CN114021161A - 一种基于工业大数据共享服务的安全管理方法 - Google Patents

一种基于工业大数据共享服务的安全管理方法 Download PDF

Info

Publication number
CN114021161A
CN114021161A CN202111224933.5A CN202111224933A CN114021161A CN 114021161 A CN114021161 A CN 114021161A CN 202111224933 A CN202111224933 A CN 202111224933A CN 114021161 A CN114021161 A CN 114021161A
Authority
CN
China
Prior art keywords
data
key
user
sharing service
sensitive
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111224933.5A
Other languages
English (en)
Inventor
武婉婉
胡立军
李佳
商广勇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shandong Inspur Industrial Internet Industry Co Ltd
Original Assignee
Shandong Inspur Industrial Internet Industry Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shandong Inspur Industrial Internet Industry Co Ltd filed Critical Shandong Inspur Industrial Internet Industry Co Ltd
Priority to CN202111224933.5A priority Critical patent/CN114021161A/zh
Publication of CN114021161A publication Critical patent/CN114021161A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/604Tools and structures for managing or administering access control systems
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/602Providing cryptographic facilities or services
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245Protecting personal data, e.g. for financial or medical purposes

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Automation & Control Theory (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及工业互联网中工业大数据安全保护领域,具体提供了一种基于工业大数据共享服务的安全管理方法,具有如下步骤:S1、访问控制;S2、数据识别;S3、数据脱敏;S4、数据加密;S5、数据风险;S6、数据审计。与现有技术相比,本发明一种基于工业大数据共享服务的安全管理方法,能够按需为用户分配最小权限,降低企业数据信息安全风险,确保授权的工业数据资源才能提交数据访问请求,实现数据按需访问,避免数据访问范围的扩大化。

Description

一种基于工业大数据共享服务的安全管理方法
技术领域
本发明涉及工业互联网中工业大数据安全保护领域,具体提供一种基于工业大数据共享服务的安全管理方法。
背景技术
工业大数据共享服务会对存储于工业大数据平台的海量数据进行查询、分析、计算和导出等操作,因此在工业大数据平台提供数据服务的同时,其安全风险也随之被暴露,攻击者可利用各类已知或未知漏洞发起攻击,达到破坏系统或者获取数据信息的目的,因此需要对数据共享安全进行严格管控。
现有的数据安全方案,未针对工业数据的来源、内在价值、内容敏感程度和访问范围等差异进行分级分类管理,存在安全策略上的“一刀切”问题,这种方式不仅导致不能快速发现潜在的风险和异常行为,还增加了系统负担,提高了数据安全防控成本。
发明内容
本发明是针对上述现有技术的不足,提供一种实用性强的基于工业大数据共享服务的安全管理方法。
本发明解决其技术问题所采用的技术方案是:
一种基于工业大数据共享服务的安全管理方法,具有如下步骤:
S1、访问控制;
S2、数据识别;
S3、数据脱敏;
S4、数据加密;
S5、数据风险;
S6、数据审计。
进一步的,单点登录协议,提供多种用户管理方式,权限管理对用户或用户组的可访问资源范围进行管理;进行租户空间管理,对存储资源及计算资源进行租户隔离,支持粒度资源权限管理,对用户或用户组设置资源的单一权限。
进一步的,在步骤S2中,进行数据分级,对数据进行密级划分和对敏感数据进行分类,将敏感数据分类与数据分级关联;
通过定义敏感数据识别规则识别数据库内的敏感数据,通过定义敏感数据识别规则组,将多个零散的规则组合成一个有业务逻辑的规则组,作为后续敏感数据识别任务的前提条件,绑定数据类别和数据密级;
完成敏感数据识别规则组定义后,根据定义的规则来创建敏感数据识别任务,发现敏感数据;
所述敏感数据根据数据密级和敏感数据类别进行查询,添加到白名单中的数据字段,在后续的数据识别过程中将直接跳过。
进一步的,在步骤S3中,内置脱敏算法,使生产类敏感数据脱敏到非生产环境使用的场景,支持静态脱敏和动态脱敏;
所述静态脱敏通过配置源端数据表并关联脱敏算法,对原始数据中敏感数据进行掩码、截断和hash,脱敏后的数据写入到目标端数据表中,使用目标表数据对外提供数据共享服务;
所述动态脱敏为用户自定义创建脱敏规则对数据进行动态脱敏,数据源类型支持Hive数据源。
进一步的,在步骤S4中,内置加密算法,提供密钥管理、密钥对管理和加密服务,支持用户创建密钥、创建密钥对和对数据加密。
进一步的,在加密算法中加密过程为:
(1)用户或者开发者在数据加密模块新增用户密钥,获取密钥的KeyId,
(2)SDK中的EncryptionClient在执行init()方法时,会调用数据加密服务的GenerateDataKey接口,该接口基于KeyId,创建随机数据密钥,返回一个明文的数据密钥和一个密文的数据密钥;
(3)使用明文的数据密钥加密文件,得到密文数据,并销毁内存中的明文密钥;
(4)用户将密文数据密钥和密文数据一同存储到持久化存储设备或服务中;
解密过程为:
(1)从本地文件中读取密文数据密钥;
(2)调用数据加密服务的Decrypt接口,将加密过的密文数据密钥解密为明文密钥;
(3)、用明文密钥实现本地数据的解密,并销毁内存中的明文密钥。
进一步的,在步骤S5中,按照数据分级分类进行风险规则配置,基于规则实现数据风险的识别及告警,且关联数据加密和数据脱敏策略。
进一步的,在步骤S6中,提供详细的授权日志记录,给用户提供授权审计所需的信息;
利用数据库协议分析技术将所有访问和使用数据的行为全部记录下来,提供详细的客户端访问资源的鉴权日志记录,通过所述鉴权日志记录使用户进行鉴权审计。
本发明的一种基于工业大数据共享服务的安全管理方法和现有技术相比,具有以下突出的有益效果:
本发明能够按需为用户分配最小权限,降低企业数据信息安全风险,确保授权的工业数据资源才能提交数据访问请求,实现数据按需访问,避免数据访问范围的扩大化。
内置算法规则,根据结果做进一步的安全防护。通过灵活多样的内置或自定义脱敏算法,实现生产环境的敏感数据脱敏到开发测试等非生产环境使用场景,避免数据对外交换供他人使用时泄露敏感信息。通过数据审计和风险预警,实现行为实时监控,实时拦截共享和使用过程中的攻击行为。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
附图1是一种基于工业大数据共享服务的安全管理方法的流程示意图。
具体实施方式
为了使本技术领域的人员更好的理解本发明的方案,下面结合具体的实施方式对本发明作进一步的详细说明。显然,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例都属于本发明保护的范围。
下面给出一个最佳实施例:
如图1所示,本实施例中的一种基于工业大数据共享服务的安全管理方法,具有如下步骤:
S1、访问控制:
用户认证提供统一认证管理以及完整的账户生命周期管理,支持OAuth、SAML等标准单点登录协,提供角色管理、用户组管理等多种用户管理方式。权限管理可对用户或用户组的可访问资源范围进行管理。提供租户空间管理功能,对存储资源及计算资源进行租户隔离,同时支持细粒度资源权限管理,可对用户或用户组设置资源的单一权限。
S2、数据识别:
内置算法或用户自定义算法模型,通过规则匹配等方式精准识别敏感数据。
数据分级提供对数据进行密级划分的功能;数据分类提供对敏感数据进行分类的功能,支持敏感数据分类与数据分级关联;通过定义敏感数据识别规则,有效识别数据库内的敏感数据,通过定义敏感数据识别规则组,将多个零散的规则组合成为一个有业务逻辑的规则组,作为后续敏感数据识别任务的前提条件,同时可以绑定数据类别和数据密级;完成敏感数据识别规则组定义后,根据定义的规则来创建敏感数据识别任务,发现敏感数据;敏感数据管理支持根据数据密级、敏感数据类别进行查询;添加到白名单中的数据字段,在后续的数据识别过程中将会直接跳过。
S3、数据脱敏:
内置Hash、加密、遮掩、仿真、变换、替换等类型脱敏算法,可实现生产类敏感数据脱敏到开发、测试等非生产环境使用的场景,可确保脱敏后的数据保真可用,支持静态脱敏和动态脱敏。
静态脱敏通过配置源端数据表并关联脱敏算法,对原始数据中敏感数据进行掩码、截断、hash等,支持脱敏后的数据写入到目标端数据表中,使用目标表数据对外提供数据共享服务,提高生产数据在数据共享服务过程中的安全性。
动态脱敏支持用户自定义创建脱敏规则对数据进行动态脱敏,数据源类型支持Hive数据源。
S4、数据加密:
用户可在上传数据之前通过加密服务对数据或文件进行加密,敏感数据以密文的形式存储,即使在存储介质被窃取或数据文件被非法复制的情况下,敏感数据仍是安全的。
内置多种类型加密算法,支持公开加密算法DES、AES、RSA等,支持MD5、SHA1等摘要算法,支持SM2、SM3等国家批准的国密算法,满足数据开发者对涉及国家秘密、企业秘密等信息的工业数据、文件的加密需求。数据加密模块提供密钥管理、密钥对管理、加密服务功能,支持用户自定义创建密钥、创建密钥对、对数据加密。
密钥或密钥对管理模块支持对称密钥和非对称密钥两种方案,用户可根据业务场景进行选择,数据管理员通过设置用户对密钥的权限实现敏感数据的保护,只有拥有解密权限的用户可查看到解密之后的数据。
对被加密服务对象较大,无法在线完成数据加密的场景,提供数据安全Java SDK,支持敏感数据本地加密。
在加密算法中加密过程为:
(1)用户或者开发者在数据加密模块新增用户密钥,获取密钥的KeyId,
(2)SDK中的EncryptionClient在执行init()方法时,会调用数据加密服务的GenerateDataKey接口,该接口基于KeyId,创建随机数据密钥,返回一个明文的数据密钥和一个密文的数据密钥;
(3)使用明文的数据密钥加密文件,得到密文数据,并销毁内存中的明文密钥;
(4)用户将密文数据密钥和密文数据一同存储到持久化存储设备或服务中;
解密过程为:
(1)从本地文件中读取密文数据密钥;
(2)调用数据加密服务的Decrypt接口,将加密过的密文数据密钥解密为明文密钥;
(3)、用明文密钥实现本地数据的解密,并销毁内存中的明文密钥。
S5、数据风险:
支持按照数据分级分类进行风险规则配置,并基于规则实现数据风险的识别及告警,且可关联数据加密和数据脱敏策略。
S6、数据审计:
提供详细的授权日志记录,包括权限的授予、更新、删除等操作,给用户提供授权审计所需要的信息;利用数据库协议分析技术将所有访问和使用数据的行为全部记录下来,提供详细的客户端访问资源的鉴权日志记录,包括客户端访问时间、客户端IP、客户端用户、操作资源结果等信息,通过这些日志,可以方便用户进行鉴权审计。
上述具体的实施方式仅是本发明具体的个案,本发明的专利保护范围包括但不限于上述具体的实施方式,任何符合本发明的一种基于工业大数据共享服务的安全管理方法权利要求书的且任何所述技术领域普通技术人员对其做出的适当变化或者替换,皆应落入本发明的专利保护范围。
尽管已经示出和描述了本发明的实施例,对于本领域的普通技术人员而言,可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型,本发明的范围由所附权利要求及其等同物限定。

Claims (8)

1.一种基于工业大数据共享服务的安全管理方法,其特征在于,具有如下步骤:
S1、访问控制;
S2、数据识别;
S3、数据脱敏;
S4、数据加密;
S5、数据风险;
S6、数据审计。
2.根据权利要求1所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S1中,用户认证提供统一管理以及完整账户生命周期管理,支持标准单点登录协议,提供多种用户管理方式,权限管理对用户或用户组的可访问资源范围进行管理;进行租户空间管理,对存储资源及计算资源进行租户隔离,支持粒度资源权限管理,对用户或用户组设置资源的单一权限。
3.根据权利要求2所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S2中,进行数据分级,对数据进行密级划分和对敏感数据进行分类,将敏感数据分类与数据分级关联;
通过定义敏感数据识别规则识别数据库内的敏感数据,通过定义敏感数据识别规则组,将多个零散的规则组合成一个有业务逻辑的规则组,作为后续敏感数据识别任务的前提条件,绑定数据类别和数据密级;
完成敏感数据识别规则组定义后,根据定义的规则来创建敏感数据识别任务,发现敏感数据;
所述敏感数据根据数据密级和敏感数据类别进行查询,添加到白名单中的数据字段,在后续的数据识别过程中将直接跳过。
4.根据权利要求3所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S3中,内置脱敏算法,使生产类敏感数据脱敏到非生产环境使用的场景,支持静态脱敏和动态脱敏;
所述静态脱敏通过配置源端数据表并关联脱敏算法,对原始数据中敏感数据进行掩码、截断和hash,脱敏后的数据写入到目标端数据表中,使用目标表数据对外提供数据共享服务;
所述动态脱敏为用户自定义创建脱敏规则对数据进行动态脱敏,数据源类型支持Hive数据源。
5.根据权利要求4所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S4中,内置加密算法,提供密钥管理、密钥对管理和加密服务,支持用户创建密钥、创建密钥对和对数据加密。
6.根据权利要求5所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在加密算法中加密过程为:
(1)用户或者开发者在数据加密模块新增用户密钥,获取密钥的KeyId,
(2)SDK中的EncryptionClient在执行init()方法时,会调用数据加密服务的GenerateDataKey接口,该接口基于KeyId,创建随机数据密钥,返回一个明文的数据密钥和一个密文的数据密钥;
(3)使用明文的数据密钥加密文件,得到密文数据,并销毁内存中的明文密钥;
(4)用户将密文数据密钥和密文数据一同存储到持久化存储设备或服务中;
解密过程为:
(1)从本地文件中读取密文数据密钥;
(2)调用数据加密服务的Decrypt接口,将加密过的密文数据密钥解密为明文密钥;
(3)、用明文密钥实现本地数据的解密,并销毁内存中的明文密钥。
7.根据权利要求6所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S5中,按照数据分级分类进行风险规则配置,基于规则实现数据风险的识别及告警,且关联数据加密和数据脱敏策略。
8.根据权利要求7所述的一种基于工业大数据共享服务的安全管理方法,其特征在于,在步骤S6中,提供详细的授权日志记录,给用户提供授权审计所需的信息;
利用数据库协议分析技术将所有访问和使用数据的行为全部记录下来,提供详细的客户端访问资源的鉴权日志记录,通过所述鉴权日志记录使用户进行鉴权审计。
CN202111224933.5A 2021-10-21 2021-10-21 一种基于工业大数据共享服务的安全管理方法 Pending CN114021161A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111224933.5A CN114021161A (zh) 2021-10-21 2021-10-21 一种基于工业大数据共享服务的安全管理方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111224933.5A CN114021161A (zh) 2021-10-21 2021-10-21 一种基于工业大数据共享服务的安全管理方法

Publications (1)

Publication Number Publication Date
CN114021161A true CN114021161A (zh) 2022-02-08

Family

ID=80056863

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111224933.5A Pending CN114021161A (zh) 2021-10-21 2021-10-21 一种基于工业大数据共享服务的安全管理方法

Country Status (1)

Country Link
CN (1) CN114021161A (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114519406A (zh) * 2022-04-21 2022-05-20 天津卓朗科技发展有限公司 工业数据的分类方法及其模型训练方法、装置
CN116781423A (zh) * 2023-08-18 2023-09-19 山东省信息技术产业发展研究院(中国赛宝(山东)实验室) 一种工业互联网数据的共享方法及系统
CN117077201A (zh) * 2023-08-30 2023-11-17 国网山东省电力公司德州供电公司 一种基于多域联合的高密级数据共享防泄漏方法及系统
CN117494163A (zh) * 2023-11-06 2024-02-02 深圳市马博士网络科技有限公司 一种基于安全规则的数据服务的方法和装置
CN117544622A (zh) * 2023-11-07 2024-02-09 翼健(上海)信息科技有限公司 一种用户可控的隐私数据授权共享方法、系统和介质

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114519406A (zh) * 2022-04-21 2022-05-20 天津卓朗科技发展有限公司 工业数据的分类方法及其模型训练方法、装置
CN116781423A (zh) * 2023-08-18 2023-09-19 山东省信息技术产业发展研究院(中国赛宝(山东)实验室) 一种工业互联网数据的共享方法及系统
CN116781423B (zh) * 2023-08-18 2023-11-03 山东省信息技术产业发展研究院(中国赛宝(山东)实验室) 一种工业互联网数据的共享方法及系统
CN117077201A (zh) * 2023-08-30 2023-11-17 国网山东省电力公司德州供电公司 一种基于多域联合的高密级数据共享防泄漏方法及系统
CN117077201B (zh) * 2023-08-30 2024-03-29 国网山东省电力公司德州供电公司 一种基于多域联合的高密级数据共享防泄漏方法及系统
CN117494163A (zh) * 2023-11-06 2024-02-02 深圳市马博士网络科技有限公司 一种基于安全规则的数据服务的方法和装置
CN117494163B (zh) * 2023-11-06 2024-05-31 深圳市马博士网络科技有限公司 一种基于安全规则的数据服务的方法和装置
CN117544622A (zh) * 2023-11-07 2024-02-09 翼健(上海)信息科技有限公司 一种用户可控的隐私数据授权共享方法、系统和介质

Similar Documents

Publication Publication Date Title
CN114021161A (zh) 一种基于工业大数据共享服务的安全管理方法
CN109923548A (zh) 通过监管进程访问加密数据实现数据保护的方法、系统及计算机程序产品
Viega Building security requirements with CLASP
Kapil et al. Attribute based honey encryption algorithm for securing big data: Hadoop distributed file system perspective
CN104756127A (zh) 通过虚拟机进行安全数据处理
Omotunde et al. A comprehensive review of security measures in database systems: Assessing authentication, access control, and beyond
KR20050085678A (ko) 고정형 토큰 및 이동형 토큰 모두를 이용한 어테스테이션
CN109829333B (zh) 一种基于OpenID的关键信息保护方法及系统
CN113946839A (zh) 数据访问方法、装置、存储介质及电子装置
US20220086000A1 (en) Cryptographic systems
Sauber et al. A new secure model for data protection over cloud computing
Kalaiprasath et al. Cloud information accountability (cia) framework ensuring accountability of data in cloud and security in end to end process in cloud terminology
CN110708156B (zh) 一种通信方法、客户端及服务器
Goswami et al. Investigation on storage level data integrity strategies in cloud computing: classification, security obstructions, challenges and vulnerability
Bingu et al. A comprehensive review on security and privacy preservation in cloud environment
Mumtaz et al. PDIS: A Service Layer for Privacy and Detecting Intrusions in Cloud Computing.
Adlam et al. Applying Blockchain Technology to Security-Related Aspects of Electronic Healthcare Record Infrastructure
CN113221139A (zh) 一种电子信息加密方法
CN112769784A (zh) 文本的处理方法和装置、计算机可读存储介质及处理器
Yang et al. New paradigm of inference control with trusted computing
Alghayadh et al. Privacy and trust in cloud computing
Nasreen et al. Cloud forensics: A centralized cloud provenance investigation system using MECC
US20240070309A1 (en) System and method for efficient cryptographically-assured data access management for advanced data access policies
Haouari et al. TASMR: Towards advanced secure mapreduc framework across untrusted hybrid clouds
Senthilkumar et al. ERAC-MAC efficient revocable access control for multi-authority cloud storage system

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination