一种多源密码资产归一化融合方法及装置与流程

本发明涉及信息安全、密码资产管理和抗量子迁移准备，更具体的说是涉及一种多源密码资产归一化融合方法及装置。

背景技术：

1、企业抗量子迁移需要识别正在使用的用户应用、服务、证书、公钥、算法、密码库和密码基础设施。不同数据源的粒度和可信度不同：被动流量能反映真实握手结果，但通常缺少用户应用、组件版本和执行配置上下文；主动探测能发现服务端能力，但不能证明客户端真实使用；代理遥测能反映真实调用关系、配置版本和保护结果，但只覆盖被代理接管或观测的链路；密码物料清单能描述软件组件和密码库，但不一定反映运行态；密码基础设施接口能提供能力和密钥边界信息，但字段格式、对象粒度和更新时间也不一致。

2、如果不进行归一化融合，同一用户应用、证书、公钥、服务端、密码库或密码基础设施会在多个来源中重复出现，字段冲突时无法判断可信值。以医疗行业为例，预约挂号、电子病历、检验影像等业务系统通常由不同厂商建设维护，各自申报的密码使用情况在字段口径与采集时间上不一致，重复记录与字段冲突尤为突出；政务、金融等多厂商多系统并存的场景亦存在同样问题。对于普通用户和运维人员而言，直接从证书、公钥或算法出发难以理解业务影响；更自然的入口是用户应用，再从应用追溯到服务、证书链、公钥、算法、密码库和密码基础设施依赖。现有资产清单和网络资产图谱通常缺少这种应用视角的密码资产关系，也难以记录迁移过程中关系变化，从而影响量子脆弱性评估、迁移路径选择和审计证明。

3、因此，如何融合多源密码资产是本领域技术人员亟需解决的问题。

技术实现思路

1、鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种多源密码资产归一化融合方法及装置，解决密码资产来源多、格式异构、字段冲突、重复记录、密码基础设施依赖不可见、缺少以用户应用为入口的密码资产关系视图以及迁移过程关系变化难以留痕的问题，为量子脆弱性评分、抗量子迁移路径选择、迁移状态机推进和密码物料清单差异证明提供统一资产图谱输入。

2、为了实现上述目的，本发明采用如下技术方案：

3、第一方面，本发明实施例提供一种多源密码资产归一化融合方法，包括以下步骤：

4、s1：接收多源密码资产，并对多源密码资产进行输入属性标注；

5、s2：根据多源密码资产的输入方式对多源密码资产进行自适应解析后，按对应资产类型进行标准化映射，将每种资产类型下的每条密码资产映射为统一字段结构的记录；

6、s3：为每一条记录生成跨源主键；

7、s4：根据跨源主键和输入属性依次对同一资产类型的记录进行去重和字段融合，生成结构化冲突记录文本；

8、s5：根据资产类型构建跨类型关系图谱，并根据跨类型关系图谱构建应用视角子图；

9、s6：根据结构化冲突记录文本、应用视角子图和跨类型关系图谱按照迁移阶段对具有相同跨源主键的记录进行抗量子迁移，生成迁移阶段关系快照，根据所有记录的迁移阶段关系快照将跨类型关系图谱扩展为迁移过程动态图谱；

10、s7：根据记录、结构化冲突记录文本、跨类型关系图谱和迁移过程动态图谱，生成证据链、置信度和量子脆弱性初始标注。

11、优选的，多源密码资产的输入方式至少包括被动流量发现结果、主动探测结果、代理遥测、网络侧遥测、密码物料清单文件或接口、密码基础设施接口、第三方工具导入、外部台账输入。

12、优选的，多源密码资产包括用户应用标识、业务系统标识、协议、端点、客户端指纹、证书、证书链、公钥、算法、密码库、组件引用、密码基础设施产品或组件版本、密钥边界中的一种或多种。其中，证书指单个证书实体；证书链指服务端握手时实际出示的由服务器证书、中间证书到根证书的完整链条；密钥边界指密钥生成、存储和使用所限定在的设备或系统控制域，例如私钥在硬件安全模块内生成且不导出，则该硬件安全模块即为其密钥边界。

13、优选的，输入属性包括运行态或静态属性、采集时间、来源组件、来源权威性等级、原始证据引用；通过被动流量、代理遥测、网络侧遥测或主动探测获得的密码资产标注为运行态属性，通过密码物料清单文件或接口、外部台账，或者第三方工具导入获得的密码资产标注为静态属性；采集时间、来源组件和原始证据引用为多源密码资产本身携带的属性信息；采集时间为数据采集或文件生成时间；来源组件包括产生该记录的采集器、代理、接口或导入工具标识；预设来源权威性等级，并支持按部署环境配置调整；原始证据引用是指向支撑该条记录的原始材料的指针。

14、优选的，根据输入方式采用对应的解析协议对数据进行解析，确定资产类型；资产类型至少包括用户应用、服务端、客户端画像、证书、公钥元数据、算法、密码库和密码基础设施。其中，用户应用记录应用名称、业务系统标识、部署单元、负责人或组织、访问入口和业务重要度；服务端记录主机、端口、服务名称指示、协议版本、密码套件和证书链；客户端画像记录客户端指纹、支持算法和实际协商结果；证书记录序列号、签发者、主体、证书指纹和主体密钥标识符；公钥元数据记录密钥算法、密钥长度和公钥指纹；算法记录算法名称、用途和量子威胁分类；密码库记录组件引用标识、密码库名称、版本和来源；密码基础设施记录产品类型、版本、接口、算法能力和密钥边界。

15、优选的，根据预设的资产主键字段选取规则从记录中选取主键作为跨源主键，同一资产类型的记录具有相同的跨源主键，可根据跨源主键判断记录是否指向同一密码资产。资产主键字段选取规则按优先级排序从高到低包括首选主键和降级方案，按照优先级排序选取主键。

16、优选的，s4的具体过程为：

17、s41：根据跨源主键对同一资产类型的相同记录执行去重处理；

18、s42：对去重处理后的同一资产类型下同一字段存在多个取值的记录，按预设的冲突合并规则进行逐字段裁决融合，生成结构化冲突记录文本。

19、优选的，冲突合并规则根据输入属性对具备相同跨源主键的记录进行逐字段裁决，实现冲突合并，记录被保留字段及其取值和来源、被覆盖字段及其取值与来源、冲突来源、冲突原因和冲突数量，生成结构化冲突记录文本；冲突来源为产生冲突取值的来源组件清单。记录标注为对应多源密码资产的输入属性。

20、优选的，跨类型关系图谱包括：不同资产类型之间的用户应用到服务端、用户应用到客户端画像、用户应用到密码库、用户应用到密码基础设施、服务端到证书链、证书到公钥、公钥到算法、密码库到算法的引用关系；服务端或用户应用到证书签发服务的依赖关系，用于表示该应用所使用的证书由哪一类ca、证书服务或证书管理系统签发；服务端或用户应用到密钥托管服务的依赖关系，用于表示该应用所使用的私钥、公钥或密钥句柄由哪一类hsm、kms或密钥管理系统生成、托管或调用。

21、优选的，s5中以用户应用为根节点，从跨类型关系图谱中提取与该用户应用关联的节点及关系，构建应用视角子图。以用户应用为根节点，服务端、客户端画像、证书、公钥元数据、算法、密码库和密码基础设施为中间节点或叶节点；通过确定根节点与各叶节点之间、以及各叶节点之间的连接关系生成应用视角子图。

22、优选的，s6中迁移阶段包括迁移观测阶段、迁移过渡阶段和迁移完成阶段；依次对跨源主键相同的记录，根据三种迁移阶段的标识和采集时间窗口，从s1接收的对应密码资产中筛选对应阶段的运行态观测数据，结合结构化冲突记录文本、应用视角子图和跨类型关系图谱，分别生成迁移观测阶段对应的真实调用关系、迁移过渡阶段对应的传统路径与目标路径并存关系、迁移完成阶段对应的目标保护路径和验证关系，按三个迁移阶段的时间顺序为各阶段关系赋予递增的快照版本号形成各阶段的版本快照，三个阶段的版本快照按快照版本号排列形成迁移阶段关系快照。

23、优选的，s7中对每条记录根据跨类型关系图谱和迁移过程动态图谱提取出关系和对应的版本快照，结合标注的输入属性获得采集时间、原始证据引用、来源路径和路径数量，构建证据链；其中，根据输入属性中的来源组件确定来源路径和路径数量；

24、对每条记录，根据输入属性中来源组件确定来源多样性，根据运行态或静态属性确定运行态观测标识，再结合路径数量和根据结构化冲突记录文本获得的冲突数量计算置信度；

25、对每条记录根据预设的量子威胁分类规则进行匹配，生成初始分类作为量子脆弱性初始标注。

26、优选的，s7中置信度的表达式为：

27、c= w1·f(n)+w2·g(m)+w3·rw4·min(h,h0)；

28、其中，n为路径数量，f为随路径数量递增的单调函数；m为来源多样性，g为随来源多样性递增的单调函数；运行态观测标识表示运行态属性时r取1，否则取0；h为冲突数量，h0为冲突惩罚上限；w1、w2、w3、w4为权重系数且w1+w2+w3=1，c归一化到0至1区间。

29、第二方面，本发明实施例提供一种多源密码资产归一化融合装置，包括输入适配模块、资产类型映射模块、跨源主键模块、去重融合与冲突合并模块、图谱构建模块、快照生成模块、证据链模块、量子脆弱性初始标注模块；

30、输入适配模块，接收多源密码资产输入，并对多源密码资产进行输入属性标注；

31、资产类型映射模块，根据输入方式对多源密码资产进行自适应解析后，按对应资产类型进行标准化映射，将每种资产类型下的每条密码资产映射为统一字段结构的记录；

32、跨源主键模块，为每一条记录生成跨源主键；

33、去重融合与冲突合并模块，根据跨源主键和输入属性依次对同一资产类型的记录进行去重和字段融合，生成结构化冲突记录文本；

34、图谱构建模块，根据资产类型构建跨类型关系图谱，并根据跨类型关系图谱构建应用视角子图；

35、快照生成模块，根据结构化冲突记录文本、应用视角子图和跨类型关系图谱按照迁移阶段对具有相同跨源主键的记录进行抗量子迁移，生成迁移阶段关系快照，根据所有记录的迁移阶段关系快照将跨类型关系图谱扩展为迁移过程动态图谱；

36、证据链模块，根据多源密码资产、结构化冲突记录文本、跨类型关系图谱和迁移过程动态图谱，生成证据链和置信度；

37、量子脆弱性初始标注模块，对记录进行匹配获得量子脆弱性初始标注。

38、优选的，还包括资产输出模块，将记录、关系、快照、证据链、置信度和量子脆弱性初始标注输出给后续流程。

39、经由上述的技术方案可知，与现有技术相比，本发明公开提供了一种多源密码资产归一化融合方法及装置。本发明将被动流量、主动探测、代理遥测、网络侧遥测、密码物料清单、密码基础设施接口和第三方工具导入等多源数据归一化为统一密码资产记录，并以用户应用为入口构建运行时密码资产关系的图谱，利用图谱生成证据链、置信度和量子脆弱性初始标注。本发明适用于政务、金融、医疗、能源等多业务系统并存行业的密码资产归一化融合与抗量子迁移准备，例如可应用于医院预约挂号、电子病历、检验影像等业务系统的密码资产盘点和抗量子迁移准备。具体有益效果包括：

40、（1）将被动流量、主动探测、代理遥测、密码物料清单、密码基础设施接口和第三方工具导入的数据按各类资产的统一字段结构归一化记录。

41、（2）通过跨源主键和冲突合并规则减少重复资产、错误合并和静态声明与运行态观测不一致的问题。

42、（3）通过以用户应用为入口的跨类型关系图谱表达应用、服务、证书、公钥、算法、密码库和密码基础设施之间的依赖关系。

43、（4）通过迁移阶段关系快照记录迁移观测、迁移过渡和迁移完成各阶段的资产关系变化，将基线图谱扩展为随迁移过程持续更新的动态图谱，支撑迁移状态机和差异证明。

44、（5）通过证据链、置信度和初始量子脆弱性标注，为后续评分、路径选择、执行验证和审计证明提供统一输入。