CN107918740A

CN107918740A - 一种敏感数据决策判决方法及系统

Info

Publication number: CN107918740A
Application number: CN201711253859.3A
Authority: CN
Inventors: 魏效征; 王志海; 喻波; 安鹏; 牛立伟
Original assignee: Beijing Wondersoft Technology Co Ltd
Current assignee: Beijing Wondersoft Technology Co Ltd
Priority date: 2017-12-02
Filing date: 2017-12-02
Publication date: 2018-04-17

Abstract

本发明公开一种敏感数据决策判决方法及系统，该系统包括：决策判决装置，包括多个敏感数据判决方法，对待判决文档是否包括敏感数据进行判决；其中，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重；文档输入装置，将待判决文档输入决策判决装置；判决结果确认装置，对决策判决系统形成的判决结果的正确性进行确认，确认的结果包括误报和正常；反馈装置，将误报结果反馈给决策判决装置，重新确定每个敏感数据判决方法在决策判决中所占权重，更新决策判决系统。通过本发明的方案，使得敏感数据识别结果更加准确，减少了误报率和漏报率，使得对于各种类型的文档，都能进行有效的识别判断。

Description

一种敏感数据决策判决方法及系统

技术领域

本发明涉及数据安全领域，具体涉及一种敏感数据决策判决方法及系统。

背景技术

近年来，由于企业内部电子数据的格式及其存储形式的日益多样化，企业敏感数据泄露的风险急剧增加，企业对自身敏感数据的防泄露日益重视。然而，企业文档格式多样，如何发现和辨别敏感数据成为企业面临的主要问题。企业的敏感数据主要体现在数据内容上，因此基于内容的敏感数据识别技术已经成为市场上主流防数据泄露产品DLP的关键技术。基于内容的敏感数据发现技术主要包含

文档格式识别，文档内容提取和文档内容匹配三部分。如何快速准确的实现文档

内容匹配，则成为敏感数据识别技术的关键。

现有的敏感数据内容识别的方法主要是基于关键字和正则表达式的搜索，设置好关键字或者正则表达式的次数阈值，当特定的关键字组或正则表达式出现次数大于阈值时，判断文档是敏感数据。

敏感数据识别的另外方法是基于文件指纹方法，即局部敏感哈希LSH方法，主要是对选定的文档进行局部敏感哈希计算，生成文件指纹。局部敏感HASH方法生成的指纹不会因为文档内容的较小改变而变化，能用于敏感数据文档的保护。但在实际使用中，根据指定文档生成指纹后，要设置相似文档比较时的差异阈值。如果文档相似度阈值大，就用可能产生误报。

目前流行的文档相似度识别方法，还包括向量空间模型方法VSM。向量空间模型方法是指通过特征选择方法，用互信息或卡方检验等方法提取能反应文档特征的关键字。根据选定关键字在文档中的分布情况来判断检测文档和目标文档是否相似，从而判断文档是否敏感。

上述描述的各种敏感数据识别方法，都存在识别过程中的漏报和误报情况，且各种方法有其各自的优点和缺点。如何把各种不同识别方法的信息融合起来，进行多重关联，从而降低文档识别过程中的漏报率和误报率，提高文档识别的准确度，是企业敏感数据防泄漏产品面临的主要挑战。

目前的判决方法主要采用最大值原则，即只要有一种识别方法判定文档属于敏感数据，就总体上判定该文档的敏感数据结论成立。目前提高识别准确度的方法主要是提高单种识别方法的准确度。在挑选关键字，设计正则表达式，或者在设置文档文本向量时，考虑得更仔细，根据实际条件更改匹配阈值，从而实现企业需要。

现有技术存在以下缺点：

(1)基于单一识别技术的过程中，漏报率和误报率呈现跷跷板效应，实际上很难单方向降低漏报率或误报率。

(2)最大值原则无法把多个检测方法的结论综合关联起来。

(3)不同识别方法，在不同的文档类型和策略语境下各有优势劣势，简单的最大值原则无法融合各个方法的优缺点。

现有技术不能使多个文档识别方法融合起来。通过引入数据融合技术，我们能将多个文档识别方法的优缺点进行互补，对多个识别方法的结论进行综合，从而得到更准确的识别结果。

首先，关键字正则识别方法，文件指纹识别方法，VSM向量空间模型识别方法是对适合其方法本身的文档类型识别准确度高，比如vsm向量空间模型很难对数字类的报表文件进行高准确度的识别，关键字正则识别方法在检测文本文档时，误报率很难控制。只有把各种识别方法融合起来，才能保证敏感数据识别技术的适应性更好。

其次，有些情况下对同一文档不同的识别方法会给出不同的结论，需要根据各个识别方法的历史经验来决策判断该文档是否敏感，基于数据融合的技术手段能解决这个问题。

再次，决策系统确认多个方法一致判断文档属于敏感文件后，置信度远大于单个方法的判定结果，为敏感数据判定后的事件上报和响应管理能提供充分证据，从而提高防数据防泄露产品的响应效率。

发明内容

为解决上述技术问题，本发明提供了一种敏感数据决策判决方法，该方法包括以下步骤：

(1)根据多个敏感数据判决方法，形成决策判决系统；

其中，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重；

(2)将待判决文档输入决策判决系统；

(3)当所述多个敏感数据判决方法对待判决文档的判决结果一致时，直接跳转到步骤(5)，否则跳转到步骤(4)；

(4)对决策判决系统形成的判决结果的正确性进行确认，确认的结果包括误报和正常，将误报结果反馈给决策判决系统，重新确定每个敏感数据判决方法在决策判决中所占权重，更新决策判决系统；

(5)跳转到步骤(2)。

根据本发明的实施例，优选的，所述多个敏感数据判决方法包括：关键词敏感数据判决方法、正则表达式敏感数据判决方法、文件指纹敏感数据判决方法、智能分类敏感数据判决方法，上述方法对于不同的文档，通过正向和反向两个角度，可以形成多个判决依据。

根据本发明的实施例，优选的，所述决策判决系统采用贝叶斯概率算法，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重，具体如下：

P(Y)＝P(Xi)*P(Y|Xi)，

所述P(Y)表示判决结果，P(Xi)表示每个敏感数据判决方法的历史正确率，P(Y|Xi)表示每个敏感数据判决方法所占权重。

根据本发明的实施例，优选的，在每个敏感数据判决方法的历史正确值为零的条件下，采用拉普拉斯平滑法对决策判决结果进行处理。

根据本发明的实施例，优选的，设置一个判决阈值，当决策判决结果大于该判决阈值时，判决待判决文档包含敏感数据。

为解决上述技术问题，本发明提供了一种敏感数据决策判决系统，该系统包括：

决策判决装置，包括多个敏感数据判决方法，对待判决文档是否包括敏感数据进行判决；

文档输入装置，将待判决文档输入决策判决装置；

判决结果确认装置，对决策判决系统形成的判决结果的正确性进行确认，确认的结果包括误报和正常；

反馈装置，将误报结果反馈给决策判决装置，重新确定每个敏感数据判决方法在决策判决中所占权重，更新决策判决系统。

P(Y)＝P(Xi)*P(Y|Xi)，

为解决上述技术问题，本发明提供了一种计算机存储介质，其包括计算机程序指令，当执行该计算机程序指令时，执行上述方法之一。

本发明的技术方案取得了以下技术效果：

1、保证多种识别方法的识别结果得到了关联，使得敏感数据识别结果更加准确，减少了误报率和漏报率。

2、多种识别方法的融合，使得对于各种类型的文档，都能进行有效的识别判断，扩展了单个方法的适用性。

附图说明

图1本发明的决策判决系统组成图

具体实施方式

DLP：Data leakage prevention，是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。

VSM：Vector Space Model，向量空间模型，把对文本内容的处理简化为向量空间中的向量运算，并且它以空间上的相似度表达语义的相似度，直观易懂。当文档被表示为文档空间的向量，就可以通过计算向量之间的相似性来度量文档间的相似性。

LSH：Locality-sensitive hashing，局部敏感哈希，它是用hash的方法把数据从原空间哈希到一个新的空间中，使得在原始空间的相似的数据，在新的空间中也相似的概率很大，而在原始空间的不相似的数据，在新的空间中相似的概率很小。通过哈希方法，缩小两两相似(top)计算的范围，或缩小计算中item的维数，从而达到快速计算相似度的方法。数据融合：Data fusion，对各种信息源给出的有用信息进行综合、过滤、相关及合成，以生成更加准确的决策。

文件指纹：安装在计算机上的操作系统，供用户自由使用，可以不进行磁盘加密。贝叶斯分析方法：一种计算假设概率的方法，这种方法是基于假设的先验概率、给定假设下观察到不同数据的概率以及观察到的数据本身而得出的。

<决策判决方法>

本发明提供了一种敏感数据决策判决方法，该方法包括以下步骤：

(1)根据多个敏感数据判决方法，形成决策判决系统；

(2)将待判决文档输入决策判决系统；

(5)跳转到步骤(2)。

所述多个敏感数据判决方法包括：关键词敏感数据判决方法、正则表达式敏感数据判决方法、文件指纹敏感数据判决方法、智能分类敏感数据判决方法，上述方法对于不同的文档，通过正向和反向两个角度，可以形成多个判决依据。

所述决策判决系统采用贝叶斯概率算法，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重，具体如下：

P(Y)＝P(Xi)*P(Y|Xi)，

在每个敏感数据判决方法的历史正确值为零的条件下，采用拉普拉斯平滑法对决策判决结果进行处理。

设置一个判决阈值，当决策判决结果大于该判决阈值时，判决待判决文档包含敏感数据。

<决策判决系统>

本发明提供了一种敏感数据决策判决系统，该系统包括：

文档输入装置，将待判决文档输入决策判决装置；

P(Y)＝P(Xi)*P(Y|Xi)，

<具体实施例>

如图1，该发明包括：

1)策略的维度描述

策略一般包含关键词、正则表达式、文件指纹、智能分类四个方法。以上四个方法对于不同的文档，通过正向和反向两个角度，可以形成多个判决依据。其中，关键词和正则表达式是准确匹配，文件指纹是文件DNA，智能分类是判定文档的类别。如果一个文档，策略的四个方面都命中，该文档是敏感数据的置信度肯定很大。如果一个文档，策略的四个方面给出的结论各异，就应通过决策系统进行判决。另外，策略的四个方面可以组合形成新的规则，多个规则在实际使用中，也会面临相同的决策问题。

2)决策系统

本发明所描述的决策系统优选贝叶斯方法(朴素贝叶斯决策方法)。当策略的各个维度给出的判决结果不一致时，根据每个维度在之前判定中的历史值，来计算事中权重。

P(Y)＝P(Xi)*P(Y|Xi)，

在初始点，或者每个维度的历史正确值为零的条件下，为了保证贝叶斯概率计算不出现奇异点，采用拉普拉斯平滑法进行处理。

3)反馈更新

某个文档产生安全事件后，管理员会对每个事件的正确性进行确认。确认的结果包括误报和正常。误报结果反馈给决策系统，，这些误差结果会通过反馈系统输入给权重计算环节，从而优化决策系统。下一个文档审计过程开始后，决策系统会根据新的参数进行确定。

某金融企业需要防止月度工资报表外发，单纯依靠关键字和正则表达式都容易产生误报。制定一个包含关键词、正则表达式、智能分类、文件指纹等的决策系统，能够有效判定月度工资报表。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims

1.一种敏感数据决策判决方法，该方法包括以下步骤：

(1)根据多个敏感数据判决方法，形成决策判决系统；

(2)将待判决文档输入决策判决系统；

(5)跳转到步骤(2)。

2.根据权利要求1所述的方法，所述多个敏感数据判决方法包括：关键词敏感数据判决方法、正则表达式敏感数据判决方法、文件指纹敏感数据判决方法、智能分类敏感数据判决方法，上述方法对于不同的文档，通过正向和反向两个角度，可以形成多个判决依据。

3.根据权利要求1所述的方法，所述决策判决系统采用贝叶斯概率算法，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重，具体如下：

P(Y)＝P(X_i)*P(Y|X_i)，

所述P(Y)表示判决结果，P(X_i)表示每个敏感数据判决方法的历史正确率，P(Y|X_i)表示每个敏感数据判决方法所占权重。

4.根据权利要求1所述的方法，在每个敏感数据判决方法的历史正确值为零的条件下，采用拉普拉斯平滑法对决策判决结果进行处理。

5.根据权利要求1所述的方法，设置一个判决阈值，当决策判决结果大于该判决阈值时，判决待判决文档包含敏感数据。

6.一种敏感数据决策判决系统，该系统包括：

文档输入装置，将待判决文档输入决策判决装置；

7.根据权利要求6所述的系统，所述多个敏感数据判决方法包括：关键词敏感数据判决方法、正则表达式敏感数据判决方法、文件指纹敏感数据判决方法、智能分类敏感数据判决方法，上述方法对于不同的文档，通过正向和反向两个角度，可以形成多个判决依据。

8.根据权利要求6所述的方法，所述决策判决系统采用贝叶斯概率算法，根据每个敏感数据判决方法的历史判决情况，确定其在决策判决中所占权重，具体如下：

P(Y)＝P(X_i)*P(Y|X_i)，

9.根据权利要求6所述的方法，在每个敏感数据判决方法的历史正确值为零的条件下，采用拉普拉斯平滑法对决策判决结果进行处理。

10.一种计算机存储介质，其包括计算机程序指令，当执行该计算机程序指令时，执行权利要求1-5之一的所述方法。