一种基于报文解析的数据脱敏方法及装置
阅读说明：本技术 一种基于报文解析的数据脱敏方法及装置 (Data desensitization method and device based on message analysis ) 是由 陈磊 黄秀丽 石聪聪 来骥 刘辉舟 陈涛 李峰 于鹏飞 沈文 徐相森 于 2020-05-14 设计创作，主要内容包括：本发明涉及一种基于报文解析的数据脱敏方法及装置,包括：获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析,解析后IP报文信息包括源IP和目的IP；通过比较源IP和目的IP的来源,识别IP报文的传输目的；根据识别结果对IP报文进行封装传输,或者进行数据脱敏处理后封装传输；本发明利用报文解析通用性强的优点,使实际部署简单化,并发处理能力强,适用于海量数据请求的应用场景,且不需要直接操作数据库和获取用户的数据访问权限,降低了数据库和用户隐私泄露的风险。(The invention relates to a data desensitization method and a device based on message analysis, which comprises the following steps: acquiring and analyzing an IP message on a transmission link between an application system and a target data server, wherein the analyzed IP message information comprises a source IP and a target IP; identifying the transmission destination of the IP message by comparing the source of the source IP and the destination IP; packaging and transmitting the IP message according to the identification result, or packaging and transmitting after performing data desensitization treatment; the method and the device have the advantages of strong universality of message analysis, simplify actual deployment, have strong concurrent processing capability, are suitable for application scenes of massive data requests, do not need to directly operate the database and acquire the data access permission of the user, and reduce the risk of privacy disclosure of the database and the user.)
技术领域
本发明涉及信息安全技术领域，具体涉及一种基于报文解析的数据脱敏方法及装置。
背景技术
随着泛在电力物联网建设工作稳步开展，数字经济市场迎来发展时期，数据的共享和流通将更加频繁，成为刚性业务需求。伴随着数据的集中处理、广泛共享、交叉使用，大数据安全问题也将日益凸显，数据安全面临着严峻挑战。为保障数据安全合规使用，对数据全生命周期中各环节涉及的敏感信息进行脱敏，是一种有效的安全控制手段。
目前，市场上通用的数据脱敏的做法是在应用和数据库之间，逻辑串行部署脱敏网关，利用脱敏网关截获应用向数据库请求的SQL语句，并完成解析、修改，然后再重新发送给数据库，实现脱敏。此种方法存在一定的弊端，主要如下：一是逻辑串行部署时，一旦脱敏网关出现异常，将影响业务系统安全稳定运行，安全性不足；二是截获并解析、修改SQL语句，属于侵入式做法，存在安全隐患，且极易出现误操作；三是部署实施困难，由于不同应用的架构及实现语言不一，需要现场进行大量兼容性调试，无法具备普适性；四是受限于解析过程的复杂性，脱敏网关并行处理SQL能力有限，数据量较大时，处理效率低。
发明内容
针对现有技术的不足，本发明的目的是一种基于报文解析的数据脱敏方法及装置，通过识别传输链路上的IP报文的源IP和目的IP，以此为基础实现脱敏处理，解决现有脱敏处理中，安全性和效率低，实施困难的缺点。
本发明提供一种基于报文解析的数据脱敏方法，其改进之处在于，所述方法包括：
获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；
通过比较源IP和目的IP的来源，识别IP报文的传输目的；
根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输。
优选地，所述通过比较源IP和目的IP的来源，识别IP报文的传输目的，包括：
在预先建立的应用系统IP集和目标数据服务器IP集中查找所述源IP和目的IP；
若所述源IP存在于应用系统IP集且目的IP存在于目标数据服务器IP集，则IP报文的传输目的为应用系统向目标数据服务器发出数据访问请求；
若所述源IP存在于目标数据服务器IP集且目的IP存在于应用系统IP集，则IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据。
优选地，所述根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输，包括：
若IP报文的传输目的为应用系统向目标数据服务器发出数据请求，则依据目标数据服务器的传输协议将报文进行封装后传输至目标数据服务器；
若IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据，则对报文进行数据脱敏处理并将数据脱敏处理后的报文依据应用系统的传输协议将报文进行封装后传输至应用系统。
进一步地，所述解析后的IP报文信息还包括IP报文的序列号信息；
所述对报文进行数据脱敏处理，包括：
基于序列号信息重组IP报文，获得目标数据服务器的返回数据；
基于预设的敏感数据类型，识别返回数据中的敏感数据；
利用预设的脱敏算法对返回数据中的敏感数据进行脱敏处理；
其中，所述预设的敏感数据类型包括：姓名、电话号码、身份证号、车牌号和银行卡号。
进一步地，所述脱敏算法包括任一至全部：
随机映射算法、固定映射算法、遮盖算法和范围内随机算法。
基于同一发明构思，本发明还提供一种基于报文解析的数据脱敏装置，其改进之处在于，所述装置包括：
获取单元，用于获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；
识别单元，用于通过比较源IP和目的IP的来源，识别IP报文的传输目的；
脱敏单元，用于根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输。
优选地，所述识别单元，具体用于：
在预先建立的应用系统IP集和目标数据服务器IP集中查找所述源IP和目的IP；
若所述源IP存在于应用系统IP集且目的IP存在于目标数据服务器IP集，则IP报文的传输目的为应用系统向目标数据服务器发出数据访问请求；
若所述源IP存在于目标数据服务器IP集且目的IP存在于应用系统IP集，则IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据。
优选地，所述脱敏单元，具体用于：
若IP报文的传输目的为应用系统向目标数据服务器发出数据请求，则依据目标数据服务器的传输协议将报文进行封装后传输至目标数据服务器；
若IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据，则对报文进行数据脱敏处理并将数据脱敏处理后的报文依据应用系统的传输协议将报文进行封装后传输至应用系统。
进一步地，所述解析后的IP报文信息还包括IP报文的序列号信息；
所述对报文进行数据脱敏处理，包括：
基于序列号信息重组IP报文，获得目标数据服务器的返回数据；
基于预设的敏感数据类型，识别返回数据中的敏感数据；
利用预设的脱敏算法对返回数据中的敏感数据进行脱敏处理；
其中，所述预设的敏感数据类型包括：姓名、电话号码、身份证号、车牌号和银行卡号。
进一步地，所述脱敏算法包括任一至全部：
随机映射算法、固定映射算法、遮盖算法和范围内随机算法。
与最接近的现有技术相比，本发明具有的有益效果：
本发明涉及一种基于报文解析的数据脱敏方法及装置，包括：获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；通过比较源IP和目的IP的来源，识别IP报文的传输目的；根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输；本发明对报文进行解析，获得报文的源IP和目的IP，利用报文解析通用性强的优点，使实际部署简单化，且并发处理能力强，适用于海量数据请求的应用场景；根据IP报文传输目的的识别结果对报文进行数据脱敏处理，不需要直接操作数据库和获取用户的数据访问权限，降低了数据库和用户隐私泄露的风险。
附图说明
图1是本发明基于报文解析的数据脱敏方法流程图；
图2是本发明基于报文解析的数据脱敏装置示意图。
具体实施方式
下面结合附图对本发明的具体实施方式作进一步的详细说明。
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
本发明提供一种基于报文解析的数据脱敏方法，如图1所示，所述方法包括：
获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；
通过比较源IP和目的IP的来源，识别IP报文的传输目的；
根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输。
为了更加清楚地表明本发明的目的，下面结合具体实施例对本发明的方案做进一步说明。
在本发明的实施例中，上述通过比较源IP和目的IP的来源，识别IP报文的传输目的，包括：
在预先建立的应用系统IP集和目标数据服务器IP集中查找所述源IP和目的IP；
若所述源IP存在于应用系统IP集且目的IP存在于目标数据服务器IP集，则IP报文的传输目的为应用系统向目标数据服务器发出数据访问请求；
若所述源IP存在于目标数据服务器IP集且目的IP存在于应用系统IP集，则IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据。
在本发明的实施例中，上述根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输，包括：
若IP报文的传输目的为应用系统向目标数据服务器发出数据请求，则依据目标数据服务器的传输协议将报文进行封装后传输至目标数据服务器；
若IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据，则对报文进行数据脱敏处理并将数据脱敏处理后的报文依据应用系统的传输协议将报文进行封装后传输至应用系统。
具体地，上述解析后的IP报文信息还包括IP报文的序列号信息；
所述对报文进行数据脱敏处理，包括：
基于序列号信息重组IP报文，获得目标数据服务器的返回数据；
基于预设的敏感数据类型，识别返回数据中的敏感数据；
利用预设的脱敏算法对返回数据中的敏感数据进行脱敏处理；
其中，所述预设的敏感数据类型包括：姓名、电话号码、身份证号、车牌号和银行卡号。
在本发明的实施例中，利用预设脱敏算法对返回数据中的敏感数据进行脱敏处理，包括：
根据预设脱敏规则，采用脱敏算法将敏感数据中部分数据隐藏，并用“*”代替；
脱敏规则包括：
姓名：3个字以内隐藏第1个字，4-6个字隐藏前2个字，大于6个字隐藏第3-6个字；
电话号码：保留前3位和最后3位，其余隐藏；
身份证号：保留前6位和最后4位，其余隐藏；
车牌号：保留地区编码和流水号最后2位，其余隐藏；
银行卡号：保留前4位和最后4位，其余隐藏。
具体地，上述脱敏算法包括：随机映射算法、固定映射算法、遮盖算法和范围内随机算法。
基于同一发明构思，本发明还提供一种基于报文解析的数据脱敏装置，如图2所示，所述装置包括：
获取单元，用于获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；
识别单元，用于通过比较源IP和目的IP的来源，识别IP报文的传输目的；
脱敏单元，用于根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输。
优选地，所述识别单元，具体用于：
在预先建立的应用系统IP集和目标数据服务器IP集中查找所述源IP和目的IP；
若所述源IP存在于应用系统IP集且目的IP存在于目标数据服务器IP集，则IP报文的传输目的为应用系统向目标数据服务器发出数据访问请求；
若所述源IP存在于目标数据服务器IP集且目的IP存在于应用系统IP集，则IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据。
优选地，所述脱敏单元，具体用于：
若IP报文的传输目的为应用系统向目标数据服务器发出数据请求，则依据目标数据服务器的传输协议将报文进行封装后传输至目标数据服务器；
若IP报文的传输目的为目标数据服务器根据应用系统的数据访问请求向应用系统返回数据，则对报文进行数据脱敏处理并将数据脱敏处理后的报文依据应用系统的传输协议将报文进行封装后传输至应用系统。
进一步地，所述解析后的IP报文信息还包括IP报文的序列号信息；
所述对报文进行数据脱敏处理，包括：
基于序列号信息重组IP报文，获得目标数据服务器的返回数据；
基于预设的敏感数据类型，识别返回数据中的敏感数据；
利用预设的脱敏算法对返回数据中的敏感数据进行脱敏处理；
其中，所述预设的敏感数据类型包括：姓名、电话号码、身份证号、车牌号和银行卡号。
进一步地，所述脱敏算法包括任一至全部：
随机映射算法、固定映射算法、遮盖算法和范围内随机算法。
综上所述，本发明涉及的一种基于报文解析的数据脱敏方法及装置，获取应用系统与目标数据服务器之间传输链路上的IP报文并进行解析，解析后IP报文信息包括源IP和目的IP；通过比较源IP和目的IP的来源，识别IP报文的传输目的；根据识别结果对IP报文进行封装传输，或者进行数据脱敏处理后封装传输；本发明对报文进行解析，获得报文的源IP和目的IP，利用报文解析通用性强的优点，使实际部署简单化，且并发处理能力强，适用于海量数据请求的应用场景；根据IP报文传输目的的识别结果对报文进行数据脱敏处理，不需要直接操作数据库和获取用户的数据访问权限，降低了数据库和用户隐私泄露的风险；
其中，本发明的方案应用于业务系统时属于逻辑旁路部署，当其本发明的方案出现异常时，不影响原有业务系统的正常运行。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。