[发明专利]一种安全防护方法和装置

说明书

本发明公开了一种安全防护方法和装置，涉及信息安全领域。为解决现有技术采用waf或类似waf的检测和拦截技术时，难以和业务有效结合，且难以定义业务的逻辑规则；采用针对式的编码防护时，存在防护不全，不方便统一管理的问题而发明。包括：客户端需要发送业务请求时，客户端通过预先加载的安全组件获取安全组件签名；所述客户端向预先连接的业务服务端发送业务请求，业务请求包括安全组件签名；业务服务端的预设过滤组件拦截所述业务请求，并调用安全微服务端进行处理；安全微服务端根据安全组件签名进行合法性判断，并将判断结果返回给过滤组件；判断结果为合法时，过滤组件将业务请求路由到业务服务端相应的业务API接口进行后续业务处理。

技术领域

本发明涉及信息安全领域，尤其涉及一种安全防护方法和装置。

背景技术

现有的web安全防护和拦截主要通过waf或类似waf的检测和拦截技术，其主要通过动态/静态模型、攻击特征等方式进行安全防护；或者根据特点业务逻辑采取针对式的编码防护。

然而，采用waf或类似waf的检测和拦截技术时，难以和业务有效结合，定义业务的逻辑规则；采用针对式的编码防护时，存在防护不全，不方便统一管理的问题。

发明内容

本发明的目的是提供一种安全防护方法和装置，能够在实现统一防护的同时，与业务进行有效结合。

一方面，本发明实施例提供一种安全防护方法，包括：客户端需要发送业务请求时，所述客户端通过预先加载的安全组件获取安全组件签名；所述客户端向预先连接的业务服务端发送业务请求，所述业务请求包括所述安全组件签名；所述业务服务端的预设过滤组件拦截所述业务请求，并调用安全微服务端进行处理；所述安全微服务端根据所述安全组件签名进行合法性判断，并将判断结果返回给所述过滤组件；所述判断结果为合法时，所述过滤组件将所述业务请求路由到所述业务服务端相应的业务API接口进行后续业务处理。

另一方面，本发明实施例提供一种安全防护装置，包括：

客户端，所述客户端预先加载安全组件；所述客户端用于在需要发送业务请求时，通过所述安全组件获取安全组件签名；向预先连接的业务服务端发送业务请求，所述业务请求包括所述安全组件签名；

所述业务服务端预设过滤组件，所述过滤组件与所述客户端和安全微服务端相连，用于拦截所述业务请求，并调用所述安全微服务端进行处理；

所述安全微服务端，与所述客户端相连，用于根据所述安全组件签名进行合法性判断，并将判断结果返回给所述过滤组件；

所述过滤组件，还用于接收所述安全微服务端返回的判断结果；所述判断结果为合法时，将所述业务请求路由到所述业务服务端相应的业务API接口进行后续业务处理。

本发明实施例提供的技术方案，通过客户端预先加载的安全组件提供本地的安全处理逻辑，实现统一防护；同时通过业务服务端的预设过滤组件实现针对性的业务防护。安全组件与过滤组件的加载是基于源码的透明部署，不影响原有业务逻辑，不必增加硬件部署，也不会改变网络结构；过滤组件将业务请求路由到具体的业务API接口，与业务强结合；安全微服务端对业务的不同需求进行统一的安全防护，能快速实现统一的业务接口防篡改/防重放的安全防护效果；而且，安全微服务端容易自定义，扩展性较强。本发明实施例提供的技术方案，能够在实现统一防护的同时与业务进行有效结合，解决了现有技术中采用waf或类似waf的检测和拦截技术时，难以和业务有效结合，定义业务的逻辑规则；采用针对式的编码防护时，存在防护不全，不方便统一管理的问题。

附图说明

图1为本发明实施例一提供的安全防护方法的流程图一；

图2为本发明实施例一提供的安全防护方法的流程图二；

图3为本发明实施例二提供的安全防护装置的结构示意图一；