CN110912851B - 流动数据的监控方法、装置及设备 - Google Patents

Abstract

本申请公开了一种流动数据的监控方法，包括：确定待监控数据；确定所述待监控数据所在的区块；获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；根据所述数据流动链路，对所述待监控数据进行监控。解决了难以对权限控制作用域外的数据流动进行监控的问题。

Description

流动数据的监控方法、装置及设备

技术领域

本申请涉及数据安全领域，具体涉及一种流动数据的监控方法、装置、电子设备以及存储设备。

背景技术

随着云计算的发展，越来越多的企业或个人将数据存放在云端。云端数据安全逐渐成为安全管理的基础和核心。

目前公共云上的数据系统会部署基础的云端空间数据安全防护进行权限控制及使用空间防护，例如安全卫士、dataworks等。难以对权限控制作用域外的流动数据进行监控，存在安全风险，例如在用户应用端和存放数据的云端服务器之间的中间流动区域的流动数据难以被监控。

发明内容

本申请提供一种数据流动的监控方法，以解决难以对权限控制作用域外的数据流动进行监控的问题。

本申请提供一种流动数据的监控方法，包括：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

可选的，所述确定待监控数据，包括：

发现用户业务数据；

对所述用户业务数据进行数据分类；

将指定数据类别的用户业务数据作为待监控数据。

可选的，所述数据描述信息，包括用户维度的信息和数据维度的信息；

所述用户维度的信息至少包括下述一种信息：用户进入所述被监控数据所在的区块访问所述被监控数据的时间信息、用户对所述被监控数据的操作信息、用户所访问的数据信息；

所述数据维度的信息至少包括下述一种信息：所述被监控数据的类别、所述被监控数据的访问权限、所述被监控数据流入所在的区块的时间信息、访问所述被监控数据的用户信息。

可选的，所述获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，包括：

确定所述待监控数据进入所述区块的流入时间信息；

确定在所述区块上对所述待监控数据进行的操作；

确定在所述区块上对所述待监控数据进行操作的操作用户信息和操作时间信息；

根据流入时间信息、所述操作、所述操作用户信息和操作时间信息，生成待监控数据的针对所述区块的数据描述信息。

可选的，所述获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路，包括：

确定所述区块的待监控数据的本源；

确定所述流入前区块的待监控数据的本源；

根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路。

可选的，所述根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路，包括：

根据针对所述区块的数据描述信息，生成包含所述区块的数据描述信息的区块节点；

根据针对流入前区块的数据描述信息，生成包含针对流入前区块的数据描述信息的流入前区块节点；

将所述区块节点链接到所述流入前区块节点的尾部，生成所述待监控数据的数据流动链路。

可选的，所述根据所述数据流动链路，对所述待监控数据进行监控，包括：

获取所述数据流动链路的至少一个区块节点的数据描述信息；

根据所述数据描述信息，追溯对应的待监控数据的本源；或者，根据所述数据描述信息，确定所述待监控数据的完整性。

可选的，所述方法还包括：

根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块；或者，根据业务场景确定用于存放或处理用户业务数据的逻辑区块；

所述确定所述待监控数据所在的区块，包括：

获得所述逻辑区块的数据监控点上报信息；

根据所述数据监控点上报信息，得到所述待监控数据所在的逻辑区块，为所述待监控数据所在的区块。

可选的，所述根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块，包括：

对网络中的用户业务数据进行相似性归类得到用户业务数据的业务类别，确定业务类型与逻辑区块的对应关系；

获取所述网络的网络拓扑结构，建立网络拓扑结构中的指定服务器与逻辑区块的对应关系，所述指定服务器用于存放或处理指定业务类别的用户业务数据；

根据业务类型与逻辑区块的对应关系，以及指定服务器与逻辑区块的对应关系，确定用于存放或处理用户业务数据的逻辑区块。

可选的，所述待监控数据，包括下述至少一种数据：存放于初始区块的原始待监控数据、在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据。

可选的，所述确定所述待监控数据所在的区块，包括：

确定所述游离数据所在的逻辑区块；

确定所述游离数据的本源，根据所述本源确定与所述游离数据关联的原始待监控数据；

确定所述原始待监控数据所在的初始区块；

所述待监控数据所在的区块至少包括下述任一区块：所述逻辑区块、所述初始区块。

可选的，所述确定所述游离数据的本源，包括：

对所述游离数据进行相似性分析，得到所述游离数据的本源。

可选的，所述方法还包括：

获得敏感性关联监控命令；

所述确定待监控数据，包括：根据所述敏感性关联监控命令，确定待监控数据。

可选的，所述方法还包括：

获得与所述敏感性关联监控命令关联的监控策略；

所述根据所述数据流动链路，对所述待监控数据进行监控，包括：

根据所述数据流动链路确定针对所述被监控数据的操作是否异常；

如果所述操作是异常操作，根据所述监控策略对所述异常操作进行告警或阻止拦截。

可选的，所述方法还包括：

确定启用流动数据监控的用户信息；

所述发现用户业务数据，包括：

根据所述用户信息发现用户业务数据。

可选的，所述方法还包括：

根据所述用户信息，确定所述用户的等级信息；

所述根据所述数据流动链路对所述待监控数据进行监控，包括：根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

可选的，所述方法还包括：

监控所述用户访问的区块，以及所述用户在所述区块进行的操作。

本申请还提供一种流动数据的监控装置，包括：

监控数据确定单元，用于确定待监控数据；

区块确定单元，用于确定所述待监控数据所在的区块；

区块数据描述单元，用于获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

数据流动链路确定单元，用于获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

监控单元，用于根据所述数据流动链路，对所述待监控数据进行监控。

本申请还提供一种电子设备，包括：

存储器，以及处理器；

所述存储器用于存储计算机可执行指令，所述处理器用于执行所述计算机可执行指令：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

本申请还提供一种存储设备，存储有指令，所述指令能够被处理器加载并执行以下步骤：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

与现有技术相比，本申请具有以下优点：

本申请提供的数据流动的监控方法，通过根据在不同区块上对待监控数据的操作生成数据描述信息，将不同区块的数据描述信息关联起来，生成数据流动链路，根据数据流动链路对待监控数据进行监控，从而解决了难以对权限控制作用域外的数据流动进行监控的问题。

附图说明

图1是本申请第一实施例提供的所述流动数据的监控方法的网络环境示意图；

图2是本申请第一实施例提供的所述流动数据的监控方法的处理流程图；

图3是本申请第一实施例包括的流动数据的监控方法的数据流动示意图；

图4是本申请第二实施例提供的所述流动数据的监控装置示意图；

图5是本申请第三实施例提供的电子设备示意图。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本申请。但是本申请能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本申请内涵的情况下做类似推广，因此本申请不受下面公开的具体实施的限制。

本申请提供一种流动数据的监控方法、装置、电子设备以及存储设备。在下面的实施例中逐一进行详细说明。

本申请第一实施例提供一种流动数据的监控方法。

以下结合图1至图3对本申请第一实施例提供的流动数据的监控方法进行说明。

请参考图1。图1示出了实施所述流动数据的监控方法的网络环境示意图。图中101所指示的RAM为提供资源访问控制(Resource Access Management)的服务或实体，所述RAM提供创建、管理用户账号，控制这些账号对于资源的操作权限，例如所述用户账号可以是员工、系统或应用程序的账号，通过RAM可以按需为这些用户账号分配权限。图中102所指示的ECS为云服务器(Elastic Compute Service)或云主机，即云端提供给企业用户或个人用户的云计算资源，供企业或个人处理自己的业务数据或应用，例如提供计算、存储、备份、托管、带宽等资源。图中103指示的云端空间数据保护区，部署了安全卫士和dataworks进行基础数据保护，对云存储区104的用户数据进行保护。云存储区104采用OSS(云端对象存储服务，Object Storage Service)、ODPS(云端数据处理平台，Open Data ProcessingService)、RDS(云关系数据库，Relational database Service)存放或处理包括业务数据在内的用户数据。中间流动数据保护区105为流动数据区域，包括了位于云存储区103和ECS之间、以及云存储区103和RAM之间、用于缓存用户数据的中间缓存节点。所谓流动数据，包括在用户应用和存放区之间的中间缓存节点并且进行交互的数据。

使用ECS的用户账号通过RAM鉴权后，就可以访问使用云存储区103的用户数据了，云存储区103的用户数据受RAM的权限控制，而中间流动数据保护区105的数据不受RAM的权限控制。部署所述流动数据的监控方法，可以对进入中间流动数据保护区105的数据进行监控。所述流动数据的监控方法可以部署在ECS上。

图2所示的流动数据的监控方法包括：步骤S201至步骤S205。

步骤S201，确定待监控数据。

本申请实施例提供的流动数据的监控方法，以服务方式提供，例如监控服务，可以从用户维度和数据维度两方面对云用户以及云端的用户业务数据进行监控。为便于理解，先介绍可以对数据进行处理的用户、数据分类以及数据流动的概念。

本申请中所谓用户是可以对数据进行处理的用户，包括下述至少一种：拥有数据资源的以云用户账号登录云服务器或云主机的第一类用户，对待监控数据进行访问或操作的应用程序，这为第二类用户。其中，第二类用户可以是中间缓存节点上能对待监控数据进行处理的应用程序或管理用户。实际应用中，用户可以划分为不同等级，不同等级的用户拥有不同的权限，或者对不同资源拥有不同的权限。所谓数据分类是指用户数据可以进行数据分类或数据分级，不同类别或不同等级的数据具体不同的敏感性要求，数据类别或数据等级也称为数据敏感等级。数据进行分类后，每个数据类别的数据对应的数据敏感等级就确定下来了。数据分类可以由数据分类实体或者功能模块自动归类，也可以由第一类用户划分。所谓数据流动是指数据由一个区域流入另一个区域，例如第一类用户通过RAM鉴权后进入云内，所述第一类用户进入云内首次进入的区域为原始区域，所述第一类用户可能会进入其他区域(例如某个中间缓存节点)使用一个数据或数据块，第二类用户也可以使用一个数据，第一类用户或第二类用户对数据或数据块的操作使得数据流入其他区域。所述监控服务启用后，第一类用户通过下发监控命令指定监控预设数据敏感等级的数据进行监控，包括对这些预设数据敏感等级的数据的在中间缓存节点的流动进行定位以及跟踪，这些预设数据敏感等级的数据即为待监控数据。例如，一个云用户账号A下存放于OSS的资源，是以bucket桶存储的，桶内的全部文件或者A下的全部桶，都可以是待监控数据。

本步骤是确定待监控数据。

所述待监控数据，包括下述至少一种数据：存放于初始区块的原始待监控数据、在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据。其中，在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据，具有与原始待监控数据相同的本源。所谓本源，可以是存储在某个地方例如OSS、ODPS或RDS中原本的数据，或者在数据流动过程中新产生的数据的。对于新产生数据，具体可以通过相似性分析获得其本源。例如，通过文件指纹或DNA分析游离数据的本源，或者通过人工智能归类方法分析游离数据的本源。

本申请实施例中，通过下述处理确定待监控数据，包括：

发现用户业务数据；

对所述用户业务数据进行数据分类；

将指定数据类别的用户业务数据作为待监控数据。

其中，通过下述处理发现用户业务数据：

确定启用流动数据监控的用户信息；

根据所述用户信息发现用户业务数据。

本申请实施例中，进一步包括：根据所述用户信息，确定所述用户的等级信息。在后续步骤中，以便根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

本申请实施例中，启用所述流动数据的监控方法提供的服务后，获得敏感性关联监控命令。所谓敏感性关联是指对达到预设数据敏感等级的数据进行监控，监控中要求对其中具有相同本源的数据进行关联。例如，接收第一类用户下发的针对指定数据敏感等级的数据进行监控的命令。进一步的，根据所述敏感性关联监控命令，确定待监控数据。

步骤S202，确定所述待监控数据所在的区块。

本步骤是确定所述待监控数据所在的区块.

本申请实施例中，所述区块，包括用于存放或处理用户业务数据的逻辑区块。具体的，根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块；或者，根据业务场景确定用于存放或处理用户业务数据的逻辑区块。进一步，通过下述处理确定所述待监控数据所在的区块：

获得所述逻辑区块的数据监控点上报信息；

根据所述数据监控点上报信息，得到所述待监控数据所在的逻辑区块，为所述待监控数据所在的区块。

其中，所述根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块，包括：

对网络中的用户业务数据进行相似性归类得到用户业务数据的业务类别，确定业务类型与逻辑区块的对应关系；

获取所述网络的网络拓扑结构，建立网络拓扑结构中的指定服务器与逻辑区块的对应关系，所述指定服务器用于存放或处理指定业务类别的用户业务数据；

根据业务类型与逻辑区块的对应关系，以及指定服务器与逻辑区块的对应关系，确定用于存放或处理用户业务数据的逻辑区块。

举例如下：请参考图3。图中的ECS部署了所述流动数据的监控方法，以服务的方式提供给用户使用，例如该服务名称为shieldservice，图中包括3个中间缓存区：中间缓存区301，中间缓存区302，中间缓存区303，这三个中间缓存区部署了数据监控点。可以将每个中间缓存区分别划分为一个区块，例如中间缓存区301划分为区块1，中间缓存区302对应区块2，中间缓存区303对应区块3。

本申请实施例中，当待监控数据包含游离数据的情况下，采用下述处理确定待监控数据所在的区块，包括：

确定所述游离数据所在的逻辑区块；

确定所述游离数据的本源，根据所述本源确定与所述游离数据关联的原始待监控数据；

确定所述原始待监控数据所在的初始区块；

所述待监控数据所在的区块至少包括下述任一区块：所述逻辑区块、所述初始区块。

步骤S203，获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息。

本步骤是生成待监控数据的针对所述区块的数据描述信息。

本申请实施例中，所述数据描述信息，包括用户维度的信息和数据维度的信息。所述用户维度的信息至少包括下述一种信息：用户进入所述被监控数据所在的区块访问所述被监控数据的时间信息、用户对所述被监控数据的操作信息、用户所访问的数据信息；所述数据维度的信息至少包括下述一种信息：所述被监控数据的类别、所述被监控数据的访问权限、所述被监控数据流入所在的区块的时间信息、访问所述被监控数据的用户信息。生成待监控数据的针对所述区块的数据描述信息的处理包括：

确定所述待监控数据进入所述区块的流入时间信息；

确定在所述区块上对所述待监控数据进行的操作；

确定在所述区块上对所述待监控数据进行操作的操作用户信息和操作时间信息；

根据流入时间信息、所述操作、所述操作用户信息和操作时间信息，生成待监控数据的针对所述区块的数据描述信息。

沿用图3所示的例子。所述流动数据的监控方法提供的监控服务获取中间缓存区1、中间缓存区2、中间缓存区3的数据监控点记录的信息，例如数据监控点记录用户3进入的具体区块及进入时间，用户3所访问的数据块或数据文件以及访问时间，根据这些信息生成具体区块的数据描述信息。用户3可以是某个应用程序；当区块3上的一个数据B被读出时，还需要记录数据的源属性。数据B若为初始存放的数据，则存放该数据的区块为其本源；数据B若为新产生的游离数据，则对数据B进行业务特征相似性归类，得到数据B的本源，即存放数据B所属的业务类型的逻辑区块，将所述逻辑区块作为数据B的本源。

步骤S204，获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述流入前区块为所述待监控数据流入所述区块前所在的区块；所述数据流动链路包括至少一个用于存放数据描述信息的区块节点。

本步骤是生成所述待监控数据的数据流动链路。

本申请实施例中，基于区块链技术实现数据流动链路。所述区块、流入前区块可以是预先规划的区块，由于第一类用户或第二类用户对待监控数据的访问或操作，待监控数据在这些区块之间进行交互、流动。获得待监控数据的在各区块上的数据描述信息，根据所述待监控数据的本源关联所述数据描述信息，按照相同本源的数据流入各区块的顺序链接所述数据描述信息，从而可以得到待监控数据的数据流动链路。例如，有A、B、C、D四个区块，数据1进入A后进入D，再进入B，则包括：由数据1在区块A上的数据描述信息生成数据描述节点1，由数据1在区块D上的数据描述信息生成数据描述节点2，由数据1在区块B上的数据描述信息生成数据描述节点3，将数据描述节点2链接在数据描述节点1尾部，将数据描述节点3链接在数据描述节点2的尾部，得到的数据1的数据流动链路。从而根据业务流动以及访问流动动态的建立数据流动链路。具体采用下述处理，生成所述待监控数据的数据流动链路：

确定所述区块的待监控数据的本源；

确定所述流入前区块的待监控数据的本源；

根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路。

其中，所述根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路，包括：

根据针对所述区块的数据描述信息，生成包含所述区块的数据描述信息的区块节点；

根据针对流入前区块的数据描述信息，生成包含针对流入前区块的数据描述信息的流入前区块节点；

将所述区块节点链接到所述流入前区块节点的尾部，生成所述待监控数据的数据流动链路。

沿用图3所示的例子。用户1进入中间缓存区301，访问数据块1，ECS的shieldservice根据中间缓存区301的数据监控点的上报信息建立区块1的数据描述信息，包括：数据块1的原始属性，用户1进入区块1的时间，用户1对数据块1的操作及操作时间。用户3将数据块1从中间缓存区301拷贝到中间缓存区303，并将数据块1存储到OSS，ECS的shieldservice根据中间缓存区303的数据监控点的上报信息建立区块3的数据描述信息，包括：数据块1进入区块3的时间、用户3对数据块1的操作信息(例如，创建、存储到OSS、存储位置、转发到区块2、操作时间(例如，创建时间、存储时间、转发到区块2的时间)。数据块1被转发到中间缓存区2，用户2进入终极缓存区2访问数据块1，ECS的shieldservice生成数据块1在区块2上的数据描述信息，包括：数据块1进入区块2的时间、用户2对数据块1的访问。ECS的shieldservice建立数据块1在区块1的数据描述信息、区块3的数据描述信息、区块2的数据描述信息的关联，生成数据块1的数据流动链路，将区块1的数据描述信息、区块3的数据描述信息、区块2的数据描述信息依次链接成数据流动链路，对数据块1进行监控。同时，也可以对用户1、用户2、用户3的行为进行监控。

步骤S205，根据所述数据流动链路，对所述待监控数据进行监控。

本步骤是使用数据流动链路进行数据监控。

本申请实施中，根据数据流动链路对流动过程中的数据跟踪，可以进行数据溯源以及完整性分析等方面的监控。

所谓溯源，是确定数据流动链路的链路节点的数据描述信息对应的数据或数据块的本源，即确定所述数据或数据块的根是哪个区块。通过跟踪数据可以对数据的足迹进行分析以实现溯源。并且，在跟踪数据时，加入用户的监控策略进行监控。所谓完整性，是指数据或数据块被拆分或被切割后仍然能确定出属于一个数据块，即拆分或切割的数据与原始数据的关联性可以被识别出来。沿用图3所示的例子，在区块1上移动一个100字节的待监控数据H，移动到区块3的过程中数据H被某个程序或用户(例如用户3)截取80字节在区块3上得到数据J。所述流动数据的监控方法中，包括确定区块3上的数据J的源，即来自哪个区块。具体可以通过对数据J进行相似性确定其来自区块1的数据H。从而可以防数据篡改或数据拷贝。

另外，通过数据流动链路还可以进行数据管理，例如，对于OSS的bucket桶存放的数据聚类，得到每个桶的数据类别，当用户存储数据K时，通过数据流动链路的数据描述信息确定数据K的本源，根据数据K的本源建议K存放的桶，提示用户将数据存储到建议的桶中。

本申请实施例中，具体采用下述处理对所述待监控数据进行监控：

获取所述数据流动链路的至少一个区块节点的数据描述信息；

根据所述数据描述信息，追溯对应的待监控数据的本源；或者，根据所述数据描述信息，确定所述待监控数据的完整性。

其中，当所述待监控数据，包括在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据时，还需要确定所述游离数据的本源，具体包括：

对所述游离数据进行相似性分析，得到所述游离数据的本源。

本申请实施例中，为了对待监控数据进行分类分级监控，对不同级别数据采用不同的处理方式，进一步包括：

获得与所述敏感性关联监控命令关联的监控策略。

相应的，通过下述处理对所述待监控数据进行监控：

根据所述数据流动链路确定针对所述被监控数据的操作是否异常；

如果所述操作是异常操作，根据所述监控策略对所述异常操作进行告警或阻止拦截。

本申请实施例中，通过数据流动链路还可以进一步监控用户在不同区块的流动。例如，用户访问A区块数据，又访问了B区块数据，是为用户从A区块流动到了B区块，用户在A区块和B区块的所有操作属性分别记录到A区块的数据描述信息和B区块的数据描述信息中。因此分析数据流动链路可以获取用户的流动足迹。具体包括：监控所述用户访问的区块，以及所述用户在所述区块进行的操作。进一步的，通过数据流动链路进行数据监控还可以包括下述处理：

确定启用流动数据监控的用户信息；

根据所述用户信息，确定所述用户的等级信息；

根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

与本申请第一实施例相对应，本申请第二实施例还提供了一种流动数据的监控装置。

参照图4，其示出了本申请第二实施例提供的流动数据的监控装置示意图。由于装置实施例基本相似于方法实施例，所以描述得比较简单，相关的部分请参见方法实施例的对应说明即可。

本申请提供一种流动数据的监控装置，包括：

监控数据确定单元401，用于确定待监控数据；

区块确定单元402，用于确定所述待监控数据所在的区块；

区块数据描述单元403，用于获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

数据流动链路确定单元404，用于获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

监控单元405，用于根据所述数据流动链路，对所述待监控数据进行监控。

其中，所述监控数据确定单元401具体用于：

发现用户业务数据；

对所述用户业务数据进行数据分类；

将指定数据类别的用户业务数据作为待监控数据。

其中，所述数据描述信息，包括用户维度的信息和数据维度的信息；

所述用户维度的信息至少包括下述一种信息：用户进入所述被监控数据所在的区块访问所述被监控数据的时间信息、用户对所述被监控数据的操作信息、用户所访问的数据信息；

所述数据维度的信息至少包括下述一种信息：所述被监控数据的类别、所述被监控数据的访问权限、所述被监控数据流入所在的区块的时间信息、访问所述被监控数据的用户信息。

其中，所述区块数据描述单元403具体用于：

确定所述待监控数据进入所述区块的流入时间信息；

确定在所述区块上对所述待监控数据进行的操作；

确定在所述区块上对所述待监控数据进行操作的操作用户信息和操作时间信息；

根据流入时间信息、所述操作、所述操作用户信息和操作时间信息，生成待监控数据的针对所述区块的数据描述信息。

其中，所述数据流动链路确定单元404具体用于：

确定所述区块的待监控数据的本源；

确定所述流入前区块的待监控数据的本源；

根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路。

其中，所述数据流动链路确定单元404具体用于：

根据针对所述区块的数据描述信息，生成包含所述区块的数据描述信息的区块节点；

根据针对流入前区块的数据描述信息，生成包含针对流入前区块的数据描述信息的流入前区块节点；

将所述区块节点链接到所述流入前区块节点的尾部，生成所述待监控数据的数据流动链路。

其中，所述监控单元405具体用于：

获取所述数据流动链路的至少一个区块节点的数据描述信息；

根据所述数据描述信息，追溯对应的待监控数据的本源；或者，根据所述数据描述信息，确定所述待监控数据的完整性。

其中，所述装置还包括逻辑区块确定单元，所述逻辑区块确定单元用于：

根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块；或者，根据业务场景确定用于存放或处理用户业务数据的逻辑区块；

相应的，所述区块确定单元402具体用于：

获得所述逻辑区块的数据监控点上报信息；

根据所述数据监控点上报信息，得到所述待监控数据所在的逻辑区块，为所述待监控数据所在的区块。

其中，所述逻辑区块确定单元具体用于：

对网络中的用户业务数据进行相似性归类得到用户业务数据的业务类别，确定业务类型与逻辑区块的对应关系；

获取所述网络的网络拓扑结构，建立网络拓扑结构中的指定服务器与逻辑区块的对应关系，所述指定服务器用于存放或处理指定业务类别的用户业务数据；

根据业务类型与逻辑区块的对应关系，以及指定服务器与逻辑区块的对应关系，确定用于存放或处理用户业务数据的逻辑区块。

其中，所述待监控数据，包括下述至少一种数据：存放于初始区块的原始待监控数据、在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据。

其中，所述区块确定单元402具体用于：

确定所述游离数据所在的逻辑区块；

确定所述游离数据的本源，根据所述本源确定与所述游离数据关联的原始待监控数据；

确定所述原始待监控数据所在的初始区块；

所述待监控数据所在的区块至少包括下述任一区块：所述逻辑区块、所述初始区块。

其中，所述区块确定单元402包括游离数据本源确定子单元，所述游离数据本源确定子单元用于：

对所述游离数据进行相似性分析，得到所述游离数据的本源。

其中，所述装置还包括命令单元，所述命令单元用于：

获得敏感性关联监控命令；

相应的，所述监控数据确定单元401用于：根据所述敏感性关联监控命令，确定待监控数据。

其中，所述装置还包括策略单元，所述策略单元用于：

获得与所述敏感性关联监控命令关联的监控策略；

相应的，所述监控单元405用于：

根据所述数据流动链路确定针对所述被监控数据的操作是否异常；

如果所述操作是异常操作，根据所述监控策略对所述异常操作进行告警或阻止拦截。

其中，所述装置还包括用户监控单元，所述用户监控单元用于：

确定启用流动数据监控的用户信息；

相应的，所述监控数据单元401用于：根据所述用户信息发现用户业务数据。

其中，所述装置还包括用户分级单元，所述用户分级单元用于：

根据所述用户信息，确定所述用户的等级信息；

相应的，所述监控单元405用于：根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

其中，所述装置还用于：

监控所述用户访问的区块，以及所述用户在所述区块进行的操作。

本申请第三实施例还提供了一种用于实现所述流动数据的监控方法的电子设备，参照图5，其示出了所述电子设备的示意图。

本申请提供的所述电子设备实施例描述得比较简单，相关的部分请参见第一实施例的对应说明即可。

本申请提供一种电子设备，包括：

存储器501，以及处理器502；

所述存储器501用于存储计算机可执行指令，所述处理器502用于执行所述计算机可执行指令：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

可选的，所述处理器502还用于执行下述计算机可执行指令：

发现用户业务数据；

对所述用户业务数据进行数据分类；

将指定数据类别的用户业务数据作为待监控数据。

可选的，所述数据描述信息，包括用户维度的信息和数据维度的信息；

所述用户维度的信息至少包括下述一种信息：用户进入所述被监控数据所在的区块访问所述被监控数据的时间信息、用户对所述被监控数据的操作信息、用户所访问的数据信息；

所述数据维度的信息至少包括下述一种信息：所述被监控数据的类别、所述被监控数据的访问权限、所述被监控数据流入所在的区块的时间信息、访问所述被监控数据的用户信息。

可选的，所述处理器502还用于执行下述计算机可执行指令：

确定所述待监控数据进入所述区块的流入时间信息；

确定在所述区块上对所述待监控数据进行的操作；

确定在所述区块上对所述待监控数据进行操作的操作用户信息和操作时间信息；

根据流入时间信息、所述操作、所述操作用户信息和操作时间信息，生成待监控数据的针对所述区块的数据描述信息。

可选的，所述处理器502还用于执行下述计算机可执行指令：

确定所述区块的待监控数据的本源；

确定所述流入前区块的待监控数据的本源；

根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路。

可选的，所述处理器502还用于执行下述计算机可执行指令：

根据针对所述区块的数据描述信息，生成包含所述区块的数据描述信息的区块节点；

根据针对流入前区块的数据描述信息，生成包含针对流入前区块的数据描述信息的流入前区块节点；

将所述区块节点链接到所述流入前区块节点的尾部，生成所述待监控数据的数据流动链路。

可选的，所述处理器502还用于执行下述计算机可执行指令：

获取所述数据流动链路的至少一个区块节点的数据描述信息；

根据所述数据描述信息，追溯对应的待监控数据的本源；或者，根据所述数据描述信息，确定所述待监控数据的完整性。

可选的，所述处理器502还用于执行下述计算机可执行指令：

根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块；或者，根据业务场景确定用于存放或处理用户业务数据的逻辑区块；

获得所述逻辑区块的数据监控点上报信息；

根据所述数据监控点上报信息，得到所述待监控数据所在的逻辑区块，为所述待监控数据所在的区块。

可选的，所述处理器502还用于执行下述计算机可执行指令：

对网络中的用户业务数据进行相似性归类得到用户业务数据的业务类别，确定业务类型与逻辑区块的对应关系；

获取所述网络的网络拓扑结构，建立网络拓扑结构中的指定服务器与逻辑区块的对应关系，所述指定服务器用于存放或处理指定业务类别的用户业务数据；

根据业务类型与逻辑区块的对应关系，以及指定服务器与逻辑区块的对应关系，确定用于存放或处理用户业务数据的逻辑区块。

可选的，所述待监控数据，包括下述至少一种数据：存放于初始区块的原始待监控数据、在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据。

可选的，所述处理器502还用于执行下述计算机可执行指令：

确定所述游离数据所在的逻辑区块；

确定所述游离数据的本源，根据所述本源确定与所述游离数据关联的原始待监控数据；

确定所述原始待监控数据所在的初始区块；

所述待监控数据所在的区块至少包括下述任一区块：所述逻辑区块、所述初始区块。

可选的，所述处理器502还用于执行下述计算机可执行指令：

对所述游离数据进行相似性分析，得到所述游离数据的本源。

可选的，所述处理器502还用于执行下述计算机可执行指令：

获得敏感性关联监控命令；

根据所述敏感性关联监控命令，确定待监控数据。

可选的，所述处理器502还用于执行下述计算机可执行指令：

获得与所述敏感性关联监控命令关联的监控策略；

根据所述数据流动链路确定针对所述被监控数据的操作是否异常；

如果所述操作是异常操作，根据所述监控策略对所述异常操作进行告警或阻止拦截。

可选的，所述处理器502还用于执行下述计算机可执行指令：

确定启用流动数据监控的用户信息；

根据所述用户信息发现用户业务数据。

可选的，所述处理器502还用于执行下述计算机可执行指令：

根据所述用户信息，确定所述用户的等级信息；

根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

可选的，所述处理器502还用于执行下述计算机可执行指令：

监控所述用户访问的区块，以及所述用户在所述区块进行的操作。

本申请还提供一种用于所述流动数据的监控方法的存储设备实施例，其描述得比较简单，相关的部分请参见上述方法的实施例的对应说明即可。

本申请提供一种存储设备，存储有指令，所述指令能够被处理器加载并执行以下步骤：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

1、计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

2、本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请虽然以较佳实施例公开如上，但其并不是用来限定本申请，任何本领域技术人员在不脱离本申请的精神和范围内，都可以做出可能的变动和修改，因此本申请的保护范围应当以本申请权利要求所界定的范围为准。

Claims (20)

1.一种流动数据的监控方法，其特征在于，包括：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，其中，所述数据描述信息，包括用户维度的信息和数据维度的信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

2.根据权利要求1所述的方法，其特征在于，所述确定待监控数据，包括：

发现用户业务数据；

对所述用户业务数据进行数据分类；

将指定数据类别的用户业务数据作为待监控数据。

3.根据权利要求1所述的方法，其特征在于，

所述用户维度的信息至少包括下述一种信息：用户进入所述待 监控数据所在的区块访问所述待 监控数据的时间信息、用户对所述待 监控数据的操作信息、用户所访问的数据信息；

所述数据维度的信息至少包括下述一种信息：所述待监 控数据的类别、所述待监控数据的访问权限、所述待监控数据流入所在的区块的时间信息、访问所述待监控数据的用户信息。

4.根据权利要求1所述的方法，所述获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，包括：

确定所述待监控数据进入所述区块的流入时间信息；

确定在所述区块上对所述待监控数据进行的操作；

确定在所述区块上对所述待监控数据进行操作的操作用户信息和操作时间信息；

根据流入时间信息、所述操作、所述操作用户信息和操作时间信息，生成待监控数据的针对所述区块的数据描述信息。

5.根据权利要求1所述的方法，其特征在于，所述获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路，包括：

确定所述区块的待监控数据的本源；

确定所述流入前区块的待监控数据的本源；

根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路。

6.根据权利要求5所述的方法，其特征在于，所述根据相同的本源将待监控数据的数据描述信息关联起来，生成所述待监控数据的数据流动链路，包括：

根据针对所述区块的数据描述信息，生成包含所述区块的数据描述信息的区块节点；

根据针对流入前区块的数据描述信息，生成包含针对流入前区块的数据描述信息的流入前区块节点；

将所述区块节点链接到所述流入前区块节点的尾部，生成所述待监控数据的数据流动链路。

7.根据权利要求1所述的方法，其特征在于，所述根据所述数据流动链路，对所述待监控数据进行监控，包括：

获取所述数据流动链路的至少一个区块节点的数据描述信息；

根据所述数据描述信息，追溯对应的待监控数据的本源；或者，根据所述数据描述信息，确定所述待监控数据的完整性。

8.根据权利要求1所述的方法，其特征在于，还包括：

根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块；或者，根据业务场景确定用于存放或处理用户业务数据的逻辑区块；

所述确定所述待监控数据所在的区块，包括：

获得所述逻辑区块的数据监控点上报信息；

根据所述数据监控点上报信息，得到所述待监控数据所在的逻辑区块，为所述待监控数据所在的区块。

9.根据权利要求8所述的方法，其特征在于，所述根据网络拓扑结构确定用于存放或处理用户业务数据的逻辑区块，包括：

对网络中的用户业务数据进行相似性归类得到用户业务数据的业务类别，确定业务类型与逻辑区块的对应关系；

获取所述网络的网络拓扑结构，建立网络拓扑结构中的指定服务器与逻辑区块的对应关系，所述指定服务器用于存放或处理指定业务类别的用户业务数据；

根据业务类型与逻辑区块的对应关系，以及指定服务器与逻辑区块的对应关系，确定用于存放或处理用户业务数据的逻辑区块。

10.根据权利要求1所述的方法，其特征在于，所述待监控数据，包括下述至少一种数据：存放于初始区块的原始待监控数据、在所述原始待监控数据基础上抽取或拆分或篡改而衍生得到的游离数据。

11.根据权利要求10所述的方法，其特征在于，所述确定所述待监控数据所在的区块，包括：

确定所述游离数据所在的逻辑区块；

确定所述游离数据的本源，根据所述本源确定与所述游离数据关联的原始待监控数据；

确定所述原始待监控数据所在的初始区块；

所述待监控数据所在的区块至少包括下述任一区块：所述逻辑区块、所述初始区块。

12.根据权利要求11所述的方法，其特征在于，所述确定所述游离数据的本源，包括：

对所述游离数据进行相似性分析，得到所述游离数据的本源。

13.根据权利要求1所述的方法，其特征在于，还包括：

获得敏感性关联监控命令；

所述确定待监控数据，包括：根据所述敏感性关联监控命令，确定待监控数据。

14.根据权利要求13所述的方法，其特征在于，还包括：

获得与所述敏感性关联监控命令关联的监控策略；

所述根据所述数据流动链路，对所述待监控数据进行监控，包括：

根据所述数据流动链路确定针对所述待监控数据的操作是否异常；

如果所述操作是异常操作，根据所述监控策略对所述异常操作进行告警或阻止拦截。

15.根据权利要求2所述的方法，其特征在于，还包括：

确定启用流动数据监控的用户信息；

所述发现用户业务数据，包括：

根据所述用户信息发现用户业务数据。

16.根据权利要求15所 述的方法，其特征在于，还包括：

根据所述用户信息，确定所述用户的等级信息；

所述根据所述数据流动链路对所述待监控数据进行监控，包括：根据所述等级信息，确定所述用户对于所述待监控数据的操作是否正常。

17.根据权利要求15所述的方法，其特征在于，还包括：

监控所述用户访问的区块，以及所述用户在所述区块进行的操作。

18.一种流动数据的监控装置，其特征在于，包括：

监控数据确定单元，用于确定待监控数据；

区块确定单元，用于确定所述待监控数据所在的区块；

区块数据描述单元，用于获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，其中，所述数据描述信息，包括用户维度的信息和数据维度的信息；

数据流动链路确定单元，用于获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

监控单元，用于根据所述数据流动链路，对所述待监控数据进行监控。

19.一种电子设备，其特征在于，包括：

存储器，以及处理器；

所述存储器用于存储计算机可执行指令，所述处理器用于执行所述计算机可执行指令：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，其中，所述数据描述信息，包括用户维度的信息和数据维度的信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

20.一种存储设备，其特征在于，存储有指令，所述指令能够被处理器加载并执行以下步骤：

确定待监控数据；

确定所述待监控数据所在的区块；

获得在所述区块上针对所述待监控数据的操作信息，生成待监控数据的针对所述区块的数据描述信息，其中，所述数据描述信息，包括用户维度的信息和数据维度的信息；

获得所述待监控数据的针对流入前区块的数据描述信息，建立针对所述区块的数据描述信息与针对流入前区块的数据描述信息之间的关联关系，生成所述待监控数据的数据流动链路；其中，所述数据流动链路包括至少一个用于存放数据描述信息的区块节点；

根据所述数据流动链路，对所述待监控数据进行监控。

Images