CN113449350A - Usb外发敏感信息的管理方法、装置、设备及介质 - Google Patents

Abstract

本公开提供了一种USB外发敏感信息的管理方法，可以应用于信息安全技术领域和物联网技术领域，其中包括：分析USB拷贝操作的目标拷贝数据为USB外发敏感信息；确定USB外发敏感信息对应的USB拷贝操作为异常拷贝行为；以及针对异常拷贝行为进行USB外发敏感信息的管理。因此，相对于传统的人工审核，能够实现对敏感信息异常拷贝行为监控管理的自动化，并及时阻止敏感信息外泄，进一步达到了业务需求和数据安全的平衡需要，使得USB外发敏感信息的管理更加高效。此外，本公开还提供了一种USB外发敏感信息的管理装置、电子设备及计算机可读存储介质。

Description

USB外发敏感信息的管理方法、装置、设备及介质

技术领域

本公开涉及信息安全技术领域，尤其涉及一种USB外发敏感信息的 管理方法、装置、设备及介质。

背景技术

目前，随着信息时代的到来，办公电子化的应用越来越广泛。然而， 办公电子化的广泛普及也同时造成因敏感信息泄露等因素造成的信息安 全问题越发严峻。其中，通过U盘等进行USB外发信息拷贝已成为敏感 信息泄露的主要方式之一。目前，现有技术中应用于防止敏感信息对外拷 贝的主要方式在于直接关闭USB端口以禁止数据访问和对USB外发信息 内容做人工审核。

发明内容

(一)要解决的技术问题

为解决现有技术中针对USB外发信息的拷贝过程中所存在的问题中 至少之一，本公开提供了一种USB外发敏感信息的管理方法、装置、设 备及介质。

(二)技术方案

本公开的一方面提供了一种USB外发敏感信息的管理方法，其中， 包括：分析USB拷贝操作的目标拷贝数据为USB外发敏感信息；确定 USB外发敏感信息对应的USB拷贝操作为异常拷贝行为；以及针对异常 拷贝行为进行USB外发敏感信息的管理。

根据本公开的实施例，在分析USB拷贝操作的目标拷贝数据为USB 外发敏感信息之前，还包括：整理历史拷贝数据以转化为TF-IDF拷贝数 据；对TF-IDF拷贝数据进行训练以获取TF-IDF模型。

根据本公开的实施例，在分析USB拷贝操作的目标拷贝数据为USB 外发敏感信息中，包括：通过TF-IDF模型分析目标拷贝数据中的关键词； 当关键词与预设语料库中的敏感词相匹配时，确定目标拷贝数据为USB 外发敏感信息。

根据本公开的实施例，在通过TF-IDF模型分析目标拷贝数据中的关 键词中，包括：对目标拷贝数据中的名词分配权重值；根据权重值的大小 对名词进行排序；以及基于排序确定名词为关键词。

根据本公开的实施例，在确定USB外发敏感信息对应的USB拷贝操 作为异常拷贝行为之前，还包括：对历史拷贝操作对应的历史拷贝行为进 行标记；对标记生成的标记历史行为进行提取清洗，生成对应历史拷贝操 作的行为特征数据；通过决策树分类器对行为特征数据进行训练，以生成 决策树分类模型。

根据本公开的实施例，在确定USB外发敏感信息对应的USB拷贝操 作为异常拷贝行为中，包括：提取USB拷贝操作的行为特征；通过决策 树分类模型对行为特征进行预测，以确定USB拷贝操作为异常拷贝行为。

根据本公开的实施例，在通过决策树分类模型对行为特征进行预测， 以确定USB拷贝操作为异常拷贝行为中，包括：判断行为特征与决策树 分类模型对应的异常特征是否匹配；根据匹配结果确定异常拷贝行为。

根据本公开的实施例，在针对异常拷贝行为进行USB外发敏感信息 的管理中，包括：禁止异常拷贝行为对应的USB拷贝操作，防止USB外 发敏感信息的泄露。

根据本公开的实施例，在禁止异常拷贝行为对应的USB拷贝操作中， 包括：对异常拷贝行为的拷贝进程强制关停；卸载USB拷贝操作的执行 设备的拷贝驱动；和/或删除执行设备中的当前拷贝数据。

本公开的另一方面提供了一种USB外发敏感信息的管理装置，其中， 包括敏感信息分析模块、拷贝行为确定模块以及敏感信息管理模块。敏感 信息分析模块用于分析USB拷贝操作的目标拷贝数据为USB外发敏感信 息；拷贝行为确定模块用于确定USB外发敏感信息对应的USB拷贝操作 为异常拷贝行为；以及敏感信息管理模块用于针对异常拷贝行为进行USB 外发敏感信息的管理。

本公开的另一方面提供了一种电子设备，包括一个或多个处理器和存 储器；存储器用于存储一个或多个程序，其中，当上述一个或多个程序被 上述一个或多个处理器执行时，使得上述一个或多个处理器实现本公开实 施例的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可 执行指令，上述指令在被执行时用于实现本公开实施例的方法。

本公开的另一方面提供了一种计算机程序，上述计算机程序包括计算 机可执行指令，上述指令在被执行时用于实现本公开实施例的方法。

(三)有益效果

本公开提供了一种USB外发敏感信息的管理方法，其中包括：分析 USB拷贝操作的目标拷贝数据为USB外发敏感信息；确定USB外发敏感 信息对应的USB拷贝操作为异常拷贝行为；以及针对异常拷贝行为进行 USB外发敏感信息的管理。因此，相对于传统的人工审核，能够实现对敏 感信息异常拷贝行为监控管理的自动化，并及时阻止敏感信息外泄，进一 步达到了业务需求和数据安全的平衡需要，使得USB外发敏感信息的管 理更加高效。此外，本公开还提供了一种USB外发敏感信息的管理装置、 电子设备及计算机可读存储介质。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描 述，其中：

图1示意性示出了根据本公开实施例的可以应用USB外发敏感信息 的管理方法的一示例性系统架构；

图2示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的流程图；

图3示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图4示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图5示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图6示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图7示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图8示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图；

图9示意性示出了根据本公开实施例的USB外发敏感信息的管理装 置的框图；以及

图10示意性示出了根据本公开实施例的电子设备的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述 只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便 于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而， 明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。 此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地 混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公 开。在此使用的术语“包括”、“包含”等表明了上述特征、步骤、操作和/ 或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操 作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通 常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有 与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来 解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般 来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如， “具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具 有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、 B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图 中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指 令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理 器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/ 或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件 (包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程 序产品可供指令执行系统使用或者结合指令执行系统使用。

对于USB拷贝的应用场景而言，当通过USB设备作为拷贝执行设备 插入数据库服务器中进行服务器信息的拷贝操作，从而形成USB外发信 息。其中，服务器信息包括核心信息和配置信息，其中核心信息包括数据 库服务器的访问用户的个人信息、访问登录信息等，配置信息则包括数据 库服务器的基本信息、更新信息等。此外，USB外发信息可以是核心信息 或配置信息的一部分，USB外发信息具体包括普通信息和敏感信息，其中 普通信息为安全等级要求较低的服务器存储数据，敏感信息为安全等级要 求较高的服务器数据，例如访问用户的个人信息、访问登录信息、金融信 息等。需要说明的是，该数据库服务器可以应用于银行的访问服务器集群， 为用户提供数据访问等功能。

在通过USB设备对数据库服务器中的USB外发信息执行拷贝操作 时，数据库服务器需要对每个拷贝操作执行监测，以判断该拷贝操作的权 限或状态，根据其权限或状态来对该拷贝操作所执行的目标拷贝数据的拷 贝进行管理，以尽可能防止因异常拷贝操作导致的敏感数据的外泄。

尽管目前现有技术中对异常USB拷贝的限制已经非常严格，但是依 然存在数据对拷线等异常设备可以绕过监控和限制、人工审核方式无法避 免主观因素导致的敏感数据外泄的情况，而且人工审核方式的管理效率非 常低下，无法适应正常业务需求与数据安全的平衡要求。因此对于USB 外发敏感信息的管理还有待完善，及时发现并终止敏感信息对外拷贝，进 而无法及时阻止敏感信息泄露，同时提高整个管理过程的高效、准确、快 速。

为解决现有技术中针对USB外发信息的拷贝过程中所存在的问题中 至少之一，本公开提供了一种USB外发敏感信息的管理方法、USB外发 敏感信息的管理装置、电子设备及计算机可读存储介质。

需要说明的是，本公开实施例的USB外发敏感信息的管理方法和装 置可以应用于信息安全技术领域和物联网技术领域，也可以应用于除信息 安全技术领域和物联网技术领域之外的任意领域，如金融服务领域，本公 开实施例的USB外发敏感信息的管理方法和装置的应用领域不作具体限 定。

图1示意性示出了根据本公开实施例的可以应用USB外发敏感信息 的管理方法的示例性系统架构。

需要注意的是，图1所示仅为可以应用本公开实施例的应用示例，以 帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例 的USB外发敏感信息的管理方法的不可以用于其他设备、系统、环境或 场景。

如图1所示，根据该实施例的系统架构100可以包括数据请求系统 110，以及与该数据请求系统110建立数据通信的服务器系统120，其中服 务器系统中包括与数据请求系统110建立数据传输通道的服务器M、121、 122、123、124以及125，其中服务器M为主访问服务器(即总服务器)， 可以获取来自用户(如客户)的指令信息。服务器121、122、123、124 以及125为副访问服务器(即分服务器)，数据请求系统110与服务器M、 121、122、123、124以及125可以基于一个内部云端网络服务器C实现。 或者，服务器M、121、122、123、124以及125中的主服务器M为一网 络服务器时，即与其他终端设备111、112、113、114以及115的内网相对， 服务器系统120的主服务器M可以位于一外网中。此时，云端网络服务 器C此处用以其他终端设备111、112、113、114以及115之间提供通信 链路的介质。服务器系统120与多个终端设备之间的数据传输通道具体可 以通过各种通信连接类型实现，例如有线、无线通信链路或者光纤电缆等 等。其中，云端网络服务器C可以为一web服务器，以向用户提供图形显示和输入界面。

需要说明的是，根据本公开实施例，服务器121、122、123、124以 及125可以实现无密互联，应用于能够保证信息安全的大型业务服务。

用户可以使用终端设备111、112、113、114以及115与服务器系统 120交互，以接收或发送消息等，以实现数据交互或处理，具体涉及对服 务器系统中主服务器M中的数据库的访问。例如，终端设备111向终端设 备112发送业务数据等访问请求内容，服务器系统120在接收到终端设备 111的数据请求后，会对相应的业务数据执行转发处理，并在特定的需要 下对业务数据进行加密，以使得最终到达终端设备111的业务数据得到安 全保障。终端设备111、112、113、114以及115上可以安装有各种通讯客 户端应用，例如管理类应用、网页浏览器应用、搜索类应用、即时通信工 具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备111、112、113、114以及115可以是具有显示屏并且支持网 页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携 计算机和台式计算机以及各类应用服务器等等。

服务器系统120可以包括提供各种服务的各类型防火墙，例如对用户 利用终端设备111、112、113、114以及115所浏览的网站提供支持的过滤 型防火墙(仅为示例)。过滤型防火墙可以对接收到的用户请求等数据进 行分析等处理，并基于数据源头的地址以及协议类型等标志特征进行分 析，确定是否可以通过，从而将不安全因素过滤或阻挡。

需要说明的是，本公开实施例所提供的USB外发敏感信息的管理方 法一般可以由服务器系统120执行。相应地，本公开实施例所提供的USB 外发敏感信息的管理装置一般可以设置于服务器系统120中。本公开实施 例所提供的USB外发敏感信息的管理方法也可以由不同于服务器系统120 且能够与终端设备111、112、113、114、115和/或服务器系统120通信的 其他服务器系统执行。相应地，本公开实施例所提供的USB外发敏感信 息的管理装置也可以设置于不同于服务器系统120且能够与终端设备111、 112、113、114、115和/或服务器系统120通信的其他服务器系统中。

应该理解，图1中的终端设备和服务器的数目仅仅是示意性的。根据 实现需要，可以具有任意数目的终端设备、服务器。

以下结合图2-图10，对本公开提供的USB外发敏感信息的管理方法、 USB外发敏感信息的管理装置、电子设备及计算机可读存储介质作进一步 的详细说明。

图2示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的流程图。

如图2所示，本公开的一方面提供了一种USB外发敏感信息的管理 方法，其中，包括步骤S201-S203。

在步骤S201中，分析USB拷贝操作的目标拷贝数据为USB外发敏 感信息；

在步骤S202中，确定USB外发敏感信息对应的USB拷贝操作为异 常拷贝行为；以及

在步骤S203中，针对异常拷贝行为进行USB外发敏感信息的管理。

USB设备(如U盾、U盘等)作为数据拷贝执行设备，可以通过USB 接口插入数据库服务器(如具有数据处理和存储功能的主机设备)中实现 与数据库服务器之间的数据传输关系。

USB拷贝操作是基于上述数据传输关系，进行的目标拷贝数据的选 中、复制、拖动等数据移动操作，该操作目的在于将目标拷贝数据移动或 复制到USB设备中。其中，目标拷贝数据为USB设备需要或想要获取的 存储于数据库服务器中的原始存储数据，如业务数据、配置数据、执行记 录等。在原始存储数据中，存在涉及信息安全、系统安全等安全等级要求 较高的存储数据，即敏感信息，当该敏感信息的部分或全部作为上述USB 设备的目标拷贝数据时，则可以称之为USB外发敏感信息。对该目标拷 贝数据进行分析判断，以确定该目标拷贝数据是否为USB外发敏感信息， 从而能够实现对敏感信息外发的精准判断。

当所述目标拷贝数据被判断为USB外发敏感信息之后，则可以确定 对应该目标拷贝数据的USB拷贝操作属于异常拷贝行为。异常拷贝行为 为对数据库服务器中的敏感信息进行非正常访问操作(如查询、删除、移 动等)，使得数据库服务器的敏感信息易于造成泄漏的操作行为。其中， 非正常访问操作可以理解为没有经过授权的数据操作。

当确认上述目标拷贝数据的USB拷贝操作属于上述异常拷贝行为之 后，则可以对上述异常拷贝行为进行管理操作，例如对异常拷贝行为进行 权限验证、禁止执行、中断操作或者删除数据等具体的管理操作，从而实 现对异常拷贝行为所移动的USB外发敏感信息的管理，防止USB外发敏 感信息的泄露。

因此，相对于传统的人工审核，能够实现对敏感信息异常拷贝行为监 控管理的自动化，并及时阻止敏感信息外泄，进一步达到了业务需求和数 据安全的平衡需要，使得USB外发敏感信息的管理更加高效。此外，通 过同时对目标拷贝数据的USB拷贝操作也进行异常行为的认定，从而实 现信息和行为的两级判断，在提高数据安全性的情况下，确保了整个过程 的自动化执行，使得敏感信息的管理更加高效准确。

图3示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图3所示，根据本公开的实施例，在步骤S201分析USB拷贝操作 的目标拷贝数据为USB外发敏感信息之前，还包括步骤S301-S302。

在步骤S301中，整理历史拷贝数据以转化为TF-IDF拷贝数据；

在步骤S302中，对TF-IDF拷贝数据进行训练以获取TF-IDF模型。

在数据库服务器中存储所有数据拷贝记录，该数据拷贝记录对每次 USB拷贝操作的USB外发拷贝数据进行记录。对上述数据拷贝记录进行 汇总整理，可以形成历史拷贝数据。通过对该历史拷贝数据进行TF-IDF 数据转换操作，可以形成TF-IDF拷贝数据，从而使得TF-IDF拷贝数据能 够成为TF-IDF算法可接受的数据。

对上述TF-IDF拷贝数据进行算法训练，可以获取对应上述历史拷贝 数据的TF-IDF模型。

其中，采用TF-IDF算法对历史拷贝数据进行分析，相对于其他信息 检索算法，TF-IDF算法需要大量文本进行统计，适合大量语料下的关键 词生产。TF-IDF算法的基本逻辑为当某些词语在某一数据中出现的频率 比在其他数据中出现频率(即词频，简称TF)更高，则这些词语可能更 能体现这一数据的主旨。因此，在统计词频的基础上，要对每个词分配一 个“重要性”权重，即逆文档概率，简称IDF。

因此，相对于现有技术中其他的信息检索算法，基于TF-IDF算法的 历史拷贝数据的TF-IDF模型可以更好地实现对目标拷贝数据中关键词的 分析。

图4示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图4所示，根据本公开的实施例，在步骤S201分析USB拷贝操作 的目标拷贝数据为USB外发敏感信息中，包括步骤S401-S402。

在步骤S401中，通过TF-IDF模型分析目标拷贝数据中的关键词；

在步骤S402中，当关键词与预设语料库中的敏感词相匹配时，确定 目标拷贝数据为USB外发敏感信息。

对USB外发敏感信息进行分析判断的过程中，利用TF-IDF模型可以 实现对目标拷贝数据中的关键词进行分析整理，形成关键词集合。其中， 关键词可以为金融、客户名称、卡号等。

当关键词集合存在的至少一个关键词与预设语料库中所存在的至少 一个敏感词相匹配时，则可以确定目标拷贝数据为USB外发敏感信息。 其中，通过前期预先建立敏感词库，通过收集典型敏感信息数据文本并对 敏感词进行整理，形成敏感词集合的预设语料库。以金融服务业为例，敏 感词集合的预设语料库可以如下表1所示：

卡号	身份证号	账目	手机号	。。。。。。
					账号	密码	额度	金额	。。。。。。

表1

因此，TF-IDF模型可以根据前期由大量数据构建的预设语料库和上 述关键词进行比对，若有任意一个关键词与预设语料库中的敏感词对比成 功，则判断为敏感数据，即上述目标拷贝数据为USB外发敏感信息。若 所有关键词与预设语料库中的敏感词均不能够比对成功，则判断上述目标 拷贝数据为正常数据，即普通数据。其中，关键词的比对是判断关键词与 敏感词是否一致。之后，基于USB外发敏感信息的确认，对该USB外发 敏感信息的USB拷贝操作的行为特征进行判断分析。

图5示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图5所示，根据本公开的实施例，在步骤S401通过TF-IDF模型分 析目标拷贝数据中的关键词中，包括步骤S501-S503。

在步骤S501中，对目标拷贝数据中的名词分配权重值；

在步骤S502中，根据权重值的大小对名词进行排序；以及

在步骤S503中，基于排序确定名词为关键词。

在本公开的实施例中，TF-IDF模型满足：

TF(词频)＝敏感词出现在单个文本的次数/文本的总词数；

IDF(逆文档概率)＝log(语料库的文档总数/(包含该词的文档数+1))。

因此，可以得到目标拷贝数据中某个名词的TF-IDF值＝TF*IDF。其 中，当该名词对所在文本的重要性越高，其IF-IDF值越大。因此，可以将 IF-IDF值最大的几个词，确认为该目标拷贝数据的关键词。

为此，为目标拷贝数据中的各个名词分配IF-IDF值作为权重值，对应 于上述各个名词的IF-IDF值的大小，实现基于权重值的大小对各个名词的 的排序，根据预设的关键词确定规则，选择IF-IDF值最大、占名词总数或 数据文本总字数一定比例的多个名词作为该目标拷贝数据的关键词。其 中，该预设的关键词确定规则可以依据具体的关键词选择经验进行确认， 由运维人员或技术人员进行参数调整，其可以决定上述关键词在名词总数 中的比例，如文本总字数中0.1％的比例。

为使得本领域技术人员对于关键词的确定过程有更好的理解，根据上 述图3-图5所示的步骤S301-S503，作进一步举例说明如下：

当对应USB拷贝操作的目标拷贝数据中的文本中包括1000个名词， 其中“金融”、“客户名称”、“卡号”等各出现10次，则三个词的词频TF 都为0.01。此外，当该目标拷贝数据中有10000个数据文本，其中包含“金 融”名词的文本有1000个数据文本、“客户名称”名词的文本有100个数 据文本，“卡号”名词的文本有10个数据文本，那么可以获取上述3个名词的IF-IDF值中“卡号”名词的IF-IDF值最大。因为，该“卡号”名词 对应的文本中有1000个词，1000*0.1％＝1，则可以确定IF-IDF值最大的 “卡号”名词为这个目标拷贝数据中的唯一关键词。将“卡号”关键词与 前期建立预设语料库中的敏感词进行对比，发现和敏感词匹配，即判断该 目标拷贝数据为USB外发敏感信息，直接进入到USB拷贝操作行为的判 断阶段。

图6示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图6所示，根据本公开的实施例，在步骤S202确定USB外发敏感 信息对应的USB拷贝操作为异常拷贝行为之前，还包括步骤S601-S603。

在步骤S601中，对历史拷贝操作对应的历史拷贝行为进行标记；

在步骤S602中，对标记生成的标记历史行为进行提取清洗，生成对 应历史拷贝操作的行为特征数据；以及

在步骤S603中，通过决策树分类器对行为特征数据进行训练，以生 成决策树分类模型。

在对USB拷贝操作的行为进行判断之前，需要收集数据库服务器中 历史记录中存在的USB拷贝泄露敏感数据的案例，确定案例中USB外发 数据的USB拷贝操作的异常行为的异常行为特征数据。之后，基于收集 数据库服务器中正常业务访问产生的正常拷贝行为的正常行为特征数据。 通过对上述异常行为特征数据和正常行为特征数据进行分析筛选，可以获 得通过正常业务产生的正常拷贝行为次数，涉及泄露敏感数据的异常拷贝 行为次数，然后对收集到的异常拷贝行为的数据进行标记，从而实现对历 史拷贝操作中的历史拷贝行为的标记。其中，历史拷贝操作包括对正常业 务访问产生的正常拷贝操作和对敏感数据进行的异常拷贝操作，历史拷贝 行为则包括正常拷贝行为和异常拷贝行为，对历史拷贝行为的标记可以是 针对异常拷贝行为或正常拷贝行为的标记，例如将异常拷贝行为标记为1； 也可以是针对异常拷贝行为和正常拷贝行为的标记，例如将异常拷贝行为 标记1，同时将正常拷贝行为标记为0等，具体不作限制。

对于历史拷贝行为进行标记之后，由于标记之后形成的标记历史行为 对应的数据量较大，可以对该标记历史行为形成的数据进行提取清洗，以 生成对应上述历史拷贝操作的原始行为特征，即行为特征数据。具体地， 可以基于一定时间窗口内对标记历史行为的拷贝数据进行提取，并将原始 数据生成为如下表2所示的USB拷贝行为特征表里的原始行为特征。

表2

如此，以利于将上述的行为特征数据转换为决策树分类器所接受的数 据。对于上述行为特征数据进行分类分析是基于决策树算法所实现，相对 其他类型的分类算法，决策树具有分类速度快、对缺失值相对宽容、可同 时分析线性、非线性数据关系等优点。因此，本公开实施例的决策树分类 模型可持续根据已判断出的行为特征不断完善，达到精准判断异常拷贝行 为的目的。

具体地，可以基于决策树分类器对上述的行为特征数据进行决策树分 类训练，以生成可以应用于异常拷贝行为判断分析的决策树分类模型。

图7示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图7所示，根据本公开的实施例，在步骤S202确定USB外发敏感 信息对应的USB拷贝操作为异常拷贝行为中，包括步骤S701-S702。

在步骤S701中，提取USB拷贝操作的行为特征；

在步骤S702中，通过决策树分类模型对行为特征进行预测，以确定 USB拷贝操作为异常拷贝行为。

对于前述所提及的目标拷贝数据对应的USB拷贝操作进行如表2所 示的行为特征的提取操作，可以获取对应的拷贝行为的特征数据。

通过基于决策树分类算法所构建的决策树分类器，利用生成的行为特 征和标记数据进行分类模型训练，获取已训练的决策树分类模型。然后基 于该决策树分类模型对上述的USB拷贝操作所对应的行为特征的特征数 据进行预测，并在当预测满足异常特征时，则判定上述的USB拷贝操作 行为为异常拷贝行为；当预测不满足异常特征时，则判定上述的USB拷 贝操作行为为正常拷贝行为。

可见，根据上述生成的行为特征、标记行为的数据训练分类模型，基 于终端的情况可以实现对当前的USB拷贝操作的判断分析，以确定其为 正常拷贝行为或异常拷贝行为。

图8示意性示出了根据本公开实施例的USB外发敏感信息的管理方 法的另一流程图。

如图8所示，根据本公开的实施例，在通过决策树分类模型对行为特 征进行预测，以确定USB拷贝操作为异常拷贝行为中，包括步骤 S801-S802。

在步骤S801中，判断行为特征与决策树分类模型对应的异常特征是 否匹配；

在步骤S802中，根据匹配结果确定异常拷贝行为。

如前述所言，当上述USB拷贝操作的行为特征满足与该决策树分类 模型所对应的异常特征匹配成功时，即行为特征与该异常特征部分或完全 相同，则确定匹配结果为正。当上述USB拷贝操作的行为特征与该决策 树分类模型所对应异常特征匹配失败时，即行为特征与该异常特征不同， 则确定匹配结果为负。

其中，可以理解的是，该USB拷贝操作的行为特征可以为一具体的 行为数据，如表2所示的行为特征为拷贝记录时间，该行为特征所对应的 是“拷贝时间是否为夜间或凌晨(如22:00-次日6:00)”，当其对应的拷贝 记录时间满足夜间或凌晨的状态时，则确定该行为特征与决策树分类模型 对应异常特征部分或完全匹配，即匹配结果为正。相反，当年其对应拷贝 记录时间不满足该夜间或凌晨的状态时，则确定该行为特征与决策树分类 模型对应异常特征不匹配，即匹配结果为负。

在匹配结果为正时，则确定该USB拷贝操作的行为属于异常拷贝行 为，在匹配结果为负时，则确定该USB拷贝操作的行为属于正常拷贝行 为。以此，可以实现对目标拷贝数据对应的USB拷贝操作的行为特征进 行准确的判断。

根据本公开的实施例，在步骤S203针对异常拷贝行为进行USB外发 敏感信息的管理中，包括：

禁止异常拷贝行为对应的USB拷贝操作，防止USB外发敏感信息的 泄露。

当上述目标拷贝数据对应USB拷贝行为被确定为异常拷贝行为，同 时该目标拷贝数据确定为USB外发敏感信息时，则需要对该异常拷贝行 为的执行进行阻止，以确保敏感信息不被泄露。阻止该异常拷贝行为的执 行操作一般为禁止异常拷贝行为对应的USB拷贝操作。

根据本公开的实施例，在禁止异常拷贝行为对应的USB拷贝操作中， 包括：

对异常拷贝行为的拷贝进程强制关停；

卸载USB拷贝操作的执行设备的拷贝驱动；和/或

删除执行设备中的当前拷贝数据。

如前述所言，在考虑对上述的异常拷贝行为的执行禁止USB拷贝操 作的方式中，若异常拷贝行为的拷贝进程仍处于执行状态时，则可以直接 对该进程执行强制关停的操作，切断数据进程，防止敏感信息被拷贝到 USB设备中。

对执行USB拷贝操作的执行设备(如USB设备)进行拷贝驱动的卸 载，可以使得执行设备丧失数据移动功能，从而阻止敏感信息被拷贝到执 行设备中。

此外，由于本公开实施例的USB外发敏感信息和异常拷贝行为的判 断过程需要时间，使得当USB拷贝操作的足够快的情况下(如直接选中 拖动)，会出现已有数据被存储或移动至执行设备中的情况。为避免敏感 信息外泄，可以直接对执行设备中已移动的数据执行删除操作，如格式化。 从而更进一步地防止敏感信息的外泄，加强数据安全。

因此，通过强制关停进程、卸载驱动以及执行设备的数据删除等操作 的任意组合，可以更为多样地实现敏感信息的有效管理，提高数据安全水 平。

本公开的实施例所涉及的USB外发敏感信息的管理方法，主要涉及 信息技术领域和信息安全领域，是一种基于机器学习算法检测USB外发 敏感信息的模型，该模型可以利用TF-IDF算法，通过分析USB拷贝外发 的内容，初步判断对外的拷贝信息是否为敏感信息，并作该拷贝信息为敏 感信息时，可以通过分析USB拷贝记录，基于预先建立的决策树分类机 器学习模型，对该拷贝信息对应的对外拷贝行为进行特征分析，并进一步 对该对外拷贝行为的异常行为进行判断和阻止。

因此，本公开实施例的上述方法提出一种基于判断敏感信息和异常拷 贝行为来阻止USB外发敏感信息外泄的技术方案，用于监测发现敏感信 息异常拷贝行为，其核心思想是先利用TF-IDF算法对外发拷贝信息是否 为敏感信息进行判断，在该信息为敏感信息时通过决策树算法分析USB 拷贝行为特征，找出异常敏感信息的拷贝行为记录并及时制止，从而可实 现对敏感信息拷贝的自动发现处理，后续可对类似其他进程进行判断。

因此，相对于现有技术中仍过多的依赖于硬件控制或人工审核对敏感 数据拷贝过程中的敏感信息操作进行阻止的技术方案，本公开实施例的上 述方法将有效发现异常的敏感信息及其对应的异常拷贝行为，防止敏感信 息泄露，并实现整个过程的自动化和智能化。具体地，本公开实施例的上 述管理方法可以具有如下技术效果或技术优势：

(1)可以实现对敏感信息拷贝的审核、阻止的控制自动化，达到业 务需求和数据安全的平衡。

(2)针对数据对拷线等非标准的USB拷贝设备，也适用于防止此类 设备对敏感信息的违规拷贝。

图9示意性示出了根据本公开实施例的USB外发敏感信息的管理装 置的框图。

如图9所示，本公开的另一方面提供了一种USB外发敏感信息的管 理装置900，其中，包括敏感信息分析模块910、拷贝行为确定模块920 以及敏感信息管理模块930。敏感信息分析模块910用于分析USB拷贝操 作的目标拷贝数据为USB外发敏感信息；拷贝行为确定模块920用于确 定USB外发敏感信息对应的USB拷贝操作为异常拷贝行为；以及敏感信 息管理模块930用于针对异常拷贝行为进行USB外发敏感信息的管理。

需要说明的是，图9所示USB外发敏感信息的管理装置900部分的 实施例方式与前述USB外发敏感信息的管理方法部分的实施例方式对应 类似，并且所达到的技术效果也对应类似，在此不再赘述。

图10示意性示出了根据本公开实施例的电子设备的框图。

其中，图10示出的电子设备仅仅是一个示例，不应对本公开实施例 的功能和使用范围带来任何限制。

本公开的另一方面提供了一种电子设备，包括一个或多个处理器和存 储器；存储器用于存储一个或多个程序，其中，当上述一个或多个程序被 上述一个或多个处理器执行时，使得上述一个或多个处理器实现本公开实 施例的方法。

如图10所示，根据本公开实施例的计算机系统1000包括处理器1001， 其可以根据存储在只读存储器(ROM)1002中的程序或者从存储部分1008 加载到随机访问存储器(RAM)1003中的程序而执行各种适当的动作和 处理。处理器1001例如可以包括通用微处理器(例如CPU)、指令集处 理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))， 等等。处理器1001还可以包括用于缓存用途的板载存储器。处理器1001 可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理 单元或者是多个处理单元。

在RAM 1003中，存储有系统1000操作所需的各种程序和数据。处 理器1001、ROM1002以及RAM 1003通过总线1004彼此相连。处理器 1001通过执行ROM 1002和/或RAM 1003中的程序来执行根据本公开实 施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 1002和RAM 1003以外的一个或多个存储器中。处理器1001也可以通过 执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的 方法流程的各种操作。

根据本公开的实施例，系统1000还可以包括输入/输出(I/O)接口 1005，输入/输出(I/O)接口1005也连接至总线1004。系统1000还可以 包括连接至I/O接口1005的以下部件中的一项或多项：包括键盘、鼠标等 的输入部分1006；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等 以及扬声器等的输出部分1007；包括硬盘等的存储部分1008；以及包括 诸如LAN卡、调制解调器等的网络接口卡的通信部分1009。通信部分1009 经由诸如因特网的网络执行通信处理。驱动器1010也根据需要连接至I/O 接口1008。可拆卸介质1011，诸如磁盘、光盘、磁光盘、半导体存储器 等等，根据需要安装在驱动器1010上，以便于从其上读出的计算机程序 根据需要被安装入存储部分1008。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计 算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括 承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行 流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通 过通信部分1009从网络上被下载和安装，和/或从可拆卸介质1011被安装。 在该计算机程序被处理器1001执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、 单元等可以通过计算机程序模块来实现。

根据本公开的实施例，敏感信息分析模块910、拷贝行为确定模块920 以及敏感信息管理模块930中的至少一个可以实现为参考图10描述的计 算机程序模块，其在被处理器执行时，可以实现上面描述USB外发敏感 信息的管理方法的相应操作。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可 执行指令，上述指令在被执行时用于实现本公开实施例的方法。

具体地，该计算机可读存储介质可以是上述实施例中描述的设备/装置 /系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。 上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个 程序被执行时，实现根据本公开实施例的USB外发敏感信息的管理方法。

或者，该计算机可读存储介质可以是上述实施例中描述的设备/装置/ 系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。 上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个 程序被执行时，实现根据本公开实施例的USB外发敏感信息的管理方法。

本公开的另一方面提供了一种计算机程序，上述计算机程序包括计算 机可执行指令，上述指令在被执行时用于实现本公开实施例USB外发敏 感信息的管理方法。

至此，已经结合附图对本公开实施例进行了详细描述。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法 和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程 图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上 述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功 能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注 的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示 的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行， 这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以 及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的 基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实 现。

本领域技术人员可以理解，尽管已经参照本公开的特定示例性实施例 示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利 要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行 形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例， 而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来 进行限定。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行 了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而 已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修 改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种USB外发敏感信息的管理方法，其中，包括：

分析USB拷贝操作的目标拷贝数据为所述USB外发敏感信息；

确定所述USB外发敏感信息对应的USB拷贝操作为异常拷贝行为；以及

针对所述异常拷贝行为进行所述USB外发敏感信息的管理。

2.根据权利要求1所述的方法，其中，在所述分析USB拷贝操作的目标拷贝数据为所述USB外发敏感信息之前，还包括：

整理历史拷贝数据以转化为TF-IDF拷贝数据；

对所述TF-IDF拷贝数据进行训练以获取TF-IDF模型。

3.根据权利要求2所述的方法，其中，在所述分析USB拷贝操作的目标拷贝数据为所述USB外发敏感信息中，包括：

通过所述TF-IDF模型分析所述目标拷贝数据中的关键词；

当所述关键词与预设语料库中的敏感词相匹配时，确定所述目标拷贝数据为所述USB外发敏感信息。

4.根据权利要求3所述的方法，其中，在所述通过所述TF-IDF模型分析所述目标拷贝数据中的关键词中，包括：

对所述目标拷贝数据中的名词分配权重值；

根据所述权重值的大小对所述名词进行排序；以及

基于所述排序确定所述名词为所述关键词。

5.根据权利要求1所述的方法，其中，在所述确定所述USB外发敏感信息对应的USB拷贝操作为异常拷贝行为之前，还包括：

对历史拷贝操作对应的历史拷贝行为进行标记；

对所述标记生成的标记历史行为进行提取清洗，生成对应所述历史拷贝操作的行为特征数据；

通过决策树分类器对所述行为特征数据进行训练，以生成决策树分类模型。

6.根据权利要求5所述的方法，其中，在所述确定所述USB外发敏感信息对应的USB拷贝操作为异常拷贝行为中，包括：

提取所述USB拷贝操作的行为特征；

通过决策树分类模型对所述行为特征进行预测，以确定所述USB拷贝操作为异常拷贝行为。

7.根据权利要求6所述的方法，其中，在所述通过决策树分类模型对所述行为特征进行预测，以确定所述USB拷贝操作为异常拷贝行为中，包括：

判断所述行为特征与所述决策树分类模型对应的异常特征是否匹配；

根据所述匹配结果确定所述异常拷贝行为。

8.根据权利要求1所述的方法，其中，在所述针对所述异常拷贝行为进行所述USB外发敏感信息的管理中，包括：

禁止所述异常拷贝行为对应的USB拷贝操作，防止所述USB外发敏感信息的泄露。

9.根据权利要求8所述的方法，其中，在所述禁止所述异常拷贝行为对应的USB拷贝操作中，包括：

对所述异常拷贝行为的拷贝进程强制关停；

卸载所述USB拷贝操作的执行设备的拷贝驱动；和/或

删除所述执行设备中的当前拷贝数据。

10.一种USB外发敏感信息的管理装置，其中，包括：

敏感信息分析模块，用于分析USB拷贝操作的目标拷贝数据为所述USB外发敏感信息；

拷贝行为确定模块，用于确定所述USB外发敏感信息对应的USB拷贝操作为异常拷贝行为；以及

敏感信息管理模块，用于针对所述异常拷贝行为进行所述USB外发敏感信息的管理。

11.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至9中任一项所述的方法。

12.一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现权利要求1至9中任一项所述的方法。

Images