[發明專利]一種服務器入侵處理方法及相關裝置

在審

• 申請號: 202210537899.5
• 申請日: 2022-05-18
• 公開（公告）號: CN114915473A
• 公開（公告）日: 2022-08-16
• 發明（設計）人: 李杰一;李平;陳美伶;沈超建
• 申請（專利權）人: 中國工商銀行股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 屈蓓;臧建明

1.一種服務器入侵處理方法，其特征在于，所述方法包括：

基于對第一服務器的監控得到的數據，確定如下至少一項存在異常：日志、用戶名及密碼、文件、端口和進程，所述第一服務器為被監控的服務器集群中的一個服務器；

在確定一個或多個目標項存在異常的情況下，基于預定義的多個目標項與多個計數值的一一對應關系，將所述一個或多個目標項中每個目標項所對應的計數值累加至所述第一服務器對應的計數值上，所述預定義的多個目標項包括所述日志、所述用戶名及密碼、所述文件、所述端口和所述進程；

在所述第一服務器對應的計數值落入預定義的計數范圍時，基于預定義的多個風險級別與多個計數范圍的一一對應關系，確定所述第一服務器被入侵的風險級別；

基于預定義的所述多個風險級別與多種修復方式的一一對應關系，確定所述第一服務器被入侵的風險級別所對應的修復方式。

2.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述日志，所述方法還包括：

在確定所述日志的文件的大小大于第一預設門限的情況下，確定所述日志存在異常；

向所述第一服務器的防火墻下發封禁指令，所述封禁指令包括入侵所述第一服務器的互聯網協議IP地址，所述IP地址是基于所述日志確定的，所述封禁指令用于指示所述防火墻開啟對所述IP地址的自動封禁。

3.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述用戶名及密碼，所述方法還包括：

在確定存在新增的超級用戶的情況下，確定所述用戶名及密碼存在異常；

刪除所述新增的超級用戶的信息。

4.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述用戶名及密碼，所述方法還包括：

在確定存在用戶的用戶名和/或密碼被修改的情況下，確定所述用戶名及密碼存在異常；

重置所述用戶的用戶名和密碼。

5.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述文件，所述方法還包括：

在確定存在木馬文件的情況下，確定所述文件存在異常；

刪除所述木馬文件。

6.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述文件，所述方法還包括：

在確定存在被異常刪除和/或被異常篡改的文件的情況下，確定所述文件存在異常；

恢復所述被異常刪除和/或被異常篡改的文件。

7.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述端口，所述方法還包括：

在確定存在新增的開放的預設端口的情況下，確定所述端口存在異常；

關閉所述新增的開放的預設端口。

8.如權利要求1所述的方法，其特征在于，所述一個或多個目標項包括所述進程，所述方法還包括：

在確定存在非法進程的情況下，確定所述進程存在異常，所述非法進程為被系統后門所加載的，且占用中央處理器CPU超過第二預設門限或使用內存超過第三預設門限的進程；

結束所述非法進程。

9.如權利要求1至8中任一項所述的方法，其特征在于，所述在確定所述一個或多個目標項存在異常的情況下，所述方法還包括：

基于抓取到的所述第一服務器上的網絡包確定所述第一服務器存在滲透第二服務器的異常流量，所述第二服務器為所述被監控的服務器集群中除所述第一服務器以外的一個或多個服務器；

中斷所述異常流量。