[發(fā)明專利]基于標(biāo)簽的敏感數(shù)據(jù)追蹤溯源方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201811235171.7
• 申請(qǐng)日: 2018-10-23
• 公開（公告）號(hào): CN109388642B
• 公開（公告）日: 2021-08-27
• 發(fā)明（設(shè)計(jì)）人: 郭敏;吳朝雄;石波;于冰;查尤平
• 申請(qǐng)（專利權(quán)）人: 北京計(jì)算機(jī)技術(shù)及應(yīng)用研究所
• 主分類號(hào): G06F16/22
• 分類號(hào): G06F16/22;G06K9/62;G06F21/62
• 代理公司: 中國(guó)兵器工業(yè)集團(tuán)公司專利中心 11011
• 代理人: 王雪芬

本發(fā)明涉及一種基于標(biāo)簽的敏感數(shù)據(jù)追蹤溯源方法，涉及數(shù)據(jù)安全技術(shù)領(lǐng)域。本發(fā)明針對(duì)大數(shù)據(jù)平臺(tái)中結(jié)構(gòu)化數(shù)據(jù)的追蹤溯源問(wèn)題，創(chuàng)新性地提出面向結(jié)構(gòu)化數(shù)據(jù)的、基于標(biāo)簽的敏感數(shù)據(jù)追蹤溯源方法，同時(shí)針對(duì)標(biāo)簽技術(shù)中元數(shù)據(jù)占用存儲(chǔ)高的標(biāo)簽統(tǒng)一格式定義、標(biāo)簽提取、標(biāo)簽存儲(chǔ)、存儲(chǔ)優(yōu)化、可視化展示環(huán)節(jié)展開設(shè)計(jì)，實(shí)現(xiàn)面向敏感數(shù)據(jù)的全路徑追蹤溯源，可對(duì)數(shù)據(jù)泄露源頭進(jìn)行回溯、定位。

技術(shù)領(lǐng)域

本發(fā)明涉及數(shù)據(jù)安全技術(shù)領(lǐng)域，具體涉及一種基于標(biāo)簽的敏感數(shù)據(jù)追蹤溯源方法。

背景技術(shù)

(一)追蹤溯源

近年來(lái)，數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)防泄漏等數(shù)據(jù)防護(hù)手段日漸成熟，但數(shù)據(jù)泄露事件仍頻繁發(fā)生，“事后”追蹤溯源變得越來(lái)越重要，一方面可實(shí)現(xiàn)數(shù)據(jù)泄露事件發(fā)生后泄漏源頭追溯和責(zé)任定位，一方面可從管理角度上起到一定的威懾作用。目前主流的追蹤溯源技術(shù)包括標(biāo)注法、數(shù)字水印等。

(1)標(biāo)注法

傳統(tǒng)數(shù)據(jù)溯源追蹤方法是標(biāo)注法，這是一種簡(jiǎn)單且有效的數(shù)據(jù)溯源方法。通過(guò)記錄處理相關(guān)的信息來(lái)追溯數(shù)據(jù)的歷史狀態(tài)，即用標(biāo)注的方式來(lái)記錄原始數(shù)據(jù)的一些重要信息，并讓標(biāo)注和數(shù)據(jù)一起傳播，通過(guò)查看目標(biāo)數(shù)據(jù)的標(biāo)注來(lái)獲得數(shù)據(jù)的溯源。采用標(biāo)注法來(lái)進(jìn)行數(shù)據(jù)溯源實(shí)現(xiàn)簡(jiǎn)單，容易管理，但其缺點(diǎn)是只適合小型系統(tǒng)，對(duì)于大型系統(tǒng)而言很難為細(xì)粒度的數(shù)據(jù)提供詳細(xì)的數(shù)據(jù)溯源信息，因?yàn)榭赡軐?dǎo)致元數(shù)據(jù)比原始數(shù)據(jù)還多，需要額外的存儲(chǔ)空間，對(duì)存儲(chǔ)造成很大的壓力，而且效率低。

(2)數(shù)字水印

數(shù)字水印同樣是為了保持對(duì)分發(fā)后的數(shù)據(jù)進(jìn)行流向追蹤的技術(shù),在數(shù)據(jù)泄露行為發(fā)生后，對(duì)造成數(shù)據(jù)泄露的源頭可進(jìn)行回溯。對(duì)于結(jié)構(gòu)化數(shù)據(jù)，在分發(fā)數(shù)據(jù)中摻雜不影響運(yùn)算結(jié)果的數(shù)據(jù)，采用增加偽行、增加偽列等方法,拿到泄密數(shù)據(jù)的樣本,可追溯數(shù)據(jù)泄露源。對(duì)于非結(jié)構(gòu)化數(shù)據(jù),數(shù)字水印可以應(yīng)用于數(shù)字圖像、音頻、視頻、打印、文本、條碼等數(shù)據(jù)信息中，在數(shù)據(jù)外發(fā)的環(huán)節(jié)加上隱蔽標(biāo)識(shí)水印，可以追蹤數(shù)據(jù)擴(kuò)散路徑。但目前的數(shù)字水印方案大多還是針對(duì)靜態(tài)的數(shù)據(jù)集，滿足數(shù)據(jù)量巨大、更新速度極快的水印方案尚不成熟。

發(fā)明內(nèi)容

(一)要解決的技術(shù)問(wèn)題

本發(fā)明要解決的技術(shù)問(wèn)題是：如何設(shè)計(jì)一種針對(duì)大數(shù)據(jù)平臺(tái)中結(jié)構(gòu)化數(shù)據(jù)的追蹤溯源方法，實(shí)現(xiàn)面向敏感數(shù)據(jù)的全路徑追蹤溯源，可對(duì)數(shù)據(jù)泄露源頭進(jìn)行回溯、定位。

(二)技術(shù)方案

為了解決上述技術(shù)問(wèn)題，本發(fā)明提供了一種基于標(biāo)簽的敏感數(shù)據(jù)追蹤溯源方法，包括以下步驟：

第一步、標(biāo)簽統(tǒng)一格式定義

為審計(jì)記錄中敏感數(shù)據(jù)相關(guān)的操作行為打標(biāo)簽，標(biāo)簽中的信息包括操作主體、操作客體、客體所在位置、課題敏感等級(jí)、操作類型、操作時(shí)間、操作主體主機(jī)IP和操作主體應(yīng)用系統(tǒng)賬號(hào)；所述操作主體為操作行為責(zé)任人，操作客體為敏感數(shù)據(jù)；所示操作類型包括數(shù)據(jù)增刪改查；

第二步、標(biāo)簽提取

將涉及敏感數(shù)據(jù)的審計(jì)日志進(jìn)行解析，通過(guò)正則表達(dá)式匹配的方式，將每條審計(jì)日志中相關(guān)信息提取出來(lái)，生成標(biāo)簽；

其中，針對(duì)數(shù)據(jù)增刪查操作，生成一個(gè)標(biāo)簽，針對(duì)數(shù)據(jù)修改操作，生成分別對(duì)應(yīng)為修改前后兩個(gè)表格的操作行為標(biāo)簽；

第三步、標(biāo)簽存儲(chǔ)

提取標(biāo)簽后將其單獨(dú)存儲(chǔ)在數(shù)據(jù)庫(kù)中，存儲(chǔ)中間件設(shè)計(jì)為由server模塊、console模塊、異構(gòu)源統(tǒng)一模塊、優(yōu)化模塊和服務(wù)狀態(tài)監(jiān)視器多個(gè)模塊組成；

所述Server模塊用于提供多協(xié)議的支持；

console模塊包括系統(tǒng)配置、部署管理、集群管理內(nèi)容，用于提供讀取數(shù)據(jù)庫(kù)配置文件和保存配置信息的接口，對(duì)server模塊中集群擴(kuò)展功能進(jìn)行管理；