CN108011881A - 一种基于自适应感知的敏感数据缓慢泄露检测方法及系统 - Google Patents

Abstract

本发明公开了一种基于自适应感知的敏感数据缓慢泄露检测方法及系统，该方法包括以下步骤：检测待发送邮件是否包含敏感数据；判断邮件发送用户的参数统计分布方差是否超过方差阈值，如果是，则产生安全事件告警，通知管理员。通过本发明的技术方案，可以提高识别敏感数据缓慢泄露的准确程度，且易于实现，不需要人工去指定时间间隔和外发邮件数量的阈值。能有效识别企业中存在的敏感数据的外泄行为，有力保障企业敏感数据的安全管控。

Description

一种基于自适应感知的敏感数据缓慢泄露检测方法及系统

技术领域

本发明涉及数据安全领域，具体涉及一种基于自适应感知的敏感数据缓慢泄露检测方法及系统。

背景技术

随着大数据技术和人工智能技术的兴起，数据资产的重要性越来越被理解，通过数据关联或者智能挖掘就能产生极大的商业利益。特别是企业的客户信息数据或者个人隐私数据，其价值日益增高，企业对敏感数据的管控也日益严格。然而，商业利益驱动下，总有企业员工有意将企业的敏感数据通过新手段新方法发送到企业外部。数据缓慢泄露或者零星式泄露，正是这样的情景模式。

数据缓慢泄露，是指某些企业员工为了规避企业的数据管控措施，将涉及敏感信息的文档拆分成多个文档多次发出。有些类型数据如果一次性发出，一定会触发企业数据管控的阈值，但经拆分后分批次发出，都不会触发企业数据安全管控的阈值，往往不容易被发现。

现有技术中公开了一种数据泄露侦测方法，该方法包括：获取用户数据对应的用户编号，在所述用户编号中按预设比例设置警示数字，其中，每一用户数据对应一个用户编号；侦测触发所述警示数字的触发指令，根据所述触发指令计算所述警示数字被触发的个数；根据所述警示数字被触发的个数，按照预设公式计算出所述用户数据中被恶意分子非法窃取而泄露的数据量。

上述现有技术存在以下缺点：

(1)上述专利所用方法按预设比例设置警示数字，预设比例在实际应用中很难决定。

(2)按照预设公式计算所述用户数据中被而恶意非法窃取泄露的数据量，预设公式也很难在实际过程实现。

(3)检测过程以侦测触发指令为内容，不是以常用的内容特征为检测对象，使用范围限制多。

发明内容

为解决上述技术问题，本发明提供了一种基于自适应感知的敏感数据缓慢泄露检测方法，其特征在于，该方法包括以下步骤：

1)检测待发送邮件是否包含敏感数据，如果是则跳转到步骤2)，否则跳转到步骤4)；

2)判断邮件发送用户的参数统计分布方差是否超过方差阈值，如果是，则跳转到步骤3)，否则跳转到步骤4)；

3)产生安全事件告警，通知管理员；

4)结束。

根据本发明的实施例，优选的，所述步骤1)之前还包括以下步骤：

将待检测文本文件或文本数据流统一转换为标准文档格式；

对转换后的标准文档依据匹配规则记录敏感数据。

根据本发明的实施例，优选的，所述步骤2)的参数分布方差包括：

单位时间段内用户的邮件发送时间间隔统计分布方差和/或邮件发送数量统计分布方差。

根据本发明的实施例，优选的，所述单位时间段按一天时间、一周或一月计算。

根据本发明的实施例，优选的，所述统计分布符合正态分布，所述方差是指该正态分布的方差，所述方差阈值通过统计企业邮件发送用户的参数统计分布方差的平均值决定，或者由管理员根据需要设定。

为解决上述技术问题，本发明提供了一种基于自适应感知的敏感数据缓慢泄露检测系统，其特征在于，该系统包括：

内容匹配模块，包括：

内容扫描引擎，检测待发送邮件是否包含敏感数据；

预警模块，判断邮件发送用户的参数统计分布方差是否超过方差阈值，如果超过方差阈值，产生安全事件告警，通知管理员；

辨识模块，包括：

外发数据分析模块，统计分析邮件发送用户的参数统计分布类型；

参数辨识模块，识别邮件发送用户的参数类型及数量；

阈值计算模块，计算邮件发送用户的参数统计分布的方差阈值。

根据本发明的实施例，优选的，该系统还包括：

文档转换模块，将待检测文本文件或文本数据流统一转换为标准文档格式；

敏感数据记录模块，对转换后的标准文档依据匹配规则记录敏感数据。

根据本发明的实施例，优选的，外发数据分析模块，统计分析邮件发送用户单位时间段内用户的邮件发送时间间隔统计分布类型和/或邮件发送数量统计分布类型；

参数辨识模块，识别邮件发送用户单位时间段内用户的邮件发送时间间隔数量和/或邮件发送数量；

阈值计算模块，计算单位时间段内用户的邮件发送时间间隔统计分布方差阈值和/或邮件发送数量统计分布方差阈值。

9根据本发明的实施例，优选的，所述统计分布符合正态分布，所述方差是指该正态分布的方差，所述方差阈值通过统计企业邮件发送用户的参数统计分布方差的平均值决定，或者由管理员根据需要设定。

为解决上述技术问题，本发明提供了一种计算机可读存储介质，其特征在于，该介质包括计算机程序指令，通过执行所述计算机程序执行实现上述之一的方法。

采用本发明的技术方案，可以提高识别敏感数据缓慢泄露的准确程度，且易于实现，不需要人工去指定时间间隔和外发邮件数量的阈值。能有效识别企业中存在的敏感数据的外泄行为，有力保障企业敏感数据的安全管控。

附图说明

图1为本发明的系统架构图。

图2为本发明的检测分析流程图。

具体实施方式

参数辨识，是根据实验数据和建立的模型来确定一组参数值，使得由模型计算得到的数值结果能最好的拟合测试数据(可以看做是一种曲线拟合问题)，从而可以对未知过程进行预测，提供一定的理论指导。

正态分布，又名高斯分布(Gaussian distribution)，最早由A.棣莫弗在求二项分布的渐近公式中得到。C.F.高斯在研究测量误差时从另一个角度导出了它。P.S.拉普拉斯和高斯研究了它的性质。是一个在数学、物理及工程等领域都非常重要的概率分布，在统计学的许多方面有着重大的影响力。

DLP，即Data Loss Prevention数据丢失防护，或称数据泄漏防护(Data LeakagePrevention)是目前信息领域主流的企业信息安全和数据防护系统的名称。DLP是通过一定的数据处理和分析方法，结合企业的信息安全管理策略，对企业中所有电子信息和数据进行分类分级管控，防止企业中的信息资产或关键数据流失、泄密或非受控扩散。

本发明提出并实现了一种基于参数辨识的智能识别缓慢数据泄露的方法及系统，通过本发明的方案对企业用户的邮件外发据进行参数分析，从而辨识得到邮件时间间隔和邮件数量两个主要参数。根据以上两个参数设定自适应阈值，最终实现缓慢数据泄露的检测。

下面结合附图以及具体实施例对本发明作进一步的说明，但本发明的保护范围并不限于此。

<数据检测系统>

本发明提出的基于参数辨识和内容识别双重检测方法的信息处理过程如图1所示，主要包括了模型参数辨识和内容特征扫描两个模块。下面对这两个模块逐一进行介绍：

(1)辨识模块

企业用户日益需要通过邮件等渠道和外部进行数据交互。企业用户的外发邮件数和外发邮件频率也在随着内外数据交互节奏而变化。检测数据缓慢泄露，必须清楚用户外发数据的频率，即外发数据在时间参数上的分布，还必须明确外发数据的数量，即外发数据在数量上的分布。通过邮件服务器或者邮件DLP非常容易获取企业邮箱用户的邮件外发情况。

整体而言，大型企业邮箱用户每单位时间的发件数量，基本符合正态分布。从另外的角度看，企业邮箱外发邮件的时间间隔，按天统计，也基本符合正态分布。企业每天外发邮件的数量，也基本符合正态分布。因此，基于独立同分布的假设，企业每个用户，外发邮件的时间间隔和每天外发邮件的数量，也基本符合高斯分布。数据辨识模块的主要任务，是通过邮件收发的数据，辨识出邮件发送间隔和每单位时间的邮件发送数量。

(2)内容特征扫描模块

将输入检测装置的文本文件(如doc、docx、pdf、rtf等格式)或文本数据流统一转换为txt文本文档格式。依据关键词或者正则表达式匹配的方法记录敏感数据。每当有新的邮件进入且命中特征内容，则触发检测机制，计算方差，如果方差超过方差阈值，则产生安全事件告警。根据响应规则通知相关负责人。

所述方差阈值，是预先根据历史数据确定的，在制定规则的时候确定。

<数据检测方法>

如图2所示，本发明提供了一种基于自适应感知的敏感数据缓慢泄露检测方法，该方法包括两个处理流程，一个是邮件统计分布分析流程，包括以下步骤：

A1)读取历史邮件日志数据。

A2)进行邮件数据的分布直方图计算。

A3)按分钟、小时、天、周、月、年或其他长期时间段作为统计时间段，计算邮件的相关参数，包括邮件在上述时间段内的发送数量和发送间隔。

A4)统计企业所有邮件发送用户或者部分用户的参数统计分布方差的平均值，确定邮件参数统计分布方差阈值，或者由管理员根据需要设定(比如大于统计平均值或者小于统计平均值，视具体情况而定)。

下列描述邮件敏感数据检测流程，包括下列步骤：

B1)设定检测规则

该检测规则根据预定进行的检测文本学习得出。

将输入检测装置的文本文件(如doc、docx、pdf、rtf等格式)或文本数据流统一转换为txt文本文档格式。依据关键词或者正则表达式匹配的方法记录敏感数据。

B2)检测待发送邮件是否包含敏感数据，如果包括则触发检测机制。

每当有新的邮件进入且命中特征内容，则触发检测机制。

B3)判断邮件发送用户的参数统计分布方差是否超过方差阈值。

该参数统计分布方差是按分钟、小时、天或者其他短期时间段作为统计时间段，计算邮件的相关参数，包括邮件在上述时间段内的发送数量和发送间隔，在此仅为实例，不对其进行限定。

B4)如果统计分布方差超过方差阈值，则产生安全事件告警，通知管理员。

如果方差超过阈值，则产生安全事件告警。根据响应规则通知相关负责人。

所述统计分布符合正态分布，所述方差是指该正态分布的方差，所述方差阈值通过统计企业邮件发送用户的参数统计分布方差的平均值决定，或者由管理员根据需要设定。

<应用举例>

某银行的数据管控规则是外发邮件中包含的身份证号不可以超过100条。凡超过100条的数据，必须经过审批。

经本检测装置的检测时，发现用户每天下班前外发部分数据到个人邮箱，一周外发出去的邮件中，包含的身份证号大于100条。本检测方法能识别该用户的外发数据行为为安全事件。

通过本发明提出的基于参数辨识和内容匹配的双重检测技术解决方案，可以提高识别敏感数据缓慢泄露的准确程度，且易于实现，不需要人工去指定时间间隔和外发邮件数量的阈值。能有效识别企业中存在的敏感数据的外泄行为，有力保障企业敏感数据的安全管控。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims (10)

1.一种基于自适应感知的敏感数据缓慢泄露检测方法，其特征在于，该方法包括以下步骤：

1)检测待发送邮件是否包含敏感数据，如果是则跳转到步骤2)，否则跳转到步骤4)；

2)判断邮件发送用户的参数统计分布方差是否超过方差阈值，如果是，则跳转到步骤

3)，否则跳转到步骤4)；

3)产生安全事件告警，通知管理员；

4)结束。

2.根据权利要求1所述的方法，所述步骤1)之前还包括以下步骤：

将待检测文本文件或文本数据流统一转换为标准文档格式；

对转换后的标准文档依据匹配规则记录敏感数据。

3.根据权利要求1所述的方法，所述步骤2)的参数分布方差包括：

单位时间段内用户的邮件发送时间间隔统计分布方差和/或邮件发送数量统计分布方差。

4.根据权利要求3所述的方法，所述单位时间段按一天时间、一周或一月计算。

5.根据权利要求1-4之一所述的方法，所述统计分布符合正态分布，所述方差是指该正态分布的方差，所述方差阈值通过统计企业邮件发送用户的参数统计分布方差的平均值决定，或者由管理员根据需要设定。

6.一种基于自适应感知的敏感数据缓慢泄露检测系统，其特征在于，该系统包括：

内容匹配模块，包括：

内容扫描引擎，检测待发送邮件是否包含敏感数据；

预警模块，判断邮件发送用户的参数统计分布方差是否超过方差阈值，如果超过方差阈值，产生安全事件告警，通知管理员；

辨识模块，包括：

外发数据分析模块，统计分析邮件发送用户的参数统计分布类型；

参数辨识模块，识别邮件发送用户的参数类型及数量；

阈值计算模块，计算邮件发送用户的参数统计分布的方差阈值。

7.根据权利要求6所述的系统，该系统还包括：

文档转换模块，将待检测文本文件或文本数据流统一转换为标准文档格式；

敏感数据记录模块，对转换后的标准文档依据匹配规则记录敏感数据。

8.根据权利要求6所述的系统，外发数据分析模块，统计分析邮件发送用户单位时间段内用户的邮件发送时间间隔统计分布类型和/或邮件发送数量统计分布类型；

参数辨识模块，识别邮件发送用户单位时间段内用户的邮件发送时间间隔数量和/或邮件发送数量；

阈值计算模块，计算单位时间段内用户的邮件发送时间间隔统计分布方差阈值和/或邮件发送数量统计分布方差阈值。

9.根据权利要求6-8之一所述的系统，所述统计分布符合正态分布，所述方差是指该正态分布的方差，所述方差阈值通过统计企业邮件发送用户的参数统计分布方差的平均值决定，或者由管理员根据需要设定。

10.一种计算机可读存储介质，其特征在于，该介质包括计算机程序指令，通过执行所述计算机程序执行实现权利要求1-5之一所述的方法。