[發明專利]一種基于大數據平臺審計日志的用戶行為分析方法及系統

在審

• 申請號: 202011282118.X
• 申請日: 2020-11-17
• 公開（公告）號: CN112395262A
• 公開（公告）日: 2021-02-23
• 發明（設計）人: 葛建飛;張雪松
• 申請（專利權）人: 江蘇普旭軟件信息技術有限公司
• 主分類號: G06F16/18
• 分類號: G06F16/18;G06F16/2458;G06F16/28
• 代理公司: 南京中盟科創知識產權代理事務所(特殊普通合伙) 32279
• 代理人: 張靖堯

1.一種基于大數據平臺審計日志的用戶行為分析方法及系統，其特征在于，該方法包括以下步驟：

S1、依據用戶的歷史行為數據預先構建行為處理模型，并進行訓練；

S2、通過預設方法從大數據平臺獲取用戶行為數據包，得到安全審計日志；

S3、采用預設規則對所述審計日志進行預處理，得到標簽事務數據集；

S4、利用所述行為處理模型對標簽事務數據集進行分析，得到標準結構化行為；

S5、對所述標準結構化行為進行聚類分析，得到行為分類結果；

S6、采用關聯分析算法對所述行為分類結果進行挖掘分析，得到用戶行為分析結果。

2.根據權利要求1所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S1中依據用戶的歷史行為數據預先構建行為處理模型，并進行訓練具體包括以下步驟：

S11、利用數據獲取模塊獲取用戶的歷史行為數據；

S12、依據所述歷史行為數據通過模型構建模塊構建行為處理模型；

S13、對所述行為處理模型進行網絡訓練，并采用最小化損失函數來更新行為處理模型的參數。

3.根據權利要求2所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S13中對所述行為處理模型進行訓練還包括以下步驟：

對于訓練不足的情況，通過增加網絡中的節點，或者增加網絡的訓練周期來達到訓練效果；

對于過度擬合的情況，通過減少或控制訓練周期，在數據出現拐點前，停止對網絡的訓練來達到訓練效果。

4.根據權利要求1所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S2中通過預設方法獲取用戶行為數據包，得到安全審計日志具體包括以下步驟：

S21、通過鏡像端口和軟件探針從大數據平臺中獲取所有用于用戶行為分析的數據包；

S22、對數據報文進行解析，還原真實的訪問行為，生成安全審計日志。

5.根據權利要求4所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S22中審計日志采用常規審計規則和高級審計規則的方式進行審計；

其中，常規審計規則包括：加固點名稱、數據庫實例、數據庫類型-數據庫用戶、操作系統用戶、主機、數據庫IP、客戶端IP、數據庫局域網地址、客戶端局域網地址、客戶端程序、客戶端用戶名、客戶端端口、請求發生時間、執行時長、結構化查詢語言內容關鍵字以及結構化查詢語言結果關鍵字；

高級審計規則包括：多關鍵字，基于自主的高速多關鍵字匹配算法，當多個關鍵字同時出現時，觸發該規則；正則表達式，可以使用正則表達式定義復雜審計規則，如身份證號碼、郵件地址；語句級規則，結構化查詢語言語句代表的句型的規則；生產完整審計記錄。

6.根據權利要求1所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S3中采用預設規則對所述審計日志進行預處理，得到標簽事務數據集包括以下步驟：

S31、提取、分解所述審計日志中的數據，合并、去除審計日志中不需要的字段，填充缺失內容，并對數據進行歸約化表示，得到事務數據集；

S32、通過分析算法對所述事務數據集中的用戶行為數據進行分析處理，并根據分析結果打上特定的標簽，得到標簽事務數據集；

S33、根據所述標簽事務數據集的訪問次數進行分級存儲。

7.根據權利要求6所述的一種基于大數據平臺審計日志的用戶行為分析方法，其特征在于，所述S32中通過分析算法對所述事務數據集中的用戶行為數據進行分析處理，并根據分析結果打上特定的標簽包括以下步驟：

通過分析算法對所述事務數據集中的用戶行為數據進行分析處理，并判斷是否分析成功；若分析成功，則根據分析結果給事務數據集打上特定的標簽；若分析不成功，則給事務數據集打上通用標簽。