[發明專利]調查設備和調查方法

有效

• 申請號: 201610890484.0
• 申請日: 2016-10-12
• 公開（公告）號: CN106971117B
• 公開（公告）日: 2020-06-16
• 發明（設計）人: 小櫻文彥;伊藤孝一
• 申請（專利權）人: 富士通株式會社
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F16/22
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王萍;高巖

本發明提供了調查設備和調查方法。根據實施方式的調查設備包括執行下述處理的處理器：針對表的每個屬性，分析在屬性中包括的多個值的獨特性；針對原始調查表，將所分析的獨特性比預定值低的屬性中包括的多個值按照預定比率減少，并且輸出原始調查表的特征；針對目標調查表，將所分析的獨特性比預定值高的屬性中包括的多個值按照預定比率減少，并且輸出目標調查表的特征；以及通過將原始調查表的特征與目標調查表的特征進行比較，來對目標調查表與原始調查表的相似度進行調查。

技術領域

本文討論的實施方式涉及調查設備和調查方法。

背景技術

在現有技術中，在公司等中，作為針對信息泄露的措施之一，執行用于確定信息泄露源的在后調查。在針對信息泄露的在后調查中，連同對文件進行操作如文件瀏覽或文件保存時的操作日志一起記錄所操作的文件的特征(指紋(在下文中，稱為特征數據))。因此，在信息泄露的調查中，通過參照所記錄的特征數據確定與泄露信息相似的文件的操作日志，來確定信息泄露源。

專利文件1：日本公開特許公報第2005-4560號。

然而，在上面描述的相關技術中，在針對每個記錄(行)的各種屬性(列)的信息進行描述的表數據的調查中，與通常的文件如文本相比，特征數據變得巨大，從而存在調查時間長的問題。例如，在執行針對表數據的泄露的在后調查的情況下，在操作時所記錄的表數據的特征數據變得巨大，使得調查需要一定時間。

圖20是示出了信息泄露的調查的說明圖。如圖20中所示，針對公司保密信息501，用戶511對其執行操作比如引用或更新的文件502的操作日志或者文件502的特征數據被記錄在公司內部瀏覽文件日志521中。例如，連同用戶511對其執行操作的文件502的文件名如“kimitsu.doc”一起，提取文件502中的“關于中期商業計劃……”的表示特征的數據(關鍵詞列表)，并且將其記錄在公司內部瀏覽文件日志521中。

在本文中，假定文件502的印刷品在編輯和處理之后作為文件503泄露到公司的外部。另外，假定文件503具有文件名“maruhi.pdf”等，從而該文件名被改變成不同于文件502的文件名。另外，改變文件503的內容，以使得內容的一部分不同于文件502的內容，例如像“關于營業部門的中期計劃……”。因此，在信息泄露的在后調查中，通過對記錄在公司內部瀏覽文件日志521中的特征之中的與從文件503提取的特征相似的特征進行搜索來確定文件502作為泄露源。

針對表示文件特征的特征數據，在關鍵詞狀態下難以處理特征數據，因而，使用通過對關鍵詞進行散列所獲得的數據。例如，對關鍵詞進行散列，并且通過利用常數n來執行求模操作(mod)來獲得范圍減小的散列值(另外，將散列值設置為通過利用常數n來執行求模操作所獲得的值，以及將在執行求模操作之前的散列值設置為中間散列值)。以此方式，由于文件中包括的關鍵詞由散列值表示，因此獲得由n×n有效圖(effective graph)所表示的文件特征的特征數據。

另外，在將值n設置成約10000并且此后在一些情況下對關鍵詞進行散列的情況下，可以在不同的關鍵詞之間獲得相同的散列值。然而，在n×n有效圖中，由關鍵詞的組合來表示特征。因此，在內容不同的文件之間，內容被改變成相同的散列值的可能性較低，并且有效圖具有內容難以變得相同的特性。

在信息泄露的在后調查中，通過將記錄在公司內部瀏覽文件日志521中的特征數據與從文件503提取的特征數據進行比較來獲得相似的文件(作為泄露源的文件502)。

圖21是示出對特征數據進行比較的說明圖。如圖21中所示，在信息泄露的在后調查中，通過對記錄在公司內部瀏覽文件日志521中的特征數據502a與從文件503提取的特征數據503a進行比較獲得比較結果504，在其特征被記錄在公司內部瀏覽文件日志521中的文件之中的與文件503相似的文件被確定為泄露源。