[發明專利]kubernetes集群應用的防護方法和系統

有效

• 申請號: 202011320450.0
• 申請日: 2020-11-23
• 公開（公告）號: CN112615813B
• 公開（公告）日: 2023-05-30
• 發明（設計）人: 李逸鋒;王玉虎;古強;蔡錫生;吳江法
• 申請（專利權）人: 深圳軟通動力信息技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 杭州創智卓英知識產權代理事務所(普通合伙) 33324
• 代理人: 張超

1.一種kubernetes集群應用的防護方法，其特征在于，包括：

流量監控器接收到包含域名的HTTP請求，對所述HTTP請求中流量數據進行異常檢測，得到檢測結果；

所述流量監控器判斷所述檢測結果是否指示異常，若是，所述流量監控器申請WAF服務和配置用于過濾所述HTTP請求中異常流量的清洗指標，并解析所述域名的CNAME記錄到所述WAF上；

所述流量監控器調用所述WAF的接口，獲取清洗后的流量數據和清洗指標信息；

在所述清洗指標信息指示所述流量的清洗指標趨于正常的情況下，所述流量監控器釋放所述WAF服務，并解析所述CNAME記錄到kubernetes集群的入口網關ingress?controller上，所述ingress?controller將清洗后的HTTP請求的流量轉發到所述集群內的應用；

其中，使用開源的zabbix作為流量監控器，所述zabbix接收到包含域名的所述HTTP請求，對所述HTTP請求中流量數據進行異常檢測，

在申請WAF服務前，流量監控器對HTTP請求中流量數據進行異常檢測，只有檢測結果為異常的HTTP請求才會觸發防御，申請WAF服務進行流量清洗，能夠減少HTTP請求WAF服務的頻率，從而降低WAF服務的使用費用。

2.根據權利要求1所述的方法，其特征在于，所述流量監控器解析所述CNAME記錄到所述WAF上之后，所述方法包括：所述流量監控器定時調用所述WAF的接口，獲取清洗后的流量數據和清洗指標信息。

3.根據權利要求1所述的方法，其特征在于，所述流量監控器接收到所述HTTP請求之前，所述方法包括：客戶端接收用戶輸入的所述域名，向所述流量監控器發送包含所述域名的HTTP請求。

4.一種kubernetes集群應用的防護系統，其特征在于，所述系統包括流量監控器；

所述流量監控器接收到包含域名的HTTP請求，對所述HTTP請求中流量數據進行異常檢測，得到檢測結果；

所述流量監控器判斷所述檢測結果是否指示異常，若是，所述流量監控器申請WAF服務和配置用于過濾所述HTTP請求中異常流量的清洗指標，并解析所述域名的CNAME記錄到所述WAF上；

所述流量監控器調用所述WAF的接口，獲取清洗后的流量數據和清洗指標信息；

在所述清洗指標信息指示所述流量的清洗指標趨于正常的情況下，所述流量監控器釋放所述WAF服務，并解析所述CNAME記錄到kubernetes集群的入口網關ingress?controller上，所述ingress?controller將清洗后的HTTP請求的流量轉發到所述集群內的應用；

其中，使用開源的zabbix作為流量監控器，所述zabbix接收到包含域名的所述HTTP請求，對所述HTTP請求中流量數據進行異常檢測，

在申請WAF服務前，流量監控器對HTTP請求中流量數據進行異常檢測，只有檢測結果為異常的HTTP請求才會觸發防御，申請WAF服務進行流量清洗，能夠減少HTTP請求WAF服務的頻率，從而降低WAF服務的使用費用。

5.根據權利要求4所述的系統，其特征在于，所述流量監控器解析所述CNAME記錄到所述WAF上之后：所述流量監控器定時調用所述WAF的接口，獲取清洗后的流量數據和清洗指標信息。

6.根據權利要求4所述的系統，其特征在于，所述流量監控器接收到所述HTTP請求之前：客戶端接收用戶輸入的所述域名，向所述流量監控器發送包含所述域名的HTTP請求。

7.一種計算機設備，包括存儲器、處理器以及存儲在所述存儲器上并可在所述處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現如權利要求1至3中任一項所述的kubernetes集群應用的防護方法。

8.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述程序被處理器執行時實現如權利要求1至3中任一項所述的kubernetes集群應用的防護方法。