[發明專利]異常權限的檢測方法、裝置、設備、介質和程序產品

在審

• 申請號: 202211532500.0
• 申請日: 2022-11-29
• 公開（公告）號: CN115795451A
• 公開（公告）日: 2023-03-14
• 發明（設計）人: 劉健文;李偉良;曹翀
• 申請（專利權）人: 中國工商銀行股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/60
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 趙婷

1.一種異常權限的檢測方法，其特征在于，包括：

獲取數據湖中存儲的至少一個崗位權限和多個網點人員的實際權限；

對于至少一個所述崗位權限，根據多個所述網點人員的實際權限與該崗位權限的偏離程度，對多個網點人員進行聚類，以得到多個簇類，不同的所述簇類中，所述網點人員的實際權限與所述崗位權限的偏離程度不同；

對于至少一個簇類，

根據與所述崗位權限相匹配的異常權限檢測規則，對所述簇類中的網點人員進行權限異常檢測；

根據權限異常檢測的檢測結果以及所述簇類中所述網點人員與所述崗位權限的偏離程度，生成權限異常告警。

2.根據權利要求1所述的檢測方法，其特征在于，所述對于至少一個所述崗位權限，根據多個所述網點人員的實際權限與該崗位權限的偏離程度，對多個網點人員進行聚類，以得到多個簇類，包括：

在第1次聚類時，

根據至少一個所述崗位權限，隨機生成多個初始質心，不同的所述初始質心與所述崗位權限的偏離程度不同；

根據多個網點人員中每個的實際權限與每個所述初始質心之間的相似度，對多個網點人員進行聚類；

在第N次聚類完成后，

對于多個所述簇類中的每個，計算所述簇類中的網點人員的實際權限的平均值，以得到所述簇類的新質心；

當計算出的所述新質心不滿足收斂條件時，根據多個網點人員中每個的實際權限與每個所述新質心之間的相似度，對多個網點人員進行聚類；

其中，所述N為正整數，且所述N≥1。

3.根據權利要求2所述的檢測方法，其特征在于，所述對于至少一個所述崗位權限，根據多個所述網點人員的實際權限與該崗位權限的偏離程度，對多個網點人員進行聚類，以得到多個簇類，還包括：

當計算出的所述新質心滿足收斂條件時，將第N次聚類后得到的簇類存儲至存儲單元，所述存儲單元與用于進行聚類的計算單元分別部署在不同的物理設備中。

4.根據權利要求1所述的檢測方法，其特征在于，所述根據與所述崗位權限相匹配的異常權限檢測規則，對所述簇類中的網點人員進行權限異常檢測，包括：

從異常權限兼容表中獲取與所述崗位權限相匹配的所述異常權限檢測規則；

根據獲取到的所述異常權限檢測規則以及所述簇類中所述網點人員的實際權限與所述崗位權限的差異，確定所述網點人員的實際權限是否異常，以得到所述異常權限檢測的結果。

5.根據權利要求1所述的檢測方法，其特征在于，所述根據權限異常檢測的檢測結果以及所述簇類中所述網點人員與所述崗位權限的偏離程度，生成權限異常告警，包括：

根據權限異常檢測的檢測結果，獲取權限異常的網點人員，以得到目標人員；

通過支持向量機，根據所述目標人員與所述崗位權限的偏離程度，確定所述目標人員的權限異常風險等級；

根據所述權限異常風險等級，生成所述目標人員的權限異常告警。

6.根據權利要求1所述的檢測方法，其特征在于，所述檢測方法還包括：

獲取預先配置的崗位權限并通過第一預設方式存入數據湖；

獲取網點人員的實際權限并通過第二預設方式存入所述數據湖，其中，所述實際權限是對所述網點人員在業務系統中的角色或者菜單進行分析后得到；

所述第一預設方式和所述第二預設方式中的至少一者包括表數據復制工具、消息隊列以及文件接口中的至少一者。

7.一種異常權限的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取數據湖中存儲的至少一個崗位權限和多個網點人員的實際權限；

聚類模塊，用于對于至少一個所述崗位權限，根據多個所述網點人員的實際權限與該崗位權限的偏離程度，對多個網點人員進行聚類，以得到多個簇類，不同的所述簇類中，所述網點人員的實際權限與所述崗位權限的偏離程度不同；

告警模塊，用于對于至少一個簇類，

根據與所述崗位權限相匹配的異常權限檢測規則，對所述簇類中的網點人員進行權限異常檢測；

根據權限異常檢測的檢測結果以及所述簇類中所述網點人員與所述崗位權限的偏離程度，生成權限異常告警。