CN114118073A

CN114118073A - 数据追踪方法和装置

Info

Publication number: CN114118073A
Application number: CN202111294391.9A
Authority: CN
Inventors: 李建彬; 刘铭; 段茂涛; 甘文杰
Original assignee: Alipay Hangzhou Information Technology Co Ltd
Current assignee: Alipay Hangzhou Information Technology Co Ltd
Priority date: 2021-11-03
Filing date: 2021-11-03
Publication date: 2022-03-01

Abstract

本说明书实施例提供了一种数据追踪方法和装置。该方法包括：获取数据转发设备接收到的报文；该报文的发送端为第一应用端，该报文的接收端为第二应用端；该数据转发设备位于第一应用端与第二应用端之间；识别所述报文中是否包括待追踪数据；如果包括，则生成所述待追踪数据的追踪记录，该追踪记录中包括：所述第一应用端的信息及所述第二应用端的信息。本说明书实施例实现数据追踪的方式更易于实现。

Description

数据追踪方法和装置

技术领域

本说明书一个或多个实施例涉及网络通信技术领域，尤其涉及数据追踪方法和装置。

背景技术

随着网络的迅速发展，大量的数据在网络中流转。在实际业务中，经常需要对一些数据在网络中的流转情况进行监控。比如，对于敏感数据如手机号码，需要监控其流转路径，从而判断敏感数据是否被泄露等。

目前通常采用数据标注方法来对数据比如用户的隐私数据进行追踪。即，在应用端用标注的方式来记录源数据的一些重要信息，并让标注和源数据一起传播，通过查看数据中的标注就可以获得数据的溯源。但是数据标注方法需要对源数据进行标注改造，实现难度大。

发明内容

本说明书一个或多个实施例描述了数据追踪方法和装置，实现方式更为简单。

根据第一方面，提出了一种数据追踪方法，包括：

获取数据转发设备接收到的报文；该报文的发送端为第一应用端，该报文的接收端为第二应用端；该数据转发设备位于第一应用端与第二应用端之间；

识别所述报文中是否包括待追踪数据；

如果包括，则生成所述待追踪数据的追踪记录，该追踪记录中包括：所述第一应用端的信息及所述第二应用端的信息。

所述获取数据转发设备接收到的报文，包括：利用Hook方式或静态代码替换方式，将数据转发设备接收报文的接口所对应的执行逻辑经过安全切面模块路由到一个独立设备的数据追踪装置中；由该数据追踪装置获取所述报文；

则，由该独立设备中的所述数据追踪装置执行所述识别以及所述生成的步骤。

其中，所述识别所述报文中是否包括待追踪数据，包括如下中的至少一项：

识别所述报文中是否包括与预设字符串相同的数据，如果是，则确定所述报文中包括待追踪数据；

识别所述报文中是否包括符合预设正则表达式的数据，如果是，则确定所述报文中包括待追踪数据；

利用预先训练的LSTM+CRF模型识别所述报文中是否包括待追踪数据。

其中，所述数据转发设备包括：在内网中转发各应用端的报文的网络代理服务器，和/或，在内网与外网的不同应用端之间传输报文的网关。

在生成所述待追踪数据的追踪记录之后，进一步包括：

获取第一应用端和/或第二应用端的本地操作日志；

对该本地操作日志进行解析，获取所述待追踪数据在第一应用端和/或第二应用端内部的流转信息；

在所述追踪记录中加入所述待追踪数据在第一应用端和/或第二应用端内部的流转信息；

根据追踪记录得到所述待追踪数据的流转路径。

其中，所述待追踪数据包括：隐私数据。

根据第二方面，提供了一种数据追踪装置，包括：

报文获取模块，配置为获取数据转发设备接收到的报文；该报文的发送端为第一应用端，该报文的接收端为第二应用端；该数据转发设备位于第一应用端与第二应用端之间；

识别模块，配置为识别所述报文中是否包括待追踪数据；

追踪记录生成模块，配置为在所述报文中包括待追踪数据时，生成所述待追踪数据的追踪记录，该追踪记录中包括：所述第一应用端的信息及所述第二应用端的信息。

该数据追踪装置被设置在数据转发设备中，或者被设置在独立于数据转发设备的一个独立设备中；

和/或，

所述数据转发设备包括：在内网中转发各应用端的报文的网络代理服务器和/或在内网与外网的不同应用端之间传输报文的网关。

其中，所述识别模块被配置为执行如下中的至少一项：

其中，所述追踪记录生成模块进一步被配置为执行：

获取第一应用端和/或第二应用端的本地操作日志；

根据追踪记录得到所述待追踪数据的流转路径。

根据第三方面，提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现本说明书任一实施例所述的方法。

本说明书实施例提供的数据追踪方法和装置，考虑到数据转发设备能够接收到在各个应用端之间传输的报文，因此，在该数据转发设备侧而非应用端进行数据追踪处理，通过对数据转发设备接收到的报文进行解析，就可以知道在各个应用端之间传输的报文中是否有待追踪的数据。由于无需对源数据进行标注改造，也无需在数据的应用端进行处理，因此与业务应用实现了解耦合，降低了应用端的处理难度，易于实现。并且，对于大型系统而言，由于无需为细粒度的数据提供详细的数据溯源信息，因此节省了存储空间。因此，本说明书实施例的方式更容易实现。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本说明书的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本说明书一个实施例中实现数据追踪方法的流程图；

图2是本说明书一个实施例在内网中进行数据追踪的应用系统示意图；

图3是本说明书一个实施例在内网中进行数据追踪的方法的流程图；

图4是本说明书一个实施例在内外网之间进行数据追踪的应用系统示意图；

图5是本说明书一个实施例在内外网之间进行数据追踪的方法的流程图；

图6是本说明书一个实施例中数据追踪装置的结构示意图。

具体实施方式

如前所述，现有技术采用数据标注方法来实现数据追踪时，需要对源数据进行标注改造，这需要在数据的应用端进行处理，与业务应用强耦合，增加了应用端的处理难度。另外，对于大型系统而言，很难为细粒度的数据提供详细的数据溯源信息，因为这可能导致元数据比原始数据还多，需要额外的存储空间，对存储造成很大的压力。因此，现有技术的方式实现难度大。

下面结合附图，对本说明书提供的方案进行描述。

图1是本说明书一个实施例中实现数据追踪方法的流程图，该方法的执行主体是数据追踪装置。可以理解，该方法可以通过任何具有计算、处理能力的装置、设备、平台、设备集群来执行。参见图1，具体的实现包括：

步骤101：获取数据转发设备接收到的报文；该报文的发送端为第一应用端，该报文的接收端为第二应用端；该数据转发设备位于第一应用端与第二应用端之间。

步骤103：识别所述报文中是否包括待追踪数据，如果包括，则执行步骤105，如果不包括，结束当前流程。

步骤105：生成所述待追踪数据的追踪记录，该追踪记录中包括：所述第一应用端的信息及所述第二应用端的信息。

在上述图1所示的过程中，考虑到数据转发设备能够接收到在各个应用端之间传输的报文，因此，在该数据转发设备侧而非应用端进行数据追踪处理，通过对数据转发设备接收到的报文进行解析，就可以知道在各个应用端之间传输的报文中是否有待追踪的数据。由于无需对源数据进行标注改造，也无需在数据的应用端进行处理，因此与业务应用实现了解耦合，降低了应用端的处理难度，易于实现。并且，对于大型系统而言，由于无需为细粒度的数据提供详细的数据溯源信息，因此节省了存储空间。因此，本说明书实施例的方式更容易实现。

在一个企业的内网中，各个不用的应用之间会传输数据。在一些业务场景中，因为在内网中不同应用之间传输的数据都需要经过网络代理服务器来转发，也就是说，网络代理服务器能够拿到在内网中流转的各种数据，因此，可以利用网络代理服务器来对在内网中流转的数据进行追踪。也就是说，上述图1中涉及的数据转发设备可以是网络代理服务器，比如mosn。

同时，数据也经常在企业的内外网之间传输。在一些业务场景中，因为内外网中的不同应用端传输的数据都需要经过网关来转发，也就是说，网关能够拿到在内外网之间流转的各种数据，因此，可以利用网关来对在内外网之间流转的数据进行追踪。也就是说，上述图1中涉及的数据转发设备也可以是网关，比如spanner。

上述图1所示的处理可以是由网络代理服务器执行，或者由网关执行，或者也可以由独立于网络代理服务器及网关的一个独立设备来执行。

下面以上述数据转发设备为网络代理服务器，且通过独立于该网络代理服务器的一个专用设备中的数据追踪装置来实现追踪为例，说明在本说明书一个实施例中在内网的两个应用端之间进行数据流转时进行数据追踪的实现过程。参见图2和图3，该过程具体包括：

步骤301：应用端1发送报文1。

步骤303：网络代理服务器接收到该报文1。

这里，该报文1的接收端为应用端2。应用端1和应用端2均位于企业的内网中。在企业的内网中，应用端1比如为“淘宝”需要将一个携带用户信息的报文1发送给应用端2比如为“饿了么”，那么，该报文1会经过内网中的网络代理服务器比如Mosn转发，因此，网络代理服务器能够接收到该报文1。

步骤305：数据追踪装置从网络代理服务器处获取报文1。

本步骤中可以利用安全切面模块来实现。由于在内网中传输报文时，是通过调用TR接口来实现的。基于此，在具体实现时，可以利用Hook(钩子函数)方式或静态代码替换方式，对该TR接口进行切面，使得当应用端1在调用网络代理服务器的TR接口时，安全切面模块可以将该TR接口所对应的执行逻辑路由到数据追踪装置，该数据追踪装置获取该报文1，并进行后续步骤中的识别及记录的处理。

其中，切面，即面向切面编程(AOP，Aspect-oriented Programming)，它是通过预编译、运行时动态代理或注入的方式，实现在不修改源代码的情况下给程序动态添加功能的编程范式。因此，通过安全切面模块可以实现对报文的管控。

在本说明书的一个实施例中，为了进一步减少计算量，数据追踪装置可以是对网络代理服务器接收到的所有报文进行抽样，然后对抽样出的各报文识别是否包括待追踪数据及生成追踪记录。

步骤307：数据追踪装置识别该报文1中是否包括待追踪数据，如果包括，则执行步骤309，否则，结束当前流程。

在本说明书实施例中，待追踪数据可以是：敏感数据，比如用户的隐私信息比如身份证号码。在内网中，不同应用端传输报文时，有可能会导致用户的隐私数据泄露。为了对此种数据进行追踪，可以预先设置识别规则。

在本说明书一个实施例中，本步骤307中的识别方法包括：

识别报文1中是否包括与预设字符串相同的数据，如果是，则确定报文1中包括待追踪数据；比如，如果报文1中的部分数据与预设字符串相同，那么表明该报文1中包括待追踪数据如隐私数据。

在本说明书一个实施例中，本步骤307中的识别方法还可以包括：识别报文1中是否包括符合预设正则表达式的数据，如果是，则确定报文1中包括待追踪数据。正则表达式可以规定字符串格式，如果报文1中的数据符合该字符串格式，那么表明请数据为待追踪数据。比如，身份证号码属于隐私数据，可以利用正则表达式定义身份证号码的字符串格式，以识别请求数据中是否包括身份证号码。其中，该正则表达式可以为：

^[1-9]\d{5}(18|19|([23]\d))\d{2}((0[1-9])|(10|11|12))(([0-2][1-9])|10|20|30|31)\d{3}[0-9Xx]$，

对报文1中的数据进行验证，如果有数据满足该正则表达式，那么表明该报文1中包括身份证号码，由于身份证号码是隐私数据，因此，可以表明该报文1中包括待追踪的隐私数据。

在本说明书一个实施例中，本步骤307中的识别方法还可以包括：利用预先训练的LSTM+CRF模型识别报文1中是否包括待追踪数据。

步骤309：生成待追踪数据的追踪记录，该追踪记录中包括：应用端1的信息及应用端2的信息。

这里在追踪记录中记录应用端1的信息及应用端2的信息，则可以对该待追踪数据的传输路径进行记录。

下面以上述数据转发设备为网关，且通过独立于该网关的一个专用设备中的数据追踪装置来分析追踪为例，说明在本说明书一个实施例中在内外网的两个应用端之间进行数据流转时进行数据追踪的实现过程。参见图4和图5，该过程具体包括：

步骤501：应用端A发送报文A。

步骤503：网关接收到该报文A。

这里，该报文A的接收端为应用端B。应用端A位于企业的内网中，应用端B位于该企业的外网中。

步骤505：数据追踪装置从网关处获取报文A。

本步骤中可以利用安全切面模块来实现。由于在传输报文A时，是通过调用外网接口来实现的。基于此，在具体实现时，可以利用Hook(钩子函数)方式或静态代码替换方式，对该外网进行切面，使得当应用端A在调用网关的外网接口时，安全切面模块可以将该外网接口所对应的执行逻辑路由到数据追踪装置中，该数据追踪装置获取到报文A，并执行后续步骤中的识别及生成的处理。

在本说明书的一个实施例中，数据追踪装置可以是对网关接收到的所有报文进行抽样，然后对抽样出的各报文识别是否包括待追踪数据及生成追踪记录。

步骤507：数据追踪装置识别该报文A中是否包括待追踪数据，如果包括，则执行步骤509，否则，结束当前流程。

本步骤507中识别报文A中是否包括待追踪数据的方法与步骤307中识别报文1中是否包括待追踪数据的方法相同，可以参见对步骤307的相关描述。

步骤509：生成待追踪数据的追踪记录，该追踪记录中包括：应用端A的信息及应用端B的信息。

这里在追踪记录中记录应用端A的信息及应用端B的信息，则可以对该待追踪数据的传输路径进行记录。

在本说明书的一个实施例中，在生成了一个待追踪数据比如用户1的手机号码的追踪记录之后，可以通过分析汇总，得到该待追踪数据在全网中的流转情况。具体实现过程包括：

获取发送待追踪数据的第一应用端的本地操作日志和/或获取接收待追踪数据的第二应用端的本地操作日志；

对该本地操作日志进行解析，获取待追踪数据在第一应用端和/或第二应用端内部的流转信息；

在该待追踪数据的追踪记录中加入待追踪数据在第一应用端和/或第二应用端内部的流转信息；

根据更新后的追踪记录得到待追踪数据的流转路径。

比如，经过上述图3所示的处理，得到了用户1的手机号码在企业内网中从应用端1流转到了应用端2，并且，经过图5所示的处理，又得到该用户1的手机号码从应用端2流转到了外网的应用端B中。因此，则可以得到用户1的手机号码在全网的流转情况。进一步地，因为可以得到用户1的手机号码从应用端2流转到了外网，因此，可以进一步在该应用端2进行一些管控处理，比如进行数据脱敏处理等。

在本说明书的一些实施例中，待追踪数据包括：隐私数据，比如用户的手机号码、银行账号等。

本说明书一个实施例提出了一种数据追踪装置，参加图6，该装置600包括：

报文获取模块601，配置为获取数据转发设备接收到的报文；该报文的发送端为第一应用端，该报文的接收端为第二应用端；该数据转发设备位于第一应用端与第二应用端之间；

识别模块602，配置为识别所述报文中是否包括待追踪数据；

追踪记录生成模块603，配置为在所述报文中包括待追踪数据时，生成所述待追踪数据的追踪记录，该追踪记录中包括：所述第一应用端的信息及所述第二应用端的信息。

在本说明书装置的一个实施例中，该数据追踪装置600被设置在数据转发设备中，或者被设置在独立于数据转发设备的一个独立设备中。

在本说明书装置的一个实施例中，数据转发设备包括：在内网中转发各应用端的报文的网络代理服务器和/或在内网与外网的不同应用端之间传输报文的网关。

在本说明书装置的一个实施例中，识别模块602被配置为执行如下中的至少一项：

在本说明书装置的一个实施例中，追踪记录生成模块603进一步被配置为执行：

获取第一应用端和/或第二应用端的本地操作日志；

根据追踪记录得到所述待追踪数据的流转路径。

本说明书一个实施例提供了一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行说明书中任一个实施例中的方法。

本说明书一个实施例提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现执行说明书中任一个实施例中的方法。

可以理解的是，本说明书实施例示意的结构并不构成对小程序风险检测装置的具体限定。在说明书的另一些实施例中，本说明书的装置可以包括比图示更多或者更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件、软件或者软件和硬件的组合来实现。

上述装置、系统内的各模块之间的信息交互、执行过程等内容，由于与本说明书方法实施例基于同一构思，具体内容可参见本说明书方法实施例中的叙述，此处不再赘述。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、挂件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本发明的保护范围之内。

Claims

1.数据追踪方法，包括：

识别所述报文中是否包括待追踪数据；

2.根据权利要求1所述的方法，其中，

3.根据权利要求1所述的方法，其中，所述识别所述报文中是否包括待追踪数据，包括如下中的至少一项：

4.根据权利要求1所述的方法，其中，所述数据转发设备包括：在内网中转发各应用端的报文的网络代理服务器，和/或，在内网与外网的不同应用端之间传输报文的网关。

5.根据权利要求1至4中任一所述的方法，在生成所述待追踪数据的追踪记录之后，进一步包括：

获取第一应用端和/或第二应用端的本地操作日志；

根据追踪记录得到所述待追踪数据的流转路径。

6.根据权利要求1至4中任一所述的方法，其中，所述待追踪数据包括：隐私数据。

7.数据追踪装置，包括：

识别模块，配置为识别所述报文中是否包括待追踪数据；

8.根据权利要求7所述的数据追踪装置，其中，

和/或，

9.根据权利要求7所述的装置，其中，所述识别模块被配置为执行如下中的至少一项：

10.根据权利要求7至9中任一所述的装置，其中，所述追踪记录生成模块进一步被配置为执行：

获取第一应用端和/或第二应用端的本地操作日志；

根据追踪记录得到所述待追踪数据的流转路径。

11.一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现权利要求1-6中任一项所述的方法。