CN111368285A - 基于数字特征的安全威胁分析方法和装置 - Google Patents

Abstract

本申请涉及一种基于数字特征的安全威胁分析方法和装置。所述方法包括：获取待分析文件的文件类别，根据文件类别，在预先设置的权限规则库中确定待分析文件的访问权限，权限规则库中存储所述文件类别、访问权限以及文件访问用户的映射关系，根据访问权限和文件类别，生成待分析文件的数字特征，将数字特征和待分析文件的文件内容进行加密和融合操作，当接收到文件访问用户的访问请求时，根据数字特征确定文件访问用户是否具备访问权限，根据访问权限确定待分析文件是否存在安全威胁。采用本方法能够提高企业数据的安全性。

Description

基于数字特征的安全威胁分析方法和装置

技术领域

本申请涉及信息安全技术领域，特别是涉及一种基于数字特征的安全威胁分析方法和装置。

背景技术

互联网是信息化建设的基础设施，现代企业对互联网的依赖程度越来越高，其业务数据与无形资产所面临的安全威胁与风险也日益增多。目前，企业的网络安全防御和检测手段大部分倾向于传统的网络安全设备，例如防火墙、入侵检测系统、网络应用防火墙、反病毒系统等。随着企业信息化程度的提高和业务的多样化，传大部分企业针对内部数据安全保护所采取的解决方案收效甚微，80％的数据泄露与安全威胁来自企业内部。企业大部分开始采用移动办公模式，导致很多设备可以访问企业网络，外包合同工和供应商也需要访问企业网络才能正常开展工作。同时，企业内部人员恶意修改数据库、恶意下载数据等，面对这些常见的安全威胁，传统的网络安全设备都无法进行有效识别与监测。并且，随着APT越来越普遍，网络攻击方式的变化也越来越频繁，现有安全设备的检测规则往往无法快速适配新的攻击模式。

企业内部的数据信息已经成为最珍贵的财产与核心竞争力，规模越大的企业泄密风险越高，随之带来的损失也就越大。为了防范来自内部的信息泄露威胁与风险，在传统网络安全与威胁监测方法的基础上，必须聚焦企业最宝贵的数据信息，采取更及时有效的安全威胁发现与分析方法，杜绝企业数据信息的违规访问与非法窃取。

发明内容

基于此，有必要针对上述技术问题，提供一种能够解决企业数据被违规访问和非法窃取风险的基于数字特征的安全威胁分析方法和装置。

一种基于数字特征的安全威胁分析方法，所述方法包括：

获取待分析文件的文件类别；

根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

在其中一个实施例中，还包括：将所述待分析文件输入预先训练的机器学习模型中进行分类，得到所述待分析文件的文件类别；所述机器学习模型包括：贝叶斯模型、SVM模型、fastText模型、TextCNN模型。

在其中一个实施例中，还包括：根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述访问权限包括：下载权限、在线浏览权限、阅读权限以及附加标记阅读权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；将所述访问权限采用编码规则或文字进行描述，得到访问权限信息。

在其中一个实施例中，还包括：对所述访问权限信息和所述文件类别进行组合，生成所述待分析文件的数字特征。

在其中一个实施例中，还包括：将所述数字特征和所述待分析文件的文件内容进行拼接之后，对拼接内容进行加密；或，将所述数字特征和所述待分析文件的文件内容分别进行加密，将加密后得到的密文进行拼接。

在其中一个实施例中，还包括：当接收到文件访问用户的访问请求时，提取所述待分析文件的数字特征；根据所述数字特征在所述权限规则库中确定文件访问用户是否具备访问权限；若是，则响应所述访问请求开放访问权限。

在其中一个实施例中，还包括：若否，则禁止文件访问用户访问待分析文件；并根据文件访问用户发送的访问请求，生成日志记录。

一种基于数字特征的安全威胁分析装置，所述装置包括：

文件分析模块，用于获取待分析文件的文件类别；

权限分析模块，用于根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

数字特征设置模块，用于根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

威胁分析模块，用于当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取待分析文件的文件类别；

根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取待分析文件的文件类别；

根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

上述基于数字特征的安全威胁分析方法、装置、计算机设备和存储介质，通过分析文件类别，根据文件类别通过权限规则库确定文件的访问权限，根据访问权限和文件类别，生成待分析文件的数字特征，通过数字特征，形成待分析文件的数字标识，在进行威胁分析时，只需要提取数字特征，就可以确定文件访问用户是否具有访问权限，从而确定是否具有安全威胁。

附图说明

图1为一个实施例中基于数字特征的安全威胁分析方法的流程示意图；

图2为一个实施例中基于数字特征的安全威胁分析装置的结构框图；

图3为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

在一个实施例中，如图1所示，提供了一种基于数字特征的安全威胁分析方法，该方法可以应用于终端中，包括以下步骤：

步骤102，获取待分析文件的文件类别。

待分析文件可以是Word文档、Excel文档、TXT文档等电子文档。文件类别指的通过用户自定义的类别，例如：面向财务人员的电子文档，可以分类为财务文档；面向研发人员的电子文档可以分类为研发文档。

可以预先对电子文档进行划分，也可以采用机器学习的方式对电子文档进行学习，从而可以智能化的识别出待分析文档的文件类别。

步骤104，根据文件类别，在预先设置的权限规则库中确定待分析文件的访问权限。

权限规则库中存储文件类别、访问权限以及文件访问用户的映射关系。文件访问用户指的是请求访问待分析文件的用户，一般而言，每个文件访问用户具有一定的访问权限，例如，财务人员具有财务文件的访问权限。终端中预先存储了权限规则库，权限规则库可以进行修改，例如：文件访问用户的增删、映射关系的修改等。

访问权限指的是打开文档的权限、阅读文档的权限、下载文档的权限等。

步骤106，根据访问权限和文件类别，生成待分析文件的数字特征，将数字特征和待分析文件的文件内容进行加密和融合操作。

数字特征指的数字序列，数字序列是通过对访问权限和文件类别进行组合、编码等方式得到的。

步骤108，当接收到文件访问用户的访问请求时，根据数字特征确定文件访问用户是否具备访问权限，根据访问权限确定待分析文件是否存在安全威胁。

安全威胁指的是不具备访问权限的用户请求访问待分析文件。

上述基于数字特征的安全威胁分析方法中，通过分析文件类别，根据文件类别通过权限规则库确定文件的访问权限，根据访问权限和文件类别，生成待分析文件的数字特征，通过数字特征，形成待分析文件的数字标识，在进行威胁分析时，只需要提取数字特征，就可以确定文件访问用户是否具有访问权限，从而确定是否具有安全威胁。

在其中一个实施例中，分析文件类别的步骤包括：将待分析文件输入预先训练的机器学习模型中进行分类，得到待分析文件的文件类别；机器学习模型包括：贝叶斯模型、SVM模型、fastText模型、TextCNN模型。

本实施例中，通过终端中预先训练的机器学习模型，可以智能的自动对待分析文件进行分析，从而自动输出文件类别，另外，通过对历史文件的学习，采用深度学习，可以进一步提升文件类别识别的准确率。

在其中一个实施例中，确定访问权限的步骤包括：根据文件类别，在预先设置的权限规则库中确定待分析文件的访问权限，访问权限包括：下载权限、在线浏览权限、阅读权限以及附加标记阅读权限；权限规则库中存储文件类别、访问权限以及文件访问用户的映射关系，将访问权限采用编码规则或文字进行描述，得到访问权限信息。

具体的，权限规则库可以灵活设置，例如：研发用户可以有研发文件的全部权限，财务用户可以有研发文件的在线阅读权限，研发用户可以有财务文件的下载权限。财务用户可以有财务文件的在线修改文件。具体不一一列举，可以根据需求自行设置，以此确保数据安全。

在其中一个实施例中，对于访问权限，可以生成访问权限信息，然后通过将访问权限信息和文件类别进行组合，生成待分析文件的数字特征，组合的方式可以是通过一定的编码规则进行组合，也可以是通过文字描述的方式进行组合。

在其中一个实施例中，将文件内容和数字特征进行融合的步骤包括：将数字特征和待分析文件的文件内容进行拼接之后，对拼接内容进行加密；或，将数字特征和待分析文件的文件内容分别进行加密，将加密后得到的密文进行拼接。本实施例中，通过将内容和数字特征进行融合，便于文件的传输。

在其中一个实施例中，安全威胁分析的步骤包括：当接收到文件访问用户的访问请求时，提取待分析文件的数字特征，根据数字特征在权限规则库中确定文件访问用户是否具备访问权限，若是，则响应访问请求开放访问权限。

在另一个实施例中，若否，则禁止文件访问用户访问待分析文件，并根据文件访问用户发送的访问请求，生成日志记录。

具体的，还可以加入预警、报警等操作，确保文件的安全。

应该理解的是，虽然图1的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图2所示，提供了一种基于数字特征的安全威胁分析装置，包括：文件分析模块202、权限分析模块204、数字特征设置模块206和威胁分析模块208，其中：

文件分析模块202，用于获取待分析文件的文件类别；

权限分析模块204，用于根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

数字特征设置模块206，用于根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

威胁分析模块208，用于当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

在其中一个实施例中，文件分析模块202还用于将所述待分析文件输入预先训练的机器学习模型中进行分类，得到所述待分析文件的文件类别；所述机器学习模型包括：贝叶斯模型、SVM模型、fastText模型、TextCNN模型。

在其中一个实施例中，权限分析模块204还用于根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述访问权限包括：下载权限、在线浏览权限、阅读权限以及附加标记阅读权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；将所述访问权限采用编码规则或文字进行描述，得到访问权限信息。

在其中一个实施例中，数字特征设置模块206还用于对所述访问权限信息和所述文件类别进行组合，生成所述待分析文件的数字特征。

在其中一个实施例中，数字特征设置模块206还用于将所述数字特征和所述待分析文件的文件内容进行拼接之后，对拼接内容进行加密；或，将所述数字特征和所述待分析文件的文件内容分别进行加密，将加密后得到的密文进行拼接。

在其中一个实施例中，威胁分析模块208还用于当接收到文件访问用户的访问请求时，提取所述待分析文件的数字特征；根据所述数字特征在所述权限规则库中确定文件访问用户是否具备访问权限；若是，则响应所述访问请求开放访问权限。

在其中一个实施例中，威胁分析模块208还用于若否，则禁止文件访问用户访问待分析文件；并根据文件访问用户发送的访问请求，生成日志记录。

关于基于数字特征的安全威胁分析装置的具体限定可以参见上文中对于基于数字特征的安全威胁分析方法的限定，在此不再赘述。上述基于数字特征的安全威胁分析装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图3所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种基于数字特征的安全威胁分析方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图3中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，该存储器存储有计算机程序，该处理器执行计算机程序时实现上述实施例中方法的步骤。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述实施例中方法的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种基于数字特征的安全威胁分析方法，所述方法包括：

获取待分析文件的文件类别；

根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

2.根据权利要求1所述的方法，其特征在于，所述获取待分析文件的文件类别包括：

将所述待分析文件输入预先训练的机器学习模型中进行分类，得到所述待分析文件的文件类别；

所述机器学习模型包括：贝叶斯模型、SVM模型、fastText模型、TextCNN模型。

3.根据权利要求1所述的方法，其特征在于，根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限，包括：

根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述访问权限包括：下载权限、在线浏览权限、阅读权限以及附加标记阅读权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

将所述访问权限采用编码规则或文字进行描述，得到访问权限信息。

4.根据权利要求3所述的方法，其特征在于，根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，包括：

对所述访问权限信息和所述文件类别进行组合，生成所述待分析文件的数字特征。

5.根据权利要求1至4任一项所述的方法，其特征在于，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作，包括：

将所述数字特征和所述待分析文件的文件内容进行拼接之后，对拼接内容进行加密；

或，将所述数字特征和所述待分析文件的文件内容分别进行加密，将加密后得到的密文进行拼接。

6.根据权利要求1至4任一项所述的方法，其特征在于，所述当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁，包括：

当接收到文件访问用户的访问请求时，提取所述待分析文件的数字特征；

根据所述数字特征在所述权限规则库中确定文件访问用户是否具备访问权限；

若是，则响应所述访问请求开放访问权限。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

若否，则禁止文件访问用户访问待分析文件；

并根据文件访问用户发送的访问请求，生成日志记录。

8.一种基于数字特征的安全威胁分析装置，其特征在于，所述装置包括：

文件分析模块，用于获取待分析文件的文件类别；

权限分析模块，用于根据所述文件类别，在预先设置的权限规则库中确定所述待分析文件的访问权限；所述权限规则库中存储所述文件类别、所述访问权限以及文件访问用户的映射关系；

数字特征设置模块，用于根据所述访问权限和所述文件类别，生成所述待分析文件的数字特征，将所述数字特征和所述待分析文件的文件内容进行加密和融合操作；

威胁分析模块，用于当接收到文件访问用户的访问请求时，根据所述数字特征确定文件访问用户是否具备访问权限，根据所述访问权限确定所述待分析文件是否存在安全威胁。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。

Images