一种基于文件标签的明文数据追溯方法及装置与流程

本发明涉及信息安全领域，尤其涉及一种基于文件标签的明文数据追溯方法及装置。

背景技术：

目前，随着各行业对数据的重视程度的日益加深，数据的安全问题获得了数据使用者的关注。数据安全作为信息安全的重要分支，被不同行业广泛重视。出现了数据安全管理系统作为数据安全防护手段，目前的数据安全管理系统也逐渐向智能化方向发展，以贴合用户的使用习惯。

现有一种基于数据安全管理系统终端，依托于全盘扫描功能及文档内的文件标签，实现明文数据追溯。现有技术201810265186.1正是一种基于敏感数据扫描功能开发的明文数据追溯方法，其中敏感数据扫描功能包括对个人计算机的全盘智能扫描和手动扫描。其中，全盘智能扫描，是指全自动后台扫描，在不影响用户日常使用的前提下，识别全盘文件中的包含有敏感信息的明文文件，全盘智能扫描会在后台不断的扫描文件；手动扫描，是指手动扫描指定的目录，识别具有敏感信息的明文文件，手动扫描精确扫描特定的文件。基于上述两种扫描方式，识别出个人计算机或个人移动终端中的所有具有敏感信息的明文文件后，对识别到的具有敏感信息的明文文件在整个业务系统中进行追溯，识别该文件是否有泄密，以及所有的泄密场景。但上述方式中，没有对文件标签的统一管理方式，不能对文件标签进行文件使用全过程的管理，对文件是否存在泄密及所有泄密场景查询速度慢。

技术实现要素：

为解决上述技术问题，本发明提出了一种基于文件标签的明文数据追溯方法及装置，所述方法及装置，用以解决现有技术中没有对文件标签的统一管理方式，不能对文件标签进行文件使用全过程的管理，对文件是否存在泄密及所有泄密场景查询速度慢的技术问题。

根据本发明的第一方面，提供一种基于文件标签的明文数据追溯方法，所述方法包括以下步骤：

步骤s101：扫描并识别明文数据文件的文件类型、文件敏感级别；

步骤s102：判断所述明文数据文件是否具有文件标签，若是，进入步骤s104；若否，进入步骤s103；

步骤s103：生成文件唯一标识(uuid)；基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，确定所述明文数据文件的文件类型，采用与该文件类型对应的方式添加该文件标签；进入步骤s106；

步骤s104：判断所述明文数据文件的文件敏感级别是否发生变化，若是，进入步骤s105；若否，进入步骤s106；

步骤s105：更新所述明文数据文件的文件敏感级别，并基于更新后的文件敏感级别生成新的文件标签；

步骤s106：基于所述明文数据文件的文件敏感操作，将所述明文数据文件的文件标签信息上报到服务器的日志中；在所述标签管理模块中新增该文件敏感操作的记录信息，所述记录信息包括数据文件的文件敏感操作、文件敏感级别、文件标签的信息，并根据文件唯一标识(uuid)，将文件唯一标识相同的记录建立关联，生成所述明文数据文件追溯报告。

进一步地，所述文件标签保存在所述明文数据文件的二进制流中。

进一步地，所述标签管理模块提供文件标签的接口，提供文件标签的增、删、改、查的访问功能。

进一步地，所述标签管理模块存储所述明文数据文件的文件名、文件敏感级别、文件敏感操作、文件唯一标识(uuid)的对应关系；还根据文件唯一标识(uuid)，将文件唯一标识(uuid)相同的记录建立关联。

根据本发明第二方面，提供一种基于文件标签的明文数据追溯装置，所述装置包括：

扫描模块：扫描并识别明文数据文件的文件类型、文件敏感级别；

第一判断模块：用于判断所述明文数据文件是否具有文件标签；

文件标签添加模块：用于生成文件唯一标识(uuid)；基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，确定所述明文数据文件的文件类型，采用与该文件类型对应的方式添加该文件标签；

第二判断模块：用于判断所述明文数据文件的文件敏感级别是否发生变化；

更新模块：用于更新所述明文数据文件的文件敏感级别，并基于更新后的文件敏感级别生成新的文件标签；

追溯报告生成模块：用于基于所述明文数据文件的文件敏感操作，将所述明文数据文件的文件标签信息上报到服务器的日志中；在所述标签管理模块中新增该文件敏感操作的记录信息，所述记录信息包括数据文件的文件敏感操作、文件敏感级别、文件标签的信息，并根据文件唯一标识(uuid)，将文件唯一标识相同的记录建立关联，生成所述明文数据文件追溯报告。

进一步地，所述文件标签保存在所述明文数据文件的二进制流中。

进一步地，所述标签管理模块提供文件标签的接口，提供文件标签的增、删、改、查的访问功能。

进一步地，所述标签管理模块存储所述明文数据文件的文件名、文件敏感级别、文件敏感操作、文件唯一标识(uuid)的对应关系；还根据文件唯一标识(uuid)，将文件唯一标识(uuid)相同的记录建立关联。

根据本发明第三方面，提供一种基于文件标签的明文数据追溯的系统，包括：

处理器，用于执行多条指令；

存储器，用于存储多条指令；

其中，所述多条指令，用于由所述存储器存储，并由所述处理器加载并执行如前所述的基于文件标签的明文数据追溯的方法。

根据本发明第四方面，提供一种计算机可读存储介质，所述存储介质中存储有多条指令；所述多条指令，用于由处理器加载并执行如前所述的基于文件标签的明文数据追溯的方法。

根据本发明的上述方案，使数据安全管理系统终端可以基于文件标签中的文件敏感级别、文件唯一标识(uuid)，对具有敏感信息的明文数据文件进行永久性的追溯，并对该明文数据文件进行的操作都会以日志的方式进行上报，便于管理员发现泄密风险，极大地提高了企业的数据安全。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，并可依照说明书的内容予以实施，以下以本发明的较佳实施例并配合附图详细说明如后。

附图说明

构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明提供如下附图进行说明。在附图中：

图1为本发明一个实施方式的基于文件标签的明文数据追溯的方法流程图；

图2为本发明一个实施方式的office类型文件添加文件标签的示意图；

图3为本发明一个实施方式的pdf类型文件添加文件标签的示意图；

图4为本发明一个实施方式的标签管理模块示意图；

图5为本发明一个实施方式的基于文件标签的明文数据追溯的方法流程图；

图6为本发明一个实施方式的基于文件标签的明文数据追溯的装置结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明具体实施例及相应的附图对本发明技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

定义：

明文标签：是一种设置在明文文件内部的隐性字符，不影响用户本身对文件的操作，但可以利用隐性字符来追溯该明文文件。

首先结合图1说明为本发明一个实施方式的基于文件标签的明文数据追溯的方法流程图。如图1所示，所述方法包括以下步骤：

步骤s101：扫描并识别明文数据文件的文件类型、文件敏感级别；

步骤s102：判断所述明文数据文件是否具有文件标签，若是，进入步骤s104；若否，进入步骤s103；

步骤s103：生成文件唯一标识(uuid)；基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，确定所述明文数据文件的文件类型，采用与该文件类型对应的方式添加该文件标签；

步骤s104：判断所述明文数据文件的文件敏感级别是否发生变化，若是，进入步骤s105；若否，进入步骤s106；

步骤s105：更新所述明文数据文件的文件敏感级别，并基于更新后的文件敏感级别生成新的文件标签；

步骤s106：基于所述明文数据文件的文件敏感操作，将所述明文数据文件的文件标签信息上报到服务器的日志中；在所述标签管理模块中新增该文件敏感操作的记录信息，所述记录信息包括数据文件的文件敏感操作、文件敏感级别、文件标签的信息，并根据文件唯一标识(uuid)，将文件唯一标识相同的记录建立关联，生成所述明文数据文件追溯报告。

所述步骤s101：扫描并识别明文数据文件的文件类型、文件敏感级别，包括：

通过敏感数据扫描功能扫描明文数据文件，所述敏感数据扫描功能包括全盘智能扫描及手动扫描，判断识别出的明文数据文件是否含有敏感信息，不处理所述不含敏感信息的明文数据文件。以下进行处理的明文数据均指具有敏感信息的明文数据文件。

对于所述含有敏感信息的明文数据文件，确定该明文数据文件的文件类型；解析文件扫描结果文件，获取文件命中文档规则、命中的明文数据文件的快照数量、命中的文件敏感级别。

通过识别文件头的方式识别文件类型，所述文件类型包括但不限于office、officex、pdf格式，可以防止伪造文件后缀，能够更精确地识别文件类型。

所述步骤s103：生成文件唯一标识(uuid)；基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，确定所述明文数据文件的文件类型，采用与该文件类型对应的方式添加该文件标签，包括：

不同的文件格式，添加文件标签的方式不同。根据文件类型，调用该文件类型的添加文件标签的接口，将所述文件唯一标识以及文件敏感级别写入对应的所述明文数据文件的文件信息中，基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，该文件标签保存在所述明文数据文件的二进制流中。

本实施例中，可以调用office、officex、pdf添加文件标签的接口，写入文件标签。

步骤s104：判断所述明文数据文件的文件敏感级别是否发生变化，若是，进入步骤s105；若否，进入步骤s106；包括：

由于文件敏感级别可能会变化，所以获取所述明文数据文件的文件敏感级别并判断该文件敏感级别是否发生了变化。

步骤s105：更新所述明文数据文件的文件敏感级别，并基于更新后的文件敏感级别生成新的文件标签；

若文件敏感级别发生了变化，即当前的文件敏感级别与之前的文件敏感级别不同，则需更新所述文件标签。

图4为本发明一个实施方式的标签管理模块示意图，如图4所示：

所述标签管理模块提供文件标签的接口，提供文件标签的增、删、改、查的访问功能。

标签管理模块在本地，标签管理模块提供添加标签，查询标签，修改标签以及删除标签的功能。

提供全盘智能扫描及手动扫描的扫描模块向所述标签管理模块发送数据。扫描模块在命中扫描结果后，调用标签管理模块的接口，对文件标签进行维护。

所述标签管理模块存储所述明文数据文件的文件名、文件敏感级别、文件敏感操作、文件唯一标识(uuid)的对应关系；还根据文件唯一标识(uuid)，将文件唯一标识(uuid)相同的记录建立关联。建立关联的优点在于可以直接生成该明文数据文件的明文文件追溯报告，提高了生成明文文件追溯报告的速度。

所述步骤s106：基于所述明文数据文件的文件敏感操作，将所述明文数据文件的文件标签信息上报到服务器的日志中；在所述标签管理模块中新增该文件敏感操作的记录信息，所述记录信息包括数据文件的文件敏感操作、文件敏感级别、文件标签的信息，并根据文件唯一标识(uuid)，将文件唯一标识相同的记录建立关联，生成所述明文数据文件追溯报告，包括：

在具有敏感数据的明文数据文件执行了文件敏感操作时，都要读取文件标签，可以对具有敏感数据的明文数据文件的所有敏感操作进行追溯，所述敏感操作包括但不限于以下场景：

文件的复制粘贴、文件外发到u盘、文件外发到共享文件夹、文件通过第三方聊天软件外发、文件通过http邮箱外发、文件通过客户端邮箱外发、文件打印。

针对有文件标签的数据文件进行如上所述的文件敏感操作时，将数据文件的文件标签信息上报到日志中；服务器通过文件标签中的文件唯一标识中的唯一标识字段进行关联，生成明文数据文件追溯报告。

进行数据文件的敏感操作时，例如拷贝、邮件外发、第三方程序外发、u盘外发、共享文件夹外发等等，读取文件标签信息，并上传日志至日志服务器，根据文件标签中的文件唯一标识，可以看到该数据文件在本系统中的全部敏感操作，对该文件进行了全生命期的追溯。

以下结合实施例进一步说明本发明的基于文件标签的明文数据追溯的方法。部署数据安全管理系统，并下发全盘智能扫描策略及手动扫描策略，扫描完磁盘的全部文件后，将具有敏感数据的明文数据添加文件标签。

以下结合图5说明本发明的基于文件标签的明文数据追溯的方法。如图5所示：

步骤s501：访问具有敏感信息的明文数据文件；

所述访问包括但不限于对该明文数据文件的外发操作、文件操作。

步骤s502：读取文件标签信息；

读取文件标签信息并上传至服务器。

步骤s503：监管方进行日志审计；

步骤s504：生成该明文数据文件的报表。

服务器通过文件标签中的文件唯一标识生成该明文数据文件的报表，完成对该明文数据文件的追溯。

本发明实施例进一步给出一种基于文件标签的明文数据追溯的装置，如图6所示，所述装置包括：

扫描模块：扫描并识别明文数据文件的文件类型、文件敏感级别；

第一判断模块：用于判断所述明文数据文件是否具有文件标签；

文件标签添加模块：用于生成文件唯一标识(uuid)；基于所述文件唯一标识(uuid)、文件敏感级别生成文件标签，确定所述明文数据文件的文件类型，采用与该文件类型对应的方式添加该文件标签；

第二判断模块：用于判断所述明文数据文件的文件敏感级别是否发生变化；

更新模块：用于更新所述明文数据文件的文件敏感级别，并基于更新后的文件敏感级别生成新的文件标签；

追溯报告生成模块：用于基于所述明文数据文件的文件敏感操作，将所述明文数据文件的文件标签信息上报到服务器的日志中；在所述标签管理模块中新增该文件敏感操作的记录信息，所述记录信息包括数据文件的文件敏感操作、文件敏感级别、文件标签的信息，并根据文件唯一标识(uuid)，将文件唯一标识相同的记录建立关联，生成所述明文数据文件追溯报告。

本发明实施例进一步给出一种基于文件标签的明文数据追溯的系统，包括：

处理器，用于执行多条指令；

存储器，用于存储多条指令；

其中，所述多条指令，用于由所述存储器存储，并由所述处理器加载并执行如前所述的基于文件标签的明文数据追溯的方法。

本发明实施例进一步给出一种计算机可读存储介质，所述存储介质中存储有多条指令；所述多条指令，用于由处理器加载并执行如前所述的基于文件标签的明文数据追溯的方法。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机装置(可以是个人计算机，实体机服务器，或者网络云服务器等，需安装windows或者windowsserver操作系统)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(read-onlymemory，rom)、随机存取存储器(randomaccessmemory，ram)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。