CN115622792A - 一种基于零信任的数据安全综合防护系统及方法 - Google Patents

一种基于零信任的数据安全综合防护系统及方法 Download PDF

Info

Publication number
CN115622792A
CN115622792A CN202211319910.7A CN202211319910A CN115622792A CN 115622792 A CN115622792 A CN 115622792A CN 202211319910 A CN202211319910 A CN 202211319910A CN 115622792 A CN115622792 A CN 115622792A
Authority
CN
China
Prior art keywords
data
client
authority
security policy
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211319910.7A
Other languages
English (en)
Inventor
孙运传
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Normal University
Original Assignee
Beijing Normal University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Normal University filed Critical Beijing Normal University
Priority to CN202211319910.7A priority Critical patent/CN115622792A/zh
Publication of CN115622792A publication Critical patent/CN115622792A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种基于零信任的数据安全综合防护系统及方法，通过该防护系统从数据整个生命周期的角度保证数据安全：数据来源可信、数据加密传输、数据加密存储、数据的合法访问使用、数据安全销毁等方面保证数据安全，同时为不同的客户端配置不同的数据安全策略集，可以根据用户风险的不同，动态调整数据安全防护策略。

Description

一种基于零信任的数据安全综合防护系统及方法
技术领域
本发明属于数据安全防护技术领域，具体涉及一种基于零信任的数据安全综合防护系统及方法。
背景技术
随着智慧城市、数字经济的发展，通过对数据的充分利用促进经济的发展和改善人民的生活显得也越来越重要。随着数字化的普及，海量数据的产生和利用，数据安全越来越重要。
当前的数据安全体系，主要由一系列产品组成，如数据库防火墙、数据库审计、数据库脱敏、数据库防泄漏等组成，每个产品完成一部分功能，需要协同配合来实现数据安全的防护，产品之间较难以融合为一个数据安全防护体系，各产品之间安全运维复杂、功能独立，没有形成一个有机的整体，在部署上已经存在数据安全的防护漏洞；另外数据安全策略是静态的，一般以IP地址作为源、目的的标识，难以具体到具体的用户，风险追溯困难，而且静态安全策略无法根据用户的风险动态进行数据权限的调整。
发明内容
基于上述技术现状，本发明的目的在于提供一种基于零信任的数据安全综合防护系统及方法，通过该防护系统从数据整个生命周期的角度保证数据安全：数据来源可信、数据加密传输、数据加密存储、数据的合法访问使用、数据安全销毁等方面保证数据安全，同时可以根据用户风险的不同，动态调整数据安全防护策略。
本发明采用的技术方案如下：一种基于零信任的数据安全综合防护系统，包括客户端、数据服务器、数据存储系统、零信任安全策略系统；
所述客户端通过数据服务器进行数据业务访问，每一个客户端具有与其对应的私钥；
所述数据服务器用于负责数据的安全防护，其处理客户端发送的数据业务访问报文，验证客户端的私钥，并从所述零信任安全策略系统获取与验证通过的客户端对应的数据安全策略集，根据所述数据安全策略集控制该客户端的数据访问权限、数据身份标识的创建权限、数据加密和数据脱敏授权；
所述数据存储系统用于存储数据，并根据客户端的数据业务访问完成数据库的读、写操作；所述客户端的数据业务访问通过数据存储系统的API接口实现，每个API接口对应一个数据表，对一个数据表主要包含如下API：读数据表记录、写数据表记录、更改数据表记录、删除数据表记录；
所述零信任安全策略系统负责客户端的认证，为认证通过的客户端生成一一对应的公钥及私钥，同时为所有的客户端生成唯一共享密钥，所述私钥提供至客户端，所述公钥和唯一共享密钥由零信任安全策略系统管理，所述零信任安全策略系统还基于公钥、私钥、唯一共享密钥提供数据的加密策略，并为不同客户端建立不同的权限管理策略、数据身份标识策略和脱敏策略，其中所述加密策略、权限管理策略、数据身份标识策略和脱敏策略构成发送至所述数据服务器的数据安全策略集。
所述客户端包括用户端和数据源端两种类型，所述用户端通过应用对数据服务器进行数据业务访问，所述数据源端供数据管理员对数据服务器进行数据业务访问。
本发明的基于零信任的数据安全综合防护系统还包括数据态势感知模块，其接收和处理数据访问日志，根据预设的风险模型评述数据访问风险，并将客户端数据访问风险及时告知零信任安全策略系统，由零信任安全策略系统根据客户端风险状况调整与该客户端对应的数据安全策略集并发送至数据服务器，由数据服务器及时调整客户端权限，避免风险。
本发明还同时请求保护基于上述的数据安全综合防护系统所实施的数据访问安全控制方法，包括如下步骤：
(1)将数据服务器在零信任安全策略系统注册，建立两者信息交互；
(2)客户端在零信任安全策略系统注册创建，由零信任安全策略系统为认证通过的每一个客户端生成与其对应的公钥和私钥，为所有的客户端生成唯一共享密钥，并根据公钥、私钥、唯一共享密钥为每一个客户端赋予不同的数据安全策略集；
(3)客户端携带私钥向数据服务器发送访问数据存储系统API的请求，数据服务器验证私钥并根据私钥从零信任安全策略系统获取对应该私钥的数据安全策略集；
(4)对访问数据存储系统API请求报文，数据服务器首先查找报文来源客户端的权限管理策略，确认报文来源是否有访问数据服务API权限，没有权限则阻断，若有则继续以下判断，如果是写数据表记录、更改数据表记录或删除数据表记录，判断访问数据表权限、访问数据表级、字段级权限，过滤掉无权限字段，对于写数据表记录对应的有权限的字段，匹配数据安全策略集的加密策略，若有加密策略，按照加密策略对数据加密，同时对写数据表记录，确认数据安全策略集中是否有数据身份标识策略，若有，在报文中添加数据身份标识，重新整理报文，然后将报文送到数据存储系统，将访问日志发送到数据态势感知模块；
(5)处理访问数据服务API回应报文时，数据服务器从数据存储系统读取数据，根据该数据的加密策略进行解密，解密后按照数据安全策略集的脱敏策略脱敏，然后将脱敏后的数据发送给报文来源的用户。
在上述方法中，访问数据服务API时，数据态势感知模块将数据访问风险告知零信任安全策略系统，零信任安全策略系统在接收到客户端的风险信息后，根据风险认定情况随时调整该客户端对应的包括但不限于权限管理策略，重新生成数据安全策略集并将调整后的数据安全策略集发送至数据服务器，由数据服务器根据权限管理策略进行动态权限控制。
本发明的技术方案相对于现有技术作出的贡献在于：
提供了一种全新的、各模块功能有机融合的数据安全综合防护系统，可以实现对数据生命周期的一体化防护，为不同的客户端配置不同的数据安全策略集，可以实现个性化的数据安全服务，能够根据用户风险的不同动态调整用户权限。利用本发明的数据安全综合防护系统可以实现生命周期的数据安全防护能力：数据源可信验证、数据传输加密、数据API访问控制、数据表及字段级权限访问访问控制、数据个性化加密、数据脱敏、数据使用访问控制、数据源信息记录及数据防篡改能力。
附图说明
图1是本发明的基于零信任的数据安全综合防护系统的框架示意图；
图2是本发明的基于零信任的数据安全综合防护系统的数据访问流程图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。
需要说明的是，虽然在系统示意图中进行了功能模块划分，在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于系统中的模块划分，或流程图中的顺序执行所示出或描述的步骤。说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特有的意义。因此，“模块”、“部件”或“单元”可以混合地使用。
参见图1，本发明的基于零信任的数据安全综合防护系统，包括客户端、应用、零信任安全策略系统、数据服务器和数据存储系统；
所述客户端分为用户端和数据源端，普通用户在用户端通过应用进行数据访问，且通过零信任安全策略系统进行终端用户认证，认证通过后获得用户令牌，即私钥，用户端携带用户令牌访问应用；数据源管理员通过数据源端进行数据业务访问和业务操作，且也通过零信任安全策略系统进行终端用户认证，认证通过后获得数据源管理员令牌，通过数据源端携带相应令牌进行业务访问或操作；所述用户令牌和数据源管理员令牌分别用于用户、数据源管理员的身份标识。
应用，供用户通过客户端的用户端进行业务访问的系统，为用户提供业务服务。
在用户访问数据，包括用户端和数据源端，均是通过访问数据存储系统的API接口来实现的，用户端通过应用发起访问，数据源端直接访问，在具体实施例中，API为restfulAPI， http1.1版本，每个API对应一个数据表，API的内容为JSON格式，也就是健、值格式；对健key，其对应数据存储系统中的字段，可以对字段进行单独加密、脱敏等；对一个数据表，主要可包含如下API：读数据表记录、写数据表记录、更改数据表记录、删除数据表记录。在应用访问数据服务API时，应用在报文中携带访问该应用的用户令牌，相应的用户令牌在用户端首次访问应用时，通过零信任安全策略系统进行终端认证从而获得。
数据存储系统，用于存储数据，由数据源端通过访问数据API服务将数据提供给数据存储系统，并且数据存储系统在接收客户端发送的数据服务请求(包括用户端通过应用发送的请求和数据源端发送的请求)后，和数据库进行交互，完成数据库的读、写。
数据服务器，用于在接收到用户端通过应用发送的或数据源端发送的访问数据API服务请求报文及回应报文时，对数据进行安全防护，具体包括首先判断数据源端或用户端的数据服务API权限，对于有权限的数据源端或用户端，获取其用户令牌，并从零信任安全策略系统获取该数据源端或用户端对应的数据安全策略集，根据数据安全策略集控制数据访问权限、数据身份标识生成、数据加密和数据脱敏等数据安全防护。
零信任安全策略系统，其对用户端、数据源端、应用和数据存储系统进行统一身份管理，为其生成身份标识，在用户端、数据源端首次访问数据服务时，零信任安全策略系统为其首次访问提供注册支持，进行认证管理，对用户端、数据源端进行多因素身份认证，如结合手机号、人脸、指纹等信息进行认证，认证通过后零信任安全策略系统与PKI系统联动为不同的用户端、数据源端生成作为其身份标识的公私钥，公钥由公钥管理模块管理，私钥提供给各自对应的用户端或者数据源端，同时生成所有用户端、数据源端共用的唯一共享秘钥，通过密钥管理模块进行管理，如采用KMS系统管理、采用区块链存储以防止被篡改；所述零信任安全策略系统还用于提供对数据的加密策略，支持对数据表、数据字段设置加密策略，以及基于数据源设置加密策略，为不同的数据源端配置不同加密算法并形成加密策略，在具体实施例中，加密策略格式为：
{数据表：[字段列表]，加密算法，秘钥类型[全局秘钥|局部秘钥|公钥]}
其中全局密钥即共用的唯一共享密钥，局部密钥即作为数据源端身份标识的私钥，而公钥即公钥管理模块管理的用户端或数据源端的公钥。加密算法可采用常规的数据加密算法，如hash算法等。
所述零信任安全策略系统还用于用户端和数据源端的权限管理，包括访问数据表权限管理、访问数据服务API权限管理、访问数据表级、字段级权限管理，控制用户访问数据表、数据字段的权限和范围，以实现细粒度、个性化的权限控制。本发明的基于零信任的数据安全综合防护系统将数据访问权限分为：无权限、只读、读写、脱敏、可用不可见共五种类型，由零信任安全策略系统为不同的用户端和数据源端授予不同的权限，权限管理策略格式如下：
{应用权限：[应用列表]；API权限：[API列表]；DATA权限[数据表名：(字段列表)；……；数据表名：(字段列表)]}。
所述零信任安全策略系统还用于为数据源端上传的数据自动创建数据身份标识，并将数据身份标识作为标签添加到数据源端要写的数据中，即增加一个数据身份标识key以及key 对应的value。是否为数据增加数据身份标识，取决于是否为数据源端设置了数据身份标识策略，数据身份标识策略格式如下：
{策略名hash算法加密算法密码类型(数据源秘钥/公钥/全局秘钥)}
其中：hash算法计算数据内容hash值，加密算法是为数据身份标识加密的算法，密码类型中数据源秘钥即由零信任安全策略系统为数据源端生成的私钥，公钥是由零信任安全策略系统为数据源端生成的公钥，全局秘钥即共用的唯一共享秘钥。
如果数据源端设置了数据身份标识策略，例如可通过策略格式{数据源数据身份证策略} 进行数据身份标识策略设置，则该数据源端在写数据时，由零信任安全策略系统为写入的数据生成数据身份标识并作为标签添加进数据。
所述零信任安全策略系统还用于数据治理和脱敏管理，脱敏管理具体分为脱敏策略管理和脱敏权限策略管理，脱敏策略管理通过内容{策略名，脱敏字符串识别模型，脱敏算法}设置脱敏策略，其中“脱敏字符串识别模型”用于表示要识别要脱敏的字符串，“脱敏算法”采用常规的数据脱敏的算法，如无效化或数据替换等，而脱敏权限策略管理负责创建脱敏权限策略，以确定对哪些内容进行脱敏，脱敏权限策略内容如下：
数据表级脱敏策略{权限策略名，[数据表list：脱敏策略list]}
字段级脱敏策略{权限策略名，[数据表名：字段列表：脱敏算法/脱敏策略]，[数据表名：字段列表：脱敏算法/脱敏策略]，…}
通过零信任安全策略系统基于脱敏管理为不同客户端进行不同的脱敏授权，可实现个性化的脱敏服务，其中脱敏授权策略内容如下：{角色，脱敏策略}，其中角色指代不同用户端或数据源端。
所述零信任安全策略系统提供了多种策略，如上文所述，包括权限管理策略、加密策略、数据身份标识策略、脱敏策略，基于上述多种策略，为每一个上线的用户端或数据源端生成数据安全策略集，并将数据安全策略集发送至数据服务器，以供数据服务器根据数据安全策略集进行数据安全防护，其中数据安全策略集格式如下：
{权限:[权限策略]；加密:[加密策略]；身份标识:[数据身份标识策略]；脱敏:[脱敏策略]；其他可扩展策略}。
本发明的基于零信任的数据安全综合防护系统，还可以包括数据态势感知模块，其接收和处理数据访问日志，根据预设的风险模型评述数据访问风险，并将客户端数据访问风险及时告知零信任安全策略系统。
下面结合附图2中本发明的基于零信任的数据安全综合防护系统的数据访问流程图，对本发明基于零信任的数据安全综合防护系统的数据安全防护过程进一步介绍如下：
启动数据服务器，将数据服务器在零信任安全策略系统注册，建立两者信息交互，通过零信任安全策略系统创建用户端、数据源端，并设置数据安全策略，包括权限管理策略、加密策略、数据身份标识策略、脱敏策略，将数据安全策略生成数据安全策略集并授权给用户端、数据源端；用户端、数据源端在通过零信任安全策略系统认证后获取用户令牌，数据源端携带用户令牌访问数据服务API，进行数据存储，用户端携带用户令牌访问应用，通过应用访问数据服务API，具体如下：
访问数据服务API请求先到达数据服务器，数据服务器提取报文中的用户令牌，基于用户令牌从零信任安全策略系统获取对应该用户令牌的数据安全策略集，然后对访问数据服务 API请求报文和回应报文分别进行处理，在处理访问数据服务API请求报文时，首先查找权限管理策略，确认报文来源是否有访问数据服务API权限，没有权限则阻断，然后继续判断如果是写数据表记录、更改数据表记录以及删除数据表记录API接口，判断访问数据表权限、访问数据表级、字段级权限，过滤掉无权限字段，对于有权限的写数据的字段，匹配数据安全策略集的加密策略，若有加密策略，按照加密策略对数据加密，对写数据表记录API，确认数据安全策略集中是否有数据身份标识策略，若有，在报文中添加数据身份标识，重新整理报文，然后将报文送到数据存储系统，将访问日志送到数据态势感知模块。
在处理访问数据服务API回应报文时，数据服务器从数据存储系统读取数据，然后根据该数据的加密策略进行解密，解密后的报文按照数据安全策略集的脱敏策略脱敏，然后将脱敏后的数据发送给报文来源的用户。
在访问数据服务API时，数据态势感知模块将数据访问风险告知零信任安全策略系统，零信任安全策略系统在接收到用户端及数据源端的风险信息后，根据风险认定情况随时调整用户端及数据源端的权限管理策略，并将调整后的权限管理策略发送至数据服务器，由数据服务器根据权限管理策略进行动态权限控制。
所述数据存储系统的数据治理信息有所述零信任安全策略系统负责，如数据表及数据表所包含字段信息、数据表和字段的分级分类信息等。
结合本申请具体实施方式以及给予的实施例中内容可以看出，本申请的方法可以通过计算机程序指令存储或装载到计算机或其他可编程数据处理设备上，即可提供这些计算机程序指定到计算机或其他可编程数据处理设备上以产生一个机器，所述机器可执行指令实现流程图的一个流程或多个流程中指定的功能。
本申请的方法可以通过计算机程序指令存储或装载到计算机或其他可编程数据处理设备上，使得计算机或其他可编程数据处理设备通过读取指令执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程数据处理设备中执行指令提供用于实现流程图的一个流程或多个流程中指定的功能的步骤。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL)) 或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘solid state disk(SSD)) 等。

Claims (7)

1.一种基于零信任的数据安全综合防护系统，其特征在于，包括客户端、数据服务器、数据存储系统、零信任安全策略系统；
所述客户端通过数据服务器进行数据业务访问，每一个客户端具有与其对应的私钥；
所述数据服务器用于负责数据的安全防护，其处理客户端发送的数据业务访问报文，验证客户端的私钥，并从所述零信任安全策略系统获取与验证通过的客户端对应的数据安全策略集，根据所述数据安全策略集控制该客户端的数据访问权限、数据身份标识的创建权限、数据加密和数据脱敏授权；
所述数据存储系统用于存储数据，并根据客户端的数据业务访问完成数据库的读、写操作；
所述零信任安全策略系统负责客户端的认证，为认证通过的客户端生成一一对应的公钥及私钥，同时为所有的客户端生成唯一共享密钥，所述私钥提供至客户端，所述公钥和唯一共享密钥由零信任安全策略系统管理，所述零信任安全策略系统还基于公钥、私钥、唯一共享密钥提供数据的加密策略，并为不同客户端建立不同的权限管理策略、数据身份标识策略和脱敏策略，其中所述加密策略、权限管理策略、数据身份标识策略和脱敏策略构成发送至所述数据服务器的数据安全策略集。
2.根据权利要求1所述的基于零信任的数据安全综合防护系统，其特征还在于，所述客户端包括用户端和数据源端，所述用户端通过应用对数据服务器进行数据业务访问，所述数据源端供数据管理员对数据服务器进行数据业务访问。
3.根据权利要求1或2所述的基于零信任的数据安全综合防护系统，其特征还在于，还包括数据态势感知模块，其根据数据业务访问的访问日志评估客户端的风险状况，由零信任安全策略系统根据客户端风险状况调整与该客户端对应的数据安全策略集并发送至数据服务器。
4.根据权利要求1所述的基于零信任的数据安全综合防护系统，其特征还在于，客户端的数据访问权限分为：无权限、只读、读写、脱敏、可用不可见共五种类型，由零信任安全策略系统根据权限管理策略为不同的客户端授予不同的权限。
5.根据权利要求1所述的基于零信任的数据安全综合防护系统，其特征还在于，所述客户端的数据业务访问通过数据存储系统的API接口实现，每个API接口服务于一个数据表，对一个数据表主要包含如下API：读数据表记录、写数据表记录、更改数据表记录、删除数据表记录。
6.一种数据访问安全控制方法，其使用如权利要求1-5任一项所述的基于零信任的数据安全综合防护系统控制数据业务访问，包括如下步骤：
(1)将数据服务器在零信任安全策略系统注册，建立两者信息交互；
(2)客户端在零信任安全策略系统注册，由零信任安全策略系统为认证通过的每一个客户端生成与其对应的公钥和私钥，为所有的客户端生成唯一共享密钥，并根据公钥、私钥、唯一共享密钥为每一个客户端赋予不同的数据安全策略集；
(3)客户端携带私钥向数据服务器发送访问数据存储系统API的请求，数据服务器验证私钥并根据私钥从零信任安全策略系统获取对应该私钥的数据安全策略集；
(4)对访问数据存储系统API请求报文，数据服务器首先查找报文来源客户端的权限管理策略，确认报文来源是否有访问数据服务API权限，没有权限则阻断，若有则继续以下判断，如果是写数据表记录、更改数据表记录或删除数据表记录，判断访问数据表权限、访问数据表级、字段级权限，过滤掉无权限字段，对于写数据表记录对应的有权限的字段，匹配数据安全策略集的加密策略，若有加密策略，按照加密策略对数据加密，同时对写数据表记录，确认数据安全策略集中是否有数据身份标识策略，若有，在报文中添加数据身份标识，重新整理报文，然后将报文送到数据服务系统，将访问日志发送到数据态势感知模块；
(5)处理访问数据服务API回应报文时，数据服务器从数据存储系统读取数据，根据该数据的加密策略进行解密，解密后按照数据安全策略集的脱敏策略脱敏，然后将脱敏后的数据发送给报文来源的用户。
7.根据权利要求6所述的数据访问安全控制方法，还包括以下步骤：在访问数据服务API时，数据态势感知模块将数据访问风险告知零信任安全策略系统，零信任安全策略系统在接收到客户端的风险信息后，根据风险认定情况随时调整客户端的权限管理策略，重新生成数据安全策略集并将调整后的数据安全策略集发送至数据服务器，由数据服务器根据权限管理策略进行动态权限控制。
CN202211319910.7A 2022-10-26 2022-10-26 一种基于零信任的数据安全综合防护系统及方法 Pending CN115622792A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211319910.7A CN115622792A (zh) 2022-10-26 2022-10-26 一种基于零信任的数据安全综合防护系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211319910.7A CN115622792A (zh) 2022-10-26 2022-10-26 一种基于零信任的数据安全综合防护系统及方法

Publications (1)

Publication Number Publication Date
CN115622792A true CN115622792A (zh) 2023-01-17

Family

ID=84865544

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211319910.7A Pending CN115622792A (zh) 2022-10-26 2022-10-26 一种基于零信任的数据安全综合防护系统及方法

Country Status (1)

Country Link
CN (1) CN115622792A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117171800A (zh) * 2023-10-23 2023-12-05 深圳竹云科技股份有限公司 一种基于零信任防护体系的敏感数据识别方法及装置
CN117478423A (zh) * 2023-11-30 2024-01-30 东方物通科技(北京)有限公司 数据安全通信系统及方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117171800A (zh) * 2023-10-23 2023-12-05 深圳竹云科技股份有限公司 一种基于零信任防护体系的敏感数据识别方法及装置
CN117171800B (zh) * 2023-10-23 2024-02-06 深圳竹云科技股份有限公司 一种基于零信任防护体系的敏感数据识别方法及装置
CN117478423A (zh) * 2023-11-30 2024-01-30 东方物通科技(北京)有限公司 数据安全通信系统及方法
CN117478423B (zh) * 2023-11-30 2024-05-03 东方物通科技(北京)有限公司 数据安全通信系统及方法

Similar Documents

Publication Publication Date Title
US10666647B2 (en) Access to data stored in a cloud
US8543827B2 (en) Methods and systems for providing access control to secured data
US7913311B2 (en) Methods and systems for providing access control to electronic data
KR100696316B1 (ko) 개인 정보 관리 방법 및 장치
CN115622792A (zh) 一种基于零信任的数据安全综合防护系统及方法
JP2003228520A (ja) 保護電子データにオフラインでアクセスする方法及び装置
US11483147B2 (en) Intelligent encryption based on user and data properties
CN106575342A (zh) 包括关系数据库的内核程序、以及用于执行所述程序的方法和装置
US20230246838A1 (en) System for Improving Data Security
US11757877B1 (en) Decentralized application authentication
US20150143107A1 (en) Data security tools for shared data
US11954230B2 (en) System for improving data security through key management
US20240086504A1 (en) System for improving data security when redeeming data
US11425143B2 (en) Sleeper keys
CN110708156B (zh) 一种通信方法、客户端及服务器
US20220092193A1 (en) Encrypted file control
CN116090000A (zh) 文件安全管理方法、系统、设备、介质和程序产品
JPH10260939A (ja) コンピュータネットワークのクライアントマシン認証方法，クライアントマシン，ホストマシン及びコンピュータシステム
US8321915B1 (en) Control of access to mass storage system
US11102005B2 (en) Intelligent decryption based on user and data profiling
CN115514523A (zh) 一种基于零信任体系的数据安全访问系统、方法、装置及介质
CN112769784A (zh) 文本的处理方法和装置、计算机可读存储介质及处理器
JP2001312466A (ja) 携帯コンピューター情報管理システム
CN109063458B (zh) 一种分层信息管理的终端安全方法和装置
US20220174067A1 (en) Securing data and tracking actions upon data

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination