应用程序接口的获取方法、装置和分析方法、装置与流程

1.本技术涉及网络安全技术领域，具体而言，涉及一种应用程序接口的获取方法、装置和流量数据分析方法、装置。


背景技术：

2.随着信息技术的飞速发展，计算机和网络已成为日常办公、通讯交流和协作互动的必备工具和途径。数据安全作为信息安全领域中的重要课题，正越来越受到关注。当各种数据在网络上进行传输时，带来的问题也极为复杂，为此我们需要判断当前在网络上传输的信息是否会给我们的服务和终端带来威胁。应用程序接口（application programming interface，api）是一个企业服务对外提供请求服务的必要途径，普通用户可以通过企业提供的api对企业服务信息进行访问和交互。因此对于一个企业而言api的安全性极为重要。所以在网络间被请求的是否合法，企业必须第一时间发现并进行相应的处置。正所谓
‘
知己知彼，百战不殆’，所以对于企业网络流量上的接口梳理识别，对企业自身的防护有着极为重要的意义。但是，现有技术中对api识别的准确性和及时较差。


技术实现要素：

3.本技术实施例的目的在于提供一种应用程序接口的获取方法、装置和分析方法、装置，能够精准、及时地获取流量数据中的应用程序接口信息。
4.第一方面，本技术实施例提供了一种应用程序接口的获取方法，包括：获取流量数据；将所述流量数据进行本地分析，得到第一应用程序接口分析结果；将所述流量数据发送到云端进行云端分析；接收所述云端发送的第二应用程序接口分析结果；根据所述第一应用程序接口分析结果和所述第二应用程序接口分析结果获取所述流量数据的应用程序接口信息。
5.在上述实现过程中，相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
6.进一步地，所述将所述流量数据进行本地分析，得到第一应用程序接口分析结果的步骤，包括：判断所述流量数据对应的协议是否为超文本传输协议；若是，在所述流量数据中获取所述超文本传输协议的返回包；根据所述返回包获取所述第一应用程序接口分析结果。
7.在上述实现过程中，考虑到现有技术中，缺乏对请求返回包的判断，很容易导致一些误判，因此，判断流量数据对应的协议是否为超文本传输协议，如果是的话，在流量数据中获取超文本传输协议的返回包，根据返回包获取第一应用程序接口分析结果。基于上述实施方式，能够提高获取的流量数据的应用程序接口信息的准确性。
8.进一步地，所述根据所述返回包获取所述第一应用程序接口分析结果的步骤，包括：判断所述返回包中的内容类型字段对应的内容是否为应用/对象简谱或者应用/可扩展标记语言；若是，根据所述返回包中的响应体字段对应的内容和所述返回包中的内容类型字段对应的内容获取所述第一应用程序接口分析结果。
9.在上述实现过程中，通过对返回包中的数据进行判断，如果返回包中特定字段的类型为特定的类型，再根据特定字段的内容获取第一应用程序接口分析结果，能提高获取流量数据的应用程序接口信息的及时率。
10.进一步地，所述根据所述第一应用程序接口分析结果和所述第二应用程序接口分析结果获取所述流量数据的应用程序接口信息的步骤，包括：设置评分规则；根据所述评分规则、所述第一应用程序接口分析结果、所述第二应用程序接口分析结果获取评分结果；根据所述评分结果获取所述应用程序接口信息。
11.在上述实现过程中，由于第一应用程序接口分析结果是在本地进行分析得到的，第二应用程序接口分析结果是在云端进行分析得到的，而企业本地的服务器和云端的运算能力是不一样的，因此，这必然导致第一应用程序接口分析结果和第二程序接口分析接口对应用程序接口信息的影响是不一样的。为了解决这个问题，本技术实施例可以设置评分规则，再根据评分规则、第一应用程序接口分析结果、第二应用程序接口分析结果获取评分结果，根据评分结果获取应用程序接口信息。基于上述实施方式，能够提高应用程序接口信息的准确率。
12.进一步地，所述将所述流量数据发送到云端进行云端分析的步骤，包括：判断所述流量数据对应的协议是否为域名系统协议；若是，获取所述流量数据中的域名系统域名，判断所述流量数据中的域名系统域名是否为企业服务相关的域名；若所述流量数据中的域名系统域名为所述企业服务相关的域名，将所述流量数据中的域名系统域名发送到所述云端进行云端分析。
13.在上述实现过程中，只有当流量数据中的域名系统域名是否为企业服务相关的域名时，才将流量数据中的域名系统域名发送到云端进行云端分析，这能够减少云端的处理时间，提高获取应用程序接口信息的及时率。
14.进一步地，所述将所述流量数据发送到云端进行云端分析的步骤，还包括：判断所述流量数据对应的协议是否为超文本传输协议；若是，获取所述流量数据中的网际互连协议地址，判断所述流量数据中的网际互连协议地址是否为企业服务相关的网际互连协议地址且属于外网地址；
若所述流量数据中的网际互连协议地址为所述企业服务相关的网际互连协议地址且属于外网地址，将所述流量数据中的网际互连协议地址发送到所述云端进行云端分析。
15.在上述实现过程中，只有当网际互连协议地址为企业服务相关的网际互连协议地址且属于外网地址时，才将网际互连协议地址发送到所述云端进行云端分析，这能够减少云端的处理时间，提高获取应用程序接口信息的及时率。
16.第二方面，本技术提供一种流量数据分析方法，包括：接收流量数据；对所述流量数据进行云端分析，得到第二应用程序接口分析结果；将所述第二应用程序接口分析结果发送到服务器，以使所述服务器根据第一应用程序接口分析结果和第二应用程序接口分析结果获取应用程序接口信息；所述第一应用程序接口分析结果为所述服务器对所述流量数据进行本地分析得到。
17.在上述实现过程中，相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
18.进一步地，所述接收流量数据的步骤，包括：获取流量数据中的域名系统域名和/或网际互连协议地址；所述对所述流量数据进行云端分析，得到第二应用程序接口分析结果的步骤，包括：将所述域名系统域名和/或所述网际互连协议地址与所述云端存储的情报库进行匹配，得到所述域名和/或网际互连协议地址下对应的应用程序接口；对所述域名和/或网际互连协议地址下对应的应用程序接口发送请求，得到所述第二应用程序接口分析结果。
19.在上述实现过程中，由于云端具有强大的云端能力，因此，可以将域名系统域名和/或网际互连协议地址与云端存储的情报库进行匹配，得到域名和/或网际互连协议地址下对应的应用程序接口，进一步地，对域名和/或网际互连协议地址下对应的应用程序接口发送请求，得到第二应用程序接口分析结果，能够避免误判，能够使得最终获得的应用程序接口信息更加准确。
20.第三方面，本技术实施例提供一种应用程序接口的获取装置，包括：获取模块，用于获取流量数据；本地分析模块，用于将所述流量数据进行本地分析，得到第一应用程序接口分析结果；第一发送模块，用于将所述流量数据发送到云端进行云端分析；第一接收模块，接收所述云端发送的第二应用程序接口分析结果；应用程序接口信息获取模块，用于根据所述第一应用程序接口分析结果和所述第
二应用程序接口分析结果获取所述流量数据的应用程序接口信息。
21.在上述实现过程中，相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
22.第四方面，本技术实施例提供一种流量数据分析装置，包括：第二接收模块，用于接收流量数据；云端分析模块，用于对所述流量数据进行云端分析，得到第二应用程序接口分析结果；第二发送模块，用于将所述第二应用程序接口分析结果发送到服务器，以使所述服务器根据第一应用程序接口分析结果和第二应用程序接口分析结果获取应用程序接口信息；所述第一应用程序接口分析结果为所述服务器对所述流量数据进行本地分析得到。
23.在上述实现过程中，相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
24.本技术公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本技术公开的上述技术即可得知。
25.为使本技术的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。
附图说明
26.为了更清楚地说明本技术实施例的技术方案，下面将对本技术实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本技术的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
27.图1为本技术实施例提供的应用程序接口的获取方法的流程示意图；图2为本技术实施例提供的本地分析的流程示意图；图3为本技术实施例提供的根据返回包获取第一应用程序接口分析结果的流程示意图；图4为本技术实施例提供的将流量数据发送到云端进行云端分析的流程示意图；图5为本技术实施例提供的将流量数据发送到云端进行云端分析的另一流程示意图；
图6为本技术实施例提供的获取流量数据的应用程序接口信息的流程示意图；图7为本技术实施例提供的流量数据分析方法的流程示意图；图8为本技术实施例提供的应用程序接口的获取装置的结构组成示意图；图9为本技术实施例提供的流量数据分析装置的结构组成示意图。
具体实施方式
28.下面将结合本技术实施例中的附图，对本技术实施例中的技术方案进行描述。
29.应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本技术的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
30.实施例1参见图1，本技术实施例提供一种应用程序接口的获取方法，应用于服务器，包括：s11：获取流量数据；s12：将流量数据进行本地分析，得到第一应用程序接口分析结果；s13：将流量数据发送到云端进行云端分析；s14：接收云端发送的第二应用程序接口分析结果；s15：根据第一应用程序接口分析结果和第二应用程序接口分析结果获取流量数据的应用程序接口信息。
31.上述实施例中，流量数据可以是由旁路部署的服务器获取的。
32.在上述实现过程中，相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
33.应用程序接口信息为该流量数据是否为企业服务内容对应的应用程序接口。
34.在一种可能的实施方式中，在s1之前，方法还包括：获取流量数据中的过滤某些目的请求非企业内部的网际互连协议地址（internet protocol，ip）或域名。基于上述实施方式，可以减少误报，同时又能减少需要被分析的流量，最终能提升整个检测系统的准确性和高效性。
35.参见图2，在一种可能的实施方式中，s12包括：s121：判断流量数据对应的协议是否为超文本传输协议，若是，执行s122；s122：在流量数据中获取超文本传输协议的返回包；s123：根据返回包获取第一应用程序接口分析结果。
36.在上述实现过程中，考虑到现有技术中，缺乏对请求返回包的判断，很容易导致一些误判，因此，判断流量数据对应的协议是否为超文本传输协议，如果是的话，在流量数据中获取超文本传输协议的返回包，根据返回包获取第一应用程序接口分析结果。基于上述实施方式，能够提高获取的流量数据的应用程序接口信息的准确性。
37.参见图3，在一种可能的实施方式中，s123包括：
s1231：判断返回包中的内容类型字段对应的内容是否为应用/对象简谱或者应用/可扩展标记语言（application/xml），若是，执行s1232；s1232：根据返回包中的响应体字段对应的内容和返回包中的内容类型字段对应的内容获取第一应用程序接口分析结果。
38.在上述实现过程中，通过对返回包中的数据进行判断，如果返回包中特定字段的类型为特定的类型，再根据特定字段的内容获取第一应用程序接口分析结果，能提高获取流量数据的应用程序接口信息的及时率。
39.在一种可能的实施方式中，s1232包括：当内容类型字段为应用/对象简谱（application/json）的时候，根据对象简谱格式的特征来判断当前的响应体字段对应的内容是否为对象简谱格式，当内容类型字段为应用/可扩展标记语言的时候，根据可扩展标记语格式的特征来判断当前的响应体字段对应的内容 是否为可扩展标记语言格式，如果以上两个满足其中一个，则第一应用程序接口分析结果为“该流量数据为api”。
40.参见图4，在一种可能的实施方式中，s13包括：s131：判断流量数据对应的协议是否为域名系统（domain name system，dns）协议，若是，执行s132；s132：获取流量数据中的域名系统域名；接着执行s133：s133：判断流量数据中的域名系统域名是否为企业服务相关的域名，若是，执行s134；s134：将流量数据中的域名系统域名发送到云端进行云端分析。
41.只有当流量数据中的域名系统域名是否为企业服务相关的域名，才将流量数据中的域名系统域名发送到云端进行云端分析，这能够减少云端的处理时间，提高获取应用程序接口信息的及时率。
42.参见图5，针对超文本传输协议，在一种可能的实施方式中，s13还包括：s135：判断流量数据对应的协议是否为超文本传输协议（hyper text transfer protocol，http），若是，s136；s136：获取流量数据中的网际互连协议地址；s137：判断流量数据中的网际互连协议地址是否为企业服务相关的网际互连协议地址且属于外网地址，若是，执行s138；s138：将流量数据中的网际互连协议地址发送到云端进行云端分析。
43.只有当网际互连协议地址为企业服务相关的网际互连协议地址且属于外网地址，才将网际互连协议地址发送到云端进行云端分析，这能够减少云端的处理时间，提高获取应用程序接口信息的及时率。
44.若流量数据中的域名系统域名为企业服务相关的域名，将流量数据中的域名系统域名发送到云端进行云端分析。
45.参见图6，在一种可能的实施方式中，s15包括：s151：设置评分规则；s152：根据评分规则、第一应用程序接口分析结果、第二应用程序接口分析结果获取评分结果；s143：根据评分结果获取应用程序接口信息。
46.由于第一应用程序接口分析结果是在本地进行分析得到的，第二应用程序接口分析结果是在云端进行分析得到的，而企业本地的服务器和云端的运算能力是不一样的，因此，这必然导致第一应用程序接口分析结果和第二程序接口分析接口对应用程序接口信息的影响是不一样的。为了解决这个问题，本技术实施例可以设置评分规则，再根据评分规则、第一应用程序接口分析结果、第二应用程序接口分析结果获取评分结果，根据评分结果获取应用程序接口信息。基于上述实施方式，能够提高应用程序接口信息的准确率。
47.示例性地，为返回内容、返回内容格式，是否能请求等赋予不同的分数。当流量数据满足条件时则得到对应的分数。当云端分数和本地分数都超过阈值时，则判定该流量数据为应用程序接口。比如总分为十分，如果本地超过八分，云端也超过八分，那么判定该流量数据为应用程序接口。
48.需要说明的是，上述各个可能的实施方式可以自由组合在一起进行实施，当在组合过程中出现重复步骤时，比如获取流量数据中的协议，可以只执行一次。
49.实施例2参见图7，本技术实施例提供一种流量数据分析方法，应用于云端，包括：s21：接收流量数据；s22：对流量数据进行云端分析，得到第二应用程序接口分析结果；s23：将第二应用程序接口分析结果发送到服务器，以使服务器根据第一应用程序接口分析结果和第二应用程序接口分析结果判断流量数据是否为应用程序接口；第一应用程序接口分析结果为服务器对流量数据进行本地分析得到。
50.相比于现有技术只在本地进行分析的方法，本技术是将流量在本地进行分析和上传到云端进行分析，分别在本地分析得到第一应用程序接口分析结果和在云端分析中获取第二应用程序接口分析结果。由于云端的数据运算能力比企业本地机器的运算能力更强，因此，能够更快地获取第二应用程序接口分析结果，也能对流量数据进行更深层的数据分析，使得获取流量数据的应用程序接口信息的准确性和及时性得到提高。
51.在一种可能的实施方式中，接收流量数据的步骤包括：获取流量数据中的域名系统域名和/或网际互连协议地址；对流量数据进行云端分析，得到第二应用程序接口分析结果的步骤，包括：将域名系统域名和/或网际互连协议地址与云端存储的情报库进行匹配，得到域名和/或网际互连协议地址下对应的应用程序接口；对域名和/或网际互连协议地址下对应的应用程序接口发送请求，得到第二应用程序接口分析结果。
52.第二应用程序接口分析结果具体为，域名和/或网际互连协议地址下对应的应用程序接口是否真实可靠。
53.由于云端具有强大的云端能力，因此，可以将域名系统域名和/或网际互连协议地址与云端存储的情报库进行匹配，得到域名和/或网际互连协议地址下对应的应用程序接口，进一步地，对域名和/或网际互连协议地址下对应的应用程序接口发送请求，得到第二应用程序接口分析结果，能够避免误判，能够使得最终获得的应用程序接口信息更加准确。
54.实施例3参见图8，本技术实施例提供一种应用程序接口的获取装置，包括：
获取模块11，用于获取流量数据；本地分析模块12，用于将流量数据进行本地分析，得到第一应用程序接口分析结果；第一发送模块13，用于将流量数据发送到云端进行云端分析；第一接收模块14，接收云端发送的第二应用程序接口分析结果；应用程序接口信息获取模块15，用于根据第一应用程序接口分析结果和第二应用程序接口分析结果获取流量数据的应用程序接口信息。
55.在一种可能的实施方式中，本地分析模块12还用于判断流量数据对应的协议是否为超文本传输协议；若是，在流量数据中获取超文本传输协议的返回包；根据返回包获取第一应用程序接口分析结果。
56.在一种可能的实施方式中，本地分析模块12还用于判断返回包中的内容类型字段对应的内容是否为应用/对象简谱或者应用/可扩展标记语言；若是，根据返回包中的响应体字段对应的内容和返回包中的内容类型字段对应的内容获取第一应用程序接口分析结果。
57.在一种可能的实施方式中，应用程序接口信息获取模块15还用于设置评分规则；根据评分规则、第一应用程序接口分析结果、第二应用程序接口分析结果获取评分结果；根据评分结果获取应用程序接口信息。
58.在一种可能的实施方式中，装置还包括判断模块，用于判断流量数据对应的协议是否为域名系统协议；若是，获取流量数据中的域名系统域名，判断流量数据中的域名系统域名是否为企业服务相关的域名；若流量数据中的域名系统域名为企业服务相关的域名，将流量数据中的域名系统域名发送到云端进行云端分析。
59.在一种可能的实施方式中，判断模块还用于判断流量数据对应的协议是否为超文本传输协议；若是，获取流量数据中的网际互连协议地址，判断流量数据中的网际互连协议地址是否为企业服务相关的网际互连协议地址且属于外网地址；若流量数据中的网际互连协议地址为企业服务相关的网际互连协议地址且属于外网地址，将流量数据中的网际互连协议地址发送到云端进行云端分析。
60.实施例4参见图9，本技术实施例提供一种流量数据分析装置，包括：第二接收模块21，用于接收流量数据；云端分析模块22，用于对流量数据进行云端分析，得到第二应用程序接口分析结果；第二发送模块23，用于将第二应用程序接口分析结果发送到服务器，以使服务器根据第一应用程序接口分析结果和第二应用程序接口分析结果判断流量数据是否为应用程序接口；第一应用程序接口分析结果为服务器对流量数据进行本地分析得到。
61.在一种可能的实施方式中，第二接收模块21还用于获取流量数据中的域名系统域名和/或网际互连协议地址；云端分析模块22还用于对域名和/或网际互连协议地址下对应的应用程序接口发送请求，得到第二应用程序接口分析结果。
62.在本技术所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过
其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本技术的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
63.另外，在本技术各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。
64.所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本技术的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本技术各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器（read-only memory，rom）、随机存取存储器（random access memory，ram）、磁碟或者光盘等各种可以存储程序代码的介质。
65.以上所述仅为本技术的实施例而已，并不用于限制本技术的保护范围，对于本领域的技术人员来说，本技术可以有各种更改和变化。凡在本技术的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本技术的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。
66.以上所述，仅为本技术的具体实施方式，但本技术的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本技术揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本技术的保护范围之内。因此，本技术的保护范围应所述以权利要求的保护范围为准。
67.需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。