(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210658681.5 (22)申请日 2022.06.12 (71)申请人 四川云云旺软件技 术有限公司 地址 610000 四川省成 都市天府新区正兴 街 道 蜀 州路 2 8 2 8号附 O L - 0 5 - 202202006号 (72)发明人 冯云刚　万德科　 (51)Int.Cl. G06F 21/60(2013.01) G06F 21/62(2013.01) (54)发明名称 一种大数据安全防护方法及系统 (57)摘要 本发明公开了一种大数据安全防护方法及 系统， 基于采集的大数据对应的采集源信息生成 对应的安全评价数据， 根据安全评价数据对采集 的大数据进行脱敏处理和加密处理， 在获取用户 终端的访问请求信息时， 基于访问请求信息分配 业务权限入口， 确定风险管控等级， 建立对应的 安全防护业务端口并实时监测用户敏感权限， 基 于大数据服务器 返回的权限指示信息， 执行相应 的权限禁止或放行， 通过加强大数据采集、 处理 和流动阶段的安全防护， 提高大数据数据安全防 护的可靠性。 权利要求书3页 说明书7页 附图1页 CN 115130122 A 2022.09.30 CN 115130122 A 1.权利要求1请求保护一种大数据安全防护方法， 其特征在于， 应用于与用户终端通信 的大数据服务器， 所述方法包括： 基于采集的大 数据对应的采集源信息生成所述采集的大 数据对应的安全评价数据； 根据所述 安全评价数据对所述采集的大 数据进行脱敏处 理和加密处理； 获取所述用户终端的访 问请求信息， 基于所述访 问请求信息分配业务权限入口， 确定 所述业务权限入口 的风险管控等级， 建立对应的安全防护业 务端口； 所述安全防护业务端口实时监测用户敏感权限， 并与所述大数据服务器通信， 基于所 述大数据服务器返回的权限指示信息， 执 行相应的权限禁止或放行。 2.根据权利要求1所述的大数据安全防护方法， 其特征在于， 所述基于采集的大数据对 应的采集源信息生成所述采集的大数据对应的安全评价数据包括以下步骤： 获取所述采集 源信息， 所述采集源信息包括： 采集阶段面临的非授权采集信息、 数据分类分级信息、 敏感 数据识别信息以及细粒度的访问控制信息； 基于所述采集源信息生成所述安全评价数据， 根据所述 安全评价数据判断大 数据的处 理步骤。 3.根据权利要求2所述的大数据安全防护方法， 其特征在于， 所述根据 所述安全评价数 据对所述采集的大 数据进行脱敏处 理和加密处理， 包括： 对采集的大数据进行脱敏处理的步骤， 所述大数据服务器在大数据采集过程中， 对大 数据源中的数据进行处 理时， 将敏感信息进行脱敏， 生成第一大 数据集； 在所述对采集的大数据进行脱敏处理的步骤后， 所述脱敏处理还包括： 对所述第一大 数据集进行数据导出到测试环境或其他系统时， 进行二次脱敏生成第二大数据集； 以及在 对采集的大数据进 行处理阶段， 敏感数据在提供查询服务时， 根据 API或账号权限进 行数据 动态脱敏， 生成第三大 数据集； 对所述采集的大数据进行加密处理的步骤， 所述加密处理基于数据透明加密机制， 对 所述脱敏 处理后存储在大数据服务器中的文件型、 非关系型数据库形式的存储数据进 行加 密处理。 4.根据权利要求3所述的大数据安全防护方法， 其特征在于， 所述数据进行加密处理步 骤为： 创建加密区域， 每个加密区域对应1个区域密钥， 保存于KMS； 在加密区域创建文件时， 加密组件Proxy从KMS上申请EDEK； Proxy获取到EDEK后， 申请ＫＭＳ对EDEK进行解密， 从而 获取出用于加密数据的D EK， 同时将 EDEK存放于新建文件的元数据中； 在将数据写入到文件 时使用DEK完成对数据的加密。 5.根据权利要求1所述的大数据安全防护方法， 其特征在于， 所述建立对应的安全防护 业务端口包括： 获取所述用户终端的访问请求信息， 所述大数据服务器针对用户终端的访 问行为， 基于安全防护策略集分配业务权限入口， 确定所述业务权限入口的风险管控等级； 在数据流动阶段， 基于数据访问控制策略实时监测安全防护业务端口实时监测用户敏感权 限。 6.根据权利要求5所述的大数据安全防护方法， 其特征在于， 所述基于数据访问控制策 略实时监测安全防护业务端口实时监测用户敏感权限包括以下步骤： 大数据服务器基于用 户访问请求完成身份认证， 所述身份认证采用Kerber os认证系统； 用户身份认证通过后， 基 于大数据服务器的实体访问策略进行验证比对， 基于安全防护策略集分配业务权限入口； 分配业务权限入口后， 再进 行数据访问控制策略的验证； 数据访问控制策略的验证允许后，权　利　要　求　书 1/3 页 2 CN 115130122 A 2可对相应资源进行使用； 所述安全防护业务端口实时监测用户敏感权限， 并与所述大数据服务器通信， 基于所 述大数据服务器返回的权限指示信息， 执行相 应的权限禁止或放行包括： 访问控制组件在 操作请求 实际执行之前进 行操作请求和访问内容的解析， 然后根据已配置的权限列 表进行 权限判断， 最终阻断未授权访问和越权访问。 7.一种大数据安全防护系统， 其特征在于， 应用于与用户终端通信的大数据服务器， 包 括： 数据评价单元、 数据处理单元、 业务分配单元和业务监测单元， 各个功能单元与大数据 服务器通信连接； 数据评价单元基于采集的大数据对应的采集源信息生成所述采集的大数据对应的安 全评价数据； 数据处理单元根据所述 安全评价数据对所述采集的大 数据进行脱敏处 理和加密处理； 业务分配单元获取所述用户终端的访问请求信 息， 基于所述访问请求信 息分配业务权 限入口， 确定所述 业务权限入口 的风险管控等级， 建立对应的安全防护业 务端口； 业务监测单元基于所述安全防护业务端口实时监测用户敏感权限， 并与所述大数据服 务器通信， 基于所述大 数据服务器返回的权限指示信息， 执 行相应的权限禁止或放行。 8.根据权利要求7所述的大数据安全防护系统， 其特征在于， 所述数据处理单元根据 所 述安全评价数据对所述采集的大 数据进行脱敏处 理和加密处理， 包括： 数据处理单元对采集的大数据进行脱敏处理 的步骤， 所述大数据服务器在大数据采集 过程中， 对大 数据源中的数据进行处 理时， 将敏感信息进行脱敏， 生成第一大 数据集； 在所述对采集的大数据进行脱敏处理的步骤后， 所述脱敏处理还包括： 对所述第一大 数据集进行数据导出到测试环境或其他系统时， 进行二次脱敏生成第二大数据集； 以及在 对采集的大数据进 行处理阶段， 敏感数据在提供查询服务时， 根据 API或账号权限进 行数据 动态脱敏， 生成第三大 数据集； 数据处理单元对所述采集的大数据进行加密处理 的步骤， 所述加密处理基于数据透明 加密机制， 对所述脱敏处理后存储在大数据服务器中的文件型、 非关系 型数据库形式的存 储数据进行加密处 理。 9.根据权利要求8所述的大数据安全防护系统， 其特征在于， 所述建立对应的安全防护 业务端口包括： 获取所述用户终端的访 问请求信息， 所述大数据服务器针对用户终端的访 问行为， 基 于安全防护策略集分配业务权限入口， 确定所述业务权限入口的风险管控等级； 在数据流 动阶段， 基于数据访问控制策略实时监测安全防护业 务端口实时监测用户敏感权限； 获取所述用户终端的访 问请求信息， 所述大数据服务器针对用户终端的访 问行为， 基 于安全防护策略集分配业务权限入口， 确定所述业务权限入口的风险管控等级； 在数据流 动阶段， 基于数据访问控制策略实时监测安全防护业 务端口实时监测用户敏感权限。 10.根据权利要求9所述的大数据安全防护系统， 其特征在于， 所述基于数据访问控制 策略实时监测安全防护业务端口实时监测用户敏感权限包括以下步骤： 大数据服务器基于 用户访问请求完成身份认证， 所述身份认证采用Kerber os认证系统； 用户身份认证通过后， 基于大数据服务器的实体访问策略进行验证比对， 基于安全防护策略集分配业务权限入 口； 分配业务权限入口后， 再进 行数据访问控制策略的验证； 数据访问控制策略的验证允许权　利　要　求　书 2/3 页 3 CN 115130122 A 3