数据安全校验方法、系统、装置、设备、介质及产品与流程

本发明属于数据安全，尤其涉及一种数据安全校验方法、系统、装置、设备、介质及产品。

背景技术：

1、在网络系统中，针对来自外部网络或跨域网络的数据流量，通常需要在其进入目标业务系统之前，依次执行多种安全检查操作，以降低潜在攻击风险、满足合规要求或保障业务稳定性。为实现上述目的，网络侧通常采用多级安全处理链的部署方式，对同一数据流实施分层、递进式的安全处理。

2、在多级安全处理链中，各节点独立执行检查，结果仅本地记录为日志或状态，而不随数据流传递，或者系统还尝试在数据包中写入表征已检查的标签以优化性能，但其缺乏统一生成与可验证机制。由此，下游节点无法基于数据平面信息验证上游检查是否真实执行，也无法确认数据流是否严格按预定顺序完成全部检查。

3、因此，如何提高网络系统的安全校验过程的可靠性是本领域亟待解决的技术问题。

技术实现思路

1、本发明实施例提供一种数据安全校验方法、系统、装置、设备、介质及产品，能够提高网络系统的安全校验过程的可靠性。

2、第一方面，本发明实施例提供一种数据安全校验方法，应用于安全校验链路，安全校验链路包括入口节点、至少一个中间节点以及出口节点，数据安全校验方法包括： 响应于入口节点接收到业务流，根据业务流对应的业务报文确定安全校验线路标识，并根据安全校验线路标识、业务报文、入口节点对应的第一密钥以及初始跳序序号构建第一校验标签；通过入口节点，按照顺序向安全校验线路标识中的目标中间节点，发送携带第一校验标签的业务流，其中，安全校验线路标识中包括多个顺序排列的中间节点；响应于目标中间节点接收到携带第一校验标签的业务流，对第一校验标签进行预检测，并根据预检测结果，确定目标中间节点的检测模式；通过目标中间节点，按照检测模式对应的检测流程对业务流进行检测，得到业务流检测结果；通过目标中间节点，根据第一校验标签、预检测结果、业务流检测结果、目标中间节点对应的第二密钥以及目标中间节点对应的中间跳序序号，构建第二校验标签；通过目标中间节点，向出口节点发携带第二校验标签的业务流；响应于出口节点接收到携带第二校验标签的业务流，对第二校验标签进行检测，得到业务流的安全检测结果。

3、一种实施方式中，根据安全校验线路标识、业务报文、入口节点对应的第一密钥以及初始跳序序号构建第一校验标签，包括：根据安全校验线路标识、业务报文、第一密钥以及，确定第一校验值；根据安全校验线路标识、业务报文、第一校验值以及初始跳序序号，确定第一校验标签。

4、一种实施方式中，根据安全校验线路标识、业务报文、第一密钥以及预设校验值生成函数，确定第一校验值，包括：根据安全校验线路标识，确定安全校验线路标识中目标中间节点对应的安全校验策略；对安全校验策略进行关键特征提取，得到安全校验策略对应的策略摘要；根据业务报文以及预设标识构造函数，确定业务流标识；根据安全校验线路标识、策略摘要、业务流标识、第一密钥以及预设校验值生成函数，确定第一校验值；根据安全校验线路标识、业务报文、第一校验值以及初始跳序序号，确定第一校验标签，包括：根据安全校验线路标识、策略摘要、业务流标识、第一校验值以及初始跳序序号，确定第一校验标签。

5、一种实施方式中，根据安全校验线路标识、业务报文、入口节点对应的第一密钥以及初始跳序序号构建第一校验标签，包括：生成随机数；根据安全校验线路标识、业务报文、入口节点对应的第一密钥、初始跳序序号以及随机数，构建第一校验标签。

6、一种实施方式中，对第一校验标签进行预检测，并根据预检测结果，确定目标中间节点的检测模式，包括：解析第一校验标签，得到安全校验线路标识、业务报文、初始跳序序号以及第一校验值；根据目标中间节点对应的验证句柄、安全校验线路标识、业务报文、以及预设校验值生成函数，确定第二校验值；根据第一校验值以及第二校验值，确定值校验结果；根据预检测结果以及值校验结果，确定目标中间节点的检测模式。

7、一种实施方式中，在根据预检测结果以及值校验结果，确定目标中间节点的检测模式之前，方法还包括：根据安全校验线路标识，确定目标中间节点对应的预设中间跳序序号；根据携带第一校验标签的业务流，确定检测业务报文；分别根据预设中间跳序序号以及检测业务报文，对初始跳序序号以及业务报文进行检测，并且，判断目标中间节点的前一节点是否属于目标中间节点对应的链路拓扑集合，得到预检测结果；根据预检测结果以及值校验结果，确定目标中间节点的检测模式，包括：在确定预检测结果表征检测通过且值校验结果表征校验通过的情况下，确定目标中间节点的检测模式为降级检测模式；或者，在确定预检测结果表征非检测通过或值校验结果表征非校验通过的情况下，确定目标中间节点的检测模式为强度检测模式。

8、一种实施方式中，通过目标中间节点，根据第一校验标签、预检测结果、业务流检测结果、目标中间节点对应的第二密钥以及目标中间节点对应的中间跳序序号，构建第二校验标签，包括：在确定预检测结果表征非检测通过或值校验结果表征非校验通过的情况下，根据预检测结果和/或值校验结果构建异常码；根据异常码、第一校验标签、预检测结果、业务流检测结果、目标中间节点对应的第二密钥以及目标中间节点对应的中间跳序序号，构建第二校验标签。

9、一种实施方式中，方法还包括：在确定第二校验标签包含异常码的情况下，确定目标中间节点的检测模式为强度检测模式。

10、第二方面，本发明实施例提供了一种数据安全校验系统，数据安全校验系统包括入口节点、至少一个中间节点以及出口节点，数据安全校验系统包括：

11、入口节点用于接收业务流，并根据业务流对应的业务报文确定安全校验线路标识，并根据安全校验线路标识、业务报文、入口节点对应的第一密钥以及初始跳序序号构建第一校验标签；

12、入口节点用于按照顺序向安全校验线路标识中的目标中间节点，发送携带第一校验标签的业务流，其中，安全校验线路标识中包括多个顺序排列的中间节点；

13、目标中间节点用于接收携带第一校验标签的业务流，并根据携带第一校验标签的业务流对第一校验标签进行预检测，并根据预检测结果，确定目标中间节点的检测模式；

14、目标中间节点用于按照检测模式对应的检测流程对业务流进行检测，得到业务流检测结果；

15、目标中间节点用于根据第一校验标签、预检测结果、业务流检测结果、目标中间节点对应的第二密钥以及目标中间节点对应的中间跳序序号，构建第二校验标签；

16、目标中间节点用于，向出口节点发携带第二校验标签的业务流；

17、出口节点接收携带第二校验标签的业务流，并根据携带第二校验标签的业务流对第二校验标签进行检测，得到业务流的安全检测结果。

18、第三方面，本发明实施例提供了一种数据安全校验装置，应用于安全校验链路，安全校验链路包括入口节点、至少一个中间节点以及出口节点，数据安全校验装置包括：

19、第一构建模块，用于响应于入口节点接收到业务流，根据业务流对应的业务报文确定安全校验线路标识，并根据安全校验线路标识、业务报文、入口节点对应的第一密钥以及初始跳序序号构建第一校验标签；

20、第一发送模块，用于通过入口节点，按照顺序向安全校验线路标识中的目标中间节点，发送携带第一校验标签的业务流，其中，安全校验线路标识中包括多个顺序排列的中间节点；

21、确定模块，用于响应于目标中间节点接收到携带第一校验标签的业务流，对第一校验标签进行预检测，并根据预检测结果，确定目标中间节点的检测模式；

22、第一检测模块，用于通过目标中间节点，按照检测模式对应的检测流程对业务流进行检测，得到业务流检测结果；

23、第二构建模块，用于通过目标中间节点，根据第一校验标签、预检测结果、业务流检测结果、目标中间节点对应的第二密钥以及目标中间节点对应的中间跳序序号，构建第二校验标签；

24、第二发送模块，用于通过目标中间节点，向出口节点发携带第二校验标签的业务流；

25、第二检测模块，用于响应于出口节点接收到携带第二校验标签的业务流，对第二校验标签进行检测，得到业务流的安全检测结果。

26、第四方面，本技术实施例提供了一种数据安全校验设备，设备包括：处理器以及存储有计算机程序指令的存储器；处理器执行计算机程序指令时实现第一方面或第一方面任意一项实施方式中的数据安全校验方法。

27、第五方面，一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序指令，计算机程序指令被处理器执行时实现第一方面或第一方面任意一项实施方式中的数据安全校验方法。

28、第六方面，本技术实施例提供了一种计算机程序产品，计算机程序产品中的指令由电子设备的处理器执行时，使得电子设备执行如第一方面或第一方面任意一项实施方式的数据安全校验方法。

29、本发明实施例的数据安全校验方法、系统、装置、设备、介质及产品，能够通过在安全校验链路各节点间构建随流传递且可验证的校验标签，使安全检查执行情况能够以显式状态信息的形式伴随业务流传播，解决了下游节点无法验证上游检查是否真实执行的问题，提高了安全校验链路整体的可靠性。具体而言，各中间节点在接收到校验标签后执行预检测，能够可信地确认上游检查的执行事实，避免了上游节点的安全检查缺失，从而在执行顺序与完整性方面形成了可实时验证的约束机制，进一步提升了链路执行状态的可靠性。同时，由于预检测结果能够作为调整后续检测模式的依据，下游节点可在获得可信执行状态信息的前提下，动态调整检测策略，既降低了基于不可信标签进行简化处理所导致的安全风险，又能够减少不必要的重复检查开销，从而在保障安全性的同时实现系统性能的协同提升。