CN113194088B - 访问拦截方法、装置、日志服务器和计算机可读存储介质 - Google Patents

Abstract

本申请涉及一种访问拦截方法、装置、日志服务器和计算机可读存储介质。方法包括：获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。本申请无需对应用或VPN进行开发改造即可及时防护非法访问行为，且适用于各类应用系统的防护，可降低开发改造难度并增强可拓展性，同时还可缩短开发改造时间，并节约开发成本和研发成本。

Description

访问拦截方法、装置、日志服务器和计算机可读存储介质

技术领域

本申请涉及计算机安全技术领域，特别是涉及一种访问拦截方法、装置、日志服务器和计算机可读存储介质。

背景技术

移动应用的推广满足了远程办公和内部系统随时访问的需求，为企业员工提供了极大的便利。随着用户数量的不断增加，移动端的安全问题也显得尤为重要，VPN(VirtualPrivate Network，虚拟专用网络)的引入为企业资源的安全访问提供了解决方案。

但是，VPN作为一套与移动应用系统相互独立的系统设备，在用户登录鉴权方面仍旧存在很多风险和技术难点，例如攻击者可以通过伪装IP(Internet Protocol，网际互连协议)地址、伪造附带正常用户cookie(储存在用户本地终端上的数据)的访问请求等手段，伪装成为正常的VPN用户，以绕过VPN设备去访问内部系统。如何保证用户在VPN设备以及移动应用的登录一致性，是远程访问内部系统实现过程中急需解决的问题。

为保证访问内部系统的用户都是通过VPN认证登录的合法用户，可通过额外设置的应用或程序来触发拦截未授权访问(即非法访问)。当该应用或程序部署在应用系统侧时，则由应用系统触发安全防护设备进行拦截；当该应用或程序部署在VPN设备时，则由VPN设备触发防火墙拦截。在这两种方式中，虽然前者的时效性比后者强，但是前者需要对各个应用系统进行改造，不利于实现。因此，目前多通过VPN设备来实现触发拦截。

传统技术通过VPN与移动应用的接口对接，使得VPN与移动应用之间可以相互传递信息，以令VPN设备拦截非法访问。然而，由于VPN设备与不同的应用系统的接口对接无法做到一步到位，因此每当有新应用上线时就需要适配修改VPN的底层代码以及新应用的底层代码，存在可拓展性差的问题。

发明内容

基于此，有必要针对上述技术问题，提供一种能够降低开发改造难度并增强可拓展性的访问拦截方法、装置、日志服务器和计算机可读存储介质。

一种访问拦截方法，应用于日志服务器，所述方法包括：

获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

在其中一个实施例中，目标VPN登录日志包括VPN登录时间；

根据目标VPN登录日志发送拦截消息的步骤，包括：

从应用访问日志中提取访问时间，并确定目标VPN登录时间；目标VPN登录时间为与访问时间最接近的VPN登录时间；

若在目标VPN登录时间至访问时间的时段内存在用户注销日志，则根据目标VPN登录日志与应用访问日志发送拦截消息；否则，忽略应用访问日志。

在其中一个实施例中，根据目标VPN登录日志与应用访问日志发送拦截消息的步骤，包括：

在目标VPN登录日志的源地址与应用访问日志的源地址不一致时，发送拦截消息。

在其中一个实施例中，所述方法还包括：

对于每一条应用访问日志，当不存在目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据应用登录数据和防火墙白名单发送拦截消息。

在其中一个实施例中，在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志之前，还包括：

获取已验证信息；已验证信息包括用户标识和对应的授权内网地址；

当应用访问日志中的内网地址与日志用户标识对应的授权内网地址不一致时，进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤；

当应用访问日志中的内网地址为日志用户标识对应的授权内网地址时，忽略应用访问日志。

在其中一个实施例中，在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志之后，还包括：

当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

在其中一个实施例中，在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志之后，还包括：

当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

一种访问拦截装置，应用于日志服务器，所述装置包括：

数据获取模块，用于获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

拦截模块，用于针对每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

一种日志服务器，包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时实现以下步骤：

获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

上述访问拦截方法、装置、日志服务器和计算可读存储介质，日志服务器获取VPN登录数据和应用访问数据，对于应用访问数据中的每一条应用访问日志，日志服务器从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志。当目标VPN登录日志不为空时，日志管理平台根据目标VPN登录日志向安全防护设备发送拦截消息，以指示安全防护设备拦截与应用访问日志的源地址对应的访问请求。本申请通过日志服务器分别读取应用系统和VPN设备上的日志，并通过对应的访问拦截方法实现日志的提取和未授权访问行为的识别，无需对应用或VPN进行开发改造即可及时防护非法访问行为，且适用于各类应用系统的防护，如此，可降低开发改造难度并增强可拓展性，同时还可缩短开发改造时间，并节约开发成本和研发成本。

附图说明

图1为一个实施例中访问拦截方法的应用环境图；

图2为一个实施例中访问拦截方法的第一流程示意图；

图3为一个实施例中发送拦截消息步骤的流程示意图；

图4为一个实施例中验证授权信息步骤的流程示意图；

图5为一个实施例中访问拦截方法的第二流程示意图；

图6为一个实施例中访问拦截方法的第三流程示意图；

图7为一个实施例中访问拦截装置的结构框图；

图8为一个实施例中日志服务器的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同。本文中在本申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请。

在此使用时，单数形式的“一”、“一个”和“所述/该/其”也可以包括复数形式，除非上下文清楚指出另外的方式。还应当理解的是，术语“包括/包含”或“具有”等指定所陈述的特征、整体、步骤、操作、组件、部分或它们的组合的存在，但是不排除存在或添加一个或更多个其他特征、整体、步骤、操作、组件、部分或它们的组合的可能性。同时，在本说明书中使用的术语“和/或”包括相关所列项目的任何及所有组合。

传统技术在拦截非法访问时，VPN设备通过与移动应用进行接口对接，从而可与移动应用相互传递用户验证信息。VPN设备根据双方的验证信息检查用户是否采用合法的登录方式访问移动应用，并禁止未经VPN鉴权登录的用户访问相关应用。此中，用户的验证信息可包括VPN上的用户登录信息和应用系统上的用户登录信息两种。需要说明的是，VPN用户与应用用户是两个不同的群体，应用用户是指需要使用某一应用系统的用户，如报销系统的用户可为财务人员，而VPN用户是指需要远程访问某一应用系统的用户。若某一用户为VPN用户，则该用户可远程访问特定或全部内部系统，其所能访问的应用系统与其对应的权限相关联。

用户在成功登录VPN后，VPN设备会核对用户的信息并检查该用户的权限，以确认该用户所能访问的应用系统。当用户对具备权限的应用系统发起访问时，VPN设备允许其访问，此时，该用户发送的请求能够到达应用系统，应用系统对该用户的应用账号信息进行核对验证，在验证通过后方可允许该用户的正常访问。

现有技术中，在VPN设备拦截非法访问之前，需要先进行VPN设备与各个应用系统的接口对接调试，即VPN和应用系统的开发人员要对底层代码进行修改。每当新应用上线时，开发人员都需要对VPN设备和应用系统的底层代码进行修改，存在可拓展性差、开发改造难度大的问题，并影响了系统的运行率。另外，在设备应用接口修改时，需要关停服务器或令系统先停机，不适合在运的系统。而且在企业内部有大量的系统，修改接口需要花费大量成本、研发时间和沟通时间。

换言之，传统技术除了可拓展性差的问题外，还存在开发改造难度大、成本高和改造时间过长的问题。基于此，有必要提供一种可拓展性强、开发改造难度低、成本低且改造时间短的访问拦截方法、装置、日志服务器和计算机可读存储介质。

本申请提供的访问拦截方法，可应用于如图1所示的应用环境中。请参阅图1，图1示出了正常用户102和非法用户104访问应用系统的过程。正常用户102在访问应用系统之前，需要首先登录VPN，以获取VPN为其分配的内网IP地址。然后正常用户102通过分配的内网IP地址访问应用系统，并通过账号、密码和/或验证码等信息登录应用。在此过程中，VPN设备106在检测到用户登录VPN时会生成对应的VPN登录日志。应用系统在检测到用户登录应用系统时会生成对应的应用登录日志，并在检测到用户发起访问的情况下生成对应的应用访问日志以记录用户访问的详情。而非法用户104在访问应用系统时，不会登录VPN，而是通过伪装的手段来绕过防火墙以直接对应用系统进行访问。

日志服务器112分别与VPN设备106(如VPN服务器)、安全防护设备108(如防火墙)和应用系统(如应用服务器)进行通信，以分别获取VPN登录日志和应用访问日志，通过关联分析各类日志，触发安全防护设备108联动防护，以实现非法访问的拦截。其中，VPN设备106和日志服务器112等可以用独立的服务器或者是多个服务器组成的服务器集群来实现。在一个示例中，日志服务器112包括但不局限于日志接入服务器、日志解析服务器和日志分析服务器等。

在一个实施例中，如图2所示，提供了一种访问拦截方法，以该方法应用于图1中的日志服务器为例进行说明，包括以下步骤：

步骤210，获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志。

其中，VPN登录数据可包括一条或多条的VPN登录日志，每条VPN登录日志可包括用户标识和VPN登录时间，进一步地，还可包括外网源地址以及分配的内网地址等信息。应用访问数据包括一条或多条的应用访问日志，每条应用访问日志可包括日志用户标识、源地址和访问路径等信息。

具体地，日志服务器可通过与VPN设备通信来获取VPN设备上部分或全部的VPN登录数据，并通过与应用系统进行通信来获取应用系统上部分或全部的应用访问数据。在其中一个实施例中，日志服务器可获取部分VPN登录数据，和部分应用访问数据，以确保数据的实时性并提高访问拦截的准确度，同时还可提高处理效率。

步骤220，对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

其中，日志用户标识用于对用户进行标识，以表明该日志对应的访问记录是由哪个用户进行的，日志用户标识可以但不局限于用户账号、用户名称和用户设备标识等。安全防护设备可用于通过或拦截各访问请求，具体可为防火墙或IPS(Intrusion PreventionSystem，入侵防御系统)等设备。源地址为原始外网地址，可以是在VPN分配内网地址前使用的原始地址，例如用户设备使用地址A来登录VPN，登录VPN后，VPN为其分配地址B，在此过程中，地址A为上述外网源地址，地址B为内网地址。

具体地，对于应用访问数据中的每一条应用访问日志，日志服务器都执行下述步骤：日志服务器对应用访问日志进行解析，以提取其内的日志用户标识，并根据日志用户标识对VPN登录数据进行搜索，以查询VPN登录数据中对应于日志用户标识的VPN登录日志，即目标VPN登录日志。在其中一个实施例中，当VPN登录日志的用户标识与日志用户标识相同时，可将该VPN登录日志确认为目标VPN登录日志。

日志服务器根据搜索的结果确认是否需要进行拦截，具体而言，搜索的结果可为空或者不为空，日志服务器可根据是否存在目标VPN登录日志的情况来判断日志用户标识对应的用户是否曾成功登录VPN，进而判断此次访问是正常访问还是非法访问，实现非法访问的初步识别。

当搜索结果不为空，即存在一个或多个目标VPN登录日志时，表明日志用户标识对应的用户曾成功登录VPN。但是，VPN登录存在时效性与一致性等影响因素，例如前次的VPN登录已失效(包括但不限于系统自动排除用户的情况以及用户主动注销的情况)，和/或前次登录VPN时对应的用户参数与本次访问时对应的用户参数不完全相同(如外网源地址发生改变等情况)。考虑到这些因素，为提高拦截的准确性，需要根据目标VPN登录日志的日志信息进行再判断，以确认是否存在非法访问。在存在非法访问的情况下，日志服务器可通过发送拦截消息来指示安全防护设备对由本条应用访问日志的源地址发起的访问请求进行拦截，实现非法访问的防护。

在其中一个实施例中，日志服务器可通过syslog方式发送拦截消息，以联动VPN以及防火墙等安全防护设备对本条应用访问日志的源地址进行封堵拦截。如此，无需进行接口改造即可自动实现采集、分析、验证、拦截的全过程，减少开发成本和人工干预，提高了自动化程度。

上述访问拦截方法中，日志服务器获取VPN登录数据和应用访问数据，对于应用访问数据中的每一条应用访问日志，日志服务器从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志。当目标VPN登录日志不为空时，日志管理平台根据目标VPN登录日志向安全防护设备发送拦截消息，以指示安全防护设备拦截与应用访问日志的源地址对应的访问请求。本申请通过日志服务器分别读取应用系统和VPN设备上的日志，并通过对应的访问拦截方法实现日志的提取和未授权访问行为的识别，无需对应用或VPN进行开发改造即可及时防护非法访问行为，且适用于各类应用系统的防护，如此，可降低开发改造难度并增强可拓展性，同时还可缩短开发改造时间，并节约开发成本和研发成本。

在一个实施例中，目标VPN登录日志包括VPN登录时间。如图3所示，根据目标VPN登录日志发送拦截消息的步骤，包括：

步骤310，从应用访问日志中提取访问时间，并确定目标VPN登录时间；其中，目标VPN登录时间为与访问时间最接近的VPN登录时间。

其中，访问时间是指本条应用访问日志中记录的时间，可以是本条应用访问日志对应的访问行为的发生时间、本条应用访问日志的生成时间或者用户发送本次访问请求时对应的请求时间。例如，用户在时间A发送访问请求，并于时间B访问应用系统，应用系统在时间C生成该次访问对应的应用访问日志，则访问时间可为时间A、时间B或者时间C。在一个示例中，访问时间可为发送本次访问请求时对应的请求时间。

具体地，在确定非法访问并发送拦截消息时，日志服务器可从应用访问日志中提取本条访问日志对应的访问时间，并确定最接近该访问时间的VPN登录时间，即目标VPN登录时间。在其中一个实施例中，目标VPN登录时间可以是先于访问时间，且与访问时间最接近的VPN登录时间，如此，可排除晚于访问时间的VPN登录时间的干扰，并提高非法访问识别的准确性以及非法访问拦截的可靠性。

步骤320，若在目标VPN登录时间至访问时间的时段内存在用户注销日志，则根据目标VPN登录日志与应用访问日志发送拦截消息；否则，忽略应用访问日志。

其中，用户注销日志可以为日志用户标识对应的VPN注销日志或者应用注销日志，在一个示例中，用户注销日志为志用户标识对应的VPN注销日志。

具体地，在确定目标VPN登录时间和访问时间后，对目标VPN登录时间至访问时间这一时段内的日志进行搜索查找，并确定该时段内是否存在日志用户标识对应的用户注销日志。当目标VPN登录时间至访问时间这一时段内存在用户注销日志时，可根据目标VPN登录日志和应用访问日志进一步判断该应用访问日志是否为非法访问对应的访问日志，并根据判断结果发送拦截消息。在其中一个实施例中，可将应用访问日志的日志信息与一个或多个目标VPN登录日志的日志信息进行比对，例如可比对各日志中的源地址、内网地址等，并根据比对的结果确定是否存在非法访问。

当目标VPN登录时间至访问时间的时段内不存在对应的用户注销日志时，可将本条应用访问日志对应的访问行为确认为正常访问行为，并忽略本条应用访问日志，即不发送拦截消息。

本实施例中，通过对目标VPN登录时间至访问时间内的用户注销日志进行搜索查询，并根据搜索查询的结果确认是否发送拦截消息，从而可从在线时间较长、VPN登录时间较长以及用户地址发生改变等情况中正确识别出非法访问，从而可降低误判的发生并提高非法方法的拦截准确性。

在一个实施例中，根据目标VPN登录日志和应用访问日志发送拦截消息的步骤，包括：在目标VPN登录日志的源地址和应用访问日志的源地址不一致时，发送拦截消息。具体地，当目标VPN登录时间到访问时间这一时段内存在用户注销日志的情况下，日志服务器可比对目标VPN登录日志的源地址与应用访问日志的源地址，进一步地，日志服务器可比对目标VPN登录时间对应的VPN登录日志中的源地址，与应用访问日志中的源地址。当二者不一致时，日志服务器发送拦截消息，例如可通过syslog联动安全防护设备对应用访问日志中的源地址进行封堵拦截。

在一个实施例中，访问拦截方法还包括：对于每一条应用访问日志，当不存在目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据应用登录数据和防火墙白名单发送拦截消息。

其中，应用登录数据可包括一条或多条应用登录日志，应用登录日志可包括用户标识(如用户账号)和源IP地址等信息。

具体地，由于企业内部可能会存在多种外部访问方式，如VPN访问和无需经过VPN进行访问的方式，因此，在不存在目标VPN登录日志的情况下，日志服务器可根据应用登录日志和防火墙白名单(如IP地址、用户域名、用户授权情况等)，判断日志用户标识对应的用户是否通过其他合法的方式进行访问，并根据判断的结果发送拦截消息。如此，可降低误判的发生并提高非法方法的拦截准确性。

在一个实施例中，请参阅图4，在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志之前，还包括：

步骤410，获取已验证信息；已验证信息包括用户标识和对应的授权内网地址；

步骤420，当应用访问日志中的内网地址与日志用户标识对应的授权内网地址不一致时，进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤；

步骤430，当应用访问日志中的内网地址为日志用户标识对应的授权内网地址时，忽略应用访问日志。

其中，已验证信息包括用户标识和该用户标识对应的授权内网地址，换言之，当用户采用与其用户标识对应的授权内网地址访问应用系统时，该访问行为可确认为合法访问。已验证信息可为实时更新或预先生成的，本申请对此不作具体限制。

具体地，日志服务器内可存储有已验证信息，或者日志服务器可通过与其他设备的交互来获取已验证信息，本申请对此不作具体限制。在其中一个实施例中，已验证信息可定期清空，即日志服务器在接收到清空指令或者当清空时间到来时清空已验证信息，清空后已验证信息为空。可以理解，本申请可按照应用类型、VPN类型、安全性要求等因素来确定已验证信息的清空间隔时间。在一个示例中，清空间隔时间可为24小时，即每天清空一次已验证信息。

日志服务器对本条应用访问日志的内网地址(即日志内网地址)，与已验证信息中对应于日志用户标识的授权内网地址进行比对，当日志内网地址与授权内网地址不一致时，表明该日志内网地址未经鉴权，因此，日志服务器进入搜索对应的目标VPN登录日志的步骤，以对该日志内网地址进行鉴权，并进一步确认该应用访问日志是否对应非法访问行为。当日志内网地址与授权内网地址一致时，可确认该日志内网地址已授权，即该应用访问日志对应的访问行为为合法行为，因此可忽略应用访问日志，并开始对下一应用访问日志进行判断。在一个示例中，日志服务器可通过正则表达式的方式匹配应用访问日志与已验证信息，以实时确认用户的授权情况。

本实施例中，通过获取已验证信息，并对日志内网地址与已验证信息中日志用户标识对应的授权内网地址进行比对，在日志内网地址与授权内网地址不一致的情况下进入搜索目标VPN登录日志的步骤，在日志内网地址与授权内网地址一致的情况下忽略该应用访问日志，从而可提高数据处理效率和拦截效率。

在一个实施例中，在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志之后，还包括：当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

具体地，在进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤后，日志服务器从VPN登录数据中搜索日志用户标识对应的目标VPN登录日志，在存在目标VPN登录日志的情况下，日志服务器根据目标VPN登录日志进行鉴权，在鉴权通过的情况下，更新已验证信息，即将应用访问日志中的日志用户标识与日志内网地址添加到已验证信息中。如此，可根据鉴权情况实时更新已验证信息，以提高拦截效率。

在一个实施例中，VPN登录数据包括预设时间段内的VPN登录日志，也即日志服务器可根据日志用户标识，从特定时段内的VPN登录日志中搜索对应的目标VPN登录日志。可以理解，预设时间段可根据实际情况进行设置，本申请对此不作具体限制。在一个实施例中，预设时间段可为一天半，即36小时。

为便于理解本申请的方案，下面通过一个具体的示例进行说明。如图5所示，本申请的访问拦截方法包括：

步骤510，从当前应用访问日志中提取日志用户标识和内网IP地址。

步骤512，获取已验证信息；已验证信息包括用户标识和对应的授权内网IP地址。

步骤514，判断内网IP地址与日志用户标识对应的授权内网IP地址是否一致，若是，则跳转至步骤516，若否，则跳转至步骤522。

步骤516，忽略当前应用访问日志。

步骤518，判断是否有未鉴权的应用访问日志，若是，则跳转至步骤520。

步骤520，将下一未鉴权的应用访问日志确认为当前应用访问日志，并跳转至步骤510。

步骤522，获取VPN登录数据，并在VPN登录数据中搜索与日志用户标识对应的日志VPN登录日志。VPN登录数据包括36小时内的VPN登录日志。

步骤524，判断目标VPN登录日志的数量是否大于0，以判断是否存在目标VPN登录日志，若否，则跳转至步骤526，若是则跳转至步骤532。

步骤526，获取应用登录数据和防火墙信息。其中，应用登录数据包括应用登录日志。防火墙信息包括但不局限于防火墙白名单和防火墙日志，其中，防火墙日志可以包括时间、源IP地址、目的IP地址、目的端口和访问许可(即是否允许该源IP地址进行访问)等信息。

步骤528，根据应用登录数据和防火墙信息确认是否发送拦截消息，若是，则跳转至步骤530，若否，则天转至步骤516。

步骤530，向安全防护设备(如防火墙、IPS等)发送拦截消息，以指示安全防护设备对当前应用访问日志的源IP地址进行封堵拦截。

步骤532，从目标VPN登录日志中确认目标VPN登录时间，并从当前应用访问日志中提取访问时间。其中，目标VPN登录时间为距离访问时间的最后一次登录VPN的时间。

步骤534，判断目标VPN登录时间至访问时间这一段内是否存在用户注销日志，若是，则跳转至步骤536，若否，则跳转至步骤538。

步骤536，判断目标VPN登录日志的源IP地址与当前应用访问日志的源IP地址是否一致，若不一致，则跳转至步骤530。进一步地，若二者的源IP地址一致，则可跳转至步骤538。

步骤538，忽略当前应用访问日志，并将当前应用访问日志的日志用户标识与内网IP地址添加到已验证信息中。进一步地，已验证信息可每日清空。

图5的流程步骤可简化为图6所示的流程图，如图6所示，本申请的访问拦截方法包括：

步骤610，用户通过应用账号密码登录系统进行应用访问。

步骤612，应用服务器记录应用访问日志。

步骤614，将应用访问日志和VPN登录日志接入到日志服务器中统一管理和分析。

步骤616，日志服务器从应用访问日志中提取出用户标识，并在VPN登录日志中查询该用户标识近期是否登录过。

步骤618，判断访问与登录器件是否存在用户注销，若存在，则确认为非法访问，否则，确认为正常访问。

步骤620，未经登录的访问。

步骤622，日志服务器从应用访问日志中提取源IP地址，联动安全防护设备进行封堵。

本申请中，日志服务器对多方日志进行采集，如采集VPN的登录日志、应用系统的访问日志、应用系统的登录日志和防火墙日志等，并对应用访问日志、VPN登录日志、应用登录日志以及防火墙日志进行统一的管理和分析，从而可掌控用户访问全过程的流量走向。其中流量走向是指用户登录VPN、经过防火墙等安全防护设备到访问应用系统整个过程的日志记录，可从中分析用户从哪里访问、经过什么设备、以什么IP地址访问和访问什么应用等的信息。

在进行初始筛选确认时，日志服务器从应用访问日志中提取出用户标识，并在VPN登录日志中进行搜索查询，通过对比VPN、防火墙等网络设备的信息(如IP地址、用户域名、用户授权情况等)，以确认该用户标识对应的用户是否为非法访问的用户。具体而言，正常通过账号密码方式登录的用户在登录数据(可以为VPN登录日数据或应用登录数据)中是存在对应的登录日志的，而非法访问的用户则没有对应的登录日志，因此，通过确认该用户标识是否存在登录日志记录，从而判断该用户标识是否为非法用户的用户标识。在不存在该用户标识对应的登录日志时，日志服务器可从应用访问日志中提取出该用户对应的源IP，并通过简单的syslog方式向安全防护设备发送拦截消息，以联动VPN和防火墙等安全防护设备对源IP进行封堵拦截。

当该用户标识存在对应的登录日志时，可对其进行再次的筛选确认。日志服务器获取最后一次登录VPN的时间以及本次访问的请求时间，并查找此段时间内用户是否存在用户注销日志，若不存在，则判断为正常访问。若存在用户注销日志，且应用访问日志中的源IP地址与VPN登录日志中的源IP地址不一致，则通过syslog联动安全防护设备对应用访问日志中的源IP进行封堵拦截。如此，可避免将一些长时间登录的用户误判为未授权用户，以提高访问拦截的准确性。

其中，在联动安全防护设备进行封堵拦截时，日志服务器可生成告警信息，并向防火墙发送拦截消息，以告知防火墙需要封堵的源IP地址和时长，并通过防火墙进行封堵。

本申请可在日志层面对未授权访问进行检测，并降低开发改造难度并增强可拓展性，同时还可缩短开发改造时间，节约开发成本和研发成本。

应该理解的是，虽然图1-6的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1-6中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图7所示，提供了一种访问拦截装置700，应用于日志服务。该装置包括：数据获取模块710和拦截模块720，其中：

数据获取模块710，用于获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

拦截模块720，用于针对每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

在一个实施例中，目标VPN登录日志包括VPN登录时间。拦截模块720包括时间获取单元和注销日志确认单元，其中，时间获取单元用于从应用访问日志中提取访问时间，并确定目标VPN登录时间；目标VPN登录时间为与访问时间最接近的VPN登录时间。注销日志确认单元用于若在目标VPN登录时间至访问时间的时段内存在用户注销日志，则根据目标VPN登录日志与应用访问日志发送拦截消息；否则，忽略应用访问日志。

在一个实施例中，注销日志确认单元还包括源地址比对单元，源地址比对单元用于在目标VPN登录日志的源地址与应用访问日志的源地址不一致时，发送拦截消息。

在一个实施例中，该装置还包括白名单比对模块，白名单比对模块用于针对每一条应用访问日志，当不存在目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据应用登录数据和防火墙白名单发送拦截消息。

在一个实施例中，拦截模块720还包括已验证信息获取单元和内网地址比对单元，其中已验证信息获取单元用于获取已验证信息；已验证信息包括用户标识和对应的授权内网地址。内网地址比对单元用于当应用访问日志中的内网地址与日志用户标识对应的授权内网地址不一致时，进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤；当应用访问日志中的内网地址为日志用户标识对应的授权内网地址时，忽略应用访问日志。

在一个实施例中，拦截模块720好包括更新单元，更新单元用于当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

在一个实施例中，VPN登录数据包括预设时间段内的VPN登录日志。

关于访问拦截装置700的具体限定可以参见上文中对于访问拦截方法的限定，在此不再赘述。上述访问拦截装置700中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图8所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储已验证信息等数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种访问拦截方法。

本领域技术人员可以理解，图8中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种日志服务器，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：

获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

在一个实施例中，目标VPN登录日志包括VPN登录时间。处理器执行计算机程序时还实现以下步骤：从应用访问日志中提取访问时间，并确定目标VPN登录时间；目标VPN登录时间为与访问时间最接近的VPN登录时间；若在目标VPN登录时间至访问时间的时段内存在用户注销日志，则根据目标VPN登录日志与应用访问日志发送拦截消息；否则，忽略应用访问日志。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：在目标VPN登录日志的源地址与应用访问日志的源地址不一致时，发送拦截消息。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：对于每一条应用访问日志，当不存在目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据应用登录数据和防火墙白名单发送拦截消息。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：获取已验证信息；已验证信息包括用户标识和对应的授权内网地址；当应用访问日志中的内网地址与日志用户标识对应的授权内网地址不一致时，进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤；当应用访问日志中的内网地址为日志用户标识对应的授权内网地址时，忽略应用访问日志。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：VPN登录数据包括预设时间段内的VPN登录日志。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

获取VPN登录数据和应用访问数据；VPN登录数据包括VPN登录日志，应用访问数据包括应用访问日志；

对于每一条应用访问日志，从应用访问日志中提取日志用户标识，并在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志；当存在目标VPN登录日志时，根据目标VPN登录日志发送拦截消息；拦截消息用于指示安全防护设备拦截应用访问日志的源地址对应的访问请求。

在一个实施例中，目标VPN登录日志包括VPN登录时间。计算机程序被处理器执行时还实现以下步骤：从应用访问日志中提取访问时间，并确定目标VPN登录时间；目标VPN登录时间为与访问时间最接近的VPN登录时间；若在目标VPN登录时间至访问时间的时段内存在用户注销日志，则根据目标VPN登录日志与应用访问日志发送拦截消息；否则，忽略应用访问日志。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：在目标VPN登录日志的源地址与应用访问日志的源地址不一致时，发送拦截消息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：对于每一条应用访问日志，当不存在目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据应用登录数据和防火墙白名单发送拦截消息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：获取已验证信息；已验证信息包括用户标识和对应的授权内网地址；当应用访问日志中的内网地址与日志用户标识对应的授权内网地址不一致时，进入在VPN登录数据中搜索日志用户标识对应的目标VPN登录日志的步骤；当应用访问日志中的内网地址为日志用户标识对应的授权内网地址时，忽略应用访问日志。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：当存在目标VPN登录日志时，根据目标VPN登录日志更新已验证信息。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：VPN登录数据包括预设时间段内的VPN登录日志。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种访问拦截方法，其特征在于，应用于日志服务器，所述方法包括：

获取VPN登录数据和应用访问数据；所述VPN登录数据包括VPN登录日志，所述应用访问数据包括应用访问日志；

对于每一条所述应用访问日志，从所述应用访问日志中提取日志用户标识，并在所述VPN登录数据中搜索所述日志用户标识对应的目标VPN登录日志；当存在所述目标VPN登录日志时，根据所述目标VPN登录日志发送拦截消息；所述拦截消息用于指示安全防护设备拦截所述应用访问日志的源地址对应的访问请求；所述目标VPN登录日志包括VPN登录时间；

其中，所述根据所述目标VPN登录日志发送拦截消息的步骤，包括：

从所述应用访问日志中提取访问时间，并确定目标VPN登录时间；所述目标VPN登录时间为与所述访问时间最接近的VPN登录时间；

若在所述目标VPN登录时间至所述访问时间的时段内存在用户注销日志，则根据所述目标VPN登录日志与所述应用访问日志发送所述拦截消息；否则，忽略所述应用访问日志。

2.根据权利要求1所述的访问拦截方法，其特征在于，在所述VPN登录日志的用户标识与所述日志用户标识相同时，可将所述VPN登录日志确认为所述目标VPN登录日志。

3.根据权利要求1所述的访问拦截方法，其特征在于，根据所述目标VPN登录日志与所述应用访问日志发送所述拦截消息的步骤，包括：

在所述目标VPN登录日志的源地址与所述应用访问日志的源地址不一致时，发送所述拦截消息。

4.根据权利要求1所述的访问拦截方法，其特征在于，所述方法还包括：

对于每一条所述应用访问日志，当不存在所述目标VPN登录日志时，获取应用登录数据和防火墙白名单，并根据所述应用登录数据和所述防火墙白名单发送所述拦截消息。

5.根据权利要求1所述的访问拦截方法，其特征在于，在所述VPN登录数据中搜索所述日志用户标识对应的目标VPN登录日志之前，还包括：

获取已验证信息；所述已验证信息包括用户标识和对应的授权内网地址；

当所述应用访问日志中的内网地址与所述日志用户标识对应的授权内网地址不一致时，进入在所述VPN登录数据中搜索所述日志用户标识对应的目标VPN登录日志的步骤；

当所述应用访问日志中的内网地址为所述日志用户标识对应的授权内网地址时，忽略所述应用访问日志。

6.根据权利要求5所述的访问拦截方法，其特征在于，在所述VPN登录数据中搜索所述日志用户标识对应的目标VPN登录日志之后，还包括：

当存在所述目标VPN登录日志时，根据所述目标VPN登录日志更新所述已验证信息。

7.根据权利要求1至6任一项所述的访问拦截方法，其特征在于，所述VPN登录数据包括预设时间段内的VPN登录日志。

8.一种访问拦截装置，其特征在于，应用于日志服务器，所述装置包括：

数据获取模块，用于获取VPN登录数据和应用访问数据；所述VPN登录数据包括VPN登录日志，所述应用访问数据包括应用访问日志；

拦截模块，用于针对每一条所述应用访问日志，从所述应用访问日志中提取日志用户标识，并在所述VPN登录数据中搜索所述日志用户标识对应的目标VPN登录日志；当存在所述目标VPN登录日志时，根据所述目标VPN登录日志发送拦截消息；所述拦截消息用于指示安全防护设备拦截所述应用访问日志的源地址对应的访问请求；所述目标VPN登录日志包括VPN登录时间；

其中，所述拦截模块包括时间获取单元和注销日志确认单元；所述时间获取单元用于从所述应用访问日志中提取访问时间，并确定目标VPN登录时间；所述目标VPN登录时间为与所述访问时间最接近的VPN登录时间；

所述注销日志确认单元用于若在所述目标VPN登录时间至所述访问时间的时段内存在用户注销日志，则根据所述目标VPN登录日志与所述应用访问日志发送所述拦截消息；否则，忽略所述应用访问日志。

9.一种日志服务器，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。

Images