CN108140095A - 分布式大数据安全体系架构 - Google Patents

Abstract

本公开描述了用于定义安全数据通道的安全措施的技术，该安全数据通道能够使数据馈送从入口点发送到出口点同时维持期望的安全保护。本公开还描述了这样的技术：通过确定并进一步将数据敏感度级别与通过安全数据通道发送的各个数据馈送相关联来量化期望的安全保护。在某些示例中，安全数据通道的数据敏感度级别被锁定在与主体的访问许可相称的默认级别或邻近的安全数据容器的数据敏感度级别。可替换地，数据敏感度级别可基于通过安全数据通道发送的数据馈送来动态设置或基于在安全数据通道的入口点或出口点的数据馈送的数据敏感度级别来设置。

Description

分布式大数据安全体系架构

相关申请

本申请要求于2015年9月25日提交的标题为“分布式大数据安全体系架构(Distributed Big Data Security Architecture)”的共同待决、共同拥有的第62/233,153号美国临时专利申请以及于2016年9月26日提交的标题为“分布式大数据安全体系架构(Distributed Big Data Security Architecture)”的第15/276,567号美国非临时专利申请的优选权，其全部内容通过引用合并于此。

背景技术

传统信息技术(IT)体系架构已依赖于集中式计算结构，由此在中央服务器上执行全部或大部分处理和计算。集中式计算可以使得能够部署、运营和管理中央服务器计算资源。通常，计算处理涉及集中式计算结构对结果数据馈送(data feed)的提取、转换和加载。

然而，集中式计算结构的成本和性能低效已将IT体系架构引向分散式(decentralized)计算结构，由此数据馈送被提取、上传到分散式计算平台并随后被转换。这样做可以提供成本和性能效率，这是由于执行计算处理的基础设施可以外包给专门从事此类工作的实体。

随着分散式计算的发展，数据的速度和多样性可能会导致某些安全措施对延迟、可扩展性和恢复性能产生影响。因此，安全性可被视为服务约束。因此，需要在优化平台的操作需求时平衡安全约束与其他竞争服务约束。

附图说明

参照附图阐述具体实施方式。在附图中，参考标号的最左侧数字标识参考标号首次出现的图。在不同图中使用相同参考标号指示相似或相同的项目或特征。

图1示出辅助主体(subject)经由安全数据通道在主体与安全数据容器之间建立安全会话的计算环境100的示意图。

图2A示出描述在用例和/或安全数据容器内的数据对象、数据元素和数据馈送之间的关系的信息图的框图。图2B示出对特定控制和特定数据馈送的主体许可的示图的框图。

图3A示出与对主体授权访问特权相关联的示例性许可网格(lattice)的框图。图3B示出针对数据馈送的控制级别来对控制进行分类的数据敏感度网格。

图4示出可经由安全数据通道在主体装置与安全数据容器之间建立通信连接的资源管理平台的框图。

图5示出描述使用安全数据通道在主体与安全数据容器之间建立会话的过程的流程图。

图6示出描述至少部分基于数据馈送的数据敏感度来动态设置安全数据通道的数据敏感度级别的过程的流程图。

具体实施方式

本公开描述了用于定义使得能够将数据馈送从入口点发送到出口点同时维持期望的安全保护的“安全数据通道”的安全措施的技术。在本文中使用的术语“安全数据通道”可描述用于将数据馈送从源位置(即，入口点)发送到目的位置(即，出口点)的通信信道。在本文中描述的技术还将安全数据通道与安全措施相关联，该安全措施授权(mandate)与数据馈送的性质相称的保密性保护和数据完整性保护。例如，当相较于与必须制止公众传播的个人消费者信息相关的数据馈送时，与优选地制止公众传播的专属供应商数据相关的数据馈送可与更不敏感的安全措施相关联。在各种示例中，安全措施可通过与数据馈送明显关联的显式读取、写入、导入和导出规定来定义并执行。此外，开发者或管理者可定义的任何其它制度可用于定义安全措施。

在各种示例中，数据项可按照用例(use-case)分类，可基于在每个用例内维持的数据的敏感度来应用风险控制。每个用例可被分类并指派(assign)“数据敏感度级别(datasensitivity rating)”。术语“数据敏感度级别”在本文中用于描述给到数据馈送的级别或分数，所述级别或分数将授权进行保密性保护和数据完整性保护的安全措施量化。使用以上提到的示例，相对于与优选制止公众传播的专属供应商数据相关的数据馈送，与制止公众传播的个人消费者信息相关的数据馈送很可能被指派更敏感，即更高的数据敏感度级别。

每个数据敏感度级别可提示保护数据馈送的保密性和完整性的一个或更多个控制参数。所述一个或更多个控制参数可包括诸如不能向上读取(no read-up)、不能向下写入(no write-down)、静止、显式读入(explicit read-in)和显式写出(explicit write-out)的原理。“不能向上读取”原理是指给定安全级别的主体无法读取高安全级别的数据馈送的情况。“不能向下写入”原理是指给定安全级别的主体无法写入更不敏感的安全级别的数据馈送的情况。在本文中使用的术语“主体”描述用户、无用户实体、安全数据容器或对安全数据容器内的数据馈送请求访问许可并经由安全数据通道的任何其它数据结构。

在各种示例中，“数据敏感度级别”的分类可与数据元素直接相关联并由预定的规则设置。在某些示例中，默认数据敏感度级别可被指派给安全数据通道。在其它示例中，数据敏感度级别可基于与主体相关联的访问特权。此外，安全数据通道的数据敏感度级别可通过询问正经由安全数据通道发送的数据馈送的性质来动态设置。在某些示例中，数据敏感度级别可基本上实时设置。

在本文中使用的术语“数据馈送”描述了数据可从源位置转移的机制。数据馈送可包括与数据对象依次关联的一个或更多个数据元素。数据馈送可被指派应用到馈送中的所有数据元素的默认控制参数。数据馈送可具有默认控制和获取的控制。获取的控制可取代默认控制。在数据馈送上设置默认控制的能力可辅助将数据加载到在加载后需要转换但仍需要保护的集群。

在本文中使用的术语“数据元素”描述相关联的数据类型的物理特性和逻辑特性。此外，数据元素可将数据类型定义为字符串、整型、浮点型或对象。数据元素映射到依次将数据值存储在特定存储位置的数据对象。

在某些示例中，控制参数被指派给数据对象。映射到数据对象的数据元素从数据对象承继控制参数。此外，映射到数据元素的数据馈送从数据元素并最终从数据对象承继控制参数。控制参数的等级取决于用例。因此，可针对不同的用例定制安全模型。换言之，用例可与特定数据敏感度级别相关联，并且与用例相关联的所有数据对象可被指派相同且特定的数据敏感度级别。因此，只要主体保持必备的访问许可，则访问用例的所述主体就可访问被指派给用例的所有数据和服务。

每个用例可具有它本身的命名空间，这可被资源管理平台执行。特权和许可被附加到命名空间。术语“命名空间”在本文中使用以描述可用于组织各种类型的对象的符号的集合，使得这些对象可经由名称指示。在非限制性示例中，命名空间可包括文件系统、编程语言和计算机网络以及分布式系统。此外，命名空间还可包括安全数据容器。

在各种示例中，主体可被添加到认证服务原则上的访问控制列表(ACL)，以便获准访问安全数据通道。通常来说，指派到给定的数据敏感度级别的主体可访问在相同分类内的所有数据。

本公开还描述了示出单独平台级别的多层认证、授权以及审计的技术。由于任何成功的攻击会需要同步的多点性质(multi-point nature)，因此在安全信任链中的单点攻击(SPOA)可被避免。深度防御的元素可包括控制通过认证服务器入口对资源管理平台的访问。可由活动目录(Active Directory)执行授权，由此主体可提供确认它们的身份的凭证的集合。在非限制性示例中，凭证可包括用户名、密码或其它生物特征标识符。此外，对经由安全数据通道访问安全数据容器的授权取决于所指派的访问特权和相关联的用例的数据敏感度级别以及安全数据容器内的数据馈送。

安全数据通道可包括安全数据容器以及信任链顶点。由SDC之间的顶点的定向图来创建信任链。对给定的信任链的遍历不仅验证该链的完整度，还使能审计机制。安全数据容器本质上被嵌入在数据通道内。信任链顶点定义了嵌入式数据容器的逻辑输入路径和逻辑输出路径。换言之，安全数据通道内含传输机制并且在其基础路径中作为物理数据的迁移路径运行。

在各种示例中，安全数据通道可与传输控制协议(TCP)和互联网协议(IP)的链路层、网络层、传输层或应用层对应。在非限制性示例中，安全数据通道可包括一个输入、一个输出和一个容器。在第二非限制性的示例中，安全数据通道可包括具有一个输入且没有输出的一个容器。在此示例中，SDC可用作安全接收器(secure sink)，其中，未知敏感度级别的数据可在分类到其它容器以及其它安全数据通道之前被分级。在第三非限制性示例中，安全数据通道可包括具有多个输出且没有输入的安全数据容器。在此示例中，一旦数据已迁移，则安全数据通道输入可被断开。多个输出(即，顶点)可连接到若干个其它安全数据通道。

在本文中使用的术语“数据容器”描述了包括与特定应用的操作相关联的数据项的数据结构。例如，特定应用的数据容器以及它的依赖关系可包括操作系统、一个或更多个数据项库、配置文件、应用二进制以及用于执行特定应用的技术堆栈的其它部分。不同于传统的虚拟机，数据容器可保存它的应用以及任何依存关系，然而，同一操作系统内核和库可在主机环境中运行的多个容器之间共享。

在本文中描述的原理可应用到任何分布式计算环境。历史保护技术包括网络(IP地址)、防火墙(端口、服务)、平台(文件夹、共享)和数据(模式、表)分段。

在本文中使用的术语“技术”可指示由以上描述的上下文以及贯穿本文档所允许的一个或更多个系统、一个或更多个方法、计算机可读指令、一个或更多个模块、算法、硬件逻辑和/或一个或更多个操作。

图1示出辅助主体经由安全数据通道建立主体与安全数据容器之间的安全会话的计算环境100的示意图。

在示出的示例中，主体102可将访问请求104发送到认证服务器106。在某些示例中，认证服务器106可由活动目录执行认证，由此，主体102可提供确认它们的身份的凭证的集合。在非限制性示例中，凭证可包括用户名、密码或与主体相关联的其它生物特征标识符。

在各种示例中，主体102可对应于用户、非用户实体、安全数据通道或能够请求对安全数据容器内的数据馈送的访问许可的任何其它数据结构。

主体102可经由任何类型的电子装置(诸如，蜂窝电话、智能电话、平板电脑、电子阅读器、媒体播放器、游戏装置、个人计算机(PC)、膝上型计算机等)与认证服务器106进行接口。此外，主体102的电子装置可包括用于识别至电信服务提供商网络(在本文中也被称作“电信网络”)的主体102的电子装置的订户身份模块(SIM，诸如，eSIM)。

在示出的示例中，响应于对主体102认证，会话108经由认证服务器106在主体102之间通过一个或更多个开发用服务器(staging server)110发起。分散式集群安全策略的目标必须用于基于安全分类来平衡提供可扩展性聚集同时仍保持隔离的需求。可基于授权并经由一个或更多个开发用服务器110进行隔离。

此外，一个或更多个开发用服务器110可通信连接到资源管理平台112。资源管理平台112可分别经由安全数据通道116(1)、116(2)和116(N)在主体102与一个或更多个安全数据容器114(1)、114(2)或114(N)之间建立通信连接。在各种示例中，安全数据通道116(1)、116(2)116(N)对应于传输控制协议(TCP)和互联网协议(IP)的链路层、网络层、传输层或应用层。在非限制性的示例中，安全数据通道可包括一个输入、一个输出和一个容器。在第二非限制性的示例中，安全数据通道可包括具有一个输入且没有输出的一个容器。一个或更多个安全数据容器114(1)、114(2)或114(N)可被存储在分散式计算平台118内。一个或更多个安全数据容器116(1)、116(2)或116(N)可包括这样的数据结构：其包括与特定应用的操作相关联的数据项。例如，特定应用的数据容器和它的依存关系可包括操作系统、一个或更多个数据项库、配置文件、应用二进制以及用于执行特定应用的技术堆栈的其它部分。

一个或更多个开发用服务器110和分散式计算平台118可分别运行一个或更多个分布式计算资源。一个或更多个分布式计算资源可分别包括在集群或其它配置中运行以分享资源、均衡负载、提升性能、提供容错支持或冗余或用于其它目的的一个或更多个计算装置120和122。一个或更多个计算装置120和122可包括使得能够经由一个或更多个网络124与一个或更多个电子装置(诸如，与主体102相关联的电子装置)通信的一个或更多个接口。

在示出的示例中，一个或更多个网络142可包括公用网(诸如，因特网)、专用网(诸如，机构和/或个人内联网)或者公用网与专用网的某些组合。一个或更多个网络124还可包括任何类型的有线和/或无线网络，包括但不限于局域网(LAN)、广域网(WAN)、卫星网络、电缆网络、Wi-Fi网络、Wi-Max网络、移动通信网络(例如，3G、4G等等)或它们的任何组合。

图2A示出描述用例和/或安全数据容器内的数据对象、数据元素和数据馈送之间的关系的信息图200的框图。在示出的示例中，控制参数202、204和206可被分别指派给数据对象208、210和212。控制参数可包括诸如不能向上读取、不能向下写入、静止、显式读入和显式写出的原理。“不能向上读取”原理是指给定的安全级别的主体无法读取高安全级别的数据馈送的情况。“不能向下写入”原理是指给定安全级别的主体无法写入更不敏感的安全级别的数据馈送的情况。

在示出的示例中，数据元素214、216和218可映射到数据对象208、210和212并承继数据对象208、210和212的各个控制参数202、204和206。数据元素可定义相关联的数据类型的物理特性和逻辑特性。例如，数据元素可将数据类型定义为字符串、整型、浮点型或对象。此外，数据元素还可定义相关联数据的风险级别或通用敏感度级别。在某些示例中，敏感度可随时间改变。敏感度还可发生改变以反映定向或明确的敏感度策略。此外，数据元素可将数据类型定义为字符串、整型、浮点型或对象。数据元素映射到将数据值依次存储在特定存储位置的数据对象。

在示出的示例中，映射到数据元素的数据馈送220和222从数据元素214、216和218并最终从数据对象208、210和212承继控制参数。

图2B示出表示对特定控制参数224和特定数据馈送226的主体许可的示图的框图。在示出的示例中，与主体228相关联的许可被绑定到特定控制参数224并存储在三元组的列表230(即，主体、控制和数据馈送)中，所述三元组的列表230将主体228绑定到特定控制并对应地将主体绑定到由特定控制标记的数据馈送。在某些示例中，可向主体228授予对数据馈送的访问许可，由此访问的性质由在三元组的列表230中指定的特定控制参数来控制。数据馈送226和特定控制参数224可被明确指派。可选地或附加地，主体228可以被授权访问由特定控制参数量化的所有数据元素。

此外，资源管理平台可询问与主体相关联的三元组的列表230，以确定特许的数据馈送以及确定对这些数据馈送的访问权的控制。控制参数224可以表示为如图3中进一步描述的不同级别的数据敏感度网格。

图3A示出与对主体授权访问许可相关联的示例性数据敏感度网格300的框图。在各种示例中，主体可与用户、非用户实体、安全数据容器或请求访问特权的任何其它数据结构相对应。具体来说，图3A示出数据敏感度网格300的框图。在某些示例中，数据敏感度网格300可包括第一数据敏感度层302和第二数据敏感度层304。在示出的示例中，第一数据敏感度层302可与授权数据保密性和数据完整度保护的最少安全措施的数据项的第一集合相关联。在非限制示例中，数据项的第一集合可与优选制止公众传播的专属供应商数据相对应。相较而言，第二数据敏感度层304可与相较于第一数据敏感度层302对数据保密性和数据完整性保护授权更多数据安全措施的数据项的第二集合相关联。在非限制示例中，数据项的第二集合可与必须制止公众传播的个人消费者信息相对应。仅为了示意的目的，图3A和图3B展示了两层的数据敏感度网格300。值得注意的是，数据敏感度网络300可被定义为包括由开发者或管理者喜欢的任何数量的层。

此外，图3A示出在第一数据敏感度层302与第二数据敏感度层304之间的读取许可和写入许可的相对流程。值得注意的是，虽然图3A描述了读取许可和写入许可，但是许可还可包括导入许可、导出许可以及由开发者或管理者可定义的任何其它许可制度。在示出的示例中，对第一数据敏感度层302具有访问许可的主体可将数据项写入第二数据敏感度层304，然而，主体不可读取第二数据敏感度层304内的数据项。换言之，主体可将数据项添加(即，写入)到更敏感的第二数据敏感度层304，然而，主体不可访问即读取更敏感的第二数据敏感度层304内的数据项。

图3A还示出了对第二数据敏感度层304具有访问许可的主体可读取第一数据敏感度层302内的数据项，然而，主体不可将数据项写入第一数据敏感度层302内。换言之，主体可读取更不敏感的第一数据敏感度层302内的数据项，然而，主体不可将数据项添加(即，写入)到更不敏感的第一数据敏感度层302。

值得注意的是，对第一数据敏感度层302具有访问许可的主体可读取第一数据敏感度层302内的数据项并将数据项写入第一数据敏感度层302。相似地，对第二数据敏感度层304具有访问许可的主体可读取第二数据敏感度层304内的数据项并将数据项写入第二数据敏感度层304。注意到，术语数据敏感度层和数据敏感度级别可互换使用以描述数据项的数据敏感度。此外，术语数据项可互换使用以描述数据馈送。

图3B示出将控制参数与数据馈送相关联的数据敏感度网格306。控制参数被绑定到数据馈送。控制参数可包括读取参数、写入参数、导入参数和导出参数。在非限制示例中，考虑对第二数据敏感度层304具有访问许可的主体。如图3A所示，主体可读取第一数据敏感度层302内的数据项，但是不可将数据项添加(即，写入)到第一数据敏感度层。写入限制确保主体可避免不小心将来自第二数据敏感度层304的更敏感的数据项添加到更不敏感的第一数据敏感度层302。图3B的数据敏感度网格306反映了相同的情况，但是访问许可是从数据馈送而非主体的角度呈现的。

例如，图3A示出第二数据敏感度层304作为最大的数据敏感度层。因此，第二数据敏感度层304仅可向下与第一数据敏感度层302交互。在图3B中，第二数据敏感度层304与第一数据敏感度层302的交互被反映在数据敏感度网格306的“向下”列。“向下”列指示向下读取的能力(即，在向下读取单元中的‘1’)以及向下写入的无能为力(即，在向下写入单元中的‘0’)。

相似地，如图3A所示，对第一数据敏感度层302具有访问许可的主体不可读取包含在第二数据敏感度层304内的数据，这是因为更高敏感度的第二数据敏感度层304表示更敏感地分类的数据。使用专属供应商数据和消费者个人数据的先前示例，对专属供应商数据(即，分类为第一数据敏感度层302)具有许可访问的主体不能读取消费者个人数据(即，分类为第二数据敏感度层304)。

图4示出可经由安全数据通道在主体与安全数据容器之间建立可通信连接的资源管理平台402的框图。安全数据通道可被配置有与邻近的安全数据容器的数据敏感度级别基本上相似的数据敏感度级别。在某些示例中，主体可与用户装置、非用户实体装置或其它邻近的安全数据容器相对应。

在示出的示例中，资源管理平台402可与资源管理平台112相对应。此外，资源管理平台402可包括可操作地连接到存储器406的一个或更多个处理器404。在至少一个示例中，一个或更多个处理器404可以是一个或更多个中央处理单元(CPU)、一个或更多个图形处理单元(GPU)、CPU和GPU两者或任何其它种类的一个或更多个处理单元。一个或更多个处理器404中的每一个可具有执行算术运算和逻辑运算的多个算术逻辑单元(ALU)以及一个或更多个控制单元(CU)，所述控制单元从处理器高速缓存存储器提取指令和所存储的内容，然后在程序运行期间根据需要通过调用ALU来执行这些指令。一个或更多个处理器404还可负责执行存储在存储器中的所有计算机应用，其可与通用类型的易失性(RAM)和/或非易失性(ROM)存储器相关联。

在某些示例中，存储器406可包括系统存储器，其可以是易失性的(诸如，RAM)、非易失性的(诸如，ROM、闪存等)或两种的一些组合。存储器还可包括附加数据存储装置(可移除的和/或不可移除的)，诸如，例如磁盘、光盘或磁带。

存储器406还可包括以用于存储信息(诸如，计算机可读指令、数据结构、程序模块或其它数据)的任何方法或技术实现的非暂时性计算机可读介质(诸如，易失性的和非易失性的)、可移除的和不可移除的介质。系统存储器、可移除贮存器和不可移除贮存器都是非暂时性计算机可读介质的示例。非暂时性计算机可读介质的示例包括但不限于RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字通用光盘(DVD)或其它光学贮存器、磁带盒、磁带、磁盘贮存器或其它磁存储装置或可用于存储期望的信息的任何其它非暂时性介质。

在示出的示例中，存储器406可包括操作系统408、数据敏感度模块410、安全数据通道模块412以及审计模块414。操作系统408可用于实现数据敏感度模块410和安全数据通道模块412。操作系统408可以是能够管理计算机硬件和软件资源的任何操作系统。数据敏感度模块410、安全数据通道模块412以及审计模块414可包括执行特定任务或实现特定抽象数据类型的例程、程序指令、对象和/或数据结构。

在示出的示例中，数据敏感度模块410可确定数据敏感度级别以指派给安全数据通道。在某些示例中，数据敏感度模块410可在安全数据通道的入口点和出口点处检测数据敏感度级别。取决于数据馈送的流动，入口点和出口点可互换地对应于主体和安全数据容器。因此，数据敏感度模块410还可将数据敏感度级别指派给与在入口点和出口点处确定的数据敏感度级别相对应的安全数据通道。

在非限制示例中，数据敏感度模块410可基于与主体相关联的访问许可来量化安全数据通道的数据敏感度级别。例如，数据敏感度模块410可检测到与主体相关联的访问许可可限制主体可访问的数据馈送的数据敏感度级别。例如，如果主体被许可访问具有第一数据敏感度级别的数据馈送，则由此第一数据敏感度级别相较于第二数据敏感度级别更不敏感(即，授权较少的用于数据保密性和数据完整性保护的数据安全性措施)，则数据敏感度模块410可将第一数据敏感度级别关联到在安全数据容器与主体之间建立会话链路的安全数据通道。这么做确保了从安全容器出去到主体的数据馈送遵从主体的访问许可，并且不包括可以比主体访问许可允许的更敏感的数据馈送(即，授权更多的用于数据保密性和数据完整度保护的数据安全措施)。

在另一非限制示例中，数据敏感度模块410可基于传入的从主体进入至安全数据容器的数据馈送的数据敏感度级别来量化安全数据通道的数据敏感度级别。换言之，安全数据通道的数据敏感度级别可基于正在发送到安全数据容器的传入的数据馈送(而非正在被主体访问的来自安全数据容器的数据馈送)的数据敏感度级别。在该示例中，数据敏感度模块410可量化传入的数据馈送的数据敏感度级别，并且将该数据敏感度级别关联至在主体与安全数据容器之间建立会话链路的安全数据通道。这样做确保了从主体发送到安全数据容器的传入的数据馈送被保护并同时通过安全数据通道发送。

此外，在另一非限制性示例中，数据敏感度模块410可基于通过安全数据通道发送的数据馈送的数据敏感度级别来量化安全数据通道的数据敏感度级别。换言之，数据敏感度模块410可检测通过安全数据通道发送的数据馈送的数据敏感度级别，并且动态地设置基本上相似的安全数据通道的数据敏感度级别。这种方法的好处在于，在某些示例中数据馈送可具有未知的数据敏感度级别。作为防范措施，直到被确定，否则这些数据馈送倾向于被指派高数据敏感度级别。这样做避免了给安全数据通道指派任意的且不必要高的数据敏感度级别(该级别基于通过安全数据通道发送的具有未知的数据敏感度级别的数据馈送)，数据敏感度模块410可响应于逐步量化未知的数据敏感度级别的数据馈送来逐步调整安全数据通道的数据敏感度级别。

此外，数据敏感度模块410可至少部分基于邻近的安全数据容器的数据敏感度级别来锁定安全数据通道的数据敏感度级别。例如，安全数据容器可已经至少部分基于相关联的用例指派了特定的数据敏感度级别。因此，通过锁定安全数据通道的数据敏感度级别，数据敏感度模块410可确保通过安全数据通道发送的数据馈送遵从用例的数据敏感度级别。

在示出的示例中，安全数据通道模块412可在主体装置与安全数据容器之间建立安全数据通道。在各种示例中，安全数据通道可对应于传输控制协议(TCP)和互联网协议(IP)的链路层、网络层、传输层或应用层。此外，安全数据通道模块412可给安全数据通道指派由数据敏感度模块410确定的数据敏感度级别。

在示出的示例中，审计模块414辅助开发者或管理者审计资源管理平台的操作。审计模块414可识别与主体相关联的访问许可，并将该访问许可与数据馈送的控制参数进行比较。此外，审计模块414可询问与建立的安全数据通道、安全数据容器以及关联于安全数据容器的用例相关联的数据敏感度级别。此外，审计模块可确保安全数据通道和安全数据容器中的每一个遵循发送的数据馈送的控制参数。

在示出的示例中，资源管理平台402还可包括一个或更多个输入/输出接口416。一个或更多个输入/输出接口416可包括任何类型的本领域已知的输出接口，诸如，显示器(例如，液晶显示器)、扬声器、振动装置或触觉反馈装置。一个或更多个输入/输出接口416还可包括用于一个或更多个外围装置(诸如，耳机、外围扬声器或外围显示器)的端口。此外，一个或更多个输入/输出接口416还可包括相机、麦克风、键盘/键板或触敏显示器。键盘/键板可以是按钮数字拨号板(诸如在典型的电信装置上)、多键键盘(诸如，传统QWERTY键盘)或一种或更多种类型的按键或按钮，并可包括操纵杆状控制器和/或指定的导航按钮等。

在示出的示例中，资源管理平台402还可包括一个或更多个网络接口418。一个或更多个网络接口418可包括本领域已知的各种类型的收发器。例如，一个或更多个网络接口418可包括经由天线执行发送和接收射频通信功能的无线电收发器。此外，一个或更多个网络接口418还可包括用于在未经许可的无线互联网协议(IP)网络(诸如，本地无线数据网络和个人局域网(例如，蓝牙或近场通讯(NFC)网络))上通信的无线通信收发器和近场天线。此外，一个或更多个网络接口418可包括有线通信组件，诸如，以太网端口或通用串行总线(USB)。

图5和图6展示了用于使用安全数据通道在主体与安全数据容器之间建立会话并至少部分基于数据馈送的数据敏感度级别动态设置安全数据通道的数据敏感度级别的示意性过程500和600。过程500和600中的每一个示出了逻辑流程图中的很多块的集合，这表示了可以硬件、软件或两者的组合实现的操作的序列。在软件的情况下，这些块表示计算机可执行指令，其当由一个或更多个处理器执行时执行所述操作。总地来说，计算机可执行指令可包括执行特定功能或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。描述操作的顺序并不意图被解释为限制，并且任意数量的所述块可以以任意顺序和/或并行地组合以实现所述过程。出于讨论目的，过程500和600参照图1的环境被描述。

图5示出了描述使用安全数据通道在主体与特定安全数据容器之间建立会话的过程的流程图。在各种示例中，主体可对应于用户、非用户实体或请求许可以访问特定安全数据通道内的数据馈送的另一安全数据通道。在502，资源管理平台可从主体接收访问安全数据容器内的数据项的请求。在某些示例中，安全数据容器可与用例相关联，由此安全数据容器内的所有数据馈送保持特定数据敏感度级别。

在504，资源管理平台可认证主体的身份并确定是否已授权对安全数据容器的访问许可。在某些示例中，访问许可可与控制参数相关联，其中，控制参数与数据馈送相关联。此外，许可可被绑定到存储在三元组的列表中的特定控制参数，其中，所述三元组的列表将主体绑定到数据馈送的控制参数。在其它示例中，访问许可可被绑定到安全数据容器的用例，从而主体被准许访问与用例和/或安全数据容器相关联的所有数据馈送。

在506，资源管理平台可确定与主体相关联的访问许可足够允许主体访问安全数据容器。确定操作可至少部分基于访问许可和与安全数据容器内的数据馈送相关联的控制参数的比较。

在508，资源管理平台可经由安全数据通道在主体与安全数据容器之间建立会话链路。在各种示例中，安全数据通道可被指派基于安全数据容器内的数据馈送的数据敏感度级别的数据敏感度级别。可替换地，管理者可至少部分基于安全数据容器的用例来锁定数据敏感度级别。

图6示出描述至少部分基于发送的数据馈送的数据敏感度来自动调节安全数据通道的数据敏感度级别的过程的流程图。换言之，资源管理平台可检测通过安全数据通道发送的数据馈送的数据敏感度级别，并且动态设置基本上相似的安全数据通道的数据敏感度级别。

在602，资源管理平台可检测安全数据通道的入口点处的数据馈送。在非限制性示例中，入口点可对应于主体处的终端，由此，传入的数据馈送可意图经由安全数据通道从主体发送并到达邻近的安全数据容器。在另一非限制性示例中，入口点可对应于安全数据容器，由此，传入的数据馈送可意图经由安全数据通道从安全数据容器发送并到达主体。

在604，资源管理平台可确定数据馈送的数据敏感度级别比安全数据通道的数据敏感度级别更敏感。换言之，相较于由安全数据通道的数据敏感度级别所提供的，数据馈送可授权更多的数据安全措施，以维持足够的数据保密性和数据完整性。

在606，资源管理平台可动态设置与数据馈送的数据敏感度级别基本上相似的安全数据通道的数据敏感度级别。这样做时，在通过安全数据通道进行发送时，数据馈送的保密性和完整性可能不会受到影响。

结论

尽管主题已经以特定于特征和方法动作的语言进行了描述，但是应当理解，所附权利要求中限定的主题不一定限于在本文中描述的具体特征或动作。相反，特定特征和动作被公开为实现权利要求的示例性形式。

Claims (15)

1.一种资源管理平台的系统，包括：

一个或更多个处理器；

存储器，耦合到所述一个或更多个处理器，所述存储器包括一个或更多个模块，所述一个或更多个模块由所述一个或更多个处理器执行以：

从主体接收消息，所述消息包括访问与安全数据容器相关联的数据项的集合的请求；

至少部分基于所述消息，识别与所述主体相关联的许可集，所述消息包括授权所述主体访问具有第一数据敏感度级别的所述数据项的集合的访问许可集；

基于所述访问许可集和与所述安全数据容器相关联的第二数据敏感度级别之间的比较，确定所述主体被授权访问所述安全数据容器；

在所述主体与所述安全数据容器之间建立安全数据通道，所述安全数据通道具有至少部分基于所述第一数据敏感度级别和所述第二数据敏感度级别的第三数据敏感度级别。

2.如权利要求1所述的系统，其中所述数据项的集合是数据项的第一集合，并且所述消息是第一消息，其中所述第一消息还包括对数据项的第二集合进入所述安全数据容器的请求，并且其中所述一个或更多个模块还由所述一个或更多个处理器执行以：

确定与所述数据项的第二集合相关联的附加数据敏感度级别；

确定相较于所述安全数据容器的所述第二数据敏感度级别，所述附加数据敏感度级别更敏感，所述第二数据敏感度级别是所述数据项的第二集合进入所述安全数据容器的最大敏感度阈值；以及

动态地将所述安全数据通道的所述第三数据敏感度级别设置为基本上等于所述附加数据敏感度级别。

3.如权利要求1所述的系统，其中所述数据项的集合是数据项的第一集合，并且所述消息是第一消息，其中所述第一消息还包括对数据项的第二集合进入所述安全数据容器的请求，并且其中所述一个或更多个模块还由所述一个或更多个处理器执行以：

确定与所述数据项的第二集合相关联的附加数据敏感度级别；

确定相较于所述安全数据容器的所述第二数据敏感度级别，所述附加数据敏感度级别更敏感，所述第二数据敏感度级别是所述数据项的第二集合进入所述安全数据容器的最大敏感度阈值；

确定所述安全数据通道的所述第三数据敏感度级别被锁定；以及

向所述主体发送第二消息，所述第二消息指示所述数据项的第二集合无法通过所述安全数据通道安全地发送。

4.如权利要求1所述的系统，其中与所述安全数据通道相关联的所述第二数据敏感度级别被动态地设置为和与所述安全数据容器相关联的所述第一数据敏感度级别至少基本上相似。

5.如权利要求1所述的系统，其中与所述安全数据通道相关联的所述第二数据敏感度级别至少部分基于与在所述安全数据通道的入口点或出口点处的各个数据馈送相关联的各个控制参数，所述各个控制参数包括以下中的至少一个：显式读取规定、显式写入规定、显式导入规定或显式导出规定。

6.如权利要求5所述的系统，其中所述各个控制参数最初被指派给一个或更多个数据对象，其中所述一个或更多个数据对象的各个数据对象被链接到一个或更多个数据元素，并且所述一个或更多个数据元素经由连通图进一步被链接到所述各个数据馈送。

7.如权利要求1所述的系统，其中所述数据项的集合是数据项的第一集合，并且其中所述一个或更多个模块还由所述一个或更多个处理器执行以：

确定相较于与所述安全数据容器相关联的所述第二数据敏感度级别，与所述主体相关联的所述第一数据敏感度级别更不敏感；

至少部分基于所述第一数据敏感度级别和所述第二数据敏感度级别，确定所述主体未被授权读取所述安全数据容器内的数据项；以及

配置所述安全数据通道以防止所述安全数据通道将所述数据项的第一集合从所述安全数据容器发送到所述主体。

8.如权利要求1所述的系统，其中所述数据项的集合是数据项的第一集合，并且所述消息是第一消息，其中所述第一消息还包括对数据项的第二集合进入所述安全数据容器的请求，并且其中所述一个或更多个模块还由所述一个或更多个处理器执行以：

确定相较于与所述安全数据容器相关联的所述第二数据敏感度级别，与所述主体相关联的所述第一数据敏感度级别更不敏感；

至少部分基于将所述第一数据敏感度级别与所述第二数据敏感度级别相比较，确定所述主体被授权将数据项写入所述安全数据容器；以及

配置所述安全数据通道以将所述数据项的第二集合从所述主体发送到所述安全数据通道。

9.一种计算机实现的方法，包括：

在一个或更多个处理器的控制下：

从主体接收访问与用例相关联的数据项的集合的请求，所述用例与安全数据容器相关联；

至少部分基于主体的访问特权和与所述用例相关联的第一数据敏感度级别，确定所述主体被授权访问所述数据项的集合；以及

在所述主体与所述安全数据容器之间建立安全数据通道，所述安全数据通道具有与所述第一数据敏感度级别至少基本上相似的第二数据敏感度级别。

10.如权利要求9所述的计算机实现的方法，还包括：

至少部分基于与所述用例相关联的所述第一数据敏感度级别，经由调度算法确定所述第二数据敏感度级别；

识别与所述数据项的集合的各个数据项相关联的控制参数；

至少部分基于所述控制参数，确定所述各个数据项的各个数据敏感度级别；

至少部分基于与所述各个数据项中的一部分相关联的所述控制参数，确定所述各个数据项中的所述部分的所述各个数据敏感度级别与所述安全数据通道的所述第二数据敏感度级别至少基本上相似；以及

至少部分基于所述各个数据敏感度级别，使所述各个数据项的所述部分通过所述安全数据通道发送。

11.如权利要求10所述的计算机实现的方法，其中所述各个数据项的所述部分是所述各个数据项的第一部分，并且还包括：

确定所述各个数据项的第二部分的所述各个数据敏感度级别大于所述安全数据通道的所述第二数据敏感度级别；以及

将所述安全数据通道的所述第二数据敏感度级别动态地设置为与所述各个数据项的第二部分的所述各个数据敏感度级别至少基本上相似。

12.如权利要求10所述的计算机实现的方法，其中所述各个数据项的所述部分是所述各个数据项的第一部分，并且还包括：

确定所述各个数据项的第二部分的所述各个数据敏感度级别比所述安全数据通道的所述第二数据敏感度级别更敏感，所述第二数据敏感度级别是数据项通过所述安全数据通道发送的最大敏感度阈值；以及

将指示所述各个数据项的第二部分的内容无法通过所述安全数据通道安全发送的指示发送到所述主体。

13.一种或更多种非暂时性计算机可读介质，存储有计算机可执行指令，其当在一个或更多个处理器上执行时，使得所述一个或更多个处理器执行动作，所述动作包括：

从主体接收访问与用例相关联的数据馈送的请求，所述用例具有第一数据敏感度级别；

确定所述主体被授权访问与所述用例相关联的数据项；以及

经由调度算法，在所述主体和与所述用例相关联的安全数据容器之间建立安全数据通道，所述安全数据通道具有大于或等于所述第一数据敏感度级别的第二数据敏感度级别。

14.如权利要求14所述的一种或更多种非暂时性计算机可读介质，还包括：

产生用于各个数据馈送的安全标签，所述安全标签将所述各个数据馈送与对应数据元素、对应数据对象和指派的控制参数相关联；

产生所述各个数据馈送的链接图集，包括多个条目，其中所述多个条目中的各个条目与所述各个数据馈送的所述安全标签相对应；以及

审计正通过所述安全数据通道被发送的所述各个数据馈送的数据敏感度，所述数据敏感度至少部分基于所述链接图集内的安全标签；

15.如权利要求14所述的一种或更多种非暂时性计算机可读介质，其中所述指派的控制参数的指派的控制参数与特定数据敏感度级别相对应，所述指派的控制参数还包括相较于其它数据敏感度级别与所述特定数据敏感度级别相对应的显式读取规定、显式写入规定、显式导入规定和显式导出规定的许可网格。