CN104778420A - 非结构化数据全生命周期的安全管理视图建立方法 - Google Patents

Abstract

本发明公开了一种非结构化数据全生命周期的安全管理视图建立方法，所述方法包括以下步骤：步骤一，记录非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的数据操作行为，并存储为日志审计记录；步骤二，读取非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的日志审计记录，对违反安全策略的数据操作行为进行分析，生成分析报告；步骤三，建立非结构化数据的全生命周期的安全管理视图。本发明能对大数据全生命周期(创建、存储、使用、传输、销毁和恢复)进行跟踪，对违反安全策略的行为进行取证，便于对数据泄漏等安全突发时间追踪溯源的，提高了数据监控的准确性与实时性。

Description

非结构化数据全生命周期的安全管理视图建立方法

技术领域

本发明涉及一种非结构化数据全生命周期的安全管理视图建立方法，属于数据安全技术领域。

背景技术

企业的结构化数据的产生、使用等都在数据库中，因此结构化数据的管理较为集中，一般直接查询数据库就可以获得结构化数据的所有信息。而企业的非结构化数据包括所有未列入主数据的办公文档、文本、图片、XML、HTML、图像和音频/视频信息等。与结构化数据不同，非结构化数据往往分布广，不受数据资源管理平台的集中管理，而由各部门分散管理和存储；并且根据业务需求，在企业网络中频繁流转于各终端和服务器之间，难以掌控数据安全。

目前，对非结构化数据的安全监控只是针对数据创建、传输、销毁等某一部分的安全监控，缺乏具有全生命周期的数据安全管理视图，因此难以对数据泄露等安全突发事件追踪溯源。

发明内容

本发明的目的在于，提供一种非结构化数据全生命周期的安全管理视图建立方法，能够对大数据全生命周期(创建、存储、使用、传输、销毁和恢复)进行安全监控以及维护和管理元数据信息，对数据生命周期过程进行跟踪，对违反安全策略的行为进行取证，便于对数据泄漏等安全突发时间追踪溯源的，提高了数据监控的准确性与实时性。

为解决上述技术问题，本发明采用如下的技术方案：一种非结构化数据全生命周期的安全管理视图建立方法，包括以下步骤：

步骤一，记录非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的数据操作行为，并存储为日志审计记录；

步骤二，读取非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的日志审计记录，对违反安全策略的数据操作行为进行分析，生成分析报告；

步骤三，建立非结构化数据的全生命周期的安全管理视图。

前述的非结构化数据全生命周期的安全管理视图建立方法中，所述步骤一包括：

(1)根据数据安全级别和安全防护策略，安全级别低的明文数据被加密引擎加密处理后成为密文数据，加密引擎在加密处理时对数据进行标记处理，并将加密操作记录保存到日志服务器；

(2)主机审计引擎监控和记录密文数据在受控终端上的使用(包括复制、删除、修改、读取)操作行为，主机审计引擎读取数据标记，并将其监控信息一并作为日志保存到日志服务器；

(3)当密文数据通过网络被传输到其他网络位置时，防泄漏引擎会对传输数据进行过滤和监控，防泄漏引擎读取数据标记，并将其监控和过滤信息一并作为日志保存到日志服务器。

前述的非结构化数据全生命周期的安全管理视图建立方法的步骤一中，所述记录创建阶段的非结构化数据文件包括：

(1)根据终端防泄漏工具或加解密工具产生的审计日志建立文件元数据，生成元数据库；

(2)对文件使用(修改、复制、打印)、文件端点外发(移动存储)、文件网络外发(邮件、即时通讯)、文件销毁与恢复的操作行为分别进行终端DLP审计、移动存储DLP审计、网络DLP审计、销毁与恢复设备日志操作，将日志审计记录集中存储在元数据库中。

前述的非结构化数据全生命周期的安全管理视图建立方法中，所述终端防泄漏工具和加解密工具产生的审计日志包括文件名、文件类型、创建者、创建时间、文件位置、文件大小和文件属性。

前述的非结构化数据全生命周期的安全管理视图建立方法中，当数据文件从创建阶段发生变化时，通过安全管控工具捕捉该变化并产生审计日志，即终端防泄漏工具产生文件使用和移动存储设备使用的审计日志，网络防泄漏工具产生文件传输的审计日志，数据销毁与恢复设备产生数据销毁和恢复的审计日志；将所述审计日志追加存储在元数据库中。

前述的非结构化数据全生命周期的安全管理视图建立方法的步骤一中，所述使用操作包括复制、修改、重命名和移动；其审计内容包括文件名、文件类型、文件唯一标识符、用户名、操作类型、操作时间、源文件位置、目标文件位置、文件属性、文件大小和是否违反安全策略。

前述的非结构化数据全生命周期的安全管理视图建立方法的步骤一中，所述传输操作包括移动介质传输和网络文件传输；移动介质传输的审计内容包括用户名、文件名、文件位置、文件唯一标识符、操作时间和使用的移动设备号；网络文件传输的审计内容包括用户名、传输文件名、文件位置、文件唯一标识符、操作时间、使用的网络协议、源IP地址、目的IP地址和端口。

前述的非结构化数据全生命周期的安全管理视图建立方法的步骤一中，所述销毁与恢复操作包括逻辑上的数据删除与恢复和物理上的存储介质销毁与恢复；逻辑上文件删除与恢复的审计内容包括文件名、文件类型、文件唯一标识符、用户名、操作类型、操作时间、文件位置、文件属性、文件大小和是否违反安全策略；物理上的文件销毁与恢复的审计内容包括介质名、介质类型、操作时间和介质大小。

前述的非结构化数据全生命周期的安全管理视图建立方法中，所述步骤二中对违反安全策略的数据操作行为进行分析，生成分析报告具体包括：

(1)读取并分析日志审计记录中的告警日志；

(2)查询告警日志对应数据文件，获取所述对应数据文件的唯一标识符，根据唯一标识符进入元数据库进行查询；

(3)返回查询的元数据信息，生成分析报告。

与现有技术相比，本发明从跟踪和取证两个方面进行设计，以数据对象为核心，监控和管理数据对象整个生命周期过程(创建、存储、使用、传输、销毁和恢复)，能够提供数据全生命周期的详细记录(例如被谁创建、如何使用、传输给谁、被谁销毁)。当需要取证时，可查询数据对象，得到其完整的生命周期记录，以及具体哪个(或哪些)操作者的何种操作在何时何地违反了安全策略，可形成完整的证据链，用以取证和追责。本发明根据文件唯一标识符对大数据进行全生命周期的跟踪，建立数据资产的创建、传输、访问、销毁全生命周期的证据链，为明确数据资产在每个环节所发生的事件提供分析依据和取证数据支撑，便于对数据泄漏等安全突发时间追踪溯源的，提高了数据监控的准确性与实时性。

附图说明

图1是本发明实施例的方法流程图；

图2是本发明实施例的非结构化数据跟踪与取证系统的结构示意图；

图3是本发明实施例的非结构化数据的证据链的具体结构示意图；

图4是本发明实施例的文件追踪流程图；

图5是本发明实施例的数据取证流程图；

图6是本发明实施例的安全管理视图。

下面结合附图和具体实施方式对本发明作进一步的说明。

具体实施方式

本发明的实施例：一种非结构化数据全生命周期的安全管理视图建立方法，如图1所示，主要从数据跟踪和取证两个方面进行设计：首先，记录非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的数据操作行为，并存储为日志审计记录，完成对数据的跟踪；然后，读取非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的日志审计记录，对违反安全策略的数据操作行为进行分析，生成分析报告，完成对数据的取证；最后，建立非结构化数据的全生命周期的安全管理视图(如图6所示)，其显示了数据的创建、流转、操作、销毁各阶段的信息，为明确数据资产在每个环节所发生的事件提供分析依据和取证数据支撑。

如图2所示，从实体类别分析，最下面一行实体代表非结构化数据资产在生命周期内的不同状态，中间一行实体代表对数据资产进行全方位保护的不同引擎，而最上层实体代表的是不同引擎的日志服务器。而从功能角度分析，不同的防护引擎在数据资产生命周期内的不同位置对数据资产的防护和标记形成了底层的跟踪链，继而通过综合关联性分析不同防护引擎的日志记录形成一条关于数据资产的取证链。

根据数据资产分级分类管理和防护策略制定，特定密级的敏感资产会被纳入到整个防护体系监控的范围，下面对图2所示流程进行详细描述：

(1)根据数据安全级别和安全防护策略，安全级别低(敏感)的明文数据被加密引擎加密处理，成为密文数据，加密引擎在加密处理时对数据进行标记处理，并将加密操作记录保存到日志服务器；

(2)主机审计引擎监控和记录密文数据在受控终端上的使用(包括复制、删除、修改、读取)操作行为，主机审计引擎读取数据标记，并将其监控信息一并作为日志保存到日志服务器；

(3)当密文数据通过网络被传输到其他网络位置时，防泄漏引擎会对传输数据进行过滤和监控，防泄漏引擎读取数据标记，并将其监控和过滤信息一并作为日志保存到日志服务器。

数据跟踪与取证是以数据对象为核心，监控和管理数据对象整个生命周期过程(创建、存储、使用、传输、销毁和恢复)，能够提供数据全生命周期的详细记录(例如被谁创建、如何使用、传输给谁、被谁销毁)。当需要取证时，可查询数据对象，得到其完整的生命周期记录，以及具体哪个(或哪些)操作者的何种操作在何时何地违反了安全策略，可形成完整的证据链，用以取证和追责。

数据对象主要是指办公文档、图片、音频、视频等非结构化数据文件。

如图3所示，非结构化数据的证据链是指非结构化数据生命周期产生的详细记录，可包括创建记录(1个)，使用记录(0-n个)，传输记录(0-m个)，销毁记录(0-2个)，恢复记录(0-1个)。其中，使用是指文件复制、修改、重命名、移动、打印等操作；传输是指优盘拷贝、网络文件传输等方式；销毁包括逻辑上的删除和物理介质上的销毁。

下面对非结构化数据的证据链的具体组成部分进行描述。

(1)创建

当一个新文件创建时，需要建立该文件的元数据信息，即该文件的描述信息。

文件创建操作：在建立文件时，为文档建立唯一标识符(例如可以在文档头部加入一个随机产生的哈希值)，在数据库中记录该文档相应的信息；需要审计的内容有文件名、文件类型、文件唯一标识符、创建者、创建时间、文件位置、文件大小、文件属性等。用以描述是谁在何时何地创建了何种文件。

该元数据信息由终端防泄漏工具生成，通过接口向跟踪与取证模块汇集。

(2)使用

对文件使用过程进行监控。监控的文件操作有复制、修改、重命名、移动、打印等。

复制、修改、重命名、移动操作：需要记录文件名、文件类型、文件唯一标识符、用户名、操作类型、操作时间、源文件位置、目标文件位置、文件属性、文件大小、是否违反安全策略等。

打印操作：审计内容包含打印时间、目标文档路径、打印页数、文档大小、纸张大小、质量、比例、打印机名称、执行打印任务的计算机名及用户等。

上述文件操作信息由终端防泄漏工具生成，通过接口向跟踪与取证模块汇集。

(3)传输

对文件传输过程进行监控。包括通过移动介质传输(优盘、移动硬盘等)以及通过网络传输(电子邮件、web应用协议等)。

移动介质传输：审计内容包括用户名、文件名、文件位置、操作时间、使用的移动设备号等。比如在终端机通过U盘或者移动硬盘拷贝时，会监控拷贝行为，记录唯一标识符、操作时间、源路径、目的路径等信息。

网络文件传输：审计内容包括用户名、传输文件名、文件位置、操作时间、使用的网络协议、源IP地址、目的IP地址、端口。

邮件审计：审计内容包括用户名、邮件发送时间、来源/目的IP地址、发件人、收件人、邮件主题等。

在文件通过网络协议外发时，在网络出口处的设备会通过文件唯一标识来识别文件，记录文件传输的相关信息包括源IP、目的IP、时间、文件唯一标识符等信息。

移动介质传输由终端防泄漏工具采集，网络文件传输和邮件审计由网络防泄漏工具采集，通过接口向跟踪与取证模块汇集。

(4)销毁与恢复

对文件销毁(恢复)过程进行监控。销毁(恢复)过程包括逻辑上的数据删除(恢复)和物理上的存储介质销毁(恢复)。

逻辑上文件删除(恢复)：需要记录文件名、文件类型、用户名、操作类型、操作时间、文件位置、文件属性、文件大小、是否违反安全策略等。

物理上文件销毁(恢复)：需要记录介质名、介质类型、操作时间、介质大小等。

逻辑上文件删除(恢复)由终端防泄漏工具采集，物理上文件销毁(恢复)由数据销毁(恢复)设备采集，通过接口向跟踪与取证模块汇集。

下面分别对跟踪流程和取证流程进行具体描述。

(1)文件追踪流程

(a)创建阶段

如图4所示，根据终端防泄漏工具或加解密工具产生的审计日志建立文件元数据，生成元数据库；对文件使用、文件端点外发、文件网络外发、文件销毁与恢复的操作行为分别进行终端DLP审计、移动存储DLP审计、网络DLP审计、销毁与恢复设备日志操作，将日志审计记录集中存储在元数据库中。

接口说明如下：

文件元数据建立createFileMetadata()

功能：当产生一个新的明(密)文文件时，终端防泄漏软件(加解密软件)会产生相应的审计日志；该接口负责分析审计日志，记录该文件的各种描述信息，包括创建者、创建时间、修改时间、访问时间、文件类型、位置、大小、属性；

输入：终端防泄漏软件的审计日志、文件加解密软件的日志；

输出：文件元数据信息。

(b)其他阶段

当数据文件从创建阶段发生变化时，通过安全管控工具捕捉该变化并产生审计日志，即终端防泄漏工具产生文件使用和移动存储设备使用的审计日志，网络防泄漏工具产生文件传输的审计日志，数据销毁与恢复设备产生数据销毁和恢复的审计日志；将所述审计日志追加存储在元数据库中。

接口说明如下：

文件状态数据追加addFileMessage()

功能：当文件状态发生变化时，通过各种安全管控工具会捕捉该变化并产生审计日志；具体来说，终端防泄漏软件会产生文件使用和移动存储设备使用的审计日志，网络防泄漏软件会产生文件传输的审计日志，数据销毁与恢复设备会产生数据销毁和恢复的审计日志；

该接口主要负责分析相应审计日志，记录该文件的各种变化信息；

输入：防泄漏软件的审计日志，数据销毁与恢复设备的审计日志；

输出：文件元数据变化记录。

(2)文件取证流程

如图5所示，读取并分析日志审计记录中的告警日志(告警日志记录了违反安全策略的数据操作行为)；查询告警日志对应数据，获取所述对应数据的唯一标识符，根据唯一标识符进入元数据库进行查询；返回查询的元数据信息，生成分析报告。

接口说明如下：

查询元数据query()

功能：当出现违反安全策略的事件时，会触发取证流程；而平台上的安全管控工具会检测安全违规事件，产生告警信息；数据防泄漏软件会产生文件使用过程，U盘拷贝和网络传输过程的告警信息以及数据库违规访问的告警信息；当收到告警信息时，该接口会分析抽取查询关键字，对元数据库进行查询，返回与告警信息相关的一系列元数据信息；

输入：防泄漏软件的告警信息；

输出：相关元数据信息。

Claims (9)

1.一种非结构化数据全生命周期的安全管理视图建立方法，其特征在于，包括以下步骤：

步骤一，记录非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的数据操作行为，并存储为日志审计记录；

步骤二，读取非结构化数据文件在创建、存储、使用、传输、销毁与恢复各阶段的日志审计记录，对违反安全策略的数据操作行为进行分析，生成分析报告；

步骤三，建立非结构化数据的全生命周期的安全管理视图。

2.根据权利要求1所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：所述步骤一包括：

(1)根据数据安全级别和安全防护策略，安全级别低的明文数据被加密引擎加密处理后成为密文数据，加密引擎在加密处理时对数据进行标记处理，并将加密操作记录保存到日志服务器；

(2)主机审计引擎监控和记录密文数据在受控终端上的使用操作行为，主机审计引擎读取数据标记，并将其监控信息一并作为日志保存到日志服务器；

(3)当密文数据通过网络被传输到其他网络位置时，防泄漏引擎会对传输数据进行过滤和监控，防泄漏引擎读取数据标记，并将其监控和过滤信息一并作为日志保存到日志服务器。

3.根据权利要求1或2所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：所述步骤一中记录创建阶段的非结构化数据文件包括：

(1)根据终端防泄漏工具或加解密工具产生的审计日志建立文件元数据，生成元数据库；

(2)对文件使用、文件端点外发、文件网络外发、文件销毁与恢复的操作行为分别进行终端DLP审计、移动存储DLP审计、网络DLP审计、销毁与恢复设备日志操作，将日志审计记录集中存储在元数据库中。

4.根据权利要求3所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：所述终端防泄漏工具和加解密工具产生的审计日志包括文件名、文件类型、创建者、创建时间、文件位置、文件大小、文件属性和文件唯一标识符。

5.根据权利要求3所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：当数据文件从创建阶段发生变化时，通过安全管控工具捕捉该变化并产生审计日志，即终端防泄漏工具产生文件使用和移动存储设备使用的审计日志，网络防泄漏工具产生文件传输的审计日志，数据销毁与恢复设备产生数据销毁和恢复的审计日志；将所述审计日志追加存储在元数据库中。

6.根据权利要求5所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：步骤一中，所述使用操作包括复制、修改、重命名和移动；其审计内容包括文件名、文件类型、用户名、文件唯一标识符、操作类型、操作时间、源文件位置、目标文件位置、文件属性、文件大小和是否违反安全策略。

7.根据权利要求5所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：步骤一中，所述传输操作包括移动介质传输和网络文件传输；移动介质传输的审计内容包括用户名、文件名、文件唯一标识符、文件位置、操作时间和使用的移动设备号；网络文件传输的审计内容包括用户名、传输文件名、文件唯一标识符、文件位置、操作时间、使用的网络协议、源IP地址、目的IP地址和端口。

8.根据权利要求5所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：步骤一中，所述销毁与恢复操作包括逻辑上的数据删除与恢复和物理上的存储介质销毁与恢复；逻辑上文件删除与恢复的审计内容包括文件名、文件类型、文件唯一标识符、用户名、操作类型、操作时间、文件位置、文件属性、文件大小和是否违反安全策略；物理上的文件销毁与恢复的审计内容包括介质名、介质类型、操作时间和介质大小。

9.根据权利要求4所述的非结构化数据全生命周期的安全管理视图建立方法，其特征在于：所述步骤二中对违反安全策略的数据操作行为进行分析，生成分析报告具体包括：

(1)读取并分析日志审计记录中的告警日志；

(2)查询告警日志对应数据文件，获取所述对应数据文件的唯一标识符，根据唯一标识符进入元数据库进行查询；

(3)返回查询的元数据信息，生成分析报告。