[發明專利]基于距離度量的數據庫異常訪問檢測方法、系統及設備

在審

• 申請號: 202111289946.0
• 申請日: 2021-11-02
• 公開（公告）號: CN113722707A
• 公開（公告）日: 2021-11-30
• 發明（設計）人: 宋美艷;陳鋒;沈正華;鄭衛東;李曉燕;周波;賈澤冰;劉暢;李亞都
• 申請（專利權）人: 西安熱工研究院有限公司;華能（浙江）能源開發有限公司玉環分公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 陳翠蘭

1.一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：包括如下步驟：

提取數據庫訪問信息；

所提取的數據庫訪問信息進入模型訓練階段通過數據降維的方式得到低維的用戶訪問向量；

使用基于距離的算法對低維的用戶訪問向量進行訓練，得到異常檢測模型；

模型訓練階段得到的訓練結果作為模型測試階段的異常檢測模型，模型測試階段通過數據降維的方式得到低維的用戶訪問向量，將降維后的用戶訪問向量輸入到異常檢測模型中，得到檢測結果，實現對數據庫異常訪問的實時監控和主動防御。

2.根據權利要求1所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：模型訓練階段和模型測試階段均通過采用LDA算法實現數據降維，構建低維的用戶訪問向量，以及采用KNN模型作為異常檢測模型實現對數據庫異常訪問的檢測。

3.根據權利要求2所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：KNN模型的距離度量采用歐式距離，具體表達式為：

其中x表示樣本點，y表示樣本點對應的分類。

4.根據權利要求2所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：采用KNN模型可通過計算結果調整K值對正常訪問與異常訪問進行不同程度的劃分。

5.根據權利要求2所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：模型訓練階段的具體步驟包括如下：

對提取的數據庫歷史日志進行數據預處理操作，得到文本數據；

對文本數據提取用戶操作特征，基于用戶屬性特征和用戶操作特征構建初始的數據庫用戶訪問特征畫像，其中初始的數據庫用戶訪問特征畫像為高維的矩陣；

通過LDA算法對初始的數據庫用戶訪問特征畫像的高維矩陣進行降維操作，得到低維的用戶訪問向量；

將低維的用戶訪問向量作為KNN模型的輸入，KNN模型經過計算得出模型中待訓練的參數，不斷調整給定的K值，得到最佳的分類結果，即為模型訓練結果。

6.根據權利要求5所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：數據預處理操作為對系統日志進行去除操作得到文本數據。

7.根據權利要求2所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：模型測試階段具體步驟包括如下：

對模型訓練階段的用戶數據進行數據預處理，提取有效訪問數據語句；

對有效訪問數據語句基于用戶屬性特征和用戶操作特征構建數據庫用戶訪問特征畫像，得到一個高維的數據庫用戶訪問特征畫像；

通過LDA算法對高維的數據庫用戶訪問特征畫像進行降維操作，得到低維的用戶訪問向量；

將低維的用戶訪問向量作為KNN模型的輸入，KNN模型經過計算得出模型中待訓練的參數，不斷調整給定的K值，得到最佳的檢測結果，并將正常訪問檢測結果與異常訪問檢測結果進行區分；

將異常訪問檢測結果輸入到異常訪問響應器中，輸出不同的異常訪問級別，并對該條訪問執行不同的操作。

8.根據權利要求7所述的一種基于距離度量的數據庫異常訪問檢測方法，其特征在于：數據預處理為刪除數據庫訪問的無效語句，提取核心的有效訪問語句。

9.一種基于距離度量的數據庫異常訪問檢測系統，其特征在于，包括：

獲取模塊，用于提取數據庫訪問信息；

第一處理模塊，用于所提取的數據庫訪問信息進入模型訓練階段通過數據降維的方式得到低維的用戶訪問向量；

第二處理模塊，用于使用基于距離的算法對低維的用戶訪問向量進行訓練，得到異常檢測模型；

第三處理模塊，用于模型訓練階段得到的訓練結果作為模型測試階段的異常檢測模型，模型測試階段通過數據降維的方式得到低維的用戶訪問向量，將降維后的用戶訪問向量輸入到異常檢測模型中，得到檢測結果，實現對數據庫異常訪問的實時監控和主動防御。

10.一種基于距離度量的數據庫異常訪問檢測設備，包括存儲器、處理器以及存儲在所述存儲器中并可在所述處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現如權利要求1至8任意一項所述的基于距離度量的數據庫異常訪問檢測方法的步驟。