本發(fā)明涉及信息安全，具體涉及一種數(shù)據(jù)強(qiáng)制訪問控制方法及系統(tǒng)。

背景技術(shù)：

1、在數(shù)字化進(jìn)程中，數(shù)據(jù)作為企業(yè)及機(jī)構(gòu)的核心資產(chǎn)，其安全性面臨跨層級(jí)滲透、動(dòng)態(tài)化威脅的嚴(yán)峻挑戰(zhàn)。傳統(tǒng)數(shù)據(jù)安全技術(shù)雖已構(gòu)建網(wǎng)絡(luò)層、主機(jī)層、應(yīng)用層的分層防護(hù)體系，但其核心機(jī)制存在以下架構(gòu)性缺陷，導(dǎo)致難以應(yīng)對(duì)高級(jí)攻擊和內(nèi)部濫用風(fēng)險(xiǎn)：

2、1.靜態(tài)權(quán)限模型與動(dòng)態(tài)行為的矛盾

3、1)現(xiàn)有技術(shù)，比如rbac、acl、hips，依賴用戶角色、文件路徑、進(jìn)程哈希等靜態(tài)屬性進(jìn)行授權(quán)，缺乏對(duì)進(jìn)程行為合法性、數(shù)據(jù)敏感等級(jí)、操作類型等動(dòng)態(tài)上下文實(shí)時(shí)感知能力。此類方案無法實(shí)現(xiàn)“誰-以何種方式-訪問何種數(shù)據(jù)”的原子化控制，導(dǎo)致權(quán)限濫用風(fēng)險(xiǎn)：合法進(jìn)程被惡意代碼劫持后，仍可憑借靜態(tài)白名單身份訪問敏感數(shù)據(jù)；臨時(shí)進(jìn)程或腳本引擎的非常規(guī)操作難以通過固定規(guī)則精準(zhǔn)約束。

4、2.事后攔截機(jī)制與實(shí)時(shí)防護(hù)需求的矛盾

5、1)傳統(tǒng)防護(hù)技術(shù)，比如防火墻、fim、hips，檢測與阻斷動(dòng)作普遍滯后于數(shù)據(jù)訪問行為：網(wǎng)絡(luò)層設(shè)備僅能過濾跨節(jié)點(diǎn)流量，無法攔截主機(jī)內(nèi)部進(jìn)程對(duì)本地文件的非法操作；主機(jī)層監(jiān)控多基于用戶態(tài)api調(diào)用后的日志分析或文件哈希校驗(yàn)，攻擊者可利用內(nèi)核級(jí)漏洞繞過檢測；應(yīng)用層加密與權(quán)限管理暴露于用戶態(tài)內(nèi)存，易被惡意程序通過內(nèi)存注入竊取明文數(shù)據(jù)。

6、2)核心問題在于缺乏在系統(tǒng)調(diào)用發(fā)起前的內(nèi)核級(jí)原子化攔截能力，導(dǎo)致瞬時(shí)性攻擊無法被及時(shí)阻斷。

7、3.分層策略孤島與統(tǒng)一管控的矛盾

8、1)網(wǎng)絡(luò)層、主機(jī)層與應(yīng)用層的安全策略相互獨(dú)立，引發(fā)策略沖突與防護(hù)真空：網(wǎng)絡(luò)放行的請(qǐng)求可能在主機(jī)層被禁止，而應(yīng)用層權(quán)限與操作系統(tǒng)權(quán)限缺乏聯(lián)動(dòng)；多層級(jí)策略需人工分別配置，管理復(fù)雜且易產(chǎn)生疏漏。

9、2)現(xiàn)有方案缺少基于統(tǒng)一最小化授權(quán)模型的跨層級(jí)聯(lián)動(dòng)機(jī)制，難以實(shí)現(xiàn)精細(xì)化協(xié)同控制。

10、4.用戶態(tài)防護(hù)與內(nèi)核繞過的矛盾

11、1)主流安全工具，比如dlp、edr，運(yùn)行于用戶態(tài)，面臨先天防護(hù)脆弱性：內(nèi)核級(jí)攻擊可完全繞過用戶態(tài)監(jiān)控；數(shù)據(jù)解密后的明文仍暫存于進(jìn)程內(nèi)存，暴露于內(nèi)核驅(qū)動(dòng)可訪問的物理地址空間。

12、2)傳統(tǒng)方案因未深入系統(tǒng)底層，無法覆蓋數(shù)據(jù)訪問的全生命周期路徑，形成安全斷點(diǎn)。

技術(shù)實(shí)現(xiàn)思路

1、針對(duì)現(xiàn)有技術(shù)存在的上述問題，本發(fā)明提出了一種數(shù)據(jù)安全強(qiáng)制訪問控制方法及系統(tǒng)，配置數(shù)據(jù)安全區(qū)，對(duì)所有主機(jī)系統(tǒng)用戶和程序，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)實(shí)施“永不信任、持續(xù)驗(yàn)證、最小授權(quán)”的零信任強(qiáng)制訪問控制，并對(duì)數(shù)據(jù)訪問行為進(jìn)行全面、精確、細(xì)粒度審計(jì)。本發(fā)明提出的數(shù)據(jù)強(qiáng)制訪問控制方法及系統(tǒng)在數(shù)據(jù)訪問發(fā)生前，在操作系統(tǒng)內(nèi)核層，根據(jù)配置的精細(xì)化的訪問規(guī)則，對(duì)數(shù)據(jù)訪問行為進(jìn)行零信任強(qiáng)制訪問控制和審計(jì)，實(shí)現(xiàn)數(shù)據(jù)訪問動(dòng)態(tài)保護(hù)、事前保護(hù)、跨層級(jí)保護(hù)、內(nèi)核層保護(hù)，可大幅提升數(shù)據(jù)安全性和訪問控制精細(xì)度。

2、本發(fā)明采用的技術(shù)方案為：

3、一種數(shù)據(jù)強(qiáng)制訪問控制方法，其特征在于，配置數(shù)據(jù)安全區(qū)，對(duì)所有主機(jī)系統(tǒng)用戶和程序，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)實(shí)施強(qiáng)制訪問控制，并對(duì)數(shù)據(jù)訪問行為進(jìn)行審計(jì)，所述所有主機(jī)系統(tǒng)用戶包括但不限于：訪客用戶、普通用戶、超級(jí)用戶和管理員用戶等；所述方法包括：

4、s101)用戶根據(jù)需求靈活配置數(shù)據(jù)安全區(qū)范圍和訪問規(guī)則，其中，所述數(shù)據(jù)安全區(qū)范圍包括但不限于：文件、目錄、分區(qū)、磁盤和/或存儲(chǔ)設(shè)備等，所述數(shù)據(jù)安全區(qū)訪問規(guī)則包括：保密等級(jí)、操作方式、訪問方式、遠(yuǎn)程訪問特征、遠(yuǎn)程訪問權(quán)限和授權(quán)有效期，其中，所述保密等級(jí)包括但不限于：公開、內(nèi)部、機(jī)密和絕密等，所述操作方式包括但不限于：讀、寫、創(chuàng)建、刪除、移動(dòng)和執(zhí)行等，所述訪問方式包括：程序訪問和用戶訪問，所述程序訪問包括：程序路徑和名稱、哈希值，所述用戶操作訪問包括：用戶名和用戶組，所述遠(yuǎn)程訪問特征包括：遠(yuǎn)程對(duì)端地址和遠(yuǎn)程對(duì)端域名，所述網(wǎng)絡(luò)訪問權(quán)限包括：允許、警告和禁止，所述授權(quán)有效期包括：授權(quán)起始時(shí)間和授權(quán)結(jié)束時(shí)間；

5、s102)通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)的數(shù)據(jù)訪問行為，根據(jù)用戶配置的訪問規(guī)則，實(shí)施強(qiáng)制訪問控制；

6、s103)通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)的數(shù)據(jù)訪問行為進(jìn)行審計(jì)，所述審計(jì)的內(nèi)容包括：訪問時(shí)間、訪問對(duì)象、訪問方式、遠(yuǎn)程訪問特征、訪問操作和訪問結(jié)果。

7、進(jìn)一步地，步驟s101中所述數(shù)據(jù)安全區(qū)，還包括：

8、數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)默認(rèn)禁止訪問，需設(shè)置訪問規(guī)則授權(quán)后才能訪問；

9、數(shù)據(jù)安全區(qū)每條訪問規(guī)則獨(dú)立有效期管理，超過有效期規(guī)則自動(dòng)失效；

10、用戶按需配置多個(gè)數(shù)據(jù)安全區(qū)，并為每個(gè)數(shù)據(jù)安全區(qū)配置獨(dú)立的訪問規(guī)則；

11、設(shè)置數(shù)據(jù)安全官角色配置和管理數(shù)據(jù)安全區(qū)，數(shù)據(jù)安全官與操作系統(tǒng)內(nèi)任意用戶/超級(jí)用戶/管理員用戶綁定，通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，對(duì)數(shù)據(jù)安全區(qū)配置行為僅數(shù)據(jù)安全官身份用戶放行，對(duì)于非數(shù)據(jù)安全官身份用戶，即使是系統(tǒng)超級(jí)用戶/管理員用戶，配置行為也被禁止；數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)移出受到管控，數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)僅數(shù)據(jù)安全官能移出數(shù)據(jù)安全區(qū)，其他非數(shù)據(jù)安全官用戶，即使是系統(tǒng)超級(jí)用戶/管理員用戶，也不能將數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)移出數(shù)據(jù)安全區(qū)，防止跨區(qū)域數(shù)據(jù)泄露，具體方法是，通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，在操作系統(tǒng)內(nèi)核層，采用內(nèi)核級(jí)隔離機(jī)制，進(jìn)行數(shù)據(jù)安全區(qū)邊界判斷和管理，所述內(nèi)核級(jí)隔離采用的方法包括：地址空間判斷、命名空間區(qū)分和虛擬化技術(shù)；

12、s206)通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)特定數(shù)據(jù)實(shí)施數(shù)據(jù)隱身保護(hù)，所述數(shù)據(jù)隱身保護(hù)是指數(shù)據(jù)不能被遍歷查找和定向查找，需特定數(shù)據(jù)由數(shù)據(jù)安全官配置。

13、進(jìn)一步地，步驟s101中所述數(shù)據(jù)安全區(qū)，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)自動(dòng)加密存儲(chǔ)，包括：

14、加密過程與主機(jī)物理信息綁定，所述主機(jī)物理信息包括但不限于：cpu信息、ddr信息、硬盤信息和網(wǎng)口mac等，所述綁定采用的方法包括但不限于：加密密鑰采用主機(jī)物理信息分散、加密明文、中間值和/或密文經(jīng)過主機(jī)物理信息變換等；

15、加密密鑰采用安全方式獲得，獲得方式包括但不限于：主機(jī)puf生成、基于主機(jī)物理信息生成、硬件安全模塊保存和/或可信執(zhí)行環(huán)境保護(hù)存儲(chǔ)等，所述加密密鑰可以分散或不分散使用，加密密鑰使用完成后銷毀；

16、加解密算法采用對(duì)稱算法和/或非對(duì)稱算法，數(shù)據(jù)訪問時(shí)在操作系統(tǒng)內(nèi)核層自動(dòng)加解密數(shù)據(jù)；

17、s304)過程數(shù)據(jù)保存在內(nèi)存中，訪問結(jié)束后銷毀。

18、進(jìn)一步地，步驟s102中所述強(qiáng)制訪問控制，采用風(fēng)險(xiǎn)等級(jí)管理、多維屬性匹配和角色訪問控制進(jìn)行“永不信任、持續(xù)驗(yàn)證、最小授權(quán)”的零信任強(qiáng)制訪問控制，包括：

19、s401)根據(jù)數(shù)據(jù)安全官定義，將數(shù)據(jù)訪問行為風(fēng)險(xiǎn)等級(jí)分成：正常行為和異常行為，其中，所述異常行為分成：低風(fēng)險(xiǎn)行為、中風(fēng)險(xiǎn)行為、高風(fēng)險(xiǎn)行為，對(duì)于所述低風(fēng)險(xiǎn)行為僅記錄日志，對(duì)于所述中風(fēng)險(xiǎn)行為記錄日志和禁止訪問，對(duì)于所述高風(fēng)險(xiǎn)行為記錄日志、禁止訪問和隔離/鎖定數(shù)據(jù)；

20、s402)通過hook操作系統(tǒng)內(nèi)核核心調(diào)用，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)訪問行為實(shí)時(shí)監(jiān)控，獲取并分析訪問行為信息，所述訪問行為信息包括：訪問方式信息、遠(yuǎn)程訪問信息、訪問對(duì)象信息、訪問時(shí)間信息和訪問操作信息，其中，所述訪問方式信息包括：程序訪問信息、用戶操作訪問信息，所述用戶操作訪問信息包括：用戶名和用戶組，所述訪問程序訪問信息包括：程序路徑和名稱、哈希值，所述遠(yuǎn)程訪問信息包括：遠(yuǎn)程對(duì)端地址、遠(yuǎn)程對(duì)端域名，所述訪問對(duì)象信息包括：數(shù)據(jù)路徑和名稱、數(shù)據(jù)類型，所述訪問時(shí)間信息包括：開始時(shí)間、結(jié)束時(shí)間，所述訪問操作信息包括但不限于：讀、寫、創(chuàng)建、刪除、移動(dòng)、執(zhí)行等；

21、s403)采用比較匹配方法，將遠(yuǎn)程訪問信息、訪問對(duì)象信息、訪問時(shí)間信息、訪問操作信息和訪問規(guī)則中遠(yuǎn)程訪問特征、遠(yuǎn)程訪問權(quán)限、授權(quán)有效期關(guān)聯(lián)匹配，根據(jù)匹配結(jié)果和風(fēng)險(xiǎn)等級(jí)進(jìn)行處理；

22、s404)通過訪問方式信息區(qū)分為程序訪問信息或用戶操作訪問信息，分類處理；

23、s405)對(duì)于程序訪問信息，動(dòng)態(tài)關(guān)聯(lián)程序進(jìn)程流，采用比較匹配方法，將程序訪問信息、訪問對(duì)象信息、訪問時(shí)間信息、訪問操作信息和訪問規(guī)則中訪問程序、訪問操作、授權(quán)有效期關(guān)聯(lián)匹配，根據(jù)匹配結(jié)果和風(fēng)險(xiǎn)等級(jí)進(jìn)行處理；

24、s406)對(duì)于用戶操作訪問信息，動(dòng)態(tài)關(guān)聯(lián)用戶身份和上下文操作，采用比較匹配方法，將用戶操作訪問信息、訪問對(duì)象信息、訪問時(shí)間信息、訪問操作信息和訪問規(guī)則中訪問用戶、訪問操作、授權(quán)有效期關(guān)聯(lián)匹配，根據(jù)匹配結(jié)果和風(fēng)險(xiǎn)等級(jí)進(jìn)行處理。

25、進(jìn)一步地，步驟s103中所述訪問行為審計(jì)，采用結(jié)構(gòu)化日志方法進(jìn)行全面、精確、細(xì)粒度的審計(jì)，審計(jì)的內(nèi)容包括訪問時(shí)間、訪問對(duì)象、訪問方式、遠(yuǎn)程訪問特征、訪問操作和訪問結(jié)果：

26、所述訪問時(shí)間包括：記錄訪問開始時(shí)間和結(jié)束時(shí)間，精確到毫秒級(jí)；

27、所述訪問對(duì)象包括：記錄數(shù)據(jù)路徑、名稱、數(shù)據(jù)類型和保密等級(jí)，高級(jí)別數(shù)據(jù)重點(diǎn)報(bào)警；

28、所述訪問方式包括：記錄程序訪問和用戶操作訪問，對(duì)兩種訪問分開記錄；所述程序訪問包括：記錄程序路徑和名稱，并通過關(guān)聯(lián)程序進(jìn)程調(diào)用關(guān)系記錄進(jìn)程流；所述用戶操作訪問包括：記錄用戶名和用戶組，并關(guān)聯(lián)記錄用戶上下文操作；

29、所述遠(yuǎn)程訪問特征包括：記錄本地操作或遠(yuǎn)程操作，對(duì)于遠(yuǎn)程操作，記錄對(duì)端ip/域名；

30、所述訪問操作包括：詳細(xì)記錄讀、寫、創(chuàng)建、刪除、移動(dòng)和執(zhí)行等操作；

31、所述訪問結(jié)果包括：記錄放行、臨時(shí)放行、報(bào)警和禁止；

32、所述訪問結(jié)果為報(bào)警，詳細(xì)區(qū)分報(bào)警等級(jí)和類型，所述報(bào)警等級(jí)包括但不限于：正常、低風(fēng)險(xiǎn)、中風(fēng)險(xiǎn)和高風(fēng)險(xiǎn)，所述報(bào)警類型包括但不限于：正常、規(guī)則違例和權(quán)限濫用等。

33、進(jìn)一步地，步驟s103中所述訪問行為進(jìn)行審計(jì)，審計(jì)的數(shù)據(jù)支持多維度查詢，支持審計(jì)的數(shù)據(jù)通過加密通道上傳至管理端，支持審計(jì)的數(shù)據(jù)實(shí)時(shí)分析與長期歸檔。

34、可選地，步驟s103中所述訪問行為進(jìn)行審計(jì)，其特征在于，審計(jì)的數(shù)據(jù)支持構(gòu)建可視化報(bào)表與報(bào)警儀表盤，幫助快速掌握系統(tǒng)安全態(tài)勢(shì)。

35、本發(fā)明同時(shí)提出一種用于數(shù)據(jù)強(qiáng)制訪問控制方法的數(shù)據(jù)強(qiáng)制訪問控制系統(tǒng)，其特征在于，在主機(jī)系統(tǒng)中集成數(shù)據(jù)訪問分析及管控模塊、數(shù)據(jù)自動(dòng)加密模塊，數(shù)據(jù)訪問分析及管控模塊與數(shù)據(jù)自動(dòng)加密模塊之間相互調(diào)用，其中：

36、所述數(shù)據(jù)訪問分析及管控模塊實(shí)現(xiàn)數(shù)據(jù)訪問行為分析和管控，功能包括：數(shù)據(jù)訪問行為分析和管控、記錄數(shù)據(jù)訪問日志，其中，所述功能采用hook操作系統(tǒng)內(nèi)核核心調(diào)用的方式工作在操作系統(tǒng)內(nèi)核層；

37、所述數(shù)據(jù)自動(dòng)加密模塊實(shí)現(xiàn)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)自動(dòng)加解密，功能包括：密鑰管理、主機(jī)物理信息使用管理、自動(dòng)加解密和過程數(shù)據(jù)銷毀，所述功能采用hook操作系統(tǒng)內(nèi)核核心調(diào)用的方式工作在操作系統(tǒng)內(nèi)核層，所述自動(dòng)加解密采用對(duì)稱算法和/或非對(duì)稱算法。

38、進(jìn)一步地，數(shù)據(jù)強(qiáng)制訪問控制系統(tǒng)，在主機(jī)系統(tǒng)中還集成自適應(yīng)策略編排模塊、熱補(bǔ)丁無感更新模塊、配置管理模塊和日志管理模塊，各模塊之間相互調(diào)用，其中：

39、所述自適應(yīng)策略編排模塊根據(jù)用戶操作和歷史訪問日志進(jìn)行分析，自動(dòng)生成最小化授權(quán)規(guī)則建議；

40、所述熱補(bǔ)丁無感更新模塊實(shí)現(xiàn)安全策略與內(nèi)核組件的在線熱升級(jí)，確保更新過程中業(yè)務(wù)連續(xù)性；

41、所述配置管理模塊實(shí)現(xiàn)數(shù)據(jù)安全官身份管理、數(shù)據(jù)安全區(qū)配置管理、記錄配置管理日志；

42、所述日志管理模塊實(shí)現(xiàn)數(shù)據(jù)強(qiáng)制訪問控制方法的系統(tǒng)日志的收集、管理和上傳，為數(shù)據(jù)訪問行為進(jìn)行審計(jì)提供依據(jù)。

43、可選地，數(shù)據(jù)強(qiáng)制訪問控制系統(tǒng)，還可以在主機(jī)系統(tǒng)中集成數(shù)據(jù)安全態(tài)勢(shì)感知模塊，各模塊之間相互調(diào)用，所述數(shù)據(jù)安全態(tài)勢(shì)感知模塊根據(jù)數(shù)據(jù)強(qiáng)制訪問控制系統(tǒng)日志生成可視化報(bào)表與報(bào)警儀表盤，幫助快速掌握數(shù)據(jù)強(qiáng)制訪問控制系統(tǒng)安全態(tài)勢(shì)。

44、與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)點(diǎn)在于：

45、本發(fā)明通過配置數(shù)據(jù)安全區(qū)，對(duì)所有主機(jī)系統(tǒng)用戶和程序，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)實(shí)施“永不信任、持續(xù)驗(yàn)證、最小授權(quán)”的零信任強(qiáng)制訪問控制，并對(duì)數(shù)據(jù)訪問行為進(jìn)行全面、精確、細(xì)粒度審計(jì)。同時(shí)，在操作系統(tǒng)內(nèi)核層，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)移出實(shí)施管控，對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)自動(dòng)加密存儲(chǔ)，根據(jù)配置對(duì)數(shù)據(jù)安全區(qū)內(nèi)數(shù)據(jù)實(shí)施隱身保護(hù)。本發(fā)明提出的數(shù)據(jù)強(qiáng)制訪問控制方法及系統(tǒng)在數(shù)據(jù)訪問發(fā)生前，在操作系統(tǒng)內(nèi)核層，根據(jù)配置的訪問規(guī)則，對(duì)數(shù)據(jù)訪問行為進(jìn)行零信任強(qiáng)制訪問控制和審計(jì)，實(shí)現(xiàn)數(shù)據(jù)訪問動(dòng)態(tài)保護(hù)、事前保護(hù)、跨層級(jí)保護(hù)、內(nèi)核層保護(hù)，可大幅提升數(shù)據(jù)安全性和訪問控制精細(xì)度。