CN108183915B - 一种面向高安全等级业务与应用需求的安全标签实现系统 - Google Patents

Abstract

本发明涉及一种面向高安全等级业务与应用需求的安全标签实现系统，包括：标准化层、处理接口层和业务处理层；所述标准化层包括：安全标签单元和安全标签协议单元：所述处理接口层包括安全标签处理模块和安全标签管理模块两部分；所述业务处理层包括客户端应用处理单元、业务服务处理单元和管理单元；本发明通过安全标签实施框架的建设，能够面向高安全等级业务与应用需求，实现业务系统的安全增强，对于业务与应用具有较好的适应性。

Description

一种面向高安全等级业务与应用需求的安全标签实现系统

技术领域

本发明涉及信息安全技术领域，具体涉及一种面向高安全等级业务与应用需求的安全标签实现框架，即面向高安全等级业务与应用需求的安全标签实现系统。

背景技术

互联网技术的飞速发展极大的提高了办公效率，但是在一些敏感领域，受限于技术、政策的限制，仍然无法享受互联网技术发展所带来的便利，这些领域应用互联网技术的障碍在于如何保障业务与应用数据安全地被使用。目前，敏感领域的业务与应用类型众多，现有技术手段仅着眼网络层面，即利用防火墙、入侵检测等设备进行传统安全防护，这些防护方法由于不能理解业务逻辑，因此无法对数据的使用进行控制。

针对该问题，CN201410821099.1提出了一种基于电力系统安全标签的强制访问控制方法，该方法中所述的安全标签仅包含了主客体的身份信息，且该专利所述方法仅对远端浏览服务中的第一个网络数据包进行截获和判断，并仅控制到服务器端口中所启动的服务；CN201210581789.5提出了一种基于安全标签的安全管理方法，该方法中所述安全标签仅限于级别信息，对于该级别数据均以一种方式进行控制，同时该方法中所涉及的操作控制仅适用于电子文档，应用范围受限；CN201410070296.4及CN201710351467.4分别提出了一种使用电子文件安全标签保证电子文件安全的方法及系统和一种基于安全标签的电子文档全生命周期安全防护方法，这两种方法仅适用于电子文档流转和存储控制，应用范围受限。

总结以上方法有如下问题：(1)未对安全标签以及如何在数据处理过程中使用安全标签进行描述；(2)对于业务与应用协议的适应性不足，即，仅实现服务层面控制或者仅适用于电子文档的流转控制，而大多数业务与应用其内容多在数据负载中，该数据负载的处理是关键。

发明内容

本发明技术解决问题：克服现有技术的不足，提供一种面向高安全等级业务与应用需求的安全标签实现框架，通过安全标签基础设施的建设，能够面向高安全等级业务与应用需求，实现业务系统的安全增强，对于业务与应用具有较好的适应性。

本发明技术解决方案：一种面向高安全等级业务与应用需求的安全标签实现框架，包括：标准化层、处理接口层和业务处理层；所述标准化层包括：安全标签单元和安全标签协议单元；所述处理接口层包括安全标签处理模块和安全标签管理模块两部分；所述业务处理层包括客户端应用处理单元、业务服务处理单元和管理单元；

安全标签单元对安全标签进行定义，用于统一业务数据中所嵌入的安全标签的格式和内容；所述安全标签，遵循安全标签单元中的定义，安全标签将嵌入业务数据中，并随数据一起传输，客户端应用处理单元、业务服务处理单元和管理单元根据安全标签对业务数据执行安全策略，包含安全级别、安全类别和安全策略三部分，具体描述如下：

所述安全标签是和信息绑定的一段数字实体，记录了信息的安全策略、安全级别、安全类别、显示属性、自定义扩展信息；

所述安全策略，具有唯一编号，包括安全标签的合法值定义及显示方式，并为客户端应用处理单元、业务服务处理单元和管理单元提供安全标签的处理方法；

所述安全级别，与使用安全标签的高安全等级业务与应用系统相关，与系统已有的级别定义保持一致；

所述安全类别，用于判断当访问用户的安全级别不低于数据的安全级别时，用户是否能够对数据进行访问；

所述显示属性，用于定义安全标签显示时的名称、字体、大小、颜色信息；

所述自定义扩展信息是指预留出的一段数字实体，可根据使用安全标签的业务与应用系统的安全需求进行填充；

安全标签协议单元对客户端应用处理单元、业务服务处理单元和管理单元之间交互的协议进行定义，用于统一安全标签协议数据包的格式和内容、协议数据包的生成与解析方法；

所述安全标签协议，作为应用层负载的一部分存在，包含协议头和协议体，协议头包括类型、安全选项，协议体包括请求/响应数据；

所述处理接口层，遵循统一标准的接口规范向业务处理层中的处理单元提供接口，在接口不变化的情况下，支持功能的扩展，实现对业务处理层的适配，其处理过程由业务与应用对应的处理流程触发，包括安全标签处理模块和安全标签管理模块两部分；

所述安全标签处理模块，为带有安全标签数据在业务与应用系统中的流转处理过程提供所需要的功能，嵌入、解析、验证、请求、判定、存储和显示；

所述安全标签管理模块，为安全标签自身的控制提供所需要的功能，包括创建、编辑、生成、过滤、转换、资源判定；

所述业务处理层，将处理接口层中的处理模块与业务流程结合，以配置项形式运行在不同类型的业务与应用处理单元中，包括客户端应用处理单元、业务服务处理单元和管理单元；

所述业务处理层，以统一的实现框架与业务流程进行结合，业务处理层的各个处理单元分别由客户端应用、业务服务、管理服务在启动时进行加载，加载后业务处理层的各个处理单元将所需要的处理接口层中的处理模块在客户端应用、业务服务、管理服务中进行注册和初始化，等待业务处理过程中的调用；当客户端应用、业务服务、管理服务结束其功能时，应同时释放业务处理层中各个处理单元所占用的系统资源，并注销对应的处理模块；

所述业务处理过程中的调用，需要修改客户端应用、业务服务、管理服务中涉及安全标签处理的部分，将客户端应用处理单元、业务服务处理单元和管理单元以配置项的方式运行在对应的系统组件中。

所述客户端应用处理单元，运行在客户端应用中，由客户端业务流程触发，根据不同的业务调用安全标签处理模块中的接口，并以配置项形式工作在客户端应用中，与客户端应用通过调用方式进行交互，用于对客户端应用中待发送、已收到业务数据中的安全标签进行显示、判定处理；

所述业务服务处理单元，运行在业务服务器中，由业务服务流程触发，根据不同的业务调用安全标签处理模块中的接口，并以配置项形式工作在业务服务器中，与业务服务通过调用方式进行交互，并对业务服务收到的业务数据中的安全标签执行判定处理，并能够根据业务类型与管理单元交互，发起安全标签获取请求及资源访问权限判定请求；

所述管理单元，运行在管理服务器中，由管理操作触发，根据不同的管理操作调用安全标签管理模块中的接口形成管理单元，该管理单元以配置项形式工作在管理服务器中，与管理服务器通过调用方式进行交互，用于对安全标签执行创建、编辑、生成、过滤、转换、资源判定的操作。

所述安全标签处理模块具体实现如下：

所述安全标签嵌入，安全标签处理模块依据安全标签单元中的定义形成安全标签，并将安全标签按照安全标签协议单元中定义的安全标签协议格式嵌入发送的数据中；

所述安全标签解析验证，安全标签处理模块能够从客户端收到的业务数据中按照安全标签协议单元中定义的安全标签协议格式提取安全标签，并对安全标签的真实性和完整性进行校验；

所述安全标签显示，安全标签处理模块能够从客户端收到的业务数据中解析验证安全标签，并根据保存的安全策略对安全标签的显示进行控制；

所述安全标签判定，安全标签处理模块能够从业务服务收到的业务数据中解析并验证安全标签，并根据安全标签判断业务服务及业务数据获取方是否有权限处理当前业务数据；

所述安全标签请求，安全标签处理模块能够根据客户端应用发起的业务类型向业务服务器发送安全标签获取请求，业务服务能够自动判断请求类型并自动生成安全标签获取请求，业务服务接收到响应后将业务数据对应的安全标签反馈给客户端应用，客户端应用根据安全标签列表结构中的安全标签显示属性以可视化的方式呈现给客户端应用进行选择。

所述安全标签存储，安全标签处理模块将安全标签与数据一并存储。

所述安全标签管理模块具体实现如下：

所述安全标签创建与编辑，为安全标签分配全局唯一的编号、定义安全标签中安全级别的值，并对安全级别和安全类别的信息进行编辑；

所述安全标签生成、资源判定与过滤，能够处理由业务服务发起的安全标签生成请求，过滤不需要的数据，返回符合要求的安全标签列表；能够接收由业务服务发起的安全标签判定请求，最终向业务服务返回判定结果；

所述安全标签转换，能够在安全域边界上根据转换规则，将其中一个域的安全标签转换成符合另外一个域要求的安全标签的格式。

本发明与现有技术相比的优点在于：

(1)本发明提出的一种面向高安全等级业务与应用需求的安全标签实施框架，对业务提供统一调用接口，并支持横向扩展，同时设计了安全标签的结构和内容、安全标签交互协议，为高安全等级业务与应用系统的建设提供了统一标准；

(2)将安全标签融入业务与应用的处理流程中，能够实现业务与应用资源的细粒度控制，解决了已有方法只能进行服务级别控制而不能进行资源级别控制的问题；

(3)本发明能够通过配置加载的方法与已有系统进行配合，实现机制简单。

附图说明

图1是本发明一种面向高安全等级业务与应用需求的安全标签实现框架架构图；

图2是本发明一种面向高安全等级业务与应用需求的安全标签定义单元结构图；

图3是本发明一种面向高安全等级业务与应用需求的的安全标签协议定义单元结构图；

图4是本发明面向高安全等级业务与应用需求的安全标签判定流程图。

具体实施方式

本发明面向高安全等级业务与应用需求设计了一套安全标签基础设施，该基础设施能够将安全标签的处理过程与业务流程相结合，对业务数据的流转过程进行细粒度的控制，实现业务系统的安全增强。

为使本发明的实施例的目的、技术方案和优点更加清楚，下面以安全标签判定场景为例，结合附图对本发明作详细描述。

如图1所示，本发明一种面向高安全等级业务与应用需求的安全标签实现框架，具体描述为：

(1)标准化层中的安全标签单元和安全标签协议单元分别定义了安全标签及安全协议的格式和内容；

(2)处理接口层包括安全标签处理模块和安全标签管理模块，其对安全标签和安全标签协议的处理遵循标准化层中所定义的格式和内容，并对业务处理层提供统一的接口；

(3)业务处理层将以客户端应用处理单元、业务服务处理单元、管理单元的形式进行安全标签的处理，以客户端应用处理单元在客户端应用中调用为例描述调用流程：

(a)客户端应用启动时加载客户端应用处理单元，该处理单元自动对需要使用的处理接口层中的处理模块进行初始化，并为模块分配系统资源，同时注册该客户端应用所需要的处理接口；

(b)客户端应用需要调用客户端应用处理单元时，客户端应用处理单元将回调的方式执行对应的安全标签处理模块中的接口，并将结果返回给客户端应用，用于客户端应用继续进行业务流程的处理；

(c)客户端应用关闭时客户端应用处理单元将释放系统资源，并注销处理接口。

如图2所示，安全标签是和信息绑定的一段数字实体，记录了信息的安全策略、安全级别、安全类别、显示属性、自定义扩展信息。

如图3所示，安全标签协议，作为应用层负载的一部分存在，包含协议头和协议体，协议头包括类型、安全选项，如：算法、安全数据，协议体包括请求/响应数据；

为了更好地描述业务处理层的流程，以一种面向高安全等级业务与应用需求的安全标签判定为例，该过程的流程如图4所示，具体为：

(1)客户端应用向业务服务发起业务数据请求并等待响应数据；

(2)业务服务接收并解析业务数据请求，根据业务类型判断是否需要连接管理单元进行权限判断，如果需要进入如下流程，如果不需要则进入其他业务处理流程；

(3)业务服务单元组装安全标签协议并向管理单元发起权限判定请求并等待响应数据；

(4)管理单元接收并解析验证安全标签协议，根据协议类型选择所需要进行的操作，本发明实施例中将进行安全标签生成、判定与过滤处理流程；

(5)安全标签生成、判定与过滤处理模块从安全标签协议头中获取业务发送者信息，从安全标协议体数据中获取业务数据安全标签信息；

(6)安全标签生成、判定与过滤处理模块判断业务发送者是否能够访问业务数据，如果是则生成通过验证的响应，如果不是则生成未通过验证的响应；

(7)安全标签生成、判定与过滤处理模块生成安全标签协议响应数据并发送给业务服务端；

(8)业务服务端根据响应数据类型调用业务服务单元进行安全标签协议的解析，并判断业务发送者是否有权限，如果是则生成附加安全标签的业务响应数据，如果否则生成拒绝访问的响应，发送给客户端应用；

(9)客户端应用对响应数据进行解析，如果业务数据请求通过判断，则调用客户端应用单元验证安全标签协议中的安全标签，并获取业务数据和安全标签进行显示，如果业务数据请求被拒绝，则结束流程。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (2)

1.一种面向高安全等级业务与应用需求的安全标签实现系统，其特征在于：包括标准化层、处理接口层和业务处理层；所述标准化层包括：安全标签单元和安全标签协议单元；所述处理接口层包括安全标签处理模块和安全标签管理模块两部分；所述业务处理层包括客户端应用处理单元、业务服务处理单元和管理单元；

安全标签单元对安全标签进行定义，用于统一业务数据中所嵌入的安全标签的格式和内容；所述安全标签，遵循安全标签单元中的定义，安全标签将嵌入业务数据中，并随数据一起传输，客户端应用处理单元、业务服务处理单元和管理单元根据安全标签对业务数据执行安全策略，包含安全级别、安全类别和安全策略三部分，具体描述如下：

所述安全标签是和信息绑定的一段数字实体，记录了信息的安全策略、安全级别、安全类别、显示属性、自定义扩展信息；

所述安全策略，具有唯一编号，包括安全标签的合法值定义及显示方式，并为客户端应用处理单元、业务服务处理单元和管理单元提供安全标签的处理方法；

所述安全级别，与使用安全标签的高安全等级业务与应用系统相关，与系统已有的级别定义保持一致；

所述安全类别，用于判断当访问用户的安全级别不低于数据的安全级别时，用户是否能够对数据进行访问；

所述显示属性，用于定义安全标签显示时的名称、字体、大小、颜色信息；

所述自定义扩展信息是指预留出的一段数字实体，可根据使用安全标签的业务与应用系统的安全需求进行填充；

安全标签协议单元对客户端应用处理单元、业务服务处理单元和管理单元之间交互的协议进行定义，用于统一安全标签协议数据包的格式和内容、协议数据包的生成与解析方法；

所述安全标签协议，作为应用层负载的一部分存在，包含协议头和协议体，协议头包括类型、安全选项，协议体包括请求/响应数据；

所述处理接口层，遵循统一标准的接口规范向业务处理层中的处理单元提供接口，在接口不变化的情况下，支持功能的扩展，实现对业务处理层的适配，其处理过程由业务与应用对应的处理流程触发，包括安全标签处理模块和安全标签管理模块两部分；

所述安全标签处理模块，为带有安全标签数据在业务与应用系统中的流转处理过程提供所需要的功能，嵌入、解析、验证、请求、判定、存储和显示；

所述安全标签管理模块，为安全标签自身的控制提供所需要的功能，包括创建、编辑、生成、过滤、转换、资源判定；

所述业务处理层，将处理接口层中的处理模块与业务流程结合，以配置项形式运行在不同类型的业务与应用处理单元中，包括客户端应用处理单元、业务服务处理单元和管理单元；

所述业务处理层，以统一的实现框架与业务流程进行结合，业务处理层的各个处理单元分别由客户端应用、业务服务、管理服务在启动时进行加载，加载后业务处理层的各个处理单元将所需要的处理接口层中的处理模块在客户端应用、业务服务、管理服务中进行注册和初始化，等待业务处理过程中的调用；当客户端应用、业务服务、管理服务结束其功能时，应同时释放业务处理层中各个处理单元所占用的系统资源，并注销对应的处理模块；

所述业务处理过程中的调用，需要修改客户端应用、业务服务、管理服务中涉及安全标签处理的部分，将客户端应用处理单元、业务服务处理单元和管理单元以配置项的方式运行在对应的系统组件中；

所述客户端应用处理单元，运行在客户端应用中，由客户端业务流程触发，根据不同的业务调用安全标签处理模块中的接口，并以配置项形式工作在客户端应用中，与客户端应用通过调用方式进行交互，用于对客户端应用中待发送、已收到业务数据中的安全标签进行显示、判定处理；

所述业务服务处理单元，运行在业务服务器中，由业务服务流程触发，根据不同的业务调用安全标签处理模块中的接口，并以配置项形式工作在业务服务器中，与业务服务通过调用方式进行交互，并对业务服务收到的业务数据中的安全标签执行判定处理，并能够根据业务类型与管理单元交互，发起安全标签获取请求及资源访问权限判定请求；

所述管理单元，运行在管理服务器中，由管理操作触发，根据不同的管理操作调用安全标签管理模块中的接口形成管理单元，该管理单元以配置项形式工作在管理服务器中，与管理服务器通过调用方式进行交互，用于对安全标签执行创建、编辑、生成、过滤、转换、资源判定的操作；

所述安全标签处理模块具体实现如下：

所述安全标签嵌入，安全标签处理模块依据安全标签单元中的定义形成安全标签，并将安全标签按照安全标签协议单元中定义的安全标签协议格式嵌入发送的数据中；

所述安全标签解析验证，安全标签处理模块能够从客户端收到的业务数据中按照安全标签协议单元中定义的安全标签协议格式提取安全标签，并对安全标签的真实性和完整性进行校验；

所述安全标签显示，安全标签处理模块能够从客户端收到的业务数据中解析验证安全标签，并根据保存的安全策略对安全标签的显示进行控制；

所述安全标签判定，安全标签处理模块能够从业务服务收到的业务数据中解析并验证安全标签，并根据安全标签判断业务服务及业务数据获取方是否有权限处理当前业务数据；

所述安全标签请求，安全标签处理模块能够根据客户端应用发起的业务类型向业务服务器发送安全标签获取请求，业务服务能够自动判断请求类型并自动生成安全标签获取请求，业务服务接收到响应后将业务数据对应的安全标签反馈给客户端应用，客户端应用根据安全标签列表结构中的安全标签显示属性以可视化的方式呈现给客户端应用进行选择；

所述安全标签存储，安全标签处理模块将安全标签与数据一并存储。

2.根据权利要求1所述的一种面向高安全等级业务与应用需求的安全标签实现系统，其特征在于：所述安全标签管理模块具体实现如下：

所述安全标签创建与编辑，为安全标签分配全局唯一的编号、定义安全标签中安全级别的值，并对安全级别和安全类别的信息进行编辑；

所述安全标签生成、资源判定与过滤，能够处理由业务服务发起的安全标签生成请求，过滤不需要的数据，返回符合要求的安全标签列表；能够接收由业务服务发起的安全标签判定请求，最终向业务服务返回判定结果；

所述安全标签转换，能够在安全域边界上根据转换规则，将其中一个域的安全标签转换成符合另外一个域要求的安全标签的格式。

Images