[发明专利]一种服务器入侵处理方法及相关装置

说明书

提供一种服务器入侵处理方法及相关装置，涉及信息安全领域，该方法包括：基于对服务器的监控得到的数据确定如下至少一项存在异常：日志、用户名及密码、文件、端口和进程；在确定一个或多个目标项存在异常时，基于预定义的多个目标项与多个计数值的对应关系，将每个目标项对应的计数值累加至该服务器对应的计数值上；在该服务器对应的计数值落入预定义的计数范围时，基于预定义的多个风险级别与多个计数范围的对应关系确定该服务器被入侵的风险级别，进而确定该风险级别对应的修复方式。因此，通过自动对服务器进行监控，可以及时发现服务器异常并确定修复方法，减少人工运维成本。

技术领域

本申请涉及信息安全领域，尤其涉及一种服务器入侵处理方法及相关装置。

背景技术

随着互联网技术飞速发展，针对服务器的攻击手段也层出不穷，服务器的安全面临着越来越严峻的挑战。目前针对服务器的入侵处理方式主要通过人工运维方式对服务器的入侵情况进行排查和处理，但这种方法需要消耗大量的人工运维成本。

因此，希望提供一种方法，能够自动检测到服务器被入侵的情况，以降低人工运维的成本。

发明内容

本申请提供一种服务器入侵处理方法及相关装置，以期能够自动检测到服务器被入侵的情况，并及时进行处理，从而降低人工运维的成本。

第一方面，本申请提供一种服务器入侵处理方法，该方法可以由服务器入侵处理装置来执行，或者，也可以由配置在服务器入侵处理装置中的部件(如芯片、芯片系统等)执行，或者，还可以由能够实现部分或全部服务器入侵处理装置功能的逻辑模块或软件等实现，本申请对此不作限定。

示例性地，该方法包括：基于对第一服务器的监控得到的数据，确定如下至少一项存在异常：日志、用户名及密码、文件、端口和进程，所述第一服务器为被监控的服务器集群中的一个服务器；在确定一个或多个目标项存在异常的情况下，基于预定义的多个目标项与多个计数值的一一对应关系，将所述一个或多个目标项中每个目标项所对应的计数值累加至所述第一服务器对应的计数值上，所述预定义的多个目标项包括所述日志、所述用户名及密码、所述文件、所述端口和所述进程；在所述第一服务器对应的计数值落入预定义的计数范围时，基于预定义的多个风险级别与多个计数范围的一一对应关系，确定所述第一服务器被入侵的风险级别；基于预定义的所述多个风险级别与多种修复方式的一一对应关系，确定所述第一服务器被入侵的风险级别所对应的修复方式。

基于上述方案，通过对第一服务器的监控，能够及时确定第一服务器是否存在被入侵的情况，并确定第一服务器被入侵的风险等级，并基于预定义的多个风险等级与多种修复方式的对应关系以及第一服务器被入侵的风险等级，确定出对第一服务器的修复方式，从而能够及时地对第一服务器进行修复，整个过程中人工参与极少，可以降低人工运维的时间成本和人力成本。另外，通过该方案，能够及时发现服务器被入侵的行为，可以满足对安全性能要求高的业务系统的需求。

可选地，所述一个或多个目标项包括所述日志，该方法还包括：在确定所述日志的文件的大小大于第一预设门限的情况下，确定所述日志存在异常；

向所述第一服务器的防火墙下发封禁指令，所述封禁指令包括入侵所述第一服务器的互联网协议(internet protocol，IP)地址，所述IP地址是基于所述日志确定的，所述封禁指令用于指示所述防火墙开启对所述IP地址的自动封禁。

可选地，所述一个或多个目标项包括所述用户名及密码，该方法还包括：在确定存在新增的超级用户的情况下，确定所述用户名及密码存在异常；删除所述新增的超级用户的信息。

可选地，所述一个或多个目标项包括所述用户名及密码，该方法还包括：在确定存在用户的用户名和/或密码被修改的情况下，确定所述用户名及密码存在异常；重置所述用户的用户名和密码。

可选地，所述一个或多个目标项包括所述文件，该方法还包括：在确定存在木马文件的情况下，确定所述文件存在异常；删除所述木马文件。