CN109936548A - 基于pki平台的异常行为检测方法及装置 - Google Patents
基于pki平台的异常行为检测方法及装置 Download PDFInfo
- Publication number
- CN109936548A CN109936548A CN201711366751.5A CN201711366751A CN109936548A CN 109936548 A CN109936548 A CN 109936548A CN 201711366751 A CN201711366751 A CN 201711366751A CN 109936548 A CN109936548 A CN 109936548A
- Authority
- CN
- China
- Prior art keywords
- behavior
- user
- matching
- real
- role
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 23
- 206010000117 Abnormal behaviour Diseases 0.000 claims abstract description 42
- 238000012544 monitoring process Methods 0.000 claims abstract description 22
- 230000006399 behavior Effects 0.000 claims description 178
- 238000000034 method Methods 0.000 claims description 36
- 238000005516 engineering process Methods 0.000 description 14
- 230000006870 function Effects 0.000 description 11
- 238000004590 computer program Methods 0.000 description 9
- 238000010586 diagram Methods 0.000 description 9
- 238000012545 processing Methods 0.000 description 8
- 230000008569 process Effects 0.000 description 5
- 238000005314 correlation function Methods 0.000 description 4
- 238000007418 data mining Methods 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 238000012550 audit Methods 0.000 description 3
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000003672 processing method Methods 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 238000009412 basement excavation Methods 0.000 description 1
- 230000003542 behavioural effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000010219 correlation analysis Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000011156 evaluation Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000005065 mining Methods 0.000 description 1
- 238000011084 recovery Methods 0.000 description 1
- 239000002023 wood Substances 0.000 description 1
Landscapes
- Alarm Systems (AREA)
Abstract
本发明公开了一种基于公钥基础设施PKI平台的异常行为检测方法及装置，包括：监控用户实时行为；将所述用户实时行为与预先建立的角色行为模式库进行匹配；根据匹配结果，判断是否存在异常行为。本发明实施例通过检测用户实际行为与角色行为模式库的背离程度，定位异常行为用户，实现内部威胁预警。
Description
技术领域
本发明涉及计算机技术领域，尤其涉及一种基于公钥基础设施(Public KeyInfrastructure，PKI)平台的异常行为检测方法及装置。
背景技术
本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。
PKI平台是一种利用公钥加密技术为电子商务开展提供安全基础平台的技术和规范。PKI平台主要涉及权威认证机构(CA)、注册机构(RA)、数字证书库、密钥备份及恢复***、证书作废***等多个***的搭建。由于PKI平台涉及多个***，为了保证其证书服务的安全性，需格外防范外部和内部威胁，其中由于内部威胁难于检测，因此针对PKI平台提供一种智能化、自动化的内部威胁安全检测方法非常有必要。
现有技术中根据检测数据的来源不同，内部威胁检测模型分为主体模型与客体模型。典型的主体模型有PARKER提出来的SKPAM模型和WOOD提出来的CMO模型，两者均从内部人员实施攻击的基本条件出发进行建模。这两种模型主要考虑的是怀有恶意的用户，忽略了内部用户的无意行为。典型的客体模型有PARK等人提出的CRBM模型和RAY等人提出的攻击树裁剪模型。CRBM模型根据基于角色的访问控制方法，通过分析用户是否违反角色行为规范判断是否发生内部威胁。
但是，上述检测模型或者忽略了内部用户的无意行为，或者仅仅基于角色进行判断，均不够全面准确。
发明内容
本发明实施例提供一种基于PKI平台的审计数据处理方法及装置，能够提高异常检测行为的准确度。
一种基于公钥基础设施PKI平台的异常行为检测方法，包括：
监控用户实时行为；
将所述用户实时行为与预先建立的角色行为模式库进行匹配；
根据匹配结果，判断是否存在异常行为。
优选地，所述方法还包括：
建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
优选地，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；
从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
优选地，所述根据匹配结果，判断是否存在异常行为，包括：
当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
优选地，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：
按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；
当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
一种基于PKI平台的异常行为检测装置，包括：监控单元、匹配单元及判断单元；其中，
所述监控单元，用于监控用户实时行为；
所述匹配单元，用于将所述用户实时行为与预先建立的角色行为模式库进行匹配；
所述判断单元，用于根据匹配结果，判断是否存在异常行为。
优选地，所述装置还包括：建立单元，用于建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
优选地，所述匹配单元，具体用于：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
优选地，所述判断单元，具体用于：当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
优选地，所述匹配单元，具体用于按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
本发明实施例提供的基于PKI平台的异常行为检测方法及装置，通过监控用户实时行为；将所述用户实时行为与预先建立的角色行为模式库进行匹配；根据匹配结果，判断是否存在异常行为，通过检测用户实际行为与角色行为模式库的背离程度，定位异常行为用户，实现内部威胁预警，适用于PKI平台下的使用场景，将访问控制技术和数据挖掘技术相结合，更具有针对性，能够更加准确地发现平台上的异常行为用户，从而防止内部威胁的发生。
本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为本发明实施例提供的基于PKI平台的异常行为检测方法的实现流程示意图；
图2为本发明实施例提供的基于PKI平台的异常行为检测装置的结构示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
近年来，各种加密技术、访问控制技术、异常检测策略都已经被用来检测和防止内部用户的威胁行为。其中，访问控制技术一直广泛应用在内部威胁检测过程中，其原理是在具体的用户与对资源的访问权限之间建立一个角色集合，每个角色被赋予若干适当的访问***和数据的权限，用户通过被分配相应的角色拥有一组相应的访问权限。角色是指若干根据岗位职责分工或任务调度而执行相同事务的人或群体的集合。角色和内部人员可以是一对一或者一对多的关系，也可以是多对多的关系。通常完成同一任务的人员会扮演一样的角色；而同一内部人员也可以同时扮演多个角色。
本发明将访问控制技术和数据挖掘技术相结合，提出一种利用角色行为模式的异常行为检测方法，用来检测PKI平台内部威胁。该方法主要包括两个方面：一是将用户当前行为模式与其所对应角色的角色行为习惯进行匹配；二是检测用户当前行为与角色行为准则的背离程度。如果用户行为偏离了预设的行为准则和行为习惯，则极有可能发生了内部攻击。。
图1示出了本发明实施例提供的基于PKI平台的异常行为检测方法的实现流程，具体如图1所示，所述方法包括：
步骤101，监控用户实时行为；
步骤102，将所述用户实时行为与预先建立的角色行为模式库进行匹配；
步骤103，根据匹配结果，判断是否存在异常行为
优选地，所述方法还包括：建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
这里，一方面结合《GA/T 687-2007信息安全技术公钥基础设施安全技术要求》的各项规定建立角色行为准则库；另一方面由于用户的操作记录、***产生的操作记录都存储在日志文件中，通过对不包含攻击数据的日志文件进行挖掘，找出每类角色甚至每个用户的行为习惯建立角色行为习惯库。将角色行为准则库和角色行为习惯库统称为角色行为模式库。最后通过监控用户实时行为，将用户实时行为与角色行为模式库进行对比，进而判别内部威胁。
1.角色行为模式库建立
1)模式挖掘：通过历史正常***日志进行关联分析，找出不同人员以不同角色登录平台***后的操作习惯，形成角色行为习惯库。
2)准则制定：根据上级要求结合工作实际，结合《GA/T 687-2007信息安全技术公钥基础设施安全技术要求》的各项规定来限制各角色的操作权限，具体可参见表1；同时也可以以内部威胁预警阶段出现的问题为依据，修正相关准则。
3)准则评估：将内部威胁预警阶段出现的误报、漏报等缺陷反馈给上一步骤即准则制定。
表1角色及其相应的访问权限
进一步地，所述步骤102，具体包括：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；
从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
进一步地，将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：
按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；
当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
相应地，所述步骤103，具体包括：
当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
其中，将所述用户实时行为与预先建立的角色行为模式库进行匹配包括：
1)从平台日志中提取出用户实时行为，然后根据其对应的角色行为习惯进行模式匹配，依据匹配差值的大小来判定是否发生内部攻击。
2)通过监测用户实时操作特征，根据用户角色检查是否存在违反角色行为准则中相应规章制度和安全条例的行为，如果违反，则说明发生了内部攻击。
这里，采用相似度的概念来表示用户实时行为与角色行为模式库之间的匹配程度。相似度的数值介于0～1之间，两者完全不同，则相似度为0；两者完全相同，则相似度为1。
设X和Y分别表示用户当前行为和角色行为模式库中的数据，X(i)表示X中的第i个单元(1≤i≤Length(X))，Y(i+k)表示Y中的第i+k个单元(1≤i+k≤Length(Y))，定义函数Equal(i,k)为X(i)和Y(i+k)的比较结果。
下面介绍两种行为模式匹配算法：
(1)完全匹配法
完全匹配法如以下公式所示。
其中，N＝max[Length(X),Length(Y)]。只有当X和Y完全相同时，匹配结果为1；否则为0。由于用户当前行为并不一定和行为模式库中数据完全一样，只要在允许的范围内，都认为匹配成功；否则将出现大量误报警。基于此，又提出一种相关函数匹配法。
(2)相关函数法
相关函数法如以下公式所示。
其中，N＝max[Length(X),Length(Y)]，-Length(X)≤k≤Length(Y)。函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的背离程度，f值越大，说明X和Y的匹配程度越高。在实际应用中，可以规定一个阈值α，如果0≤f≤α，判定为不匹配；如果α<f≤1，判定为匹配。
本方法主要利用相关函数法将用户实时行为与角色行为模式库进行匹配。
本发明实施例提供的基于PKI平台的异常行为检测方法，通过监控用户实时行为；将所述用户实时行为与预先建立的角色行为模式库进行匹配；根据匹配结果，判断是否存在异常行为，通过检测用户实际行为与角色行为模式库的背离程度，定位异常行为用户，实现内部威胁预警，适用于PKI平台下的使用场景，将访问控制技术和数据挖掘技术相结合，更具有针对性，能够更加准确地发现平台上的异常行为用户，从而防止内部威胁的发生。
基于同一发明构思，本发明实施例中还提供了一种基于PKI平台的审计数据处理装置，由于上述装置解决问题的原理与基于PKI平台的审计数据处理法相似，因此上述装置的实施可以参见方法的实施，重复之处不再赘述。
具体参见图2，所述基于PKI平台的异常行为检测装置包括：监控单元21、匹配单元22及判断单元23；其中，
所述监控单元21，用于监控用户实时行为；
所述匹配单元22，用于将所述用户实时行为与预先建立的角色行为模式库进行匹配；
所述判断单元23，用于根据匹配结果，判断是否存在异常行为。
优选地，所述装置还包括：建立单元24，用于建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
优选地，所述匹配单元22，具体用于：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
优选地，所述判断单元23，具体用于：当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
优选地，所述匹配单元22，具体用于按照将用户实时行为与角色行为模式库进行匹配；其中，，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本发明时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现。
在介绍了本发明示例性实施方式的基于PKI平台的异常行为检测方法及装置之后，接下来，介绍根据本发明的另一示例性实施方式的计算装置。
所属技术领域的技术人员能够理解，本发明的各个方面可以实现为***、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“***”。
在一些可能的实施方式中，根据本发明的计算装置可以至少包括至少一个处理单元、以及至少一个存储单元。其中，所述存储单元存储有程序代码，当所述程序代码被所述处理单元执行时，使得所述处理单元执行本说明书上述描述的根据本发明各种示例性实施方式的基于PKI平台的异常行为检测方法中的步骤。
本发明还提供一种根据上述方法实施例的电子设备，所述电子设备包括存储器和处理器。
存储器，主要用于存储程序，除此之外，也可被配置为存储其它各种数据以支持在电子设备上的操作。这些数据的示例包括联系人数据，电话簿数据，消息，图片，视频等。
存储器可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
处理器与存储器耦合，用于执行存储器中的程序，以用于：
监控用户实时行为；
将所述用户实时行为与预先建立的角色行为模式库进行匹配；
根据匹配结果，判断是否存在异常行为。
其中，处理器在执行存储器中的程序时，除了上面的功能之外，还可实现其它功能，具体可参见前面各实施例中的描述。
进一步，所述电子设备还包括：通信组件、显示器、电源组件、音频组件等其它组件。
本发明实施例提供的基于PKI平台的异常行为检测装置，通过监控用户实时行为；将所述用户实时行为与预先建立的角色行为模式库进行匹配；根据匹配结果，判断是否存在异常行为，通过检测用户实际行为与角色行为模式库的背离程度，定位异常行为用户，实现内部威胁预警，适用于PKI平台下的使用场景，将访问控制技术和数据挖掘技术相结合，更具有针对性，能够更加准确地发现平台上的异常行为用户，从而防止内部威胁的发生。
本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。
Claims (10)
1.一种基于公钥基础设施PKI平台的异常行为检测方法，其特征在于，包括：
监控用户实时行为；
将所述用户实时行为与预先建立的角色行为模式库进行匹配；
根据匹配结果，判断是否存在异常行为。
2.如权利要求1所述的方法，其特征在于，所述方法还包括：
建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
3.如权利要求2所述的方法，其特征在于，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；
从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
4.如权利要求3所述的方法，其特征在于，所述根据匹配结果，判断是否存在异常行为，包括：
当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
5.如权利要求1-4任一所述的方法，其特征在于，所述将所述用户实时行为与预先建立的角色行为模式库进行匹配，包括：
按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；
当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
6.一种基于PKI平台的异常行为检测装置，其特征在于，包括：监控单元、匹配单元及判断单元；其中，
所述监控单元，用于监控用户实时行为；
所述匹配单元，用于将所述用户实时行为与预先建立的角色行为模式库进行匹配；
所述判断单元，用于根据匹配结果，判断是否存在异常行为。
7.如权利要求6所述的装置，其特征在于，所述装置还包括：建立单元，用于建立角色行为模式库，所述角色行为模式库包括角色行为准则库和角色行为习惯库。
8.如权利要求7所述的装置，其特征在于，所述匹配单元，具体用于：
从平台日志提取用户实时行为，根据用户角色将所述用户实时行为与角色行为习惯进行匹配，得到第一匹配结果；从所述用户实时行为中监测得到用户的操作特征，根据用户角色将所述操作特征与角色行为准则进行匹配，得到第二匹配结果。
9.如权利要求8所述的装置，其特征在于，所述判断单元，具体用于：当第一匹配结果和/或第二匹配结果为不匹配时，则判断存在异常行为。
10.如权利要求6-9任一所述的装置，其特征在于，所述匹配单元，具体用于按照将用户实时行为与角色行为模式库进行匹配；其中，N＝max[Length(X)，Length(Y)]，-Length(X)≤k≤Length(Y)，函数Equal(i,k)为X(i)和Y(i+k)的比较结果，f值表示用户实时行为与角色行为模式库中数据的匹配程度，f值越大，说明X和Y的匹配程度越高；当f大于预设匹配阈值，则判断用户实时行为与角色行为模式库匹配。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201711366751.5A CN109936548A (zh) | 2017-12-18 | 2017-12-18 | 基于pki平台的异常行为检测方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201711366751.5A CN109936548A (zh) | 2017-12-18 | 2017-12-18 | 基于pki平台的异常行为检测方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN109936548A true CN109936548A (zh) | 2019-06-25 |
Family
ID=66982788
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201711366751.5A Pending CN109936548A (zh) | 2017-12-18 | 2017-12-18 | 基于pki平台的异常行为检测方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN109936548A (zh) |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1588889A (zh) * | 2004-09-24 | 2005-03-02 | 清华大学 | 一种附网存储设备中用户访问行为的异常检测方法 |
| CN102222194A (zh) * | 2011-07-14 | 2011-10-19 | 哈尔滨工业大学 | Linux主机计算环境安全保护的模块及方法 |
| CN103793285A (zh) * | 2012-10-29 | 2014-05-14 | 百度在线网络技术（北京）有限公司 | 一种处理线上异常的方法及平台服务器 |
| US8972325B2 (en) * | 2009-07-01 | 2015-03-03 | Oracle International Corporation | Role based identity tracker |
| CN206332695U (zh) * | 2016-12-29 | 2017-07-14 | 杭州世平信息科技有限公司 | 一种基于用户行为和数据状态的自适应安全防护*** |
| CN107276980A (zh) * | 2017-05-02 | 2017-10-20 | 广东电网有限责任公司信息中心 | 一种基于关联分析的用户异常行为检测方法及*** |
| CN107402957A (zh) * | 2017-06-09 | 2017-11-28 | 全球能源互联网研究院 | 用户行为模式库的构建及用户行为异常检测方法、*** |
-
2017
- 2017-12-18 CN CN201711366751.5A patent/CN109936548A/zh active Pending
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1588889A (zh) * | 2004-09-24 | 2005-03-02 | 清华大学 | 一种附网存储设备中用户访问行为的异常检测方法 |
| US8972325B2 (en) * | 2009-07-01 | 2015-03-03 | Oracle International Corporation | Role based identity tracker |
| CN102222194A (zh) * | 2011-07-14 | 2011-10-19 | 哈尔滨工业大学 | Linux主机计算环境安全保护的模块及方法 |
| CN103793285A (zh) * | 2012-10-29 | 2014-05-14 | 百度在线网络技术（北京）有限公司 | 一种处理线上异常的方法及平台服务器 |
| CN206332695U (zh) * | 2016-12-29 | 2017-07-14 | 杭州世平信息科技有限公司 | 一种基于用户行为和数据状态的自适应安全防护*** |
| CN107276980A (zh) * | 2017-05-02 | 2017-10-20 | 广东电网有限责任公司信息中心 | 一种基于关联分析的用户异常行为检测方法及*** |
| CN107402957A (zh) * | 2017-06-09 | 2017-11-28 | 全球能源互联网研究院 | 用户行为模式库的构建及用户行为异常检测方法、*** |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11087329B2 (en) | Method and apparatus of identifying a transaction risk | |
| CN112787992B (zh) | 一种敏感数据的检测与防护的方法、装置、设备和介质 | |
| US20210034759A1 (en) | Systems and methods for attributing security vulnerabilities to a configuration of a client device | |
| CN111064745B (zh) | 一种基于异常行为探测的自适应反爬方法和*** | |
| CN109446817A (zh) | 一种大数据检测与审计*** | |
| Papamartzivanos et al. | A cloud-based architecture to crowdsource mobile app privacy leaks | |
| CN110602135B (zh) | 网络攻击处理方法、装置以及电子设备 | |
| CN105825130B (zh) | 一种信息安全预警方法及装置 | |
| CN109388949B (zh) | 一种数据安全集中管控方法和*** | |
| CN109639437B (zh) | 基于可信数据源的监管方法及装置、设备和介质 | |
| CN113608907A (zh) | 数据库审计方法、装置、设备、***及存储介质 | |
| CN111368362B (zh) | 基于区块链的建筑模型构件保护方法及*** | |
| CN107800683A (zh) | 一种挖掘恶意ip的方法及装置 | |
| CN109936548A (zh) | 基于pki平台的异常行为检测方法及装置 | |
| CN112565380B (zh) | 一种消防物联网数据接入方法及*** | |
| CN116415236A (zh) | 分布式存储数据安全状态识别与防护方法 | |
| CN115640581A (zh) | 一种数据安全风险评估方法、装置、介质及电子设备 | |
| CN110334514B (zh) | 一种基于可信计算平台验证度量报告的方法及装置 | |
| WO2016180134A1 (zh) | 管理信息安全规范库的方法和装置 | |
| CN111917801A (zh) | 私有云环境下基于Petri网的用户行为认证方法 | |
| CN113032774A (zh) | 异常检测模型的训练方法、装置、设备及计算机存储介质 | |
| CN117290823B (zh) | 一种app智能检测与安全防护方法、计算机设备及介质 | |
| CN117648232B (zh) | 一种应用程序数据监控方法、装置及存储介质 | |
| CN112751828B (zh) | 对网络攻击事件的损失评估方法、装置和电子设备 | |
| CN117354060B (zh) | 一种针对云计算IaaS层漏洞检测方法、***和介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20190625 |
|
| RJ01 | Rejection of invention patent application after publication |