CN116263761A - 一种操作日志审计方法、装置、计算设备和存储介质 - Google Patents

一种操作日志审计方法、装置、计算设备和存储介质 Download PDF

Info

Publication number
CN116263761A
CN116263761A CN202211435404.4A CN202211435404A CN116263761A CN 116263761 A CN116263761 A CN 116263761A CN 202211435404 A CN202211435404 A CN 202211435404A CN 116263761 A CN116263761 A CN 116263761A
Authority
CN
China
Prior art keywords
user
user portrait
tag
tags
feature vector
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211435404.4A
Other languages
English (en)
Inventor
龚双双
张娜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Suzhou Software Technology Co Ltd
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Suzhou Software Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Suzhou Software Technology Co Ltd filed Critical China Mobile Communications Group Co Ltd
Priority to CN202211435404.4A priority Critical patent/CN116263761A/zh
Publication of CN116263761A publication Critical patent/CN116263761A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/17—Details of further file system functions
    • G06F16/1734—Details of monitoring file system events, e.g. by the use of hooks, filter drivers, logs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明公开了一种操作日志审计方法、装置、计算设备和存储介质。根据本发明提供的技术方案，获取用户的操作日志数据；对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；利用所述用户对应的特征向量，计算所述用户的风险等级。通过本发明，利用多种规则和机器学习算法构建用户画像标签组，使日志审计更为简洁、精确且扩展性强；根据其对应的特征向量来确定风险等级，则利于确定具体管控标准，使安全防控更为全面。

Description

一种操作日志审计方法、装置、计算设备和存储介质
技术领域
本发明涉及信息安全领域，具体涉及一种操作日志审计方法、装置、计算设备和计算机存储介质。
背景技术
随着数据、信息的重要性逐渐提升，无论个人或企业，对于信息安全的重视也随之提高。面对互联网的快速发展，企业信息安全也越来越受到挑战，除去需要增设防火墙、IDS(Intrusion Detection System，入侵检测系统)、IPS(Intrusion Prevention System，防御系统)等技术来防护来自外部的入侵和攻击，还需要针对企业内部人员的违规操作、滥用资源和泄露客户信息等行为通过行为日志审计方法进行安全风险评级，并制定相应的安全防控措施。
当前，针对内部行为进行信息安全防控采用的操作日志审计方法主要包括三种：第一种是通过将待审计日志信息转换规则后，放入训练完成的均值漂移模型当中，并与预设半径进行比较，来判定日志信息是否正常；第二种是通过取得的关键字将日志信息进行词向量转化，再由系统对所得词向量及逆行聚类分析，得到异常信息；第三种是根据用户的操作行为，结合其个人信息和网络环境生成一个用户行为模型，通过实时检测和分析用户的操作行为，根据预设的审计规则对用户行为进行审计，对违反用户操作准则和不符合用户日常操作习惯的行为进行告警。
此三种日志审计方式主要存在以下问题：第一种审计方法采用转换规则的方式抽取日志特征信息，但其面向的日志格式较为单一，无法面对复杂多样的日志情况，扩展性较差，容错性较低；第二种方式tf-idf权的方法筛选关键字，并将其与已有确定属性相结合，将每条日志转化为一条具有相同K个属性项目的元组，通过邻链的算法筛选出异常数据，而关键词抽取出的脏数据较多，将其作为日志聚类的特征，导致日志审计的准确率较低；第三种方法通过对用户进行频繁序列挖掘形成用户的频繁序列的用户行为画像，但该画像标签特征稀疏，无法精确有效地反映用户的异常行为，且审计颗粒度的精细化不足。可见，现有技术在进行日志审计时，准确率较低，面对复杂情况的扩展性较差，且由于精细化不足，无法对用户的操作行为进一步进行精准管控。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的操作日志审计方法和相应的操作日志审计装置，计算设备以及计算机存储介质。
根据本发明的一个方面，提供了一种操作日志审计方法，所述方法包括：
获取用户的操作日志数据；
对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；
根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；
利用所述用户对应的特征向量，计算所述用户的风险等级。
上述方案中，所述对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值进一步包括：
对所述操作日志数据进行解析以及结构化处理，得到多个属性数据；
利用数据挖掘算法和业务规则，对多个属性数据进行分析，确定多个用户画像标签，组合所述多个用户画像标签得到用户画像标签组；
针对每个用户画像标签，依据该用户画像标签对应的属性数据的数据内容确定该用户画像标签的标签特征值。
上述方案中，所述多个属性数据包括以下数据中的至少两项：操作时间、操作内容信息、操作所属系统信息、操作人员信息以及操作凭证信息。
上述方案中，所述多个用户画像标签包括以下标签中的至少两项：基础属性标签、账号安全标签、违规行为标签、异常行为标签、操作倾向标签以及活跃度标签。
上述方案中，所述根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量进一步包括：
对所述用户画像标签组中多个用户画像标签的标签特征值进行独热编码，得到所述用户对应的特征向量。
上述方案中，所述利用所述用户对应的特征向量，计算所述用户的风险等级进一步包括：
基于所述用户画像标签组，确定最高风险特征向量；
计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据；
依据所述相似度数据，计算所述用户的风险系数；
将所述用户的风险系数所属的预设风险等级区间对应的风险等级确定为所述用户的风险等级。
上述方案中，所述计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据进一步包括：
计算所述用户的特征向量与所述最高风险特征向量之间的欧式距离，将所述欧式距离作为所述相似度数据。
根据本发明的另一方面，提供了一种操作日志审计装置，包括：获取模块、分析构建模块、向量确定模块以及计算模块；其中，
所述获取模块，用于获取用户的操作日志数据；
所述分析构建模块，用于对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；
所述向量确定模块，用于根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；
所述计算模块，用于利用所述用户对应的特征向量，计算所述用户的风险等级。
根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如上述的操作日志审计方法对应的操作。
根据本发明的再一方面，提供了一种计算机存储介质，存储介质中存储有至少一可执行指令，可执行指令使处理器执行如上述的操作日志审计方法对应的操作。
根据本发明提供的技术方案，获取用户的操作日志数据；对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；利用所述用户对应的特征向量，计算所述用户的风险等级。由此解决了现有技术中，针对复杂的日志数据，筛选出的异常数据中脏数据较多，日志审计方法扩展性、容错率较差且精细化不足的问题。利用多种规则和机器学习算法构建用户画像标签组，使日志审计更为简洁、精确且扩展性强；根据其对应的特征向量来确定风险等级，则利于确定具体管控标准，使安全防控更为全面，大大提高了日志审计的效率和准确率。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例的操作日志审计方法的流程示意图；
图2示出了根据本发明另一个实施例的操作日志审计方法的流程示意图；
图3示出了根据本发明一个实施例的操作日志审计装置的结构框图；
图4示出了根据本发明实施例的一种计算设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
图1示出了根据本发明一个实施例的操作日志审计方法的流程示意图，如图1所示，该方法包括如下步骤：
步骤S101，获取用户的操作日志数据。
优选的，可通过FTP(File Transfer Protocol，文件传输协议)、SFTP(SSH FileTransfer Protocol，安全文件传输协议)、数据库、文件系统等多种数据传输方式的其中之一来获取所述用户的操作日志数据。
步骤S102，对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值。
步骤S103，根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量。
步骤S104，利用所述用户对应的特征向量，计算所述用户的风险等级。
根据本实施例提供的操作日志审计方法，获取用户的操作日志数据；对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；利用所述用户对应的特征向量，计算所述用户的风险等级。利用本发明提供的技术方案，通过对操作日志数据进行分析，进而构建用户画像标签组，并根据用户画像标签组对应的特征向量来确定风险等级；根据本方法进行日志审计更为简洁、精确且扩展性强，最终确定的风险等级也更利于确定具体管控标准，使安全防控更为全面。
图2示出了根据本发明另一个实施例的操作日志审计方法的流程示意图，如图2所示，该方法包括如下步骤：
步骤S201：获取用户的操作日志数据。
优选的，可通过FTP、SFTP、数据库、文件系统等多种数据传输方式的其中之一来获取所述用户的操作日志数据。
步骤S202：分析用户的操作日志数据，构建用户画像标签组。
具体的，分析用户的操作日志数据，构建用户画像标签组进一步包括：
对所述操作日志数据进行解析以及结构化处理，得到多个属性数据；
利用数据挖掘算法和业务规则，对多个属性数据进行分析，确定多个用户画像标签，组合所述多个用户画像标签得到用户画像标签组。
优选的，所述多个属性数据包括以下数据中的至少两项：操作时间、操作内容信息、操作所属系统信息、操作人员信息以及操作凭证信息。
优选的，所述操作时间，指用户实际操作系统时间；所述操作内容信息，包括但不限于实际操作内容、敏感数据范围、数据安全等级等；所述操作所属系统信息，包括但不限于操作源端IP地址(客户端地址)、操作目的系统IP地址、系统编号、系统名称等；所述操作人员信息，包括但不限于操作账号、账号所属组织路径、账号身份信息(包括但不限于手机号码、邮箱地址)等；所述操作凭证信息，描述员工操作用户敏感信息时所持凭证或依据，任何操作都需要经过审批，获得凭证方可进行，其包括但不限于凭证编号、申请人、申请时间、审批人、审批时间、申请理由、审批结果。
优选的，所述多个用户画像标签包括以下标签中的至少两项：基础属性标签、账号安全标签、违规行为标签、异常行为标签、操作倾向标签以及活跃度标签；其中，
所述基础属性标签包括但不限于：人员账号信息(如主账号ID、主账号名称、各个系统的从账号名称)；人员归属的组织信息(如地市、部门、组织路径等)；人员属性信息(如真实姓名、人员类型)，其中，人员类型区分自有人员或合作伙伴人员。
所述账号安全标签包括但不限于：非实名认证标签，用于判断是否实名认证；托管账号标签，用于判断是否纳入安全管控人员名单；冗余账号标签，用于判断是否为一个账号绑定多个手机号的情形；新账号标签，用于判断是否为新账号；失效时长标签，用于表示账号距离失效的时长；超级账号权限标签，用于判断当前账号是否具有超级账号权限。
所述违规行为标签，用于表示根据策略规则进行操作日志审计，当前账号是否存在过违规行为；其中，策略规则可以从业务人员经验中提炼获得，和/或，从用户信息安全管理规定中提炼获得；具体可以包括但不限于：未授权涉敏操作违规、越权涉敏操作违规、未经审批操作违规、合作伙伴敏感权限违规、合作伙伴敏感操作违规、审批人为合作伙伴违规、操作时长不在授权范围内或授权时长超过规定违规。
所述异常行为标签，用于识别操作IP异常用户和在线时长异常用户，并输出相应的异常行为标签；
具体的，确定所述异常行为标签，需要基于用户的操作日志数据，从用户的操作IP地址(客户端IP地址，和/或，服务端IP地址)以及用户在线时段两个方向的数据构建指标体系，建立IP地址频繁切换检测模型和在线时长异常检测模型；
其中，所述IP地址频繁切换检测模型和在线时长异常检测模型采用异常检测算法、LOF(Local outlier factor，局部异常因子)算法、Isolation Forest(孤立深林)算法和聚类算法等进行协同异常识别；当上述两种算法模型均判定某个用户的操作行为为异常时，该用户才会被识别为进行了异常行为，并为其添加所述异常行为标签。
所述操作倾向标签，用于表示所标识的用户是否为高危操作倾向用户以及其经常操作类型、经常操作的用户数据安全等级、标识人员的操作时间偏好(如周末偏好或夜间偏好)；其中，所述高危操作包括在系统上进行删除、下载、导出用户敏感信息的操作。
所述活跃度标签，包括活跃用户、非活跃用户及沉默用户；用于判断数据周期内是否存在操作行为；其中，若存在操作行为，则为活跃用户；若无操作行为，则为非活跃用户；若预设时间周期内(如3个月或半年)无操作，则可视为沉默用户。
优选的，利用数据挖掘算法和业务规则，对多个属性数据进行分析，确定出多个用户画像标签后，组合所述多个用户画像标签，得到用户画像标签组，如表1所示：
Figure BDA0003947020990000081
Figure BDA0003947020990000091
表1
步骤S203：确定各个用户画像标签的标签特征值，并生成标签特征值对应的特征向量。
具体的，针对每个用户画像标签，依据该用户画像标签对应的属性数据的数据内容确定该用户画像标签的标签特征值。
优选的，根据表1中的各个用户画像标签，从中筛选出能够体现违规风险的用户画像标签；且由于筛选后的用户画像标签对应两个特征值，即是或否，来体现操作违规风险，如表2所示：
Figure BDA0003947020990000092
Figure BDA0003947020990000101
表2
其中，各个用户画像标签对应的所述标签特征值，是则用1来表示，否则用0来表示。
进一步的，经过对所述各个用户画像标签是或否的判断，即可确定该用户画像标签的标签特征值，如表3所示：
Figure BDA0003947020990000111
Figure BDA0003947020990000121
表3
其中，通过1或0代表是或否，以此来表示出的标签特征值，进而表示出当前用户的用户画像标签的状态。
步骤S204：计算用户风险系数。
具体的，对所述用户画像标签组中多个用户画像标签的标签特征值进行独热编码，得到所述用户对应的特征向量；
具体的，基于所述用户画像标签组，确定最高风险特征向量；计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据；依据所述相似度数据，计算所述用户的风险系数。
具体的，计算所述用户的特征向量与所述最高风险特征向量之间的欧式距离，将所述欧式距离作为所述相似度数据。
优选的，根据已经得到的当前用户的用户画像标签的标签特征值，经过独热编码(one-hot编码)后，形成一个所述用户对应的特征向量；
例如，表3中包含26项所述用户画像标签，因此，所述用户对应的26维特征向量t为：
t＝{1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，0，0，0，0，0，0，0，0，0，0，0}
优选的，基于所述用户画像标签组，将全部标签特征值均为是(即对应特征值均为1)的情况确定为该用户可能出现的最高风险状态，该最高风险状态则对应一个最高风险特征向量tm，即
tm＝{1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1，1}
优选的，基于所述用户对应的特征向量及所述最高风险特征向量进一步确定所述用户的风险系数。
由于向量差异的大小，可以评价向量间的相似性，而向量间的差异大小最常用的方式即为通过向量间的距离来进行确定；因此，可以通过向量间的欧式距离作为向量间的相似度数据；
由此，可以通过所述用户对应的特征向量与所述最高风险特征向量之间的欧式距离作为其相似度数据，用以表示二者之间的关系；该相似度数据越小，则说明所述用户对应的特征向量与所述最高风险特征向量越相似；反之，则说明所述用户对应的特征向量与所述最高风险特征向量差异越大。
进一步的，通过所述相似度数据，计算所述用户的风险系数；
优选的，可以将所述用户对应的特征向量与所述最高风险特征向量之间的欧式距离进行归一化，并进一步将归一化后的欧氏距离作为所述用户的风险系数：
Figure BDA0003947020990000131
其中，di(欧式距离)的取值范围为[0，∞)，R(风险系数)的取值范围为(0，1]。经过归一化后，所述用户对应的特征向量与所述最高风险特征向量之间的欧式距离越大，则所述风险系数越小，所述用户操作信息泄露的风险也越小；反之，所述用户对应的特征向量与所述最高风险特征向量之间的欧式距离越小，则所述风险系数越大，所述用户操作信息泄露的风险也越大。
步骤S205：确定用户风险等级。
具体的，将所述用户的风险系数所属的预设风险等级区间对应的风险等级确定为所述用户的风险等级。
优选的，所述预设风险等级区间可以将所述风险系数的取值范围分为5档，从小到大依次为：
(0，0.2]为0.2档，(0.2，0.4]为0.4档，(0.4，0.6]为0.6档，(0.6，0.8]为0.8档，(0.8，1]为1档；
由此，所述预设风险等级区间所对应的风险等级从小到大依次为：0.2、0.4、0.6、0.8、1。
所述用户的风险系数属于上述哪一个预设风险等级区间，则将该预设风险等级区间对应的风险等级确定为所述用户的风险等级。
优选的，针对上述不同的风险等级，预先制定与各个风险等级对应的管控标准。例如：对最高风险等级的人群进行操作实时监控，加强事前审批、事中监控和事后重点核查，并制定相关措施防控用户隐私数据泄露。在确定了所述用户的风险等级后，依据该风险等级对应的管控标准，执行相应的防控措施，以此来降低信息泄露风险，预防安全隐患，保障信息安全。
根据本实施例提供的操作日志审计方法，获取用户的操作日志数据；对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；利用所述用户对应的特征向量，计算所述用户的风险等级。利用本发明提供的技术方案，通过对操作日志数据进行分析，确定出多个用户画像标签，进而构建用户画像标签组，并根据用户画像标签组对应的特征向量与最高风险特征向量计算用户的风险系数，并进一步确定风险等级；根据本方法通过用户画像标签对应的特征值，计算风险系数并确定风险等级的方式进行日志审计更为简洁、精确；且通过构建包含多个用户画像标签的用户画像标签组使本方法的扩展性更强，最终确定的风险等级也更利于确定具体管控标准，使安全防控更为全面。
图3示出了根据本发明一个实施例的操作日志审计装置的结构框图，如图3所示，该装置包括：获取模块301、分析构建模块302、向量确定模块303以及计算模块304；其中，
所述获取模块301，用于获取用户的操作日志数据。
所述分析构建模块302，用于对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值。
具体的，所述分析构建模块302进一步用于：
对所述操作日志数据进行解析以及结构化处理，得到多个属性数据；
利用数据挖掘算法和业务规则，对多个属性数据进行分析，确定多个用户画像标签，组合所述多个用户画像标签得到用户画像标签组；
针对每个用户画像标签，依据该用户画像标签对应的属性数据的数据内容确定该用户画像标签的标签特征值。
具体的，所述多个属性数据包括以下数据中的至少两项：操作时间、操作内容信息、操作所属系统信息、操作人员信息以及操作凭证信息。
具体的，所述多个用户画像标签包括以下标签中的至少两项：基础属性标签、账号安全标签、违规行为标签、异常行为标签、操作倾向标签以及活跃度标签。
所述向量确定模块303，用于根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量。
具体的，所述向量确定模块303进一步用于：
对所述用户画像标签组中多个用户画像标签的标签特征值进行独热编码，得到所述用户对应的特征向量。
所述计算模块304，用于利用所述用户对应的特征向量，计算所述用户的风险等级。
具体的，所述计算模块304进一步用于：
基于所述用户画像标签组，确定最高风险特征向量；
计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据；
依据所述相似度数据，计算所述用户的风险系数；
将所述用户的风险系数所属的预设风险等级区间对应的风险等级确定为所述用户的风险等级。
具体的，所述计算模块304进一步用于：
计算所述用户的特征向量与所述最高风险特征向量之间的欧式距离，将所述欧式距离作为所述相似度数据。
根据本实施例提供的操作日志审计装置，获取用户的操作日志数据；对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；利用所述用户对应的特征向量，计算所述用户的风险等级。利用本发明提供的技术方案，通过对操作日志数据进行分析，确定出多个用户画像标签，进而构建用户画像标签组，并根据用户画像标签组对应的特征向量与最高风险特征向量计算用户的风险系数，并进一步确定风险等级；根据本方法通过用户画像标签对应的特征值，确定风险等级的方式进行日志审计更为简洁、精确；且通过构建包含多个用户画像标签的用户画像标签组使本方法的扩展性更强，最终确定的风险等级也更利于确定具体管控标准，使安全防控更为全面。
本发明还提供了一种非易失性计算机存储介质，计算机存储介质存储有至少一可执行指令，可执行指令可执行上述任意方法实施例中的操作日志审计方法。
图4示出了根据本发明实施例的一种计算设备的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。
如图4所示，该计算设备可以包括：处理器(processor)402、通信接口(Communications Interface)404、存储器(memory)406、以及通信总线408。
其中：
处理器402、通信接口404、以及存储器406通过通信总线408完成相互间的通信。
通信接口404，用于与其它设备比如客户端或其它服务器等的网元通信。
处理器402，用于执行程序410，具体可以执行上述操作日志审计方法实施例中的相关步骤。
具体地，程序410可以包括程序代码，该程序代码包括计算机操作指令。
处理器402可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。
存储器406，用于存放程序410。存储器406可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
程序410具体可以用于使得处理器402执行上述任意方法实施例中的操作日志审计方法。程序410中各步骤的具体实现可以参见上述操作日志审计方法实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种操作日志审计方法，包括：
获取用户的操作日志数据；
对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；
根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；
利用所述用户对应的特征向量，计算所述用户的风险等级。
2.根据权利要求1所述的方法，其中，所述对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值进一步包括：
对所述操作日志数据进行解析以及结构化处理，得到多个属性数据；
利用数据挖掘算法和业务规则，对多个属性数据进行分析，确定多个用户画像标签，组合所述多个用户画像标签得到用户画像标签组；
针对每个用户画像标签，依据该用户画像标签对应的属性数据的数据内容确定该用户画像标签的标签特征值。
3.根据权利要求2所述的方法，其中，所述多个属性数据包括以下数据中的至少两项：操作时间、操作内容信息、操作所属系统信息、操作人员信息以及操作凭证信息。
4.根据权利要求1所述的方法，其中，所述多个用户画像标签包括以下标签中的至少两项：基础属性标签、账号安全标签、违规行为标签、异常行为标签、操作倾向标签以及活跃度标签。
5.根据权利要求1所述的方法，其中，所述根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量进一步包括：
对所述用户画像标签组中多个用户画像标签的标签特征值进行独热编码，得到所述用户对应的特征向量。
6.根据权利要求1-5任一项所述的方法，其中，所述利用所述用户对应的特征向量，计算所述用户的风险等级进一步包括：
基于所述用户画像标签组，确定最高风险特征向量；
计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据；
依据所述相似度数据，计算所述用户的风险系数；
将所述用户的风险系数所属的预设风险等级区间对应的风险等级确定为所述用户的风险等级。
7.根据权利要求6所述的方法，其中，所述计算所述用户的特征向量与所述最高风险特征向量之间的相似度数据进一步包括：
计算所述用户的特征向量与所述最高风险特征向量之间的欧式距离，将所述欧式距离作为所述相似度数据。
8.一种操作日志审计装置，包括：获取模块、分析构建模块、向量确定模块以及计算模块；其中，
所述获取模块，用于获取用户的操作日志数据；
所述分析构建模块，用于对所述操作日志数据进行分析，构建包含有多个用户画像标签的用户画像标签组，并确定每个用户画像标签的标签特征值；
所述向量确定模块，用于根据所述用户画像标签组中多个用户画像标签的标签特征值，得到所述用户对应的特征向量；
所述计算模块，用于利用所述用户对应的特征向量，计算所述用户的风险等级。
9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的操作日志审计方法对应的操作。
10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的操作日志审计方法对应的操作。
CN202211435404.4A 2022-11-16 2022-11-16 一种操作日志审计方法、装置、计算设备和存储介质 Pending CN116263761A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211435404.4A CN116263761A (zh) 2022-11-16 2022-11-16 一种操作日志审计方法、装置、计算设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211435404.4A CN116263761A (zh) 2022-11-16 2022-11-16 一种操作日志审计方法、装置、计算设备和存储介质

Publications (1)

Publication Number Publication Date
CN116263761A true CN116263761A (zh) 2023-06-16

Family

ID=86722917

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211435404.4A Pending CN116263761A (zh) 2022-11-16 2022-11-16 一种操作日志审计方法、装置、计算设备和存储介质

Country Status (1)

Country Link
CN (1) CN116263761A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN118228159A (zh) * 2024-04-09 2024-06-21 北京博瑞彤芸科技股份有限公司 基于用户画像监控异常用户的方法、装置及相关介质

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN118228159A (zh) * 2024-04-09 2024-06-21 北京博瑞彤芸科技股份有限公司 基于用户画像监控异常用户的方法、装置及相关介质

Similar Documents

Publication Publication Date Title
US11032312B2 (en) Programmatic discovery, retrieval, and analysis of communications to identify abnormal communication activity
US20220278997A1 (en) Multistage analysis of emails to identify security threats
CN109347801B (zh) 一种基于多源词嵌入和知识图谱的漏洞利用风险评估方法
US9336388B2 (en) Method and system for thwarting insider attacks through informational network analysis
US11630918B2 (en) Systems and methods of determining compromised identity information
KR102430649B1 (ko) 익명화를 위해 속성들을 자동으로 식별하기 위한 컴퓨터 구현 시스템 및 방법
CN113474776A (zh) 用于实时检测，表征，和补救基于电子邮件的威胁的威胁检测平台
CN108989150A (zh) 一种登录异常检测方法及装置
CN110851872B (zh) 针对隐私数据泄漏的风险评估方法及装置
CN111786974B (zh) 一种网络安全评估方法、装置、计算机设备和存储介质
CN114553456B (zh) 数字身份网络警报
Luntovskyy et al. Cryptographic technology blockchain and its applications
CN116263761A (zh) 一种操作日志审计方法、装置、计算设备和存储介质
CN117478433B (zh) 一种网络与信息安全动态预警系统
Das et al. Realizing digital forensics as a big data challenge
Al-Sanjary et al. Challenges on digital cyber-security and network forensics: a survey
CN113904828B (zh) 接口的敏感信息检测方法、装置、设备、介质和程序产品
US20090234827A1 (en) Citizenship fraud targeting system
Cybenko et al. Cognitive Hacking.
Saha et al. Mobile device and social media forensic analysis: impacts on cyber-crime
Xie Personal information protection in the era of big data
Park et al. An advanced algorithm for email classification by using SMTP code
Zeng et al. E‐Commerce Network Security Based on Big Data in Cloud Computing Environment
Igor et al. FEATURES AND ANALYSIS OF EFFICIENT DATA MANAGEMENT THREAT INTELLIGENCE
Parkavi et al. Digital Crime Evidence

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination