CN116644437A - 数据安全评估方法、装置及存储介质 - Google Patents

Abstract

本申请提供了一种数据安全评估方法、装置及存储介质，涉及通信技术领域，能够用于数据安全评估。该方法包括：获取预设时间段内的多个第一目标数据和多个数据类型指标；每个第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；数据类型指标为第一目标数据的异常数据类型指标；基于数据类型指标，对多个第一目标数据进行聚类分析，确定目标聚类结果；基于目标聚类结果，确定第一目标数据对应的目标安全评估值。本申请用于数据安全评估。

Description

数据安全评估方法、装置及存储介质

技术领域

本申请涉及通信技术领域，尤其涉及一种数据安全评估方法、装置及存储介质。

背景技术

目前，基于大数据进行信息安全评估的过程，主要依赖于日志的筛选手段，以及对日志的分析能力。由于对日志收集能力要求高，会导致因日志数据收集不够全面而无法进行全面的安全评估，导致数据安全性降低。因此，如何基于大数据进行全面的数据安全评估成为亟待解决的技术问题。

发明内容

本申请提供一种数据安全评估方法、装置及存储介质，能够进行数据安全评估。

为达到上述目的，本申请采用如下技术方案：

第一方面，本申请提供了一种数据安全评估方法，所述方法包括：获取预设时间段内的多个第一目标数据和多个数据类型指标；每个所述第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；所述数据类型指标为所述第一目标数据的异常数据类型指标；基于所述数据类型指标，对所述多个第一目标数据进行聚类分析，确定目标聚类结果；基于所述目标聚类结果，确定所述第一目标数据对应的目标安全评估值。

结合上述第一方面，在一种可能的实现方式中，所述基于所述指标数据，对所述多个第一目标数据进行聚类分析，确定目标聚类结果，包括：步骤1、确定多个第一聚类中心，所述第一聚类中心为所述数据类型指标，或所述第一聚类中心为前一次迭代更新的聚类中心；步骤2、基于所述第一聚类中心，以及所述第一目标数据对应的数据类型，对所述第一目标数据进行聚类，确定多个第一聚类簇；步骤3、确定所述多个第一聚类簇中心到所述第一聚类中心的距离是否满足收敛条件；步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为所述目标聚类结果；步骤5、若不满足，则确定所述第一聚类簇的聚类中心，并将所述多个第一聚类簇的聚类中心作为所述多个第一聚类中心并迭代执行所述步骤1、所述步骤2、所述步骤3、所述步骤4、以及所述步骤5直至确定所述目标聚类结果。

结合上述第一方面，在一种可能的实现方式中，基于目标聚类结果，确定第一目标数据对应的目标安全评估值，包括：将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目标安全评估值；将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值。

结合上述第一方面，在一种可能的实现方式中，将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目标安全评估值，包括：获取第一聚类簇对应的第一目标数据的预设阈值；基于预设阈值确定第一聚类簇中正常数据分量与异常数据分量的目标比例值；基于目标比例值，确定第一聚类簇中的第一目标数据对应的目标安全评估值。

结合上述第一方面，在一种可能的实现方式中，将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值，包括：基于主成分分析算法，确定孤类簇或小类簇中的第一目标数据对应的第一指标值；基于预设函数关系和第一指标值，确定小类簇中的第一目标数据对应的目标安全评估值。

结合上述第一方面，在一种可能的实现方式中，获取预设时间段内的多个第一目标数据和多个指标数据之前，还包括：获取预设时间段内多个第二日志数据、第二用户行为数据以及第二环境运行数据；基于第二日志数据的多个目标字段，生成第一日志数据；基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据；基于第二环境运行数据中的配置信息，确定第一环境运行数据；根据第一日志数据、第一用户行为数据以及第一环境运行数据，生成第一目标数据。

结合上述第一方面，在一种可能的实现方式中，确定第一目标数据对应的目标安全评估值之后，还包括：根据第一目标数据对应的目标安全评估值，确定预设时间段内的数据安全评估预测结果；基于安全评估预测结果，确定目标安全评估策略。

第二方面，本申请提供了一种数据安全评估装置，装置包括：处理单元；处理单元，用于获取预设时间段内的多个第一目标数据和多个数据类型指标；每个第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；数据类型指标为第一目标数据的异常数据类型指标；处理单元，还用于基于数据类型指标，对多个第一目标数据进行聚类分析，确定目标聚类结果；处理单元，还用于基于目标聚类结果，确定第一目标数据对应的目标安全评估值。

结合上述第二方面，在一种可能的实现方式中，处理单元具体用于：步骤1、确定多个第一聚类中心，第一聚类中心为数据类型指标，或第一聚类中心为前一次迭代更新的聚类中心；步骤2、基于第一聚类中心，以及第一目标数据对应的数据类型，对第一目标数据进行聚类，确定多个第一聚类簇；步骤3、确定多个第一聚类簇中心到第一聚类中心的距离是否满足收敛条件；步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为目标聚类结果；步骤5、若不满足，则确定第一聚类簇的聚类中心，并将多个第一聚类簇的聚类中心作为多个第一聚类中心并迭代执行步骤1、步骤2、步骤3、步骤4、以及步骤5直至确定目标聚类结果。

结合上述第二方面，在一种可能的实现方式中，处理单元还具体用于：将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目标安全评估值；将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值。

结合上述第二方面，在一种可能的实现方式中，处理单元还具体用于：获取第一聚类簇对应的第一目标数据的预设阈值；基于预设阈值确定第一聚类簇中正常数据分量与异常数据分量的目标比例值；基于目标比例值，确定第一聚类簇中的第一目标数据对应的目标安全评估值。

结合上述第二方面，在一种可能的实现方式中，处理单元还具体用于：基于主成分分析算法，确定孤类簇或小类簇中的第一目标数据对应的第一指标值；基于预设函数关系和第一指标值，确定小类簇中的第一目标数据对应的目标安全评估值。

结合上述第二方面，在一种可能的实现方式中，处理单元，还用于获取预设时间段内多个第二日志数据、第二用户行为数据以及第二环境运行数据；基于第二日志数据的多个目标字段，生成第一日志数据；基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据；基于第二环境运行数据中的配置信息，确定第一环境运行数据；根据第一日志数据、第一用户行为数据以及第一环境运行数据，生成第一目标数据。

结合上述第二方面，在一种可能的实现方式中，处理单元还用于：根据第一目标数据对应的目标安全评估值，确定预设时间段内的数据安全评估预测结果；基于安全评估预测结果，确定目标安全评估策略。

第三方面，本申请提供了一种数据安全评估装置，该数据安全评估装置包括：处理器以及存储器；其中，存储器用于存储计算机执行指令，当数据安全评估装置运行时，处理器执行存储器存储的计算机执行指令，以使数据安全评估装置执行如第一方面和第一方面的任一种可能的实现方式中描述的数据安全评估方法。

第四方面，本申请提供了一种计算机可读存储介质，计算机可读存储介质中存储有指令，当计算机可读存储介质中的指令由数据安全评估装置的处理器执行时，使得数据安全评估装置能够执行如第一方面和第一方面的任一种可能的实现方式中描述的数据安全评估方法。

第五方面，本申请提供了一种包含指令的计算机程序产品，当计算机程序产品在数据安全评估装置上运行时，使得数据安全评估装置执行如第一方面和第一方面的任一种可能的实现方式中所描述的数据安全评估方法。

第六方面，本申请提供了一种芯片，芯片包括处理器和通信接口，通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如第一方面和第一方面的任一种可能的实现方式中所描述的数据安全评估方法。

具体的，本申请实施例中提供的芯片还包括存储器，用于存储计算机程序或指令。

在本申请中，上述数据安全评估装置的名字对设备或功能模块本身不构成限定，在实际实现中，这些设备或功能模块可以以其他名称出现。只要各个设备或功能模块的功能和本申请类似，属于本申请权利要求及其等同技术的范围之内。

本申请的这些方面或其他方面在以下的描述中会更加简明易懂。

本申请提供的技术方案至少带来以下有益效果：本申请提供了一种数据安全评估方法，数据安全评估装置获取多个包含第一日志数据、第一用户行为数据以及第一环境运行数据的第一目标数据，以及表示第一目标数据的异常数据类型的多个数据类型指标。数据安全评估装置以多个数据类型指标为聚类中心，对多个第一目标数据进行聚类，确定目标聚类结果。数据安全评估装置对目标聚类结果进行计算，确定聚类结果中的第一目标数据对应的目标安全评估值。该方案中数据安全评估装置通过对第一日志数据、第一用户行为数据以及第一环境运行数据的综合分析，降低了安全评估装置对日志数据的依赖以及对日志数据收集和处理能力的要求，从而进一步提高了数据安全评估的全面性和准确性。

附图说明

图1为本申请实施例提供的一种数据安全评估装置的硬件结构示意图；

图2为本申请实施例提供的一种数据安全评估的方法的流程示意图；

图3为本申请实施例提供的一种数据安全评估的方法的又一种流程示意图；

图4为本申请实施例提供的一种数据安全评估的方法的又一种流程示意图；

图5为本申请实施例提供的一种数据安全评估的方法的又一种流程示意图；

图6为本申请实施例提供的一种数据安全评估装置的示意图。

具体实施方式

下面结合附图对本申请施例提供的数据安全评估方法、装置及存储介质进行详细地描述。

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

本申请的说明书以及附图中的术语“第一”和“第二”等是用于区别不同的对象，或者用于区别对同一对象的不同处理，而不是用于描述对象的特定顺序。

此外，本申请的描述中所提到的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括其他没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

随着物联网时代的快速发展，网络信息安全的监测和预防在各个行业领域都尤为重要。例如，在运营商、公安、电子政务、金融、车企等领域。但是，面对各行业领域的海量多维度的信息安全数据，仅依靠安全分析人员编写的临时或零散的处理脚本进行处理。不仅无法对大规模的信息安全数据进行处理，而且无法对信息安全数据进行深度的分析和信息挖掘。

目前，通过对多维日志协议信息进行预设分析处理，确定安全威胁和异常行为事件。进一步的，通过网络拓扑中节点自身的安全性，以及通过度反应的脆弱性，对网络态势进行预测。根据预测结果，将不安全的多维日志协议信息中敏感数据进行预设分类分级处理，并对处理后的敏感数据进行识别和跟踪管理。但是，该方法侧重于根据多维日志信息对网络链路各个节点的安全进行检测和预警，并且针对全网平台的多维日志信息进行检测和预警。可选的，通过获取企业云端的日志管理系统中的日志数据对该企业的信息安全进行分析和评估。但是，该方法仅对云端的日志数据进行分析，没有基于体质以及用户行为等方面进行安全分析。

相关技术中，利用大数据建模的方法对互联网中的所有用户访问进行风险控制和风险提醒。其中，基于大数据进行信息安全评估的过程中，日志的获取是相关技术人员探究网络安全防护的重要依据和来源。目前，多维体质协议信息包括Syslog和简单网络管理协议(simple network management protocol，SNMP)日志协议。该日志协议覆盖传播链路中的网络设备、主机及应用中。大数据平台从该日志协议中提取出各个设备的网络信息，并根据网络拓扑中每一节点的度以及节点处的设备的网络信息确定该节点的安全状态。但是，由于来日志数据自不同节点，因此需要对日志数据进行标准化处理才能进行安全状态的预估。由于对日志收集能力要求高，会导致因日志数据收集不够全面而无法进行全面的安全评估，导致数据安全性降低。因此，如何基于大数据进行全面的数据安全评估成为亟待解决的技术问题。

为了解决上述技术问题，数据安全评估装置获取多个包含第一日志数据、第一用户行为数据以及第一环境运行数据的第一目标数据，以及表示第一目标数据的异常数据类型的多个数据类型指标。数据安全评估装置以多个数据类型指标为聚类中心，对多个第一目标数据进行聚类，确定目标聚类结果。数据安全评估装置对目标聚类结果进行计算，确定聚类结果中的第一目标数据对应的目标安全评估值。该方案中数据安全评估装置通过对第一日志数据、第一用户行为数据以及第一环境运行数据的综合分析，降低了安全评估装置对日志数据的依赖以及对日志数据收集和处理能力的要求，从而进一步提高了数据安全评估的全面性和准确性。

图1为本申请实施例提供的一种数据安全评估装置的结构示意图，该数据安全评估装置100包括至少一个处理器101，通信线路102，以及至少一个通信接口104，还可以包括存储器103。其中，处理器101，存储器103以及通信接口104三者之间可以通过通信线路102连接。

处理器101可以是一个中央处理器(central processing unit，CPU)，也可以是特定集成电路(application specific integrated circuit，ASIC)，或者是被配置成实施本申请实施例的一个或多个集成电路，例如：一个或多个数字信号处理器(digital signalprocessor，DSP)，或，一个或者多个现场可编程门阵列(field programmable gate array，FPGA)。

通信线路102可以包括一通路，用于在上述组件之间传送信息。

通信接口104，用于与其他设备或通信网络通信，可以使用任何收发器一类的装置，如以太网，无线接入网(radio access network，RAN)，无线局域网(wireless localarea networks，WLAN)等。

存储器103可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于包括或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

一种可能的设计中，存储器103可以独立于处理器101存在，即存储器103可以为处理器101外部的存储器，此时，存储器103可以通过通信线路102与处理器101相连接，用于存储执行指令或者应用程序代码，并由处理器101来控制执行，实现本申请下述实施例提供的空间测量确定方法。又一种可能的设计中，存储器103也可以和处理器101集成在一起，即存储器103可以为处理器101的内部存储器，例如，该存储器103为高速缓存，可以用于暂存一些数据和指令信息等。

作为一种可能的实现方式，处理器101可以包括一个或多个CPU，例如图1中的CPU0和CPU1。作为另一种可实现方式，数据安全评估装置100可以包括多个处理器，例如图1中的处理器101和处理器107。作为再一种可实现方式，数据安全评估装置100还可以包括输出设备105和输入设备106。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将网络节点的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，模块和网络节点的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图2为本申请实施例提供的数据安全评估方法，如图2所示，本申请实施例提供的数据安全评估方法可以通过以下步骤201至步骤203实现。

步骤201、数据安全评估装置获取预设时间段内的多个第一目标数据和多个数据类型指标。

一种可能的实现方式中，数据安全评估装置获取预设时间段内的多个包含第一日志数据、第一用户行为数据以及第一环境运行数据的第一目标数据，和多个数据类型指标。其中，数据类型指标为第一目标数据的异常数据类型指标。

一种示例，第一日志数据为按照预设格式生成的包含有时间信息的标准化日志数据；第一用户行为数据为包含有时间信息的异常用户行为数据；第一环境运行数据为包含有时间信息以及环境运行状态值的环境运行数据。

需要说明的是，环境运行状态值用于表征环境运行状态的安全指数，例如环境运行状态值为85％，则表示此时的系统运行环境的安全指数为85％。

步骤202、数据安全评估装置基于数据类型指标，对多个第一目标数据进行聚类分析，确定目标聚类结果。

一种可能的实现方式中，数据安全评估装置以多个数据类型指标为聚类中心进行聚类分析。数据安全评估装置将聚类结果中的多个第一聚类簇以及聚类结果中的孤类簇或小类簇作为目标聚类结果。其中，每个聚类簇中的第一目标数据的异常数据类型都对应一个数据类型指标；孤类簇或小类簇中的第一目标数据的数据类型为未知异常数据类型。

一种示例，多个数据类型指标数据包括但不限于以下异常数据类型：用户登录地址异常、登录时间异常、访问频次异常、次序异常、操作异常等指标数据。

步骤203、数据安全评估装置基于目标聚类结果，确定第一目标数据对应的目标安全评估值。

一种可能的实现方式中，数据安全评估装置根据目标聚类结果，将第一聚类簇输入到对应的第一预设模型中进行计算，确定每个聚类簇中的第一目标数据对应的目标安全评估结果。数据安全评估装置将孤类簇或小类簇输入到对应的第二预设模型中进行计算，确定孤类簇或小类簇中第一目标数据对应的目标安全评估结果。

上述方案至少带来以下有益效果：数据安全评估装置获取多个包含第一日志数据、第一用户行为数据以及第一环境运行数据的第一目标数据，以及表示第一目标数据的异常数据类型的多个数据类型指标。数据安全评估装置以多个数据类型指标为聚类中心，对多个第一目标数据进行聚类，确定目标聚类结果。数据安全评估装置对目标聚类结果进行计算，确定聚类结果中的第一目标数据对应的目标安全评估值。该方案中数据安全评估装置通过对第一日志数据、第一用户行为数据以及第一环境运行数据的综合分析，降低了安全评估装置对日志数据的依赖以及对日志数据收集和处理能力的要求，从而进一步提高了数据安全评估的全面性和准确性。

一种可能的实现方式中，步骤202具体可以通过以下方式实现：

一种示例，数据安全评估装置基于数据类型指标，对多个第一目标数据进行聚类分析，确定目标聚类结果的过程，可以通过以下步骤1-步骤5实现：

步骤1、确定多个第一聚类中心，第一聚类中心为数据类型指标，或第一聚类中心为前一次迭代更新的聚类中心；

步骤2、基于第一聚类中心，以及第一目标数据对应的数据类型，对第一目标数据进行聚类，确定多个第一聚类簇；

步骤3、确定多个第一聚类簇中心到第一聚类中心的距离是否满足收敛条件；

步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为目标聚类结果；

步骤5、若不满足，则确定第一聚类簇的聚类中心，并将多个第一聚类簇的聚类中心作为多个第一聚类中心并迭代执行步骤1、步骤2、步骤3、步骤4、以及步骤5直至确定目标聚类结果。

结合图2，如图3所示，上述步骤203，即基于目标聚类结果，确定第一目标数据对应的目标安全评估值，具体可通过以下步骤301-步骤302实现：

步骤301、数据安全评估装置将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目标安全评估值。

一种可能的实现方式中，数据安全评估装置将第一聚类簇输入到第一预设模型中，数据安全评估装置获取第一聚类簇中对应的第一目标数据的预设阈值。数据安全评估装置根据获取的第一预设阈值，确定第一聚类簇中第一目标数据的正常数据分量和异常数据分量。数据安全评估装置根据正常数据分量和异常数据分量的数量，确定第一聚类簇的目标比例值，即正常数据分量与异常数据分量的比例值。数据安全评估装置根据目标比例值，确定出第一聚类簇中的第一目标数据对应的目标安全评估值。

一种示例，数据安全评估装置通过第一预设模型以及第一预设阈值确定出第一聚类簇中的正常数据分量和异常数据分量。数据安全评估装置基于异常数据分量，确定第一聚类簇中的正常数据分量与异常数据分量的比例值。数据安全评估装置基于该比例值，确定每个第一聚类簇中第一目标数据对应的目标安全评估值。例如，若第一聚类簇中的正常数据分量与异常数据分量的比例值为1:5，则确定第一聚类簇的第一目标数据的正常安全评估值为15％，异常安全评估值为85％。若第一聚类簇中的正常数据分量与异常数据分量的比例值为1:10，则确定第一聚类簇的第一目标数据的正常安全评估值为5％，异常安全评估值为95％。

需要说明的是，数据安全评估装置通过判断第一聚类簇中的第一目标数据是否满足预设阈值，进而确定第一聚类簇中的正常数据分量与异常数据分量的比例值。例如，数据安全评估装置，设置第一聚类簇的第一目标数据中的账号切换频率的预设阈值为“120次/秒”，当第一聚类簇的第一目标数据中存在账号切换频率为超过120次/秒时，确定该第一目标数据为异常数据分量；或第一目标数据中存在账号切换频率小于120次/秒，大于等于120×0.9次/秒-120次/秒时，确定该第一目标数据为异常数据分量。

步骤302、数据安全评估装置将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值。

一种可能的实现方式中，数据安全评估装置将目标聚类结果中的孤类簇或小类簇输入到第二预设模型中。数据安全评估装置基于第二预设模型中的主成分分析算法对孤类簇或小类簇中第一目标数据进行主成分分析计算，确定孤类簇或小类簇中的第一目标数据对应的第一指标值。数据安全评估装置基于第二预设模型中的第一目标数据与目标安全评估值之间的函数关系，将第一指标值输入到该函数关系中，确定孤类簇或小类簇中的第一目标数据的目标安全评估值。

一种示例，第二预设模型基于主成分分析法和基因编程算法确定第一目标数据和目标安全评估值之间的函数关系。例如，孤类簇或小类簇对应的第一目标数据可表示为Z＝{z1、z2、…、zm},其中，z1、z2、…、zm分别表示孤类簇或小类簇中的每一个第一目标数据。数据安全评估模型基于第二预设模型中的主成分分析算法，对每个第一目标数据进行计算，确定出第一目标数据对应的第一指标值，例如H＝{h1、h2、…、hm}，其中，h1、h2、…、hm分别表示孤类簇或小类簇中的每一个第一目标数据对应的第一指标值。数据安全评估装置将该孤类簇或小类簇中第一目标数据的第一指标值输入该函数关系F中，确定孤类簇或小类簇中的第一目标数据的目标安全评估值，例如，F＝f(h1、h2、…、hm)。

上述方案至少带来以下有益效果：数据安全评估装置将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目安全评估值。数据安全评估装置将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值。这样，数据安全评估装置通过对第一聚类簇和孤类簇或小类簇分别进行安全评估值的计算，可以提供一个定量的安全评估结果。这有助于更好地理解数据安全状态，进而更好地采取针对性的安全措施。同时，数据安全评估装置通过对不同目标数据的安全评估值，数据安全评估装置可以更好地理解数据安全状况，进而改善相应的安全决策，以解决潜在的安全问题。

结合图2，如图4所示，上述步骤201，即获取预设时间段内的多个第一目标数据和多个数据类型指标之前，还包括以下步骤401-步骤405：

步骤401、数据安全评估装置获取预设时间段内多个第二日志数据、第二用户行为数据以及第二环境运行数据。

一种示例，第二日志数据中包含至少以下有效字段：命令参数部分、命令指令部分、命令中出现的远程连接地址等。第二用户行为数据中至少包括正常行为数据和异常行为数据。其中，第二用户行为数据的正常行为包括但不限于用户的登录登出、访问时长、访问频次等；第二用户行为数据的异常行为包括但不限于用户登录地址异常、登录时间异常、访问频次异常、次序异常、同一IP地址短时间内频繁切换登录多个账号、终端数大于一定阈值以及短时间内登录注销次数频繁等。第二环境运行数据至少包括以下信息：操作系统信息、文件系统信息、通信环境信息、操作系统版本信息、补丁安装信息、补丁的形式、更新或补丁的频次、更新或补丁发生时的时间戳等信息。

步骤402、数据安全评估装置基于第二日志数据的多个目标字段，生成第一日志数据。

一种可能的实现方式中，数据安全评估装置从日志数据中获取日志数据的多个目标字段。例如“命令参数字段”、“命令指令字段”以及“命令中的远程连接地址字段”等。数据安全评估装置对多个目标字段进行特征分析，生成日志数据对应的日志解析数据。数据安全评估装置基于时间顺序，按照预设格式，对日志解析数据进行批量处理和文本挖掘，生成第一日志数据。

一种示例，数据安全评估装置根据“命令参数字段”、“命令指令字段”以及“命令中的远程连接地址字段”等多个目标字段，生成包含时间信息的日志解析数据。数据安全评估装置根据日志解析数据中的时间信息，获取某一时间点或某一时间段内的日志解析数据。数据安全评估装置基于某一时间点或某一时间段的内的时间顺序，对日志解析数据进行批量处理和信息挖掘，生成第一日志数据。

步骤403、数据安全评估装置基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据。

一种可能的实现方式中，数据安全评估装置获取多个第二用户行为数据，其中，用户行为数据包括正常行为数据和异常行为数据。数据安全评估装置基于第二用户行为数据的数据类型，对多个第二用户行为数据进行聚类分析，确定表示异常行为数据的聚类簇对应的第二用户行为数据为第一用户行为数据。

一种示例，数据安全评估装置基于不同预设时间段内获取的第二用户行为数据，构建多维度特征值的特征向量。数据安全评估装置基于构建的特征向量，生成第二用户行为数据对应的行为标准化向量。其中，每个行为标准化向量对应一个第二用户行为数据的数据类型。数据安全评估装置基于多维度特征值的特征向量与标准化向量之间的偏差值，采用聚类算法进行聚类分析。数据安全评估装置确定表示异常行为数据的聚类簇对应的第二用户行为数据为第一用户行为数据。

步骤404、数据安全评估装置基于第二环境运行数据中的配置信息，确定第一环境运行数据。

一种可能的实现方式中，数据安全评估装置基于获取的系统平台的环境运行数据中的配置信息，确定系统运行状态是否安全。数据安全评估装置基于上述确定的系统运行的状态是否安全，生成系统平台运行状态的安全值，即目标状态数据。

一种示例，配置信息包括但不限于以下信息：操作系统信息、文件系统信息、通信环境信息、硬件版本信息、操作系统版本信息、补丁安装信息、补丁的形式、更新或补丁的频次、更新或补丁发生时的时间戳等。

步骤405、数据安全评估装置根据第一日志数据、第一用户行为数据以及第一环境运行数据，生成第一目标数据。

一种可能的实现方式中，数据安全评估装置通过不同的方式分别对第二日志数据、第二用户行为数据以及第二环境运行数据进行预处理，生成对应的第一日志数据、第一用户行为数据以及第一环境运行数据。数据安全评估装置对第一日志数据、第一用户行为数据以及第一环境运行数据按照时间信息进行整合处理，生成对应的第一目标数据。

上述方案至少带来以下有益效果：数据安全评估装置基于第二日志数据的多个目标字段，生成第一日志数据。数据安全评估装置基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据。数据安全评估装置基于第二环境运行数据中的配置信息，确定第一环境运行数据。这样，数据安全评估装置对第二日志数据的多个目标字段值进行解析，生成日志解析数据。数据安全装置基于时间顺序对生成的日志解析数据按照预设格式进行处理，生成第一日志数据，提高了日志数据的规范性和一致性。数据安全评估装置通过对多个用户行为数据的聚类分析，可以识别并区分不同类型的用户行为，从而找出异常的、不常见的、或可疑的用户行为数据，提高后续数据安全评估过程的数据规范性和评估的准确性。数据安全评估装置通过对环境运行数据的配置信息的确定，可以针对不同类型的运行环境进行适当的定制安全评估策略，提高了数据安全评估的准确性。

一种可能的实现方式中，步骤403具体可以通过以下方式实现：

一种示例：数据安全评估装置基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据的过程，可以通过以下步骤1-步骤5实现：

步骤1、确定多个第二聚类中心，第二聚类中心为第二用户行为数据的异常行为数据类型，或第二聚类中心为前一次迭代更新的聚类中心；

步骤2、基于第二聚类中心，以及第二行为用户行为数据的异常行为数据类型，对多个第二用户行为数据进行聚类，确定多个第二聚类簇；

步骤3、确定多个第二聚类簇中心到第二聚类中心的距离是否满足收敛条件；

步骤4、若满足，则确定多个第二聚类簇为第二用户行为数据；

步骤5、若不满足，则确定第二聚类簇的聚类中心，并将多个第二聚类簇的聚类中心作为多个第二聚类中心并迭代执行步骤1、步骤2、步骤3、步骤4、以及步骤5直至确定第二用户行为数据。

结合图2，如图5所示，上述步骤203，即基于目标聚类结果，确定第一目标数据对应的目标安全评估值之后，还包括以下步骤501-步骤502：

步骤501、数据安全评估装置根据第一目标数据对应的目标安全评估值，确定预设时间段内的数据安全评估预测结果。

一种可能的实现方式中，数据安全评估装置根据第一目标数据对应的目标安全评估值，基于时间顺序确定预设时间段内的数据安全评估预测结果。

一种示例，安全评估装置基于时间顺序和第一目标数据对应的目标安全评估值生成预设时间段内的可视化的数据安全评估预测结果。

步骤502、数据安全评估装置基于安全评估预测结果，确定目标安全评估策略。

一种可能的实现方式中，数据安全评估装置基于安全评估预测结果，确定不同时间段或不同时间点的安全评估警告阈值。数据安全评估装置基于该预测评估结果和安全评估警告阈值，确定目标安全评估策略。

一种示例，若某一时间点处的目标安全评估值超过一定预设阈值，则安全评估装置对该目标数据进行锁定和加密；若某一时间段内的目标安全评估的平均值超过预设阈值，则数据安全评估装置对对该目标数据进行锁定和加密；若安全评估走势图中的走势斜率超过预设阈值，例如，走势图的斜率超过1，则数据安全评估装置对该数据进行紧急的锁定和加密，并通知相关运维人员等。

可选的，目标安全评估策略包括但不限于数据提醒、数据锁定、数据加密等。

上述方案至少带来以下有益效果：数据安全评估装置根据第一目标数据对应的目标安全评估值，确定预设时间段内的数据安全评估预测结果。数据安全评估装置基于安全评估预测结果，确定目标安全评估策略。这样，数据安全评估装置根据目标安全评估值以及监测目标安全评估值是否超过预设阈值，生成对应场景下的安全评估策略。实现对目标安全评估值的自动化监控，大大减少了人工监控和干预环节，提高了处理效率和准确性。

以上，对本申请实施例涉及到的数据安全评估装置，以及数据安全评估装置的各个设备的功能，设备之间的交互进行了详细说明。

可以看出，上述主要从方法的角度对本申请实施例提供的技术方案进行了介绍。为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的模块及算法步骤，本申请实施例能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例可以根据上述方法示例对数据安全评估装置进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。可选的，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

本申请实施例提供了一种数据安全评估装置，用于执行上述数据安全评估系统中任一设备所需执行的方法。该数据安全评估装置可以为本申请中涉及的数据安全评估装置，或者数据安全评估装置中的模块；或者是数据安全评估装置中的芯片，也可以是其他用于执行数据安全评估方法的装置，本申请对此不做限定。

图6所示，为本申请实施例提供的一种数据安全评估装置的结构示意图，该装置包括：处理单元601和通信单元602。

处理单元601，用于获取预设时间段内的多个第一目标数据和多个数据类型指标；每个第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；数据类型指标为第一目标数据的异常数据类型指标；处理单元601，还用于基于数据类型指标，对多个第一目标数据进行聚类分析，确定目标聚类结果；处理单元601，还用于基于目标聚类结果，确定第一目标数据对应的目标安全评估值。

可选的，处理单元601，具体用于：步骤1、确定多个第一聚类中心，第一聚类中心为数据类型指标，或第一聚类中心为前一次迭代更新的聚类中心；步骤2、基于第一聚类中心，以及第一目标数据对应的数据类型，对第一目标数据进行聚类，确定多个第一聚类簇；步骤3、确定多个第一聚类簇中心到第一聚类中心的距离是否满足收敛条件；步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为目标聚类结果；步骤5、若不满足，则确定第一聚类簇的聚类中心，并将多个第一聚类簇的聚类中心作为多个第一聚类中心并迭代执行步骤1、步骤2、步骤3、步骤4、以及步骤5直至确定目标聚类结果。

可选的，处理单元601，还具体用于：将目标聚类结果中的第一聚类簇输入第一预设模型中，确定第一聚类簇中的第一目标数据对应的目标安全评估值；将目标聚类结果中的孤类簇或小类簇输入第二预设模型中，确定孤类簇或小类簇中的第一目标数据对应的目标安全评估值。

可选的，处理单元601，还具体用于：获取第一聚类簇对应的第一目标数据的预设阈值；基于预设阈值确定第一聚类簇中正常数据分量与异常数据分量的目标比例值；基于目标比例值，确定第一聚类簇中的第一目标数据对应的目标安全评估值。

可选的，处理单元601，还具体用于：基于主成分分析算法，确定孤类簇或小类簇中的第一目标数据对应的第一指标值；基于预设函数关系和第一指标值，确定小类簇中的第一目标数据对应的目标安全评估值。

可选的，处理单元601，还用于获取预设时间段内多个第二日志数据、第二用户行为数据以及第二环境运行数据；基于第二日志数据的多个目标字段，生成第一日志数据；基于聚类算法对第二用户行为数据进行分析，确定第一用户行为数据；基于第二环境运行数据中的配置信息，确定第一环境运行数据；根据第一日志数据、第一用户行为数据以及第一环境运行数据，生成第一目标数据。

可选的，处理单元601，还用于：根据第一目标数据对应的目标安全评估值，确定预设时间段内的数据安全评估预测结果；基于安全评估预测结果，确定目标安全评估策略。

本申请实施例提供了一种数据安全评估装置，用于执行上述数据安全评估系统中任一设备所需执行的方法。该数据安全评估装置可以为本申请中涉及的数据安全评估装置，或者数据安全评估装置中的模块；或者是数据安全评估装置中的芯片，也可以是其他用于执行数据安全评估方法的装置，本申请对此不做限定。

本申请实施例还提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当计算机执行该指令时，该计算机执行上述方法实施例所示的方法流程中的各个步骤。

本申请的实施例提供一种包含指令的计算机程序产品，当指令在计算机上运行时，使得计算机执行上述方法实施例中的数据安全评估方法。

本申请的实施例提供一种芯片，芯片包括处理器和通信接口，通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如上述方法实施例中的数据安全评估方法。

其中，计算机可读存储介质，例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘。随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、寄存器、硬盘、光纤、便携式紧凑磁盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的人以合适的组合、或者本领域数值的任何其他形式的计算机可读存储介质。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于特定用途集成电路(Application Specific Integrated Circuit，ASIC)中。在本申请实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

由于本申请的实施例中的装置、设备、计算机可读存储介质、计算机程序产品可以应用于上述方法，因此，其所能获得的技术效果也可参考上述方法实施例，本申请实施例在此不再赘述。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (12)

1.一种数据安全评估方法，其特征在于，所述方法，包括：

获取预设时间段内的多个第一目标数据和多个数据类型指标；每个所述第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；所述数据类型指标为所述第一目标数据的异常数据类型指标；

基于所述数据类型指标，对所述多个第一目标数据进行聚类分析，确定目标聚类结果；

基于所述目标聚类结果，确定所述第一目标数据对应的目标安全评估值。

2.根据权利要求1所述的方法，其特征在于，所述基于所述指标数据，对所述多个第一目标数据进行聚类分析，确定目标聚类结果，包括：

步骤1、确定多个第一聚类中心，所述第一聚类中心为所述数据类型指标，或所述第一聚类中心为前一次迭代更新的聚类中心；

步骤2、基于所述第一聚类中心，以及所述第一目标数据对应的数据类型，对所述第一目标数据进行聚类，确定多个第一聚类簇；

步骤3、确定所述多个第一聚类簇中心到所述第一聚类中心的距离是否满足收敛条件；

步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为所述目标聚类结果；

步骤5、若不满足，则确定所述第一聚类簇的聚类中心，并将所述多个第一聚类簇的聚类中心作为所述多个第一聚类中心并迭代执行所述步骤1、所述步骤2、所述步骤3、所述步骤4、以及所述步骤5直至确定所述目标聚类结果。

3.根据权利要求1所述的方法，其特征在于，所述基于所述目标聚类结果，确定所述第一目标数据对应的目标安全评估值，包括：

将所述目标聚类结果中的所述第一聚类簇输入第一预设模型中，确定所述第一聚类簇中的所述第一目标数据对应的所述目标安全评估值；

将所述目标聚类结果中的所述孤类簇或所述小类簇输入第二预设模型中，确定所述孤类簇或所述小类簇中的所述第一目标数据对应的所述目标安全评估值。

4.根据权利要求3所述的方法，其特征在于，所述将所述目标聚类结果中的所述第一聚类簇输入第一预设模型中，确定所述第一聚类簇中的所述第一目标数据对应的所述目标安全评估值，包括：

获取所述第一聚类簇对应的所述第一目标数据的预设阈值；

基于所述预设阈值确定所述第一聚类簇中正常数据分量与异常数据分量的目标比例值；

基于所述目标比例值，确定所述第一聚类簇中的所述第一目标数据对应的所述目标安全评估值。

5.根据权利要求4所述的方法，其特征在于，所述将所述目标聚类结果中的所述孤类簇或所述小类簇输入第二预设模型中，确定所述孤类簇或所述小类簇中的所述第一目标数据对应的所述目标安全评估值，包括：

基于主成分分析算法，确定所述孤类簇或所述小类簇中的所述第一目标数据对应的第一指标值；

基于预设函数关系和所述第一指标值，确定所述小类簇中的所述第一目标数据对应的所述目标安全评估值。

6.根据权利要求1所述的方法，其特征在于，所述获取预设时间段内的多个第一目标数据和多个指标数据之前，还包括：

获取预设时间段内多个第二日志数据、第二用户行为数据以及第二环境运行数据；

基于所述第二日志数据的多个目标字段，生成所述第一日志数据；

基于聚类算法对所述第二用户行为数据进行分析，确定所述第一用户行为数据；

基于所述第二环境运行数据中的配置信息，确定所述第一环境运行数据；

根据所述第一日志数据、所述第一用户行为数据以及所述第一环境运行数据，生成所述第一目标数据。

7.根据权利要求1所述的方法，其特征在于，所述确定所述第一目标数据对应的目标安全评估值之后，还包括：

根据所述第一目标数据对应的所述目标安全评估值，确定预设时间段内的数据安全评估预测结果；

基于所述安全评估预测结果，确定目标安全评估策略。

8.一种数据安全评估装置，其特征在于，所述装置，包括：处理单元；

所述处理单元，用于获取预设时间段内的多个第一目标数据和多个数据类型指标；每个所述第一目标数据包括：第一日志数据、第一用户行为数据以及第一环境运行数据；所述数据类型指标为所述第一目标数据的异常数据类型指标；

所述处理单元，还用于基于所述数据类型指标，对所述多个第一目标数据进行聚类分析，确定目标聚类结果；

所述处理单元，还用于基于所述目标聚类结果，确定所述第一目标数据对应的目标安全评估值。

9.根据权利要求8所述的装置，其特征在于，所述处理单元，具体用于：

步骤1、确定多个第一聚类中心，所述第一聚类中心为所述数据类型指标，或所述第一聚类中心为前一次迭代更新的聚类中心；

步骤2、基于所述第一聚类中心，以及所述第一目标数据对应的数据类型，对所述第一目标数据进行聚类，确定多个第一聚类簇；

步骤3、确定所述多个第一聚类簇中心到所述第一聚类中心的距离是否满足收敛条件；

步骤4、若满足，则确定多个第一聚类簇以及聚类结果中的孤类簇或小类簇为所述目标聚类结果；

步骤5、若不满足，则确定所述第一聚类簇的聚类中心，并将所述多个第一聚类簇的聚类中心作为所述多个第一聚类中心并迭代执行所述步骤1、所述步骤2、所述步骤3、所述步骤4、以及所述步骤5直至确定所述目标聚类结果。

10.根据权利要求8所述的装置，其特征在于，所述处理单元，还具体用于：

将所述目标聚类结果中的所述第一聚类簇输入第一预设模型中，确定所述第一聚类簇中的所述第一目标数据对应的所述目标安全评估值；

将所述目标聚类结果中的所述孤类簇或所述小类簇输入第二预设模型中，确定所述孤类簇或所述小类簇中的所述第一目标数据对应的所述目标安全评估值。

11.一种数据安全评估装置，其特征在于，包括：处理器和通信接口；所述通信接口和所述处理器耦合，所述处理器用于运行计算机程序或指令，以实现如权利要求1-7任一项中所述的数据安全评估方法。

12.一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，其特征在于，当计算机执行该指令时，该计算机执行上述权利要求1-7任一项中所述的数据安全评估方法。