[發明專利]一種基于自適應感知的敏感數據緩慢泄露檢測方法及系統

有效

• 申請號: 201711264886.0
• 申請日: 2017-12-05
• 公開（公告）號: CN108011881B
• 公開（公告）日: 2020-07-10
• 發明（設計）人: 魏效征;王志海;喻波;安鵬;史航周;權寶強;曹石勇
• 申請（專利權）人: 北京明朝萬達科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/58;G06F21/55;G06F21/60
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于自適應感知的敏感數據緩慢泄露檢測方法，所述數據緩慢泄露，是指企業員工為了規避企業的數據管控措施，將涉及敏感信息的文檔拆分成多個文檔多次發出，其特征在于，該方法包括以下步驟：

1)檢測待發送郵件是否包含敏感數據，如果是則跳轉到步驟2)，否則跳轉到步驟4)；

2)判斷郵件發送用戶的參數統計分布方差是否超過方差閾值，如果是，則跳轉到步驟3)，否則跳轉到步驟4)，所述參數統計分布方差包括：單位時間段內用戶的郵件發送時間間隔統計分布方差和/或郵件發送數量統計分布方差；所述方差閾值通過統計企業郵件發送用戶的參數統計分布方差的平均值決定；

3)產生安全事件告警，通知管理員；

4)結束。

2.根據權利要求1所述的方法，所述步驟1)之前還包括以下步驟：

將待檢測文本文件或文本數據流統一轉換為標準文檔格式；

對轉換后的標準文檔依據匹配規則記錄敏感數據。

3.根據權利要求1所述的方法，所述單位時間段按一天時間、一周或一月計算。

4.根據權利要求1-3之一所述的方法，所述統計分布符合正態分布，所述方差是指該正態分布的方差，所述方差閾值可以由管理員根據需要設定。

5.一種基于自適應感知的敏感數據緩慢泄露檢測系統，所述數據緩慢泄露，是指企業員工為了規避企業的數據管控措施，將涉及敏感信息的文檔拆分成多個文檔多次發出，其特征在于，該系統包括：

內容匹配模塊，包括：

內容掃描引擎，檢測待發送郵件是否包含敏感數據；

預警模塊，判斷郵件發送用戶的參數統計分布方差是否超過方差閾值，如果超過方差閾值，產生安全事件告警，通知管理員；所述參數統計分布方差包括：單位時間段內用戶的郵件發送時間間隔統計分布方差和/或郵件發送數量統計分布方差；所述方差閾值通過統計企業郵件發送用戶的參數統計分布方差的平均值決定；

辨識模塊，包括：

外發數據分析模塊，統計分析郵件發送用戶的參數統計分布類型；

參數辨識模塊，識別郵件發送用戶的參數類型及數量；

閾值計算模塊，計算郵件發送用戶的參數統計分布的方差閾值。

6.根據權利要求5所述的系統，該系統還包括：

文檔轉換模塊，將待檢測文本文件或文本數據流統一轉換為標準文檔格式；

敏感數據記錄模塊，對轉換后的標準文檔依據匹配規則記錄敏感數據。

7.根據權利要求5所述的系統，外發數據分析模塊，統計分析郵件發送用戶單位時間段內用戶的郵件發送時間間隔統計分布類型和/或郵件發送數量統計分布類型；

參數辨識模塊，識別郵件發送用戶單位時間段內用戶的郵件發送時間間隔數量和/或郵件發送數量；

閾值計算模塊，計算單位時間段內用戶的郵件發送時間間隔統計分布方差閾值和/或郵件發送數量統計分布方差閾值。

8.根據權利要求5-7之一所述的系統，所述統計分布符合正態分布，所述方差是指該正態分布的方差，所述方差閾值可以由管理員根據需要設定。

9.一種計算機可讀存儲介質，其特征在于，該介質包括計算機程序指令，通過執行所述計算機程序執行實現權利要求1-4之一所述的方法。