CN112668052A - 一种数据脱敏方法、装置、存储介质和电子设备 - Google Patents

Abstract

本申请实施例提供一种数据脱敏方法、装置、存储介质和电子设备，该数据脱敏方法包括：获取网络接入设备的初始镜像流量数据；对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据；对敏感数据进行脱敏处理，获得脱敏处理结果；对脱敏处理结果进行封装，生成目标镜像流量数据；向第三方设备发送目标镜像流量数据，从而能够实现对镜像流量的脱敏处理。

Description

一种数据脱敏方法、装置、存储介质和电子设备

技术领域

本申请涉及数据脱敏技术领域，具体而言，尤其涉及一种数据脱敏方法、装置、存储介质和电子设备。

背景技术

通过对数据中的敏感数据等进行脱敏处理以达到数据隐私的保护，是大数据时代防止数据滥用、提高数据安全性的重要手段。

目前，现有的数据脱敏方法主要包括静态脱敏方法和动态脱敏方法。例如，静态脱敏技术主要对静态存储的数据(例如，硬盘存储的数据和数据库存储的数据)进行脱敏处理；再例如，动态脱敏技术主要对网络中的动态访问流量进行截取，并对截取后的数据进行脱敏处理。

在实现本发明的过程中，发明人发现现有技术存在如下问题：现有的数据脱敏方法无法实现对镜像流量的脱敏处理。例如，对于静态脱敏方法来说，其只能对静态存储的数据进行脱敏，无法实现对网络中的数据流进行脱敏处理，即无法实现对镜像流量的脱敏处理；再例如，对于动态脱敏方法来说，由于镜像流量为复制的流量，流量本身不具有协议状态管控的机制，使得数据脱敏设备无法通过协议本身状态机制对数据内容进行改写后转发，故无法实现对镜像流量的脱敏处理。

发明内容

本申请实施例的目的在于提供一种数据脱敏方法、装置、存储介质和电子设备，以解决现有技术中存在着的无法实现对镜像流量的脱敏处理的问题。

第一方面，本申请实施例提供了一种数据脱敏方法，数据脱敏方法应用于数据脱敏系统中的数据脱敏设备，数据脱敏系统还包括第三方设备和网络接入设备，数据脱敏方法包括：获取网络接入设备的初始镜像流量数据；对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据；对敏感数据进行脱敏处理，获得脱敏处理结果；对脱敏处理结果进行封装，生成目标镜像流量数据；向第三方设备发送目标镜像流量数据。

因此，本申请实施例通过获取网络接入设备的初始镜像流量数据，随后对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据，随后对敏感数据进行脱敏处理，获得脱敏处理结果，随后对脱敏处理结果进行封装，生成目标镜像流量数据，最后向第三方设备发送目标镜像流量数据，从而其能够实现对镜像流量的脱敏处理。

在一个可能的实施例中，对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据，包括：对初始镜像流量数据进行传输协议分析，获得传输数据；对传输数据进行内容解析，确定敏感数据。

在一个可能的实施例中，对传输数据进行内容解析，确定敏感数据，包括：对传输数据进行文件类型解析，获得文件内容；对文件内容进行文件内容解析，确定文件内容中的敏感数据。

因此，本申请实施例通过文件类型解析和文件内容解析，从而能够实现深度的内容解析。

在一个可能的实施例中，对敏感数据进行脱敏处理，获得脱敏处理结果，包括：对敏感数据进行局部脱敏处理，获得脱敏处理结果。

因此，本申请实施例通过对敏感数据进行局部脱敏处理，不会改变整体的流量性质和模式。

第二方面，本申请实施例提供了一种数据脱敏装置，数据脱敏装置应用于数据脱敏系统中的数据脱敏设备，数据脱敏系统还包括第三方设备和网络接入设备，数据脱敏装置包括：获取模块，用于获取网络接入设备的初始镜像流量数据；分析模块，用于对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据；脱敏模块，用于对敏感数据进行脱敏处理，获得脱敏处理结果；封装模块，用于对脱敏处理结果进行封装，生成目标镜像流量数据；发送模块，用于向第三方设备发送目标镜像流量数据。

在一个可能的实施例中，分析模块，包括：传输协议分析模块，用于对初始镜像流量数据进行传输协议分析，获得传输数据；内容解析模块，用于对传输数据进行内容解析，确定敏感数据。

在一个可能的实施例中，内容解析模块，具体用于：对传输数据进行文件类型解析，获得文件内容；对文件内容进行文件内容解析，确定文件内容中的敏感数据。

在一个可能的实施例中，脱敏模块，具体用于：对敏感数据进行局部脱敏处理，获得脱敏处理结果。

第三方面，本申请实施例提供了一种存储介质，该存储介质上存储有计算机程序，该计算机程序被处理器运行时执行第一方面或第一方面的任一可选的实现方式所述的方法。

第四方面，本申请实施例提供了一种电子设备，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当所述电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行第一方面或第一方面的任一可选的实现方式所述的方法。

第五方面，本申请提供一种计算机程序产品，所述计算机程序产品在计算机上运行时，使得计算机执行第一方面或第一方面的任意可能的实现方式中的方法。

为使本申请实施例所要实现的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了现有技术中的一种静态脱敏系统的示意图；

图2示出了本申请实施例提供的一种动态脱敏系统的示意图；

图3示出了本申请实施例提供的一种应用场景的示意图；

图4示出了本申请实施例提供的一种数据脱敏方法的流程图；

图5示出了本申请实施例提供的一种数据脱敏装置的结构框图；

图6示出了本申请实施例提供的一种电子设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

数据脱敏技术是数据安全技术中的重要组成部分，它可去除掉数据中不希望对外展示的部分，以达到数据的合规使用。

目前，现有的数据脱敏方法主要包括以下三种：静态脱敏技术、动态脱敏技术和通过安全系统对流量进行处理的技术。

为了便于理解现有技术，下面通过具体的实施例来进行描述。

请参见图1，图1示出了现有技术中的一种静态脱敏系统的示意图。如图1所示，该静态脱敏系统包括源数据库110、目标数据库120和数据脱敏设备130。其中，数据脱敏设备130分别连接源数据库110和目标数据库120。

具体地，数据脱敏设备130从源数据库110中读取静态存储的数据，并通过内容分析引擎对数据内容进行分析处理，然后对文件或者数据内容进行脱敏处理，最后将脱敏处理后的数据内容存储到目标数据库120中。

但是，对于静态脱敏技术来说，其只能对静态存储的数据进行脱敏，无法对网络中的实时数据流进行脱敏处理。

请参见图2，图2示出了本申请实施例提供的一种动态脱敏系统的示意图。如图2所示，该动态脱敏系统包括客户端210、服务器220和数据脱敏设备230。其中，数据脱敏设备230可分别连接客户端210和服务器220。

具体地，在数据脱敏设备230串接在网络中的情况下，数据脱敏设备230可对通过的流量进行检测，对检测到的敏感流量进行脱敏处理，从而可达到数据流量的脱敏效果。

此外，对于动态脱敏技术来说，其需要基于现有数据流量进行内部协议分析，并对流量的协议状态需要进行适配和改写，以保证流量在改写后仍然符合网络流量协议规范，从而达到实时脱敏的效果。

但是，由于镜像流量本身为正常流量的复制流量，该镜像流量本身不具有协议状态管控的机制，当前脱敏设备无法通过协议本身状态机制对镜像流量的数据内容进行改写后转发。所以，现有的动态脱敏技术不能对网络中的旁路的镜像流量进行脱敏处理。

另外，某些安全系统具有应用层协议的分析能力，能够对流量中的应用层协议(例如，超文本传输协议(Hypertext Transfer Protocol，HTTP)或者文件传输协议(FileTransfer Protocol，FTP)等)进行内容解析和分析，对于包含敏感数据的流量可以基于传输控制协议(Transmission Control Protocol，TCP)的五元组的方式进行过滤处理。其中，安全系统包括入侵检测系统(intrusion detection system，IDS)和入侵防御系统(Intrusion Prevention System，IPS)等。

但是，对于通过安全系统对流量进行处理的技术来说，由于缺少脱敏算法的支持，安全系统本身不具备数据脱敏的功能，只能基于五元组进行会话级别的过滤处理，无法支持对于协议内容的敏感数据的改写。所以，其也无法实现镜像流量的脱敏处理。

基于此，本申请实施例提供了一种数据脱敏方法，通过获取网络接入设备的初始镜像流量数据，随后对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据，随后对敏感数据进行脱敏处理，获得脱敏处理结果，随后对脱敏处理结果进行封装，生成目标镜像流量数据，最后向第三方设备发送目标镜像流量数据，从而其能够实现对镜像流量的脱敏处理。

请参见图3，图3示出了本申请实施例提供的一种应用场景的示意图。如图3所示的应用场景包括客户端310、服务器320、网络接入设备330、数据脱敏设备340和第三方设备350。其中，网络接入设备330分别连接客户端310、服务器320和数据脱敏设备340，以及数据脱敏设备340还与第三方设备350连接。

应理解，客户端310的具体设备、服务器320的具体设备、网络接入设备330的具体设备、数据脱敏设备340的具体设备和第三方设备350的具体设备等均可根据实际需求来进行设置，本申请实施例并不局限于此。

例如，网络接入设备330可以为交换机，也可以为路由器，也可以为防火墙等。

再例如，第三方设备350可以为第三方流量分析设备，也可以为第三方流量审计设备等。

为了便于理解本申请实施例，下面通过具体的实施例来进行描述。

具体地，由于网络接入设备330可获取客户端310和服务器320之间的流量，并可根据客户端310和服务器320之间的流量，生成镜像流量。随后，数据脱敏设备340可通过监听网络接入设备330的发送镜像数据的端口来获取初始镜像流量数据。

随后，数据脱敏设备340可对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据。随后，数据脱敏设备340可利用预设的脱敏算法，对敏感数据进行脱敏处理，获得脱敏处理结果。随后，数据脱敏设备340可对脱敏处理结果进行封装，生成目标镜像流量数据。最后，数据脱敏设备340可向第三方设备350发送目标镜像流量数据。

需要说明的是，本申请实施例提供的数据脱敏方案还可以进一步拓展到其他合适的场景中，而不限于图3所示的应用场景。

请参见图4，图4示出了本申请实施例提供的一种数据脱敏方法的流程图。如图4所示的数据脱敏方法应用于数据脱敏系统中的数据脱敏设备，数据脱敏系统还包括第三方设备和网络接入设备，该数据脱敏方法包括：

步骤S410，数据脱敏设备获取网络接入设备的初始镜像流量数据。

具体地，预先配置数据敏感设备的监听接口、敏感数据确定策略(或者敏感数据特征策略)、脱敏策略和目标镜像流量数据的输出接口等。随后，数据脱敏设备可对监听接口输入的初始镜像流量数据进行抓包缓存处理，从而可把初始镜像流量数据保存为数据包，并可对数据包进行缓存。其中，初始镜像流量数据也是网络接入设备发送给数据脱敏设备的数据。

应理解，监听接口的接口个数和接口类型等均可根据实际需求来进行设置，本申请实施例并不局限于此。

步骤S420，数据脱敏设备对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据。

应理解，数据脱敏设备对初始镜像流量数据进行分析的具体过程可根据实际需求来进行设置，本申请实施例并不局限于此。

为了便于理解本申请实施例，下面通过具体的实施例来进行描述。

具体地，数据脱敏设备可利用传输协议分析引擎对初始镜像流量数据进行传输协议分析，以还原出初始镜像流量数据中的传输数据。也就是说，数据脱敏设备可利用传输协议分析引擎对初始镜像流量数据进行传输协议识别，以确定出传输初始镜像流量数据使用的传输协议。随后，数据脱敏设备可利用识别出的传输协议的类型，对初始镜像流量数据进行解封装处理，以获得传输数据。

应理解，传输协议的具体协议可根据实际需求来进行设置，本申请实施例并不局限于此。

例如，传输协议可以是HTTP协议，也可以是FTP协议，也可以是简单邮件传输协议(Simple Mail Transfer Protocol，SMTP)等。

这里需要说明的是，虽然上面是以传输协议分析引擎对初始镜像流量数据进行解封装处理为例来进行描述的。但是，本领域的技术人应当理解，其还可在传输协议分析引擎识别出传输协议之后，再利用内容检测引擎实现传输数据的提取。

随后，数据脱敏设备可利用内容检测引擎对传输数据进行深度内容解析。由于深度内容解析包括文件类型解析和文件内容解析，数据脱敏设备可利用内容检测引擎对传输数据进行文件类型解析，获得文件内容。随后，数据脱敏设备可继续利用内容检测引擎对文件内容进行文件内容解析，确定文件内容中的敏感数据。

也就是说，数据脱敏设备可利用内容检测引擎对传输数据的文件类型进行识别，以确定出传输数据的文件类型。随后，数据脱敏设备可利用识别出的文件类型，对传输数据进行解析，获得文件内容。随后，数据脱敏设备可继续利用预先配置的敏感数据确定策略，对文件内容进行文件内容解析，确定文件内容中的敏感数据。其中，敏感数据可以是与敏感数据确定策略匹配的数据。

应理解，文件类型的具体类型可根据实际需求来进行设置，本申请实施例并不局限于此。

例如，文件类型包括以下文件类型中的至少一种文件类型：Word、PPT、Excel、PDF、压缩包、图片文件和影音文件。

还应理解，敏感数据确定策略的具体策略也可根据实际需求来进行设置，本申请实施例并不局限于此。

例如，敏感数据确定策略可以包括以下策略中的至少一种策略：关键字匹配策略、正则表达式匹配策略、字典库的相关策略、数据标识符的相关策略、结构化指纹库的相关策略和非结构化指纹库的相关策略。

步骤S430，数据脱敏设备对敏感数据进行脱敏处理，获得脱敏处理结果。

具体地，数据脱敏设备可利用预设的脱敏算法对敏感数据进行脱敏处理，获得脱敏处理结果。

应理解，预设的脱敏算法的具体算法可根据实际需求来进行设置，本申请实施例并不局限于此。

对应地，数据脱敏设备对敏感数据进行脱敏的形式也可根据实际需求来进行设置，本申请实施例并不局限于此。

例如，在确定敏感数据后，数据脱敏设备可对敏感数据进行整体的数据摘除(或者说，将敏感数据进行整体的删除)，也可以对敏感数据的部分数据进行脱敏处理(即数据脱敏设备对敏感数据中的部分数据进行局部脱敏处理，获得脱敏处理结果，即敏感数据除脱敏数据之外的其他数据是未处理的)。其中，脱敏处理可以为删除、改写或者加密(例如，可将敏感的手机号中的中间5位数字改写为特殊符号等)。

因此，本申请实施例可对敏感数据进行局部脱敏处理，不会改变整体的流量性质和模式。

步骤S440，数据脱敏设备对脱敏处理结果进行封装，生成目标镜像流量数据。

具体地，由于在步骤S420对初始镜像流量数据进行分析的过程中，数据脱敏设备可记录对应的传输协议、文件类型、校验码、长度字段和封装信息等特征信息，从而数据脱敏设备可按照原有的文件类型，对脱敏处理结果进行适配，以获得目标文件内容，且此时的目标文件内容的文件类型和上述的文件内容的文件类型是一致的。

随后，数据脱敏设备可按照传输协议的格式，将目标文件内容封装成传输层数据，且传输层数据对应的传输协议和初始镜像流量数据的传输协议是一样的。随后，数据脱敏设备可进行数据包的网络层IP数据参数的修改，以保证校验码和长度字段等数据正确。

最后，数据脱敏设备可写入链路层的封装信息，且最后获得数据的相关协议以及格式等与初始镜像流量数据的相关协议以及格式等是一致的。相较于初始镜像流量数据，不同的地方在于最后获得数据中的敏感数据进行了脱敏操作。

也就是说，数据脱敏设备可按照解封装的逆处理流程，对脱敏处理结果进行封装。

因此，在对镜像流量的敏感数据进行修改后，可进行协议的重新适配，并通过输出接口将目标镜像流量数据发送给第三方设备。

步骤S450，数据脱敏设备向第三方设备发送目标镜像流量数据。

具体地，数据脱敏设备可利用预先配置的输出接口将目标镜像流量数据发送给第三方设备。

这里需要说明的是，由于是镜像的流量，不存在对端可以建立连接和状态维护，对于镜像流量的脱敏过程可对原有流量的单一会话进行脱敏操作。

因此，本申请实施例使用了数据包缓存技术和深度内容解析技术，能够对镜像流量数据进行内容检测，并基于深度内容解析结果进行脱敏，从而对网络流量审计的应用提供了安全防护。

为了便于理解本申请实施例，下面通过具体的实施例来进行描述。

具体地，在某企业内部希望能够对于日常员工上网流量进行统计分析处理的情况下，其配置了检测交换机的镜像流量的功能。但是考虑安全，要求不能够把员工手机号码进行展示。

基于上述要求，引入了数据脱敏设备和第三方设备，数据脱敏设备可获取初始镜像流量数据，并对初始镜像流量数据进行传输协议识别，以确定传输初始镜像流量数据所使用的传输协议是HTTP协议。随后，数据脱敏设备可利用HTTP协议，对初始镜像流量数据进行解封装处理，获得初始镜像流量数据中的传输数据，即传输数据是在剥离HTTP协议后获得的。

随后，数据脱敏设备可对传输数据进行文件类型识别，确定文件类型为压缩和PDF。随后，数据脱敏设备可对传输数据进行解压缩，并从解压缩后的PDF文件中提取文件内容。

随后，数据脱敏设备可对文件内容进行敏感数据的检索，从而确定文件内容中存在手机号码，则可对手机号码进行脱敏处理。

随后，数据脱敏设备可对脱敏后的文件内容的格式设置成PDF格式，并可将PDF格式的文件进行压缩，以及数据脱敏设备还可对压缩的文件的传输协议设置成HTTP协议等，最后获得目标镜像流量数据。最后，数据脱敏设备向第三方设备发送目标镜像流量数据。

应理解，上述数据脱敏方法仅是示例性的，本领域技术人员根据上述的方法可以进行各种变形，该变形之后的方案也属于本申请的保护范围。

请参见图5，图5示出了本申请实施例提供的一种数据脱敏装置500的结构框图，应理解，该数据脱敏装置500能够执行上述方法实施例中的各个步骤，该数据脱敏装置500具体的功能可以参见上文中的描述，为避免重复，此处适当省略详细描述。数据脱敏装置500包括至少一个能以软件或固件(firmware)的形式存储于存储器中或固化在数据脱敏装置500的操作系统(operating system，OS)中的软件功能模块。具体地，该数据脱敏装置500应用于数据脱敏系统中的数据脱敏设备，数据脱敏系统还包括第三方设备和网络接入设备，数据脱敏装置500包括：

获取模块510，用于获取网络接入设备的初始镜像流量数据；分析模块520，用于对初始镜像流量数据进行分析，确定初始镜像流量数据中的敏感数据；脱敏模块530，用于对敏感数据进行脱敏处理，获得脱敏处理结果；封装模块540，用于对脱敏处理结果进行封装，生成目标镜像流量数据；发送模块550，用于向第三方设备发送目标镜像流量数据。

在一个可能的实施例中，分析模块520，包括：传输协议分析模块(未示出)，用于对初始镜像流量数据进行传输协议分析，获得传输数据；内容解析模块(未示出)，用于对传输数据进行内容解析，确定敏感数据。

在一个可能的实施例中，内容解析模块，具体用于：对传输数据进行文件类型解析，获得文件内容；对文件内容进行文件内容解析，确定文件内容中的敏感数据。

在一个可能的实施例中，脱敏模块，具体用于：对敏感数据进行局部脱敏处理，获得脱敏处理结果。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置的具体工作过程，可以参考前述方法中的对应过程，在此不再过多赘述。

图6示出了本申请实施例提供的一种电子设备600的结构框图。如图6所示，电子设备600可以包括处理器610、通信接口620、存储器630和至少一个通信总线640。其中，通信总线640用于实现这些组件直接的连接通信。其中，本申请实施例中设备的通信接口620用于与其他节点设备进行信令或数据的通信。处理器610可以是一种集成电路芯片，具有信号的处理能力。上述的处理器610可以是通用处理器，包括中央处理器(Central ProcessingUnit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(Digital Signal Processing，简称DSP)、专用集成电路(Application SpecificIntegrated Circuit，简称ASIC)、现场可编程逻辑门阵列(Field Programmable GateArray，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器610也可以是任何常规的处理器等。

存储器630可以是，但不限于，随机存取存储器(Random Access Memory，简称RAM)，只读存储器(Read Only Memory，简称ROM)，可编程只读存储器(Programmable Read-Only Memory，简称PROM)，可擦除只读存储器(Erasable Programmable Read-OnlyMemory，简称EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-OnlyMemory，简称EEPROM)等。存储器630中存储有计算机可读取指令，当所述计算机可读取指令由所述处理器610执行时，电子设备600可以执行上述方法实施例中的各个步骤。

电子设备600还可以包括存储控制器、输入输出单元、音频单元、显示单元。

所述存储器630、存储控制器、处理器610、外设接口、输入输出单元、音频单元、显示单元各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通信总线640实现电性连接。所述处理器610用于执行存储器630中存储的可执行模块，例如电子设备600包括的软件功能模块或计算机程序。

输入输出单元用于提供给用户输入数据实现用户与服务器(或本地终端)的交互。所述输入输出单元可以是，但不限于，鼠标和键盘等。

音频单元向用户提供音频接口，其可包括一个或多个麦克风、一个或者多个扬声器以及音频电路。

显示单元在所述电子设备与用户之间提供一个交互界面(例如用户操作界面)或用于显示图像数据给用户参考。在本实施例中，所述显示单元可以是液晶显示器或触控显示器。若为触控显示器，其可为支持单点和多点触控操作的电容式触控屏或电阻式触控屏等。支持单点和多点触控操作是指触控显示器能感应到来自该触控显示器上一个或多个位置处同时产生的触控操作，并将该感应到的触控操作交由处理器进行计算和处理。

可以理解，图6所示的结构仅为示意，所述电子设备600还可包括比图6中所示更多或者更少的组件，或者具有与图6所示不同的配置。图6中所示的各组件可以采用硬件、软件或其组合实现。

本申请提供一种存储介质，该存储介质上存储有计算机程序，该计算机程序被处理器运行时执行实施例中的方法。

本申请还提供一种计算机程序产品，所述计算机程序产品在计算机上运行时，使得计算机执行实施例中的方法。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统的具体工作过程，可以参考前述方法中的对应过程，在此不再过多赘述。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种数据脱敏方法，其特征在于，所述数据脱敏方法应用于数据脱敏系统中的数据脱敏设备，所述数据脱敏系统还包括第三方设备和网络接入设备，所述数据脱敏方法包括：

获取所述网络接入设备的初始镜像流量数据；

对所述初始镜像流量数据进行分析，确定所述初始镜像流量数据中的敏感数据；

对所述敏感数据进行脱敏处理，获得脱敏处理结果；

对所述脱敏处理结果进行封装，生成目标镜像流量数据；

向所述第三方设备发送所述目标镜像流量数据。

2.根据权利要求1所述的数据脱敏方法，其特征在于，所述对所述初始镜像流量数据进行分析，确定所述初始镜像流量数据中的敏感数据，包括：

对所述初始镜像流量数据进行传输协议分析，获得传输数据；

对所述传输数据进行内容解析，确定所述敏感数据。

3.根据权利要求2所述的数据脱敏方法，其特征在于，所述对所述传输数据进行内容解析，确定所述敏感数据，包括：

对所述传输数据进行文件类型解析，获得文件内容；

对所述文件内容进行文件内容解析，确定所述文件内容中的敏感数据。

4.根据权利要求1所述的数据脱敏方法，其特征在于，所述对所述敏感数据进行脱敏处理，获得脱敏处理结果，包括：

对所述敏感数据进行局部脱敏处理，获得所述脱敏处理结果。

5.一种数据脱敏装置，其特征在于，所述数据脱敏装置应用于数据脱敏系统中的数据脱敏设备，所述数据脱敏系统还包括第三方设备和网络接入设备，所述数据脱敏装置包括：

获取模块，用于获取所述网络接入设备的初始镜像流量数据；

分析模块，用于对所述初始镜像流量数据进行分析，确定所述初始镜像流量数据中的敏感数据；

脱敏模块，用于对所述敏感数据进行脱敏处理，获得脱敏处理结果；

封装模块，用于对所述脱敏处理结果进行封装，生成目标镜像流量数据；

发送模块，用于向所述第三方设备发送所述目标镜像流量数据。

6.根据权利要求5所述的数据脱敏装置，其特征在于，所述分析模块，包括：

传输协议分析模块，用于对所述初始镜像流量数据进行传输协议分析，获得传输数据；

内容解析模块，用于对所述传输数据进行内容解析，确定所述敏感数据。

7.根据权利要求6所述的数据脱敏装置，其特征在于，所述内容解析模块，具体用于：对所述传输数据进行文件类型解析，获得文件内容；对所述文件内容进行文件内容解析，确定所述文件内容中的敏感数据。

8.根据权利要求5所述的数据脱敏装置，其特征在于，所述脱敏模块，具体用于：对所述敏感数据进行局部脱敏处理，获得所述脱敏处理结果。

9.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如权利要求1至4任一所述的数据脱敏方法。

10.一种电子设备，其特征在于，所述电子设备包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当所述电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如权利要求1至4任一所述的数据脱敏方法。

Images