CN115766282A - 一种用于企业信息安全监督的数据处理方法及系统 - Google Patents

Abstract

本发明提供了一种用于企业信息安全监督的数据处理方法及系统，其中，该方法包括：获得属于第一企业的所有终端信息；根据所有终端信息，构建终端库；获取第一企业的部门特征信息；基于部门特征信息，对终端库进行划分，获得具有不同部门特征的子终端库；采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，第一子终端库属于终端库；对数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；基于训练数据集通过孤立森林法构建信息安全检测模型；获得第一终端的数据特征信息和数据量信息；利用信息安全检测模型基于第一终端的数据特征信息和数据量信息，对第一终端进行信息安全监督。

Description

一种用于企业信息安全监督的数据处理方法及系统

技术领域

本发明涉及信息安全相关技术领域，具体涉及一种用于企业信息安全监督的数据处理方法及系统。

背景技术

信息安全是企业进展业务中非常重要的一环，在生产、推广、销售的过程中需要保证企业信息的安全性，避免商业秘密泄露影响企业效益。

现有技术中主要通过设置企业专用局域网，并设置相关的信息安全管理条例，通过信安技术人员对企业信息系统进行定时的检查，保证员工及设备生产过程中的信息安全。

但本申请发明人在实现本申请实施例中发明技术方案的过程中，发现上述技术至少存在如下技术问题：

现有技术中企业信息安全管理的方法存在一定的局限性，在通过人工检测业信息系统内的信息安全性时，无法对所有设备终端进行统一准确的检测，存在着信息安全性不足的技术问题。

发明内容

本申请实施例提供了一种用于企业信息安全监督的数据处理方法及系统，用于针对解决现有技术中企业信息安全管理的方法存在一定的局限性，在通过人工检测业信息系统内的信息安全性时，无法对所有设备终端进行统一准确的检测，存在着信息安全性不足的技术问题。

鉴于上述问题，本申请实施例提供了一种用于企业信息安全监督的数据处理方法及系统。

本申请实施例的第一个方面，提供了一种用于企业信息安全监督的数据处理方法，所述方法应用于一数据监督平台，所述数据监督平台与多个终端通信连接，所述方法包括：获得属于第一企业的所有终端信息；根据所述所有终端信息，构建终端库；获取所述第一企业的部门特征信息；基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；基于所述训练数据集通过孤立森林法构建信息安全检测模型；获得第一终端的数据特征信息和数据量信息；利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

本申请实施例的第二个方面，提供了一种用于企业信息安全监督的数据处理系统，所述系统包括：第一获得单元，所述第一获得单元用于获得属于第一企业的所有终端信息；第一构建单元，所述第一构建单元用于根据所述所有终端信息，构建终端库；第二获得单元，所述第二获得单元用于获取所述第一企业的部门特征信息；第一处理单元，所述第一处理单元用于基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；第二处理单元，所述第二处理单元用于采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；第三处理单元，所述第三处理单元用于对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；第二构建单元，所述第二构建单元用于基于所述训练数据集通过孤立森林法构建信息安全检测模型；第三获得单元，所述第三获得单元用于获得第一终端的数据特征信息和数据量信息；第四处理单元，所述第四处理单元用于利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

本申请实施例的第三个方面，提供了一种用于企业信息安全监督的数据处理系统，包括：处理器，所述处理器与存储器耦合，所述存储器用于存储程序，当所述程序被所述处理器执行时，使系统以执行如第一方面所述方法的步骤。

本申请实施例的第四个方面，提供了一种计算机可读存储介质，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面所述方法的步骤。

本申请实施例中提供的一个或多个技术方案，至少具有如下技术效果或优点：

本申请实施例提供的技术方案通过获取企业的所有设备的终端信息，建立终端库，并获取某一部门的特征信息，对终端库进行划分获得子终端库，然后获取子终端库内所有终端的数据特征信息集合和数据量集合，根据数据特征信息集合和数据量集合进行处理构建训练数据集，基于孤立森林法则构建信息安全监测模型，对终端的信息安全进行监督。本申请实施例通过按照企业和部门构建终端库，能够根据不同业务需求对不同范围内的企业终端设备的信息安全进行监督，根据终端的数据特征信息和数据量信息，基于孤立森林法构建信息安全检测模型，在企业终端的数量维度上，能够快速准确检测出出现信息安全问题的终端，能够避免错检或漏检等问题的发生，达到提升终端信息安全监督的准确性和效率的技术效果。

上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。

附图说明

图1为本申请实施例提供的一种用于企业信息安全监督的数据处理方法流程示意图；

图2为本申请实施例提供的一种用于企业信息安全监督的数据处理方法中构建信息安全检测模型流程示意图；

图3为本申请实施例提供的一种用于企业信息安全监督的数据处理方法中进行信息安全监督流程示意图；

图4为本申请实施例提供了一种用于企业信息安全监督的数据处理系统结构示意图；

图5为本申请实施例示例性电子设备的结构示意图。

附图标记说明：第一获得单元11，第一构建单元12，第二获得单元13，第一处理单元14，第二处理单元15，第三处理单元16，第二构建单元17，第三获得单元18，第四处理单元19，电子设备300，存储器301，处理器302，通信接口303，总线架构304。

具体实施方式

本申请实施例通过提供了一种用于企业信息安全监督的数据处理方法及系统，用于针对解决现有技术中企业信息安全管理的方法存在一定的局限性，在通过人工检测业信息系统内的信息安全性时，无法对所有设备终端进行统一准确的检测，存在着信息安全性不足的技术问题。

申请概述

信息安全是企业进展业务中非常重要的一环，在生产、推广、销售的过程中需要保证企业信息的安全性，避免商业秘密泄露影响企业效益。现有技术中主要通过设置企业专用局域网，并设置相关的信息安全管理条例，通过信安技术人员对企业信息系统进行定时的检查，保证员工及设备生产过程中的信息安全。现有技术中企业信息安全管理的方法存在一定的局限性，在通过人工检测业信息系统内的信息安全性时，由于企业设备终端类型复杂，新老设备终端均在服役使用，难以达到信息安全监督整体化，无法对所有设备终端进行统一准确的检测，存在着信息安全性不足的技术问题。

针对上述技术问题，本申请提供的技术方案总体思路如下：

获得属于第一企业的所有终端信息；根据所述所有终端信息，构建终端库；获取所述第一企业的部门特征信息；基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；基于所述训练数据集通过孤立森林法构建信息安全检测模型；获得第一终端的数据特征信息和数据量信息；利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

在介绍了本申请基本原理后，下面，将参考附图对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请的一部分实施例，而不是本申请的全部实施例，应理解，本申请不受这里描述的示例实施例的限制。基于本申请的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。另外还需要说明的是，为了便于描述，附图中仅示出了与本申请相关的部分而非全部。

实施例一

如图1所示，本申请实施例提供了一种用于企业信息安全监督的数据处理方法，所述方法应用于一数据监督平台，所述数据监督平台与多个终端通信连接，所述方法包括：

S100：获得属于第一企业的所有终端信息；

具体而言，上述的数据监督平台即为基于应用于第一企业进行信息安全监督的系统平台，其基于物联网技术，连接第一企业所有设备终端，对全部终端进行信息安全监督。第一企业可为现有技术中任意行业的大中小企业，第一企业的终端可为进行生产或质量检测的智能生产设备，也可为计算机等终端或移动终端，其内存储有企业的生产信息和商业信息。

第一企业的所有终端信息可基于第一企业的设备管理系统（EquipmentManagement System）进行获取，终端信息中包括终端类型、每个终端与企业内其他终端和外部网络信息通信的方式、通信协议、通信记录等信息。

S200：根据所述所有终端信息，构建终端库；

S300：获取所述第一企业的部门特征信息；

S400：基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；

具体而言，基于上述的第一企业的所有终端信息，构建终端库，终端库内存储有第一企业所有部门、所有类型的终端信息。构建终端库时基于SQL（Structured QueryLanguage）对不同类型和不同部门的终端进行分类，可在该终端库内根据业务需求查找获得不同的终端信息，对终端信息进行增删修改等操作。

获取第一企业的部门特征信息，部门特征信息为第一企业内执行不同职能的部门的信息，由于不同部门的信息安全监督重点不同，因此需要获取部门特征信息进行信息安全监督。示例性地，生产部门内的终端主要存储有生产技术信息和生产计划等信息，在生产过程中不与外界网络通信交流，因此，生产部门信息安全监管的主要重点在于是否有人员恶意入侵终端设备盗取生产信息，以及是否有信息泄露，总而言之，检测是否有与外界网络的通信以及通信内容。而销售和运营等职能部门内终端存储的信息一般为客户信息、订单信息等，因此，这些部门信息安全监管的重点在于与外界信息通信过程中通信的内容，以及通信对象等等，监管是否存在信息泄露的情况。

示例性地，第一企业的部门特征信息包括部门信息通信类型以及内容等，也可对不同部门预设不同编号，对部门进行分辨。根据部门特征信息获得该部门的所有的终端信息，对上述的终端库进行划分，根据第一企业内部门的数量，划分得到该数量的子终端库，

S500：采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；

具体而言，根据划分得到的子终端库，该子终端库内的终端即为该子终端库对应部门的终端。获取某一子终端库内所有终端的数据特征信息集合和数据量信息集合，数据特征信息集合即为该子终端库内终端与其所在的部门、第一企业内部以及外界网络等进行信息沟通过程中沟通信息数据的特征信息的集合，示例性地，数据特征信息集合包括数据内容特征信息、数据重要程度特征信息等。数据量信息集合即为该子终端库内所有终端与其所在的部门、第一企业内部以及外界网络等进行信息沟通过程中沟通信息数据的数量大小的集合。其中，若信息通信过程中的数据特征信息超出该终端信息沟通的权限范围，则可认为出现信息安全问题。若沟通信息数据的数量超出该终端通信数据量的一阈值，则也可认为该终端出现了信息安全问题。因此，本申请实施例获取上述两个维度的数据信息，以进行后续的信息安全监督，提升信息安全监督的全面性，避免出现漏检或错检的问题。

S600：对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；

S700：基于所述训练数据集通过孤立森林法构建信息安全检测模型；

具体而言，由于采集获得的数据特征信息集合和数据量信息集合内的信息存在一定的噪声数据，在企业生产过程中信息数据并非是理论上较为稳定的，会由于生产以及业务的变化存在一定的波动。理论上，数据特征信息集合和数据量信息集合内数据的时间跨度越长，则数据的波动就越小，但还是存在一定的不稳定。

因此，为提升数据特征信息集合和数据量信息集合内数据表征每一个终端信息安全程度的可靠性，对数据特征信息集合和数据量信息集合内的数据进行拟合，获得拟合后的数据，优化其内数据，获得能够较好地表征数据特征信息集合和数据量信息集合内数据的函数，将该函数内数据作为数据基础，达到对数据进行优化、提升数据准确性的技术效果。示例性地，本申请实施例中采用的拟合方法为最小二乘法拟合，将数据特征信息集合和数据量信息集合的每个数据作为横纵坐标值，数据对应时间作为横坐标值，进行拟合，获得时间序列上的一终端的数据特征信息集合和数据量信息集合。

将拟合后的数据特征信息集合和数据量信息集合作为训练数据集，通过孤立森林法（Isolation Forest）构建信息安全检测模型。孤立森林法为一种异常检测方法，其将一数据样本内的异常数据认为较为容易孤立的、离群的数据，而将该数据样本内的正常数据认为较为密集、不易孤立的数据，如此，在孤立森林法构建的信息安全检测模型内，可认为第一子终端库内出现信息安全问题的终端占少数，其数据特征信息和数据量信息不同于其他终端，形成孤立数据，而未出现信息安全问题的终端占绝大多数，其数据特征信息和数据量信息普遍相同或近似，形成密集的数据群。

基于此，在构建好的信息安全检测模型内，递归地随机分割数据集，无需对分割方法和数据集进行监督训练，直至将所有终端的数据特征信息和数据量信息分割至孤立状态。在此随机进行分割的过程中，由于未出现信息安全问题的终端形成密集的数据群，因此，将未出现信息安全问题的终端分割至孤立需要多次分割。而出现信息安全问题的终端远离密集的数据群，将出现信息安全问题的终端分割至孤立只需要较少次数的分割，根据分割次数的难易程度，设置一阈值，即可分辨获得模型认为出现信息安全问题的终端，进一步更为简易、高效地信息安全监督。

递归地随机分割数据集的过程中，可选择数据特征信息和/或数据量信息内的多个不同特征值进行分割，且每个特征值在该对应特征的最大值和最小值之间，例如，选择数据量信息内的一个特征数据进行分割，分割后再随机选择另一特征数据进行分割，直至将所有终端分割至孤立，上述描述仅为示意，具体分割方法不限于上述描述内容。

S800：获得第一终端的数据特征信息和数据量信息；

S900：利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

具体而言，获得一待检测的终端作为第一终端，获取该第一终端的数据特征信息和数据量信息，将该数据特征信息和数据量信息与上述随机分割的结果进行比对，即可获得该数据特征信息和数据量信息是否为异常数据，进而判断第一终端是否疑似信息安全出现问题的终端，对其进行信息安全监督。

本申请实施例通过按照企业和部门构建终端库，能够根据不同业务需求对不同范围内的企业终端设备的信息安全进行监督，根据终端的数据特征信息和数据量信息，基于孤立森林法构建信息安全检测模型，在企业终端数量维度的数据集上，能够快速准确检测出信息安全存在异常的终端，进而对该终端进行信息安全监督，能够避免错检或漏检等问题的发生，达到提升终端信息安全监督的准确性和效率的技术效果。

如图2所示，本申请实施例提供的方法中的步骤S700包括：

S710：从所述训练数据集中随机抽取第一样本集合；

S720：从所述第一样本集合中随机获得第一样本数据作为孤立森林的根节点；

S730：获得所述第一样本数据的第一特征值；

S740：根据所述第一特征值对所述第一样本集合进行二叉划分，获得第一分支和第二分支，其中，所述第一分支中的样本数据的特征值小于所述第一特征值；所述第二分支中的样本数据的特征值大于所述第一特征值；

S750：对所述根节点产生的分支重复所述二叉划分，直到达到预定条件时停止所述二叉划分，获得所述信息安全检测模型。

具体而言，采用孤立森林法构建信息安全检测模型的过程中，需要构建孤立树（isolation tree，iTree），由多个iTree构建完成孤立森林模型。

训练数据集中包括多个终端的数据特征信息集合和数据量信息集合，从中随机抽取部分终端对应的数据特征信息和数据量信息数据作为第一样本集合，再从第一样本集合内随机抽取一个终端的数据特征信息和数据量信息数据作为孤立森林的根节点。

基于该根节点，获取其内的一个数据作为特征值，示例性地，选择其中的数据量信息数据作为第一特征值。采用该第一特征值对第一样本集合内的所有数据进行二叉划分，二叉划分指的是，将第一样本集合内的所有终端划分得到两部分，分别为第一分支和第二分支，其中，第一分支中的样本数据的对应特征值小于第一特征值，而第二分支中的样本数据的对应特征值大于第一特征值，示例性地，上述的对应特征值即为第一分支和第二分支内终端的数据量信息数据。

如此，基于第一次分割产生的第一分支和第二分支，再次随机选取一特征值在两个分支内重复进行上述的二叉划分动作，重新选取的特征值可为上述的数据量信息，直到达到划分的预定条件。

上述的预定条件包括第一样本数据不可分割和/或所述孤立森林的二叉树到达限定最大深度。示例性地，上述预定条件为划分至第一样本数据不可分割，即该根节点内的所有数据均为孤立数据，换言之，最后获得的多个分支内仅有一个终端的数据，完成该根节点的划分和对应iTree的构建。上述预定条件也可为iTree二叉树划分达到预设的最大深度，达到该预设的最大深度，可认为，孤立的异常终端数据已经全部被分割至深度较低的孤立分支内，最大深度以上终端数据已经全部为正常终端数据，无需进行更多的划分。如此，在终端数量较大，数据较多的情况下，可节省模型计算成本以及提升计算效率。

由于异常终端的数据特征信息和数据量信息与正常终端的数据特征信息和数据量信息相差较大，为孤立数据，因此，在进行上述二差划分的过程中，异常终端更容易被划分为孤立数据，即更容易出现在iTree内深度较低的孤立分支内。

基于上述的方法，重复构建多个iTree，然后根据信息安全监管的业务需求，设置一输出深度，输出多个iTree内该输出深度以下孤立分支内的孤立终端，即可得到异常终端集合，完成孤立森林信息安全检测模型的构建。该异常终端集合内的终端可认为为出现信息安全问题可能性较大的终端，基于此进行信息安全监督，能够大幅提升信息安全监督的效率和准确性，且根据不同数据特征值进行iTree的构建，可有效避免错检和漏检情况的发生，达到提升信息安全监督可靠性的技术效果。

如图3所示，本申请实施例提供的方法中的步骤S900包括：

S910：将所述第一终端的数据特征信息和数据量信息进行最小二乘法拟合，获得第一输入数据；

S920：将所述第一输入数据输入所述安全检测模型，获得第一检测结果；

S930：如果所述第一检测结果为异常，获得第一安全预警信息；

S940：根据所述第一安全预警信息，对所述第一终端进行管理；

S950：如果所述第一检测结果为正常，获得所述第一终端的数据传输路径。

具体而言，由于上述的训练数据集内数据特征信息集合和数据量信息集合已进行拟合，为根据第一终端的数据特征信息和数据量信息判断第一终端是否为异常终端，将第一终端的数据特征信息和数据量信息也进行拟合，然后再输入安全检测模型。示例性地，与前述内容相同的，采用最小二乘法拟合对第一终端的数据特征信息和数据量信息进行拟合，获得第一输入数据。

当将拟合后的第一输入数据输入安全检测模型，获得第一检测结果，第一检测结果内，若第一输入数据位于孤立森林iTree树内的输出深度以下的分支内，则可认为该第一输入数据为异常数据，进而认为该终端为异常终端，得到的第一检测结果为异常。或者，若第一输入数据位于孤立森林iTree树内的输出深度以上的分支内，则可认为该第一输入数据为正常数据，进而认为该终端为正常终端，得到的第一检测结果为正常。

基于异常的第一检测结果，获得对应的第一安全预警信息对第一终端进行信息安全监督管理，以终止可能存在的信息安全危险行为，以及降低信息安全问题损失。基于正常的第一检测结果，获得第一终端的数据传输路径，以对模型认为正常的终端进行进一步地监督。

本申请实施例提供的方法中的步骤S950之后还包括步骤S960，步骤S960包括：

S961：获得所述第一终端的预设数据传输路径；

S962：判断所述第一终端的数据传输路径是否与所述预设数据传输路径相同；

S963：如果所述第一终端的数据传输路径与所述预设数据传输路径相同，允许所述第一终端正常运行。

具体而言，对于大部分企业而言，信息安全出现问题的大多数情况为信息泄露，示例性地，除了与上下游供应商和客户进行沟通的数据传输路径以外，还出现了和第三方进行信息沟通的数据传输路径，因此，需要检测正常终端还可能存在的数据传输路径问题，以进一步完善信息安全监管的维度。

获得第一终端的预设数据传输路径，预设数据传输路径为信息安全的传输路径，示例性地，预设数据传输路径包括：与供应商、客户、第三方合作机构的信息传输路径等。判断第一终端的数据传输路径是否与预设数据传输路径相同，若相同，则认为第一终端信息安全水平进一步合格，进而暂时性地允许所述第一终端正常运行。

本申请实施例通过获取模型认为正常终端的信息传输路径，判断其信息传输路径是否与预设路径相同，能够进一步扩展信息安全监管的维度，提升信息安全监管的全面性。

本申请实施例提供的方法中的步骤S962之后，还包括：

S964：如果所述第一终端的数据传输路径与所述预设数据传输路径不同，获得第一拦截指令；

S965：根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

具体而言，若第一终端的数据传输路径与预设数据传输路径不同，即说明第一终端除了预设的信息传输沟通以外，还包括与未知第三方进行信息传输的路径，可初步认为该第一终端存在一定的信息安全问题，故获得拦截信息传输的第一拦截指令，对第一终端的数据传输进行拦截，以防止可能出现的信息安全问题。

本申请实施例提供的方法中的步骤S965之后，还包括：

S966：获得所述第一终端的传输数据；

S967：对所述数据传输路径和所述传输数据进行审核；

S968：如果审核通过，对所述传输数据添加审批通过标签并允许所述传输数据正常传输；

S969：如果审核未通过，根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

在对第一终端的传输数据进行拦截之后，虽然暂时防止了可能出现的信息安全问题，但还并未完全确定第一终端出现了信息泄露等问题，有可能是新增加了预设的信息传输路径而暂未上传系统，也可能是因为业务需求临时新增了信息传输路径，总而言之，无法完全确定第一终端出现了信息泄露等问题，因此，需要对第一终端进行进一步地监督校验。

获得第一终端的传输数据，对数据传输路径和传输数据进行审核，确认是否存在于危险第三方存在信息泄露传输的情况，如果审核通过，对传输数据添加审批通过标签并允许传输数据正常传输。如果审核未通过，可进一步认为确实出现信息安全危险情况，根据上述的第一拦截指令，对第一终端的数据传输进行完全拦截，以切断信息传输路径保证信息安全。

综上所述，本申请实施例通过按照企业和部门构建终端库，能够根据不同业务需求对不同范围内的企业终端设备的信息安全进行监督，根据终端的数据特征信息和数据量信息，基于孤立森林法构建信息安全检测模型，在企业终端的数量维度上，能够快速准确检测出可能出现信息安全问题的终端，能够避免错检或漏检等问题的发生，进一步通过数据传输路径扩大信息安全监督的维度，对模型认为正常的终端进一步进行信息安全监督，达到多维度、全面提升终端信息安全监督的准确性和效率的技术效果。

实施例二

基于与前述实施例中一种用于企业信息安全监督的数据处理方法相同的发明构思，如图4所示，本申请实施例提供了一种用于企业信息安全监督的数据处理系统，其中，所述系统包括：

第一获得单元11，所述第一获得单元11用于获得属于第一企业的所有终端信息；

第一构建单元12，所述第一构建单元12用于根据所述所有终端信息，构建终端库；

第二获得单元13，所述第二获得单元13用于获取所述第一企业的部门特征信息；

第一处理单元14，所述第一处理单元14用于基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；

第二处理单元15，所述第二处理单元15用于采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；

第三处理单元16，所述第三处理单元16用于对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；

第二构建单元17，所述第二构建单元17用于基于所述训练数据集通过孤立森林法构建信息安全检测模型；

第三获得单元18，所述第三获得单元18用于获得第一终端的数据特征信息和数据量信息；

第四处理单元19，所述第四处理单元19用于利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

进一步的，所述系统还包括：

第四获得单元，所述第四获得单元用于从所述训练数据集中随机抽取第一样本集合；

第五处理单元，所述第五处理单元用于从所述第一样本集合中随机获得第一样本数据作为孤立森林的根节点；

第五获得单元，所述第五获得单元用于获得所述第一样本数据的第一特征值；

第六处理单元，所述第六处理单元用于根据所述第一特征值对所述第一样本集合进行二叉划分，获得第一分支和第二分支，其中，所述第一分支中的样本数据的特征值小于所述第一特征值；所述第二分支中的样本数据的特征值大于所述第一特征值；

第七处理单元，所述第七处理单元用于对所述根节点产生的分支重复所述二叉划分，直到达到预定条件时停止所述二叉划分，获得所述信息安全检测模型。

进一步的，所述系统还包括：

第八处理单元，所述第八处理单元用于将所述第一终端的数据特征信息和数据量信息进行最小二乘法拟合，获得第一输入数据；

第九处理单元，所述第九处理单元用于将所述第一输入数据输入所述安全检测模型，获得第一检测结果；

第六获得单元，所述第六获得单元用于如果所述第一检测结果为异常，获得第一安全预警信息；

第十处理单元，所述第十处理单元用于根据所述第一安全预警信息，对所述第一终端进行管理；

第七获得单元，所述第七获得单元用于如果所述第一检测结果为正常，获得所述第一终端的数据传输路径。

进一步的，所述系统还包括：

第八获得单元，所述第八获得单元用于获得所述第一终端的预设数据传输路径；

第一判断单元，所述第一判断单元用于判断所述第一终端的数据传输路径是否与所述预设数据传输路径相同；

第十一处理单元，所述第十一处理单元用于如果所述第一终端的数据传输路径与所述预设数据传输路径相同，允许所述第一终端正常运行。

进一步的，所述系统还包括：

第九获得单元，所述第九获得单元用于如果所述第一终端的数据传输路径与所述预设数据传输路径不同，获得第一拦截指令；

第十二处理单元，所述第十二处理单元用于根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

进一步的，所述系统还包括：

第十获得单元，所述第十获得单元用于获得所述第一终端的传输数据；

第十三处理单元，所述第十三处理单元用于对所述数据传输路径和所述传输数据进行审核；

第十四处理单元，所述第十四处理单元用于如果审核通过，对所述传输数据添加审批通过标签并允许所述传输数据正常传输；

第十五处理单元，所述第十五处理单元用于如果审核未通过，根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

示例性电子设备

下面参考图5来描述本申请实施例的电子设备，

基于与前述实施例中一种用于企业信息安全监督的数据处理方法相同的发明构思，本申请实施例还提供了一种用于企业信息安全监督的数据处理系统，包括：处理器，所述处理器与存储器耦合，所述存储器用于存储程序，当所述程序被所述处理器执行时，使得系统以执行实施例一所述方法的步骤。

该电子设备300包括：处理器302、通信接口303、存储器301。可选的，电子设备300还可以包括总线架构304。其中，通信接口303、处理器302以及存储器301可以通过总线架构304相互连接；总线架构304可以是外设部件互连标(peripheral componentinterconnect，简称PCI)总线或扩展工业标准结构(extended industry Standardarchitecture，简称EISA)总线等。所述总线架构304可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

处理器302可以是一个CPU，微处理器，ASIC，或一个或多个用于控制本申请方案程序执行的集成电路。

通信接口303，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，无线接入网(radio access network，RAN),无线局域网(wireless local areanetworks，WLAN)，有线接入网等。

存储器301可以是ROM或可存储静态信息和指令的其他类型的静态存储设备，RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electrically erasable Programmable read-only memory，EEPROM)、只读光盘(compactdisc

read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过总线架构304与处理器相连接。存储器也可以和处理器集成在一起。

其中，存储器301用于存储执行本申请方案的计算机执行指令，并由处理器302来控制执行。处理器302用于执行存储器301中存储的计算机执行指令，从而实现本申请上述实施例提供的一种用于企业信息安全监督的数据处理方法。

可选的，本申请实施例中的计算机执行指令也可以称之为应用程序代码，本申请实施例对此不作具体限定。

本申请实施例通过按照企业和部门构建终端库，能够根据不同业务需求对不同范围内的企业终端设备的信息安全进行监督，根据终端的数据特征信息和数据量信息，基于孤立森林法构建信息安全检测模型，在企业终端的数量维度上，能够快速准确检测出可能出现信息安全问题的终端，能够避免错检或漏检等问题的发生，进一步通过数据传输路径扩大信息安全监督的维度，对模型认为正常的终端进一步进行信息安全监督，达到多维度、全面提升终端信息安全监督的准确性和效率的技术效果。

本领域普通技术人员可以理解：本申请中涉及的第一、第二等各种数字编号仅为描述方便进行的区分，并不用来限制本申请实施例的范围，也不表示先后顺序。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。“至少一个”是指一个或者多个。至少两个是指两个或者多个。“至少一个”、“任意一个”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a ,b,或c中的至少一项(个、种)，可以表示：a ,b,c,a -b,a-c,b-c,或a-b-c，其中a,b,c可以是单个，也可以是多个。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指

令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘(Solid State Disk，SSD))等。

本申请实施例中所描述的各种说明性的逻辑单元和电路可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列(FPGA)或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。

本申请实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件单元、或者这两者的结合。软件单元可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于终端中。可选地，处理器和存储媒介也可以设置于终端中的不同的部件中。这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管结合具体特征及其实施例对本申请进行了描述，显而易见的，在不脱离本申请的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所附权利要求所界定的本申请的示例性说明，且视为已覆盖本申请范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请意图包括这些改动和变型在内。

Claims (10)

1.一种用于企业信息安全监督的数据处理方法，其特征在于，所述方法应用于一数据监督平台，所述数据监督平台与多个终端通信连接，所述方法包括：

获得属于第一企业的所有终端信息；

根据所述所有终端信息，构建终端库；

获取所述第一企业的部门特征信息；

基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；

采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；

对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；

基于所述训练数据集通过孤立森林法构建信息安全检测模型；

获得第一终端的数据特征信息和数据量信息；

利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

2.如权利要求1所述的方法，其特征在于，所述基于所述训练数据集通过孤立森林法构建信息安全检测模型，包括：

从所述训练数据集中随机抽取第一样本集合；

从所述第一样本集合中随机获得第一样本数据作为孤立森林的根节点；

获得所述第一样本数据的第一特征值；

根据所述第一特征值对所述第一样本集合进行二叉划分，获得第一分支和第二分支，其中，所述第一分支中的样本数据的特征值小于所述第一特征值；所述第二分支中的样本数据的特征值大于所述第一特征值；

对所述根节点产生的分支重复所述二叉划分，直到达到预定条件时停止所述二叉划分，获得所述信息安全检测模型。

3.如权利要求2所述的方法，其特征在于，所述预定条件包括所述第一样本数据不可分割和/或所述孤立森林的二叉树到达限定最大深度。

4.如权利要求1所述的方法，其特征在于，所述利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督，包括：

将所述第一终端的数据特征信息和数据量信息进行最小二乘法拟合，获得第一输入数据；

将所述第一输入数据输入所述安全检测模型，获得第一检测结果；

如果所述第一检测结果为异常，获得第一安全预警信息；

根据所述第一安全预警信息，对所述第一终端进行管理；

如果所述第一检测结果为正常，获得所述第一终端的数据传输路径。

5.如权利要求4所述的方法，其特征在于，所述如果所述第一检测结果为正常，获得所述第一终端的数据传输路径之后，还包括：

获得所述第一终端的预设数据传输路径；

判断所述第一终端的数据传输路径是否与所述预设数据传输路径相同；

如果所述第一终端的数据传输路径与所述预设数据传输路径相同，允许所述第一终端正常运行。

6.如权利要求5所述的方法，其特征在于，所述判断所述第一终端的数据传输路径是否与所述预设数据传输路径相同之后，还包括：

如果所述第一终端的数据传输路径与所述预设数据传输路径不同，获得第一拦截指令；

根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

7.如权利要求6所述的方法，其特征在于，所述根据所述第一拦截指令，对所述第一终端的数据传输进行拦截之后，还包括：

获得所述第一终端的传输数据；

对所述数据传输路径和所述传输数据进行审核；

如果审核通过，对所述传输数据添加审批通过标签并允许所述传输数据正常传输；

如果审核未通过，根据所述第一拦截指令，对所述第一终端的数据传输进行拦截。

8.一种用于企业信息安全监督的数据处理系统，其特征在于，所述系统包括：

第一获得单元，所述第一获得单元用于获得属于第一企业的所有终端信息；

第一构建单元，所述第一构建单元用于根据所述所有终端信息，构建终端库；

第二获得单元，所述第二获得单元用于获取所述第一企业的部门特征信息；

第一处理单元，所述第一处理单元用于基于所述部门特征信息，对所述终端库进行划分，获得具有不同部门特征的子终端库；

第二处理单元，所述第二处理单元用于采集第一子终端库中的所有终端的数据特征信息集合和数据量信息集合，其中，所述第一子终端库属于所述终端库；

第三处理单元，所述第三处理单元用于对所述数据特征信息集合和数据量信息集合进行最小二乘法拟合，构建训练数据集；

第二构建单元，所述第二构建单元用于基于所述训练数据集通过孤立森林法构建信息安全检测模型；

第三获得单元，所述第三获得单元用于获得第一终端的数据特征信息和数据量信息；

第四处理单元，所述第四处理单元用于利用所述信息安全检测模型基于第一终端的数据特征信息和数据量信息，对所述第一终端进行信息安全监督。

9.一种用于企业信息安全监督的数据处理系统，其特征在于，包括：处理器，所述处理器与存储器耦合，所述存储器用于存储程序，当所述程序被所述处理器执行时，使系统以执行如权利要求1至7任一项所述方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1至7任一项所述方法的步骤。

Images