CN111274227A - 一种基于聚类分析和关联规则的数据库审计系统及方法 - Google Patents

Abstract

本发明公开了一种基于聚类分析和关联规则的数据库审计系统及方法，涉及数据库审计。若干数据采集探针，采集用户数据和行为数据并输出；第一审计分析模块，机器学习模型对用户数据进行识别得到用户画像，用户画像为正常用户时输出第一分析结果，否则输出第二分析结果；第二审计分析模块，用第一分析结果的行为数据与规则库进行匹配，匹配时输出第三分析结果，不能匹配则输出第四分析结果；第一报警单元根据第二分析结果生成第一告警信息；第二报警单元根据第四分析结果生成第二告警信息；审计报告模块根据第三分析结果、第一、二告警信息生成审计报告。提升了数据库性能，为数据库的安全运行提供了保障，实现实时审计和安全检测。

Description

一种基于聚类分析和关联规则的数据库审计系统及方法

技术领域

本发明涉及数据库审计领域，尤其涉及一种基于聚类分析和关联规则的数据库审计系统及方法。

背景技术

数据库审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库审计系统的用户操作的监控和审计。当前，数据库审计系统的安全机制包括：身份识别和鉴别、访问控制、存取控制、加密、备份与恢复、推理控制与隐私保护、数据库审计七个方面，但上述身份鉴别、访问控制等机制是以防御为主的被动安全机制，并不能完全满足数据库的安全需求。数据库审计系统是一个复杂而又关键的系统，存在各种管理和技术上的风险，如果这些风险变为现实，那么企业数据将遭受严重的经济损失和法律风险，数据库产生安全问题非常难以追查和定位，因为无法查找问题发生的痕迹和证据。因此，数据库安全实时审计系统成为当下的时兴技术，这是一种基于动态安全的防御技术，但在实际应用中存在一定局限性，例如如果只实施粗粒度的审计则难以察觉入侵和攻击行为，而细粒度的审计，则有可能严重影响数据库的性能，因此在不过多影响数据库性能的情况下实现细粒度审计是非常有必要的。

发明内容

本发明为了解决上述问题，现提出一种基于聚类分析和关联规则的数据库审计系统，包括：

若干数据采集探针，设置于网络中配置的中心交换机与数据库服务器的连接链路上，用于采集所述连接链路中的实时流量数据并输出；

所述实时流量数据包括用户数据和与所述用户数据对应的行为数据；

第一审计分析模块，连接所述数据采集探针，用于根据预设的机器学习模型对所述用户数据进行识别，得到所述用户数据的用户画像，并在所述用户画像表示所述用户数据对应的用户为正常用户时输出第一分析结果，以及在所述用户画像表示所述用户数据对应的用户为异常用户时输出第二分析结果；

第二审计分析模块，分别连接所述数据采集探针和所述第一审计分析模块，用于根据所述第一分析结果，将所述正常用户的所述行为数据与预设的行为规则库中包含的若干行为规则进行匹配，并在匹配得到相应的所述行为规则时输出第三分析结果，以及在未匹配得到相应的所述行为规则时输出第四分析结果；

报警模块，分别连接所述第一审计分析模块和所述第二审计分析模块，所述报警模块具体包括：

第一报警单元，用于根据所述第二分析结果生成相应的第一告警信息并输出；

第二报警单元，用于根据所述第四分析结果生成相应的第二告警信息并输出；

审计报告模块，分别连接所述第二审计分析模块和所述报警模块，用于根据所述第三分析结果、所述第一告警信息和所述第二告警信息生成相应的审计报告。

优选的，还包括一人机交互模块，分别连接所述审计报告模块和所述报警模块，用于供审计人员查看所述审计报告。

优选的，还包括一审计资源配置模块，连接所述人机交互模块，用于通过所述人机交互模块并根据所述审计报告中审计业务的不同需求进行审计项目管理安排。

优选的，还包括一审计作业流程模块，连接所述人机交互模块，用于通过所述人机交互模块并根据所述审计报告中审计业务的不同需求进行审计作业流程管理。

优选的，还包括一审计知识库，连接所述人机交互模块，用于保存数据库审计相关资料以供所述审计人员进行查阅。

优选的，所述报警模块还包括一数据恢复单元，分别连接所述第一报警单元和所述第二报警单元，用于根据所述第一告警信息或所述第二告警信息将所述数据库审计系统恢复至收到所述第一告警信息或所述第二告警信息之间的预设时间。

优选的，还包括一模型生成模块，分别连接所述数据采集探针和所述第一审计分析模块，所述模型生成模块具体包括：

第一过滤单元，用于将所述数据采集探针采集得到的所述用户数据进行过滤，得到正常用户对应的正常用户数据。

模型创建单元，用于根据GBDT算法创建强学习器；

模型训练单元，分别连接所述数据过滤单元和所述模型创建单元，用于根据所述正常用户数据对所述强学习器进行训练，得到机器学习模型。

优选的，还包括一规则库生成模块，分别连接所述数据采集探针和所述第二审计分析模块，所述规则库生成模块具体包括：

第二过滤单元，用于将所述数据采集探针采集得到的所述行为数据进行过滤，得到正常用户对应的正常行为数据；

特征提取单元，用于对每个所述正常行为数据分别进行特征提取，每个所述正常行为数据提取得到的若干特征项形成特征向量，并将所述特征向量中的各所述特征项进行布尔化，得到布尔化向量；

数据聚类单元，连接所述特征提取单元，用于识别各所述布尔化向量中的各所述特征项的哈希值作为所述布尔化向量的元组，并根据所述元组对各所述布尔化向量进行聚类，得到若干布尔化向量集合；

每个所述布尔化向量集合中包括若干所述布尔化向量；

规则库生成单元，连接所述数据聚类单元，用于根据Apriori-TID算法分别对各所述布尔化向量集合建立关联规则，并将各所述关联规则进行保存形成行为规则库。

优选的，所述特征项包括用户名，和/或操作行为，和/或操作对象，和/或操作类型，和/或操作条件。

一种基于聚类分析和关联规则的数据库审计方法，应用于基于聚类分析和关联规则的数据库审计系统，包括：

步骤S1，所述数据库审计系统采集网络中配置的中心交换机与数据库服务器的之间的连接链路中的实时流量数据；

所述实时流量数据包括用户数据和与所述用户数据对应的行为数据；

步骤S2，所述数据库审计系统根据预设的机器学习模型对所述用户数据进行识别，得到所述用户数据的用户画像：

若所述用户画像表示所述用户数据对应的用户为正常用户，则输出第一分析结果，随后转向步骤S3；

若所述用户画像表示所述用户数据对应的用户为异常用户，则输出第二分析结果，随后转向步骤S4；

步骤S3，所述数据库审计系统根据所述第一分析结果，将所述正常用户的所述行为数据与预设的行为规则库中包含的若干行为规则进行匹配：

若匹配得到相应的所述行为规则，则输出第三分析结果，随后转向步骤S6，

若未匹配得到相应的所述行为规则，则输出第四分析结果，随后转向步骤S5；

步骤S4，所述数据库审计系统根据所述第二分析结果生成相应的第一告警信息，随后转向步骤S6；

步骤S5，所述数据库审计系统根据所述第四分析结果生成相应的第二告警信息；

步骤S6，数据审计系统根据所述第三分析结果、所述第一告警信息和所述第二告警信息生成相应的审计报告。

优选的，还包括一预先建立所述行为规则库的过程，具体包括：

步骤A1，数据审计系统将所述数据采集探针采集得到的所述行为数据进行过滤，得到正常用户对应的正常行为数据；

步骤A2，数据审计系统对每个所述正常行为数据分别进行特征提取，每个所述正常行为数据提取得到的若干特征项形成特征向量，并将所述特征向量中的各所述特征项进行布尔化，得到布尔化向量；

步骤A3,数据审计系统识别各所述布尔化向量中的各所述特征项的哈希值作为所述布尔化向量的元组，并根据所述元组对各所述布尔化向量进行聚类，得到若干布尔化向量集合；

每个所述布尔化向量集合中包括若干所述布尔化向量；

步骤A4,数据审计系统根据Apriori-TID算法分别对各所述布尔化向量集合建立关联规则，并将各所述关联规则进行保存形成行为规则库。

具有以下有益效果：

提升了数据库审计性能和效率并节约了资源，为数据库的安全运行提供了强有力的保障，实现实时审计和安全检测。

附图说明

图1为本发明较佳的实施例中，一种基于聚类分析和关联规则的数据库审计系统结构示意图；

图2为本发明较佳的实施例中，一种基于聚类分析和关联规则的数据库审计方法流程示意图；

图3为本发明较佳的实施例中，建立行为数据库的流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

下面结合附图和具体实施例对本发明作进一步说明，但不作为本发明的限定。

本发明为了解决上述问题，现提出一种基于聚类分析和关联规则的数据库审计系统，如图1所示，包括：

若干数据采集探针1，设置于网络中配置的中心交换机与数据库服务器的连接链路上，用于采集连接链路中的实时流量数据并输出；

实时流量数据包括用户数据和与用户数据对应的行为数据；

第一审计分析模块2，连接数据采集探针1，用于根据预设的机器学习模型对用户数据进行识别，得到用户数据的用户画像，并在用户画像表示用户数据对应的用户为正常用户时输出第一分析结果，以及在用户画像表示用户数据对应的用户为异常用户时输出第二分析结果；

第二审计分析模块3，分别连接数据采集探针1和第一审计分析模块2，用于根据第一分析结果，将正常用户的行为数据与预设的行为规则库中包含的若干行为规则进行匹配，并在匹配得到相应的行为规则时输出第三分析结果，以及在未匹配得到相应的行为规则时输出第四分析结果；

报警模块4，分别连接第一审计分析模块2和第二审计分析模块3，报警模块4具体包括：

第一报警单元41，用于根据第二分析结果生成相应的第一告警信息并输出；

第二报警单元42，用于根据第四分析结果生成相应的第二告警信息并输出；

审计报告模块5，分别连接第二审计分析模块3和报警模块4，用于根据第三分析结果、第一告警信息和第二告警信息生成相应的审计报告。

具体地，本实施例中，在考虑数据库审计系统的流量数据压力的前提下，采用‘网络监听’的方式采集实时流量数据中的用户数据得到用户画像与输入实时流量数据中的行为数据到‘嵌入式’系统中的行为规则库进行审计，不仅能提升数据库审计系统的性能，更能减轻对数据库审计系统的压力。优选数据采集探针利用“网络监听”方式对流量数据不需要原链路做任何的修改调整，不影响实际业务网络的正常运行，能最大限度的节省数据库的资源，同时也能保证对数据库类型的支持性，从而对数据进行完整分析，‘探针’方式的数据采集也可根据数据库大小灵活改变数据采集探针1的个数，更能适应场景需求。

其一，为了建立精准的用户自动化识别，第一审计分析模块2将采集到的用户数据利用机器学习模型建立不同的用户画像，使得不同系统、不同权限、不同访问习惯的用户得到区分，在用户画像建立的基础上对新产生的异常用户操作模式自动化快速识别，在损失发生之前可积极阻拦恶性事件的发生。

其二，第二审计分析模块3对行为数据在实施监测、解析、还原数据库操作语句的基础上，进行聚类，建立行为数据的关联规则，得到行为规则库，为数据库的安全运行提供了强有力的保障。

利用Apriori-TID算法对关联规则挖掘数据库的行为数据进行建模，融合上述‘监听式’和‘嵌入式’两种方法，进行数据库安全审计的全面监督，做到实时分析，并在发现异常和偏差时发出审计告警信号。

在审计完成后如出现警告，则进入报警模块4，其功能主要是将审计结果反馈给审计人员，在审计未出现异常时，数据库审计系统不会给审计人员任何提示，不然会大大降低体验度。

审计报告模块4，该模块在审计系统主体部分之后，具有一定统计功能。不管有无报警出现，都可按照需求生成审计报告，审计报告从数据库审计系统自动导入项目关键信息和审计发现线索，并生成模板式审计报告，并对设定时间期限内的非法行为和异常操作以报表的形式展示出来，利于审计人员总览概况，及时发现问题并注意风险。

优选的，还包括一人机交互模块6，分别连接审计报告模块5和报警模块4，用于供审计人员查看审计报告。

优选的，还包括一审计资源配置模块7，连接人机交互模块6，用于通过人机交互模块并根据审计报告中审计业务的不同需求进行审计项目管理安排。

具体地，本实施例中，审计资源配置模块7是针对审计项目管理而设置的，根据审计业务的不同类型和范围，在甘特图日历表中安排审计项目，包括审计人员的配备、审计时间的安排、费用预算管理等；

优选的，还包括一审计作业流程模块8，连接人机交互模块6，用于通过人机交互模块并根据审计报告中审计业务的不同需求进行审计作业流程管理。

具体地，本实施例中，审计作业流程模块8是将手工环境下的审计文档电子化和规范化，单元中包含了审计计划的编制、执行与审核、审计工作底稿、审计日志和报表等，有利于审计信息的共享和审计质量的监控；

优选的，还包括一审计知识库9，连接人机交互模块6，用于保存数据库审计相关资料以供审计人员进行查阅。

具体地，本实施例中，审计知识库9是为提高审计人员能力而设计的，包含判断审计问题的法规库、增强风险意识的风险感知库、学习审计方法的审计理论库、保存审计资料的审计档案库等。

优选的，报警模块4还包括一数据恢复单元43，分别连接第一报警单元41和第二报警单元42，用于根据第一告警信息或第二告警信息将数据库审计系统恢复至收到第一告警信息或第二告警信息之间的预设时间。

具体地，本实施例中，当数据库审计系统已经受到破坏时，报警模块4还要具有一定的恢复功能，使数据库审计系统能够恢复至某一特定时间，以保证数据库审计系统的正常运行，另外将没有受到破坏的数据及时隔离。报警模块3发出报警的同时提取web业务端和数据库端的协议流量，通过智能自动多层关联，关联出每条SQL语句所对应URL，以及其原始客户端IP地址等信息，实现追踪溯源。

优选的，还包括一模型生成模块10，分别连接数据采集探针1和第一审计分析模块2，模型生成模块10具体包括：

第一过滤单元101，用于将数据采集探针采集得到的用户数据进行过滤，得到正常用户对应的正常用户数据。

模型创建单元102，用于根据GBDT算法创建强学习器；

模型训练单元103，分别连接第一过滤单元101和模型创建单元102，用于根据正常用户数据对强学习器进行训练，得到机器学习模型。

具体地，本实施例中，模型创建单元102创建强学习器的过程如下，首先创建一弱学习器，弱学习器的函数表达式为：

其中，f₀(x)为弱学习器，L(y_i,c)为作为样本的行为数据位置；

将行为数据输入弱学习器中进行初始化学习以获得残差，同时得到一新的回归树：

其中，r_im为残差；f_m-1(x(为新的回归树；

新的回归树分成若干叶子节点区域，并对若干叶子节点区域进行拟合，并得到一最佳拟合值，最佳拟合值的函数表达式为：

其中，r_jm为叶子节点区域最佳拟合值，L(y_i,f_m-1(x_i)+γ)为新的样本位置；

通过上述拟合，从弱学习器创建得到一中间学习器，中间学习器的函数表达式为：

其中，f_m(x)为中间学习器，γ_jmI(xεR_jm)为叶子节点区域残差；

通过对中间学习器进行训练，并得到强学习器，强学习器的函数表达式为：

优选的，还包括一规则库生成模块11，分别连接数据采集探针1和第二审计分析模块3，规则库生成模块11具体包括：

第二过滤单元111，用于将数据采集探针采集得到的行为数据进行过滤，得到正常用户对应的正常行为数据；

特征提取单元112，连接第二过滤单元111，用于对每个正常行为数据分别进行特征提取，每个正常行为数据提取得到的若干特征项形成特征向量，并将特征向量中的各特征项进行布尔化，得到布尔化向量；

数据聚类单元113，连接特征提取单元112，用于识别各布尔化向量中的各特征项的哈希值作为布尔化向量的元组，并根据元组对各布尔化向量进行聚类，得到若干布尔化向量集合；

每个布尔化向量集合中包括若干布尔化向量；

规则库生成单元114，连接数据聚类单元113，用于根据Apriori-TID算法分别对各布尔化向量集合建立关联规则，并将各关联规则进行保存形成行为规则库。

具体地，本实施例中，特征提取单元112对行为数据中的的用户名、操作行为、操作对象这三种特征项分别进行特征提取，再对每个行为数据提取的特征集合得到特征向量，然后对特征向量中的各特征进行布尔化得到布尔化向量，识别布尔化向量中的各特征项的哈希值作为布尔化向量的元组，通过元组对布尔化向量进行聚类得到布尔化向量集合。优选的，对行为数据中的上述三种特征项进行补充，可以增加操作类型，操作条件以及嵌套查询为特征项来建立更加准确的行为规则库；优选的，识别各布尔化向量中的各特征项的哈希值作为布尔化向量的元组，可以通过对该用户类权限内的常用操作：全局操作、权限操作和普通操作等将布尔化向量进行聚类；

Apriori-TID对Apriori中的每次对数据集D进行迭代来计算候选项集支持度的方法做了改进，只要在第一次遍历后就不用再采用原始数据库，而只要只用用前一次候选集M，M的形式为:(TID,{Xk})，其中，TID是事物的标识，xK表示K-项集，这就直接避免了对数据库的重复扫描。

优选的，特征项包括用户名，和/或操作行为，和/或操作对象，和/或操作类型，和/或操作条件。

一种基于聚类分析和关联规则的数据库审计方法，应用于基于聚类分析和关联规则的数据库审计系统，如图2所示，包括：

步骤S1，数据库审计系统采集网络中配置的中心交换机与数据库服务器的之间的连接链路中的实时流量数据；

实时流量数据包括用户数据和与用户数据对应的行为数据；

步骤S2，数据库审计系统根据预设的机器学习模型对用户数据进行识别，得到用户数据的用户画像：

若用户画像表示用户数据对应的用户为正常用户，则输出第一分析结果，随后转向步骤S3；

若用户画像表示用户数据对应的用户为异常用户，则输出第二分析结果，随后转向步骤S4；

步骤S3，数据库审计系统根据第一分析结果，将正常用户的行为数据与预设的行为规则库中包含的若干行为规则进行匹配：

若匹配得到相应的行为规则，则输出第三分析结果，随后转向步骤S6，

若未匹配得到相应的行为规则，则输出第四分析结果，随后转向步骤S5；

步骤S4，数据库审计系统根据第二分析结果生成相应的第一告警信息，随后转向步骤S6；

步骤S5，数据库审计系统根据第四分析结果生成相应的第二告警信息；

步骤S6，数据库审计系统根据第三分析结果、第一告警信息和第二告警信息生成相应的审计报告。

优选的，还包括一预先建立行为规则库的过程，如图3所示，具体包括：

步骤A1，数据审计系统将数据采集探针采集得到的行为数据进行过滤，得到正常用户对应的正常行为数据；

步骤A2，数据审计系统对每个正常行为数据分别进行特征提取，每个正常行为数据提取得到的若干特征项形成特征向量，并将特征向量中的各特征项进行布尔化，得到布尔化向量；

步骤A3,数据审计系统识别各布尔化向量中的各特征项的哈希值作为布尔化向量的元组，并根据元组对各布尔化向量进行聚类，得到若干布尔化向量集合；

每个布尔化向量集合中包括若干布尔化向量；

步骤A4,数据审计系统根据Apriori-TID算法分别对各布尔化向量集合建立关联规则，并将各关联规则进行保存形成行为规则库。

以上所述仅为本发明较佳的实施例，并非因此限制本发明的实施方式及保护范围，对于本领域技术人员而言，应当能够意识到凡运用本发明说明书及图示内容所作出的等同替换和显而易见的变化所得到的方案，均应当包含在本发明的保护范围内。

Claims (11)

1.一种基于聚类分析和关联规则的数据库审计系统，其特征在于，包括：

若干数据采集探针，设置于网络中配置的中心交换机与数据库服务器的连接链路上，用于采集所述连接链路中的实时流量数据并输出；

所述实时流量数据包括用户数据和与所述用户数据对应的行为数据；

第一审计分析模块，连接所述数据采集探针，用于根据预设的机器学习模型对所述用户数据进行识别，得到所述用户数据的用户画像，并在所述用户画像表示所述用户数据对应的用户为正常用户时输出第一分析结果，以及在所述用户画像表示所述用户数据对应的用户为异常用户时输出第二分析结果；

第二审计分析模块，分别连接所述数据采集探针和所述第一审计分析模块，用于根据所述第一分析结果，将所述正常用户的所述行为数据与预设的行为规则库中包含的若干行为规则进行匹配，并在匹配得到相应的所述行为规则时输出第三分析结果，以及在未匹配得到相应的所述行为规则时输出第四分析结果；

报警模块，分别连接所述第一审计分析模块和所述第二审计分析模块，所述报警模块具体包括：

第一报警单元，用于根据所述第二分析结果生成相应的第一告警信息并输出；

第二报警单元，用于根据所述第四分析结果生成相应的第二告警信息并输出；审计报告模块，分别连接所述第二审计分析模块和所述报警模块，用于根据所述第三分析结果、所述第一告警信息和所述第二告警信息生成相应的审计报告。

2.根据权利要求1所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一人机交互模块，分别连接所述审计报告模块和所述报警模块，用于供审计人员查看所述审计报告。

3.根据权利要求2所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一审计资源配置模块，连接所述人机交互模块，用于通过所述人机交互模块并根据所述审计报告中审计业务的不同需求进行审计项目管理安排。

4.根据权利要求2所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一审计作业流程模块，连接所述人机交互模块，用于通过所述人机交互模块并根据所述审计报告中审计业务的不同需求进行审计作业流程管理。

5.根据权利要求2所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一审计知识库，连接所述人机交互模块，用于保存数据库审计相关资料以供所述审计人员进行查阅。

6.根据权利要求1所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，所述报警模块还包括一数据恢复单元，分别连接所述第一报警单元和所述第二报警单元，用于根据所述第一告警信息或所述第二告警信息将所述数据库审计系统恢复至收到所述第一告警信息或所述第二告警信息之间的预设时间。

7.根据权利要求1所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一模型生成模块，分别连接所述数据采集探针和所述第一审计分析模块，所述模型生成模块具体包括：

第一过滤单元，用于将所述数据采集探针采集得到的所述用户数据进行过滤，得到正常用户对应的正常用户数据。

模型创建单元，用于根据GBDT算法创建强学习器；

模型训练单元，分别连接所述第一过滤单元和所述模型创建单元，用于根据所述正常用户数据对所述强学习器进行训练，得到机器学习模型。

8.根据权利要求1所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，还包括一规则库生成模块，分别连接所述数据采集探针和所述第二审计分析模块，所述规则库生成模块具体包括：

第二过滤单元，用于将所述数据采集探针采集得到的所述行为数据进行过滤，得到正常用户对应的正常行为数据；

特征提取单元，连接所述第二过滤单元，用于对每个所述正常行为数据分别进行特征提取，每个所述正常行为数据提取得到的若干特征项形成特征向量，并将所述特征向量中的各所述特征项进行布尔化，得到布尔化向量；

数据聚类单元，连接所述特征提取单元，用于识别各所述布尔化向量中的各所述特征项的哈希值作为所述布尔化向量的元组，并根据所述元组对各所述布尔化向量进行聚类，得到若干布尔化向量集合；

每个所述布尔化向量集合中包括若干所述布尔化向量；

规则库生成单元，连接所述数据聚类单元，用于根据Apriori-TID算法分别对各所述布尔化向量集合建立关联规则，并将各所述关联规则进行保存形成行为规则库。

9.根据权利要求1所述的基于聚类分析和关联规则的数据库审计系统，其特征在于，所述特征项包括用户名，和/或操作行为，和/或操作对象，和/或操作类型，和/或操作条件。

10.一种基于聚类分析和关联规则的数据库审计方法，其特征在于，应用于如权利要求1至9任一项所述的基于聚类分析和关联规则的数据库审计系统，包括：

步骤S1，所述数据库审计系统采集网络中配置的中心交换机与数据库服务器的之间的连接链路中的实时流量数据；

所述实时流量数据包括用户数据和与所述用户数据对应的行为数据；

步骤S2，所述数据库审计系统根据预设的机器学习模型对所述用户数据进行识别，得到所述用户数据的用户画像：

若所述用户画像表示所述用户数据对应的用户为正常用户，则输出第一分析结果，随后转向步骤S3；

若所述用户画像表示所述用户数据对应的用户为异常用户，则输出第二分析结果，随后转向步骤S4；

步骤S3，所述数据库审计系统根据所述第一分析结果，将所述正常用户的所述行为数据与预设的行为规则库中包含的若干行为规则进行匹配：

若匹配得到相应的所述行为规则，则输出第三分析结果，随后转向步骤S6，

若未匹配得到相应的所述行为规则，则输出第四分析结果，随后转向步骤S5；

步骤S4，所述数据库审计系统根据所述第二分析结果生成相应的第一告警信息，随后转向步骤S6；

步骤S5，所述数据库审计系统根据所述第四分析结果生成相应的第二告警信息；

步骤S6，所述数据审计系统根据所述第三分析结果、所述第一告警信息和所述第二告警信息生成相应的审计报告。

11.根据权利要求10所述的基于聚类分析和关联规则的数据库审计方法，其特征在于，还包括一预先建立所述行为规则库的过程，具体包括：

步骤A1，所述数据库审计系统将所述数据采集探针采集得到的所述行为数据进行过滤，得到正常用户对应的正常行为数据；

步骤A2，所述数据库审计系统对每个所述正常行为数据分别进行特征提取，每个所述正常行为数据提取得到的若干特征项形成特征向量，并将所述特征向量中的各所述特征项进行布尔化，得到布尔化向量；

步骤A3,所述数据库审计系统识别各所述布尔化向量中的各所述特征项的哈希值作为所述布尔化向量的元组，并根据所述元组对各所述布尔化向量进行聚类，得到若干布尔化向量集合；

每个所述布尔化向量集合中包括若干所述布尔化向量；

步骤A4,所述数据库审计系统根据Apriori-TID算法分别对各所述布尔化向量集合建立关联规则，并将各所述关联规则进行保存形成行为规则库。

Images