[發明專利]基于標簽的敏感數據追蹤溯源方法

有效

• 申請號: 201811235171.7
• 申請日: 2018-10-23
• 公開（公告）號: CN109388642B
• 公開（公告）日: 2021-08-27
• 發明（設計）人: 郭敏;吳朝雄;石波;于冰;查尤平
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: G06F16/22
• 分類號: G06F16/22;G06K9/62;G06F21/62
• 代理公司: 中國兵器工業集團公司專利中心 11011
• 代理人: 王雪芬

1.一種基于標簽的敏感數據追蹤溯源方法，其特征在于，包括以下步驟：

第一步、標簽統一格式定義

為審計記錄中敏感數據相關的操作行為打標簽，標簽中的信息包括操作主體、操作客體、客體所在位置、課題敏感等級、操作類型、操作時間、操作主體主機IP和操作主體應用系統賬號；所述操作主體為操作行為責任人，操作客體為敏感數據；所示操作類型包括數據增刪改查；

第二步、標簽提取

將涉及敏感數據的審計日志進行解析，通過正則表達式匹配的方式，將每條審計日志中相關信息提取出來，生成標簽；

其中，針對數據增刪查操作，生成一個標簽，針對數據修改操作，生成分別對應為修改前后兩個表格的操作行為標簽；

第三步、標簽存儲

提取標簽后將其單獨存儲在數據庫中，存儲中間件設計為由server模塊、console模塊、異構源統一模塊、優化模塊和服務狀態監視器多個模塊組成；

所述Server模塊用于提供多協議的支持；

console模塊包括系統配置、部署管理、集群管理內容，用于提供讀取數據庫配置文件和保存配置信息的接口，對server模塊中集群擴展功能進行管理；

異構源統一模塊用于針對各種異構的數據源提供統一標準化接口，屏蔽不同數據源差異性；

優化模塊用于實現與下一節中設計的存儲優化進行互相調用，共同完成標簽存儲優化功能；

服務狀態監視器包括服務監控、流程監控內容，用于提供對server模塊運行數據的監控、分析能力。

2.如權利要求1所述的方法，其特征在于，在第三步的標簽存儲過程中進行存儲優化，分析審計記錄結構，對無用的操作行為記錄進行刪除，合并相似操作行為，在數據標簽中增加查詢次數信息，從而降低標簽數據存儲量。

3.如權利要求2所述的方法，其特征在于，第三步中存儲優化包括以下方式：

(1)在解析敏感數據審計日志記錄、基于正則表達式提取標簽信息時，對不能通過正則表達式提取標簽統一格式中全部信息的審計記錄，直接刪除；

(2)提取出標簽信息后，對操作主體、操作客體、操作類型三項內容完全相同的記錄，記為一個操作集合；

(3)將同一操作主體的、操作時間間隔不超過1分鐘的、連續相同操作行為，只提取一條標簽信息，操作次數由默認值1改為連續相同操作次數。

4.如權利要求1所述的方法，其特征在于，在第三步之后還包括可視化展示的步驟：

用于在輸入敏感數據詞匯時，展示敏感數據的流轉路徑及所有相關操作行為；輸入用戶IP時，展示此用戶所有面向敏感數據的操作行為。

5.如權利要求4所述的方法，其特征在于，可視化展示的步驟中，敏感數據流轉路徑可視化展示的內容包含數據生成信息、數據在各應用系統間或大數據平臺組件間的流轉路徑，所述數據生成信息包括時間、位置、操作主體信息；

敏感數據相關操作行為的展示，是以敏感數據為中心，展示所有針對此敏感數據的操作行為，包括數據的增刪改查；

用戶操作行為展示，是以用戶為中心，展示此用戶所有針對敏感數據的操作行為。

6.如權利要求1所述的方法，其特征在于，在第三步之后還包括違規行為分析的步驟：

違規行為分析以溯源標簽中記錄的關鍵操作行為信息為基礎，基于統計分析、聚類算法兩種方式展開安全分析：

一是通過統計分析方法，對訪問間隔時間相同、夜間大量訪問、訪問規律突變這些的異常情況進行分析；

二是采用k-means聚類算法進行異常行為分析，將所有標簽信息按操作行為分為增刪查改四類，對每類操作單獨使用k-means算法進行細分類，以檢測出異常操作行為。