【技术实现步骤摘要】
本专利技术涉及计算机信息安全，尤其涉及一种基于安全标记的数据交换方法及装置。
技术介绍
1、数据交换是为了满足数据资源共享和交互的需求，根据特定原则，采用相应技术，实现不同信息系统之间数据资源共享的过程。由于数据的敏感性，在一些场景下，特别是涉及个人隐私或相关涉密数据，需要在数据交换过程中严格控制交换范围，以防止敏感数据泄漏导致严重影响或损失。
2、目前在数据交换中进行安全控制的方法有限。如果是在单个操作系统内，可以利用数据的读写属性限制不同主体用户或进程的访问，并使用加密技术对数据进行安全存储。如果是在一个网络环境中，可以利用数据承载的业务协议访问控制来实现数据受限的交换流通。然而，当前方法存在一些局限性，特别是在涉及网络传输时。
3、在网络传输时，通常可以使用网络元素(如ip地址、端口，协议特征等)来控制数据的流动。然而，这种方法无法基于数据的安全属性来进行细粒度的管控与审计，从而无法有效控制数据的传播路径，也难以精准防止数据流向未授权的网络域或主机。因此，如何实现细粒度控制数据交换，有效提升交换的安全性成为亟须解决的问题。
技术实现思路
1、本专利技术提供了一种基于安全标记的数据交换方法及装置，能够解决现有技术中的问题。
2、本专利技术提供了一种基于安全标记的数据交换方法，其中，该方法包括：
3、s10，第一数据交换主体发送第一数据资源请求，该第一数据资源请求用于请求获取第二客体数据资源；
4、s11，第一标记策略执
5、s12，第一标记策略执行模块从标记策略中心模块获取标记规则，根据安全标记和标记规则判断第二数据交换主体到第一数据交换主体的数据流是否符合数据流动方向，如果是，则转至s13，否则终止访问；
6、s13，第二数据交换主体发送第一读操作请求，该第一读操作请求用于请求读取第二客体数据资源；
7、s14，第二标记策略执行模块对第一读操作请求进行安全标记检查，如果第一读操作请求具有安全标记，则转至s15，否则终止访问，其中安全标记包括第二数据交换主体的安全属性；
8、s15，第二标记策略执行模块从标记策略中心模块获取标记规则，根据安全标记和标记规则判断是否允许第一读操作，如果是，则转至s16，否则终止访问；
9、s16，第二数据交换主体将第二客体数据资源发送至第一数据交换主体。
10、本专利技术还提供了一种基于安全标记的数据交换方法，其中，该方法包括：
11、s20，第二数据交换主体发送第二数据资源请求，该第二数据资源请求用于请求获取第一客体数据资源；
12、s21，第一标记策略执行模块对第二数据资源请求进行安全标记检查，如果第二数据资源请求具有安全标记，则转至s22，否则终止访问，其中安全标记包括第二数据交换主体的安全属性；
13、s22，第一标记策略执行模块从标记策略中心模块获取标记规则，根据安全标记和标记规则判断第一数据交换主体到第二数据交换主体的数据流是否符合数据流动方向，如果是，则转至s23，否则终止访问；
14、s23，第一数据交换主体发送第二读操作请求，该第二读操作请求用于请求读取第一客体数据资源；
15、s24，第三标记策略执行模块对第二读操作请求进行安全标记检查，如果第二读操作请求具有安全标记，则转至s25，否则终止访问，其中安全标记包括第一数据交换主体的安全属性；
16、s25，第三标记策略执行模块从标记策略中心模块获取标记规则，根据安全标记和标记规则判断是否允许第二读操作，如果是，则转至s26，否则终止访问；
17、s26，第一数据交换主体将第一客体数据资源发送至第二数据交换主体。
18、优选地，安全属性包括安全级别和可访问资源的类别。
19、优选地，s12中根据安全标记和标记规则判断第二数据交换主体到第一数据交换主体的数据流是否符合数据流动方向包括：
20、如果第一数据交换主体的机密性高于第二客体数据资源的机密性，则符合数据流动方向；
21、如果第一数据交换主体的机密性不高于第二客体数据资源的机密性，则不符合数据流动方向；
22、s22中根据安全标记和标记规则判断第一数据交换主体到第二数据交换主体的数据流是否符合数据流动方向包括：
23、如果第二数据交换主体的机密性高于第一客体数据资源的机密性，则符合数据流动方向；
24、如果第二数据交换主体的机密性不高于第一客体数据资源的机密性，则不符合数据流动方向。
25、优选地，s15中根据安全标记和标记规则判断是否允许第一读操作包括：
26、如果第一数据交换主体的完整性低于第二客体数据资源的完整性，则允许第一读操作；
27、如果第一数据交换主体的完整性不低于第二客体数据资源的完整性，则不允许第一读操作；
28、s25中根据安全标记和标记规则判断是否允许第二读操作包括：
29、如果第二数据交换主体的完整性低于第一客体数据资源的完整性，则允许第二读操作；
30、如果第二数据交换主体的完整性不低于第一客体数据资源的完整性，则不允许第二读操作。
31、本专利技术还提供了一种基于安全标记的数据交换装置，其中，该装置包括标记策略中心模块和标记策略执行模块，标记策略执行模块包括第一标记策略执行模块和第二标记策略执行模块，其中，
32、标记策略中心模块用于配置安全标记和标记规则；
33、第一标记策略执行模块用于对第一数据交换主体发送的第一数据资源请求进行安全标记检查，该第一数据资源请求用于请求获取第二客体数据资源，如果第一数据资源请求不具有安全标记，则终止访问，否则从标记策略中心模块获取标记规则，根据安全标记和标记规则判断第二数据交换主体到第一数据交换主体的数据流是否符合数据流动方向，如果不是，则终止访问，其中安全标记包括第一数据交换主体安全属性；
34、第二标记策略执行模块用于在符合数据流动方向时对第二数据交换主体发送的第一读操作请求进行安全标记检查，第一读操作请求用于请求读取第二客体数据资源，如果第一读操作请求不具有安全标记，则终止访问，否则从标记策略中心模块获取标记规则，根据安全标记和标记规则判断是否允许第一读操作，如果不是，则终止访问，如果是，第二客体数据资源通过第二数据交换主体发送至第一数据交换主体，其中安全标记包括第二数据交换主体的安全属性。
35、本专利技术还提供了一种基于安全标记的数据交换装置，其中，该装置包括标记策略中心模块和标记策略执行模块，标记策略执行模块包括第一标记策略执行模块和第三标记策略执行模块，其中，
36、标记策略中心模块用于配置安全标记和标记规则；
【技术保护点】
1.一种基于安全标记的数据交换方法，其特征在于，该方法包括：
2.一种基于安全标记的数据交换方法，其特征在于，该方法包括：
3.根据权利要求1或2所述的方法，其特征在于，安全属性包括安全级别和可访问资源的类别。
4.根据权利要求3所述的方法，其特征在于，S12中根据安全标记和标记规则判断第二数据交换主体到第一数据交换主体的数据流是否符合数据流动方向包括：
5.根据权利要求4所述的方法，其特征在于，S15中根据安全标记和标记规则判断是否允许第一读操作包括：
6.一种基于安全标记的数据交换装置，其特征在于，该装置包括标记策略中心模块和标记策略执行模块，标记策略执行模块包括第一标记策略执行模块和第二标记策略执行模块，其中，
7.一种基于安全标记的数据交换装置，其特征在于，该装置包括标记策略中心模块和标记策略执行模块，标记策略执行模块包括第一标记策略执行模块和第三标记策略执行模块，其中，
8.根据权利要求6或7所述的装置，其特征在于，安全属性包括安全级别和可访问资源的类别。
9.根据权利要求8
10.根据权利要求9所述的装置，其特征在于，S15中根据安全标记和标记规则判断是否允许第一读操作包括：
...【技术特征摘要】
1.一种基于安全标记的数据交换方法，其特征在于，该方法包括：
2.一种基于安全标记的数据交换方法，其特征在于，该方法包括：
3.根据权利要求1或2所述的方法，其特征在于，安全属性包括安全级别和可访问资源的类别。
4.根据权利要求3所述的方法，其特征在于，s12中根据安全标记和标记规则判断第二数据交换主体到第一数据交换主体的数据流是否符合数据流动方向包括：
5.根据权利要求4所述的方法，其特征在于，s15中根据安全标记和标记规则判断是否允许第一读操作包括：
6.一种基于安全标记的数据交换装置，其特征在于，该装置包括标记策略中心模块和标记策略执行模块，...
【专利技术属性】
技术研发人员：刘学毅，刘阳，刘国新，隋剑峰，黄燕桐，
申请(专利权)人：北京卓讯科信技术有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。