一种数据风险监控方法、硬件设备及计算机程序产品与流程

本技术实施例涉及数据安全，尤其涉及一种数据风险监控方法、硬件设备及计算机程序产品。

背景技术：

1、随着人工智能（artificial intelligence，ai）技术的发展，数据作为驱动ai模型训练与应用的核心要素，其价值日益凸显。然而，数据在流通过程中面临泄漏、滥用、越权访问等多重安全风险，尤其在跨组织、跨平台的数据协作场景下，数据主权归属不清、使用边界模糊、管控手段滞后等问题愈发突出。

2、常用的数据防护方法主要包括机密计算，机密计算能够通过部署可信执行环境tee实现隔离计算。

3、但是机密计算依赖专用硬件，且需要对计算设备（如服务器）进行较大程度地侵入式改造，部署成本高。

技术实现思路

1、本技术实施例提供了一种数据风险监控方法、硬件设备及计算机程序产品，能够避免对计算设备进行较大规模的侵入式改造的同时，还进一步在一定程度上兼顾了数据安全以及数据操控的流畅度。

2、为达到上述目的，本技术实施例采用如下技术方案：

3、第一方面，本技术实施例提供了一种数据风险监控方法，应用于硬件设备，硬件设备用于通过第一通信接口与计算设备通信连接，硬件设备部署有可信执行环境tee；方法包括：通过tee，与数据提供端建立加密传输链路；通过加密传输链路，获取数据提供端返回的目标加密数据，并在tee中解密得到目标数据；向计算设备发送目标数据；获取计算设备中安全软件的校验值，并将安全软件的校验值传入tee；其中，安全软件为安装在计算设备的软件，用于在运行时对计算设备中针对目标数据的操作进行监控；在tee中，将安全软件的校验值与预先存储的校验值进行比对，并在比对结果不一致时，确定存在数据安全风险；其中，预先存储的校验值存储在tee中。

4、基于本方案，硬件设备部署有可信执行环境tee，在tee内部完成加密数据的解密与校验，同时为了利用计算设备的算力，提高数据操作的流畅度，硬件设备会将解密后的数据发送至计算设备，但此时会面临安全问题，因此本技术进一步在计算设备中部署监控用的安全软件，并对安全软件进行完整性校验，避免安全软件被恶意篡改后失效，从传输、解密、部署安全软件、安全软件校验使用全链路实现数据防护，弥补了现有技术方案中存在的部署成本高的同时，还进一步在一定程度上兼顾了数据安全以及数据操控的流畅度。

5、在一种可能的实现方式中，方法还包括：在计算设备启动阶段，与计算设备通信，获取计算设备中安全软件的存储地址；相应地，获取计算设备中安全软件的校验值，包括：将存储地址发送至计算设备，获取计算设备中安全软件的校验值。

6、基于本方案，硬件设备可以通过获取到的存储地址精准定位安全软件的存储位置，无需遍历计算设备的整个存储空间完成安全软件定位，便于硬件设备执行软件校验，减少了定位环节带来的计算资源占用，同时避免了因存储位置错误导致的校验对象偏差，保障了完整性校验流程的准确性与执行效率。

7、在另一种可能的实现方式中，将存储地址发送至计算设备，获取计算设备中安全软件的校验值，包括：每间隔预设时长，将存储地址发送至计算设备，获取计算设备中安全软件的校验值。

8、基于本方案，硬件设备可对安全软件的完整性进行周期性校验，能够及时发现运行过程中安全软件被恶意篡改的风险，弥补单次校验仅能覆盖启动阶段的不足，实现全生命周期的安全软件可信性管控，进一步提升数据使用环节的安全防护能力。

9、在又一种可能的实现方式中，在通过加密传输链路，获取数据提供端返回的目标加密数据的步骤之前，还包括：通过加密传输链路，向数据提供端发送所需求的目标数据的数据使用方式。

10、基于本方案，硬件设备可向数据提供端明确数据的使用边界，数据提供端可根据声明的使用方式对解密后的使用权限进行预先约定，避免目标数据被超出权限范围使用。

11、在又一种可能的实现方式中，方法还包括：通过加密传输链路，接收数据提供端的返回的针对目标数据的使用约束；将接收到的使用约束发送至计算设备，以配置计算设备中安全软件。

12、基于本方案，硬件设备可将数据提供端约定的权限规则同步至计算设备侧的安全软件，使得安全软件能够依据预先约定的规则，对计算设备中所有针对目标数据的操作行为进行实时管控，超出约定范围的操作会被安全软件直接拦截，实现了从权限约定到操作管控的闭环，进一步强化了数据使用环节的安全防护能力。

13、在又一种可能的实现方式中，在通过加密传输链路，获取数据提供端返回的目标加密数据的步骤之前，还包括：基于待请求的目标数据的敏感等级，通过加密传输链路与数据提供端协商，以调整加密传输链路的加密算法。

14、基于本方案，硬件设备可针对不同敏感等级的目标数据适配不同强度的加密防护方案，避免低敏感数据采用高复杂度加密造成不必要的计算资源浪费，也保障了高敏感数据的加密强度符合安全要求，能够在安全性和运行效率之间实现灵活平衡，适配不同场景下差异化的数据安全防护需求。

15、在又一种可能的实现方式中，在通过tee，与数据提供端建立加密传输链路的步骤之前，还包括：在计算设备启动阶段，与计算设备通信，获取计算设备的基本输入输出系统bios以及操作系统os的校验值；在tee中，执行bios及os的校验值与相应预设校验值的匹配，并在bios及os的校验值均与相应预设校验值匹配时，允许计算设备从数据提供端获取数据。

16、基于本方案，硬件设备可在数据获取流程启动前，完成对计算设备底层系统的完整性校验，从源头上拦截了系统底层被恶意篡改后带来的数据安全风险，进一步提升了整个数据流通链路的可信性与安全性，避免底层风险带来的后续防护失效问题。

17、在又一种可能的实现方式中，方法还包括：在确定bios及os至少之一的校验值与预设校验值不匹配时，向计算设备发送信息，以配置计算设备中安全软件执行数据请求的拦截操作。

18、基于本方案，硬件设备可在发现底层系统存在篡改风险时，第一时间触发安全拦截机制，从访问入口阻断违规数据获取行为，避免敏感数据在不可信系统环境中流出，完善了底层校验不通过后的风险处置流程，形成完整的风险识别与风险处置防护闭环。

19、第二方面，本技术实施例还提供了一种硬件设备，包括第一存储器、第一处理器以及第一通信接口，第一存储器用于存储第一程序指令，第一通信接口用于与外部计算设备通信；硬件设备还部署有可信执行环境tee；第一处理器用于执行第一程序指令，使得硬件设备执行如上述第一方面中任一项的数据风险监控方法。

20、第三方面，本技术实施例还提供了一种数据风险监控方法，应用于计算设备，计算设备通过第二通信接口与外部硬件设备通信连接，硬件设备部署有可信执行环境tee；接收硬件设备发送的目标数据；其中，目标数据为硬件设备通过tee解密目标加密数据后得到的数据，目标加密数据为硬件设备从数据提供端获取的数据；通过安装的安全软件，对针对目标数据的操作进行监控；安全软件为安装在计算设备中的软件；将安全软件的文件数据发送至硬件设备，以使得硬件设备获取安全软件的校验值，并使得硬件设备在tee中，将安全软件的校验值与预先存储的校验值进行比对。

21、基于本方案，硬件设备部署有可信执行环境tee，在tee内部完成加密数据的解密与校验，同时为了利用计算设备的算力，提高数据操作的流畅度，会将数据发送至计算设备，但此时会面临安全问题，因此本技术进一步在计算设备中部署监控用的安全软件，并对安全软件进行完整性校验，避免安全软件被恶意篡改后失效，从传输、解密、部署安全软件、安全软件校验使用全链路实现数据防护，弥补了现有技术方案中存在的部署成本高的同时，还进一步在一定程度上兼顾了数据安全以及数据操控的流畅度。

22、第四方面，本技术实施例还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现如第三方面的方法。

23、第五方面，本技术实施例还提供了一种数据风险监控方法，应用于数据需求端，数据需求端包括硬件设备和计算设备，硬件设备通过第一通信接口与计算设备通信连接，硬件设备部署有可信执行环境tee；方法包括：通过tee，与数据提供端建立加密传输链路；通过加密传输链路，获取数据提供端返回的目标加密数据，并在tee中解密得到目标数据；向计算设备发送目标数据；从硬件设备接收目标数据；通过安装的安全软件，对计算设备中针对目标数据的操作进行监控；获取计算设备中安全软件的校验值，并将安全软件的校验值传入tee；在tee中，将安全软件的校验值与预先存储的校验值进行比对，并在比对结果不一致时，确定存在数据安全风险；其中，预先存储的校验值存储在tee中。

24、基于本方案，硬件设备部署有可信执行环境tee，在tee内部完成加密数据的解密与校验，同时为了利用计算设备的算力，提高数据操作的流畅度，会将数据发送至计算设备，但此时会面临安全问题，因此本技术进一步在计算设备中部署监控用的安全软件，并对安全软件进行完整性校验，避免安全软件被恶意篡改后失效，从传输、解密、部署安全软件、安全软件校验使用全链路实现数据防护，弥补了现有技术方案中存在的部署成本高的同时，还进一步在一定程度上兼顾了数据安全以及数据操控的流畅度。

25、第六方面，本技术实施例还提供了一种数据风险监控系统，包括计算设备以及硬件设备；其中，硬件设备包括第一存储器、第一处理器以及第一通信接口，第一存储器用于存储第一程序指令，第一通信接口用于与计算设备通信；硬件设备还部署有可信执行环境tee；计算设备包括第二存储器、第二处理器以及第二通信接口，第二存储器用于存储第二程序指令，第二通信接口用于与硬件设备通信；第一处理器用于执行第一程序指令，第二处理器用于执行第二程序指令，以实现如上述第五方面中的数据风险监控方法。

26、第七方面，本技术实施例提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，计算机执行指令被计算机执行时实现如第一方面中任一项的方法。

27、第八方面，本技术实施例提供一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现如第一方面中任一项的方法。

28、第九方面，本技术实施例提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，计算机执行指令被计算机执行时实现如第三方面中的方法。

29、第十方面，本技术实施例提供一种计算设备，包括第二存储器、第二处理器以及第二通信接口，第二存储器用于存储第二程序指令，第二通信接口用于与外部硬件设备通信；第二处理器用于执行第二程序指令，使得计算设备执行如上述第三方面中的方法。