[發明專利]一種基于DPI的敏感文件流轉監控方法

有效

• 申請號: 201611086798.1
• 申請日: 2016-11-30
• 公開（公告）號: CN106713067B
• 公開（公告）日: 2020-03-17
• 發明（設計）人: 艾解清;魏理豪;王建永;何旻諾;梁承東;陳亮
• 申請（專利權）人: 廣東電網有限責任公司信息中心
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/08;G06F21/62
• 代理公司: 廣州科粵專利商標代理有限公司 44001
• 代理人: 黃培智

1.一種基于DPI的敏感文件流轉監控方法，其特征在于，包括如下步驟：

步驟S10，建立敏感數據字典庫，所述敏感數據是反映企業經營內容和客戶信息的數據；

步驟S20，通過DPI設備還原通信流量數據中的數據庫操作語句，并根據敏感數據字典庫識別數據庫操作語句中的敏感數據，并更新敏感數據字典庫；

步驟S30，通過DPI設備的操作日志，所述操作日志包括有數據庫導出到文本的導出操作，識別敏感數據的導出操作，并相應建立敏感文件特征庫；

步驟S40，根據敏感文件特征庫，分析敏感文件在文件管控區域內的流轉過程，當判斷出敏感文件從文件管控區域內流出時進行告警；

步驟S10所述的敏感數據字典庫包括有敏感表名稱和敏感字段名稱；

所述敏感數據字典庫還根據敏感表和敏感字段的關鍵字的詞頻進行分級；所述分級方法是先對敏感表和敏感字段的關鍵字進行提取，然后采用詞頻TF-IDF算法，對敏感字典進行分級；所述敏感數據字典庫包括兩級字典，第一級為包括有高頻、英文單詞和帶有明確語義的英文縮寫的高頻字典、第二級為包括有低頻、拼音縮寫組合和數字的全部字典；

步驟S20所述的識別是首先通過與敏感數據字典比配，判斷數據庫操作語句中，是否存在的復制行為；然后，判斷數據庫操作語句中是否為敏感數據，如果是則將該數據庫操作語句存入敏感數據字典庫；

步驟S20所述的數據庫操作語句與敏感數據字典進行比配，首先是對數據庫操作語句進行一次匹配，再對匹配成功的敏感表名進行二次匹配，所述二次匹配為全匹配或是細粒度的正則匹配；根據第一次判斷結果，符合程度高的數據進入步驟S20后續的處理流程，對符合程度低的數據進行二次判斷；

步驟S20所述的分析操作行為，具體為：檢查是否有敏感表、敏感字段的數據被復制到新的表中，將新的表名與原有字典進行比較、分級并存入敏感數據字典；

所述步驟S30還包括有：對敏感操作的對象進行敏感數據的校驗，當判定為敏感數據時，將敏感文件的特征信息存入敏感文件特征庫；

所述敏感文件的特征信息包括文件名、文件大小、文件MD5值和網絡地址；

步驟S40所述分析敏感文件在文件管控區域內的流轉過程，具體為：通過DPI設備對流轉過程的流量進行還原，從而獲取流量中的文件特征；流轉過程包括FTP協議和HTTP協議的文件傳送；

所述步驟S40對敏感文件流出的判斷，是通過對符合敏感文件識別標示的信息進行網絡地址的比較進行的，具體為：先比較目的地址是否在合規區域內，如果不在合規區域內，再對源地址進行比較，如果源地址在合規區域內，則判斷為合規區域流向非合規區域的敏感文件，并產生高級別告警；如果源地址在合規區域外，則產生低級別告警，并從目的地址主機對文件進行二次核查；如果目的地址和源地址都在合規區域內，則不產生告警。