基于动态iptables技术的Web应用隐藏的方法、系统、设备及介质技术方案

本发明专利技术公开了一种基于动态iptables技术的Web应用隐藏的方法、系统、设备及介质，其系统，包括：控制中心，用于接收通过目标浏览器发送的目标Web应用访问请求，目标Web应用访问请求携带有认证信息以及目标Web应用信息，根据认证信息进行访问权限认证，认证通过，向目标浏览器发送授权访问令牌，并根据目标Web应用信息向隐藏目标Web应用的目标安全网关发送动态访问控制指令；目标安全网关，用于根据动态访问控制指令，在预设的iptables表中新增动态访问控制记录；目标安全网关，还用于接收通过目标浏览器发送的目标Web应用代理访问请求，目标Web应用代理访问请求携带有授权访问令牌，对授权访问令牌进行验证，验证通过，代理访问目标Web应用。应用场景多、易推广。易推广。易推广。

【技术实现步骤摘要】
基于动态iptables技术的Web应用隐藏的方法、系统、设备及介质


[0001]本专利技术涉及Web应用安全防护
，尤其涉及一种基于动态iptables技术的Web应用隐藏的方法、系统、设备及介质。

技术介绍

[0002]随着企业数字化转型加速，信息交互越来越频繁，重要的数据和信息在网络中的传输也越来越多，安全性要求也越来越高。为了支撑业务的发展，同时也为了满足企业内部和外部网点访问的需要，必须将一部分办公、运维系统开放，使得这些系统暴露在互联网上。而传统的VPN、防火墙、WAF等被动防御技术都不能很好的保护这些暴露资源，容易受到黑客攻击、APT攻击、病毒木马攻击。为了保护发布在互联网上的应用系统不被攻击，一种有效的应对方法就是采用“应用隐藏”方式，收缩互联网暴露面，将应用系统隐藏起来，让攻击者找不到攻击目标，从根本上杜绝应用系统被攻击的可能性。
[0003]目前，主要采用“单包授权(Single Packet Authorization，SPA)+代理访问网关”技术方案来实现应用隐藏，主要内容如下：将受保护的应用系统发布在代理网关上，确保只能通过代理网关访问受保护的应用系统，对外只暴露代理网关的访问端口，实现网络暴露面收缩功能；通过SPA技术实现隐藏代理网关的端口功能，达到“应用隐藏”的效果。其中，为实现SPA功能，需要分别在用户终端和代理网关上安装SPA功能组件。
[0004]但是，通过上述方式实现应用隐藏时，存在用户体验差、大规模推广难等问题。为实现SPA功能，需要开发SPA功能组件(包括SPA客户端和服务端)，并将其分别安装在用户终端和代理网关上，存在开发工作量大、认证过程复杂、用户体验差、大规模推广难等问题。并且，只有安装了SPA客户端的终端才能访问隐藏起来的应用系统，导致应用场景受限，不利于广泛使用。

技术实现思路

[0005]基于此，有必要针对上述技术问题，提供一种基于动态iptables技术的Web应用隐藏的方法、系统、设备及介质，以解决现有技术中存在的至少一个问题。
[0006]第一方面，本申请是这样实现的，提供了一种基于动态iptables技术的Web应用隐藏的系统，包括：
[0007]控制中心，用于接收通过目标浏览器发送的目标Web应用访问请求，所述目标Web应用访问请求携带有认证信息以及目标Web应用信息，根据所述认证信息进行访问权限认证，当认证通过时，向所述目标浏览器发送授权访问令牌，并根据所述目标Web应用信息向隐藏目标Web应用的目标安全网关发送动态访问控制指令；
[0008]所述目标安全网关，用于根据所述动态访问控制指令，在预设的iptables表中新增动态访问控制记录；
[0009]所述目标安全网关，还用于接收通过所述目标浏览器发送的目标Web应用代理访
问请求，所述目标Web应用代理访问请求携带有所述授权访问令牌，对所述授权访问令牌进行验证，当验证通过时，代理访问所述目标Web应用。
[0010]在一实施例中，所述控制中心，包括：
[0011]统一认证中心，用于接收所述目标浏览器发送的认证请求，所述认证请求携带有目标用户身份信息，根据所述目标用户身份信息进行身份认证，当认证通过时，向所述目标浏览器发送用户访问权限列表，所述用户访问权限列表中包括至少一个Web应用；
[0012]统一权限管理模块，用于接收通过所述目标浏览器发送的目标Web应用访问请求，所述目标Web应用访问请求携带有所述认证信息，根据所述认证信息进行访问权限认证，当认证通过时，向所述目标浏览器发送所述授权访问令牌；
[0013]策略管理与下发模块，用于向所述目标安全网关发送所述动态访问控制指令。
[0014]在一实施例中，
[0015]所述统一认证中心，还用于对待隐藏Web应用进行注册发布，注册发布后的待隐藏Web应用被隐藏于对应的安全网关后面；
[0016]所述控制中心，还包括：
[0017]统一应用管理模块，用于对隐藏于安全网关后面的Web应用进行统一管理。
[0018]在一实施例中，所述目标安全网关，包括：
[0019]动态访问控制模块，用于接收所述控制中心发送的动态访问控制指令，并根据所述根据所述动态访问控制指令，在预设的iptables表中新增动态访问控制记录；
[0020]令牌认证单元，用于接收通过所述目标浏览器发送的目标Web应用代理访问请求，所述目标Web应用代理访问请求携带有所述授权访问令牌，对所述授权访问令牌进行解析与验证；
[0021]代理转发模块，用于代理访问隐藏的Web应用系统，以实现对所述目标Web应用的代理访问。
[0022]在一实施例中，所述目标安全网关，还包括：
[0023]Web应用隐藏模块，用于对已在所述控制中心注册发布的待隐藏Web应用进行隐藏，并关闭全部用于访问隐藏的Web应用的外部访问端口。
[0024]在一实施例中，
[0025]所述目标安全网关，还用于根据所述动态访问控制指令，开通临时访问权限，所述临时访问权限，包括临时访问时间；
[0026]当在所述临时访问时间内，接收到所述目标浏览器发送的TCP连接建立请求，则建立与所述目标浏览器之间的TCP连接通道，以通过所述TCP连接通道，接收所述目标浏览器发送的所述目标Web应用代理访问请求。
[0027]第二方面，提供了一种基于动态iptables技术的Web应用隐藏的方法，包括：
[0028]接收通过所述目标浏览器发送的目标Web应用访问请求，所述目标Web应用访问请求携带有认证信息，根据所述认证信息进行访问权限认证；
[0029]当认证通过时，向所述目标浏览器发送授权访问令牌和目标Web应用的URL，同时向目标安全网关发送动态访问控制指令；
[0030]所述目标安全网关根据所述动态访问控制指令，在预设的iptables表中新增动态访问控制记录；
[0031]所述根据所述目标Web应用的URL，通过所述目标浏览器向所述目标安全网关发送目标Web应用代理访问请求，所述目标Web应用代理访问请求携带有所述授权访问令牌；
[0032]所述目标安全网关对所述授权访问令牌进行验证，当验证通过时，代理访问所述目标Web应用。
[0033]在一实施例中，所述向目标安全网关发送动态访问控制指令之后，包括：
[0034]所述目标安全网关根据所述动态访问控制指令，开通临时访问权限，所述临时访问权限，包括临时访问时间；
[0035]当在所述临时访问时间内，接收到所述目标浏览器发送的TCP连接建立请求，则建立与所述目标浏览器之间的TCP连接通道，以通过所述TCP连接通道，接收所述目标浏览器发送的所述目标Web应用访问请求。
[0036]第三方面，提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机可读指令，所述处理器执行所述计算机可读指令时实现如上述所本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于动态iptables技术的Web应用隐藏的系统，其特征在于，所述系统，包括：控制中心，用于接收通过目标浏览器发送的目标Web应用访问请求，所述目标Web应用访问请求携带有认证信息以及目标Web应用信息，根据所述认证信息进行访问权限认证，当认证通过时，向所述目标浏览器发送授权访问令牌，并根据所述目标Web应用信息向隐藏目标Web应用的目标安全网关发送动态访问控制指令；所述目标安全网关，用于根据所述动态访问控制指令，在预设的iptables表中新增动态访问控制记录；所述目标安全网关，还用于接收通过所述目标浏览器发送的目标Web应用代理访问请求，所述目标Web应用代理访问请求携带有所述授权访问令牌，对所述授权访问令牌进行验证，当验证通过时，代理访问所述目标Web应用。2.如权利要求1所述的基于动态iptables技术的Web应用隐藏的系统，其特征在于，所述控制中心，包括：统一认证中心，用于接收所述目标浏览器发送的认证请求，所述认证请求携带有目标用户身份信息，根据所述目标用户身份信息进行身份认证，当认证通过时，向所述目标浏览器发送用户访问权限列表，所述用户访问权限列表中包括至少一个Web应用；统一权限管理模块，用于接收通过所述目标浏览器发送的目标Web应用访问请求，所述目标Web应用访问请求携带有所述认证信息，根据所述认证信息进行访问权限认证，当认证通过时，向所述目标浏览器发送所述授权访问令牌；策略管理与下发模块，用于向所述目标安全网关发送所述动态访问控制指令。3.如权利要求2所述的基于动态iptables技术的Web应用隐藏的系统，其特征在于，所述统一认证中心，还用于对待隐藏Web应用进行注册发布，注册发布后的待隐藏Web应用被隐藏于对应的安全网关后面；所述控制中心，还包括：统一应用管理模块，用于对隐藏于安全网关后面的Web应用进行统一管理。4.如权利要求1所述的基于动态iptables技术的Web应用隐藏的系统，其特征在于，所述目标安全网关，包括：动态访问控制模块，用于接收所述控制中心发送的动态访问控制指令，并根据所述根据所述动态访问控制指令，在预设的iptables表中新增动态访问控制记录；令牌认证单元，用于接收通过所述目标浏览器发送的目标Web应用代理访问请求，所述目标Web应用代理访问请求携带有所述授权访问令牌，对所述授权访问令牌进行解析与验证；代理转发模块，用于代理访问隐藏的Web应用系统，以实现对所述目标Web应用的代理访问。5.如权利要求4所述的基于动态iptables技...

【专利技术属性】
技术研发人员：于乐，常嘉岳，陈松林，马禹昇，熊瑛，程冠，康雅萍，
申请(专利权)人：卓望数码技术深圳有限公司，
类型：发明
国别省市：