CN115037559B

CN115037559B - 一种基于流量的数据安全监测系统、电子设备及存储介质

Info

Publication number: CN115037559B
Application number: CN202210953512.4A
Authority: CN
Inventors: 谢玮; 魏薇; 吴荻; 张媛媛; 刘婷婷; 王丽耀
Original assignee: China Academy of Information and Communications Technology CAICT
Current assignee: China Academy of Information and Communications Technology CAICT
Priority date: 2022-08-10
Filing date: 2022-08-10
Publication date: 2022-11-01
Anticipated expiration: 2042-08-10
Also published as: CN115037559A

Abstract

本发明提供一种基于流量的数据安全监测系统、电子设备及存储介质，系统包括：流量收集模块根据预设的流量采集规则从数据中心采集流量；协议解析模块通过预设的解析协议对采集到的流量进行解析，找出流量中存在的预设的解析协议类型的文件；文件还原模块将文件的内容全部识别并按预设顺序还原；数据分类分级模块对还原后的文件中数据进行分类分级，分别确定数据的类型和级别；数据安全风险监测模块在数据分类分级的基础上，结合数据行为特征，判断数据安全风险；态势感知分析模块将数据分类分级的结果、数据安全风险的监测结果和数据行为特征综合分析，感知数据安全的整体态势。本发明能及时发现流量中可能的数据安全风险，提升数安技术保障水平。

Description

一种基于流量的数据安全监测系统、电子设备及存储介质

技术领域

本发明属于互联网数据监测领域，尤其涉及一种基于流量的数据安全监测系统、电子设备及存储介质。

背景技术

随着数据作为生产要素的价值进一步凸显，数据安全的定义和内涵逐步扩展到其承载的个人利益、产业利益和国家利益的安全保护，比如个人信息保护、影响国计民生的重要数据安全保护等。数据是国家、社会、企业、个人的核心资产，一旦发生数安安全风险事件，数据遭受攻击、窃取或破坏，会造成巨大的经济损失，对数据进行安全监测与预警，防范数据安全威胁势在必行。

数据安全所面临的严峻形势，针对流量数据的安全监管能力建设存在滞后现象，监管部门缺乏有效落实数据安全责任的技术手段和抓手，缺少数据安全监测分析的技术体系，无法准确掌握全国数据安全现状和态势，更无从对安全风险进行追踪核查溯源，因此亟需研究一套面向监管需求的基于流量的数据安全监测分析系统，提升行业技术能力水平，支撑更科学的监管决策。

现有数据安全相关监测系统主要包括，一是数据识别分类和流量异常研判工作；二是基于特定接口的数据安全研判工作；三是针对特定应用领域的数据安全研判工作，具体如下。

已有研究提出一种基于流量的敏感数据识别方法，包括：采集应用软件的流量；对流量进行解析处理，得到流量数据集；对流量数据集中的流量数据进行数据类型识别；当流量数据为第一类别时，判断流量数据是否与预设正则表达式匹配，若匹配，则将流量数据判定为敏感数据；当流量数据为第二类别时，计算流量数据的哈希值，并判定哈希值与预设哈希阈值是否一致，若一致，则判定对应的流量数据为敏感数据。此外，本发明还涉及区块链技术，所述预设哈希阈值可存储于区块链的节点。

已有研究提出一种基于动态网络环境下的未知流量数据识别方法及装置。该方法通过先利用已知网络流量分类模型对网络数据中的已知流量进行分类，再根据分类预测结果进行初步判断，将初步判断为未知流量数的网络数据利用自适应聚类方法对未知流量数据的类别进行划分，再通过相似系数估计方法对各类别进行识别，以识别出属于恶意流量的类别以及正常流量的类别，也就是对未知流量数据的进行进一步的认识及学习，将其转变为已知流量数据，并将该新的已知流量数据再次对已知网络流量分类模型进行训练及更新。

已有研究提出一种数据安全监控方法及装置，该装置包括：数据前置模块，用于：采集待监控设备历史上传输数据时的流量数据，所述流量数据包括数据流的瞬时速率及对应时间；监控告警模块，用于：使用预设的预测算法，基于所述流量数据预测得到预设时刻所述待监控设备的瞬时速率为预测瞬时速率，判断所述预测瞬时速率是否符合预设要求，如果是，则确定无需发出相应的告警信息，如果否，则发出相应的告警信息；算法控制模块，用于：提供所述监控告警模块需使用的所述预测算法。本申请能够预先判定待监控设备在未来某时刻是否存在安全威胁，以基于此预先采取相应措施保证待监控设备的安全，也即本申请能够在一定程度上有效保证待监控设备的设备安全性。

已有研究提出一种基于API流量的数据分类分级及数据安全监测方法，包括直接获取API接口流量中的全部所需信息，通过聚类分析方法对全部所需信息聚类分析得到聚类结果，基于聚类结果构建API接口数据的监测模型的监测基准，基于监测基准对API接口中的实时数据进行实时监控。用于解决现有技术中监控信息不完整以及监控信息存在时差等问题。实现了对API接口数据实时监测，同时提供准确管控措施。

已有研究提出一种工控网络数据安全监测系统，采用旁路采集策略，针对工控网络中的工控以太网、工控总线、工控IO三方面，实现工控网络中不同层次、多维因素的侦测，并应用现有技术的工控网络数据安全监测装置，更加全面分析工控网络所面临的安全威胁，有效减少监测的漏报率，获得工控网络中异常流量数据信息的发现；并且通过多层次数据的关联分析，还可以提高事件溯源的准确程度和速度，保证工控网实际应用的稳定性与安全性。

已有研究提出一种水利发电数据安全监测系统，涉及水利发电技术领域，包括整体远望装置，所述整体远望装置的输出端双向连接有监控控制器，所述监控控制器的输出端单向连接有反馈维护器，所述反馈维护器的输入端单向连接有第一智能控制箱。该水利发电数据安全监测系统，通过整体远望装置、监控控制器、反馈维护器和数据终端的配合设置，能够使一个监测装置失灵时及时的对其重启和恢复，解决了现有的装置失灵丧失系统全面性的情况；通过整体远望装置、监控控制器、第一智能控制箱、出入口监控、数据终端和室内显示器的配合设置，能够使系统各部分分工明确，简单迅速，解决了现有的系统冗杂不够高效的情况。

现有技术的缺点

现有研究主要包括：1）基于流量的数据识别和流量异常研究，但需要已知流量作为训练，且无法对具体数据进行分类分级；2）仅对API接口进行监测，适用范围较小；3）仅监测特定应用领域的数据研判，但需要特定的数据来源。由此可见，上述研究均不适用于基于流量的数据安全监测分析。

发明内容

为解决上述技术问题，本发明提出一种基于流量的数据安全监测、电子设备及存储介质的技术方案，以解决上述技术问题。

本发明第一方面公开了一种基于流量的数据安全监测系统，所述系统包括：

流量收集模块、协议解析模块、文件还原模块、数据分类分级模块、风险监测模块和态势感知分析模块；

所述流量收集模块根据预设的流量采集规则从数据中心采集流量；

所述协议解析模块通过预设的解析协议对采集到的流量进行解析，找出所述流量中存在的预设的解析协议类型的文件；

所述文件还原模块将协议解析后的文件的内容全部识别并按预设顺序还原；

所述数据分类分级模块对还原后的文件中的数据进行分类分级，分别确定所述数据的类型和级别；

所述数据安全风险监测模块在数据分类分级的基础上，结合数据行为特征，判断数据安全风险；

所述态势感知分析模块将数据分类分级的结果、数据安全风险的监测结果和所述数据行为特征综合分析，感知数据安全的整体态势。

根据本发明第一方面的系统，所述预设的流量采集规则包括：限定源/目的IP地址、源/目的端口、域名、URL、时间范围、通信协议和地域范围的单规则及组合规则。

根据本发明第一方面的系统，所述预设的解析协议包括：应用层协议、VPN类协议和工控类协议。

根据本发明第一方面的系统，还原文件的格式包括：文本格式、办公文件格式、压缩文件格式和图片格式。

根据本发明第一方面的系统，所述对还原后的文件中的数据进行分类的方法包括：

利用自然语言处理、语音识别和图像处理技术将预设的格式类型的数据转换为文字或机器语言，然后按照行业标准或规范定义，识别出具体行业的数据的类型；

对还原后的文件中的数据进行分级的方法包括：

利用专家规则库、机器学习和深度学习方法识别出分类后数据的级别。

根据本发明第一方面的系统，所述在数据分类分级的基础上，结合数据行为特征，判断数据安全风险的方法包括：

基于数据分类分级的结果和数据行为特征，利用基于人工智能算法的数据安全风险规则库和多维数据关联分析方法挖掘数据安全风险，针对数据全生命周期中预设环节监测数据安全风险；所述数据安全风险包括：数据传输环节数安风险、数据使用环节数安风险和数据共享环节数安风险。

根据本发明第一方面的系统，所述数据安全风险规则库是应用数据类型、数据级别、数据量和风险范围进行训练的规则库，通过数据类型、数据级别、数据量和风险范围的权重给出初步的数据安全风险判断，并利用人工智能方法周期性更新数据类型、数据级别、数据量和风险范围的权重；

所述数据行为特征包括：源IP与端口和目的IP与端口、用户访问频次、单次访问量及总体访问量。

根据本发明第一方面的系统，所述将数据分类分级的结果、数据安全风险的监测结果和所述数据行为特征综合分析，感知数据安全的整体态势的方法包括：

将数据分类分级结果、风险监测结果和所述数据行为特征综合分析，从而得到所有数据资源的分布与规模情况和数据安全风险的分布与规模情况，并可以按照企业维度、行业维度、地域维度和时间维度反映数据安全的整体态势。

本发明第二方面提供了一种电子设备，所述设备包括存储器和处理器，所述存储器上存储有计算机程序，该计算机程序被所述处理器执行时，执行如本发明第一方面所述的一种基于流量的数据安全监测系统中的方法。

本发明第三方面提供了一种存储介质，该存储介质存储的计算机程序，能够被一个或多个处理器执行，能够用来实现如本发明第一方面所述的一种基于流量的数据安全监测系统中的方法。

本发明提出的方案，可以有效监测流量中的数据安全风险，弥补了基于流量对数据安全风险进行监测的空白，提升行业技术能力水平，支撑更科学的监管决策。同时，可以提前发现异常数据行为，做到事前预警，并提供可靠的取证凭证。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明实施例的一种基于流量的数据安全监测系统的结构图；

图2为根据本发明实施例的一种电子设备的结构图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例只是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明第一方面公开了一种基于流量的数据安全监测系统，图1为根据本发明实施例的一种基于流量的数据安全监测系统的结构图，具体如图1所示，所述系统包括：流量收集模块、协议解析模块、文件还原模块、数据分类分级模块、风险监测模块和态势感知分析模块；

所述数据中心是任意可以产生流量的节点，包括但不限于互联网上的流量数据以及局域网中的流量数据。

可以是互联网上的流量数据也可以是局域网中的流量数据。

在一些实施例中，所述预设的流量采集规则包括：限定源/目的IP地址、源/目的端口、域名、URL、时间范围、通信协议和地域范围的单规则及组合规则；使用者可以根据具体数据安全风险场景制定流量采集规则。

在一些实施例中，所述预设的解析协议包括：应用层协议、VPN类协议和工控类协议；

所述应用层协议包括：HTTP、POP3、SMTP、FTP和MYSQL等应用层协议；

所述VPN类协议包括：PPTP和IPSEC等VPN类协议；

所述工控类协议包括：S7、MODBUS和ENIP_TCP等主流工控类协议。

在一些实施例中，还原文件的格式包括：文本格式、办公文件格式、压缩文件格式和图片格式；

文本格式包括：TXT、XML和CSV等文本类；

办公文件格式包括：DOC、XLS、PPT和PDF等办公文件类；

压缩文件格式包括：TAR、ZIP和7Z等压缩文件类；

图片格式包括：BMP、JPG和PNG等图片类。

在一些实施例中，数据分类分级模块支持多种行业的结构化数据和非结构化数据的识别。

所述对还原后的文件中的数据进行分类的方法包括：

所述对还原后的文件中的数据进行分级的方法包括：

在一些实施例中，所述在数据分类分级的基础上，结合数据行为特征，判断数据安全风险的方法包括：

在一些实施例中，所述数据安全风险规则库是应用数据类型、数据级别、数据量和风险范围进行训练的规则库，通过数据类型、数据级别、数据量和风险范围的权重给出初步的数据安全风险判断，并利用人工智能方法周期性更新数据类型、数据级别、数据量和风险范围的权重；

在一些实施例中，所述将数据分类分级的结果、数据安全风险的监测结果和所述数据行为特征综合分析，感知数据安全的整体态势的方法包括：

将数据分类分级结果、风险监测结果和所述数据行为特征综合分析，从而得到所有数据资源的分布与规模情况和数据安全风险的分布与规模情况，并可以按照企业维度、行业维度、地域维度和时间维度反映数据安全的整体态势，以及数据流动的总体态势。

综上，本发明各个方面的技术方案与现有技术相比具有如下优点：可以有效监测流量中的数据安全风险，弥补了基于流量对数据安全风险进行监测的空白，提升行业技术能力水平，支撑更科学的监管决策。同时，可以提前发现异常数据行为，做到事前预警，并提供可靠的取证凭证。

本发明第二方面公开了一种电子设备，包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时，实现本发明公开第一方面中任一项的一种基于流量的数据安全监测方法中的步骤。

图2为根据本发明实施例的一种电子设备的结构图，如图2所示，电子设备包括通过系统总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该电子设备的处理器用于提供计算和控制能力。该电子设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该电子设备的网络接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、运营商网络、近场通信（NFC）或其他技术实现。该电子设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该电子设备的输入装置可以是显示屏上覆盖的触摸层，也可以是电子设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图2中示出的结构，仅仅是与本公开的技术方案相关的部分的结构图，并不构成对本申请方案所应用于其上的电子设备的限定，具体的电子设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

本发明第三方面公开了一种存储介质，具体涉及计算机的可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时，实现本发明公开第一方面中任一项的一种基于流量的数据安全监测方法中的步骤中的步骤。

请注意，以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims

1.一种基于流量的数据安全监测系统，其特征在于，所述系统包括：流量收集模块、协议解析模块、文件还原模块、数据分类分级模块、风险监测模块和态势感知分析模块；

所述态势感知分析模块将数据分类分级的结果、数据安全风险的监测结果和所述数据行为特征综合分析，感知数据安全的整体态势；

所述预设的流量采集规则包括：限定源/目的IP地址、源/目的端口、域名、URL、时间范围、通信协议和地域范围的单规则及组合规则；

所述预设的解析协议包括：应用层协议、VPN类协议和工控类协议；

还原文件的格式包括：文本格式、办公文件格式、压缩文件格式和图片格式；

所述对还原后的文件中的数据进行分类的方法包括：

对还原后的文件中的数据进行分级的方法包括：

利用专家规则库、机器学习和深度学习方法识别出分类后数据的级别；

所述在数据分类分级的基础上，结合数据行为特征，判断数据安全风险的方法包括：

基于数据分类分级的结果和数据行为特征，利用基于人工智能算法的数据安全风险规则库和多维数据关联分析方法挖掘数据安全风险，针对数据全生命周期中预设环节监测数据安全风险；所述数据安全风险包括：数据传输环节数安风险、数据使用环节数安风险和数据共享环节数安风险；

所述数据安全风险规则库是应用数据类型、数据级别、数据量和风险范围进行训练的规则库，通过数据类型、数据级别、数据量和风险范围的权重给出初步的数据安全风险判断，并利用人工智能方法周期性更新数据类型、数据级别、数据量和风险范围的权重；

2.根据权利要求1所述的一种基于流量的数据安全监测系统，其特征在于，所述将数据分类分级的结果、数据安全风险的监测结果和所述数据行为特征综合分析，感知数据安全的整体态势的方法包括：

3.一种电子设备，其特征在于，包括存储器和处理器，所述存储器上存储有计算机程序，该计算机程序被所述处理器执行时，执行如权利要求1至2任意一项所述的一种基于流量的数据安全监测系统中的方法。

4.一种存储介质，其特征在于，该存储介质存储的计算机程序，能够被一个或多个处理器执行，能够用来实现如权利要求1至2中任一项所述的一种基于流量的数据安全监测系统中的方法。