]检查参数特征向量的参数取值是否符合所对应参数特征向量基线中该参数的参数取值范围paramRange_B，若为数值型参数，则判断参数取值是否在paramRange_B内，若不符合，则为非法访问；若为字符型参数，则判断参数长度是否在paramRange_B内，若不符合，则为非法访问；
[0034]参数特征向量集合中的所有参数特征向量都检查为合法，则该外网业务的访问请求合法。
[0035]本专利技术另一方面还提供一种基于参数特征向量的内外网数据过滤装置，部署于企业内部网络和外部网络之间，包括：连接管理模块，安全认证模块，访问控制模块及参数检查模块；
[0036]所述连接管理模块用于接收外网业务的访问请求，并对访问请求网络连接状态进
行管理，以及，用于将接收到的访问请求发送至安全认证模块；
[0037]所述安全认证模块用于对访问请求方身份的合法性进行认证，以及，用于将通过合法性认证的访问请求发送至参数检查模块；
[0038]所述访问控制模块用于对通过安全认证和参数检查的访问请求按照可访问的权限进行内网转发；
[0039]所述参数检查模块用于对外网业务的访问请求进行合法性检查，以及，用于将通过合法性检查的访问请求发送至访问控制模块。
[0040]进一步的，所述连接管理模块用于通过外网网口接收外网业务的restful访问请求。
[0041]进一步的，所述安全认证本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于参数特征向量的内外网数据过滤方法，其特征在于，包括：获取外网业务的访问请求，形成访问请求的参数特征向量集合；根据访问请求与服务接口的对应关系，以及所述访问请求的参数特征向量集合，计算生成每个服务接口的参数特征向量基线；基于访问请求的参数特征向量集合以及所述参数特征向量基线对外网业务的访问请求进行合法性检查，过滤出合法的访问请求转发至内网。2.根据权利要求1所述的一种基于参数特征向量的内外网数据过滤方法，其特征在于，所述形成访问请求的参数特征向量集合，包括：解析外网业务restful访问请求的http报文，获取此次访问请求使用的方法；根据访问请求使用的方法，提取传参键值对；遍历传参键值对，提取此次访问请求的参数特征形成特征向量集合；其中，每个参数的特征向量表示为：param＝(paramName,paramType,paramLength,paramValue)；paramName为参数名称；paramType为参数类型；paramLength为参数长度；paramValue为参数取值。3.根据权利要求2所述的一种基于参数特征向量的内外网数据过滤方法，其特征在于，所述根据访问请求使用的方法，提取传参键值对，包括：若为get或delete方法，则通过解析访问请求的url，获取“？”后的传参字符串，分解后获取此次传参键值对信息；若为post或put方法，则解析访问请求的body内容，获取json或xml格式的传参，提取此次传参键值对信息。4.根据权利要求1所述的一种基于参数特征向量的内外网数据过滤方法，其特征在于，所述计算生成每个服务接口的参数特征向量基线，包括：根据访问请求与服务接口的对应关系，获得对应服务接口的参数特征向量集合；对每个服务接口的参数特征向量集合中每个参数的特征向量进行统计，形成该参数的统计数据集；对每个参数的统计数据集按照如下规则进行计算，生成所属服务接口的参数特征向量基线，表示为：Params_B＝(paramName_B,paramType_B,paramRange_B)；规则如下：以参数统计数据集中的参数名称，作为该参数特征向量基线的参数名称paramName_B；统计该参数统计数据集中的参数类型，取计算后占比最大的参数类型作为该参数特征向量基线的参数类型paramType_B；统计该参数统计数据集中的参数长度，若参数类型为字符型，则取该参数统计数据集中，参数长度最大值作为该参数特征向量基线中的参数长度最大值，取参数长度最小值作为该参数特征向量基线中的参数长度最小值，参数长度最大值和参数长度最小值构成参数取值范围paramRange_B；若参数类型为数值型，则取该参数统计数据集中，参数最大取值作为该参数特征向量基线中的参数长度最大值，取参数最小取值作为该参数特征向量基线中的参数长度最小值，参数长度最大值和参数长度最小值构成参数取值范围par...

【专利技术属性】
技术研发人员：金倩倩，张旭东，田鹏飞，刘行，张滔，陈星明，郭志民，吕卓，李鸣岩，
申请(专利权)人：南京南瑞信息通信科技有限公司国网河南省电力公司电力科学研究院国家电网有限公司，
类型：发明
国别省市：