CN108595968A - 一种数据保护方法、装置及设备 - Google Patents

Abstract

本实施例提供了一种数据保护方法、装置及设备，在第一应用平台调用替换后数据通信接口读取第二应用平台中的数据，或向第二应用平台写入数据的应用场景下，通过对第一应用平台替换后的数据通信接口进行监控，从而截取第一应用平台通过该数据通信接口向第二应用发送的数据，对其包含的受保护内容进行加密，再发送至第二应用平台，保证了数据的安全性，且不会影响第一应用平台和第二应用平台原有的数据处理策略；另外，由于本实施例将进行加密处理的安全策略与第一应用平台自身的业务逻辑分离开，避免了两者之间的相互影响，降低了方案实施难度，扩大了本案适用范围。

Description

一种数据保护方法、装置及设备

技术领域

本申请主要涉及数据安全应用领域，更具体地说是发明一种数据保护方法、装置及设备。

背景技术

随着计算机技术和互联网技术的快速发展，以及云计算、大数据等新技术的兴起，数据俨然成为一种重要的资产，尤其是在人们的日常生活以及工作中，通常都是使用电子设备通过网络实现与其他电子设备的数据交互，一旦关键数据被泄露或被窃取，将会造成重要资产的遗失。可见，数据的安全保护已成为各领域的急迫需求。

现有技术方法中，一种是选择在业务系统中集成基础加密模块，来对业务系统中的关键数据进行加密处理，但这需要业务系统开发人员对加密算法有较深的了解，否则仍然会存在很多安全隐患，而且，由于在进行加密处理的安全策略与业务逻辑紧密结合，一旦需要对安全策略进行调整，就会对业务逻辑造成影响，处理过程比较复杂。

另一种是通过改变业务逻辑和数据存储结构，提高存储数据的安全性，但实现该技术方法的工作量往往很大，且对实施人员的技术要求较高，一旦需要对安全策略进行调整，需重新实施，过程非常复杂，效率低。

发明内容

有鉴于此，本实施例提供了一种数据保护方法、装置及设备，实现了对存储数据中受保护内容的加密，提高了数据的安全性，且实现了业务逻辑与安全策略的分离，降低了方案实施难度以及工作量，扩大了方案适用范围。

为了实现上述目的，本实施例公开了以下技术方案：

一种数据保护方法，所述方法包括：

对第一应用平台替换后的数据通信接口进行监控；

基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

可选的，截取到的数据包括数据访问请求，对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台，包括：

验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

对所述待加密信息进行加密处理，得到相应的密文数据；

利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

可选的，所述方法还包括：

获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

识别所述访问数据包含的待解密信息；

对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

可选的，截取到的数据包括数据存储请求，对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台，包括：

验证所述数据存储请求合格，获取待存储数据；

对所述待存储数据进行加密处理，得到相应的待存储密文数据；

将所述待存储密文数据发送至所述第二应用平台进行存储。

可选的，在截取所述第一应用平台通过所述数据通信接口向第二应用平台发送的第一数据时，或在获取所述第二应用平台反馈的第二数据时，所述方法还包括：

获取针对所述第一应用平台分配的当前密钥，所述当前密钥用于对所述第一数据或所述第二数据进行处理。

可选的，所述方法还包括：

对已使用的密钥进行备份。

一种数据保护装置，该装置可以包括：

监控模块，用于对第一应用平台替换后的数据通信接口进行监控；

数据截取模块，用于基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

加密处理模块，用于对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

可选的，截取到的数据包括数据访问请求，所述加密处理模块包括：

验证识别单元，用于验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

加密处理单元，用于对所述待加密信息进行加密处理，得到相应的密文数据；

数据传输单元，用于利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

可选的，所述装置还包括：

数据获取模块，用于获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

信息识别模块，用于识别所述访问数据包含的待解密信息；

解密处理模块，用于对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

一种数据保护设备，所述设备包括：

数据通信接口，用于兼容替换第一应用平台的原始数据通信接口；

存储器，用于存储实现如上所述的数据处理方法的计算机程序；

处理器，用于记载并执行所述计算机程序，包括：

对第一应用平台替换后的数据通信接口进行监控；

基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

由此可见，与现有技术相比，本实施例提供了一种数据保护方法、装置及设备，在使用数据保护设备的数据通信接口兼容替换第一应用平台的原始数据通信接口后，在第一应用平台调用替换后的数据通信接口读取第二应用平台中的数据，或向第二应用平台写入数据的应用场景下，本实施例将截取第一应用平台调用该数据通信接口向第二应用发送的数据，对其包含的受保护内容进行加密后，再发送至第二应用平台，保证了数据的安全性，且不会影响第一应用平台和第二应用平台原有的数据处理策略；另外，由于本实施例将进行加密处理的安全策略与第一应用平台自身的业务逻辑分离开，避免了两者之间相互影响，降低了方案实施难度，扩大了本案适用范围。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的一种数据保护方法的流程图；

图2为本申请实施例提供的另一种数据保护方法的流程图；

图3为本申请实施例提供的又一种数据保护方法的流程图；

图4为本申请实施例提供的一种数据保护装置的结构图；

图5为本申请实施例提供的另一种数据保护装置的结构图；

图6为本申请实施例提供的又一种数据保护装置的结构图；

图7为本申请实施例提供的一种数据保护设备的结构图；

图8为本申请实施例提供的另一种数据保护设备的结构图。

具体实施方式

为了提高数据的安全性，目前提出了以下几种解决方案：

方案一：在业务系统(可以是本实施例中的第一应用平台)中集成加密模块，从而使业务系统自身对受保护内容进行加解密处理。但是，这种方案需要业务系统的开发人员对密码算法有较深的了解，否则可能导致较多的安全隐患，且该方案中安全策略(即进行加密和解密时遵循的策略)与业务逻辑(其与业务系统自身的业务功能相关)紧密结合，安全策略的调整易对业务逻辑造成影响。

方案二：将数据库(可以是本实施例中的第二应用平台)配制成加密存储，但这种方案难以防止常见的数据窃取方式，且在实施过程中，对技术水平要求高，通常需要数据库专家的指导，导致其适用范围大大受限。另外，目前支持可配置加密存储的数据库多为国外产品，采用的密码算法通常不符合国家密码管理条例的要求，其并不适用于国内的数据安全保障。

方案三：厂商提供的数据库加密产品，即基于数据库技术实现数据保护，如通过在数据库内增加视图和脚本处理数据请求。但此类产品的部署会改变业务系统的业务逻辑以及数据库的数据存储结构，工作量比较大，对实施人员技术要求较高，也并不适用于推广；另外，在根据需要改变安全策略时，需要相应更改业务逻辑或数据库存储结构，成本较高。

为了改善上述问题，本实施例提出兼容替换第一应用平台中的原始数据通信接口，在需要对数据存储系统进行数据读取或数据写入操作时，第一应用平台调用替换后的数据通信接口，通过对第一应用平台替换后的数据通信接口的监控，截取第一应用平台调用该数据通信接口传输的数据，进而对其包含的受保护内容进行加密处理后，再发送至数据存储系统，从而将业务逻辑和安全策略分离，避免了因安全策略的调整导致对业务逻辑进行更改，简化了方案实施步骤，实现了对安全策略的动态管理，还能够通过优化安全策略提高访问效率；而且，可以根据国家密码管理条例的要求进行安全策略设定，扩大了本实施例提供的方案的适用范围。

下面将结合本实施例中的附图，对本实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本实施例公开保护的范围。

如图1所示，为本申请实施例提供的一种数据保护方法的流程图，该方法可以包括：

步骤S11，对第一应用平台替换后的数据通信接口进行监控；

其中，第一应用平台可以是各种业务系统，具体类型不作限定，本实施例可以预先兼容替换第一应用平台的原始数据通信接口，即用来直接与第二应用平台(如数据存储系统)进行数据交互的接口，具体可以将其替换成兼容该原始通信接口基本功能的数据通信接口，并将第一应用平台输出的数据发送至本实施例提供的数据保护设备的接口，该接口仍然可以集成在第一应用平台，本实施例对该接口的具体替换方法不作限定。

基于此，当第一应用平台需要读取第二应用平台的数据，或将所得数据写入第二应用平台的情况下，第一应用平台将调用替换后的数据通信接口，发起相应的请求。

在实际应用中，本实施例提供的数据保护设备可以通过监控第一应用平台对替换后的数据通信接口的调用操作，实现后续数据截取步骤，具体可以同时对多个第一应用平台替换后的数据通信接口进行监控，也可以对一个第一应用平台替换后的数据通信接口进行监控，本实施例对此不做限定，可以根据本实施例提供的数据保护设备与第一应用平台的通信连接数量以及各第一应用平台的工作情况确定。

步骤S12，基于监控结果，截取第一应用平台调用该数据通信接口向第二应用平台发送的数据；

可选的，该第二应用平台可以是数据库等数据存储系统，但并不局限于此。在实际应用中，当第一应用平台需要访问第二应用平台中的数据，或者向第二应用平台写入数据时，第一应用平台通常是调用替换后的数据通信接口实现与第二应用平台的数据交互，本实施例为了保证数据存储的安全性，将在第一应用平台调用替换后的数据通信接口时，截取该数据通信接口输出数据，以便对该数据包含的受保护内容进行加密处理，从而避免第一应用平台直接将数据发送至第二应用平台，造成数据存储的安全隐患。

由此可见，本步骤的监控结果可以表明第一应用平台是否调用替换后的数据通信接口，本实施例具体是在监控结果表示第一应用平台调用替换后的数据通信接口时，执行数据截取操作。

需要说明，本实施例对如何截取第一应用平台的数据通信接口输出数据的实现方法不做限定。

步骤S13，对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至第二应用平台。

可选的，本实施例可以设置密钥管理模块，实现对数据处理过程中密钥生成、分配、使用等生命周期的管理，从而为步骤S13提供密钥服务，实现对受保护内容的加密处理。需要说明，本实施例对该加密处理过程中所使用的加密算法不作限定。

其中，对于上述加密处理过程，可以按照预设的安全策略确定受保护内容及其安全等级，以便确定加密处理过程中所使用的密钥以及加密算法等。因此，上述步骤S13可以是按照当前安全策略，获取截取到的数据中的受保护内容，并采用相应安全等级的加密算法，对该受保护内容进行加密处理，得到加密后的数据，但并不局限于此。

需要说明的是，本实施例对该安全策略的内容不作限定，且根据实际需要的变化，该安全策略是可以动态调整的，具体调整内容不作详述。

作为本申请另一实施例，在进行加密处理之前，可以先对截取到的数据进行验证，比如基于第一应用平台的属性信息，验证该数据的来源是否正确，在验证合格(即数据的来源正确)后，再对其包含的受保护内容进行加密处理，本实施例对该验证方式不作限定。

综上所述，本实施例在第一应用平台读取第二应用平台中的数据，或向第二应用平台写入数据的应用场景下，本实施例通过兼容替换第一应用平台原始数据通信接口，从而使第一应用平台调用替换后的数据通信接口，数据保护装置中的相应模块截取第一应用平台通过该数据通信接口向第二应用发送的数据，对其包含的受保护内容进行加密后，再发送至第二应用平台，保证了数据存储的安全性，且不会影响第一应用平台和第二应用平台原有的数据处理策略；另外，由于本实施例将进行加密处理的安全策略与第一应用平台自身的业务逻辑分离开，避免了两者之间相互影响，降低了方案实施难度，扩大了本案适用范围。

下面将以第一应用平台为业务系统，第二应用平台为数据库为例，对业务系统执行的数据写入以及数据读取的操作过程进行举例说明，但并不局限于本实施例提供的这种实现方法，可以在本实施例提供的上述发明构思下，根据实际需要进行适应性调整，均属于本申请保护范围，本实施例在此不再一一说明。而且，关于第一应用平台和第二应用平台的内容，也并不局限于本实施例给出的这种场景，对于其他场景的数据保护过程类似，本实施例在此不再一一详述。

如图2所示，为本申请实施例提供的一种数据保护方法的流程图，该方法主要是对数据访问场景下的数据处理流程进行描述，具体以业务系统访问数据库的场景为例进行说明，但并不局限于这一应用场景，则本实施例提供的方法可以包括：

步骤S21，对业务系统替换后的数据通信接口进行监控，截取业务系统调用该数据通信接口针对数据库发送的数据访问请求；

在实际应用中，业务系统可以调用数据通信接口实现数据交互，读取数据库中需要的目标数据，或向数据库写入数据。

本实施例为了提高该数据存储的安全性，将兼容替换业务系统中的原始数据通信接口，并结合数据加密算法对业务系统发送至数据库的数据进行加密处理，保证数据存储的安全性。

基于该发明构思，本实施例可以对业务系统替换后的数据通信接口进行监控，从而在业务系统调用替换后的数据通信接口时，能够截取业务系统向数据库发送的数据，以避免该业务系统直接对数据库的数据访问，造成数据库中存储数据的安全隐患。

当业务系统需要访问数据库中的目标数据时，可以通过调用该替换后的数据通信接口发起相应的数据访问请求，该数据访问请求可以携带该业务系统的系统标识、被访问对象的标识信息、待访问数据的标识信息等等，之后，由本实施例提供的数据保护装置代替业务系统实现对该数据库的访问，获取数据库返回的目标数据，并将得到的目标数据成功反馈至该业务系统。

可选的，监控到业务系统调用替换后的数据通信接口，数据保护装置的相应处理模块截取到数据访问请求后，可以先对其进行编码处理后再发送至数据保护装置的下一处理模块，这样，下一处理模块接收到该数据访问请求后，可以先对其进行解码处理，再进行识别操作。也就是说，对于数据的传输，可以先进行编码处理后再传输，本实施例对数据编码以及解码的实现方法不作限定。

步骤S22，验证该数据访问请求合格，识别出该数据访问请求中的待加密信息；

本实施例可以利用业务系统提供的属性信息(比如业务系统的基本信息)等，验证该数据访问请求的来源，验证没有问题后，再进行后续部分，避免他人非法访问，提高了数据访问的安全性。

如上述分析，该数据访问请求通常会包含一些受保护的内容，为了避免这些受保护内容泄露，本实施例可以对这部分内容进行加密处理，具体加密方法不作限定，可以基于预设的不同安全策略，确定对识别处理的待加密信息(即受保护内容)的加密方式，并采用相应的加密算法，对其进行加密，具体过程本实施例不作详述。

而且，对于不同数据访问请求，其可能携带的待加密信息可以不同，具体可以根据数据访问需求以及发起该数据访问请求的来源、被访问对象确定，本实施例在此不作详述。

当然，若按照预设的安全策略，解析数据访问请求后，确定该数据访问请求并未包含待加密信息，可以直接将该数据访问请求转发至数据库，以获得所需的访问数据。

步骤S23，对该待加密信息进行加密处理，得到相应的密文数据；

本实施例可以预先设定各类待加密信息对应的加密方式，即确定数据存储的安全策略，在得到待加密信息后，可以按照该安全策略，获取针对业务系统分配的当前密钥，以实现对待加密信息的加密处理，具体实现方法不作限定。

其中，对于不同类型的待加密信息，安全等级可能不同，因此，其采用的加密方式也可能不同；而且，对于同一待加密信息，基于不同业务系统确定的安全策略不同时，对其进行加密所使用的加密算法也可以不同，通过加密算法得到的加密密钥可以周期性更新，本实施例对此不做限定。

步骤S24，利用该密文数据，生成新的数据访问请求，并将该新的数据访问请求发送至数据库；

基于上述描述，本实施例通过对截取的数据访问请求分析，对其包含的受保护内容即待加密信息进行加密处理，得到新的数据访问请求后，再发送至数据库，保证了数据存储的安全性。

在本实施例中，在得到密文数据后，可以将其直接与其他不需要进行加密处理的数据进行重新组装，得到新的数据访问请求，具体实现过程不作限定。

其中，通过新的数据访问请求实现与数据库的数据交互的实现过程，可以参照常用的通过数据通信接口发起的数据访问请求直接与数据库进行数据交互的过程，本实施例在此不作详述。

步骤S25，接收到数据库反馈的访问数据，识别访问数据中包含的待解密信息；

通常情况下，为了提高数据存储的安全性，数据库中存储的数据通常是加密处理后的数据，可以是对其包含的关键数据进行加密，也可以对数据整体进行加密处理，本实施例对此不作限定。

基于此，数据库在接收到新的数据访问请求，并据此查询到对应的访问数据后，并不是直接通过数据通信接口反馈至业务系统，而是反馈至本实施例提供的数据保护装置，由该数据保护装置中的相应处理模块来对该访问数据进行解密处理。此时，如上所述，由于访问数据可能仅有部分重要信息进行了加密，所以，本实施例可以先识别出该访问数据包含的待解密信息，再进行后续处理。

其中，对于接收到的访问数据，通常情况下都会包含受保护内容，即该访问数据中通常会包含待解密信息；当然，若数据库未查询到所需的访问数据，那么，数据库反馈的数据中可能不会包含受保护内容，此时，反馈的数据往往是提示信息，此时，可以不对其进行处理，直接反馈至业务系统。

步骤S26，对该待解密信息进行解密处理，并将得到的目标数据发送至业务系统。

关于对待解密信息的解密处理方法，可以基于对应数据存储至数据库之前进行加密时的安全策略确定的加密算法确定，本实施例对其不作限定。

由此可见，当业务系统通过数据通信接口对数据库进行数据访问时，本实施例将兼容替换业务系统的数据通信接口，截取业务系统调用替换后的数据通信接口传输的数据，并对其中的受保护数据进行加密后再发送至数据库，同理，将数据库返回的目标数据解密后再反馈至业务系统。在该过程中，对于交互数据的加密/解密处理将由数据保护装置相应的处理模块完成，在保证数据正常访问的基础上，还实现了业务逻辑与安全策略的分离，这样，在调整安全策略时，不会对业务系统的业务逻辑造成影响，也不需要改动数据存储结构，对实施人员技术要求低，提高了本实施例提供的数据保护方法的可实施性。

而且，本实施例提供的数据保护装置的各处理模块按照上述方式进行数据处理过程中，对交互数据(如上述数据访问请求以及访问数据)的加密/解密处理，并未更改原有数据类型和格式，这样，业务系统和数据库接收到相应的交互数据后，仍可以按照原有处理方式进行处理，不会影响数据库以及业务系统对数据的校验规则等。

如图3所示，为本申请实施例提供的另一种数据保护方法的流程图，该方法主要对业务系统向数据库发送数据进行存储的过程进行描述，具体可以包括：

步骤S31，对业务系统替换后的数据通信接口进行监控，截取业务系统调用该数据通信接口发起的针对待存储数据的数据存储请求；

在实际应用中，当任意一个业务系统需要进行数据存储时，可以通过调用其替换后的数据通信接口将待存储数据发送至数据库进行存储，本实施例为了提高待存储数据的安全性，在发送至数据库之前，将由本实施例提供的作为第三方的数据保护装置对其进行加密处理。

需要说明，本实施例对该数据存储请求包含的内容不做限定，其可以包括待存储数据、存储路径或数据库的标识信息、发送该待存储数据的业务系统的标识信息等等，可以根据实际需要确定。

步骤S32，验证该数据存储请求合格，获取待存储数据；

为了避免非法的数据存储，威胁存储对象即数据库的安全性，本实施例可以对业务系统发起的数据存储请求进行验证，此时，可以结合相关安全策略以及业务系统的属性信息实现安全验证，具体实现方法不作限定。

步骤S33，对待存储数据进行加密处理，得到相应的待存储密文数据；

在本实施例中，可以设置密钥管理模块，完成密钥生成、分配、使用等生命周期管理，并为数据访问以及数据存储等应用提供密钥服务，以便当需要对获得的数据进行加密处理，可以获取当前生成的密钥，对待存储数据进行加密处理。

需要说明，本实施例对密钥管理的具体实现方法不作限定，基于不同的加密算法，生成的密钥可以不同，本实施例对此不作限定。

步骤S34，将该待存储密文数据发送至数据库进行存储。

需要说明，本实施例对待存储数据进行加密处理后，并未更改待存储数据的数据类型和格式，因此，数据库得到加密后的待存储数据即待存储密文数据，仍然可以使用原有存储策略进行存储，具体存储方法不作详述。

综上，本实施例提供的数据保护方法，在写入数据时，将先对待存储数据中的受保护内容进行加密处理，再将得到的待存储密文数据发送至数据库进行存储，提高了待存储数据的安全性，且不会影响数据库原有的数据校验规则，也不需要更改数据库的数据存储结构，大大提高了数据存储方案的灵活性以及效率。

可选的，对于上述实施例描述的数据访问过程，可以同时实现多个业务系统对数据库的访问，每一个业务系统对数据库的访问过程相同，即如上述实施例描述的步骤S21～步骤S26，本实施例在此不再详述。可见，本实施例提供的数据保护装置能够同时为多个业务系统的数据访问过程提供数据保护服务；同理也可以同时为多个业务系统的数据存储过程提供数据保护服务。

在上述各实施例的基础上，对于加密/解密所使用的密钥可以按照一定的规则生成并分配使用，当需要进行加解密处理时，可以按照预设的安全策略直接调取相应的密钥实现，本实施例对其具体实现方法不做限定。

其中，对于已经使用的密钥，本实施例可以对其进行备份，以便在本次加解密失败或第一应用平台读取/写入失败时，恢复备份密钥继续进行加解密处理。最后，需要说明的是，对于上述各实施例中的第二应用平台，还可以是其他数据存储系统，并不局限于上文实施例描述的数据库，对于其他类型的第二应用平台，对其数据保护方法类似，本实施例在此不再一一详述。

如图4所示，为本申请实施例提供的一种数据保护装置的结构图，该装置可以包括：

监控模块410，用于对第一应用平台替换后的数据通信接口进行监控；

数据截取模块420，用于基于监控结果，截取第一应用平台调用数据通信接口向第二应用平台发送的数据；

加密处理模块430，用于对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

可选的，如图5所示，该加密处理模块430可以包括：

验证识别单元431，用于验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

加密处理单元432，用于对所述待加密信息进行加密处理，得到相应的密文数据；

数据传输单元433，用于利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

关于本实施例中各模块或单元的功能实现过程，可以参照上述方法实施例相应部分的描述，本实施例在此不做详述。

可选的，如图6所示，该装置还可以包括：

数据获取模块440，用于获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

信息识别模块450，用于识别所述访问数据包含的待解密信息；

解密处理模块460，用于对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

在上述各实施例中，进行加密/解密之前，需要先获取相应的密钥，基于此，该装置还可以包括：

密钥管理模块，用于获取针对所述第一应用平台分配的当前密钥，当前密钥用于对数据进行处理。

本实施例中，关于该密钥管理模块如何管理密钥，获取不同处理过程所需的密钥的实现，可以参照上述方法实施例相应部分的描述，本实施例在此不再赘述。

此外，该装置还可以包括：

备份模块，用于对已使用的密钥进行备份。

综上所述，在第一应用平台读取第二应用平台中的数据，或向第二应用平台写入数据的应用场景下，本实施例通过监控第一应用平台替换后的数据通信接口，截取第一应用平台调用该数据通信接口向第二应用发送的数据，对其包含的受保护内容进行加密后，再发送至第二应用平台，保证了数据存储的安全性，且不会影响第一应用平台和第二应用平台原有的数据处理策略；另外，由于本实施例将进行加密处理的安全策略与第一应用平台自身的业务逻辑分离开，避免了两者之间相互影响，降低了方案实施难度，扩大了本案适用范围。

如图7所示，为本申请实施例提供的一种数据保护设备的结构图，该数据保护设备可以包括：

数据通信接口710，用于兼容替换第一应用平台的原始数据通信接口；

在实际应用中，该数据通信接口710仍可以集成在业务系统中，兼容替换业务系统原始数据通信接口，这样，当业务系统需要访问数据时，将调用替换后的数据通信接口710实现。

可见，该数据通信接口710可以兼容业务系统原始数据通信接口的功能，并保证在本实施例提供的数据保护方法中，业务系统的业务逻辑不用修改。

可选的，该数据通信接口可以是API接口(Application Programming Interface,应用程序编程接口)，但并不局限于此，具体可以根据第一应用平台的类型确定。

在本实施例中，该数据通信接口输出数据可以是第一应用平台向第二应用平台发起如数据访问请求、数据存储请求等数据，对于该数据并不会直接发送至第二应用平台，而是对其进行编码处理发送至处理器，由处理器中相应的数据处理子系统对其进行加密等处理；并在接收到该数据处理子系统反馈的目标数据后，对其进行解码后反馈给业务系统，避免了直接将数据发送至第二应用平台造成的数据存储安全隐患。

存储器720，用于存储实现如上所述的数据保护方法的计算机程序；

在本实施例中，存储器具体可以包括进行加解密处理的各种密码算法相关程序，预设的各种安全策略等等，还可以用来存储数据处理过程中得到的各种数据，如目标数据、待存储数据以及各种中间数据等等，本实施例对此不作限定。

处理器730，用于记载并执行所述计算机程序，包括：

对第一应用平台替换后的数据通信接口进行监控；

基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

可选的，该处理器730还可以执行实现以下步骤的计算机程序：

验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

对所述待加密信息进行加密处理，得到相应的密文数据；

利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

可选的，该处理器730还可以执行实现以下步骤的计算机程序：

获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

识别所述访问数据包含的待解密信息；

对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

可选的，该处理器730还可以执行实现以下步骤的计算机程序：

验证所述数据存储请求合格，获取待存储数据；

对所述待存储数据进行加密处理，得到相应的待存储密文数据；

将所述待存储密文数据发送至所述第二应用平台进行存储。

可选的，该处理器730还可以执行实现以下步骤的计算机程序：

获取针对所述第一应用平台分配的当前密钥，所述当前密钥用于对数据进行处理。

可选的，该处理器730还可以执行实现以下步骤的计算机程序：

对已使用的密钥进行备份。

结合上述实施例的分析，按照该处理器实现的功能，可以将其划分为两个大的功能模块，如图8所示的数据处理子系统以及数据管理子系统。

其中，该数据处理子系统在监控到业务系统调用替换后的数据通信接口输出数据时，可以依据安全策略对其进行截取并处理，当需要写入数据时，可以对该数据中的受保护内容进行加密处理，之后再发送至数据存储系统进行存储；当需要读取数据时，获取数据存储系统的访问数据后，可以其包含的受保护内容进行解密处理，之后，再将得到的目标数据通过数据通信接口发送至业务系统，整个加密/解密的处理结果都不会影响数据存储结构。关于数据写入/读取的具体实现过程可以参照上述方法实施例相应部分的描述，本实施例在此不再详述。

而对于上述处理过程中所涉及到的管理操作，可以由数据管理子系统实现，比如密钥管理、系统配置管理、安全策略管理、系统备份与恢复管理等等。

其中，密钥管理主要是用来完成密钥的生成、分配、使用等生命周期管理，为上述加密/解密操作提供密钥服务。系统配置管理主要是提供业务系统基本信息的管理，用来对调用数据通信接口输出的数据进行数据来源的验证，同时还可以提供数据存储系统的配置管理，以实现与数据存储系统的数据交互。安全策略管理主要是用来配置受保护内容以及安全密钥，用来辅助实现上述加密/解密处理。系统备份与恢复管理主要用来进行备份和恢复安全策略、密钥以及系统配置等，具体实现阶段可以根据实际需要确定，并不局限于上文实施例描述的方法。

综上所述，本实施例通过兼容替换业务系统的原始数据通信接口，这样，在业务系统调用替换后的数据通信接口向数据存储系统输出数据时，将会截取该数据，实现对该数据中受保护内容加密存储、正常访问等功能，而且，本实施例利用数据处理系统实现数据加密/解密等处理，不需要业务系统实现这部分处理，从而实现了业务逻辑与安全策略的分离，在灵活调整或升级安全策略时，不会影响业务逻辑，不需要改动业务逻辑，提高了方案的可实施性，降低了对实施人员的技术要求，另外，该数据处理系统并不会改变受保护内容的数据类型以及格式，也就不会影响数据存储系统以及业务系统对数据的校验规则，提高了数据处理效率以及数据存储的安全性。

本领域内的技术人员应明白，本申请的实施例可提供为方法、装置、设备或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)。

还有，需要说明的是，关于上述各实施例中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法或者系统中还存在另外的相同要素。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置、设备而言，由于其与实施例公开的方法对应，所以描述的比较简单，相关之处参见方法部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种数据保护方法，其特征在于，所述方法包括：

对第一应用平台替换后的数据通信接口进行监控；

基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

2.根据权利要求1所述的方法，其特征在于，截取到的数据包括数据访问请求，对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台，包括：

验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

对所述待加密信息进行加密处理，得到相应的密文数据；

利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

识别所述访问数据包含的待解密信息；

对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

4.根据权利要求1所述的方法，其特征在于，截取到的数据包括数据存储请求，对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台，包括：

验证所述数据存储请求合格，获取待存储数据；

对所述待存储数据进行加密处理，得到相应的待存储密文数据；

将所述待存储密文数据发送至所述第二应用平台进行存储。

5.根据权利要求1所述方法，其特征在于，在截取所述第一应用平台通过所述数据通信接口向第二应用平台发送的第一数据时，或在获取所述第二应用平台反馈的第二数据时，所述方法还包括：

获取针对所述第一应用平台分配的当前密钥，所述当前密钥用于对所述第一数据或所述第二数据进行处理。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

对已使用的密钥进行备份。

7.一种数据保护装置，其特征在于，该装置可以包括：

监控模块，用于对第一应用平台替换后的数据通信接口进行监控；

数据截取模块，用于基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

加密处理模块，用于对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。

8.根据权利要求7所述的装置，其特征在于，截取到的数据包括数据访问请求，所述加密处理模块包括：

验证识别单元，用于验证所述数据访问请求合格，识别出所述数据访问请求中的待加密信息；

加密处理单元，用于对所述待加密信息进行加密处理，得到相应的密文数据；

数据传输单元，用于利用所述密文数据，生成新的数据访问请求，并将所述新的数据访问请求发送至所述第二应用平台。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

数据获取模块，用于获取所述第二应用平台基于所述新的数据访问请求得到的访问数据；

信息识别模块，用于识别所述访问数据包含的待解密信息；

解密处理模块，用于对所述待解密信息进行解密处理，并将得到的目标数据通过所述数据通信接口发送至所述第一应用平台。

10.一种数据保护设备，其特征在于，所述设备包括：

数据通信接口，用于兼容替换第一应用平台的原始数据通信接口；

存储器，用于存储实现如权利要求1-6任意一项所述的数据处理方法的计算机程序；

处理器，用于加载并执行所述计算机程序，包括：

对所述第一应用平台替换后的所述数据通信接口进行监控；

基于监控结果，截取所述第一应用平台调用所述数据通信接口向第二应用平台发送的数据；

对截取到的数据包含的受保护内容进行加密处理，并将加密后的数据发送至所述第二应用平台。