CN111858782A - 基于信息安全的数据库构建方法、装置、介质与设备 - Google Patents
基于信息安全的数据库构建方法、装置、介质与设备 Download PDFInfo
- Publication number
- CN111858782A CN111858782A CN202010646244.2A CN202010646244A CN111858782A CN 111858782 A CN111858782 A CN 111858782A CN 202010646244 A CN202010646244 A CN 202010646244A CN 111858782 A CN111858782 A CN 111858782A
- Authority
- CN
- China
- Prior art keywords
- data
- information security
- information
- log data
- event
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
- 238000010276 construction Methods 0.000 title claims abstract description 45
- 238000000034 method Methods 0.000 claims abstract description 33
- 238000001514 detection method Methods 0.000 claims description 49
- 230000002159 abnormal effect Effects 0.000 claims description 15
- 238000010219 correlation analysis Methods 0.000 claims description 9
- 238000007781 pre-processing Methods 0.000 claims description 8
- 238000004140 cleaning Methods 0.000 claims description 5
- 238000013075 data extraction Methods 0.000 claims description 4
- 238000004590 computer program Methods 0.000 claims description 3
- 230000007547 defect Effects 0.000 description 12
- 230000006399 behavior Effects 0.000 description 7
- 238000010586 diagram Methods 0.000 description 7
- 230000008569 process Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 7
- 238000000605 extraction Methods 0.000 description 6
- 238000012552 review Methods 0.000 description 4
- 238000004891 communication Methods 0.000 description 3
- 239000000284 extract Substances 0.000 description 3
- 230000003287 optical effect Effects 0.000 description 3
- 238000004458 analytical method Methods 0.000 description 2
- 239000013307 optical fiber Substances 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000006978 adaptation Effects 0.000 description 1
- 230000002155 anti-virotic effect Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000012098 association analyses Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000003252 repetitive effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
- G06F16/28—Databases characterised by their database models, e.g. relational or object models
- G06F16/283—Multi-dimensional databases or data warehouses, e.g. MOLAP or ROLAP
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
- G06F16/22—Indexing; Data structures therefor; Storage structures
- G06F16/2228—Indexing structures
- G06F16/2255—Hash tables
Abstract
本公开提供一种基于信息安全的数据库构建方法、基于信息安全的数据库构建装置、计算机可读存储介质与电子设备，涉及计算机技术领域。该基于信息安全的数据库构建方法包括：获取终端设备的一种或多种预设类型的日志数据；从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；利用所述失陷指标数据构建信息安全风险数据库。本公开可以从不同维度建立完善的信息安全风险数据库，以便于对信息安全进行检测。
Description
技术领域
本公开涉及计算机技术领域，尤其涉及一种基于信息安全的数据库构建方法、信息安全检测方法、基于信息安全的数据库构建装置、信息安全检测装置、计算机可读存储介质与电子设备。
背景技术
随着信息时代的迅速发展，企业内部或平台中信息数据大量增加的同时，出现了很多如数据丢失、数据泄密、数据篡改等威胁信息安全的行为，使得人们对信息安全问题格外关注。
现有技术中，在进行信息安全的检测时，往往是通过预先构建的规则，依赖于人为审核的方式进行的。审核人员基于预设规则对待识别事件的信息数据进行识别，以确定待识别事件是否存在异常数据。然而，通过这种方式，一方面，人为审核可能会出现错审或漏审的情况，无法保证审核准确性；另一方面，审核流程往往在已经出现威胁信息安全的行为之后才能确定结果。因此，如何构建有效且完善的信息安全的数据库，以提高信息安全检测的准确性是现有技术亟待解决的问题。
需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
本公开提供了一种基于信息安全的数据库构建方法、信息安全检测方法、基于信息安全的数据库构建装置、信息安全检测装置、计算机可读存储介质与电子设备，进而建立完善的信息安全的数据库，以改善现有技术信息安全检测效率低的问题。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的第一方面，提供一种基于信息安全的数据库构建方法，包括：获取终端设备的一种或多种预设类型的日志数据；从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；利用所述失陷指标数据构建信息安全风险数据库。
根据本公开的第二方面，提供一种信息安全检测方法，包括：获取待检测事件的信息；将所述待检测事件的信息与信息安全风险数据库进行匹配，以确定所述待检测事件的检测结果；其中，所述信息安全风险数据库为通过基于信息安全的数据库构建方法所构建得到。
根据本公开的第三方面，提供一种基于信息安全的数据库构建装置，包括：日志数据获取模块，用于获取终端设备的一种或多种预设类型的日志数据；指标数据提取模块，用于从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；数据库构建模块，用于利用所述失陷指标数据构建信息安全风险数据库。
根据本公开的第四方面，提供一种信息安全检测装置，包括：信息获取模块，用于获取待检测事件的信息；信息匹配模块，用于将所述待检测事件的信息与信息安全风险数据库进行匹配，以确定所述待检测事件的检测结果；其中，所述信息安全风险数据库为通过基于信息安全的数据库构建方法所构建得到。
根据本公开的第五方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述基于信息安全的数据库构建方法或信息安全检测方法。
根据本公开的第六方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述基于信息安全的数据库构建方法或信息安全检测方法。
本公开的技术方案具有以下有益效果：
根据上述基于信息安全的数据库构建方法、基于信息安全的数据库构建装置、计算机可读存储介质与电子设备，获取终端设备的一种或多种预设类型的日志数据；从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；利用失陷指标数据构建信息安全风险数据库。一方面，本示例性实施例提出一种新的基于信息安全的数据库构建方法，从多个类型维度获取日志数据，并根据每个类型维度下的失陷指标数据构建信息安全风险数据库，使得构建的数据库中具有完善且多样化的风险数据；另一方面，由于构建的信息安全风险数据库中包含多个类型维度的风险数据，使得该数据库可以应用于多种不同的信息安全检测的场景中，具有广泛的适用范围；再一方面，本示例性实施例通过日志数据，对可能出现风险的数据进行整理归纳，构建信息安全风险数据库，构建过程简单，对硬件成本要求较低，且通过该信息安全风险数据库对信息安全进行检测，相比于人为进行检测的方式，具有更高的准确性。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1示出本示例性实施方式的一种系统架构的示意图；
图2示出本示例性实施方式的电子设备的示意图；
图3示出本示例性实施方式的一种基于信息安全的数据库构建方法的流程图；
图4示出本示例性实施方式的一种信息安全检测方法的流程图；
图5示出本示例性实施方式的一种信息安全检测方法的子流程图；
图6示出本示例性实施方式的另一种信息安全检测方法的流程图；
图7示出本示例性实施方式的一种基于信息安全的数据库构建装置的结构框图；
图8示出本示例性实施方式的一种信息安全检测装置的结构框图。
具体实施方式
现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。
此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
图1示出了本公开示例性实施方式的一种系统架构的示意图。如图1所示，该系统架构100可以包括：终端设备110、和服务器120。终端110可以是包括但不限于手机、平板电脑、数码相机、个人电脑等电子设备。服务器120用于基于终端设备110中的日志数据，生成安全风险数据库。应该理解，图1中的终端设备、服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备和服务器。比如终端设备110可以是公司企业或园区内多个终端设备组成的集群等。
本公开实施方式所提供的基于信息安全的数据库构建方法可以由服务器120执行，例如将公司内部所有终端设备110的日志数据发送至服务器120后，服务器120从日志数据中提取失陷指标数据，并构建安全风险数据库等，本公开对此不做限定。
本公开的示例性实施方式提供一种用于实现基于信息安全的数据库构建方法的电子设备，其可以是图1中服务器120。该电子设备至少包括处理器和存储器，存储器用于存储处理器的可执行指令，处理器配置为经由执行可执行指令来执行基于信息安全的数据库构建方法。
下面参照图2来描述根据本公开的这种示例性实施例的电子设备200。图2显示的电子设备200仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图2所示，电子设备200以通用计算设备的形式表现。电子设备200的组件可以包括但不限于：上述至少一个处理单元210、上述至少一个存储单元220、连接不同系统组件(包括存储单元220和处理单元210)的总线230、显示单元240。
其中，存储单元存储有程序代码，程序代码可以被处理单元210执行，使得处理单元210执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。例如，处理单元210可以执行图图3、图4、图5或图6所示的步骤等。
存储单元220可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)221和/或高速缓存存储单元222，还可以进一步包括只读存储单元(ROM)223。
存储单元220还可以包括具有一组(至少一个)程序模块225的程序/实用工具224，这样的程序模块225包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线230可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备200也可以与一个或多个外部设备270(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备200交互的设备通信，和/或与使得该电子设备200能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口250进行。并且，电子设备200还可以通过网络适配器260与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器260通过总线230与电子设备200的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备200使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开示例性实施例的方法。
本公开的示例性实施例还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。
下面对本公开示例性实施方式的基于信息安全的数据库构建方法进行具体说明。图3示出了本示例性实施方式中一种基于信息安全的数据库构建方法的流程，包括以下步骤S310～S330：
步骤S310，获取终端设备的一种或多种预设类型的日志数据。
通常，计算机系统、软件或终端设备在运行时，会生成对应的记录事件，其中记录了时间戳、用户操作行为数据、使用习惯数据以及系统资源的运行状况等信息，即日志数据。日志数据在信息安全事件的检测中具有非常重要的作用，通过对日志数据的分析，可以确定被检测的事件是否存在风险。日志数据从类型维度来考虑，可以包括多种，例如关于应用程序日志数据、安全日志数据、系统日志数据、DNS(Domain Name System，域名系统(服务)协议)服务器日志数据、访问日志数据或者浏览记录日志数据等，其根据系统开启的服务不同，具有差异。为了构建完善、丰富的信息安全风险数据库，本示例性实施例首先可以获取终端设备的一种或多种预设类型的日志数据。
考虑到信息安全在实际的应用中，会涉及多个方面的数据，在一示例性实施例中，上述步骤S310可以包括以下至少一条：
从终端设备采集文件读写的日志数据；
从终端设备采集网页浏览的日志数据；
从终端设备采集运行程序的日志数据；
从终端设备连接的网关采集访问域名系统的日志数据；
从终端设备连接的网关采集安全套接字协议SSL证书。
其中，文件读写的日志数据指终端设备所访问的文件数据，例如用户所使用的终端设备打开进行浏览的文件的数据、或进行编辑和修改操作的文件的数据。为了在进行信息安全检测时，能够准确有效的确定检测结果，可以将文件读写的日志数据转换为哈希数据，或将文件转换为多个分段哈希数据，例如针对某一文件，对其整体文件，以及文件格式、目录数据等部分文件分别进行哈希计算，得到文件整体的哈希数据以及该文件的分段哈希数据等。网页浏览的日志数据是指终端设备的浏览器的URL(Uniform Rescource Locator，统一资源定位符)访问记录数据。运行程序的日志数据是指终端设备所运行的程序进程以及后台运行的服务数据等。通过访问记录数据和运行程序的日志数据，可以分析用户是否进行过威胁信息安全的行为操作。本示例性实施例可以通过在终端设备中安装特定的终端安全工具，例如上网行为管理、远程桌面管理、杀毒程序、监控程序等类型的工具，以采集上述文件读写日志数据、网页浏览日志数据、以及运行程序的日志数据等。
另外，本示例性实施例还可以通过在网络上安装流量分析工具，从终端设备连接的网关采集访问域名系统的日志数据。访问域名系统的日志数据可以包括DNS查询记录日志数据，以及DNS查响应记录日志数据等。另外，日志数据还可以包括从终端设备连接的网络，采集安全套接SSL(Secure Sockets Layer，安全套接字协议)证书，其中，SSL是指为网络通信提供安全及数据完整性的一种安全协议，其可以与TLS(Transport LayerSecurity，继任者传输层安全)在传输层与应用层之间对网络连接进行加密。
步骤S320，从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据。
本示例性实施例，通过采集以往的数据泄密安全事件日志数据，可以从中提取出数据失陷指标以及对应的失陷指标数据。失陷指标是指不同类型维度下可能具有风险的数据的属性，不同的数据类型可以对应不同的失陷指标数据。相应的，失陷指标数据则是指风险数据，例如若日志数据为文件读写的日志数据，可以将敏感信息资产文件的哈希数据作为失陷指标数据；若日志数据为访问记录数据，可以将预设格式的访问记录数据作为失陷指标数据等。
为了建立完善的信息安全风险数据库，本示例性实施例可以从不同类型的日志数据中提取相对应的失陷指标数据，即提取相对应的风险数据。在一示例性实施例中，上述步骤S320可以包括以下至少一条：
从文件读写的日志数据中提取敏感文件哈希数据；
从网页浏览的日志数据中提取上传路径数据；
从运行非系统程序的日志数据中提取具有数据外发历史的程序名称；
从访问域名系统的日志数据中提取具有对外文件服务的地址数据；
确定日志数据中的SSL证书，并从中提取异常SSL数据。
当日志数据为文件读写的日志数据时，失陷指标数据可以是敏感文件的哈希数据，例如公司的机密文件或保密级别较高的文件的哈希数据等。需要说明的是，该哈希数据可以是文件的整体哈希数据，也可以是分段哈希数据，敏感文件的类型或内容可以由人为进行自定义设置，即可以自定义确定哪些文件属于重要程度较高，或者与数据泄密相关系数较高的文件数据等。当日志数据为网页浏览的日志数据时，失陷指标数据可以是上传路径数据，例如提取浏览器URL访问记录数据中，带有“/upload”字符的URL访问记录数据。当日志数据为运行程序的日志数据时，失陷指标数据可以是从从运行非系统程序的日志数据中提取具有数据外发历史的程序名称。当日志数据为访问域名系统的日志数据时，失陷指标数据可以是具有对外文件服务的地址数据，例如提取出DNS查询数据中，对外提供文件存储，转发，共享，通讯，远程控制等服务的域名和IP(Internet Protocol，网际互联协议)地址。当日志数据为SSL证书，失陷指标数据可以是指异常的SSL证书数据，例如非权威机构认证的证书，在本示例性实施例中，可以将提取的异常SSL数据转换为哈希数据，以便于构建信息安全风险数据库。
步骤S330，利用失陷指标数据构建信息安全风险数据库。
进一步的，根据步骤S320提取的失陷指标数据可以构建信息安全风险数据库，该信息安全风险数据库中存储了不同类型维度下的异常数据或具有风险的数据，可以用于对信息安全事件进行检测，若信息安全事件中存在与该信息安全风险数据库相匹配的数据，则说明该信息安全事件存在风险或异常，可以对审核人员进行进行告警，以根据告警进行相应的措施保证信息安全。
需要说明的是，为了保证安全风险数据库的有效性和准确性，本示例性实施例还可以对信息安全风险数据库进行定期更新，以扩充其中的失陷指标数据，例如设置一预设周期，响应于达到该预设周期，更新上述信息安全风险数据库，或者也可以仅对其中某一类型维度下的失陷指标数据进行更新等，本公开对此不做具体限定。
在一示例性实施例中，基于信息安全的数据库构建方法还可以包括：
从信息安全异常事件中提取对应的失陷指标数据，并存储至信息安全风险数据库。
除了可以从上述终端设备中获取对应的失陷指标数据之外，还可以从其他信息安全异常事件中提取对应的失陷指标数据，例如从第三方平台或终端设备以外的数据源获取信息安全异常事件，如开源的病毒库、或异常IP库等，将从这些信息安全异常事件中提取对应的失陷指标数据，存储至信息安全风险数据库中，以对信息安全风险数据库进行更新和扩展。
在一示例性实施例中，在上述获取日志数据之后，基于信息安全的数据库构建方法还可以包括以下步骤：
对日志数据进行以下至少一种预处理：数据去重、数据清洗、数据标准化。
为了获取有效的日志数据，以构建准确有效的安全风险数据库，本示例性实施例在获取日志数据之后，还可以对日志数据进行一种或多种数据预处理。其中，数据去重是指对于相同的日志数据，进行删除或修改，以保证获取的日志数据的唯一性和准确性。数据清洗是指对获取的日志数据中无效数据、冗余数据等进行删除。数据标准化则是指将获取的原始数据转化为预设格式的数据，以便于后续进行数据库的构建等。通过对日志数据进行预处理，可以使日志数据更加完善、有效，减少后续构建数据库的工作量，提高构建效率。
综上，本示例性实施方式中，获取终端设备的一种或多种预设类型的日志数据；从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；利用失陷指标数据构建信息安全风险数据库。一方面，本示例性实施例提出一种新的基于信息安全的数据库构建方法，从多个类型维度获取日志数据，并根据每个类型维度下的失陷指标数据构建信息安全风险数据库，使得构建的数据库中具有完善且多样化的风险数据；另一方面，由于构建的信息安全风险数据库中包含多个类型维度的风险数据，使得该数据库可以应用于多种不同的信息安全检测的场景中，具有广泛的适用范围；再一方面，本示例性实施例通过日志数据，对可能出现风险的数据进行整理归纳，构建信息安全风险数据库，构建过程简单，对硬件成本要求较低，且通过该信息安全风险数据库对信息安全进行检测，相比于人为进行检测的方式，具有更高的准确性。
本公开示例性实施方式还提供了一种信息安全检测方法。图4示出了本示例性实施方式中一种基于信息安全的数据库构建方法的流程，包括以下步骤S410～S420：
步骤S410，获取待检测事件的信息；
步骤S420，将待检测事件的信息与信息安全风险数据库进行匹配，以确定待检测事件的检测结果；
其中，信息安全风险数据库为通过上述基于信息安全的数据库构建方法所构建得到。
待检测事件是指需要进行信息安全检测的事件，例如用户在预设时间内在终端设备中的操作事件，或通过终端设备进行文件发送与接收的事件，或者在网页的浏览事件等。检测结果是指待检测事件是否为风险事件的结果，例如是否为数据泄密行为等。本示例性实施例通过获取待检测时间的信息，将其与信息安全风险数据库进行匹配，例如获取用户向外发送的文件的哈希数据，与信息安全风险数据库进行匹配，当确定信息安全风险数据库中存在与该文件的哈希数据相同的哈希数据时，可以认为用户发送的文件具有风险，或者用户发送文件的行为可能为泄密行为等。
在一示例性实施例中，如图5所示，上述步骤S420，可以包括以下步骤：
步骤S510，将待检测事件的信息与信息安全风险数据库进行匹配；
步骤S520，当待检测事件的信息与信息安全风险数据库中的目标数据匹配成功时，根据待检测事件的信息和目标数据进行关联分析；
步骤S530，根据关联分析的结果，确定待检测事件的风险等级。
在实际应用中，考虑到待检测事件实际上可能并不是具有风险的事件或者其风险较低，为了进一步保证对待检测时间安全检测的准确性，本示例性实施例在待检测事件的信息与信息安全风险数据库进行匹配成功之后，可以设置待检测事件的信息和目标数据进行关联分析的机制，例如本示例性实施例可以通过关联DLP(Data leakage prevention，数据泄密防护)来确定风险等级。
目标数据可以用于确定待检测事件是否确实存在风险，或风险等级如何等。目标数据可以是审核人员预先进行设定的规则，可以包括风险敏感数据列表，如敏感文件哈希数据列表，或者阈值控制条件等，例如确定与信息安全风险数据库匹配成功的待检测事件的信息后，可以将该信息与风险敏感数据列表再进行匹配，当匹配成功的数据量高于一预设阈值后，认为待检测事件确实存在风险，若匹配成功的数据量低于预设阈值，则认为待检测事件可能存在潜在风险，但当前对信息安全的威胁不大，可以忽略，但后续可以着重监督，再次进行信息安全检测，例如用户登录未知或存在隐患的网站，但浏览时间较短，可能是用户误操作，但若在预设时间内频繁登录该网站，且上传相关文件，则确定存在风险，且风险等级较高。
在一示例性实施例中，上述信息安全检测方法还可以包括：
根据待检测事件的风险等级，返回告警提示信息。
告警提示信息是指用于对审核人员进行告警的提示信息，通过向审核人员返回告警提示信息，可以使审核人员根据风险等级，进行相应的决策，当出现高风险事件时，立即进行相应的措施，或者出现中低风险事件时，防患于未然等等。
图6示出了一种信息安全检测的流程图，具体可以包括以下步骤：
步骤S602，获取终端设备的一种或多种预设类型的日志数据；
步骤S604，对日志数据进行以下至少一种预处理：数据去重、数据清洗、数据标准化；
步骤S606，从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；
步骤S608，利用失陷指标数据构建信息安全风险数据库；
步骤S610，定期更新信息安全风险数据库；
步骤S612，获取待检测事件的信息；
步骤S614，判断待检测事件的信息与信息安全风险数据库是否匹配；
当待检测事件的信息与信息安全风险数据库中的目标数据匹配成功时，执行步骤S616，根据待检测事件的信息和目标数据进行关联分析；
当待检测事件的信息与信息安全风险数据库中的目标数据匹配失败时，执行步骤S618，确定待检测事件的信息不存在风险；
步骤S620，根据关联分析的结果，确定待检测事件的风险等级；
步骤S622，根据待检测事件的风险等级返回告警提示信息。
综上，本示例性实施方式中，获取待检测事件的信息；将待检测事件的信息与信息安全风险数据库进行匹配，以确定待检测事件的检测结果；其中，信息安全风险数据库为通过基于信息安全的数据库构建方法所构建得到。一方面，通过将待检测事件的信息与信息安全风险数据库进行匹配，只要匹配命中，即可以确定待检测事件的检测结果，检测过程简单，可以适用于不同的应用场景，具有较高的准确性；另一方面，信息安全检测的过程无需依赖于人为进行检测确认，大大节省了人力成本，提高了信息安全检测的效率。
本公开的示例性实施方式还提供一种基于信息安全的数据库构建装置。如图7所示，该基于信息安全的数据库构建装置700可以包括：日志数据获取模块710，用于获取终端设备的一种或多种预设类型的日志数据；指标数据提取模块720，用于从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；数据库构建模块730，用于利用失陷指标数据构建信息安全风险数据库。
在一示例性实施例中，日志数据获取模块包括以下至少一条：第一采集单元，用于从终端设备采集文件读写的日志数据；第二采集单元，用于从终端设备采集网页浏览的日志数据；第三采集单元，用于从终端设备采集运行程序的日志数据；第四采集单元，用于从终端设备连接的网关采集访问域名系统的日志数据；第五采集单元，用于从终端设备连接的网关采集安全套接字协议SSL证书。
在一示例性实施例中，指标数据提取模块包括以下至少一条：第一提取单元，用于从文件读写的日志数据中提取敏感文件哈希数据；第二提取单元，用于从网页浏览的日志数据中提取上传路径数据；第三提取单元，用于从运行非系统程序的日志数据中提取具有数据外发历史的程序名称；第四提取单元，用于从访问域名系统的日志数据中提取具有对外文件服务的地址数据；第五提取单元，用于确定日志数据中的SSL证书，并从中提取异常SSL数据。
在一示例性实施例中，基于信息安全的数据库构建装置还包括：第六提取模块，用于从信息安全异常事件中提取对应的失陷指标数据，并存储至信息安全风险数据库。
在一示例性实施例中，基于信息安全的数据库构建装置还包括：预处理模块，用于在获取日志数据后，对日志数据进行以下至少一种预处理：数据去重、数据清洗、数据标准化。
本公开的示例性实施方式还提供一种信息安全检测装置。如图8所示，该信息安全检测装置800可以包括：信息获取模块810，用于获取待检测事件的信息；信息匹配模块820，用于将待检测事件的信息与信息安全风险数据库进行匹配，以确定待检测事件的检测结果；其中，信息安全风险数据库为通过信息信息安全的数据库构建方法所构建得到。
在一示例性实施例中，信息匹配模块包括：匹配单元，用于将待检测事件的信息与信息安全风险数据库进行匹配；关联分析单元，用于当待检测事件的信息与信息安全风险数据库中的目标数据匹配成功时，根据待检测事件的信息和目标数据进行关联分析；风险风机确定单元，用于根据关联分析的结果，确定待检测事件的风险等级。
在一示例性实施例中，信息安全检测装置还包括：提示信息返回模块，用于根据待检测事件的风险等级返回告警提示信息。
上述装置中各模块的具体细节在方法部分实施方式中已经详细说明，未披露的细节内容可以参见方法部分的实施方式内容，因而不再赘述。
所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
本公开的示例性实施方式还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。
本公开的示例性实施方式还提供了一种用于实现上述方法的程序产品，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施方式。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施方式仅被视为示例性的，本公开的真正范围和精神由权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限。
Claims (12)
1.一种基于信息安全的数据库构建方法，其特征在于，包括：
获取终端设备的一种或多种预设类型的日志数据；
从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；
利用所述失陷指标数据构建信息安全风险数据库。
2.根据权利要求1所述的方法，其特征在于，所述获取终端设备的一种或多种预设类型的日志数据，包括以下至少一条：
从所述终端设备采集文件读写的日志数据；
从所述终端设备采集网页浏览的日志数据；
从所述终端设备采集运行程序的日志数据；
从所述终端设备连接的网关采集访问域名系统的日志数据；
从所述终端设备连接的网关采集安全套接字协议SSL证书。
3.根据权利要求1所述的方法，其特征在于，所述从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据，包括以下至少一条：
从文件读写的日志数据中提取敏感文件哈希数据；
从网页浏览的日志数据中提取上传路径数据；
从运行非系统程序的日志数据中提取具有数据外发历史的程序名称；
从访问域名系统的日志数据中提取具有对外文件服务的地址数据；
确定所述日志数据中的SSL证书，并从中提取异常SSL数据。
4.根据权利要求1所述的方法，其特征在于，所述方法还包括：
从信息安全异常事件中提取对应的失陷指标数据，并存储至所述信息安全风险数据库。
5.根据权利要求1至4任一项所述的方法，其特征在于，在获取所述日志数据后，所述方法还包括：
对所述日志数据进行以下至少一种预处理：数据去重、数据清洗、数据标准化。
6.一种信息安全检测方法，其特征在于，包括：
获取待检测事件的信息；
将所述待检测事件的信息与信息安全风险数据库进行匹配，以确定所述待检测事件的检测结果；
其中，所述信息安全风险数据库为通过权利要求1至5任一项所述的方法所构建得到。
7.根据权利要求6所述的方法，其特征在于，所述将所述待检测事件的信息与信息安全风险数据库进行匹配，以确定所述待检测事件的检测结果，包括：
将所述待检测事件的信息与信息安全风险数据库进行匹配；
当所述待检测事件的信息与所述信息安全风险数据库中的目标数据匹配成功时，根据所述待检测事件的信息和所述目标数据进行关联分析；
根据关联分析的结果，确定所述待检测事件的风险等级。
8.根据权利要求7所述的方法，其特征在于，所述方法还包括：
根据所述待检测事件的风险等级返回告警提示信息。
9.一种基于信息安全的数据库构建装置，其特征在于，包括：
日志数据获取模块，用于获取终端设备的一种或多种预设类型的日志数据；
指标数据提取模块，用于从每种预设类型的日志数据中，提取与该预设类型相对应的失陷指标数据；
数据库构建模块，用于利用所述失陷指标数据构建信息安全风险数据库。
10.一种信息安全检测装置，其特征在于，包括：
信息获取模块，用于获取待检测事件的信息；
信息匹配模块，用于将所述待检测事件的信息与信息安全风险数据库进行匹配，以确定所述待检测事件的检测结果；
其中，所述信息安全风险数据库为通过权利要求1至5任一项所述的方法所构建得到。
11.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至5任一项所述的基于信息安全的数据库构建方法或者权利要求6至8任一项所述的信息安全检测方法。
12.一种电子设备，其特征在于，包括：
处理器；以及
存储器，用于存储所述处理器的可执行指令；
其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1至5任一项所述的基于信息安全的数据库构建方法或者权利要求6至8任一项所述的信息安全检测方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010646244.2A CN111858782A (zh) | 2020-07-07 | 2020-07-07 | 基于信息安全的数据库构建方法、装置、介质与设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010646244.2A CN111858782A (zh) | 2020-07-07 | 2020-07-07 | 基于信息安全的数据库构建方法、装置、介质与设备 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN111858782A true CN111858782A (zh) | 2020-10-30 |
Family
ID=73153464
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010646244.2A Withdrawn CN111858782A (zh) | 2020-07-07 | 2020-07-07 | 基于信息安全的数据库构建方法、装置、介质与设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111858782A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112487419A (zh) * | 2020-11-30 | 2021-03-12 | 扬州大自然网络信息有限公司 | 一种计算机网络信息安全事件处理方法 |
Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104618343A (zh) * | 2015-01-06 | 2015-05-13 | 中国科学院信息工程研究所 | 一种基于实时日志的网站威胁检测的方法及系统 |
| CN105183625A (zh) * | 2015-08-31 | 2015-12-23 | 北京奇虎科技有限公司 | 一种日志数据处理方法和装置 |
| CN107819783A (zh) * | 2017-11-27 | 2018-03-20 | 深信服科技股份有限公司 | 一种基于威胁情报的网络安全检测方法及系统 |
| CN108763031A (zh) * | 2018-04-08 | 2018-11-06 | 北京奇安信科技有限公司 | 一种基于日志的威胁情报检测方法及装置 |
| CN109257329A (zh) * | 2017-07-13 | 2019-01-22 | 国网浙江省电力公司电力科学研究院 | 一种基于海量Web日志的网站风险指数计算系统及方法 |
| CN109656980A (zh) * | 2018-12-27 | 2019-04-19 | Oppo（重庆）智能科技有限公司 | 数据处理方法、电子设备、装置及可读存储介质 |
| CN109861995A (zh) * | 2019-01-17 | 2019-06-07 | 安徽谛听信息科技有限公司 | 一种网络空间安全大数据智能分析方法、计算机可读介质 |
| CN109862003A (zh) * | 2019-01-24 | 2019-06-07 | 深信服科技股份有限公司 | 本地威胁情报库的生成方法、装置、系统及存储介质 |
| CN110765090A (zh) * | 2019-10-31 | 2020-02-07 | 泰康保险集团股份有限公司 | 日志数据管理方法及装置、存储介质、电子设备 |
| CN111125042A (zh) * | 2019-11-13 | 2020-05-08 | 中国建设银行股份有限公司 | 一种确定风险操作事件的方法和装置 |
-
2020
- 2020-07-07 CN CN202010646244.2A patent/CN111858782A/zh not_active Withdrawn
Patent Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104618343A (zh) * | 2015-01-06 | 2015-05-13 | 中国科学院信息工程研究所 | 一种基于实时日志的网站威胁检测的方法及系统 |
| CN105183625A (zh) * | 2015-08-31 | 2015-12-23 | 北京奇虎科技有限公司 | 一种日志数据处理方法和装置 |
| CN109257329A (zh) * | 2017-07-13 | 2019-01-22 | 国网浙江省电力公司电力科学研究院 | 一种基于海量Web日志的网站风险指数计算系统及方法 |
| CN107819783A (zh) * | 2017-11-27 | 2018-03-20 | 深信服科技股份有限公司 | 一种基于威胁情报的网络安全检测方法及系统 |
| CN108763031A (zh) * | 2018-04-08 | 2018-11-06 | 北京奇安信科技有限公司 | 一种基于日志的威胁情报检测方法及装置 |
| CN109656980A (zh) * | 2018-12-27 | 2019-04-19 | Oppo（重庆）智能科技有限公司 | 数据处理方法、电子设备、装置及可读存储介质 |
| CN109861995A (zh) * | 2019-01-17 | 2019-06-07 | 安徽谛听信息科技有限公司 | 一种网络空间安全大数据智能分析方法、计算机可读介质 |
| CN109862003A (zh) * | 2019-01-24 | 2019-06-07 | 深信服科技股份有限公司 | 本地威胁情报库的生成方法、装置、系统及存储介质 |
| CN110765090A (zh) * | 2019-10-31 | 2020-02-07 | 泰康保险集团股份有限公司 | 日志数据管理方法及装置、存储介质、电子设备 |
| CN111125042A (zh) * | 2019-11-13 | 2020-05-08 | 中国建设银行股份有限公司 | 一种确定风险操作事件的方法和装置 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112487419A (zh) * | 2020-11-30 | 2021-03-12 | 扬州大自然网络信息有限公司 | 一种计算机网络信息安全事件处理方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11750659B2 (en) | Cybersecurity profiling and rating using active and passive external reconnaissance | |
| US20220014560A1 (en) | Correlating network event anomalies using active and passive external reconnaissance to identify attack information | |
| CN109716343B (zh) | 威胁检测的企业图形方法 | |
| CN109361711B (zh) | 防火墙配置方法、装置、电子设备及计算机可读介质 | |
| US20200259866A1 (en) | Rating organization cybersecurity using active and passive external reconnaissance | |
| US20210360032A1 (en) | Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance | |
| US9876813B2 (en) | System and method for web-based log analysis | |
| CN112003838B (zh) | 网络威胁的检测方法、装置、电子装置和存储介质 | |
| JP7120350B2 (ja) | セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム | |
| CN113489713B (zh) | 网络攻击的检测方法、装置、设备及存储介质 | |
| US20220014561A1 (en) | System and methods for automated internet-scale web application vulnerability scanning and enhanced security profiling | |
| US8347381B1 (en) | Detecting malicious social networking profiles | |
| US10454967B1 (en) | Clustering computer security attacks by threat actor based on attack features | |
| US20230362200A1 (en) | Dynamic cybersecurity scoring and operational risk reduction assessment | |
| US20180054443A1 (en) | Utilizing transport layer security (tls) fingerprints to determine agents and operating systems | |
| US20210281609A1 (en) | Rating organization cybersecurity using probe-based network reconnaissance techniques | |
| CN110704771B (zh) | 页面异常监控方法、系统、装置、电子设备及可读介质 | |
| US10545811B2 (en) | Automatic root cause analysis for web applications | |
| US20170331855A1 (en) | Detection and warning of imposter web sites | |
| WO2020016906A1 (en) | Method and system for intrusion detection in an enterprise | |
| CN110602030A (zh) | 网络入侵阻断方法、服务器及计算机可读介质 | |
| US9954874B2 (en) | Detection of mutated apps and usage thereof | |
| Bahl et al. | Vulnerability disclosure and cybersecurity awareness campaigns on twitter during COVID‐19 | |
| CN110955890B (zh) | 恶意批量访问行为的检测方法、装置和计算机存储介质 | |
| CN111858782A (zh) | 基于信息安全的数据库构建方法、装置、介质与设备 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| WW01 | Invention patent application withdrawn after publication |
Application publication date: 20201030 |
|
| WW01 | Invention patent application withdrawn after publication |