CN103338190B - 基于用户行为可信的非结构化数据安全交换方法 - Google Patents

Abstract

本发明提供了一种非结构化数据安全交换方法，所述方法基于用户行为可信进行数据交换，包括：步骤1：封装数据属性；步骤2：构建私有协议；步骤3：过滤非结构化数据；和步骤4：分析用户行为。和现有技术相比，本发明提供的非结构化数据安全交换方法能够实现在信息孤岛条件下，异构网络间的非结构化数据安全、可靠的交换与共享。

Description

基于用户行为可信的非结构化数据安全交换方法

技术领域

本发明涉及一种数据安全交换方法，具体讲涉及一种基于用户行为可信的非结构化数据安全交换方法。

背景技术

据统计，目前企业数据中20%的数据为结构化数据，80%的数据为非结构化或半结构化数据；且当今世界结构化数据的增长率为32%，而非结构化数据增长率为63%。因此，许多企业已经意识到，结构化数据仅仅是企业数据的小部分，而非结构化数据则具有某种特定和持续的价值，并且这种价值将会对企业业务和战略产生多方面的影响。

随着社会信息化建设的日益完善，企业内部信息化已基本完成。由于各企业各部门的信息化发展程度的差异而造成的“信息孤岛”，致使企业数据应用水平不高，综合分析能力较弱，从而难以为决策者提供综合、高效和准确的信息。同时网络安全受到严重的挑战，国际研究表明网络安全正朝着网络可信方向发展，未来网络安全是增加行为可信的可信网络，通过对用户行为可信的研究不仅可以提高网络的安全性而且也可以提高网络数据的性能。

目前对网络数据交换的研究，主要是关注数据交换的效率，而对数据交换的安全性考虑不足。为了增强数据交换过程中的安全性，本发明在网络数据交换的基础上，通过标记记录非结构化数据的属性信息和用户操作信息，以及通过策略规则依据标记中的信息对数据进行过滤，针对用户行为进行可信检查，从而保障对非结构化数据的安全交换，并有效提高了信息孤岛间的数据交换与共享。

发明内容

为了克服现有技术的缺陷，本发明提供了一种基于用户行为可信的非结构化数据安全交换方法，所述方法包括下述步骤：

步骤1：封装数据属性；

步骤2：构建私有协议；

步骤3：过滤非结构化数据；和

步骤4：分析用户行为。

优选的，所述步骤1中，所述封装为客户端通过标记驱动对非结构化数据D的数据属性A_D进行标记封装，其包括如下步骤：

步骤1-1：构建数据属性Hash表A_D(k,v)和用户操作行为Hash表U_op(k,v)；其中，k为Hash表的键序列，v为Hash表的值序列，U_op为用户操作行为；

步骤1-2：确定并计算数据属性标记的生成时间t_l、内容检查c_l和内容长度l_l；通过所述t_l、c_l、l_l、A_D(k,v)和U_op(k,v)构建数据属性标记格式L_D，L_D＝＜t_l,l_l,A_D(k,v),U_op(k,v),c_l＞；所述内容检查c_l采用Hash函数进行构建；

优选的，所述步骤2中，客户端通过协议驱动构建非结构化数据D传输的私有协议，其包括如下步骤：

步骤2-1：将非结构化数据D分成N块数据块；若N=1，则数据分块标记f_B=0；若N>1，则f_B=1；

步骤2-2：获取对所述N块数据块随机加密后的非结构化数据f_E(D)；获取对所述数据属性标记格式L_D加密后的数据属性标记E(L_D)；其中，f_E为数据分块加密标记；

步骤2-3：确定并计算所述私有协议的生成时间t_p、内容检查c和内容长度l_p；通过所述t_p、c、l_p、f_E(D)、E(L_D)、f_B和f_E构建所述私有协议的协议格式P为P＝＜t_p,l_p,E(L_D),f_E(D),f_B,f_E,c＞；所述内容检查c采用Hash函数进行构建；

优选的，所述数据属性通过所述私有协议传输到交换服务器；所述交换服务器通过解复用器解析所述数据属性和所述私有协议；并利用Hash函数检查所述私有协议的内容检查c、内容长度l_p和生成时间t_p；

优选的，所述步骤3包括下述步骤：

步骤3-1：验证内容检查c_l；若所述数据属性的内容被篡改则验证失败，记录日志并告警通知用户；

步骤3-2：获取策略规则表达式e并依据所述策略规则表达式e的计算结果对所述非结构化数据进行过滤；若过滤成功，执行步骤4；若过滤失败，结束数据交换操作并记录日志告警通知用户；

优选的，所述策略规则表达式e为可扩展逻辑表达式，通过提取所述Hash表A_D(k,v)的键序列的值计算所述策略规则表达式e。

优选的，所述步骤4包括用户行为可信检查和用户行为异常操作分析；所述用户行为可信检查包括如下步骤：

步骤4-1：定义用户可信行为集合T_B，所述用户可信行为集合T_B包括主体集合S、客体集合O和行为集合B；

步骤4-2：查询所述主体集合S中与所述数据属性中的用户信息相匹配的用户主体的信任值；若所述信任值大于零，执行步骤4-3；若所述信任值小于零，结束数据交换操作并记录日志告警通知用户；

步骤4-3：通过所述用户可信行为集合T_B中的用户可信行为构建用户可信行为的操作缓冲区U_t；所述操作缓冲区U_t用于描述用户完成的操作行为，并能够接收所述用户可信行为的下一步操作；将用户操作行为U_op与所述下一步操作进行比较，若二者匹配，则允许用户进行所述下一步操作并结束用户行为可信检查；若二者不匹配，则执行步骤4-4；

步骤4-4：将所述用户操作行为U_op与所述用户可信行为的首步操作进行比较；若二者匹配，则允许用户操作，将所述用户可信行为加入到所述用户操作行为U_op中，并将所述用户可信行为的当前操作移向下一步；若二者不匹配，进行所述用户行为异常操作分析；

优选的，所述用户行为异常操作分析包括如下步骤：

步骤4-5：定义异常行为规则库B_r；所述异常行为规则库B_r由树型结构的规则r_t组成；所述规则r_t由记录用户异常操作行为的规则r组成；

步骤4-6：将所述用户操作行为U_op与所述规则r进行比较；若二者匹配，将所述主体集合S中与所述用户操作行为U_op相应的用户主体的信任值降1；

本发明的有益效果是：

1、本发明技术方案中，数据属性Hash表A_D(k,v)和用户操作行为Hash表U_op(k,v)由具有多个键序列k和值序列v的Hash表构建，提高了数据的扩展性；

2、本发明技术方案中，客户端通过协议驱动构建非结构化数据传输的私有协议，能够提高在SSL（SecureSocketsLayer）安全通道基础上所述非结构化数据在异构网络系统传输的安全性；

3、本发明技术方案中，所述私有协议在所述非结构化书传输与交换过程中，将所有数据进行统一处理，使得不用的异构网络系统能够对所述非结构化数据进行共享安全交换；

4、本发明技术方案中，依据策略规则表达式e对非结构化数据进行过滤，提高了对所述非结构化数据的过滤的灵活性或扩展性，并能够依据数据属性对数据进行过滤，对访问进行控制；

5、本发明技术方案中，用户行为异常操作分析通过用户行为操作对用户信任值进行调节，使得用户可信操作更加智能化和动态化；

6、本发明提供的一种非结构化数据安全交换方法，基于用户行为可信进行非结构化数据的交换，提高了异构网络数据交换的效率与安全性；

7、本发明提供的一种非结构化数据安全交换方法，能够实现在信息孤岛条件下，异构网络间的非结构化数据安全、可靠的交换与共享。

附图说明

下面结合附图对本发明进一步说明。

图1是：本发明提供的一种非结构化数据安全交换方法的组件结构图；

图2是：本发明提供的一种非结构化数据安全交换方法的流程图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述。

图1示出了本发明提供的一种非结构化数据安全交换方法的组件结构图；本实施例中的非结构化数据为用户A的一份通过隔离交换系统从Internet网交换到企业内部网络的涉密文档D。其中，

①：所述涉密文档D的数据属性A_D为：所述文档为涉密文档、秘级为商秘一级、文档关键字为技术报告、允许上传的目录为预算报告；

②：用户操作行为U_op为：源IP地址为IP1、源端口为Port1、目的IP地址为IP2、目的端口为Port2、文件上传到服务器预先目录；

③：策略规则为：

{用户=A&&文档密级≥商秘二级&&(上传目录=技术报告||上传目录=预算报告)}，即用户A可以上传商秘二级及以上的文件到技术报告或预算报告的目录上。

④：用户可信行为集合T_B包含以下动作：

（A上传文件技术报告）；（A上传文件预算报告），即用户A的可信行为：将文件上传到技术报告或预算报告目录；用户A当前可信值为6，最多允许用户在周期内异常操作6次；

⑤：异常行为规则库B_r包括以下动作：

（用户=A，源IP≠IP1）；（用户=A，目的端口≠Port2，操作=上传文件），即用户A只能在地址为IP1的机器上的目的端口Port2来访问上传文件，否则将其操作认为异常行为。

图2示出了本发明提供的一种非结构化数据安全交换方法的流程图；基于本发明提供的一种非结构化数据安全交换方法，在上传所述涉密文档D之前，客户端首先通过标记驱动对所述涉密文档的数据属性和用户操行为进行标记封装；其次通过协议驱动对所述数据属性和所述用户操行为进行协议封装并上传到交换服务器；交换服务器通过协议解析将标记信息与涉密文档分隔开，再由解复用器对标记信息解析；依据标记信息对所述涉密文档过滤后进行用户行为可信检查和用户行为异常操作分析；具体步骤如下：

1、对涉密文档的数据属性进行封装；

（1）涉密文档的数据属性A_D为：

{<涉密文档，是>，<文档密级，商秘一级>，<关键字，技术文档>，<上传目录，预算报告>}；

（2）涉密文档的用户操作行为U_op为：

{<用户，A>，<源IP，IP1>，<源端口，Port1>，<目的IP，IP2>，<目的端口，Port2>，<操作类型：上传文件>}；

（3）构建数据属性Hash表A_D(k,v)和用户操作行为Hash表U_op(k,v)；其中，k为Hash表的键序列，v为Hash表的值序列；确定并计算数据属性标记的生成时间t_l、标记长度l_l及内容检查c_l，构建数据属性标记格式L_D为L_D＝＜t_l,l_l,A_D(k,v),U_op(k,v),c_l＞；所述内容检查c_l采用Hash函数进行构建；

2、构建私有协议

（1）将涉密文档分为5块，即Split(D)→d₁,d₂,...,d₅；数据分块标记f_B=1；

（2）对5块数据块中的1，3，4数据块进行加密，得到随机加密标记后的非结构化数据f_E(D)，即f_E(D):Random(d₁,d₂,...,d₅)→(f_E(d₁),d₂,f_E(d₃),f_E(d₄),d₅)

（3）获取对所述数据属性标记格式L_D加密后的数据属性标记E(L_D)，即f_E(L_D)→E(L_D)；其中，f_E为数据分块加密标记；

（4）确定并计算所述私有的生成时间t_p、内容检查c和内容长度l_p，构建所述私有协议的协议格式P为P＝＜t_p,l_p,E(L_D),f_E(D),f_B,f_E,c＞；所述内容检查c采用Hash函数进行构建；

3、对涉密文档进行过滤

所述数据属性标记格式L_D通过所述私有协议传输到交换服务器；所述交换服务器通过解复用器解析所述数据属性标记格式L_D和所述私有协议；依据提取的所述数据属性标记格式的信息对涉密文档进行过滤；具体步骤为：

（1）对所述协议格式进行解析，获取所述私有协议的t_p,l_p,E(L_D),f_E(D),f_B,f_E,c；

（2）利用Hash函数对所述私有协议的内容检查c、内容长度l_p和生成时间t_p进行检查；

（3）还原所述涉密文档和所述数据属性标记格式L_D，即

$f_E^{-1}(f_E\left(d_1\right),d_2,f_E\left(d_3\right),f_E\left(d_4\right),d_5)\&RightArrow;D;$

$f_E^{-1}\left(E\left(L_D\right)\right)\&RightArrow;L_D;$

（4）将所述数据属性标记格式信息提取到数据属性Hash表A_D(k,v)和用户操作行为Hash表U_op(k,v)中；

（5）通过策略规则“用户=A&&文档密级≥商秘二级&&(上传目录=技术报告||上传目录=预算报告)”构建一个树型结构策略表达式；将所述策略表达式中的用户变量、文档密级变量和上传目录变量通过所述数据属性Hash表A_D(k,v)中的相应键序列的值替换，即策略规则为：“A=A&&商秘一级≥商秘二级&&(预算报告=技术报告||预算报告=预算报告)”；本实施例中所述策略表达式的逻辑计算结果为1，表示允许通过；

策略规则表达式e是带变量的可扩展逻辑表达式，所述变量与所述数据属性Hash表A_D(k,v)中的键序列相对应；提取相应的键序列的值替换所述变量，完成所述策略规则表达式的逻辑计算。

4、用户行为可信检查

用户行为可信检查通过查询用户可信行为集合中的用户信息判定用户行为是否可信，若可信，允许通过；若不可信，中止数据交换操作并记录日志告警通知用户；具体步骤如下：

（1）定义主体集合为S＝{s₁,s₂,...,s_M}；其中s_i为一个用户主体，i∈{1,2,...M}；定义客体集合为O＝{o₁,o₂,...,o_N}；其中o_i为一个操作对象客体，i∈{1,2,...N}；定义行为集合为B＝{b₁,b₂,...,b_l}；其中b_i为用户对操作对象的一次可信操作，即用户可信行为，i∈{1,2,...l}；

通过主体集合S、客体集合O和行为集合B定义用户可信行为集合为T_B＝{t₁,t₂,...,t_k}；

其中， $t_i=\left\{\begin{array}{cc}{s}_1{b}_1{o}_1& l=1\\ s_1{b}_1{o}_1,s_2{b}_2{o}_2,...,s_l{b}_l{o}_l& l>1\end{array},i\&Element;\{\mathrm{1,2},...,k\};\right.$

（2）查询所述主体集合S中用户A的信任值为6，且信任值大于零，则信任值检查通过；

（3）提取用户可信行为集合T_B中的用户可信行为“上传文件到预算报告目录”为用户A构建用户可信行为的操作缓冲区U_t；

（4）遍历所述缓冲区U_t，缓冲区为空，继续下一步操作；将用户A的操作行为“（A上传文件技术报告）；（A上传文件预算报告）”加载到所述缓冲区U_t；用户A的操作行为“（A上传文件技术报告）；（A上传文件预算报告）”满足用户A“上传文件到预算报告目录”的条件，记录日志允许用户进行所述下一步操作并结束用户行为可信检查；

5、用户行为关联分析

（1）定义异常行为规则库B_r；所述异常行为规则库B_r由树型结构的规则r_t组成；所述规则r_t由记录用户异常操作行为的规则r组成；所述规则r为“（用户=A，源IP≠IP1）；（用户=A，目的端口≠Port2，操作=上传文件）”；

（2）加载异常行为规则库B_r，提取用户操作行为“用户A从IP1，端口Port1上传文件”；

（3）用户A的操作行为与异常行为规则库B_r中的异常操作行为无关，则用户A的操作行为正常。

最后应当说明的是：所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

Claims (3)

1.一种非结构化数据安全交换方法，其特征在于，所述方法包括下述步骤：

步骤1：封装数据属性；

所述步骤1中，所述封装为客户端通过标记驱动对非结构化数据D的数据属性A_D进行标记封装，其包括如下步骤：

步骤1-1：构建数据属性Hash表A_D(k,v)和用户操作行为Hash表U_op(k,v)；其中，k为Hash表的键序列，v为Hash表的值序列，U_op为用户操作行为；

步骤1-2：确定并计算数据属性标记的生成时间t_l、内容检查c_l和内容长度l_l；通过所述t_l、c_l、l_l、A_D(k,v)和U_op(k,v)构建数据属性标记格式L_D，L_D＝＜t_l,l_l,A_D(k,v),U_op(k,v),c_l＞；所述内容检查c_l采用Hash函数进行构建；

步骤2：构建私有协议；

所述步骤2中，客户端通过协议驱动构建非结构化数据D传输的私有协议，其包括如下步骤：

步骤2-1：将非结构化数据D分成N块数据块；若N＝1，则数据分块标记f_B＝0；若N>1，则f_B＝1；

步骤2-2：获取对所述N块数据块随机加密后的非结构化数据f_E(D)；获取对所述数据属性标记格式L_D加密后的数据属性标记E(L_D)；其中，f_E为数据分块加密标记；

步骤2-3：确定并计算所述私有协议的生成时间t_p、内容检查c和内容长度l_p；通过所述t_p、c、l_p、f_E(D)、E(L_D)、f_B和f_E构建所述私有协议的协议格式P为P＝＜t_p,l_p,E(L_D),f_E(D),f_B,f_E,c＞；所述内容检查c采用Hash函数进行构建；

步骤3：过滤非结构化数据；

所述步骤3包括下述步骤：

步骤3-1：验证内容检查c_l；若所述数据属性的内容被篡改则验证失败，记录日志并告警通知用户；

步骤3-2：获取策略规则表达式e并依据所述策略规则表达式e的计算结果对所述非结构化数据进行过滤；若过滤成功，执行步骤4；若过滤失败，结束数据交换操作并记录日志告警通知用户；

步骤4：分析用户行为；

所述步骤4包括用户行为可信检查和用户行为异常操作分析；

所述用户行为可信检查包括如下步骤：

步骤4-1：定义用户可信行为集合T_B，所述用户可信行为集合T_B包括主体集合S、客体集合O和行为集合B；

步骤4-2：查询所述主体集合S中与所述数据属性中的用户信息相匹配的用户主体的信任值；若所述信任值大于零，执行步骤4-3；若所述信任值小于零，结束数据交换操作并记录日志告警通知用户；

步骤4-3：通过所述用户可信行为集合T_B中的用户可信行为构建用户可信行为的操作缓冲区U_t；所述操作缓冲区U_t用于描述用户完成的操作行为，并能够接收所述用户可信行为的下一步操作；将用户操作行为U_op与所述下一步操作进行比较，若二者匹配，则允许用户进行所述下一步操作并结束用户行为可信检查；若二者不匹配，则执行步骤4-4；

步骤4-4：将所述用户操作行为U_op与所述用户可信行为的首步操作进行比较；若二者匹配，则允许用户操作，将所述用户可信行为加入到所述用户操作行为U_op中，并将所述用户可信行为的当前操作移向下一步；若二者不匹配，进行所述用户行为异常操作分析；

所述用户行为异常操作分析包括如下步骤：

步骤4-5：定义异常行为规则库B_r；所述异常行为规则库B_r由树型结构的规则r_t组成；所述规则r_t由记录用户异常操作行为的规则r组成；

步骤4-6：将所述用户操作行为U_op与所述规则r进行比较；若二者匹配，将所述主体集合S中与所述用户操作行为U_op相应的用户主体的信任值降1。

2.如权利要求1所述的一种非结构化数据安全交换方法，其特征在于，所述数据属性通过所述私有协议传输到交换服务器；所述交换服务器通过解复用器解析所述数据属性和所述私有协议；并利用Hash函数检查所述私有协议的内容检查c、内容长度l_p和生成时间t_p。

3.如权利要求1所述的一种非结构化数据安全交换方法，其特征在于，所述策略规则表达式e为可扩展逻辑表达式，通过提取所述Hash表A_D(k,v)的键序列的值计算所述策略规则表达式e。