CN120200864A 一种可信数据空间的安全防护系统

(71)申请人北京中安星云软件技术有限公司地址100085北京市海淀区创业路8号5号楼4层5-6-401(72)发明人赵卫国(74)专利代理机构北京原创佳华知识产权代理事务所(普通合伙)44556专利代理师莫英妍(54)发明名称本发明涉及数据安全检测技术领域，尤其涉及一种可信数据空间的安全防护系统，包括：通过行为分析模块获取用户的历史访问信息，对历史访问信息中的操作行为进行分析，确定用户的惯性行为和偶然行为，同时，再对用户实时的行为数据进行跟踪和分析，将用户实时的行为数据分为常规行为、突发行为以及反常行为，获取常规行为、突发行为以及反常行为的操作时长以及信息关联值，并对操作时长和信息关联值进行计算，确定用户本次的行为风险值，并基于行为风险值，确定不同级别的预警信号；本发明能够更科学、准确地衡量用户行为带来的风险程度，为风险预警提供了更可靠的数据支持。2数据处理模块，用于将用户实时的行为数据分别与惯性S1:提取用户的历史访问信息，将历史访问信息按照完整的访问过程划分为若干个行按照目标内容的关键行为参数对每个行为信息段进行数据提取，得到行为表现数据B-j,i在目标内容中选定一个关键行为参数j,基于所有的行为数据段，对关键行为参数j的3基于公式得到目标内容的综合异常率NY,p表示目标内容中关键行为参将所有单项内容依次作为目标内容，计算每个单项内容的综合异常率NY,之后将综合SS2:再分别对常规行为、突发行为以及反常行为的独立操作时长进行统同时再获取反常行为对应的操作信息以及常规行为对应的操作信息，利用关联分析算之后利用公式计算得到用户的行为风险值Fx,其中，β1为突发事件的预4信息由信息采集模块进行采集，并传输至信息验证模块。5技术领域[0001]本发明涉及数据安全检测技术领域，尤其涉及一种可信数据空间的安全防护系统。背景技术[0002]可信数据空间是在现有信息网络上搭建数据集聚、共享、流通和应用的分布式关键数据基础设施，通过体系化的技术部署确保数据流通协议的确认、履行和维护，解决数据[0003]现有技术CN106209850A公开了基于可信计算的大数据信息网络自适应安全防护系统，该防护系统在数据采集、数据储存和恢复、攻击响应等基础上构建一种可信系统，通过全新的模块组合和创新的算法，成功将大数据分析和可信技术用到了大数据信息网络自适应安全防护系统中，该系统从基于可信的数据采集、数据储存和恢复开始，攻击响应单元[0004]但在用户访问行为的识别和分析方面，大多数系统只能进行简单的身份验证，无法深入了解用户的操作行为，难以区分正常行为和异常行为，这使得恶意用户有可能利用发明内容[0005]本发明的目的是为了解决背景技术中的问题，而提出的一种可信数据空间的安全防护系统。[0006]为了实现上述目的，本发明采用了如下技术方案：一种可信数据空间的安全防护系统，包括：行为分析模块，用于识别访问信号，并获取用户的历史访问信息，对历史访问信息中用户的操作行为进行识别和分析，进而将操作行为分为惯性行为和偶然行为，并传输至数据处理模块；行为跟踪模块，用于对用户的操作行为进行实时跟踪和采集，得到实时的行为数数据处理模块，用于将用户实时的行为数据分别与惯性行为和偶然行为进行识别，确定常规行为、突发行为和反常行为，再依次识别行为数据中常规行为、突发行为和反常行为对应的操作时长，并对操作时长进行处理，确定行为风险值，之后数据处理模块将行为风险值传输至风险预警模块；风险预警模块，用于对行为风险值进行识别，确定预警信号，同时基于预警信号，生成对应的声光提醒信息，其中，预警信号包括[0007]作为本发明的进一步方案，对历史访问信息中用户的操作行为进行识别和分析的方法包括：S1:提取用户的历史访问信息，将历史访问信息按照完整的访问过程划分为若干6个行为信息段，其中，完整的访问过程指以进入可信数据空间为起始时间点，以退出可信数据空间为结束时间点，起始时间点到结束时间点之间访问过程；S2:获取用户的行为信息段，依次对每个行为信息段中操作行为进行识别，其中，操作行为包括使用页面、点击内容、使用功能以将操作行为按照行为内容进行分类，将相同的操作行为标记为单项内容，此时，操作行为被划分为若干个单项内容；S3:任意选取一个单项内容，并标记为目标内容，获取目标内容的关键行为参数，同时按照目标内容的关键行为参数对每个行为信息段进行数据提取，得到行为表现数据B-j,i表示不同的行为信息段，j表示不同的关键行为参数，其中，关键行为参数指对目标内容进行操作时能够反映用户行为特征的参数；S4:对行为信息段中的表现数据进行数据处理，得到目标内容的综合异常率，再基于综合异常率，确定惯性行为和偶然行为。[0008]作为本发明的进一步方案，惯性行为和偶然行为的确定方法包括：在目标内容中选定一个关键行为参数j,基于所有的行为数据段，对关键行为参数j的表现数据计算累计数值L,进一步的，,n表示用户的历史访问信息中存在的行为数据段总数量；得到总平均基数Hz,和特征平均基数Hx,,其中，m表示关键行为参数j出现的次数；户的使用频率越小，数据的异常程度越高；基于公式得到目标内容的综合异常率NY,p表示目标内容中关键行为参数的总数量，α为关键行为参数j的比例系数，且将所有单项内容依次作为目标内容，计算每个单项内容的综合异常率NY,之后将综合异常率NY与异常阈值X2进行比较，若NY<X2时，则将对应的单项内容标记为用户的惯性行为，反之，若NY≥X2,则将对应的单项内容标记为用户的偶然行为。[0009]作为本发明的进一步方案，当用户在进入可信数据空间后，若检测到空白行为时，对空白行为进行计时处理，当空白行为的连续时长超过预设时长X1时，此时将用户的访问行为直接标记为退出可信数据空间状态，即以检测到空白行为的时间点标记为结束时间点，反之，当空白行为的连续时长小于预设时长X1时，将此空白时长设置为用户的操作行为。[0010]作为本发明的进一步方案，在一次行为数据段中，若目标内容的关键行为参数j存在，则将此关键行为参数标记为存在状态，此时，m为行为数据段中关键行为参数j存在状态[0011]作为本发明的进一步方案，行为风险值的确定方法包括：7SS1:获取用户实时的行为数据，对实时的行为数据中的每个操作动作进行识别，将行为风险值Fx分别与第一风险阈值D1和第二风险阈值D2进行对比，若Fx<D1本发明通过行为分析模块获取用户的历史访问信息，对历史访问信息中的操作行为进行分析，确定用户的惯性行为和偶然行为，同时，再对用户实时的行为数据进行跟踪和分析，将用户实时的行为数据分为常规行为、突发行为以及反常行为，对用户行为的全方位、实时监控，能及时捕捉到存在的异常行为，有效提升了系统对潜在安全威胁的发现能本发明通过获取常规行为、突发行为以及反常行为的操作时长以及信息关联值，附图说明8[0018]参照图1,一种可信数据空间的安全防护系统，包括信息采集模块、信息验证模块、动作分析模块、行为跟踪模块、数据处理模块以及风险预警模块；信息采集模块用于对可信数据空间访问的用户进行身份信息采集，并将所采集的身份信息传输至信息验证模块，其中，身份信息包括信息验证模块用于获取用户的身份信息，并对身份信息进行条件验证，若验证成信号，并传输至用户的终端设备中，同时拒绝用户对可信数据空间的访问请求；行为分析模块用于识别访问信号，当识别到访问信号时，获取实时访问的用户的身份信息，并基于身份信息，获取用户的历史访问信息，之后对历史访问信息进行惯性分析，确定用户的惯性行为，具体的惯性行为的确S1:提取用户的历史访问信息，将历史访问信息按照完整的访问过程划分为若干个行为信息段，其中，完整的访问过程指以进入可信数据空间为起始时间点，以退出可信数据空间为结束时间点，起始时间点到结束时间点之间访问过程；需要进一步说明的是，当用户在进入可信数据空间后，若检测到空白行为时，对空白行为进行计时处理，当空白行为的连续时长超过预设时长X1时，此时将用户的访问行为直接标记为退出可信数据空间状态，即以检测到空白行为的时间点标记为结束时间点，反之，当空白行为的连续时长小于预设时长X1时，将此空白时长设置为用户的操作行为；进一步的，预设时长X1的具体值由本领域技术人员根据大数据经验进行设置；S2:获取用户的行为信息段，依次对每个行为信息段中操作行为进行识别，其中，操作行为包括使用页面、点击内容、使用功能以及操作时间等；之后将操作行为按照行为内容进行分类，将相同的操作行为标记为单项内容，例如，存在使用页面1、使用页面2以及使用页面3,将使用页面1作为独立的一个单项内容标记，将使用页面2重新作为一个单项内容并进行标记，将使用页面3继续重新作为一个单项S3:任意选取一个单项内容，并标记为目标内容，获取目标内容的关键行为参数，同时按照目标内容的关键行为参数对每个行为信息段进行数据提取，得到行为表现数据B-j,i表示不同的行为信息段，j表示不同的关键行为参数；进一步的，关键行为参数指对目标内容进行操作时能够反映用户行为特征的参包括使用次数和使用顺序等，对于操作时间，关键行为参数包括操作时间间隔等；S4:在目标内容中选定一个关键行为参数j,基于所有的行为数据段，对关键行为参数j的表现数据计算累计数值L,进一步的，,n表示用户的历史访问信息中存在的行为数据段总数量；之后分别利用公式禾得到总平均基数Hz和特征平均基数Hx,,其需要进一步说明的是，在一次行为数据段中，若目标内容的关键行为参数j存在，则将此关键行为参数标记为存在状态，此时，m为行为数据段中关键行为参数j存在状态的9再基于公式得到目标内容的综合异常率NY,p表示目标内容中关键S5:将所有单项内容依次作为目标内容，并按照上述步骤S3至S4中的方法进行处行为跟踪模块用于对用户的操作行为进行实时跟踪和采集，得到实时的行为数数据处理模块用于获取用户实时的行为数据，将实SS1:获取用户实时的行为数据，对实时的行为数据中的每个操作动作进行识别，之后利用公式算得到用户的行为风险值Fx,其中，β1为突发事件之后数据处理模块将用户的行为风险值传输至风险预警模块；风险预警模块用于获取用户实时的行为风险值Fx,并基于行为风险值Fx,确定预法包括：将行为风险值Fx分别与第一风险阈值D1和第二风险阈值D2进行对比，若Fx<D1要进一步说明的是，D1>D2