CN117675262A - 基于零信任的媒体资源保护方法、装置和相关设备 - Google Patents

Abstract

本公开提供一种基于零信任的媒体资源保护方法、装置和相关设备，涉及通信技术领域。其中基于零信任的媒体资源保护系统可以包括可信评估管理平台和多个网关，其中多个网关可以包括目标网关；其中基于零信任的媒体资源保护方法可以包括：可信评估管理平台接收目标客户端上传的不可信信息，其中不可信信息携带目标客户端所在目标设备的目标IP信息；可信评估管理平台确定目标设备不可信，并根据目标IP信息确定目标设备接发流量对应的目标网关；可信评估管理平台向目标网关下发安全策略，以便目标网关根据安全策略拦截流向目标设备的受保护媒体资源。本公开实施例提供的技术方案可以通过网关对受保护媒体资源进行保护。

Description

基于零信任的媒体资源保护方法、装置和相关设备

技术领域

本公开涉及通信技术领域，尤其涉及一种基于零信任的媒体资源保护方法、系统、装置、电子设备和计算机可读存储介质。

背景技术

在企业内部进行资源展示、直播回放、线上授课回放、影视资源防盗版等场景下，一些受保护媒体资源(例如视频、音频、文档)仅供参与者或者购买者线上观看。但是，一些不法分子通过录屏、截屏等手段将媒体资源内容录制下来，造成媒体资源的泄露。

目前，常见的做法是通过增加水印来确定使用者身份，或者在媒体资源传输过程中加密，但是仍然有存在录屏导致泄露的可能。

因为，如何从解决媒体资源泄露成为了一个棘手的问题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解。

发明内容

本公开的目的在于提供一种基于零信任的媒体资源保护方法、系统、装置、电子设备以及计算机可读存储介质，可以从通信源头上避免媒体资源泄露。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

本公开实施例提供了一种基于零信任的媒体资源保护方法，其中基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；那么所述方法包括：所述可信评估管理平台接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；所述可信评估管理平台确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；所述可信评估管理平台向所述目标网关下发安全策略，以便所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

在一些实施例中，所述目标网关根据所述安全策略拦截流向所述目标设备的所述受保护媒体资源，包括：所述目标网关根据所述安全策略确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源；在确定下发至所述目标设备的网络流量中包含所述受保护媒体资源的情况下，所述目标网关根据所述安全策略拦截流向所述目标设备的所述受保护媒体资源。

在一些实施例中，所述方法还包括：所述可信评估管理平台中包括所述受保护媒体资源信息，所述受保护媒体资源信息经由至少一个资源平台同步给所述可信评估管理平台；所述可信评估管理平台在向所述目标网关下发安全策略的同时下发所述受保护媒体资源信息，以便所述目标网关根据所述受保护媒体资源信息确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源；或者，所述可信评估管理平台在向所述目标网关下发安全策略之前，将所述受保护媒体资源信息下发给所述目标网关，以便所述目标网关根据所述受保护媒体资源信息确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源。

在一些实施例中，所述下发至所述目标设备的网络流量中包括多个流量；其中，所述目标网关根据所述安全策略确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源，包括：所述目标网关获取各个流量的五元组信息；所述目标网关确定各个流量的五元组信息是否包括所述受保护媒体资源对应的IP信息和端口信息；在所述多个流量的五元组信息中包括所述受保护媒体资源对应的IP信息和端口信息的情况下，所述目标网关确定下发至所述目标设备的网络流量中包括所述受保护媒体资源。

在一些实施例中，所述方法还包括：所述目标客户端检测到所述目标设备中存在不可信操作；所述目标客户端向所述可信评估管理平台上传所述不可信信息。

在一些实施例中，所述目标客户端是视频资源播放客户端，所述受保护媒体资源包括通过所述目标客户端播放的目标视频资源，所述不可信操作包括录屏操作或者截屏操作；其中，所述方法还包括：在确定下发至所述目标设备的网络流量中包含所述目标视频资源的情况下，所述可信评估管理平台指示所述目标客户端销毁所述目标视频资源的缓存，以便所述录屏操作或者所述截屏操作获得的内容为空。

本公开实施例提供了一种基于零信任的媒体资源保护方法，所述方法包括：目标设备显示第一媒体资源信息和第二媒体资源信息，其中所述第二媒体资源信息是受保护媒体资源；当所述目标设备中存在不可信操作时，所述目标设备正常显示所述第一媒体资源信息，并在所述第二媒体资源信息的显示位置处显示空白内容。

在一些实施例中，所述不可信操作是录屏操作或者截屏操作，其中所述录屏操作或者所述截屏操作获得的结果在所述第二媒体资源信息的显示位置显示为空。

本公开实施例提供了一种基于零信任的媒体资源保护系统，所述基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；其中，所述可信评估管理平台用于接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；所述可信评估管理平台用于确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；所述可信评估管理平台向所述目标网关下发安全策略；所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

本公开实施例提供了一种基于零信任的媒体资源保护装置，所述基于零信任的媒体资源保护装置包括基于零信任的媒体资源保护系统中，其中基于零信任的媒体资源保护系统包括：基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；其中，所述装置包括：不可信信息接收模块，用于通过所述可信评估管理平台接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；网关定位模块，用于所述可信评估管理平台确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；安全策略下发模块，用于所述可信评估管理平台向所述目标网关下发安全策略，以便所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

本公开实施例提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现上述任一项所述的基于零信任的媒体资源保护方法。

本公开实施例提出一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述任一项所述的基于零信任的媒体资源保护方法。

本公开实施例提出一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述基于零信任的媒体资源保护方法。

本公开实施例提供的基于零信任的媒体资源保护方法、系统、装置及电子设备和计算机可读存储介质，可以在可信评估管理平台接收到目标设备上的目标客户端上传的不可信信息时，通知网关拦截流向目标设备的受保护媒体资源，从而避免该保护媒体资源的泄露，保护了受保护媒体资源。总之，本公开在目标设备存在不可信操作时，通过网关及时地拦截了受保护媒体资源，避免了受保护媒体资源的泄露。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了可以应用于本公开实施例的基于零信任的媒体资源保护方法或基于零信任的媒体资源保护装置的示例性系统架构示意图。

图2是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

图3是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

图4是根据一示例性实施例示出的一种基于零信任的媒体资源保护系统的示意图。

图5是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

图6是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

图7是根据一示例性实施例示出的一种基于零信任的媒体资源保护装置的框图。

图8是根据一示例性实施例示出的一种基于零信任的媒体资源保护装置的框图。

图9示出了适于用来实现本公开实施例的电子设备的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

本公开所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图仅为本公开的示意性图解，图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和步骤，也不是必须按所描述的顺序执行。例如，有的步骤还可以分解，而有的步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

本说明书中，用语“一个”、“一”、“该”、“所述”和“至少一个”用以表示存在一个或多个要素/组成部分/等；用语“包含”、“包括”和“具有”用以表示开放式的包括在内的意思并且是指除了列出的要素/组成部分/等之外还可存在另外的要素/组成部分/等；用语“第一”、“第二”和“第三”等仅作为标记使用，不是对其对象的数量限制。

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述，需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

下面结合附图对本公开示例实施方式进行详细说明。

图1示出了可以应用于本公开实施例的基于零信任的媒体资源保护方法或基于零信任的媒体资源保护装置的示例性系统架构示意图。

如图1所示，该系统架构包括终端101、网络102、服务器105、网络侧设备103及网关104；其中，网络102用以在终端101、服务器105和网络侧设备103之间提供通信链路的介质，可以是有线网络，也可以是无线网络。网关104是通信中使用的网络节点，它可以将具有不同传输协议的两个网络连接在一起。网关可以充当网络的入口和出口点，其中网络侧设备103和终端101、服务器105之间交互的流量均需流经网关104。

可选地，上述的无线网络或有线网络使用标准通信技术和/或协议。网络通常为因特网、但也可以是任何网络，包括但不限于局域网(Local Area Network，LAN)、城域网(Metropolitan Area Network，MAN)、广域网(Wide Area Network，WAN)、移动、有线或者无线网络、专用网络或者虚拟专用网络的任何组合)。在一些实施例中，使用包括超文本标记语言(Hyper Text Mark-up Language，HTML)、可扩展标记语言(ExtensibleMarkupLanguage，XML)等的技术和/或格式来代表通过网络交换的数据。此外还可以使用诸如安全套接字层(Secure Socket Layer，SSL)、传输层安全(Transport Layer Security，TLS)、虚拟专用网络(Virtual Private Network，VPN)、网际协议安全(InternetProtocolSecurity，IPsec)等常规加密技术来加密所有或者一些链路。在另一些实施例中，还可以使用定制和/或专用数据通信技术取代或者补充上述数据通信技术。

用户可以使用终端101、通过网关104、网络102和网关侧设备103与服务器105(或者其他终端)等进行交互，以接收或发送消息等。

例如,终端101(即目标设备)上的目标客户端可以在检测到终端中存在不可信操作时通过网关104、网络102和网络侧设备103向服务器105(即可信评估管理平台)上传不可信信息；服务器105接收目标客户端上传的不可信信息后会确定终端设备不可信；服务器105根据不可信信息中的目标IP信息确定终端101接发流量对应的目标网关；服务器105向目标网关下发安全策略，以便目标网关根据安全策略拦截流向目标设备的受保护媒体资源。

其中，终端可以是手机、平板电脑(Tablet Personal Computer)、膝上型电脑(Laptop Computer)、个人数字助理(Personal Digital Assistant，PDA)、移动上网装置(Mobile Internet Device，MID)、可穿戴式设备(Wearable Device)、台式计算机、虚拟现实设备、智能家居或车载设备等终端侧设备，需要说明的是，在本发明实施例中并不限定终端的具体类型。

其中，网络侧设备可以是基站、中继或接入点等。基站可以是5G及以后版本的基站(例如：5G NR NB)，或者其他通信系统中的基站(例如：eNB基站)，需要说明的是，在本公开实施例中并不限定网络侧设备的具体类型。

本领域技术人员可以知晓，图1中的终端、网络、服务器、网关、网络侧设备的数量仅仅是示意性的，根据实际需要，可以具有任意数目的终端、网络、服务器、网关和网络侧设备。本公开实施例对此不作限定。

在上述系统架构下，本公开实施例中提供了一种基于零信任的媒体资源保护方法。

图2是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

在本公开实施例中，上述基于零信任的媒体资源保护方法可以由基于零信任的媒体资源保护系统实现，该基于零信任的媒体资源保护系统可以包括可信评估管理平台和多个网关，其中该多个网关可以包括目标网关。

其中，基于零信任的媒体资源保护系统可以是一个通信系统，网关可以是一种连接通信系统与用户设备的网间联系器。

参照图2，本公开实施例提供的基于零信任的媒体资源保护方法可以包括以下步骤。

在一些实施例中，目标设备上可以安装有目标客户端。该目标客户端可以是正在播放受保护媒体资源地客户端，也可以不是播放受保护媒体资源的客户端，本公开对此不做限制。

在一些实施例中，当该目标客户端检测到目标设备中存在不可信操作时，会向可信评估管理平台上传不可信信息。

其中，不可信操作可以指的是截屏、录屏、录音、翻译等被明确为不可以进行的操作，本领域技术人员可以根据实际需求对哪些行为是不可信操作进行设定，本公开对此不做限制。

在一些实施例中，当目标客户端检测到目标设备中存在不可信行为时(例如当安装有windows系统的目标设备上的目标客户端检测到windows media(一种组件)被调用时，则可以认为该目标设备存在不可信行为)，则会向可信评估管理平台发送不可信信息，以通知可信评估管理平台该目标设备存在不可信行为。

步骤S202，可信评估管理平台接收目标客户端上传的不可信信息，其中不可信信息携带目标客户端所在目标设备的目标IP信息。

步骤S204，可信评估管理平台确定目标设备不可信，并根据目标IP信息确定目标设备接发流量对应的目标网关。

在一些实施例中，基于零信任思维，可信评估管理平台在接收到不可信信息时，会基于该不可信信息找到目标设备并认为目标设备不可信；同时可信管理平台还会基于不可信信息中的目标IP信息定位该目标设备对应的目标网关。

步骤S206，可信评估管理平台向目标网关下发安全策略，以便目标网关根据安全策略拦截流向目标设备的受保护媒体资源。

在一些实施例中，可信评估管理平台中可以提前配置有受保护媒体资源信息，该受保护媒体资源信息可以是由至少一个资源平台同步给可信评估管理平台。例如，当某个应用程序确定某个受保护媒体资源需要进行保护时，则可以将该受保护媒体资源的相关信息同步给可信评估管理平台。

在一些实施例中，可信评估管理平台可以在向目标网关下发安全策略的同时下发受保护媒体资源信息，以便目标网关根据受保护媒体资源信息确定流向目标设备的网络流量中是否包含受保护媒体资源；或者，可信评估管理平台可以在向目标网关下发安全策略之前，将受保护媒体资源信息下发给目标网关，以便目标网关根据受保护媒体资源信息确定下发至目标设备的网络流量中是否包含受保护媒体资源。

在一些实施例中，目标网关可以根据上述安全策略确定流向目标设备的网络流量中是否包含受保护媒体资源；在确定流向目标设备的网络流量中包含受保护媒体资源的情况下，目标网关可以根据安全策略拦截流向目标设备的受保护媒体资源；在确定下发至目标设备的网络流量中不包含受保护媒体资源的情况下，目标网关对流向目标设备的资源不做处理。

在一些实施例中，流向目标设备的网络流量中可以包括多个流量(例如下发至目标设备的网络流量既可以包括视频流量、也可以包括聊天流量、还可以包括文本流量，本公开对此不做限制)。

在一些实施例中，目标网关根据安全策略确定下发至目标设备的网络流量中是否包含受保护媒体资源可以包括以下步骤：目标网关可以获取流向目标设备的所有流量的五元组信息；然后根据各个流量的五元组信息是否包括受保护媒体资源对应的IP信息和端口信息；在多个流量的五元组信息中包括受保护媒体资源对应的IP信息和端口信息的情况下，目标网关确定下发至目标设备的网络流量中包括受保护媒体资源。

其中，受保护媒体资源对应的IP信息可以指的是下发受保护媒体资源的媒体资源平台的IP信息，例如若目标受保护视频资源由目标视频资源下发平台下发，那么如果下发至目标设备的网络流量中的目标视频流量包括目标视频资源平台的IP信息，则可以拦截该目标视频流量。

在一些实施例中，目标客户端可以是视频资源播放客户端，受保护媒体资源可以包括通过目标客户端播放的目标视频资源，不可信操作包括录屏操作或者截屏操作，那么在确定下发至目标设备的网络流量中包含目标视频资源的情况下，可信评估管理平台可以指示目标客户端销毁目标视频资源的缓存，以便录屏操作或者截屏操作获得的内容为空。

本实施例提供的基于零信任的媒体资源保护方法，可以在可信评估管理平台接收到目标设备上的目标客户端上传的不可信信息时，通知网关拦截流向目标设备的受保护媒体资源，从而避免该保护媒体资源的泄露，保护了受保护媒体资源。总之，本公开在目标设备存在不可信操作时，通过网关及时地拦截了受保护媒体资源，避免了受保护媒体资源的泄露。

图3是根据一示例性实施例示出的一种基于零信任的媒体资源保护方法的流程图。

参照图3，本公开实施例提供的基于零信任的媒体资源保护方法可以包括以下步骤。

步骤S302，目标设备显示第一媒体资源信息和第二媒体资源信息，其中第二媒体资源信息是受保护媒体资源。

另外，目标设备可以是智能手机、平板电脑、膝上型便携计算机、台式计算机、可穿戴设备、虚拟现实设备、智能家居等任意一种能够对媒体资源信息进行显示的设备。需要注意的是，那种通过同一主机控制的多屏幕显示设备可以是一个设备。

在一些实施例中，目标设备可以同时播放第一媒体资源信息和第二媒体资源信息。其中，第一媒体资源信息可以是视频、文档、聊天内容、音乐等任意一种媒体资源信息，本公开对此不做限制。第二媒体资源信息可以是视频、文档、聊天内容、音乐等任意一种媒体资源信息，本公开对此不做限制。可以理解的是，目标设备中还可以显示第三媒体资源信息、第四媒体资源信息等，本公开对此不做限制。

步骤S304，当目标设备中存在不可信操作时，目标设备正常显示第一媒体资源信息，并在第二媒体资源信息的显示位置处显示空白内容。

其中，不可信操作可以是录屏操作、录音操作、截屏操作等任意一种被禁止的操作，其中本领域技术人员可以根据实际需要确定哪些操作可能会成为禁止操作。

在一些实施例中，当用户在目标设备中进行不可信操作时，目标设备上的目标终端会向通信系统中的可信评估管理平台上传不可信信息，然后可信评估管理平台会向目标设备对应的目标网关下发安全策略，以便目标网关根据该安全策略拦截流向目标设备的受保护媒体资源。另外，可信评估管理平台还会指示目标客户端销毁目标视频资源的缓存，以便录屏操作或者截屏操作获得的内容为空。

在一些实施例中，当用户在目标设备中进行录屏操作或者截屏操作时，用户通过录屏操作或者截屏操作获得的视频或者图像在第二媒体资源信息的显示位置显示为空。

例如，用户在目标设备上既播放了受保护视频、又显示了聊天界面；那么当用户在目标设备上点击了截屏(或者录屏)操作后，截屏(或者录屏)获得的图像(或者视频)在受保护视频的显示位置处显示为空白，其他位置正常显示。

本实施例提供的基于零信任的媒体资源保护方法，当检测到目标设备存在不可信行为，则会直接不再播放受保护媒体资源，从而避免该保护媒体资源的泄露，保护了受保护媒体资源。

图4是根据一示例性实施例示出的一种基于零信任的媒体资源保护系统的示意图。

参考图4，上述基于零信任的媒体资源保护系统可以包括可信评估管理平台401、向客户端404(即目标客户端)下发视频资源的视频资源平台402、以及向目标客户端转发流量的网关403(即目标网关)；其中，可信评估管理平台401可以用于可信评估、用户管理和下发管理策略；视频资源平台402可以用于用户管理和视频资源的管理；网关403可以用于分析流量中的视频流是否为受保护资源，拦截流量；客户端404可以部署在用户终端，并负责用户行为监测。

具体而言，上述基于零信任的媒体资源保护系统可以通过以下方法实现视频资源的保护。

当客户端404检测到目标设备中存在不可信操作时(例如录屏操作或者录音操作或者截屏操作)，客户端404会向可信评估管理平台401上传不可信信息，其中不可信信息携带目标客户端所在目标设备的目标IP信息；可信评估管理平台401接收目标客户端上传的不可信信息后；会直接确定目标设备不可信，并根据目标IP信息确定目标设备接发流量对应的网关403；可信评估管理平台401向网关403下发安全策略，以便网关403根据安全策略拦截流向目标设备的受保护媒体资源。

其中，可信评估管理平台、网关以及客户端的其他功能可以参考上述方法实施例，本实施例不再进行赘述。

在一些实施例中，上述受保护媒体资源可以具体为受保护视频资源，那么上述过程可以具体为图5所示流程图示出的方法：S501.用户在目标设备上获得授权以开始访问目标视频资源；S502.安装在目标设备上的客户端实时监测用户的行为；S503.客户端发现违规操作(例如录频或者录音或者截屏)；S504.网关分析流量中的视频流的五元组信息是否包含受保护视频资源平台的IP和端口(其中，受保护视频资源平台负责下发受保护媒体视频资源)；S505.若判断视频流的五元组信息中包含受保护视频资源平台的IP和端口；S506.可信评估管理平台判断该用户不可信；S507.网关拦截该用户与受保护视频资源平台之间的网络流量；S508.用户无法继续访问该受保护视频资源。

在一些实施例中，上述过程还可以具体为图6所示流程图示出的方法：S601.提前设置只有可信授权用户可以访问受保护资源；S602.用户访问受保护视频资源；S603.判断用户是否可以访问该受保护视频资源；S604.如果用户不可以访问该受保护视频资源，网关拦截该用户与受保护视频资源平台之间的流量(负责下发受保护视频资源的平台)；S605.如果用户可以访问该受保护视频资源，则允许用户访问该受保护视频资源；S606.客户端是否发现违规行为；S607.如果客户端发现用户存在违规行为，则对比流向目标设备的流量中的视频流是否来自受保护视频资源平台；S608.如果客户端发现用户不存在违规行为，则允许该用户访问该受保护视频资源；S609.可信评估平台判断该用户不可信，则不允许网关向该用户下发受保护视频资源。

其中，视频资源平台在此之前可以提前向可信评估管理平台同步受保护视频资源的相关信息。

上述实施例，首先对用户的行为操作监管并识别不同资源类型场景下的违规操作，即使是授权用户，当客户端发现违规行为的时候，且网络流量中的视频流五元组信息包含受保护媒体资源的IP和端口，则可以通过可信评估管理平台下发策略对该用户的可信评级重新进行调整，同时用户信息同步视频资源平台，阻止其对内容资源的访问，从而实现对资源的安全防护。

本公开实施例通过客户端检测用户的行为，网关同时分析视频流信息的五元组信息，最后通过可信评估管理平台实时的评估该用户是否可信，当判断该用户正在违规操作，且网络流量中存在受保护媒体资源的视频流(通过五元组信息判断视频来源)，可信评估平台判断该用户不可信，网关根据用户可信等级拦截用户和视频资源平台之间的流量，保证视频资源的安全。

基于同一发明构思，本公开实施例中还提供了一种基于零信任的媒体资源保护装置，如下面图7和图8所示实施例。由于该装置实施例解决问题的原理与上述方法实施例相似，因此该装置实施例的实施可以参见上述方法实施例的实施，重复之处不再赘述。

图7是根据一示例性实施例示出的一种基于零信任的媒体资源保护装置的框图。在一些实施例中，上述述基于零信任的媒体资源保护装置可以设置于基于零信任的媒体资源保护系统中。其中，其中基于零信任的媒体资源保护系统包括：基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，多个网关包括目标网关。

那么基于零信任的媒体资源保护装置可以包括：不可信信息接收模块701，用于通过可信评估管理平台接收目标客户端上传的不可信信息，其中不可信信息携带目标客户端所在目标设备的目标IP信息；网关定位模块702，用于可信评估管理平台确定目标设备不可信，并根据目标IP信息确定目标设备接发流量对应的目标网关；安全策略下发模块703，用于可信评估管理平台向目标网关下发安全策略，以便目标网关根据安全策略拦截流向目标设备的受保护媒体资源。

在一些实施例中，安全策略下发模块703可以包括：受保护媒体资源确定单元和拦截单元。

其中，受保护媒体资源确定单元可以用于通过目标网关根据安全策略确定下发至目标设备的网络流量中是否包含受保护媒体资源；拦截单元可以用于在确定下发至目标设备的网络流量中包含受保护媒体资源的情况下，目标网关根据安全策略拦截流向目标设备的受保护媒体资源。

在一些实施例中，可信评估管理平台中包括受保护媒体资源信息，受保护媒体资源信息经由至少一个资源平台同步给可信评估管理平台；其中，基于零信任的媒体资源保护装置还可以包括：第一同步模块和第二同步模块。

其中，第一同步模块可以用于通过可信评估管理平台在向目标网关下发安全策略的同时下发受保护媒体资源信息，以便目标网关根据受保护媒体资源信息确定下发至目标设备的网络流量中是否包含受保护媒体资源；第二同步模块可以用于通过可信评估管理平台在向目标网关下发安全策略之前，将受保护媒体资源信息下发给目标网关，以便目标网关根据受保护媒体资源信息确定下发至目标设备的网络流量中是否包含受保护媒体资源。

在一些实施例中，下发至目标设备的网络流量中包括多个流量；其中，受保护媒体资源确定单元可以包括：五元组信息获取子单元、端口信息判断子单元、受保护妹子资源判断子单元。

其中，五元组信息获取子单元可以用于通过目标网关获取各个流量的五元组信息；端口信息判断子单元可以用于通过目标网关确定各个流量的五元组信息是否包括受保护媒体资源对应的IP信息和端口信息；受保护妹子资源判断子单元可以用于在多个流量的五元组信息中包括受保护媒体资源对应的IP信息和端口信息的情况下，目标网关确定下发至目标设备的网络流量中包括受保护媒体资源。

在一些实施例中，基于零信任的媒体资源保护装置还可以包括：不可信操作检测模块和不可信信息上传模块。

其中，不可信操作检测模块可以用于通过目标客户端检测到目标设备中存在不可信操作；不可信信息上传模块可以用于通过目标客户端向可信评估管理平台上传不可信信息。

在一些实施例中，目标客户端是视频资源播放客户端，受保护媒体资源包括通过目标客户端播放的目标视频资源，不可信操作包括录屏操作或者截屏操作；其中，基于零信任的媒体资源保护装置还可以包括：缓存销毁模块。

其中，缓存销毁模块可以用于在确定下发至目标设备的网络流量中包含目标视频资源的情况下，可信评估管理平台指示目标客户端销毁目标视频资源的缓存，以便录屏操作或者截屏操作获得的内容为空。

图8是根据一示例性实施例示出的一种基于零信任的媒体资源保护装置的框图。参考图8所示实施例，上述基于零信任的媒体资源保护装置可以包括第一显示模块801和第二显示模块802。其中，第一显示模块801可以用于通过目标设备显示第一媒体资源信息和第二媒体资源信息，其中第二媒体资源信息是受保护媒体资源；第二显示模块802可以用于当目标设备中存在不可信操作时，通过目标设备正常显示第一媒体资源信息，并在第二媒体资源信息的显示位置处显示空白内容。

在一些实施例中，不可信操作是录屏操作或者截屏操作，其中录屏操作或者截屏操作获得的结果在第二媒体资源信息的显示位置显示为空。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

图9示出了适于用来实现本公开实施例的电子设备的结构示意图。需要说明的是，图9示出的电子设备900仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图9所示，电子设备900包括中央处理单元(CPU)901，其可以根据存储在只读存储器(ROM)902中的程序或者从储存部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。在RAM 903中，还存储有电子设备900操作所需的各种程序和数据。CPU 901、ROM 902以及RAM 903通过总线904彼此相连。输入/输出(I/O)接口905也连接至总线904。

以下部件连接至I/O接口905：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的储存部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入储存部分908。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被中央处理单元(CPU)901执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本公开所示的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备可实现功能包括：可信评估管理平台接收目标客户端上传的不可信信息，其中不可信信息携带目标客户端所在目标设备的目标IP信息；可信评估管理平台确定目标设备不可信，并根据目标IP信息确定目标设备接发流量对应的目标网关；可信评估管理平台向目标网关下发安全策略，以便目标网关根据安全策略拦截流向目标设备的受保护媒体资源。

根据本申请的一个方面，提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述实施例的各种可选实现方式中提供的方法。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者智能设备等)执行根据本公开实施例的方法，例如图2或图3的一个或多个所示的步骤。

本领域技术人员在考虑说明书及实践在这里公开的公开后，将容易想到本公开的其他实施例。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未申请的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不限于这里已经示出的详细结构、附图方式或实现方法，相反，本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (12)

1.一种基于零信任的媒体资源保护方法，其特征在于，基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；其中，所述方法包括：

所述可信评估管理平台接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；

所述可信评估管理平台确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；

所述可信评估管理平台向所述目标网关下发安全策略，以便所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

2.根据权利要求1所述方法，其特征在于，所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源，包括：

所述目标网关根据所述安全策略确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源；

在确定下发至所述目标设备的网络流量中包含所述受保护媒体资源的情况下，所述目标网关根据所述安全策略拦截流向所述目标设备的所述受保护媒体资源。

3.根据权利要求2所述方法，其特征在于，所述可信评估管理平台中包括所述受保护媒体资源信息，所述受保护媒体资源信息经由至少一个资源平台同步给所述可信评估管理平台；其中，所述方法还包括：

所述可信评估管理平台在向所述目标网关下发安全策略的同时下发所述受保护媒体资源信息，以便所述目标网关根据所述受保护媒体资源信息确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源；或者，

所述可信评估管理平台在向所述目标网关下发安全策略之前，将所述受保护媒体资源信息下发给所述目标网关，以便所述目标网关根据所述受保护媒体资源信息确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源。

4.根据权利要求2所述方法，其特征在于，所述下发至所述目标设备的网络流量中包括多个流量；其中，所述目标网关根据所述安全策略确定下发至所述目标设备的网络流量中是否包含所述受保护媒体资源，包括：

所述目标网关获取各个流量的五元组信息；

所述目标网关确定各个流量的五元组信息是否包括所述受保护媒体资源对应的IP信息和端口信息；

在所述多个流量的五元组信息中包括所述受保护媒体资源对应的IP信息和端口信息的情况下，所述目标网关确定下发至所述目标设备的网络流量中包括所述受保护媒体资源。

5.根据权利要求1所述方法，其特征在于，所述方法还包括：

所述目标客户端检测到所述目标设备中存在不可信操作；

所述目标客户端向所述可信评估管理平台上传所述不可信信息。

6.根据权利要求5所述方法，其特征在于，所述目标客户端是视频资源播放客户端，所述受保护媒体资源包括通过所述目标客户端播放的目标视频资源，所述不可信操作包括录屏操作或者截屏操作；其中，所述方法还包括：

在确定下发至所述目标设备的网络流量中包含所述目标视频资源的情况下，所述可信评估管理平台指示所述目标客户端销毁所述目标视频资源的缓存，以便所述录屏操作或者所述截屏操作获得的内容为空。

7.一种基于零信任的媒体资源保护方法，其特征在于，所述方法包括：

目标设备显示第一媒体资源信息和第二媒体资源信息，其中所述第二媒体资源信息是受保护媒体资源；

当所述目标设备中存在不可信操作时，所述目标设备正常显示所述第一媒体资源信息，并在所述第二媒体资源信息的显示位置处显示空白内容。

8.根据权利要求7所述方法，其特征在于，所述不可信操作是录屏操作或者截屏操作，其中所述录屏操作或者所述截屏操作获得的结果在所述第二媒体资源信息的显示位置显示为空。

9.一种基于零信任的媒体资源保护系统，其特征在于，所述基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；

其中，所述可信评估管理平台用于接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；所述可信评估管理平台用于确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；所述可信评估管理平台向所述目标网关下发安全策略；

所述目标网关，用于接收安全策略，根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

10.一种基于零信任的媒体资源保护装置，其特征在于，所述基于零信任的媒体资源保护装置包括基于零信任的媒体资源保护系统中，其中基于零信任的媒体资源保护系统包括：基于零信任的媒体资源保护系统包括可信评估管理平台和多个网关，所述多个网关包括目标网关；其中，所述装置包括：

不可信信息接收模块，用于通过所述可信评估管理平台接收目标客户端上传的不可信信息，其中所述不可信信息携带所述目标客户端所在目标设备的目标IP信息；

网关定位模块，用于所述可信评估管理平台确定所述目标设备不可信，并根据所述目标IP信息确定所述目标设备接发流量对应的目标网关；

安全策略下发模块，用于所述可信评估管理平台向所述目标网关下发安全策略，以便所述目标网关根据所述安全策略拦截流向所述目标设备的受保护媒体资源。

11.一种电子设备，其特征在于，包括：

存储器；以及

耦合到所述存储器的电子设备，所述电子设备被用于基于存储在所述存储器中的指令，执行如权利要求1-8任一项所述的基于零信任的媒体资源保护方法。

12.一种计算机可读存储介质，其上存储有程序，该程序被处理器执行时实现如权利要求1-8任一项所述的基于零信任的媒体资源保护方法。