CN104809405A

CN104809405A - 基于分级分类的结构化数据资产防泄露方法

Info

Publication number: CN104809405A
Application number: CN201510202632.0A
Authority: CN
Inventors: 林泽鑫; 阮文锋; 李皓; 蔡徽; 彭泽武; 冯歆尧; 唐亮亮; 邹洪; 陈锐忠; 赵延帅
Original assignee: Information Center of Guangdong Power Grid Co Ltd
Current assignee: Information Center of Guangdong Power Grid Co Ltd
Priority date: 2015-04-24
Filing date: 2015-04-24
Publication date: 2015-07-29
Anticipated expiration: 2035-04-24
Also published as: CN104809405B

Abstract

本发明公开了一种基于分级分类的结构化数据资产防泄露方法，包括：a.用户客户端通过应用服务器向数据库服务器发送访问结构化数据的请求；b.数据库防护服务器通过镜像的流量分析SQL语句，判断该访问请求中是否含有违规访问；c.若不含违规访问，则返回访问请求数据。本发明通过利用基于明文的结构化数据防泄漏方法，从而可以有效防止企业信息资产中的敏感结构化数据发生泄漏；此外，本发明还采用了基于密文的结构化数据防泄漏方法，即对高敏感数据、敏感数据和内部数据预先进行加密，访问时只有用户的密级和允许其访问的密级值都符合要求才能解密、访问相应的数据列，从而更进一步有效保护了高敏感数据、敏感数据和内部数据的安全性。

Description

基于分级分类的结构化数据资产防泄露方法

技术领域

本发明涉及一种基于分级分类的结构化数据资产防泄露方法，属于数据安全技术领域。

背景技术

企业信息网络中的结构化数据，它的生成、存储和应用都限制在关系型数据库(如Oracle)中，用户可以通过结构化查询语言(SQL)实现对存储在该关系型数据库中的结构化数据进行操作，如创建、查询、添加、删除等。然而这些结构化数据中往往存在着大量的敏感信息，如果不对这些敏感信息的访问加以控制，则很有可能发生密级低的用户访问高敏感级数据的现象，从而导致企业信息资产泄露，对企业造成严重损失。

发明内容

本发明的目的在于，提供一种基于分级分类的结构化数据资产防泄露方法，它可以有效解决现有技术中存在的问题，防止企业信息资产中的敏感结构化数据发生泄漏。

为解决上述技术问题，本发明采用如下的技术方案：基于分级分类的结构化数据资产防泄露方法，包括以下步骤：

a.用户客户端通过应用服务器向数据库服务器发送访问结构化数据的请求；

b.数据库防护服务器通过镜像的流量分析SQL语句，判断该访问请求中是否含有违规访问；

c.若不含违规访问，则返回访问请求数据。

优选的，本发明还包括：

a0.数据库防护服务器生成系统根密钥、列密钥、密级值和各列高敏感数据、敏感数据、内部数据的加密密钥，并利用所述的加密密钥对数据库中的各列高敏感数据、敏感数据、内部数据进行加密；

a1.用户通过客户端请求注册数据库访问服务时，数据库防护服务器根据用户的密级，将用于计算用户密级值的中间值以访问证书的形式分发给用户；

a2.用户客户端根据该中间值的访问证书计算出允许其访问的各个密级值。

本发明中，通过将用于计算用户密级值的中间值以访问证书的形式分发给用户而非直接给用户分发密级值，当用户需要访问高敏感数据、敏感数据、内部数据时，用户客户端才根据该中间值的访问证书计算出允许其访问的各个密级值，并且算完使用后自动删除密级值，客户端本地并不存储密级值，从而有效防止了密级值的泄露，进一步确保了高敏感数据、敏感数据、内部数据存储和访问的安全性。

更优选的，本发明具体包括以下步骤：

a.用户客户端通过应用服务器向数据库服务器发送访问结构化数据中某数据列的请求；

c.若不含违规访问且被访问的数据列是公开数据，则返回访问请求数据；若不含违规访问且被访问的数据列是高敏感数据、敏感数据或内部数据，则用户客户端发送与高敏感数据、敏感数据或内部数据相应的密级值，数据库防护服务器根据该密级值及相应的列密钥，生成该数据列的解密密钥，利用解密密钥解密数据库服务器中的相应数据列，并返回访问请求数据。

前述的基于分级分类的结构化数据资产防泄露方法，步骤c中，所述的数据列的解密密钥通过以下方式生成：

K_x，s＝H_K(K_x||V_B(s))

其中，K_x，s是数据列的解密密钥，H_k(·)是一个带密钥的HMAC，K是系统访问根密钥，K_x是列密钥，V_B(s)是密级值；通过该方式生成数据列的解密密钥，从而可以防止对数据库的直接攻击，有效防护数据的安全，同时，本发明利用相应的密级值才能访问到相应敏感级的数据，从而进一步保证了结构化数据的安全。

本发明中，通过密级树计算得到允许用户访问的各个密级值，由于通过密级树，使用中间值计算允许用户访问的各个密级值时，中间值的个数少于密级值的个数，因而发送给用户的数据量较少，不仅可以有效防止密级值泄露，而且采用密级树还可以大大提高密级值的计算效率。

前述的基于分级分类的结构化数据资产防泄露方法中，步骤b中所述的判断该访问请求中是否含有违规访问具体包括：判断用户密级是否与其访问数据的敏感等级相匹配，同时判断该用户的身份及其对访问数据的操作是否合法，若非，则含有违规访问，从而可以有效防止越级及越权访问造成的数据泄漏现象。

上述方法中，所述的判断用户密级是否与其访问数据的敏感等级相匹配包括以下步骤：

S1.数据库防护服务器通过利用用户的身份信息过滤用户-密级表，或通过利用用户的电子密级证书，来获取用户的密级信息；

S2.数据库防护服务器根据用户请求访问的数据列，获取该数据列的敏感等级信息；并将用户的密级与其访问数据列的敏感等级进行匹配。

所述的用户的密级可以是高级涉密、涉密、普通，数据列的敏感等级可以是高敏感数据、敏感数据、内部数据，用户的密级与其访问数据列的敏感等级匹配是指：若用户的密级为高级涉密，则其访问高敏感数据、敏感数据、内部数据时均是匹配的；若用户的密级为涉密，则其访问敏感数据、内部数据时均是匹配的；若用户的密级为普通，则其访问内部数据时是匹配的。

上述方法中，所述的判断该用户的身份及其对访问数据的操作是否合法具体包括：判断用户是否为数据的创建者，同时判断用户的访问中是否包含修改、增加或删除操作；若该用户不是数据的创建者，且其对访问数据的操作包含修改、增加或删除，则该访问为非法操作。

与现有技术相比，本发明通过利用基于明文的结构化数据防泄漏方法，即根据数据的分类分级制定相应细粒度的防泄漏策略来实现结构化数据防泄漏，从而可以有效防止企业信息资产中的敏感结构化数据发生泄漏；此外，本发明还采用了基于密文的结构化数据防泄漏方法，即对高敏感数据、敏感数据和内部数据预先进行加密，访问时只有用户的密级和允许其访问的密级值都符合要求才能解密、访问相应的数据列，从而更进一步有效保护了高敏感数据、敏感数据和内部数据的安全性。另外，发明人经过大量的试验研究发现：本发明中采用基于密文的结构化数据防泄漏方法，若直接将各个数据列的加密密钥分配给所有能访问它的人员，那么一个高级涉密人员需要保存所有数据列的数据，且一个数据列的数据将会被分发给多个人员，这样很容易造成密钥泄露；因此本发明提出了一种新的密钥管理方法，即使得一个数据列的加密密钥K_x，s由列密钥K_x和密级值V_B(s)构成，所述的数据列的加密密钥通过以下公式生成：K_x，s＝H_K(K_x||V_B(s))，且其中的密级值V_B(s)通过数据库防护服务器根据用户的密级下发的中间值，利用密级树计算得到，从而可以有效保证密钥的安全性和结构化数据的安全性。此外，本发明中的2种防泄露方法中，所有用户都只能访问与自己密级相等或低于自己密级的结构化数据，而不能访问高于自己密级的结构化数据，因而有效保证了敏感数据的安全性。

附图说明

图1是本发明实施例1的工作流程图；

图2是本发明实施例2的工作流程图；

图3是本发明中基于明文的数据库泄露防护系统的整体架构与工作流程示意图；

图4是本发明中基于密文的数据库泄露防护系统的整体架构与工作流程示意图；

图5是密级树的示意图。

下面结合附图和具体实施方式对本发明作进一步的说明。

具体实施方式

本发明的实施例1：基于分级分类的结构化数据资产防泄露方法(基于密文的结构化数据防泄漏方法)，如图1所示，具体包括以下步骤：

a0.数据库防护服务器生成系统根密钥、列密钥、密级值和各列高敏感数据、敏感数据、内部数据的加密密钥，并利用所述的加密密钥对数据库中的各列高敏感数据、敏感数据、内部数据进行加密(可采用对称加密方法)；

a2.用户客户端根据该中间值的访问证书计算出允许其访问的各个密级值；

b.数据库防护服务器通过镜像的流量分析SQL语句，判断该访问请求中是否含有违规访问——判断用户密级是否与其访问数据的敏感等级相匹配，同时判断该用户的身份及其对访问数据的操作是否合法，若非，则含有违规访问；具体的说，所述的判断用户密级是否与其访问数据的敏感等级相匹配包括以下步骤：S1.数据库防护服务器通过利用用户的身份信息过滤用户-密级表，或通过利用用户的电子密级证书，来获取用户的密级信息；S2.数据库防护服务器根据用户请求访问的数据列，获取该数据列的敏感等级信息；并将用户的密级与其访问数据列的敏感等级进行匹配；所述的判断该用户的身份及其对访问数据的操作是否合法具体包括：判断用户是否为数据的创建者，同时判断用户的访问中是否包含修改、增加或删除操作；若该用户不是数据的创建者，且其对访问数据的操作包含修改、增加或删除，则该访问为非法操作；

步骤c中，所述的数据列的解密密钥通过以下方式生成：

K_x，s＝H_K(K_x||V_B(s))

其中，K_x，s是数据列的解密密钥，H_k(·)是一个带密钥的HMAC，K是系统访问根密钥，K_x是列密钥，V_B(s)是密级值。

上述的密级值通过密级树计算得到。

实施例2：基于分级分类的结构化数据资产防泄露方法(基于明文的结构化数据防泄漏方法)，如图2所示，包括以下步骤：

c.若不含违规访问，则返回访问请求数据。

本发明中通过密级树计算出允许其访问的各个密级值的原理：

密级树是一颗二叉树，假设数据的密级依次标记为0，1，2，3，将它们映射到一颗树的叶子节点上。

通过以下示例说明怎样将密级映射到一颗完全二叉树(Complete Binary Tree，CBT)上。如图5所示，密级s0～s3用二进制分别表示为00、01、10、11。为了简便，使用B(s)表示密级s的二进制表达式，用V_B(s)表示密级s的值。图5中小标带*号的值表示的是密级树的中点节点的值。完全二叉树中每个节点的值可以由从根节点出发到该节点的路径计算得到。设根节点的值为H(w)，其中w是一个随机整数。所以有如下算式计算各节点的值，其中||表示串联。

V_0*＝H(H(w)||0)，

V_1*＝H(H(w)||1)，

V_00*＝H(H(H(w)||0)||0)＝H(V_0*||0)，...

V₁₁＝H(H(H(w)||1)||1))＝H(V_1*||1)；

因为满二叉子树的叶子节点的值可以由孩子树根节点的值计算得出，如V₀₀、V₀₁、V₁₀和V₁₁都可以由它们的根节点的值H(w)计算而来；相应地，V₁₀和V₁₁可以从它们的根节点的值V_1*计算而来。因此上面的等式中，只要给定值V_0*和V₁₀就可以计算出密级s0～s3的密级值，当一个用户的密级高于或等于能访问密级s3的数据时，只需要给出V_0*和V₁₀，该用户就可以自行计算出V₀₀，V₀₁和V₁₀。

本发明中的加密密钥的产生与密钥管理原理：

数据库表中每一列数据的属性不同，敏感值也不同，因此，每列数据使用一个唯一的密钥进行加密，将之称为加密密钥。在一个分类分级的数据库中，一个表中的一列数据，假设其敏感值为内部(即该数据列为内部数据)，那么该列数据可以同时被普通、涉密和高级涉密人员访问，也就是说，高级涉密人员可以访问数据库中的所有敏感级的数据。但是，如果直接将各个数据列的加密密钥分配给所有能访问它的人员，那么一个高级涉密人员需要保存所有数据列的加密密钥，而且一个数据列的加密密钥将会被分发给多个人员，这样很容易造成密钥的泄露。

本发明提出一种密钥管理方法，即一个数据列加密密钥K_x，s由列密钥K_x和密级值V_B(s)构成，具体的，数据列的加密密钥由以下公式生成：

K_x，s＝H_K(K_x||V_B(s))

所述的根密钥K由系统在初始化的时候产生，系统根密钥K是唯一且长期不变的；所述的列密钥K_x由数据库防护服务器对各列数据加密之前产生，每个列的列密钥都不相同且唯一，用于和密级值V_B(s)一起生成解密密钥；其中，所述的密级值通过密级树产生。

当用户初次注册数据库系统时，由数据库防护服务器根据用户的密级，将计算允许用户访问的密级值的中间值以证书的形式发送给该用户。用户在客户端自行计算出各个密级值。例如，高级涉密用户可以访问高敏感数据、敏感数据、内部数据和公开数据，因此需要计算出对应高敏感数据、敏感数据和内部数据的3个密级值(公开数据的访问不需要密级值)。当该用户请求访问敏感数据时，由于用户的密级与其访问数据的敏感等级相匹配，同时假设该用户的身份及其对访问数据的操作合法，则用户需要发送与敏感数据对应的密级值到数据库防护服务器，数据库防护服务器根据被访问数据列的列密钥和该密级值生成数据列的解密密钥，发送至数据库服务器，如果该密钥正确，则解密数据列并返回给用户；若该用户想访问敏感数据，但是其发送的是高敏感数据或内部数据相应的密级值，则最终计算得到的密钥是错误的，解码的相应内容为乱码。

假设某个人员密级为“普通”的员工偷取了人员密级为“高级涉密”的敏感数据或高敏感数据对应的密级值，由于该员工本身的密级“普通”低于被访问数据的敏感密级，因而即使其获得了敏感数据或高敏感数据对应的密级值，也无法实现对敏感数据或高敏感数据的访问。

实验例：

一、数据资产分类分级

人力资源管理系统(简称人资系统)数据资产介绍：

广东电网公司的人资系统中存储的主要是公司有关人事管理的信息，具体包括公司员工信息、岗位信息、人力资源工作、员工评价体系、招聘信息、薪酬信息、员工绩效体系、保险与福利信息、劳保信息、培训信息、干部信息等。以上每一类信息中又包含若干子类信息，子类信息又分为若干具体的数据项，如员工信息中分为员工信息、员工岗位变迁信息和员工考勤信息三类，员工信息中包含的具体数据项有员工代码、姓名、年龄、性别、简历信息、工作经历信息、社会关系信息等。

广东电网公司的人资系统所包含的信息复杂且量大，信息种类繁多，每一类信息的敏感度不一，因而需要的安全等级也各异。如员工信息中会包含员工的个人身份信息，涉及员工的个人隐私，因此需要较高级别的保护措施。此类数据应标定为敏感或高敏感数据。而员工的考勤信息只在公司内部流通，不需要对外公开，但安全级别相对较低，可以标定为内部数据。

人资系统数据分级与职工密级对应关系

广东电网公司的人资系统中部分数据分级与职工密级的对应关系如表1所示。人资系统中每一类信息的敏感度差异较大，但各子类信息中所含的数据项之间相关度较高，数据的敏感度也相致，因此可以人资系统中每类信息的子类信息为粒度，按照数据资产分级标准，对人资系统的结构化数据进行分级并确定能够访问人员的密级。

表1 人资系统数据分级列表

二、基于明文的数据库泄露防护系统

基于明文的数据库信息防泄露系统主要包括数据库管理服务器与数据库防护服务器。其中数据库管理服务器作为数据库信息泄漏防护系统的中央管理平台，负责集中管理所有的软件模块，主要提供策略管理、事件管理、日志汇总和报表分析等功能。数据库防护服务器需要以旁路的工作模式部署在应用服务器和数据库服务器之间，负责监听所有通过应用服务器访问数据库服务器的流量。数据库信息泄露防护系统整体架构与工作流程如图3所示，具体包括以下步骤：

b.数据库防护服务器通过镜像的流量分析SQL语句，判断该访问请求中是否含有违规访问，并生成审计日志，上传到数据库管理服务器；具体包括：判断用户密级是否与其访问数据的敏感等级相匹配，同时判断该用户的身份及其对访问数据的操作是否合法；

c.若不含违规访问，则返回访问请求数据。

步骤b中，具体的防泄露策略包括：

根据数据资产分类分级，数据资产安全管控技术平台维护一份数据库的表(或列)与密级的对应关系信息表(如表1所示)。策略通过查询属于某个密级的所有列将策略进行下发。

具体的策略表示如下：

策略＝<客户端IP><数据库用户ID><用户密级><否是数据创建者><数据列敏感级><时间><操作类型><响应动作><严重等级>

<客户端IP>＝{人资部门IP段，被授权的IP列表}

<数据库用户ID>＝{数据库所有用户的ID}

<用户密级>＝{高级涉密，涉密，普通}

<是否数据创建者>＝{是，否}

<数据列敏感级>＝{高敏感，敏感，内部，公开}

<时间>＝{被授权的时间段}

<操作类型>＝{查询，修改，增加，删除}

<响应动作>＝{阻断，记录}

<严重等级>＝{高，中，低，无}

防泄露策略具体包括：

1)对高敏感数据的防泄露策略

策略1＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级＝高级涉密><是否数据创建者＝否><数据列敏感级＝高敏感><时间＝被授权的时间段><操作类型＝修改or增加or删除><响应动作＝阻断><严重等级＝高>

策略1表示当用户密级是高级涉密，列数据对象是高敏感，但用户不是该数据的创建者时，则阻断对列数据的修改、增加、删除操作。事件严重等级为高。

策略2＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级<高级涉密><是否数据创建者＝否><数据列敏感级＝高敏感><时间＝被授权的时间段><操作类型＝any><响应动作＝阻断><严重等级＝高>

策略2表示当用户密级小于高级涉密，列数据对象是高敏感，用户不是该数据的创建者时，则阻断对列数据的任何操作。事件严重等级为高。

2)对敏感数据的防泄露策略

策略3＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级>涉密><是否数据创建者＝否><数据列敏感级＝敏感><时间＝被授权的时间段><操作类型＝修改or增加or删除><响应动作＝阻断><严重等级＝中>

策略3表示当用户密级高于涉密，列数据对象敏感级是敏感，但用户不是该数据的创建者时，则阻断对列数据的修改、增加、删除操作。事件严重等级为中。

策略4＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级<涉密><是否数据创建者＝否><数据列敏感级＝敏感><时间＝被授权的时间段><操作类型＝any><响应动作＝阻断><严重等级＝中>

策略4表示当用户密级小于涉密，列数据对象敏感级是敏感，用户不是该数据的创建者时，则阻断对列数据的任何操作。事件严重等级为中。

3)对内部数据的防泄露策略

策略5＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级＝all><是否数据创建者＝否><数据列敏感级＝内部><时间＝被授权的时间段><操作类型＝修改or增加or删除><响应动作＝阻断><严重等级＝低>

策略5表示当用户对内部数据进行修改、增加、删除操作，但用户不是该数据的创建者时，则阻断对列数据的操作。事件严重等级为低。

4)对公开数据的防泄露策略

策略6＝<客户端IP＝人资部门IP段or被授权的IP列表><数据库用户ID＝any><用户密级＝all><否是数据创建者＝否><数据列敏感级＝公开><时间＝被授权的时间段><操作类型＝修改or增加or删除><响应动作＝阻断><严重等级＝低>

策略6表示当用户对公开数据进行修改、增加、删除操作，但用户不是该数据的创建者时，则阻断对列数据的操作。事件严重等级为低。

三、基于密文的数据库防泄漏系统

本发明中由于数据库中的高敏感数据、敏感数据和内部数据均以密文的形式存储，因此对密文数据的访问主要通过密钥的分发来实现，即拥有密钥的用户才能成功访问相应的数据，以此来进一步有效防止敏感信息的泄漏。

基于密文的数据库信息防泄露系统主要包括数据库管理服务器与数据库防护服务器。其中数据库管理服务器作为数据库信息泄漏防护系统的中央管理平台，负责集中管理所有的软件模块，主要提供策略管理、事件管理、日志汇总和报表分析等功能。数据库防护服务器需要以旁路的工作模式部署在应用服务器和数据库服务器之间，负责监听所有通过应用服务器访问数据库服务器的流量。此外，与基于明文的数据库防泄漏系统不用的是，数据库防护服务器还需要负责生成列密钥、密级值和加密密钥，对数据库中的数据进行加密，当用户注册时将用于计算密级值的中间值以证书的形式分发给用户，当用户请求访问时，根据用户产生的密级值，生成解密密钥，并对数据库中的相应数据列进行解密，发送给用户。基于密文的数据库信息泄露防护系统整体架构与工作流程如图4所示。具体包括以下步骤：

步骤c中，所述的数据列的解密密钥通过以下方式生成：

K_x，s＝H_K(K_x||V_B(s))

上述的密级值通过密级树计算得到。

Claims

1.基于分级分类的结构化数据资产防泄露方法，其特征在于，包括以下步骤：

c.若不含违规访问，则返回访问请求数据。

2.根据权利要求1所述的基于分级分类的结构化数据资产防泄露方法，其特征在于：还包括：

3.根据权利要求2所述的基于分级分类的结构化数据资产防泄露方法，其特征在于：具体包括以下步骤：

4.根据权利要求3所述的基于分级分类的结构化数据资产防泄露方法，其特征在于，步骤c中，所述的数据列的解密密钥通过以下方式生成：

K_x，s＝H_K(K_x||V_B(s))

其中，K_x,s是数据列的解密密钥，H_k(·)是一个带密钥的HMAC，K是系统访问根密钥，K_x是列密钥，V_B(s)是密级值。

5.根据权利要求2所述的基于分级分类的结构化数据资产防泄露方法，其特征在于，通过密级树计算得到允许用户访问的各个密级值。

6.根据权利要求1或3所述的基于分级分类的结构化数据资产防泄露方法，其特征在于，步骤b中所述的判断该访问请求中是否含有违规访问具体包括：判断用户密级是否与其访问数据的敏感等级相匹配，同时判断该用户的身份及其对访问数据的操作是否合法，若非，则含有违规访问。

7.根据权利要求6所述的基于分级分类的结构化数据资产防泄露方法，其特征在于，所述的判断用户密级是否与其访问数据的敏感等级相匹配包括以下步骤：

8.根据权利要求6所述的基于分级分类的结构化数据资产防泄露方法，其特征在于，所述的判断该用户的身份及其对访问数据的操作是否合法具体包括：判断用户是否为数据的创建者，同时判断用户的访问中是否包含修改、增加或删除操作；若该用户不是数据的创建者，且其对访问数据的操作包含修改、增加或删除，则该访问为非法操作。