CN116074113B - 基于业务流程约束的安全防护方法、装置及存储介质 - Google Patents

Abstract

本发明公开了基于业务流程约束的安全防护方法、装置及存储介质，所述方法包括，获取信息网络系统至少一个周期所有用户端的网络数据包，将网络数据包解析为源数据；提取对应同一用户的同一操作的源数据构成操作数据；提取对应同一用户的操作数据构成业务流程数据；基于用户角色分类将若干个业务流程数据划分为若干类流程数据集；基于各流程数据集构建对应各用户角色分类的角色业务特征数据，形成信息网络系统的安全基线库；基于安全基线库对信息网络系统进行安全防护。本申请通过对信息网络系统正常源数据进行统计分析确定对应不同用户角色分类的业务流程的角色业务特征数据，基于角色业务特征数据对系统进行安全防护，有效识别系统异常业务流程。

Description

基于业务流程约束的安全防护方法、装置及存储介质

技术领域

本发明涉及访问控制领域，具体是基于业务流程约束的安全防护方法、装置及存储介质。

背景技术

信息网络系统是指应用通讯技术、计算机技术，对各种社会业务有关信息进行采集、加工、传递和保存，从而提高社会效率和质量或进行辅助决策的人机信息处理系统，例如政府部门的电子政务系统、工业企业的工控信息系统、销售企业的电子商务系统、交通部门的民航订票系统、铁路客票系统等。随着数字社会、数字经济、数字产业的不断发展与完善，现如今大多数工作、业务都可从线下转变至线上的信息网络系统运行和实现，同时网络空间呈现多样化、复杂化的整体态势，恶意攻击可能从信息网络系统的漏洞侵入系统，破坏、更改系统中的操作及信息。

防火墙，也有厂商称作防火云、云火墙等，是通过各种访问控制规则对信息网络系统进行攻击防护的安全设备。白名单是一种新兴的防火墙访问控制技术，其基于系统中用户的正常操作数据构建白名单，后续与白名单不匹配的数据均认定为异常操作数据，能对未知攻击起到较好的防护作用。但信息网络系统中各种电子业务是由一系列关联操作实现的，例如铁路客票系统的订票业务，是由用户登录、查询、预订、支付等一系列操作实现的，工控信息系统的操控业务，是由用户登录、参数配置、启动作业等一系列操作实现的。但现有技术中，通常只是基于信息网络系统的正常操作数据集合简单对应确定防火墙白名单，进行防护时仅针对各操作数据分别独立进行检测识别，未考虑各操作之间的正确业务关联性，不能对系统中的异常业务流程进行防护。

发明内容

本发明的目的在于解决现有技术的上述问题，提供了基于业务流程约束的安全防护方法、装置及存储介质，通过对信息网络系统正常源数据进行统计分析确定对应不同用户角色分类的角色业务特征数据，基于角色业务特征数据对系统进行安全防护，有效识别系统异常业务流程。

第一方面，本发明提供了基于业务流程约束的安全防护方法，所述方法包括，

S1，获取信息网络系统设备地址特征、用户角色分类及对应的用户地址特征；

S2，获取信息网络系统在安全受控环境下至少一个周期的所有用户端的网络数据包，将网络数据包分别解析为包括源地址、目的地址、产生时间、操作执行信息、通讯校验信息的源数据；

S3，提取对应同一用户的同一操作的源数据构成标识有用户信息的操作数据，单个操作数据包括操作时间、操作地址、操作信息；

S4，提取对应同一用户的操作数据构成标识有用户信息的业务流程数据，业务流程数据包括具有顺序关系的若干个数据块，单个数据块的实体信息包括流程地址和流程信息；

S5，基于用户角色分类及对应的用户地址特征将若干个业务流程数据划分为若干类流程数据集；

S6，基于各流程数据集构建对应各用户角色分类的角色业务特征数据，形成信息网络系统的安全基线库；

S7，基于安全基线库对信息网络系统进行安全防护。

优选地，所述S3包括：

S31，基于设备地址特征、用户地址特征、源数据的源地址和目的地址，将源数据划分为请求类和响应类；

S32，对于请求类源数据，提取源地址相同的源数据形成同用户请求集并标识用户信息，对于响应类源数据，提取目的地址相同的源数据形成同用户响应集并标识用户信息；

S33，将用户信息相同的同用户请求集和同用户响应集进行关联；

S34，针对同用户请求集内的单个请求类源数据，基于其目的地址、产生时间和通讯校验信息，在关联的同用户响应集中提取对应的响应类源数据，共同构成单个操作数据；

操作数据的用户信息、操作地址、操作时间分别基于对应请求类源数据的源地址、目的地址和产生时间确定，操作数据的操作信息基于对应两个源数据的操作执行信息确定。

优选地，所述S4包括：

S41，将用户信息相同的操作数据归为同用户操作集，将同用户操作集内的操作数据按操作时间先后顺序进行排序；

S42，针对单个同用户操作集，如果其内存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述操作数据作为分界点，基于分界点将所述同用户操作集拆分为若干个业务流程集；如果单个同用户集内不存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述同用户操作集作为业务流程集；

S43，将业务流程集内的操作数据顺序融合构成业务流程数据；

业务流程数据的用户信息基于对应业务流程集内操作数据的用户信息确定，业务流程数据具有顺序关系的若干个数据块基于对应业务流程集内排序的若干个操作数据确定，单个数据块的实体信息基于其对应操作数据的操作地址和操作信息确定。

优选地，所述S4还包括：

S44，对存在重复的业务流程数据进行删减操作；包括：如果单个业务流程数据存在若干个相邻重复的数据块，则将所述若干个相邻重复的数据块删减至剩余一个，并为该剩余的数据块标识重复信息。

优选地，所述S44还包括：

将单个业务流程数据的若干个相邻的数据块看作一个数据段，一个数据段的实体信息为其对应数据块的实体信息的集合，如果单个业务流程数据存在若干个相邻数据段的实体信息相同，则将所述若干个相邻的数据段删减至剩余一个，并为该剩余数据段标识重复信息。

优选地，所述S6中针对单个流程数据集构建角色业务特征数据的方法包括：

S61，在所述流程数据集内所有业务流程数据中提取序号相同的数据块，形成对应序号的数据块集；

S62，针对单个数据块集，如果其内存在实体信息相同的数据块，则将实体信息相同的数据块删减至剩余一个；

S63，将所有数据块集内各数据块的实体信息分别作为图结构的顶点，并对应数据块的序号为顶点进行层次编号；

S64，对应所述流程数据集内所有业务流程数据中数据块的重复信息、实体信息、数据块间的顺序关系将图结构的各顶点有向连接，并为图结构第1层次的顶点添加用户地址特征，最终形成呈图结构的角色业务特征数据。

优选地，在S4与S5之间还包括：为所有业务流程数据的最后1个数据块标识表示可停止的停止信息，为所有业务流程数据的其余数据块标识表示不可停止的停止信息；在步骤S62中，如果实体信息相同的数据块中存在带有表示可停止的停止信息的数据块，则在将实体信息相同的数据块删减至剩余一个时，选择剩余带有表示可停止的停止信息的数据块；在步骤S63中，提取所有数据块集内各数据块的实体信息和停止信息，作为图结构的顶点。

优选地，所述S7包括：

用户进入信息网络系统时，先解析出其用户地址与各角色业务特征数据第1层次顶点的用户地址特征对比，以将用户匹配至对应其用户角色分类的角色业务特征数据，并将匹配的角色业务特征数据的第1层次的顶点作为基线集；

从用户第一个操作开始，对用户的所有操作依次进行安全防护，即将用户操作的请求数据包和响应数据包构成用户的操作数据，基于基线集内的顶点对用户操作数据进行以下检测识别步骤：

判定用户操作数据在基线集内是否存在匹配顶点，若否，对该用户地址及该用户操作数据进行阻断报警；若是，进一步判定匹配顶点的停止信息；其中，如果用户操作数据的操作地址和操作信息与基线集内某个或某些顶点的实体信息相同，则认为该操作数据在基线集内存在匹配顶点；

若匹配顶点停止信息表示不可停止，对该用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集，同时设定等待时限；如果在等待时限内未形成该用户的下一个操作数据与基线集进行检测识别，则对该用户地址进行阻断报警；如果在等待时限内形成该用户的下一个操作数据与基线集进行检测识别，则跳转检测识别第一步；

若匹配顶点停止信息表示可停止，对该用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集，并正常等待该用户的下一个操作数据与基线集进行检测识别第一步。

第二方面，本发明提供了一种基于业务流程约束的安全防护装置，包括存储器及存储于其上的计算机程序、处理器，所述处理器执行所述计算机程序时实现上述的基于业务流程约束的安全防护方法。

第三方面，本发明提供了一种存储介质，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现上述的基于业务流程约束的安全防护方法。

综上所述，本发明具有以下有益效果：通过对信息网络系统正常源数据进行统计分析确定对应不同用户角色分类的业务流程的角色业务特征数据，基于角色业务特征数据对系统进行安全防护，有效识别系统异常业务流程。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案和优点，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它附图。

图1为本发明一个具体实施例的方法流程示意图。

图2为本发明一个具体实施例S3的流程示意图。

图3为本发明一个具体实施例S4的流程示意图。

图4为本发明一个具体实施例针对单个流程数据集构建角色业务特征数据的流程示意图。

具体实施方式

为了使本发明实施例公开的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明实施例进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本发明实施例，并不用于限定本发明实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。

需要说明的是，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

为了便于理解，首先对本申请实施例中特定名词定义做出解释。

信息网络系统：指应用通讯技术、计算机技术，对各种社会业务有关信息进行采集、加工、传递和保存，从而提高社会效率和质量或进行辅助决策的人机信息处理系统，例如政府部门的电子政务系统、工业企业的工控信息系统、销售企业的电子商务系统、交通部门的民航订票系统、铁路客票系统等。

准入操作：指用户为了进入信息网络系统所做的操作，对于安全要求一般的信息网络系统，通常为较宽松的点击进入操作，对于安全要求较高的信息网络系统，通常为较严格的登录认证操作。

业务，指用户通过准入操作进入信息网络系统后通过一组操作实现的事务，业务中操作的顺序可能是固定的，也可能是部分可变的，例如铁路客票系统的买票业务，用户在点击进入网页后可以通过用户登录、查票、预订、提交订单、确认、支付等顺序操作完成，也可以在点击进入网页后通过查票、预订、用户登录、提交订单、确认、支付等顺序操作完成。

业务流程，指用户为了在信息网络系统完成业务所做的顺序固定的操作链。例如为在铁路客票系统完成买票业务，用户业务流程可以为：点击进入网页、查票、预订、用户登录、提交订单、确认、支付等，也可以为：点击进入网页、用户登录、查票、预订、提交订单、确认、支付等。当然，用户可能需要在信息网络系统连续完成多个业务，例如为在铁路客票系统中先后完成买票、退票业务，则用户业务流程可以为：点击进入网页、查票、预订、用户登录、提交订单、确认、支付、订单查询、退票、确认。

本申请实施例提供一种基于业务流程约束的安全防护方法，通过对信息网络系统正常源数据进行统计分析确定对应不同用户角色分类的业务流程的角色业务特征数据，基于角色业务特征数据对系统进行安全防护，有效识别系统异常业务流程。

如图1所示，本申请方法包括S1，获取信息网络系统设备地址特征、用户角色分类及对应的用户地址特征。在本步骤中，设备地址特征和用户地址特征为唯一的地址特征，例如IP地址特征。

如图1所示，本申请方法还包括S2，获取信息网络系统在安全受控环境下至少一个周期的所有用户端的网络数据包，将网络数据包分别解析为包括源地址、目的地址、产生时间、操作执行信息、通讯校验信息的源数据。

在本步骤中，一个周期的时长根据信息网络系统具体情况设定，在一个周期内不同用户角色可进行的所有业务流程应被执行了至少一次。用户端的网络数据包包括源地址为用户端的请求数据包、目的地址为用户端的响应数据包。所有用户端的网络数据包可以通过直接在信息网络系统至少一个周期的历史正常网络数据包中提取源地址及目的地址与用户地址特征匹配的网络数据包得到，也可以通过将抓包工具部署于信息网络系统中，基于用户地址特征设置源地址过滤规则和目的地址过滤规则后，抓取至少一个周期的数据包得到。

网络数据包通常携带很多信息，可包括协议类型、源地址、目的地址、产生时间、寿命、校验和、操作执行信息、通讯校验信息、数据实体等，操作执行信息可包括执行类型标识、执行资源信息标识、执行状态码等，通讯校验信息可包括用于校验请求数据包和响应数据包匹配关系的标识，例如数据包中的数据长度、请求序列号和响应确认号等。在本步骤中，可根据预先储备的协议库将网络数据包解析，提取所需信息包括源地址、目的地址、产生时间、操作执行信息、通讯校验信息等构成源数据。

信息网络系统中用户完成单个操作的过程通常包括两个操作执行步骤，即用户向系统作出操作请求、系统向用户作出操作响应，例如登录操作的实现过程为，用户方发起登录请求，向系统目标设备如服务器发送登录请求数据，登录请求数据到达对应的服务器后，服务器解析前述登录请求数据并据此进行登录响应，向用户方返回登录响应数据，用户方接收、解析登录响应数据后完成登录操作。S2中获取的所有用户端的源数据原始是杂乱分散的，首先需要将源数据划分为对应用户操作的数据。因此，如图1所示，本申请方法还包括S3，提取对应同一用户的同一操作的源数据构成标识有用户信息的操作数据。

在本步骤中，可以依次提取源数据，基于其源地址、目的地址、产生时间和通讯校验信息，在剩余的源数据中提取源地址、目的地址和前述提取的源数据相反、产生时间和前述提取的源数据匹配、通讯校验信息和前述提取的源数据匹配的源数据构成操作数据。

如图2所示，在本申请的一些实施例中，为了提高数据处理效率，S3包括：

S31，基于设备地址特征、用户地址特征、源数据的源地址和目的地址，将源数据划分为请求类和响应类。

在本步骤中，源地址与用户地址特征匹配、目的地址与设备地址特征匹配的源数据划分为请求类，源地址与设备地址特征匹配、目的地址与用户地址特征匹配的源数据划分为响应类。

S32，对于请求类源数据，提取源地址相同的源数据形成同用户请求集并标识用户信息，以将请求类源数据划分为若干个对应不同用户的同用户请求集；同样地，对于响应类源数据，提取目的地址相同的源数据形成同用户响应集并标识用户信息，以将响应类源数据也划分为若干个对应不同用户的同用户响应集。在本步骤中，同用户请求集的用户信息可为其内源数据的源地址，同用户响应集的用户信息可为其内源数据的目的地址。

S33，将用户信息相同的同用户请求集和同用户响应集进行关联。

S34，针对同用户请求集内的单个请求类源数据，基于其目的地址、产生时间和通讯校验信息，在关联的同用户响应集中提取对应的响应类源数据，共同构成单个操作数据。在本步骤中，针对同用户请求集内的单个请求类源数据A1，在关联的同用户响应集内提取源地址与A1目的地址相同、产生时间比A1迟、通讯校验信息与A1匹配的响应类源数据B1共同构成操作数据。

单个操作数据包括操作时间、操作地址、操作信息，操作数据的用户信息、操作地址、操作时间分别基于对应请求类源数据的源地址、目的地址和产生时间确定，操作数据的操作信息基于对应两个源数据的操作执行信息确定。

如图1所示，本申请方法还包括S4，提取对应同一用户的操作数据构成标识有用户信息的业务流程数据；业务流程数据的用户信息基于对应操作数据的用户信息确定。

在本步骤中，可以直接将获取网络数据包时期内同一用户所做的所有操作看作1个业务流程，提取同一用户的所有操作数据来构成1个业务流程数据。具体地，将用户信息相同的操作数据归为同用户操作集，将同用户操作集内的操作数据按操作时间先后顺序进行排序，将同用户操作集内的操作数据顺序融合构成业务流程数据。构成的业务流程数据包括具有顺序关系的若干个数据块，所述若干个数据块基于对应同用户操作集内排序的若干个操作数据确定，单个数据块的实体信息包括流程地址和流程信息，数据块的实体信息基于其对应操作数据的操作地址和操作信息确定。

举例说明，假如某一用户的用户地址为x，其对应的排序后的同用户操作集表示为，/>表示/>内第1个操作数据，其余操作数据以此类推。/>对应构成的业务流程数据表示为/>，x为/>的用户信息，/>表示/>的第1个数据块，其余数据块以此类推。假如/>，x为/>的用户信息，/>分别为/>的操作时间、操作地址、操作信息，则/>，即表示数据块/>的实体信息为/>。

为了获得足够全面、准确的操作信息，对应步骤S2，S3中得到的是信息网络系统在安全受控环境下至少一个周期的所有用户端的操作数据，如果直接将同一用户在该时期内的所有操作看作一个业务流程，业务流程数据可能太过复杂。

如前所述，用户想要在信息网络系统完成业务，通常需要先进行准入操作，如简单点击进入系统或严格登录认证进入系统，然后再进行其它操作来完成业务。在本申请获取用户端网络数据包的时期内，用户可能重复登入信息网络系统若干次，即会产生若干次准入操作，为缩减单个业务流程数据的复杂度，在本申请的一些实施例中，在步骤S4中也可以将用户每次准入操作及其后所做的所有操作看作单个业务流程，基于同一用户所有操作数据中排序第一的操作数据，即对应准入操作的操作数据，将同一用户的所有操作数据构成若干个业务流程数据。具体地，如图3所示，S4包括：

S41，将用户信息相同的操作数据归为同用户操作集，将同用户操作集内的操作数据按操作时间先后顺序进行排序。

S42，针对单个同用户操作集，如果其内存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述操作数据作为分界点，基于分界点将所述同用户操作集拆分为若干个业务流程集；如果单个同用户集内不存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述同用户操作集作为业务流程集。

S43，将业务流程集内的操作数据顺序融合构成业务流程数据；业务流程数据包括具有顺序关系的若干个数据块，所述若干个数据块基于对应业务流程集内排序的若干个操作数据确定，单个数据块实体信息包括流程地址和流程信息，数据块的实体信息基于其对应操作数据的操作地址和操作信息确定。

仍以用户地址为x的用户举例，其同用户操作集可划分为m个业务流程集，第w|w∈(1,2,……,m)个业务流程集内操作数据的数量可表示为mw。m个业务流程集对应构成的m个业务流程数据可表示为/>，第w个业务流程数据可表示为/>，x为/>的用户信息，/>表示/>的第1个数据块，其余数据块以此类推。

由于用户需求的不同，用户在单个业务流程中可能会重复进行一些操作，例如部分用户要在铁路客票系统中完成买票业务，其产生的业务流程可能为点击进入网页、用户登录、查票、查票、查票、预订、提交订单、确认、支付等，为了进一步缩减单个业务流程数据的复杂度，在本申请的一些实施例中，S4还包括S44，对存在重复的业务流程数据进行删减操作。

在本步骤中，如果单个业务流程数据存在若干个相邻重复的数据块，则将所述若干个相邻重复的数据块删减至剩余一个，并为该剩余的数据块标识重复信息。以举例，假如其内/>，则将/>删减，为/>标识重复信息，可为/>自身实体信息，表示自身重复，对应地/>，/>即表示/>的重复信息，表示/>的实体信息。需要说明的是，此时mw表示的数量等于初始mw表示的数量减2，/>内/>之后数据块的内容依次替换为初始/>内/>之后数据块的内容。

用户在其单个业务流程中重复进行一些操作，除了可能重复进行单个操作外，还可能重复进行多个连续操作，例如部分用户要在铁路客票系统中完成买票业务，其产生的业务流程可能为点击进入网页、用户登录、查票、预订、查票、预订、提交订单、确认、支付等，为了更进一步缩减单个业务流程数据的复杂度，在本申请的一些实施例中，S44还包括：将单个业务流程数据的若干个相邻的数据块看作一个数据段，一个数据段的实体信息为其对应数据块的实体信息的集合，如果单个业务流程数据存在若干个相邻数据段的实体信息相同，则将所述若干个相邻的数据段删减至剩余一个，并为该剩余数据段标识重复信息。以举例，假如其内/>、/>、/>，则将删减，为数据段/>标识重复信息，可以是为数据段最后一个数据块标识重复信息，可为数据段第一个数据块的实体信息，表示指向第一个数据块重复，对应地/>。同理，此时mw表示的数量等于初始mw表示的数量减3，内/>之后数据块的内容依次替换为初始/>内/>之后数据块的内容。

在本申请的一些实施例中，为了统一数据块的格式以便于处理，完成S44后，可以为所有业务流程数据中不带重复信息的数据块标识内容为空的重复信息。以举例，假如其内/>不带重复信息，则为其标识内容为空的重复信息，对应地，/>即表示/>的重复信息，null表示空。

如图1所示，本申请方法还包括S5，基于用户角色分类及对应的用户地址特征将若干个业务流程数据划分为若干类流程数据集。

在本步骤中，假设存在n个用户角色分类，对应的用户地址特征分别为ID1-IDn，依次提取业务流程数据的用户信息与ID1-IDn对比，假如所提取业务流程数据的用户信息与ID1匹配，则将所提取业务流程数据划分至用户地址特征为ID1的流程数据集；对应形成n个流程数据集可表示为G1-Gn。

如图1所示，本申请方法还包括S6，基于各流程数据集构建对应各用户角色分类的角色业务特征数据，形成信息网络系统的安全基线库。

在本步骤中，针对单个流程数据集，可以直接简单地将其内各业务流程数据的用户信息替换为对应的用户地址特征，从而形成对应单个用户角色分类的若干个角色业务特征数据。假如某一用户的用户地址为x，其匹配的用户地址特征为ID1，则其对应的业务流程数据划分至流程数据集G1中，/>。针对G1，将其内所有业务流程数据的用户信息均替换为用户地址特征ID1，即形成对应ID1用户角色分类的若干个角色业务特征数据，其中基于业务流程数据/>对应形成的单个角色业务特征数据可表示为，其余角色业务特征数据以此类推。

为了方便数据的储存和查找，在本申请的一些实施例中，所述S6中针对单个流程数据集，将其内所有的业务流程数据融合构建为对应单个用户角色分类的单个呈图结构的角色业务特征数据。具体地，如图4所示，针对单个流程数据集构建角色业务特征数据的方法包括：

S61，在所述流程数据集内所有业务流程数据中提取序号相同的数据块，形成对应序号的数据块集。

以流程数据集G1举例，，/>，，/>。假如流程数据集G1内业务流程数据的数据块数量mm为最大值，则形成对应序号1至mm的数据块集。对应序号1的数据块集为，对应序号2的数据块集为/>，其余序号的数据块集类推。

S62，针对单个数据块集，如果其内存在实体信息相同的数据块，则将实体信息相同的数据块删减至剩余一个。

举例说明，假如对应序号3的数据块集为，，则将/>删除，对应序号3的数据块集变为/>。

S63，将所有数据块集内各数据块的实体信息分别作为图结构的顶点，并对应数据块的序号为顶点进行层次编号。

在本步骤中，图结构第1层次的顶点可表示为，第2层次的顶点可表示为，其余层次的顶点类推。假如经过S62后，对应序号1的数据块集变为/>，，则对应地顶点/>；对应序号2的数据块集变为/>，，则对应地顶点/>。

S64，对应所述流程数据集内所有业务流程数据中数据块的重复信息、实体信息、数据块间的顺序关系将图结构的各顶点有向连接，并为图结构第1层次的顶点添加用户地址特征，最终形成呈图结构的角色业务特征数据。

在本步骤中，可按顶点层次编号依次进行有向连接操作，其中针对单个层次内的顶点，以单个顶点为单元依次进行有向连接操作。以流程数据集G1举例，其对应图结构具有mm个层次的顶点，第i|i∈(1,2,……,mm)个层次的顶点数量可表示为ki，针对单个层次内的单个顶点,在所述流程数据集内所有业务流程数据的序号为i的数据块中，定位实体信息与/>相同的数据块。假如定位到实体信息与/>相同的一个数据块为/>，获取/>对应的下一个数据块/>的实体信息/>，在第i+1层次的顶点中定位其内容与/>相同的顶点，将/>指向连接前述第i+1层次中定位到的顶点；同时还获取/>的重复信息/>，并在第1至第i-1层次的顶点中定位其内容包括于/>中的顶点，将/>指向连接前述第1至第i-1层次中定位到的顶点。当实体信息与/>相同的数据块为多个时，对各数据块均进行前述操作，从而定位/>需要指向连接的所有顶点。

完成所有顶点的有向连接操作后，为图结构第1层次的顶点添加用户地址特征，以流程数据集G1形成的图结构举例，。

在本申请的一些实施例中，在步骤S6中形成信息网络系统的安全基线库后，可以人工进行校验，对明显错误进行修正。

如图1所示，本申请方法还包括S7，基于安全基线库对信息网络系统进行安全防护。

针对S6中单个用户角色分类对应单个呈图结构的角色业务特征数据的情况，在本申请的一些实施例中，用户进入信息网络系统时，先解析出其用户地址与各角色业务特征数据第1层次顶点的用户地址特征对比，以将用户匹配至对应其用户角色分类的角色业务特征数据，并将匹配的角色业务特征数据的第1层次的顶点作为基线集，然后从用户第一个操作开始，对用户的所有操作依次进行安全防护，即将用户操作的请求数据包和响应数据包构成用户的操作数据，基于基线集内的顶点对用户操作数据进行下述检测识别步骤：在基线集内存在匹配顶点的用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集；在基线集内不存在匹配顶点的用户操作数据进行阻断报警。其中，如果用户操作数据的操作地址和操作信息与基线集内某个或某些顶点的内容相同，则认为该操作数据在基线集内存在匹配顶点。

针对S6中单个用户角色分类对应若干个角色业务特征数据的情况，也可采用相似的安全防护方法，不同之处在于，初始时用户会匹配至对应其用户角色分类的若干个角色业务特征数据，然后将匹配的所有角色业务特征数据的第1个数据块作为基线集，后续基于基线集内的数据块对用户操作数据进行检测识别，如果用户操作数据的操作地址和操作信息与基线集内某个或某些数据块的实体信息相同，则认为该操作数据在基线集内存在匹配数据块，予以放行，并在所述若干个角色业务特征数据中提取所述匹配数据块对应的下一个数据块，来更新基线集。

进一步地，为了能够检测识别到用户业务流程的异常结束，在本申请的一些实施例中，在步骤S4中构成业务流程数据时，为各业务流程数据的最后一个数据块标识停止信息。以用户地址为x的用户对应的第1个业务流程数据举例，/>，/>表示/>的最后1个数据块，则/>，/>表示/>的停止信息，/>，表示可停止；其余业务流程数据的最后1个数据块以此类推。

对应地，在步骤S62中，如果实体信息相同的数据块中存在带有停止信息的数据块，则在将实体信息相同的数据块删减至剩余一个时，选择剩余带有停止信息的数据块；在步骤S63中，提取所有数据块集内各数据块的实体信息和停止信息，作为图结构的顶点。

同样地，为了统一数据块的格式以便于处理，在本申请的一些实施例中，完成S4后，可以为所有业务流程数据中不带停止信息的数据块标识表示不可停止的停止信息。以举例，为/>标识表示不可停止的停止信息，例如，/>，表示不可停止。对应地，在步骤S62中，如果实体信息相同的数据块中存在带有表示可停止的停止信息的数据块，则在将实体信息相同的数据块删减至剩余一个时，选择剩余带有表示可停止的停止信息的数据块。

对应地，在步骤S63中，提取所有数据块集内各数据块的实体信息和停止信息，作为图结构的顶点。以流程数据集G1举例，假如对应序号1的数据块集为，，则/>；假如序号2的数据块集为/>，/>，则/>。

对应地，在S7中，用户进入信息网络系统时，先解析出其用户地址与各角色业务特征数据第1层次顶点的用户地址特征对比，以将用户匹配至对应其用户角色分类的角色业务特征数据，并将匹配的角色业务特征数据的第1层次的顶点作为基线集，然后从用户第一个操作开始，对用户的所有操作依次进行安全防护，即将用户操作的请求数据包和响应数据包构成用户的操作数据，基于基线集内的顶点对用户操作数据进行以下检测识别步骤：

判定用户操作数据在基线集内是否存在匹配顶点，若否，对该用户地址及该用户操作数据进行阻断报警；若是，进一步判定匹配顶点的停止信息是否表示不可停止；其中，如果用户操作数据的操作地址和操作信息与基线集内某个或某些顶点的实体信息相同，则认为该操作数据在基线集内存在匹配顶点；

若匹配顶点停止信息表示不可停止，对该用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集，同时设定等待时限；如果在等待时限内未形成该用户的下一个操作数据与基线集进行检测识别，则对该用户地址进行阻断报警；如果在等待时限内形成该用户的下一个操作数据与基线集进行检测识别，则跳转检测识别第一步；

若匹配顶点停止信息表示可停止，对该用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集，并正常等待该用户的下一个操作数据与基线集进行检测识别第一步。

本申请实施例还提供一种基于业务流程约束的安全防护装置，包括存储器、处理器，存储器和处理器可以通过总线或其它方式连接。存储器可用于存储软件程序、计算机程序及模块，如上述基于业务流程约束的安全防护方法对应的程序/模块；处理器通过执行存储器中的计算机程序及模块，实现上述的基于业务流程约束的安全防护方法。

处理器可以为中央处理器、数字信号处理器、专用集成电路、现场可编程门阵列等，存储器可以为高速随机存取存储器、非暂态存储器等。

本申请实施例还提供一种存储介质，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现上述基于业务流程约束的安全防护方法。其中，存储介质可为磁碟、光盘、只读存储记忆体、随机存储记忆体、快闪存储器、硬盘等中的一种或多种的组合。

需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上述对本说明书特定实施例进行了描述，其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成。以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.基于业务流程约束的安全防护方法，其特征在于，所述方法包括以下步骤：

S1，获取信息网络系统设备地址特征、用户角色分类及对应的用户地址特征；

S2，获取信息网络系统在安全受控环境下至少一个周期的所有用户端的网络数据包，将网络数据包分别解析为包括源地址、目的地址、产生时间、操作执行信息、通讯校验信息的源数据；

S3，提取对应同一用户的同一操作的源数据构成标识有用户信息的操作数据，单个操作数据包括操作时间、操作地址、操作信息；

S4，提取对应同一用户的操作数据构成标识有用户信息的业务流程数据，业务流程数据包括具有顺序关系的若干个数据块，单个数据块的实体信息包括流程地址和流程信息；

S5，基于用户角色分类及对应的用户地址特征将若干个业务流程数据划分为若干类流程数据集；

S6，基于各流程数据集构建对应各用户角色分类的角色业务特征数据，形成信息网络系统的安全基线库；

S7，基于安全基线库对信息网络系统进行安全防护；

所述S4中对存在重复的业务流程数据进行删减操作，包括：如果单个业务流程数据存在若干个相邻重复的数据块，则将所述若干个相邻重复的数据块删减至剩余一个，并为该剩余的数据块标识重复信息；

所述S6中针对单个流程数据集构建角色业务特征数据的方法包括：

S61，在所述流程数据集内所有业务流程数据中提取序号相同的数据块，形成对应序号的数据块集；

S62，针对单个数据块集，如果其内存在实体信息相同的数据块，则将实体信息相同的数据块删减至剩余一个；

S63，将所有数据块集内各数据块的实体信息分别作为图结构的顶点，并对应数据块的序号为顶点进行层次编号；

S64，对应所述流程数据集内所有业务流程数据中数据块的重复信息、实体信息、数据块间的顺序关系将图结构的各顶点有向连接，并为图结构第1层次的顶点添加用户地址特征，最终形成呈图结构的角色业务特征数据；

所述S7包括：用户进入信息网络系统时，先解析出其用户地址与各角色业务特征数据第1层次顶点的用户地址特征对比，以将用户匹配至对应其用户角色分类的角色业务特征数据，并将匹配的角色业务特征数据的第1层次的顶点作为基线集，然后从用户第一个操作开始，对用户的所有操作依次进行安全防护，即将用户操作的请求数据包和响应数据包构成用户的操作数据，基于基线集内的顶点对用户操作数据进行下述检测识别步骤：在基线集内存在匹配顶点的用户操作数据予以放行，并在角色业务特征数据内提取所述匹配顶点指向连接的顶点来更新基线集；在基线集内不存在匹配顶点的用户操作数据进行阻断报警；其中，如果用户操作数据的操作地址和操作信息与基线集内某个或某些顶点的内容相同，则认为该操作数据在基线集内存在匹配顶点。

2.根据权利要求1所述的基于业务流程约束的安全防护方法，其特征在于，所述S3包括：

S31，基于设备地址特征、用户地址特征、源数据的源地址和目的地址，将源数据划分为请求类和响应类；

S32，对于请求类源数据，提取源地址相同的源数据形成同用户请求集并标识用户信息，对于响应类源数据，提取目的地址相同的源数据形成同用户响应集并标识用户信息；

S33，将用户信息相同的同用户请求集和同用户响应集进行关联；

S34，针对同用户请求集内的单个请求类源数据，基于其目的地址、产生时间和通讯校验信息，在关联的同用户响应集中提取对应的响应类源数据，共同构成单个操作数据；

操作数据的用户信息、操作地址、操作时间分别基于对应请求类源数据的源地址、目的地址和产生时间确定，操作数据的操作信息基于对应两个源数据的操作执行信息确定。

3.根据权利要求2所述的基于业务流程约束的安全防护方法，其特征在于，所述S4包括：

S41，将用户信息相同的操作数据归为同用户操作集，将同用户操作集内的操作数据按操作时间先后顺序进行排序；

S42，针对单个同用户操作集，如果其内存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述操作数据作为分界点，基于分界点将所述同用户操作集拆分为若干个业务流程集；如果单个同用户集内不存在操作数据的操作地址、操作信息与其内第一个操作数据的操作地址、操作信息相同，则将所述同用户操作集作为业务流程集；

S43，将业务流程集内的操作数据顺序融合构成业务流程数据；

业务流程数据的用户信息基于对应业务流程集内操作数据的用户信息确定，业务流程数据具有顺序关系的若干个数据块基于对应业务流程集内排序的若干个操作数据确定，单个数据块的实体信息基于其对应操作数据的操作地址和操作信息确定。

4.根据权利要求3所述的基于业务流程约束的安全防护方法，其特征在于，所述S4中对存在重复的业务流程数据进行删减操作还包括：

将单个业务流程数据的若干个相邻的数据块看作一个数据段，一个数据段的实体信息为其对应数据块的实体信息的集合，如果单个业务流程数据存在若干个相邻数据段的实体信息相同，则将所述若干个相邻的数据段删减至剩余一个，并为该剩余数据段标识重复信息。

5.根据权利要求4所述的基于业务流程约束的安全防护方法，其特征在于，在S4与S5之间还包括：为所有业务流程数据的最后1个数据块标识表示可停止的停止信息，为所有业务流程数据的其余数据块标识表示不可停止的停止信息；在步骤S62中，如果实体信息相同的数据块中存在带有表示可停止的停止信息的数据块，则在将实体信息相同的数据块删减至剩余一个时，选择剩余带有表示可停止的停止信息的数据块；在步骤S63中，提取所有数据块集内各数据块的实体信息和停止信息，作为图结构的顶点。

6.基于业务流程约束的安全防护装置，包括存储器及存储于其上的计算机程序、处理器，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-5任一项所述的基于业务流程约束的安全防护方法。

7.存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如权利要求1-5任一项所述的基于业务流程约束的安全防护方法。