[發明專利]一種賬號異常訪問敏感數據行為的檢測方法及系統

有效

• 申請號: 201911045981.0
• 申請日: 2019-10-30
• 公開（公告）號: CN110750786B
• 公開（公告）日: 2021-09-14
• 發明（設計）人: 周曉勇;梁淑云;劉勝;馬影;陶景龍;王啟凡;魏國富;徐明;殷錢安;余賢喆
• 申請（專利權）人: 上海觀安信息技術股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62
• 代理公司: 合肥市浩智運專利代理事務所(普通合伙) 34124
• 代理人: 張景云

1.一種賬號異常訪問敏感數據行為的檢測方法，其特征在于：包括以下步驟：

S01，獲取數據庫操作日志；

S02，從數據庫操作日志中解析SQL語句，生成賬號訪問數據表的記錄；

S03，將第一時間段積累的第一訪問記錄，結合已知的正常賬號信息、賬號類型信息和敏感表信息，生成各賬號類型對所有敏感表的訪問行為基準向量集合U_V-basic；

所述步驟S03具體為：

S0301，使用正常賬號信息對第一訪問記錄進行篩選，選取出所有正常賬號的第一記錄子集；

S0302，使用敏感表信息對第一記錄子集進行篩選，選取出所有敏感表的第二記錄子集；

S0303，使用賬號類型信息對第二記錄子集中的賬號進行類型標識，并按類型標識進行分組統計，生成以賬號類型為統計對象、敏感表訪問次數為統計指標的統計數據，即訪問行為基準向量集合U_V-basic；

S04，將第二時間段內的第二訪問記錄，生成各賬號對所有敏感表的訪問行為向量集合U_V-acct；

所述步驟S04具體為：

對第二訪問記錄，按賬號進行分組統計，生成以賬號為統計對象、敏感表訪問次數為統計指標的統計數據，即訪問行為向量集合U_V-acct；所述訪問行為向量為以訪問各個敏感表次數作為分量所構成的向量，向量是以特定賬號作為統計主體，從而統計出的次數，其代表的是該賬號的訪問行為；

S05，使用相似度算法，輸出特定賬號的訪問行為向量和所有非歸屬賬號類型的訪問行為基準向量的相似度集合；所述非歸屬賬號類型為特定賬號既設賬號類型關于賬號類型全集的絕對補集，即：PC＝U-P，其中PC為非歸屬賬號類型，U為賬號類型全集，P為特定賬號既設賬號類型；

所述步驟S05中，采用余弦相似度計算法，公式如下：

其中：similarity為相似度，A為非歸屬賬號類型的訪問行為基準向量中的一個向量，B為特定賬號的訪問行為向量，θ為A、B兩個向量之間的夾角，A_i、B_i為A、B兩個向量的分量，n為A、B兩個向量的維數；

S06，通過所述相似度集合中的值大小確定異常訪問風險水平。

2.根據權利要求1所述的一種賬號異常訪問敏感數據行為的檢測方法，其特征在于：具體過程為：

S0501，從S04輸出的訪問行為向量集合U_V-acct中選取特定賬號的訪問行為向量V_acct；

S0502，從賬號類型全集U中剔除特定賬號的既設賬號類型P，作為其非歸屬賬號類型PC；

S0503，從S03輸出的訪問行為基準向量集合U_V-basic中選取特定賬號所有非歸屬賬號類型PC的訪問行為基準向量集合U_V-basic-pc；

S0504，對于S0503輸出的訪問行為基準向量集合U_V-basic-pc中的每一個訪問行為基準向量V_basic-pc，都計算S0501輸出的特定賬號的訪問行為向量V_acct與其之間的相似度；

S0505，將S0504輸出的每一個相似度加入集合，生成特定賬號的相似度集合U_sim。

3.根據權利要求2所述的一種賬號異常訪問敏感數據行為的檢測方法，其特征在于：所述步驟S06具體為：

S0601，設定風險等級區間；

S0602，對S05輸出的特定賬號的相似度集合U_sim，取最大值Sim_max，代表該賬號的最高風險；

S0603，以S0602輸出的最高風險Sim_max匹配S0601的風險等級區間，輸出相應的風險等級D_risk。