[發明專利]基于終端代理的威脅監控及數據防泄露方法與系統

在審

• 申請號: 201710044237.3
• 申請日: 2017-01-19
• 公開（公告）號: CN106845272A
• 公開（公告）日: 2017-06-13
• 發明（設計）人: 吳淑寧;馮望煙;張立鋼
• 申請（專利權）人: 浙江中都信息技術有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62
• 代理公司: 北京中譽威圣知識產權代理有限公司11279
• 代理人: 蔣常雪

1.一種基于終端代理的威脅監控及數據防泄漏方法，其特征在于：所述方法通過在終端設備上部署代理軟件，收集用戶的行為數據；代理將從終端收集到的數據發送回中央數據倉庫，在中央數據倉庫中，這些收集到的信息被按照相同主機名或地址來做歸類并摘要；處理后的數據，可以用作機器學習系統的輸入，或者為SOC分析提供報告，進行進一步的安全分析，以便監控用戶的各種操作行為，檢測潛在的內部數據泄露風險，在數據泄露發生前，就及時采取合適的行動，防止數據丟失。

2.根據權利要求1所述的一種基于終端代理的威脅監控及數據防泄漏方法，其特征在于：所述終端代理，也會收集本終端相關信息，比如主機名、用戶名、MAC地址等，所有這些信息都會被發送到中央數據倉庫中，終端的信息在數據倉庫中，被整合匯總，企業安全管理員就可以在數據泄露發生時，及時獲知泄露場景，并適時采取行動，阻止數據丟失。

3.一種基于終端代理的威脅監控及數據防泄漏系統，其特征在于：所述系統包括部署于各類終端設備上的代理軟件，中央數據倉庫，機器學習單元和配套的網絡通信模塊；所述代理軟件被部署在不同的終端或客戶機上；代理將從終端收集到的數據發送回中央數據倉庫；所述中央數據倉庫用于匯集各代理軟件所獲取的用戶屬性數據和用戶行為數據，在數據倉庫中，這些收集到的信息被按照相同主機名或地址來做歸類并摘要；處理后的數據，可以用作機器學習系統的輸入，或者為SOC分析提供報告；所述機器學習單元，用于對用戶行為數據進行模式識別和知識發現，以發掘大量雜亂無章的用戶行為數據背后所蘊含的規律和趨勢，指導代理軟件更加精準高效地收集數據，指導SOC工作人員更加快速地定位威脅點和數據泄露隱患，快速做出反應；所述配套的網絡通信模塊，是系統工作的基礎，起到連接各功能模塊的作用。

4.根據權利要求3所述的一種基于終端代理的威脅監控及數據防泄漏系統，其特征在于：所述代理軟件被部署到每一個用戶的工作站上，它會收集有可能發生數據泄露的場景信息，并有訪問部署有代理軟件的服務器的權利；代理軟件也會部署到每一個服務器上，用來捕獲服務器上的用戶行為；如果企業中也有移動設備訪問需求，只需要在移動設備上也部署代理軟件即可，它會收集用戶基于移動終端實施的在線備份信息、USB/藍牙發送信息、電子郵件使用等信息；每一個終端代理軟件所獲取的信息都會傳遞給中央數據倉庫，中央數據倉庫能夠將各終端代理軟件收集的數據塊組合起來，并且按照用戶進行歸類。

5.根據權利要求3所述的一種基于終端代理的威脅監控及數據防泄漏系統，其特征在于：所述系統根據終端設備類型和用途的不同，為各類終端設備量身定義完整的數據泄露活動表，以指導終端代理軟件收集活動表中包含的與用戶行為相關的信息，并及時發送到中央數據倉庫。

6.根據權利要求3所述的一種基于終端代理的威脅監控及數據防泄漏系統，其特征在于：根據數據量的大小，代理軟件可能會保存原始的數據，也可能只保存摘要結果；由于終端設備的存儲能力有限，在數據量不大的情況下，代理軟件會完整保存原始的數據，而在數據量很大的情況下，代理軟件只保存摘要結果。

7.根據權利要求3所述的一種基于終端代理的威脅監控及數據防泄漏系統，其特征在于：根據代理軟件和服務器的連接方式不同，采取不同的數據發送策略；如果終端設備在企業網內部，代理軟件就會將收集的信息，實時發送給中央數據倉庫處理，如果終端設備處于離線狀態，或者不在企業網內部，數據就會在終端設備緩存中被臨時保存，當終端設備重新恢復在線后，就會將所有緩存的數據，一次性打包發送給中央數據倉庫。