公共信息平臺中的數(shù)據(jù)安全異常監(jiān)測方法及系統(tǒng)的制作方法
【技術領域】
[0001] 本發(fā)明涉及數(shù)據(jù)安全領域，特別是指一種公共信息平臺中的數(shù)據(jù)安全異常監(jiān)測方 法及系統(tǒng)。
【背景技術】
[0002] 傳統(tǒng)的防火墻等技術已經(jīng)存在了二、三十年，雖然一直在改變，但本質(zhì)和架構沒 變，未來將無法適應大數(shù)據(jù)環(huán)境下的安全要求。隨著云計算、大數(shù)據(jù)等應用模式的出現(xiàn)，安 全的架構也將發(fā)生巨大的變化。例如，用戶都在使用智能設備，所有的數(shù)據(jù)都存到云端，所 有信息做到集中存儲，如何保證這些信息的安全使用，這就要靠大數(shù)據(jù)分析，靠機器學習建 模。因此，以大數(shù)據(jù)的收集、處理與分析技術為驅(qū)動，幫助企業(yè)實時、自動偵測已經(jīng)發(fā)生或即 將發(fā)生的數(shù)據(jù)安全存在的內(nèi)部與外部安全威脅，提高安全事件處理的效率，最大限度的保 護企業(yè)信息資產(chǎn)安全是未來發(fā)展趨勢。
[0003] 廣東電網(wǎng)有限責任公司信息中心的鄒洪、錢揚、陳銳忠等發(fā)明的"一種數(shù)據(jù)安全管 控方法及平臺"，它給出：根據(jù)數(shù)據(jù)類別和密級對數(shù)據(jù)進行劃分(S1);根據(jù)數(shù)據(jù)劃分結果對 數(shù)據(jù)的加密、身份認證、訪問控制、安全審計以及跟蹤與取證分配相應的安全防護工具并進 行安全防護(S2);收集安全防護工具產(chǎn)生的日志信息，并進行歸一化處理，建立數(shù)據(jù)的全生 命周期的安全視圖（S3)。
[0004] 該專利和方案具有很大的局限性，主要在于：（1)實用于針對特定單位、特定系統(tǒng)， 數(shù)據(jù)變化較小，數(shù)據(jù)屬性、類別和密級容易定義的信息系統(tǒng)，進行安全管控；（2)劃分數(shù)據(jù)類 別和密級的主要目的是進行安全保護，建立安全視圖的主要方式是根據(jù)安全日志；（3)應用 加密等傳統(tǒng)手段難以適用于開放的公共平臺的數(shù)據(jù)安全保護中。
[0005] 企業(yè)希望借助移動、云計算和大數(shù)據(jù)等新興技術，在新常態(tài)下謀求新的發(fā)展機遇。 但是，在企業(yè)希望獲得快速發(fā)展的同時，一直被安全問題困擾，尤其是更加隱蔽的安全手段 (例如，APT攻擊等），比病毒、木馬等更具威脅性。傳統(tǒng)的防火墻、殺毒軟件、IDS所很難發(fā)現(xiàn) 這些安全威脅，特別是內(nèi)部人員對核心資源的異常訪問、異常竊取。在當今，很多業(yè)界同行 都意識到這個問題，開始思索新的解決方案。
[0006] 大數(shù)據(jù)時代的到來，讓不少行業(yè)已經(jīng)發(fā)現(xiàn)了自身數(shù)據(jù)的巨大內(nèi)在價值:它們能揭 示傳統(tǒng)手段所看不到的新變化趨勢，如深入理解消費者行為、廣告效果、業(yè)務趨勢等，而在 企業(yè)IT市場卻鮮有標桿案例。隨著數(shù)據(jù)價值的日益提升，針對數(shù)據(jù)的安全事件也在呈快速 的上升趨勢。僅在2014年，全球就發(fā)生了多起信息數(shù)據(jù)遭攻擊與泄露事件，如JPMorgan 7600萬用戶受影響、美國家得寶5600萬用戶受影響、攜程網(wǎng)用戶信息泄露等，這些網(wǎng)絡攻擊 事件也人們更加清楚的認識到數(shù)據(jù)安全保護的重要意義。也有部分企業(yè)開始從事這方面的 研究，例如:廣東電網(wǎng)有限責任公司信息中心的鄒洪、錢揚、陳銳忠等發(fā)明的"一種數(shù)據(jù)安全 管控方法及平臺"等，這些發(fā)明都只適用于特定的環(huán)境，很難適應公共信息平臺中的數(shù)據(jù)安 全保護，主要體現(xiàn)在以下幾個方面：
[0007] 1.采用加密等防范手段來保證開放平臺的數(shù)據(jù)安全不可行，因為這不僅會帶來極 大系統(tǒng)開銷，影響用戶的體驗感，而且開放環(huán)境下用戶密鑰管理困難。因此，以監(jiān)控代替加 密等傳統(tǒng)手段是未來開放的大數(shù)據(jù)平臺中保護數(shù)據(jù)安全的一種行之有效的手段；
[0008] 2.公共信息平臺（例如，智慧城市信息處理平臺等）中很難進行數(shù)據(jù)類別的識別， 因此應用現(xiàn)有方法很難將分類分級思想落實在公共信息平臺中；
[0009] 3.在公共信息平臺中，數(shù)據(jù)量非常大，且變化頻繁，現(xiàn)有的算法難以實時響應； [0010] 4.現(xiàn)有的方法中，數(shù)據(jù)分類分級主要應用于數(shù)據(jù)的細粒度保護中，很少將其用于 數(shù)據(jù)的安全異常訪問識別中；
[0011]當前，數(shù)據(jù)安全異常監(jiān)測的主要方法是從日志中去分析異常，很少將數(shù)據(jù)的訪問 行為、業(yè)務操作、日志等進行關聯(lián)分析，難以準確識別APT等復雜攻擊。
[0012] 數(shù)據(jù)是智慧城市信息處理平臺等公共信息平臺的核心資產(chǎn)，關鍵保護對象，本專 利采用異常行為監(jiān)控方式，構建數(shù)據(jù)安全異常行為監(jiān)控系統(tǒng)，防止數(shù)據(jù)的流失。需要解決以 下幾個技術難題：
[0013] 1)在開放公共信息平臺中，數(shù)據(jù)量非常大且是不斷變化的，如何快速的識別用戶 訪問行為是否存在異常是非常困難的；
[0014] 2)在大數(shù)據(jù)環(huán)境中，有些數(shù)據(jù)的安全屬性是顯性的，有些數(shù)據(jù)的安全屬性是隱性 的(例如，單個數(shù)據(jù)是非敏感的，但多個數(shù)據(jù)聚合在一起就變?yōu)槊舾袛?shù)據(jù)），如何識別并阻止 隱性敏感數(shù)據(jù)泄露也是大數(shù)據(jù)安全異常行為監(jiān)控的一個難題；
[0015] 3)APT攻擊的識別和防范都是當前信息安全的一個難題，如何應用大數(shù)據(jù)分析方 法識別針對數(shù)據(jù)的APT也是本專利需要解決的一個難題。

【發(fā)明內(nèi)容】

[0016] 本發(fā)明提出一種公共信息平臺中的數(shù)據(jù)安全異常監(jiān)測方法及系統(tǒng)，能夠?qū)?shù)據(jù)的 操作行為進行逐級分析，深度逐級挖掘其異常行為。
[0017] 本發(fā)明的技術方案是這樣實現(xiàn)的：一種公共信息平臺中的數(shù)據(jù)安全異常監(jiān)測方法 及系統(tǒng)，包括負責數(shù)據(jù)采集的數(shù)據(jù)層、進行三級數(shù)據(jù)分析的分析層以及進行可視化展示及 威脅預測的展示層;所述數(shù)據(jù)層的數(shù)據(jù)采集為多源數(shù)據(jù)采集方法，具體包括a.旁路分流對 數(shù)據(jù)的操作行為，進行協(xié)議分析得到其行為數(shù)據(jù)b.獲取系統(tǒng)日志、設備日志、應用日志和數(shù) 據(jù)庫日志等;c .同時采集內(nèi)網(wǎng)安全日志信息;所述分析層采取三級分析方式對數(shù)據(jù)進行不 同粒度的分析;所述展示層主要然后運用可視化技術，對安全威脅進行可視化展示，幫助決 策者直觀了解系統(tǒng)的安全威脅趨勢和動態(tài)，執(zhí)行人員也可以通過多層下拉表單來了解具體 細節(jié)。
[0018] 作為優(yōu)選，所述多源數(shù)據(jù)采集方法中，進行日志收集的設備為日志采集服務器，其 主要使用Syslog4j、JDBC接口進行收集，日志采集服務器還進行日志規(guī)范化處理、審計對象 管理、日志查詢?nèi)蝿铡?br>[0019] 作為優(yōu)選，所述三級數(shù)據(jù)分析包括d.基于規(guī)則的流式數(shù)據(jù)異常檢測方法，快速檢 測訪問行為是否存在異常;e.將操作數(shù)據(jù)進行關聯(lián)分析，防止隱性敏感數(shù)據(jù)泄露;f.將歷史 數(shù)據(jù)和當前數(shù)據(jù)進行深度融合，深度挖掘其是否存在APT等攻擊方式。
[0020] 作為優(yōu)選，所述步驟d中，采用基于流式數(shù)據(jù)快速聚類方法，分為快速計算、數(shù)據(jù)概 念漂移檢測、聚類三個模塊;快速計算模塊首先進行數(shù)據(jù)流數(shù)據(jù)過濾，然后進行數(shù)據(jù)特征的 抽取，最后將數(shù)據(jù)快速聚類;數(shù)據(jù)概念漂移檢測模塊負責對數(shù)據(jù)進行概念漂移的分析和檢 測，通過對快速計算層提供的中間數(shù)據(jù)進行相關計算，進而判斷數(shù)據(jù)是否發(fā)生概念漂移，進 而觸發(fā)聚類層的聚類操作并提供相應的數(shù)據(jù)參數(shù);聚類模塊，框架中處理聚類的一個核心 模塊，其實被動式觸發(fā)型聚類模塊。只有在被觸發(fā)時候，利用前面的中間的結果和相關的參 數(shù)信息進行精細化的正式聚類計算，并在執(zhí)行聚類后返回合適的聚類結果。
[0021] 作為優(yōu)選，所述步驟e中，將把相關數(shù)據(jù)進行深度融合分析，挖掘系統(tǒng)是否存在隱 含隱私泄露的情況發(fā)生，如果存在隱性敏感泄露路徑，將該路徑中的敏感數(shù)據(jù)進行匿名處 理，防止隱性敏感泄露;采取局部鞅差方法對隱性敏感的涌現(xiàn)進行發(fā)現(xiàn)，并通過定義有限停 時的隨機過程，在有限的時間內(nèi)解決大規(guī)模數(shù)據(jù)的隱性敏感甄別和控制優(yōu)化問題，當檢測 到系統(tǒng)存在隱性敏感信息泄露時，對隱性敏感信息進行匿名處理，防止再度泄露。
[0022] 作為優(yōu)選，所述可視化展示，具體為通過對日志、操作行為等數(shù)據(jù)進行提取分析和 統(tǒng)計，對數(shù)據(jù)按照一定的算法原則進行圖形元素的屬性計算，然后將其顯示，并結合用戶的 參數(shù)調(diào)節(jié)，對顯示模型效果可以進行各種調(diào)整，以便發(fā)現(xiàn)網(wǎng)絡數(shù)據(jù)詳盡的信息;可視化展示 子系統(tǒng)分為四個模塊，分別為:數(shù)據(jù)提取統(tǒng)計模塊、節(jié)點坐標計算模塊、圖形顯示模塊和參 數(shù)調(diào)整模塊。
[0023]作為優(yōu)選，所述數(shù)據(jù)統(tǒng)計模塊的目的是對原始數(shù)據(jù)進行的初步統(tǒng)計分析，采用哈 希表進行存儲，哈希表中關鍵字Key采用字符串形式，字符串由源IP、操作主體、證據(jù)鏈以及 操作時間四項組成，把這四項作為一個新建元素插入到哈希表中，每一個元素在將來的圖 形化表示中都是一個節(jié)點，表示證據(jù)鏈之間的操作關系;Key對應的值表示該次連接通信活 動中的數(shù)據(jù)總量。
[0024]作為優(yōu)選，所述節(jié)點坐標計算模塊采用IP地址、行