CN116418587A - 一种数据跨域交换行为审计追踪方法和数据跨域交换系统 - Google Patents

一种数据跨域交换行为审计追踪方法和数据跨域交换系统 Download PDF

Info

Publication number
CN116418587A
CN116418587A CN202310418857.4A CN202310418857A CN116418587A CN 116418587 A CN116418587 A CN 116418587A CN 202310418857 A CN202310418857 A CN 202310418857A CN 116418587 A CN116418587 A CN 116418587A
Authority
CN
China
Prior art keywords
data
behavior
user
exchange
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202310418857.4A
Other languages
English (en)
Other versions
CN116418587B (zh
Inventor
曾梦岐
石凯
陈鹏
王妍妍
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CETC 30 Research Institute
Original Assignee
CETC 30 Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by CETC 30 Research Institute filed Critical CETC 30 Research Institute
Priority to CN202310418857.4A priority Critical patent/CN116418587B/zh
Publication of CN116418587A publication Critical patent/CN116418587A/zh
Application granted granted Critical
Publication of CN116418587B publication Critical patent/CN116418587B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/22—Matching criteria, e.g. proximity measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G06F18/232—Non-hierarchical techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/243—Classification techniques relating to the number of classes
    • G06F18/2433—Single-class perspective, e.g. one-against-all classification; Novelty detection; Outlier detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N7/00—Computing arrangements based on specific mathematical models
    • G06N7/02—Computing arrangements based on specific mathematical models using fuzzy logic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Virology (AREA)
  • Fuzzy Systems (AREA)
  • Molecular Biology (AREA)
  • Automation & Control Theory (AREA)
  • Algebra (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种数据跨域交换行为审计追踪方法和数据跨域交换系统，方法包括事件采集：从数据传输通道收集数据交换事件内容；初步分析：对事件采集中获取的数据进行初步分析，获取交换事件的时间分布特点、交换数据的流量分布特点、交换事件的密级分布特点、交换行为业务分布特点；异常发现：根据初步分析结果生成行为分析模型，基于用户实体键鼠交互行为习惯，判断用户行为是否偏离行为分析模型，从而认定用户是否为当前登录账号所有者；行为追踪：实现精确行为查看、用户行为统计、交换行为回溯功能。数据跨域交换系统采用上述方法实现安全审计功能。提升了跨网交换行为审计的全面性、有效性和安全性。

Description

一种数据跨域交换行为审计追踪方法和数据跨域交换系统
技术领域
本发明涉及数据跨域交换技术领域，具体而言，涉及一种数据跨域交换行为审计追踪方法和数据跨域交换系统。
背景技术
在数据交换过程中，交换行为和交换数据是两个关键要素。恶意攻击者通常会利用交换行为或者交换数据以夹带恶意代码、窃取敏感信息和扩散安全风险等，使得不同信息系统之间无法安全交换与共享数据，因此，现有成果往往是针对这两个关键要素进行研究，以保证数据交换行为的可管、可控、可溯源；保证交换数据的机密性、完整性和不可抵赖性。
数据交换的主要技术包括：基于内容过滤的交换技术、基于电路开关的交换技术、摆渡式交换技术和基于密码的交换技术。基于内容过滤的交换技术，通过对网络内容关键字匹配和过滤以实现交换，该技术可以实现对网络内容的监控，保护网络的各种敏感资源和数据，能够抵抗来自传输层之上的攻击。但是内容过滤的方式，不能保证所有的攻击和病毒关键字段都能够被过滤掉，所以不是一种十分可靠的安全手段；基于电路开关的交换技术，是指利用单刀双掷开关使得内外网分时访问临时缓存器来完成数据的交换，从而实现了在空气缝隙隔离情况下的数据交换。可以一定程度上解决数据交换和安全隔离的需求，但是无法判断交换数据中存在的非法或敏感信息，当另一端连接网络时，同样或导致信息扩散或泄露，并且这种非实时的数据传输，也不够敏捷；摆渡式交换技术是通过借助光盘等物理存储介质，通过人工操作的方式实现交换数据摆渡，从而实现不同信息系统之间的数据交换。这种方式可有效实现网络的安全隔离，有着较高的安全性。基于密码的交换技术，是指使用专用密码通信协议来实现数据交换，但是该技术需要采用较贵的专用硬件，因此成本较高。
数据跨域安全交换服务系统需要实现数据安全可控的交换，同时也需要对所有的跨网交换行为进行详实、完整的日志记录，为事后审计、行为分析、追查取证提供支撑。传统的审计技术能够记录到数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小等信息，但缺乏对数据本身信息的记录，无法支撑数据内容泄漏后在跨网交换过程中的追查、取证。但如果将交换的数据进行完整存储，就会带来数据违规使用的安全隐患。同时，现有数据交换过程还存在用户行为异常难检测的问题，难以识别口令丢失或被盗用导致用户身份冒领的情况，难以保证跨域传输的安全性。
发明内容
本发明旨在至少解决现有技术中存在安全审计缺乏对数据本身信息记录，传统安全审计仅仅能够记录到数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小等信息，缺乏对数据本身信息的记录，无法支撑数据内容泄漏后在跨网交换过程中的追查、取证。若完整存储交换数据，则存在数据违规使用的安全风险；用户行为异常难检测的问题，难以识别口令丢失或被盗用导致用户身份冒领的情况，难以保证跨域传输的安全性的技术问题之一。
为此，本发明第一方面提供了一种数据跨域交换行为审计追踪方法。
本发明第二方面提供了一种数据跨域交换系统。
本发明提供了一种数据跨域交换行为审计追踪方法，包括：
事件采集：从数据传输通道收集数据交换事件内容，数据交换事件内容至少包括数据指纹和用户实体键鼠交互数据；
初步分析：对事件采集中获取的数据进行初步分析，获取交换事件的时间分布特点、交换数据的流量分布特点、交换事件的密级分布特点、交换行为业务分布特点；
异常发现：根据初步分析结果生成行为分析模型，基于用户实体键鼠交互行为习惯，判断用户行为是否偏离行为分析模型，从而认定用户是否为当前登录账号所有者；
行为追踪：将事件采集中获取的数据存储在数据库中，展示特定用户、特定时间或特定内容的交换行为，从而实现精确行为查看、用户行为统计、交换行为回溯功能。
根据本发明上述技术方案的一种数据跨域交换行为审计追踪方法，还可以具有以下附加技术特征：
在上述技术方案中，异常发现包括：
用户实体的键鼠交互数据的预处理：对键鼠交互数据进行处理形成时态数据组，利用随机树嵌入法将时态数据组转换为符号序列，根据每个符号的时间信息进行合并，得到n维符号序列；
生成距离矩阵：计算出代表用户行为的n维符号序列的成对距离，获得一个表示每个用户行为动态之间的不同之处的距离矩阵；
用户核心行为提取，基于距离矩阵，使用DBSCAN算法，为每个用户提取核心行为；
风险行为判断：对新的观测数据进行处理，获得n维符号序列，计算该n维符号序列与用户核心行为中检索的所有n维符号序列之间的距离形成若干个距离向量，将距离向量的平均值定义为风险值，利用风险值判断该观测数据对应的用户身份是否被冒用。
在上述技术方案中，对键鼠交互数据进行处理形成时态数据组包括：
对于键盘交互数据，将击键行为学归类为有向图，计算第一次交互所用的时间、第二次交互所用的时间、从第一次交互的启动到第二次交互的启动之间的时间、启动两次交互之间的时间、两次交互发出之间的时间、从第一次交互开始到第二次交互释放之间的时间，形成时态数据组；
对于鼠标交互数据，选择固定长度的笔画，获取笔画中的交互次数，分别计算该笔画中每次交互的经过时间、距离、速度、角度、角速度特征的平均值、最小值、最大值和标准偏差值，形成时态数据组。
在上述技术方案中，在生成距离矩阵过程中，利用脱氧核糖核酸序列比对技术计算两个n维序列之间的距离，计算结果返回一个表示两个序列之间相似性的分数，对该分数进行规范化，应用相似度评分法得到距离值。
在上述技术方案中，在风险行为判断中，将风险值的计算结果以时间有序的方式得到风险随时间变化的曲线，基于设定阈值判断用户身份是否被冒用。
在上述技术方案中，设置设定阈值的方法包括：基于风险随时间变化的曲线将设定阈值设置为产生等错误率值的值，即由错误接受率和错误拒绝率的交点定义的点，其中，错误接受率为未授权用户被接受的概率，错误拒绝率为授权用户尝试访问时被拒绝的概率。
在上述任一技术方案中，事件采集中获取数据指纹的方法包括：对交换数据文件加盐后进行散列处理，生成对应的签名：
S＝Sign(X||IDX||R,S)
其中，R为随机生成的辅助变量，IDX为交换数据文件X的名称和类别，S为进行数据签名的私钥。
在上述任一技术方案中，数据交换事件内容还包括：数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小。
本发明还提供了一种数据跨域交换系统，包括：
外网数据安全交换服务单元，用于实现身份认证、用户管理、文件上传、文件安全检查、病毒查杀、安全审计、文件对接功能；
内网数据安全交换服务单元，用于实现身份认证、用户管理、文件对接、文件比对处理、文件下载、安全审计功能；
单向导入单元，设置在外网数据安全交换服务单元和内网数据安全交换服务单元之间，用于限制交换数据的导入方向
其中，外网数据安全交换服务单元和内网数据安全交换服务单元采用如上述技术方案中任一项所述的数据跨域交换行为审计追踪方法实现安全审计功能。
在上述技术方案中，所述单向导入单元包括：
单导前置服务器，设置于单向导入单元的前端，与外网数据安全交换服务单元相连，调用杀毒软件对外网数据安全交换服务单元传来的数据进行病毒查杀；
单导后置服务器，设置于单向导入单元的后端，与内网数据安全交换服务单元相连，接收到数据后调用杀毒软件对传输的数据进行查杀，然后将数据传输至内网数据安全交换服务单元；
单向导入网关，形成有单向数据传输通道，限制数据传递的方向为由单导前置服务器传递向单导后置服务器。
综上所述，由于采用了上述技术特征，本发明的有益效果是：
1、采用数据指纹技术提升了跨网交换行为审计的全面性、有效性，做到了交换过程、交换对象、交换内容的全方面的详细、完整记录，解决了现有跨网交换系统(包括光盘刻录)无法对数据内容特征建立有效的审计、追溯的问题，为安全事件发生后的追查、取证提供了技术支撑，对恶意泄漏行为形成了威慑。
2、提供了一种完备的外网、内网数据跨域交换方法和系统。综合运用新型数据交换软件、单向传输、访问控制、病毒查杀、行为审计等，以高安全防护要求进行跨网安全交换服务系统设计，实现了规范化的管控流程，以支撑各行业务系统之间的数据共享、受控交换。
3、提出了一种基于多源异构信息的用户行为异常实时检测方法。通过RTES实现基于时间的多源异构数据的表征和处理，引入DNA序列比对技术实现符号化信息的精确比较。然后，利用基于密度的聚类模型提取行为核，丢弃离群点样本，精准提取用户关键行为。最后，制定了一个风险模型和阈值来判断是否行为异常，使得行为异常判断更合理。
本发明的附加方面和优点将在下面的描述部分中变得明显，或通过本发明的实践了解到。
附图说明
本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：
图1是本发明一个实施例的基于数据指纹的数据跨域交换行为审计追踪方法架构图；
图2是本发明一个实施例的数据跨域交换服务流程图。
具体实施方式
为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其它不同于在此描述的方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。
下面参照图1至图2来描述根据本发明一些实施例提供的一种数据跨域交换行为审计追踪方法。
本申请的一些实施例提供了一种数据跨域交换行为审计追踪方法。
本发明第一个实施例提出了一种数据跨域交换行为审计追踪方法，包括：事件采集、初步分析、异常发现、行为追踪。
其中，事件采集为从数据传输通道收集数据交换事件内容，数据交换事件内容包括数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小、数据指纹、用户实体键鼠交互数据。具体地，数据指纹是数据的一组散列值，既可以非常精确的辨认出原始文件内容，也能够识别在一定范围内修改后的文件内容，为交换行为事后审计、追查取证提供了有力的支撑，且不直接存储数据内容本身。X是数据跨域交换过程中交换数据文件，对交换数据文件再加上Salt后散列处理得到加盐后的散列值Hash(X+Salt)，再生成对应的签名S＝Sign(X||IDX||R,S)，其中，R为随机生成的辅助变量，IDX为数据X的名称和类别，S为进行数据签名的私钥。再将数据交换的信息存储在单独的安全数据库中，存储内容包括数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小、Hash(X+Salt)。
图1示出了基于数据指纹的数据跨域交换行为审计追踪方法架构图，基于数据指纹的数据跨域交换行为审计追踪方法是针对安全隔离交换系统的交换行为进行全面监测、审计，要满足信息精确、实时性好、历史回溯、异常发现等安全审计要求。基于对交换信息的审计和分析，能够对所有的跨网交换行为进行详实、完整的记录，并能够对历史交换行为进行回溯、还原，同时能够对异常的交换行为进行分析，并及时报警。
初步分析中行为分析系统根据事件采集中获取的数据进行初步分析，分析内容包括交换事件的时间分布特点、交换数据的流量分布特点、交换事件的密级分布特点、交换行为业务分布特点等。
异常发现中行为分析系统采用模糊理论和聚类算法等，根据初步分析结果生成行为分析模型，基于用户实体键鼠交互行为习惯，判断用户行为是否偏离行为分析模型，从而认定用户是否为当前登录账号所有者；用户行为如果偏离行为模型，则认定为异常行为，并进行报警。在分析过程中，采用神经网络的自学习算法等，对用户行为持续分析，从而实现对行为模型修正，以适应后续的发展。
在一些实施例中，异常发现包括用户实体的键鼠交互数据的预处理、生成距离矩阵、用户核心行为提取和风险行为判断。
在用户实体的键鼠交互数据的预处理中对键鼠交互数据进行处理形成时态数据组，利用随机树嵌入法将时态数据组转换为符号序列，根据每个符号的时间信息进行合并，得到n维符号序列。具体地，对于键盘交互数据，将击键行为学归类为有向图，计算第一次交互所用的时间、第二次交互所用的时间、从第一次交互的启动到第二次交互的启动之间的时间、启动两次交互之间的时间、两次交互发出之间的时间、从第一次交互开始到第二次交互释放之间的时间，形成时态数据组；对于鼠标交互数据，选择固定长度的笔画，在一个实施例中，根据实际经验选择长度为5s的笔画，可以理解的是，笔画的长度以时间为单位，并且也可以为其他长度，如4s、6s、10s等；获取笔画中的交互次数，分别计算该笔画中每次交互的经过时间、距离、速度、角度、角速度特征的平均值、最小值、最大值和标准偏差值，每一个鼠标笔画将获得21个特征的矢量(即在笔画中交互的次数和为五个特征中的每一个计算的四个色散度量)，形成时态数据组；接下来上述异构异源的时态数据组经过RTES(随机树嵌入)方法，转换为符号序列，它们就会根据每个符号的时间信息进行合并，最后，得到n维符号序列。
生成距离矩阵中计算出代表用户行为的n维符号序列的成对距离，获得一个表示每个用户行为动态之间的不同之处的距离矩阵；这将产生一个NxN矩阵，其中N是特定用户的维度数n。在该步骤中，用脱氧核糖核酸序列比对技术计算两个n维符号序列之间的距离，该算法将返回一个分数，表示两个n维符号序列之间的相似性，同时考虑到目标序列的长度和所获得的匹配、失分和间隙惩罚分数。然后，通过在[0，1]范围内对该分数进行规范化，从而转换为距离，其中1为最大相似值(即相对于自身的序列)，0为最小值。应用相似度评分法得到距离值，得到的距离值也在值[0，1]的范围内。
用户核心行为提取中基于距离矩阵，使用DBSCAN算法(基于密度的聚类算法)，为每个用户提取核心行为；所获得的高密度区域代表核心行为，而低密度区域代表用户所执行的非核心行为。
风险行为判断中先对新的观测数据进行处理，获得n维符号序列，计算该n维符号序列与用户核心行为中检索的所有n维符号序列之间的距离形成若干个距离向量，将距离向量的平均值定义为风险值，低风险值表示新序列接近核心，因此很可能属于真正的用户。在相反的情况下，高风险值很可能对应于冒名顶替的用户。这样就可以单独比较每一个新的观测结果。利用风险值判断该观测数据对应的用户身份是否被冒用。由于多个样本将到达，将风险值的计算结果以时间有序的方式得到风险随时间变化的曲线，再基于设定阈值判断用户身份是否被冒用，低于设定阈值的风险值被归类为真实用户，而高于设定阈值则被视为冒充用户。设置设定阈值的方法是基于风险曲线将其设置为产生等错误率(EER)值的值，即由错误接受率(FAR)和错误拒绝率(FRR)的交点定义的点。FAR为未授权用户被接受的概率。FRR被定义为授权用户尝试访问时被拒绝的概率。
行为追踪：将事件采集中获取的数据存储在数据库中，展示特定用户、特定时间或特定内容的交换行为，从而实现精确行为查看、用户行为统计、交换行为回溯功能。基于Hash(X+Salt)等存储在数据库中的内容，可以精确的展示特定用户、特定时间或特定内容的交换行为。
本发明第二个实施例提出了一种数据跨域交换系统，包括：用于实现身份认证、用户管理、文件上传、文件安全检查、病毒查杀、安全审计、文件对接等功能的外网数据安全交换服务单元；用于实现身份认证、用户管理、文件对接、文件比对处理、文件下载、安全审计功能等功能的内网数据安全交换服务单元；设置在外网数据安全交换服务单元和内网数据安全交换服务单元之间、用于限制交换数据的导入方向的单向导入单元。
其中，外网数据安全交换服务单元部署在应用服务器中，外网数据安全交换服务单元各实现功能情况如下：身份认证实现使用人员访问数据安全交换服务软件的身份鉴别机制；用户管理通过管理员进行外网使用人员的创建、修改、维护等功能；文件上传功能实现使用人员将文件上传到外网数据安全交换服务软件所在的本地服务器中；文件安全检查实现对文件的后缀、格式、内容等的安全检查功能；病毒查杀通过与第三方病毒引擎联动实现对文件的病毒检测功能；文件对接实现与应用服务器的专用通道对接，将文件存放在指定目录，便于单导前置服务器对文件的自动化传输；行为审计采用第一个实施例中的数据跨域交换行为审计追踪方法，基于数据指纹实现对所有的跨网交换行为进行详实、完整的记录，并能够对历史交换行为进行回溯、还原及传输用户的合法合规判断。
内网数据安全交换服务单元部署在业务服务平台中，通过多个单向通道的数据都统一汇集在业务服务平台中进行处理；内网数据安全交换服务单元各实现功能情况如下：身份认证实现使用人员访问数据安全交换服务软件的身份鉴别机制；用户管理通过管理员进行内网使用人员的创建、修改、维护等功能；文件对接通过WebService协议实现文件的接收功能；文件比对处理实现对两次病毒查杀文件结果比对，选择用户下载的文件；文件下载实现内网用户文件的下载及提醒等功能；行为审计采用第一个实施例中的数据跨域交换行为审计追踪方法，基于数据指纹实现对所有的跨网交换行为进行详实、完整的记录，并能够对历史交换行为进行回溯、还原及内网下载用户的合法合规判断。
单向导入系统主要由单导前置服务器、单导后置服务器和单向导入网关组成。单导前置服务器部署于单向导入系统的前端，主要调用杀毒软件对传输数据再次进行病毒查杀，然后通过采用单向导入网关形成的单向通道将数据传输至单导后置服务器。单导后置服务器接收到数据后调用杀毒软件对传输的数据进行查杀，然后通过内网将数据传输至业务服务平台的内网数据安全交换服务单元。
具体地，数据跨域交换流程如图2所示。主要通过应用服务器手动采集数据并传输到内部网络。详细流程如下：
1)用户登录数据安全交换服务软件，选择要传输的文件和内网接收文件的用户，执行文件传输操作；
2)数据安全交换服务软件调用杀毒软件对文件进行病毒检测，对可疑病毒文件不删除不清理，仅获取检测结果，如果文件病毒检测失败，标记病毒检查结果为“病毒检测失败”；
3)数据安全交换服务软件对用户要传输的文件进行内容加工处理，在文件头部加入病毒检查结果、内网接收用户信息、发送用户信息和原始文件名；
4)数据安全交换服务软件对上一步内容加工处理的文件进行加密处理，使用内置秘钥对称加密算法对文件进行加密，生成密文文件；
5)数据安全交换服务软件将密文文件放至指定目录，并生成一个相同名称的空文件；
6)摆渡系统与单向导入系统进行对接，将数据传输至单导前置服务器；
7)部署在单导前置服务器的杀毒软件对传输数据再次进行病毒查杀，然后将数据通过单导传输至后置服务器，后置服务器接收数据后对传输数据进行病毒查杀，然后通过内网及业务服务平台约定的WebService协议将数据传输至业务服务平台的数据安全交换服务软件；
8)业务服务平台的数据安全交换服务软件接收数据并在本地形成文件，对文件进行解密操作，生成明文文件，如果解密失败，说明在传输过程中出现了异常导致文件内容不对，记录异常日志；
9)业务服务平台服务器的数据安全交换服务软件对明文文件进行解析，获取其中的病毒检查结果、内网接收用户信息、发送用户信息和原始文件名信息，并生成原始文件；
10)业务服务平台服务器的数据安全交换服务软件将文件存放至指定目录，并将文件信息推送至接收用户，等待接收用户下载文件，在下载时对有病毒的文件进行提示，让用户选择是否下载。
在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或实例。而且，描述的具体特征、结构、材料或特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种数据跨域交换行为审计追踪方法，其特征在于，包括：
事件采集：从数据传输通道收集数据交换事件内容，数据交换事件内容至少包括数据指纹和用户实体键鼠交互数据；
初步分析：对事件采集中获取的数据进行初步分析，获取交换事件的时间分布特点、交换数据的流量分布特点、交换事件的密级分布特点、交换行为业务分布特点；
异常发现：根据初步分析结果生成行为分析模型，基于用户实体键鼠交互行为习惯，判断用户行为是否偏离行为分析模型，从而认定用户是否为当前登录账号所有者；
行为追踪：将事件采集中获取的数据存储在数据库中，展示特定用户、特定时间或特定内容的交换行为，从而实现精确行为查看、用户行为统计、交换行为回溯功能。
2.根据权利要求1所述的一种数据跨域交换行为审计追踪方法，其特征在于，异常发现包括：
用户实体的键鼠交互数据的预处理：对键鼠交互数据进行处理形成时态数据组，利用随机树嵌入法将时态数据组转换为符号序列，根据每个符号的时间信息进行合并，得到n维符号序列；
生成距离矩阵：计算出代表用户行为的n维符号序列的成对距离，获得一个表示每个用户行为动态之间的不同之处的距离矩阵；
用户核心行为提取，基于距离矩阵，使用DBSCAN算法，为每个用户提取核心行为；
风险行为判断：对新的观测数据进行处理，获得n维符号序列，计算该n维符号序列与用户核心行为中检索的所有n维符号序列之间的距离形成若干个距离向量，将距离向量的平均值定义为风险值，利用风险值判断该观测数据对应的用户身份是否被冒用。
3.根据权利要求2所述的一种数据跨域交换行为审计追踪方法，其特征在于，对键鼠交互数据进行处理形成时态数据组包括：
对于键盘交互数据，将击键行为学归类为有向图，计算第一次交互所用的时间、第二次交互所用的时间、从第一次交互的启动到第二次交互的启动之间的时间、启动两次交互之间的时间、两次交互发出之间的时间、从第一次交互开始到第二次交互释放之间的时间，形成时态数据组；
对于鼠标交互数据，选择固定长度的笔画，获取笔画中的交互次数，分别计算该笔画中每次交互的经过时间、距离、速度、角度、角速度特征的平均值、最小值、最大值和标准偏差值，形成时态数据组。
4.根据权利要求2所述的一种数据跨域交换行为审计追踪方法，其特征在于，在生成距离矩阵过程中，利用脱氧核糖核酸序列比对技术计算两个n维序列之间的距离，计算结果返回一个表示两个序列之间相似性的分数，对该分数进行规范化，应用相似度评分法得到距离值。
5.根据权利要求2所述的一种数据跨域交换行为审计追踪方法，其特征在于，在风险行为判断中，将风险值的计算结果以时间有序的方式得到风险随时间变化的曲线，基于设定阈值判断用户身份是否被冒用。
6.根据权利要求5所述的一种数据跨域交换行为审计追踪方法，其特征在于，设置设定阈值的方法包括：基于风险随时间变化的曲线将设定阈值设置为产生等错误率值的值，即由错误接受率和错误拒绝率的交点定义的点，其中，错误接受率为未授权用户被接受的概率，错误拒绝率为授权用户尝试访问时被拒绝的概率。
7.根据权利要求1至6中任一项所述的一种数据跨域交换行为审计追踪方法，其特征在于，事件采集中获取数据指纹的方法包括：对交换数据文件加盐后进行散列处理，生成对应的签名：
S＝Sign(X||IDX||R,S)
其中，R为随机生成的辅助变量，IDX为交换数据文件X的名称和类别，S为进行数据签名的私钥。
8.根据权利要求1至6中任一项所述的一种数据跨域交换行为审计追踪方法，其特征在于，数据交换事件内容还包括：数据交换行为的发送/接收时间、发送/接受者、数据类型、文件名称、数据密级、数据大小。
9.一种数据跨域交换系统，其特征在于，包括：
外网数据安全交换服务单元，用于实现身份认证、用户管理、文件上传、文件安全检查、病毒查杀、安全审计、文件对接功能；
内网数据安全交换服务单元，用于实现身份认证、用户管理、文件对接、文件比对处理、文件下载、安全审计功能；
单向导入单元，设置在外网数据安全交换服务单元和内网数据安全交换服务单元之间，用于限制交换数据的导入方向
其中，外网数据安全交换服务单元和内网数据安全交换服务单元采用如权利要求1至8中任一项所述的数据跨域交换行为审计追踪方法实现安全审计功能。
10.根据权利要求9所述的一种数据跨域交换系统，其特征在于，所述单向导入单元包括：
单导前置服务器，设置于单向导入单元的前端，与外网数据安全交换服务单元相连，调用杀毒软件对外网数据安全交换服务单元传来的数据进行病毒查杀；
单导后置服务器，设置于单向导入单元的后端，与内网数据安全交换服务单元相连，接收到数据后调用杀毒软件对传输的数据进行查杀，然后将数据传输至内网数据安全交换服务单元；
单向导入网关，形成有单向数据传输通道，限制数据传递的方向为由单导前置服务器传递向单导后置服务器。
CN202310418857.4A 2023-04-19 2023-04-19 一种数据跨域交换行为审计追踪方法和数据跨域交换系统 Active CN116418587B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310418857.4A CN116418587B (zh) 2023-04-19 2023-04-19 一种数据跨域交换行为审计追踪方法和数据跨域交换系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310418857.4A CN116418587B (zh) 2023-04-19 2023-04-19 一种数据跨域交换行为审计追踪方法和数据跨域交换系统

Publications (2)

Publication Number Publication Date
CN116418587A true CN116418587A (zh) 2023-07-11
CN116418587B CN116418587B (zh) 2024-04-30

Family

ID=87052852

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310418857.4A Active CN116418587B (zh) 2023-04-19 2023-04-19 一种数据跨域交换行为审计追踪方法和数据跨域交换系统

Country Status (1)

Country Link
CN (1) CN116418587B (zh)

Citations (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005222216A (ja) * 2004-02-04 2005-08-18 Mitsubishi Electric Corp システム監査方法、およびシステム監査装置
KR20050091470A (ko) * 2004-03-12 2005-09-15 주식회사 와이드티엔에스 텐덤 시스템의 트랜잭션 분석 시스템
CN103530540A (zh) * 2013-09-27 2014-01-22 西安交通大学 基于人机交互行为特征的用户身份属性检测方法
CN104809377A (zh) * 2015-04-29 2015-07-29 西安交通大学 基于网页输入行为特征的网络用户身份监控方法
WO2015149062A1 (en) * 2014-03-28 2015-10-01 Zitovault, Inc. System and method for predicting impending cyber security events using multi channel behavioral analysis in a distributed computing environment
AU2018100672A4 (en) * 2015-10-22 2018-06-14 Tongji University Keystroke behaviour-based identity authentication method and system
US20190073457A1 (en) * 2015-10-28 2019-03-07 Tongji University Touch-screen user key-press behavior pattern construction and analysis system and identity recognition method thereof
CN110738239A (zh) * 2019-09-20 2020-01-31 浙江大学 一种基于鼠标交互序列区域行为联合建模的搜索引擎用户满意度评估方法
EP3675008A1 (en) * 2018-12-31 2020-07-01 Kofax, Inc. Systems and methods for identifying processes for robotic automation and building models therefor
CN111625789A (zh) * 2020-04-07 2020-09-04 北京工业大学 基于多核学习融合鼠标和键盘行为特征的用户识别方法
CN111711616A (zh) * 2020-05-29 2020-09-25 武汉蜘易科技有限公司 网络区域边界安全防护系统、方法和设备
CN111767530A (zh) * 2020-05-21 2020-10-13 西安电子科技大学 一种跨域数据共享审计溯源系统、方法、存储介质、程序
CN111859377A (zh) * 2020-07-27 2020-10-30 成都安恒信息技术有限公司 一种基于用户行为分析的事中安全审计方法
CN112261144A (zh) * 2020-10-23 2021-01-22 杭州奔浪信息技术有限公司 一种新型的跨网数据交换方式和通信方法
CN112788145A (zh) * 2021-01-21 2021-05-11 中国科学院信息工程研究所 一种基于非嵌入式探针的跨域功能安全异常检测溯源方法
CN113162936A (zh) * 2021-04-25 2021-07-23 亿次网联(杭州)科技有限公司 一种防止异常动态分析的方法和系统
CN113691508A (zh) * 2021-08-06 2021-11-23 上海浦东发展银行股份有限公司 数据传输方法、系统、装置、计算机设备及存储介质
CN114448654A (zh) * 2021-09-02 2022-05-06 中国科学院信息工程研究所 一种基于区块链的分布式可信审计安全存证方法
CN114662069A (zh) * 2022-03-16 2022-06-24 重庆邮电大学 一种基于鼠标交互行为的持续身份认证方法、介质及系统
CN114911992A (zh) * 2022-05-17 2022-08-16 常州品太智能科技有限公司 一种基于智能锁的智能交互数据处理方法
CN115189946A (zh) * 2022-07-11 2022-10-14 中科边缘智慧信息科技（苏州）有限公司 一种跨网数据交换系统及数据交换方法
CN115733681A (zh) * 2022-11-14 2023-03-03 贵州商学院 一种防止数据丢失的数据安全管理平台
CN115766020A (zh) * 2022-10-27 2023-03-07 南京莱斯信息技术股份有限公司 一种用于数据交换中的数据溯源方法及系统

Patent Citations (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005222216A (ja) * 2004-02-04 2005-08-18 Mitsubishi Electric Corp システム監査方法、およびシステム監査装置
KR20050091470A (ko) * 2004-03-12 2005-09-15 주식회사 와이드티엔에스 텐덤 시스템의 트랜잭션 분석 시스템
CN103530540A (zh) * 2013-09-27 2014-01-22 西安交通大学 基于人机交互行为特征的用户身份属性检测方法
WO2015149062A1 (en) * 2014-03-28 2015-10-01 Zitovault, Inc. System and method for predicting impending cyber security events using multi channel behavioral analysis in a distributed computing environment
CN104809377A (zh) * 2015-04-29 2015-07-29 西安交通大学 基于网页输入行为特征的网络用户身份监控方法
AU2018100672A4 (en) * 2015-10-22 2018-06-14 Tongji University Keystroke behaviour-based identity authentication method and system
US20190073457A1 (en) * 2015-10-28 2019-03-07 Tongji University Touch-screen user key-press behavior pattern construction and analysis system and identity recognition method thereof
EP3675008A1 (en) * 2018-12-31 2020-07-01 Kofax, Inc. Systems and methods for identifying processes for robotic automation and building models therefor
CN110738239A (zh) * 2019-09-20 2020-01-31 浙江大学 一种基于鼠标交互序列区域行为联合建模的搜索引擎用户满意度评估方法
CN111625789A (zh) * 2020-04-07 2020-09-04 北京工业大学 基于多核学习融合鼠标和键盘行为特征的用户识别方法
CN111767530A (zh) * 2020-05-21 2020-10-13 西安电子科技大学 一种跨域数据共享审计溯源系统、方法、存储介质、程序
CN111711616A (zh) * 2020-05-29 2020-09-25 武汉蜘易科技有限公司 网络区域边界安全防护系统、方法和设备
CN111859377A (zh) * 2020-07-27 2020-10-30 成都安恒信息技术有限公司 一种基于用户行为分析的事中安全审计方法
CN112261144A (zh) * 2020-10-23 2021-01-22 杭州奔浪信息技术有限公司 一种新型的跨网数据交换方式和通信方法
CN112788145A (zh) * 2021-01-21 2021-05-11 中国科学院信息工程研究所 一种基于非嵌入式探针的跨域功能安全异常检测溯源方法
CN113162936A (zh) * 2021-04-25 2021-07-23 亿次网联(杭州)科技有限公司 一种防止异常动态分析的方法和系统
CN113691508A (zh) * 2021-08-06 2021-11-23 上海浦东发展银行股份有限公司 数据传输方法、系统、装置、计算机设备及存储介质
CN114448654A (zh) * 2021-09-02 2022-05-06 中国科学院信息工程研究所 一种基于区块链的分布式可信审计安全存证方法
CN114662069A (zh) * 2022-03-16 2022-06-24 重庆邮电大学 一种基于鼠标交互行为的持续身份认证方法、介质及系统
CN114911992A (zh) * 2022-05-17 2022-08-16 常州品太智能科技有限公司 一种基于智能锁的智能交互数据处理方法
CN115189946A (zh) * 2022-07-11 2022-10-14 中科边缘智慧信息科技（苏州）有限公司 一种跨网数据交换系统及数据交换方法
CN115766020A (zh) * 2022-10-27 2023-03-07 南京莱斯信息技术股份有限公司 一种用于数据交换中的数据溯源方法及系统
CN115733681A (zh) * 2022-11-14 2023-03-03 贵州商学院 一种防止数据丢失的数据安全管理平台

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
刘冬兰;刘新;张昊;王睿;高通;: "基于大数据业务场景的数据安全分析及防泄露技术研究", 山东电力技术, no. 09, 25 September 2020 (2020-09-25) *
吕坤: "基于键盘鼠标行为的持续身份认证系统研究", 《中国优秀硕士学位论文全文数据库（电子期刊） 信息科技辑 》, no. 7, 15 July 2020 (2020-07-15), pages 139 - 56 *
蒋卫华;种亮;杜君;: "入侵检测中的审计追踪技术", 计算机工程, no. 18, 20 September 2006 (2006-09-20) *
陈昭昀;辛阳;朱洪亮;王睿恒;高明成;: "基于异构身份的用户行为分析系统设计", 通信技术, no. 07, 10 July 2020 (2020-07-10) *

Also Published As

Publication number Publication date
CN116418587B (zh) 2024-04-30

Similar Documents

Publication Publication Date Title
US11706232B2 (en) Systems, methods, and computer-readable media for data security
Haddadi et al. Benchmarking the effect of flow exporters and protocol filters on botnet traffic classification
US8418247B2 (en) Intrusion detection method and system
KR100351306B1 (ko) 다양한 침입탐지모델을 사용하는 침입탐지시스템 및 그 방법
CN111277570A (zh) 数据的安全监测方法和装置、电子设备、可读介质
Lappas et al. Data mining techniques for (network) intrusion detection systems
Wan et al. Feature-selection-based ransomware detection with machine learning of data analysis
Sabri et al. Identifying false alarm rates for intrusion detection system with data mining
Shang et al. Discovering unknown advanced persistent threat using shared features mined by neural networks
CN116015894B (zh) 一种信息安全管理方法及系统
Rizvi et al. Application of artificial intelligence to network forensics: Survey, challenges and future directions
Dong et al. MBTree: Detecting encryption RATs communication using malicious behavior tree
Bortolameotti et al. Headprint: detecting anomalous communications through header-based application fingerprinting
CN109995722A (zh) 面向apt防护的海量检测数据分析系统
Grover et al. A Review on Block chain and Data Mining Based Data Security Methods
CN117478403A (zh) 一种全场景网络安全威胁关联分析方法及系统
Ping et al. An incident response decision support system based on CBR and ontology
KR20070077517A (ko) 프로파일 기반 웹 애플리케이션 침입탐지시스템 및 그 방법
CN116418587B (zh) 一种数据跨域交换行为审计追踪方法和数据跨域交换系统
CN110912753A (zh) 一种基于机器学习的云安全事件实时检测系统及方法
CN114760083B (zh) 一种攻击检测文件的发布方法、装置及存储介质
Peleh et al. Intelligent detection of DDoS attacks in SDN networks
Chen et al. State-based attack detection for cloud
Wang et al. Cyber security threat intelligence monitoring and classification
CN117609990B (zh) 一种基于场景关联分析引擎的自适应安全防护方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant