本发明涉及网络安全中服务器物理数据渗透防护领域，尤其涉及一种基于零信任架构的缓解物理数据泄露的物理隔离方法及系统。
背景技术：
1、互联网连接设备，包括物联网(iot)对象，都存在数据泄露的威胁。恶意用户可通过物理和远程方式，出于恶意或使用已安装在系统上的恶意软件未经授权从系统传输数据。远程数据泄露通常利用后门或恶意程序的形式，能够秘密监控任何传出或传入的流量以及目标系统上保存的当前数据。当恶意用户可以物理访问目标系统时，可以物理执行数据泄露，例如将数据传输到容易隐藏的外部存储驱动器。
2、虽然数据泄露的许多威胁都存在于网络层面，并可以通过相关的基于网络的安全部署来解决。但也有一些物理威胁需要解决，为网络基础设施提供保护。通常，物理威胁可以通过物理措施来解决，如利用系统外壳以防止篡改、插入外部存储设备，以及使用物理锁以防止系统从房屋中被盗。在物联网中，由于设备部署在可访问的地方，物理威胁可能更难解决。
3、因此，必须设计基于网络的解决方案，以监控和监督在任何系统上执行的任何物理操作。
技术实现思路
1、本发明的目的是防止内部网络中任何系统的恶意操作或未经授权的访问或使用系统和机密数据，保护系统免受物理层的威胁。
2、为实现这一目的，本发明提出了一种基于零信任架构的缓解物理数据泄露的物理隔离方法及系统，创建数据指纹和用于网络中任何端点的规则，所有的操作请求和该操作请求中所包含的数据都将被验证。
3、本发明提出了一种基于零信任架构的缓解物理数据泄露的物理隔离方法，包括以下步骤：
4、步骤s1，识别机密数据：扫描系统或网络上的所有数据，利用关键字搜索来识别机密数据，并存储识别结果；
5、步骤s2，配置端点访问规则：通过在网络上部署端点规则列表以配置端点访问规则，同时对操作请求创建日志，所述端点访问规则用于判断是否允许执行接收到的操作请求；
6、步骤s3，创建数据指纹：通过指纹函数将每个数据分别映射到一个比特串中以创建数据指纹，所述数据指纹用于唯一地识别数据；以及
7、步骤s4，制定物理层的防护措施：在网络上创建一个通用的防御，检查接收到的操作请求是否遵循端点访问规则，并验证操作请求中涉及的数据是否为机密数据，以判断是否允许执行所述操作请求。
8、在一个实施例中，所述步骤s1中的利用关键字搜索来识别机密数据具体为：利用关键字搜索将所有数据进行归类，所述类别包括机密数据和非机密数据，命中关键字的数据为机密数据，未命中关键字的数据为非机密数据。
9、在一个实施例中，所述步骤s1中存储识别结果具体为：存储数据的归类结果直至创建数据指纹，将所述数据的归类结果放在该数据相应的数据指纹记录上，所述数据指纹记录用于识别该数据的类别。
10、在一个实施例中，步骤s1中，所述系统或网络上的所有数据利用管理服务器扫描，所述关键字搜索的配置由服务器实现，服务器配置一个关键字搜索列表，所述关键字搜索列表可被管理员添加或修改。
11、在一个实施例中，所述步骤s2中的端点访问规则基于零信任原则，以确保能够正常执行任何所需的任务，且任何其他操作被禁止。
12、在一个实施例中，所述步骤s2中，对操作请求创建日志进一步包括：
13、接收到操作请求，若该操作请求未遵循所述端点访问规则，则立即拒绝执行该操作，同时对该操作请求创建一个日志，将所述日志发送给管理员，所述日志包含一个特殊标记，所述特殊标记用于提醒管理员注意该操作。
14、在一个实施例中，所述步骤s3中，所述指纹函数为哈希函数。
15、在一个实施例中，所述哈希函数为sha-256算法，通过使用sha-256算法，得到的固定大小的数据指纹，所述数据指纹有256位长。
16、在一个实施例中，步骤s4具体为：
17、步骤s41，端点上的用户操作请求，并要求验证操作请求中涉及的数据是否被归类为机密数据；
18、步骤s42，检查所述操作请求是否遵循端点访问规则，若否，则拒绝执行该操作，若是，则进入步骤s43验证操作请求中涉及的数据是否被归类为机密数据；
19、步骤s43，将哈希函数交叉引用到用户所请求的文件中，以验证操作请求中涉及的数据是否被归类为机密数据，若是，则拒绝用户执行该操作，若否，则允许用户执行该操作。
20、本发明还提出一种基于零信任架构的缓解物理数据泄露的物理隔离系统，用于执行上文所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，所述基于零信任架构的缓解物理数据泄露的物理隔离系统包括用户终端、应用服务器、防火墙、管理服务器和文件服务器；
21、所述用户终端向应用服务器或防火墙发送操作请求，并要求验证操作请求中涉及的数据是否被归类为机密数据；
22、所述管理服务器一端与应用服务器和防火墙连接，接收操作请求，所述管理服务器的另一端与文件服务器连接，扫描文件服务器上所有数据，并利用关键字搜索将所有数据进行归类，命中关键字的数据归类为机密数据，未命中关键字的数据归类为非机密数据，所述管理服务器存储数据指纹和端点规则，检查所述操作请求是否遵循端点访问规则，并验证操作请求中涉及的数据是否被归类为机密数据，以判断是否允许用户终端的操作请求。
23、本发明的基于零信任架构的缓解物理数据泄露的物理隔离方法及系统的有益效果在于：
24、1、端点规则补充了基于应用程序的措施，因为端点规则可以确保限制和防御，不仅可以阻止应用程序内禁止的操作，而且可以阻止整个系统的操作。
25、2、通过在所有网络设备上部署规则列表，以确保用户获得最少的权限，以减少恶意使用系统的任何企图，而不妨碍用户完成任务的能力。
26、3、本发明中操作请求和操作请求中涉及的数据都被验证，有助于防止恶意内部人士使用其他有效的操作来渗透机密数据。
1.一种基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，包括以下步骤：
2.根据权利要求1所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述步骤s1中的利用关键字搜索来识别机密数据具体为：利用关键字搜索将所有数据进行归类，所述类别包括机密数据和非机密数据，命中关键字的数据为机密数据，未命中关键字的数据为非机密数据。
3.根据权利要求2所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述步骤s1中存储识别结果具体为：存储数据的归类结果直至创建数据指纹，将所述数据的归类结果放在该数据相应的数据指纹记录上，所述数据指纹记录用于识别该数据的类别。
4.根据权利要求2所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，步骤s1中，所述系统或网络上的所有数据利用管理服务器扫描，所述关键字搜索的配置由服务器实现，服务器配置一个关键字搜索列表，所述关键字搜索列表可被管理员添加或修改。
5.根据权利要求1所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述步骤s2中的端点访问规则基于零信任原则，以确保能够正常执行任何所需的任务，且任何其他操作被禁止。
6.根据权利要求1所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述步骤s2中，对操作请求创建日志进一步包括：
7.根据权利要求1所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述步骤s3中，所述指纹函数为哈希函数。
8.根据权利要求7所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述哈希函数为sha-256算法，通过使用sha-256算法，得到的固定大小的数据指纹，所述数据指纹有256位长。
9.根据权利要求1所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，步骤s4具体为：
10.一种基于零信任架构的缓解物理数据泄露的物理隔离系统，用于执行权利要求1-9任一项所述的基于零信任架构的缓解物理数据泄露的物理隔离方法，其特征在于，所述基于零信任架构的缓解物理数据泄露的物理隔离系统包括用户终端、应用服务器、防火墙、管理服务器和文件服务器；
