[發明專利]業務接口安全評估方法及裝置

有效

• 申請號: 201810570122.2
• 申請日: 2018-06-05
• 公開（公告）號: CN108763916B
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 趙豪
• 申請（專利權）人: 創新先進技術有限公司
• 主分類號: G06F21/44
• 分類號: G06F21/44
• 代理公司: 北京億騰知識產權代理事務所(普通合伙) 11309
• 代理人: 陳霽;周良玉

1.一種業務接口安全評估方法，其特征在于，包括：

通過流量鏡像或者日志打印的方式，從業務服務端獲取待評估的業務接口在整個生命周期內與用戶交互的至少部分業務數據；所述業務接口是所述業務服務端處理業務的最小單位；所述業務數據包括所述用戶的請求數據和所述業務服務端的返回數據；

對所述業務數據進行多維度分析，以確定所述業務接口的多維度分析結果；所述多維度分析結果包括安全相關屬性分析結果、安全漏洞分析結果、安全特征分析結果、業務場景分析結果以及敏感信息分析結果中的一種或多種；

根據所述多維度分析結果，對所述業務接口進行安全評估。

2.根據權利要求1所述的方法，其特征在于，在所述對所述業務數據進行多維度分析，以確定所述業務接口的多維度分析結果之前，還包括：

對所述業務數據進行數據清洗；所述數據清洗包括數據格式化、異常數據過濾以及類型轉換中的至少一種；

所述對所述業務數據進行多維度分析，以確定所述業務接口的多維度分析結果，包括：

對數據清洗后的業務數據進行多維度分析，以確定所述業務接口的多維度分析結果。

3.根據權利要求1或2所述的方法，其特征在于，所述安全相關屬性分析結果是在對所述業務數據進行聚合統計得到安全相關屬性后，對所述安全相關屬性進行分析得到的；所述安全相關屬性包括業務接口的重要性信息、業務接口的訪問量波動信息以及業務接口的訪問用戶波動信息中的至少一種。

4.根據權利要求1或2所述的方法，其特征在于，所述安全漏洞分析結果是根據預設的專家規則對所述業務數據進行分析后得到的。

5.根據權利要求1或2所述的方法，其特征在于，所述安全特征分析結果是通過對所述業務數據中所包含的關鍵詞、關鍵詞的類型和/或所述業務數據的數據類型進行分析后得到的；所述安全特征分析結果包括是否涉及登錄、是否涉及密碼修改息、是否涉及用戶信息返回、是否涉及交易以及是否涉及內容風險中的至少一種。

6.根據權利要求1或2所述的方法，其特征在于，所述業務場景分析結果是通過對所述業務數據的數據格式和/或數據類型進行分析后得到的。

7.根據權利要求1或2所述的方法，其特征在于，所述敏感信息分析結果是通過正則匹配的方式，從所述業務數據中提取的。

8.一種業務接口安全評估裝置，其特征在于，包括：

獲取單元，用于通過流量鏡像或者日志打印的方式，從業務服務端獲取待評估的業務接口在整個生命周期內與用戶交互的至少部分業務數據；所述業務接口是所述業務服務端處理業務的最小單位；所述業務數據包括所述用戶的請求數據和所述業務服務端的返回數據；

分析單元，用于對所述獲取單元獲取的所述業務數據進行多維度分析，以確定所述業務接口的多維度分析結果；所述多維度分析結果包括安全相關屬性分析結果、安全漏洞分析結果、安全特征分析結果、業務場景分析結果以及敏感信息分析結果中的一種或多種；

評估單元，用于根據所述分析單元分析得到的所述多維度分析結果，對所述業務接口進行安全評估。

9.根據權利要求8所述的裝置，其特征在于，還包括：

清洗單元，用于對所述業務數據進行數據清洗；所述數據清洗包括數據格式化、異常數據過濾以及類型轉換中的至少一種；

所述分析單元具體用于：

對數據清洗后的業務數據進行多維度分析，以確定所述業務接口的多維度分析結果。

10.根據權利要求8或9所述的裝置，其特征在于，所述安全相關屬性分析結果是在對所述業務數據進行聚合統計得到安全相關屬性后，對所述安全相關屬性進行分析得到的；所述安全相關屬性包括業務接口的重要性信息、業務接口的訪問量波動信息以及業務接口的訪問用戶波動信息中的至少一種。