接口服务的敏感信息预警装置及方法

摘要

本发明提供了一种接口服务的敏感信息预警装置及方法，该装置包括：网关数据中心，用于接收业务请求，采集业务请求所涉及接口服务的接口服务数据并发送至分析中心；分析中心，用于接收接口服务的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。本发明可对多个系统的接口服务的敏感信息进行及时预警。

说明书

技术领域

本发明涉及计算机技术领域，尤其涉及一种接口服务的敏感信息预警装置及方法。

背景技术

接口服务中敏感信息需要进行脱敏管控，非白名单接口需要进行监测，而目前的接口服务缺乏整体对敏感信息的监控机制，仅能靠人为日常安全工作的检查进行排查，存在以下问题：各个系统的接口服务，没有统一的监察；如有敏感信息未进行安全策略管理，无法第一时间知晓。

发明内容

本发明实施例提出一种接口服务的敏感信息预警装置，用以对多个提供接口服务的系统的接口服务的敏感信息进行及时的预警，该装置包括：

网关数据中心，用于接收业务请求，采集业务请求所涉及接口服务的接口服务数据并发送至分析中心，所述业务请求是业务操作通过API服务调用接口服务生成的；

分析中心，用于接收网关数据中心发送的接口服务的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息；

敏感信息规则引擎，用于存储能够动态配置的识别规则。

本发明实施例提出一种接口服务的敏感信息预警方法，用以对多个提供接口服务的系统的接口服务的敏感信息进行及时的预警，该方法包括：

接收业务请求，采集业务请求所涉及接口服务的接口服务数据，所述业务请求是业务操作通过API服务调用接口服务生成的；

基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息；

其中，敏感信息规则引擎用于存储能够动态配置的识别规则。

本发明实施例还提出了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述接口服务的敏感信息预警方法。

本发明实施例还提出了一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述接口服务的敏感信息预警方法的计算机程序。

在本发明实施例中，网关数据中心可以接收业务请求，采集业务请求所涉及接口服务的接口服务数据并发送至分析中心，所述业务请求是业务操作通过API服务调用接口服务生成的；分析中心可以接收网关数据中心发送的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。可见，本发明实施例可针对任意的业务请求，采集业务请求所涉及接口服务的接口服务数据，实现了对多个提供接口服务的系统的接口服务的监控；通过分析中心的分析，在获得敏感信息后，只对不在接口白名单中的接口服务，及时生成预警信息，速度快且效率高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本发明实施例中接口服务的敏感信息预警装置的示意图；

图2为本发明实施例中采用接口服务的敏感信息预警装置进行预警的详细原理图；

图3为本发明实施例中接口服务的敏感信息预警方法的流程图；

图4为本发明实施例中接口服务的敏感信息预警方法的详细流程图；

图5为本发明实施例中计算机设备的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

在本说明书的描述中，所使用的“包含”、“包括”、“具有”、“含有”等，均为开放性的用语，即意指包含但不限于。参考术语“一个实施例”、“一个具体实施例”、“一些实施例”、“例如”等的描述意指结合该实施例或示例描述的具体特征、结构或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。各实施例中涉及的步骤顺序用于示意性说明本申请的实施，其中的步骤顺序不作限定，可根据需要作适当调整。

图1为本发明实施例中接口服务的敏感信息预警装置的示意图，如图1所示，该装置包括：

网关数据中心101，用于接收业务请求，采集业务请求所涉及接口服务的接口服务数据并发送至分析中心，所述业务请求是业务操作通过API服务调用接口服务生成的；

分析中心102，用于接收网关数据中心发送的接口服务的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息；

敏感信息规则引擎103，用于存储能够动态配置的识别规则。

在本发明实施例中，本发明实施例可针对任意的业务请求，采集业务请求所涉及接口服务的接口服务数据，实现了对多个系统的接口服务的监控；通过分析中心的分析，在获得敏感信息后，只对不在接口白名单中的接口服务，及时生成预警信息，速度快且效率高。

具体实施时，图2为本发明实施例中采用接口服务的敏感信息预警装置进行预警的详细原理图，如图2所示，其中，本发明实施例中的接口服务可以是传统的接口提供的服务，也可以是微服务，微服务是把一个大型的单个应用程序和服务拆分为数十个的微服务。微服务的策略可以让服务变得更为简便，它可扩展单个组件而不是整个的应用程序堆栈，从而满足服务等级协议。微服务应用的一个最大的优点是，它们往往比传统的应用程序更有效地利用计算资源。这是因为它们通过扩展组件来处理性能瓶颈问题。这样一来，开发人员只需要为额外的组件部署计算资源，而不需要部署一个完整的应用程序的全新迭代。

在一实施例中，网关数据中心采用Redis，和/或分析中心采用Kafka，和/或注册中心采用ZooKeeper。Kafka是一种高吞吐量的分布式发布订阅消息系统，它可以处理消费者在网站中的所有动作流数据。Redis是一个高性能的key-value数据库，支持主从同步。数据可以从主服务器向任意数量的从服务器上同步，从服务器可以是关联其他从服务器的主服务器。ZooKeeper是一个分布式的，开放源码的分布式应用程序协调服务，一个为分布式应用提供一致性服务的软件，提供的功能包括：配置维护、域名服务、分布式同步、组服务等。本发明实施例通过实验对比，给出了网关数据中心采用Redis，分析中心采用Kafka，注册中心采用ZooKeeper时，可在实现接口服务的敏感信息预警装置的功能的同时，保持最大的装置性能、较高的预警效率和准确率。当然，可以理解的是，上述网关数据中心、分析中心、注册中心也可以采用其他工具，相关变化例均应落入本发明的保护范围。

具体实施时，敏感信息规则引擎可以接收用户动态地自定义地配置识别规则，也就是用户可以按照自己的需要在比较方便的时间点(例如，装置空闲或不忙的时候)添加识别规则。

在本发明实施例中，所述业务请求是业务操作通过API服务调用接口服务生成的，业务操作可以是针对任意系统的交易、查询、修改等业务操作。API服务可以是任意系统针对客户、产品、交易、代理人、培训等的API服务。

在一实施例中，网关数据中心具体用于：接收通过鉴权中心校验的业务请求。

鉴权中心校验的内容可以包括key校验、时间校验、签名校验、方法校验、版本校验、身份校验等系列校验内容，主要校验是否有权利获取接口服务。

在一实施例中，网关数据中心具体用于：

在接收到通过鉴权中心校验的业务请求后，将通过鉴权中心校验的业务请求反馈至API服务。

在上述实施例中，将通过鉴权中心校验的业务请求反馈，即在保证了业务请求的安全性后再反馈，体现了接口服务的敏感信息预警装置对接口服务的安全考虑。

在一实施例中，所述装置还包括性能优化模块，用于：

在业务请求有多个时，采用性能优化方法对所述装置进行性能优化；

所述性能优化方法包括硬件性能优化方法、网络性能优化方法和软件性能优化方法；其中，硬件性能优化方法包括服务器虚拟化方法和/或负载均衡方法，网络性能优化方法包括网络铺线方法和/或数据传输管理方法，软件性能优化方法包括检索优化算法、线程池优化方法和中间件选择算法中的至少一种。

在上述实施例中，网关数据中心可以接收多个系统的多个业务请求，鉴权中心检测到多个业务请求后，对多个业务请求进行校验，在多个业务请求校验通过后，为了提高本装置的效率，采用性能优化方法对本装置进行性能优化，除了上述的性能优化方法外，还可以有其他的性能优化方法，这里不再展开介绍，相关变化例均应落入本发明的保护范围。

在一实施例中，所述接口服务描述信息是接口服务注册至注册中心后生成的；

所述注册中心在接口服务进行注册之前，对所述接口服务进行配置；所述配置的类型包括负载均衡、容灾切换、限流、长短链接和路由配置中的至少一种。

在本发明实施例中，接口服务注册至注册中心时，要通过上述配置，才能发布成功，之后，才进行接口服务数据采集；且注册后，会生成接口服务描述信息，来决定是否将接口加入至接口白名单中。注册中心最后将接口服务描述信息和接口白名单发送至分析中心。分析中心从接口服务数据中识别出敏感信息；具体的识别过程需要敏感信息规则引擎，从而提高敏感信息识别效率。敏感信息规则引擎中集成了敏感信息识别的识别规则，以身份证为例，其识别规则为：公民身份号码是特征组合码，由十七位数字本体码和一位数字校验码组成。排列顺序从左至右依次为：六位数字地址码，八位数字出生日期码，三位数字顺序码和一位数字校验码。顺序码的奇数分给男性，偶数分给女性。校验码是根据前面十七位数字码，按照ISO 7064:1983.MOD 11-2校验码计算出来的检验码。

之后，分析中心根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。最后，生成的预警信息可以发送至其他报警装置中，以便通知到安全管理人员。

在一实施例中，所述安全策略包括采用加密方式传输和/或解密落至生产系统库。

当然，可以理解的是，还可以有其他安全策略，相关变化例均应落入本发明的保护范围。

在一实施例中，所述预警信息至少包括接口服务名称、接口服务所在系统和敏感信息类型。

敏感信息类型包括身份证、客户号等，除了上述必须的信息，预警信息还可以包括发布人、项目负责人、流出接口服务的信息、流入接口服务的信息、疑似ID等。其中，疑似ID指的是接口服务数据中在存在自增ID或规律型ID时，在向外输出时有可能被抓取进行遍历，套取更多信息，这种自增ID或规律型ID可判断为疑似ID，作为预警信息的一部分。从而为这种可以作为预警，从而提示提供接口服务的系统进行整改，例如加密或者加IP、时间等限制型访问。

综上所述，在本发明实施例提出的装置中，网关数据中心可以接收业务请求，采集业务请求所涉及接口服务的接口服务数据并发送至分析中心，所述业务请求是业务操作通过API服务调用接口服务生成的；分析中心可以接收网关数据中心发送的接口服务的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。可见，本发明实施例可针对任意的业务请求，采集业务请求所涉及接口服务的接口服务数据，实现了对多个系统的接口服务的监控；通过分析中心的分析，在获得敏感信息后，只对不在接口白名单中的接口服务，及时生成预警信息，速度快且效率高。

本发明实施例的有益效果如下：

(1)实现了对多个系统的接口服务的监控；

(2)当用户使用外部系统进行日常访问、查询、修改等操作时，识别获得敏感信息后，对应的接口服务在接口白名单中时对接口服务执行预设的安全策略，实现了接口白名单规范化管理；

(3)识别获得敏感信息后，对应的接口服务不在接口白名单中时生成预警信息，此时系统服务不会暂停，日常服务不会暂停，但是相关安全预警信息会通知到安全管理人员；实现了异步或准实时的预警消息通知。

本发明实施例还提出一种接口服务的敏感信息预警方法，其原理与接口服务的敏感信息预警装置类似，这里不再赘述。

图3为本发明实施例中接口服务的敏感信息预警方法的流程图，如图3所示，包括：

步骤301，接收业务请求，采集业务请求所涉及接口服务的接口服务数据，所述业务请求是业务操作通过API服务调用接口服务生成的；

步骤302，基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息；其中，敏感信息规则引擎用于存储能够动态配置的识别规则。

在一实施例中，接收业务请求，包括：

接收通过鉴权中心校验的业务请求。

在接收到通过鉴权中心校验的业务请求后，还包括：

将通过鉴权中心校验的业务请求反馈至API服务。

在一实施例中，所述方法还包括：

在业务请求有多个时，采用性能优化方法对所述装置进行性能优化；

所述性能优化方法包括硬件性能优化方法、网络性能优化方法和软件性能优化方法；其中，硬件性能优化方法包括服务器虚拟化方法和/或负载均衡方法，网络性能优化方法包括网络铺线方法和/或数据传输管理方法，软件性能优化方法包括检索优化算法、线程池优化方法和中间件选择算法中的至少一种。

在一实施例中，所述接口服务描述信息是接口服务注册至注册中心后生成的；

所述注册中心在接口服务进行注册之前，对所述接口服务进行配置；所述配置的类型包括负载均衡、容灾切换、限流、长短链接和路由配置中的至少一种。

在一实施例中，所述安全策略包括采用加密方式传输和/或解密落至生产系统库。

在一实施例中，所述预警信息至少包括接口服务名称、接口服务所在系统和敏感信息类型。

在一实施例中，网关数据中心采用Redis，和/或分析中心采用Kafka，和/或注册中心采用ZooKeeper。

基于上述实施例，本发明提出如下一个实施例来说明接口服务的敏感信息预警方法的详细流程，图4为本发明实施例中接口服务的敏感信息预警方法的详细流程图，如图4所示，包括：

步骤401，网关数据中心接收通过鉴权中心校验的业务请求，将通过鉴权中心校验的业务请求反馈至API服务，同时采集业务请求所涉及接口服务的接口服务数据；

步骤402，在业务请求有多个时，采用性能优化方法对接口服务的敏感信息预警装置进行性能优化；

步骤403，分析中心接收网关数据中心发送的接口服务数据，接收注册中心发送的接口服务描述信息和接口白名单；

步骤404，分析中心从接口服务数据中识别出敏感信息；

步骤405，基于敏感信息规则引擎中的识别规则，根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。

当然，可以理解的是，上述详细流程还可以有其他变化例，相关变化例均应落入本发明的保护范围。

下面给出一个具体的实施例来说明本发明提出的方法的具体应用。

某保险业务培训系统作为一个API服务，通过调用API班级调取服务接口来获取保险培训学员信息。

其中，API班级调取服务接口的接口描述如下：

入参：保险培训班编号；

出参：学员姓名、电话号、有效证件号、最高分、结训时间。

首先，该保险业务培训系统先将业务请求发送至鉴权中心，鉴权中心进行身份校验，并将通过验证的业务请求发送至网关数据中心Redis，Redis将通过鉴权中心校验的业务请求反馈给该保险业务培训系统；同时采集API班级调取服务接口的接口服务数据，及上述的入参和出参。Redis将上述接口服务数据发送至分析中心Kafka。

Kafka中接收了注册中心发送的接口服务描述信息和接口白名单，发现API班级调取服务接口不在接口白名单内。之后，基于敏感信息规则引擎中的识别规则(具体包括《TKIT-ISM-信息安全管理-L3-应用系统客户敏感信息脱敏规范》，及国家安全规范《网络安全法》)，从接口服务数据中识别出敏感信息，识别结果如下：

1、手机号，已经脱敏，且脱敏规则符合公司规范

2、有效证件号，已经脱敏，且脱敏规则符合公司规范；

3、入参培训班号为自增ID，属于疑似ID，确定该自增ID为过敏信息；

最后生成的预警信息为：接口服务名称为API班级调取服务接口；接口服务所在系统为该保险业务培训系统；敏感信息类型为有效证件号；疑似ID为入参培训班号。最后，将该预警信息通过消息队列的形式通知安全员进行复核。

综上所述，在本发明实施例提出的方法中，接收业务请求，采集业务请求所涉及接口服务的接口服务数据，所述业务请求是业务操作通过API服务调用接口服务生成的基于敏感信息规则引擎中的识别规则，从接口服务数据中识别出敏感信息；根据接口服务描述信息判断识别出敏感信息的接口服务数据对应的接口服务是否在接口白名单中，若在接口白名单中，对识别出敏感信息的接口服务数据对应的接口服务执行预设的安全策略；若不在接口白名单中，根据识别出的敏感信息生成预警信息。可见，本发明实施例可针对任意的业务请求，采集业务请求所涉及接口服务的接口服务数据，实现了对多个系统的接口服务的监控；通过分析中心的分析，在获得敏感信息后，只对不在接口白名单中的接口服务，及时生成预警信息，速度快且效率高。

本发明实施例的有益效果如下：

(1)实现了对多个系统的接口服务的监控；

(2)当用户使用外部系统进行日常访问、查询、修改等操作时，识别获得敏感信息后，对应的接口服务在接口白名单中时对接口服务执行预设的安全策略，实现了接口白名单规范化管理；

(3)识别获得敏感信息后，对应的接口服务不在接口白名单中时生成预警信息，此时系统服务不会暂停，日常服务不会暂停，但是相关安全预警信息会通知到安全管理人员；实现了异步或准实时的预警消息通知。

本申请的实施例还提供一种计算机设备，图5为本发明实施例中计算机设备的示意图，该计算机设备能够实现上述实施例中的接口服务的敏感信息预警方法中全部步骤，所述计算机设备具体包括如下内容：

处理器(processor)501、存储器(memory)502、通信接口(CommunicationsInterface)503和通信总线504；

其中，所述处理器501、存储器502、通信接口503通过所述通信总线504完成相互间的通信；所述通信接口503用于实现服务器端设备、检测设备以及用户端设备等相关设备之间的信息传输；

所述处理器501用于调用所述存储器502中的计算机程序，所述处理器执行所述计算机程序时实现上述实施例中的接口服务的敏感信息预警方法中的全部步骤。

本申请的实施例还提供一种计算机可读存储介质，能够实现上述实施例中的接口服务的敏感信息预警方法中全部步骤，所述计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的接口服务的敏感信息预警方法的全部步骤。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。