CN109815709A - 敏感信息非法拷贝的识别方法、装置、设备及存储介质 - Google Patents

Abstract

本申请公开了一种敏感信息非法拷贝的识别方法、装置、设备及存储介质，其中，方法包括：获取待调查员工的文件拷贝信息，文件拷贝信息包括文件名；基于敏感信息分类的词典库，提取文件名中不属于员工的工作类别所对应的特征词，词典库包括多个工作类别及各工作类别所对应的多个特征词；至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。上述方案中，通过词典库来提取的员工所拷贝的文件中，不属于工作类别所对应的特征词，并对特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。在确定为存在非法拷贝的情况时，可以进行人为的干预、调查，阻止非法拷贝的员工将所拷贝的敏感信息泄露。

Description

敏感信息非法拷贝的识别方法、装置、设备及存储介质

技术领域

本发明一般涉及信息安全领域，具体涉及一种敏感信息非法拷贝的识别方法、装置、设备及存储介质。

背景技术

随着网络技术及存储技术的发展，对数据、文件等的复制、存储及传送，带来了极大的便利。但是，其也对企业的信息安全带来了极大的挑战，企业敏感信息的泄露事件时有发生。例如，企业中普遍存在，因员工有意无意拷贝企业文件导致的内部数据泄露事件。目前，因无法获得拷贝文件的内部信息和拷贝的用途，从单一的文件名难以及时阻止员工拷贝企业内部数据至私人存储空间的行为，且没有较为完善的敏感信息被非法复制外泄的检测技术。

发明内容

鉴于现有技术中的上述缺陷或不足，期望提供一种敏感信息非法拷贝的识别方法、装置、设备及存储介质，用于对敏感信息是否被非法拷贝进行识别。

第一方面，本发明提供一种敏感信息非法拷贝的识别方法，包括以下步骤：

获取待调查员工的文件拷贝信息，所述文件拷贝信息包括文件名；

基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；

至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

进一步地，根据岗位和/或职责进行多个所述工作类别的划分。

进一步地，对存储的文件的文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，根据分词处理后得到的各词语的语义，将各词语作为特征词存储于词典库的对应工作类别中。

进一步地，统计同一岗位员工所拷贝文件的文件名，对所述文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例的该岗位员工拷贝，则将其作为该岗位的特征词，存储于词典库中该岗位所对应的工作类别中。

进一步地，统计同一部门不同岗位员工所拷贝文件的文件名，对所述文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例的该部门员工拷贝，则将其作为该部门的特征词，存储于词典库中该部门所对应的工作类别中。

进一步地，所述至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝，具体为：

对敏感时间特征、拷贝文件的文件时间特征、预离职人员特征及提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝；

其中，晚上10：00至次日上午7:00为敏感时间特征；预定时间段内连续复制各年文件数超过预定数量为拷贝文件的文件时间特征；提交了离职申请但未办结离职手续的员工为预离职人员特征。

进一步地，在进行逻辑回归训练时，同时对待调查员工非允许拷贝特征词对应的文件数量、文件大小及其在词典库中所对应的主类数量进行训练。

进一步地，对确定为未非法拷贝但风险级别为中风险的员工，进行连续多天的识别，在进行下次逻辑回归训练时，同时对识别为中风险的天数进行训练。

第二方面，本发明提供一种敏感信息非法拷贝的识别装置，包括：

文件拷贝信息获取单元，用于获取待调查员工的文件拷贝信息，所述文件拷贝信息包括文件名；

特征词提取单元，用于基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；

逻辑回归训练单元，用于至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

第三方面，本发明提供一种计算机设备，包括存储器、处理器以及存储在存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述的方法。

第四方面，本发明提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法。

上述方案中，通过词典库来提取的员工所拷贝的文件中，不属于工作类别所对应的特征词，并对特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。在确定为存在非法拷贝的情况时，可以进行人为的干预、调查，阻止非法拷贝的员工将所拷贝的敏感信息泄露。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1为本发明的实施例提供的敏感信息非法拷贝的识别方法的流程图；

图2为本发明的实施例提供的敏感信息非法拷贝的识别装置的原理图；

图3为本发明的实施例提供的计算机设备的原理图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

如图1所示，本发明实施例提供一种敏感信息非法拷贝的识别方法，包括以下步骤：

S1：获取待调查的员工的文件拷贝信息，所述文件拷贝信息包括文件名；

一般，企业中搭建的有服务器，上面用来安装各种工作软件，存放各种工作文件，用户通过对应的账户登录服务器来软件操作、文件拷贝等操作，服务器内可以安装有监控、记录类的软件，来记录用户的操作情况，例如，记录用户合适拷贝了什么文件，何时登录了什么软件等等。在未搭建服务器的企业中，可以在员工个人使用的电脑上安装监控、记录类的软件，来记录员工的操作情况，例如，记录用户合适拷贝了什么文件，何时登录了什么软件等等。

待调查的员工可以是全员，也可以是特定的员工，例如预离职的员工等。

为了提高识别的针对性，可以先有调查人员对所要调查的员工进行预筛选，例如将一定时间(例如一天)内进行了较多件或较大容量文件的拷贝的员工划分到正样本内，否则划分到负样本内，将正样本内的员工作为待调查的员工。并获取正样本中员工的文件拷贝信息。

S2：基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；

这里所说的词典库可以但不限于为工作类别与特征词的映射列表，工作类别可以是一级类别，也可以是多级类别(由大类(或称之为主类)向下引申小类(或称之为从类或子类))。工作类别可以由与岗位和职责特点相关的敏感信息来确定，例如可以分为员工类、运营类、财务类、战略类、投资并购类、安保类、审计类等几大类，每一大类下面还可以根据需要设置小类而形成多级的工作类别。每一大类或每一小类都对应有特征词。

例如财务岗位的归入财务类，人力资源岗位归入员工类等。

各工作类别可以用工作类别的名称直接表示，也可以通过代号来表示，例如，用yg表示员工类、yy表示运营类、cw表示财务类、zl表示战略类、tzbg表示投资并购类、ab表示安保类、sj表示审计类等，或者用数字001表示员工类、002表示运营类、003表示财务类、004表示战略类、005表示投资并购类、006表示安保类、007表示审计类等。

该实施例中，词典库中的工作类别以一级类别为例进行说明。下表为该实施例中词典库的示例，其仅是用于说明词典库的构成，并非对词典库的唯一限定。

根据表词典库，提取文件名中不属于相应员工的工作类别所对应的特征词。例如，员工A是人事部的员工，其所属的工作类别应为员工类，其被调查的文件中所抽取的特征词为薪酬福利信息、有效证件、劳动关系信息、客户未到期金额、客户未收总额、高管讲话、审计报告、合格上市，则客户未到期金额、客户未收总额、高管讲话、审计报告、合格上市为不属于该员工的工作类别所对应的特征词

S3：至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

客户未到期金额、客户未收总额、高管讲话、审计报告、合格上市进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

例如，逻辑回归训练的最终的取值范围为0～1，以数值表示员工拷贝企业敏感信息，存在外泄行为的可能性。将0～0.65确定为低风险，表示检测出的异常拷贝敏感信息的行为判断存在较大的误差，敏感文件量也不是太大。将0.65～0.8确定为中风险，表示检测出异常拷贝敏感信息行为和部分敏感文件量，需要持续观察或者人为介入调查。将0.8～1确定为高风险，表示较精确地识别出员工的异常拷贝行为和敏感文件，应对该员工采取措施阻止企业内部资料泄露。

上述方案中，通过词典库来提取员工所拷贝的文件中，不属于工作类别所对应的特征词，并对特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。在确定为存在非法拷贝的情况时，可以进行人为的干预、调查，阻止非法拷贝的员工将所拷贝的敏感信息泄露。

进一步地，对工作类别的划分，可以单独考虑岗位或单独考虑职责进行划分，也可以综合考虑岗位和职责进行划分，具体划分需要结合各企业的企业组织构架来确定。

进一步地，在进行词典库构建时，可以对存储的文件的文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，根据分词处理后得到的各词语的语义，将各词语作为特征词存储于词典库的对应工作类别中。

例如一个文件的文件名为：2016年7月20日关于年终会议的总裁讲话#￥，对文件名进行过滤后得到的名称为关于年终会议的总裁讲话，对该名称进行分词处理得到总裁讲话这一词语，总裁讲话具有战略意义的语义，则将总裁讲话存储于战略的工作类别中。

进一步地，对于同一岗位，其对应的员工正常拷贝的文件名具有共性，因此统计同一岗位员工所拷贝文件的文件名，对文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例的该岗位员工拷贝，则将其作为该岗位的特征词，存储于词典库中该岗位所对应的工作类别中。

对于同一岗位(其具体岗位名称可能存在差别，例如人力方面的可以分别为人资、HR、人力资源、员工关怀)，若分词处理后得到词语所对应的文件被大于预定比例(例如但不限于该比例为50％)的员工所拷贝，则将其作为该岗位的特征词，存储于词典库中该岗位所对应的工作类别中。例如，同一岗位有10人，其中复制的文件名含有“绩效考核”有6人，“薪酬福利信息”有5人，“总裁讲话”有1人，“供应商地址”有1人，因此“绩效考核”、“薪酬福利”为该岗位拷贝文件至私人存储空间时允许的特征词，将该词存储于词典库中该岗位所对应的工作类别中。

进一步地，对应同一部门，也存在不同的岗位，但不同的岗位在拷贝文件中也存在一定的共性。那么，统计同一部门不同岗位员工所拷贝文件的文件名，对文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例(例如但不限于该比例为70％)的该部门员工拷贝，则将其作为该部门的特征词，存储于词典库中该部门所对应的工作类别中。

进一步地，员工在进行非法拷贝时，一般会在特定的时间段发生，且复制文件的数量会具有特定的时间属性，并进行非法复制还与员工是否预离职有较大关系，因此将对敏感时间特征、拷贝文件的文件时间特征、预离职人员特征作为逻辑回归训练的因子，与提取的特征词一起进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝；

其中，越是人少的时间，员工拷贝敏感数据可能性越大，因此将晚上10：00至次日上午7:00为敏感时间特征；预定时间段内连续复制各年文件数超过预定数量为拷贝文件的文件时间特征，例如但不限于在一天内拷贝了近三年的文件，且每年的文件数量都超过30件等；提交了离职申请但未办结离职手续的员工为预离职人员特征。提交离职的人员往往是信息外泄风险最大的人员。因此，该类人员需要格外关注，需要给予较大的权重如给与其为1的权重，而未提交离职的人员的权重为0。

进一步地，拷贝文件的多少及所拷贝文件的大小及所拷贝文件在词典库中所对应的主类数量，对是否非法拷贝也具有一定的参考意义，因此在进行逻辑回归训练时，同时对待调查员工非允许拷贝特征词对应的文件数量、文件大小及所在词典库中所对应的主类数量进行训练。

进一步地，对于确定为中风险的员工，因为其还是存在较高的泄密风险的，为了降低文件泄露的可能性，需要对该类员工进行持续的关注，例如但不限于连续关注7天，对确定为未非法拷贝但风险级别为中风险的员工，进行连续7天的识别，即采用上述方法对其每天拷贝的文件进行一次敏感信息非法拷贝的识别，并统计中等风险的天数，在进行下次逻辑回归训练时，同时对识别为中风险的天数进行训练。

如图2所示，本发明实施例还提供一种敏感信息非法拷贝的识别装置，包括：文件拷贝信息获取单元1，用于获取待调查员工的文件拷贝信息，所述文件拷贝信息包括文件名；特征词提取单元2，用于基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；逻辑回归训练单元3，用于至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

该敏感信息非法拷贝的识别装置可以执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，这里不再赘述。

如图3所示，作为另一方面，本申请还提供了一种计算机设备，包括一个或多个中央处理单元(CPU)301，其可以根据存储在只读存储器(ROM)302中的程序或者从存储部分408加载到随机访问存储器(RAM)303中的程序而执行各种适当的动作和处理。在RAM303中，还存储有系统操作所需的各种程序和数据。CPU301、ROM302以及RAM303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。以下部件连接至I/O接口305：包括键盘、鼠标等的输入部分306；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分307；包括硬盘等的存储部分308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分309。通信部分309经由诸如因特网的网络执行通信处理。驱动器310也根据需要连接至I/O接口。可拆卸介质，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器310上，以便于从其上读出的计算机程序根据需要被安装入存储部分308。

特别地，根据本公开的实施例，上文参考图1描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，计算机程序包含用于多网点车辆资源分配方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分309从网络上被下载和安装，和/或从可拆卸介质311被安装。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

作为又一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中所述装置中所包含的计算机可读存储介质；也可以是单独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有一个或者一个以上程序，所述程序被一个或者一个以上的处理器用来执行描述于本申请的多网点车辆资源分配方法。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。

例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以通过执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以通过专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，各所述单元可以是设置在计算机或移动智能设备中的软件程序，也可以是单独配置的硬件装置。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (11)

1.一种敏感信息非法拷贝的识别方法，其特征在于，包括以下步骤：

获取待调查的员工的文件拷贝信息，所述文件拷贝信息包括文件名；

基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；

至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

2.根据权利要求1所述的敏感信息非法拷贝的识别方法，其特征在于，根据岗位和/或职责进行多个所述工作类别的划分。

3.根据权利要求1或2所述的敏感信息非法拷贝的识别方法，其特征在于，对存储的文件的文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，根据分词处理后得到的各词语的语义，将各词语作为特征词存储于词典库的对应工作类别中。

4.根据权利要求1或2所述的敏感信息非法拷贝的识别方法，其特征在于，统计同一岗位员工所拷贝文件的文件名，对所述文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例的该岗位员工拷贝，则将其作为该岗位的特征词，存储于词典库中该岗位所对应的工作类别中。

5.根据权利要求1或2所述的敏感信息非法拷贝的识别方法，其特征在于，统计同一部门不同岗位员工所拷贝文件的文件名，对所述文件名进行过滤，滤除异常英文字符及符号，并对过滤后的文件名进行分词处理，若分词处理后得到词语所对应的文件，被大于预定比例的该部门员工拷贝，则将其作为该部门的特征词，存储于词典库中该部门所对应的工作类别中。

6.根据权利要求1或2所述的敏感信息非法拷贝的识别方法，其特征在于，所述至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝，具体为：

对敏感时间特征、拷贝文件的文件时间特征、预离职人员特征及提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝；

其中，晚上10：00至次日上午7:00为敏感时间特征；预定时间段内连续复制各年文件数超过预定数量为拷贝文件的文件时间特征；提交了离职申请但未办结离职手续的员工为预离职人员特征。

7.根据权利要求6所述的敏感信息非法拷贝的识别方法，其特征在于，在进行逻辑回归训练时，同时对待调查员工非允许拷贝特征词对应的文件数量、文件大小及其在词典库中所对应的主类数量进行训练。

8.根据权利要求7所述的敏感信息非法拷贝的识别方法，其特征在于，对确定为未非法拷贝但风险级别为中风险的员工，进行连续多天的识别，在进行下次逻辑回归训练时，同时对识别为中风险的天数进行训练。

9.一种敏感信息非法拷贝的识别装置，其特征在于，包括：

文件拷贝信息获取单元，用于获取待调查员工的文件拷贝信息，所述文件拷贝信息包括文件名；

特征词提取单元，用于基于敏感信息分类的词典库，提取所述文件名中不属于所述员工的工作类别所对应的特征词，所述词典库包括多个工作类别及各工作类别所对应的多个特征词；

逻辑回归训练单元，用于至少对提取的特征词进行逻辑回归训练，并根据训练结果确定是否进行了非法拷贝。

10.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-8中任一项所述的方法。

11.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-8中任一项所述的方法。