CN117744076B - 一种银行数据库系统入侵检测方法及系统 - Google Patents

Abstract

本发明涉及数据处理技术领域，提出了一种银行数据库系统入侵检测方法及系统，包括：采集用户的行为数据，设定最小支持度和最小可信度的初始设置值；构建用户一天的FP树，获取模式单一程度并构建条件FP树，根据用户一个自然月的行为数据，构建用户一个自然月的FP树，构建条件FP树，获取修正模式单一程度；获取差异模式单一程度，根据用户在当日的修正模式单一程度、差异模式单一程度对最小支持度和最小可信度的初始设置值进行调整，获取调整最小支持度和调整最小可信度，进而对每个用户进行异常行为识别，实现对银行数据库的入侵检测。本发明解决用户需求不同且业务需求动态变化导致的银行数据库系统入侵检测不准确的问题。

Description

一种银行数据库系统入侵检测方法及系统

技术领域

本发明涉及数据处理技术领域，具体涉及一种银行数据库系统入侵检测方法及系统。

背景技术

金融行业的数据安全性对于银行数据库系统尤为重要。用户行为异常检测系统模型UBAD可以识别和检测异常行为，保障金融行业的数据安全，防止内部或外部的恶意行为。用户行为异常检测系统模型UBAD（User Behavior Abnormality Detection）可以基于用户行为进行分析，监测用户活动、识别与正常行为不符的异常行为，所以，响应迅速，可以快速识别和阻止潜在的系统入侵。

在使用用户行为异常检测系统模型UBAD对用户进行行为分析时，通常会采用FP-growth关联规则算法对系统中用户的行为模式进行深度挖掘，获取每个用户的行为模式，然后通过对用户当前行为模式和历史行为模式进行对比，判断用户的行为是否异常。但是，银行的业务面向不同的用户群体，不同用户的业务需求也在动态的实时变化，使用现有的关联规则算法时，固定的最小支持度和最小可信度难以适应银行数据库中用户的行为模式变化，导致用户的行为模式挖掘更新较慢，使银行数据库系统入侵检测不准确。

发明内容

本发明提供一种银行数据库系统入侵检测方法及系统，以解决用户需求不同且业务需求动态变化使用户的行为模式挖掘更新缓慢，导致银行数据库系统入侵检测不准确的问题，所采用的技术方案具体如下：

第一方面，本发明一个实施例提供了一种银行数据库系统入侵检测方法，该方法包括以下步骤：

采集用户的行为数据，根据用户的行为数据设定用户在当天的最小支持度的初始设置值和最小可信度的初始设置值；

根据用户一天的行为数据，构建用户一天的FP树，根据用户一天的FP树的所有叶子节点的深度，获取FP树对应的用户和时间的模式单一程度，根据用户一个自然月的行为数据，构建用户一个自然月的FP树，根据用户一个自然月的FP树，构建条件FP树，根据用户一天的FP树，构建条件FP树，根据条件FP树，确定整体关联性信息比，确定相似数据信息比，进而获取用户在每一天的当月相似性，根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度；

获取当日的近邻日期，根据当日的所有近邻日期的修正模式单一程度，获取当日的差异模式单一程度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小支持度的初始设置值，获取调整最小支持度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小可信度的初始设置值，获取调整最小可信度，根据调整最小支持度和调整最小可信度，对每个用户进行异常行为识别，实现对银行数据库的入侵检测。

进一步，所述根据用户一天的FP树的所有叶子节点的深度，获取FP树对应的用户和时间的模式单一程度的方法为：

将用户当天的FP树所有叶子节点的平均深度和所有叶子节点的深度的标准差的乘积的线性归一化值，记为用户当天的模式单一程度。

进一步，所述获取用户在每一天的当月相似性的获取方法为：

式中，表示用户在时间/>的当月相似性；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树中包含的节点数量；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树和根据用户在时间/>的FP树构建的条件FP树中，包含的相同节点的数量；表示用户在时间/>的FP树构建的条件FP树中包含的节点数量；/>表示第一调节系数；表示时间/>所在的自然月包含的天数。

进一步，所述根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度的获取方法为：

将以自然常数为底数，以用户在当天的行为数据数量为指数的幂，记为模式单一调整度，将模式单一调整度与用户在当天的模式单一程度和当月相似性的乘积，记为用户在当日的修正模式单一程度。

进一步，所述获取当日的近邻日期的方法为：

将当日之前的相邻预设阈值天记为当日的近邻日期。

进一步，所述获取当日的差异模式单一程度的方法为：

将当日的近邻日期中每一天的修正模式单一程度与当日的修正模式单一程度的差值的绝对值的均值记为当日的差异模式单一程度。

进一步，所述调整最小支持度的方法为：

将以自然常数为底数，以当日的差异模式单一程度的相反数为指数的幂，记为当日的调整比值，将当日的调整比值与当日的修正模式单一程度的乘积，记为当日的调整系数；

将当日的调整系数与第一调节系数的和与当日的最小支持度的初始设置值的乘积的取整值，记为当日的调整最小支持度。

进一步，所述调整最小可信度的方法为：

将当日的调整系数的归一化值与最小可信度调节参数的乘积与最小可信度的初始设置值的和，记为当日的调整最小可信度。

进一步，所述根据调整最小支持度和调整最小可信度，对每个用户进行异常行为识别，实现对银行数据库的入侵检测的方法为：

将用户在当天的调整最小支持度作为最小支持度的取值，将用户在当天的调整最小可信度作为最小可信度的取值，使用FP-growth算法对系统中对应用户的行为模式进行挖掘，获取每个用户的行为模式；

将用户的行为模式输入孤立森林异常监测算法，进行用户的异常行为识别，将检测出的异常行为认为是对银行数据库的入侵行为，实现对银行数据库的入侵检测。

第二方面，本发明实施例还提供了一种银行数据库系统入侵检测系统，包括存储器、处理器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述任意一项所述方法的步骤。

本发明的有益效果是：

本发明从每日的行为数据入手进行分析，对用户每日的行为模式进行评价，获取模式单一程度，为了避免用户的行为模式分析陷入局部的行为模式分析，在不同尺度下对用户的行为模式进行比较分析，获取用户在每一天的当月相似性，从而根据当月相似性对模式单一程度进行修正，获取用户在当日的修正模式单一程度，避免局部的行为数据波动导致的单日行为专一程度失真，提升用户的行为模式分析的准确性；根据相邻日期的修正模式单一程度，获取差异模式单一程度，实现对用户短期内行为变化的评价，便于后续对异常程度较大的用户的行为数据进行更为详细地分析，在保证用户行为模型准确性的前提下，减少用户异常行为识别的数据量和计算量，提高用户的异常行为识别的效率；然后，根据差异模式单一程度和修正模式单一程度分别对最小支持度的初始设置值和最小可信度的初始设置值进行修正，获取调整最小支持度和调整最小可信度，根据调整最小支持度和调整最小可信度，使用FP-growth算法对每个用户进行异常行为识别，可生成更适合用于异常行为识别的用户行为数据，从而更好地进行用户的异常行为识别，实现对银行数据库的入侵检测，解决用户需求不同且业务需求动态变化使用户的行为模式挖掘更新缓慢，导致银行数据库系统入侵检测不准确的问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一个实施例所提供的一种银行数据库系统入侵检测方法的流程示意图；

图2为修正模式单一程度获取流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，其示出了本发明一个实施例提供的一种银行数据库系统入侵检测方法流程图，该方法包括以下步骤：

步骤S001，采集用户的行为数据，设定用户在当天的最小支持度的初始设置值和最小可信度的初始设置值。

从银行数据库系统采集用户的行为数据，用户的行为数据包括用户的ID、操作时间、操作内容和访问内容，采集一年内用户的行为数据并将用户的行为数据以1天为时间间隔进行分割。

FP-growth关联规则算法中的最小支持度是人为进行设定的参数，一般基于数据集的大小和特征分布进行设置。当数据集较大时，一般选择相对较小的最小支持度，较小的最小支持度在大数据集中也可以找到大量的频繁项集。所以，本实施例中最小支持度根据预测当天的用户行为总数量N进行设置，将0.05N与比较阈值进行比较，将其中的最大值作为用户在当天的最小支持度的初始设置值。其中，本实施例对比较阈值的取值为3。

使用0.05N确定用户在当天的最小支持度的初始设置值，可以根据数据集的数据量确定合适的最小支持度。比较阈值的设置可以防止数据集的数据量过小，导致最小支持度的取值过小。所以，将0.05N与比较阈值进行比较，将其中的最大值作为用户在当天的最小支持度的初始设置值，可以同时达到上述两个目的，即为：将0.05N与比较阈值的最大值作为用户在当天的最小支持度的初始设置值，可以根据数据集的数据量确定合适的最小支持度，同时，避免取值过小的最小支持度影响银行数据库系统入侵检测。

FP-growth关联规则算法中的最小可信度也是人为进行设定的参数，一般基于具体的应用场景和业务需求进行设置，取值范围一般在0.5到0.9之间，本实施例取0.5作为用户在当天的最小可信度的初始设置值。

至此，获取用户的行为数据，设定用户在当天的最小支持度的初始设置值和最小可信度的初始设置值。

步骤S002，根据用户一天的行为数据，构建用户一天的FP树，获取FP树对应的用户和时间的模式单一程度并构建条件FP树，根据用户一个自然月的行为数据，构建用户一个自然月的FP树，构建条件FP树，根据条件FP树，确定整体关联性信息比，确定相似数据信息比，进而获取用户在每一天的当月相似性，根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度。

当用户的行为数据越集中时，用户的行为模式越单一，需要设置较大的最小支持度和最小可信度；而当用户的行为数据越离散时，用户的行为模式越复杂，需要设置较小的最小支持度和最小可信度，才能获取有效的用户的频繁行为。

根据FP-growth算法，根据每个用户每一天的行为数据，构建用户每一天的FP树，获取FP树所有叶子节点的平均深度和所有叶子节点的深度的标准差。其中，根据FP-growth算法构建FP树为公知技术，不再赘述。

当FP树所有叶子节点的平均深度越大时，说明用户的行为重复率越高，用户的行为模式越单一。当所有叶子节点的深度的标准差越大时，说明用户的行为数据的重复率差异越大，高频行为的频率越高，低频行为的频率越低，此时，用户的行为模式越单一。

根据FP树所有叶子节点的平均深度和所有叶子节点的深度的标准差，获取FP树对应的用户和时间的模式单一程度。

式中，表示用户在时间/>的模式单一程度，其中，时间/>为一年内包含的其中任意一天；/>表示用户在时间/>的FP树的所有叶子节点的平均深度；/>表示用户在时间/>的FP树的所有叶子节点的深度的标准差；/>表示线性归一化函数，作用为获取括号内数值的线性归一化值。

当仅仅以本实施例设定的短期时间段为分析的单位进行分析时，难免会在用户的行为模式分析中陷入局部的数据行为模式，还需要在不同时间尺度下进行综合分析。银行的数据一般以自然月为周期进行盘点，所以，本实施例选择自然月作为分析的尺度。

用户当日的行为数据和其他尺度下的整体的行为数据分布越相符时，用户当日的用户行为模式和整体行为模式越为一致，则用户的行为模式单一程度越大。

根据FP-growth算法，根据用户每个自然月的行为数据，构建用户每个自然月的FP树。根据用户自然月的FP树，获取所有元素和元素对应的条件模式基，条件模式基是以所查找元素项为结尾的路径集合。进而根据所有元素和元素对应的条件模式基，构建条件FP树。条件FP树的构建过程为公知技术，不再赘述。

按照根据用户自然月的FP树构建条件FP树的方法，根据用户在一天的FP树，构建条件FP树。

获取根据用户自然月的FP树构建的条件FP树包含的节点数量，获取根据用户一天的FP树构建的条件FP树包含的节点数量，获取根据用户自然月的FP树构建的条件FP树和根据用户一天的FP树构建的条件FP树中，包含的相同节点的数量。

根据条件FP树，确定用户在每一天的当月相似性。

式中，表示用户在时间/>的当月相似性；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树中包含的节点数量；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树和根据用户在时间/>的FP树构建的条件FP树中，包含的相同节点的数量；表示用户在时间/>的FP树构建的条件FP树中包含的节点数量；/>表示第一调节系数，本实施例取1；/>表示时间/>所在的自然月包含的天数。

表示用户在当日的行为数据与该日所在的自然月对应的整体关联性信息的比值，将该比值记为用户在当日的整体关联性信息比。

当整体关联性信息比越大时，用户在当日的行为数据相对于当日所在月的行为数据越为独立，即用户在当日的行为数据中出现的相似的关联信息越少，此时，用户在当日的行为数据与当日所在月的行为数据的相似性越低。

表示用户在当日的行为数据与该日所在的自然月的相似数据占该日所在的自然月的数据的比值，将该比值记为用户在当日的相似数据信息比。

当相似数据信息比越大时，用户在当日的行为数据与该日所在的自然月的相似数据所占比例越大，即当日的行为数据中的关联数据在该日所在的自然月中出现得越为频繁，用户在当日的行为数据与当日所在月的行为数据的相似性越高。

当用户在当日的整体关联性信息比越小，相似数据信息比越大时，用户在当日的当月相似性越大，说明用户当日的行为数据在当日所在月出现得越为频繁，用户的当日的行为模式与当日所在月的行为模式越为相似，此时，用户的当日的行为模式越为单一。

当用户的当日的行为模式越为单一时，若用户出现与行为模式不一致的行为，当日的行为模式就越不可靠，越需要进行修正。

根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度。

式中，表示用户在时间/>的修正模式单一程度；/>表示用户在时间/>的模式单一程度；/>表示用户在时间/>的当月相似性；/>表示用户在时间/>的行为数据数量；/>表示以自然常数为底数的指数函数。

当用户在当日的行为数据数量和当月相似性越大时，用户在当日的修正模式单一程度越大，用户在当日的修正模式单一程度相对于模式单一程度的变化越大。

至此，获取用户在当日的修正模式单一程度，修正模式单一程度获取流程图如图2所示。

步骤S003，获取当日的差异模式单一程度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小支持度的初始设置值，获取调整最小支持度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小可信度的初始设置值，获取调整最小可信度，根据调整最小支持度和调整最小可信度，对每个用户进行异常行为识别，实现对银行数据库的入侵检测。

当用户在当日的模式单一程度与修正模式单一程度差异越大，且修正模式单一程度越小时，用户在当日的行为数据越为反常，越需要对用户的行为模式进行更为详细地分析，此时，应该为用户设置越小的最小支持度和最小可信度，以捕捉更详细的用户行为模式，进而提高用户异常行为的判断准确度。

将时间之前的相邻的预设阈值天记为时间/>的近邻日期，将时间/>的近邻日期中每一天与时间/>的修正模式单一程度的差值的绝对值的均值记为时间/>的差异模式单一程度。本实施例中，预设阈值取值为10。

当差异模式单一程度越大时，用户的行为模式变化越大，用户的行为越为反常，此时，越需要对用户的行为模式进行更为详细地分析。

根据用户在当日的修正模式单一程度、差异模式单一程度和最小支持度的初始设置值，获取调整最小支持度。

式中，表示用户在时间/>的调整最小支持度；/>表示取整函数；/>表示用户在时间/>的最小支持度的初始设置值；/>表示第一调节系数，本实施例取1；/>表示用户在时间/>的修正模式单一程度；/>表示用户在时间/>的差异模式单一程度；/>表示以自然常数为底数的指数函数。

当修正模式单一程度越大，且差异模式单一程度越小时，用户的行为模式越单一，用户的行为越稳定，用户当天的行为数据越正常，此时，调整最小支持度越大。

根据用户在当日的修正模式单一程度、差异模式单一程度和最小可信度的初始设置值，获取调整最小可信度。

式中，表示用户在时间/>的调整最小可信度；/>表示用户在时间/>的最小可信度的初始设置值；/>表示线性归一化函数，作用为获取括号内数值的线性归一化值；表示最小可信度调节参数，本实施例取0.4；/>表示用户在时间/>的修正模式单一程度；表示用户在时间/>的差异模式单一程度；/>表示以自然常数为底数的指数函数。

当修正模式单一程度越大，且差异模式单一程度越小时，用户的行为模式越单一，用户的行为越稳定，用户当天的行为数据越正常，此时，调整最小可信度越大。

将用户在当天的调整最小支持度作为最小支持度的取值，将用户在当天的调整最小可信度作为最小可信度的取值，使用FP-growth算法对系统中对应用户的行为模式进行挖掘，获取每个用户的行为模式。将用户的行为模式输入孤立森林异常监测算法，进行用户的异常行为识别，将检测出的异常行为认为是对银行数据库的入侵行为，实现对银行数据库的入侵检测。

基于与上述方法相同的发明构思，本发明实施例还提供了一种银行数据库系统入侵检测系统，包括存储器、处理器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述一种银行数据库系统入侵检测方法中任意一项所述方法的步骤。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种银行数据库系统入侵检测方法，其特征在于，该方法包括以下步骤：

采集用户的行为数据，根据用户的行为数据设定用户在当天的最小支持度的初始设置值和最小可信度的初始设置值；

根据用户一天的行为数据，构建用户一天的FP树，根据用户一天的FP树的所有叶子节点的深度，获取FP树对应的用户和时间的模式单一程度，根据用户一个自然月的行为数据，构建用户一个自然月的FP树，根据用户一个自然月的FP树，构建条件FP树，根据用户一天的FP树，构建条件FP树，根据条件FP树，确定整体关联性信息比，确定相似数据信息比，进而获取用户在每一天的当月相似性，根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度；

获取当日的近邻日期，根据当日的所有近邻日期的修正模式单一程度，获取当日的差异模式单一程度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小支持度的初始设置值，获取调整最小支持度，根据用户在当日的修正模式单一程度、差异模式单一程度和最小可信度的初始设置值，获取调整最小可信度，根据调整最小支持度和调整最小可信度，对每个用户进行异常行为识别，实现对银行数据库的入侵检测。

2.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述根据用户一天的FP树的所有叶子节点的深度，获取FP树对应的用户和时间的模式单一程度的方法为：

将用户当天的FP树所有叶子节点的平均深度和所有叶子节点的深度的标准差的乘积的线性归一化值，记为用户当天的模式单一程度。

3.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述获取用户在每一天的当月相似性的获取方法为：

式中，表示用户在时间/>的当月相似性；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树中包含的节点数量；/>表示用户在时间/>所在的自然月的FP树构建的条件FP树和根据用户在时间/>的FP树构建的条件FP树中，包含的相同节点的数量；/>表示用户在时间/>的FP树构建的条件FP树中包含的节点数量；/>表示第一调节系数；/>表示时间/>所在的自然月包含的天数。

4.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述根据用户在当日的行为数据数量、模式单一程度和当月相似性，获取用户在当日的修正模式单一程度的获取方法为：

将以自然常数为底数，以用户在当天的行为数据数量为指数的幂，记为模式单一调整度，将模式单一调整度与用户在当天的模式单一程度和当月相似性的乘积，记为用户在当日的修正模式单一程度。

5.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述获取当日的近邻日期的方法为：

将当日之前的相邻预设阈值天记为当日的近邻日期。

6.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述获取当日的差异模式单一程度的方法为：

将当日的近邻日期中每一天的修正模式单一程度与当日的修正模式单一程度的差值的绝对值的均值记为当日的差异模式单一程度。

7.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述调整最小支持度的方法为：

将以自然常数为底数，以当日的差异模式单一程度的相反数为指数的幂，记为当日的调整比值，将当日的调整比值与当日的修正模式单一程度的乘积，记为当日的调整系数；

将当日的调整系数与第一调节系数的和与当日的最小支持度的初始设置值的乘积的取整值，记为当日的调整最小支持度。

8.根据权利要求7所述的一种银行数据库系统入侵检测方法，其特征在于，所述调整最小可信度的方法为：

将当日的调整系数的归一化值与最小可信度调节参数的乘积与最小可信度的初始设置值的和，记为当日的调整最小可信度。

9.根据权利要求1所述的一种银行数据库系统入侵检测方法，其特征在于，所述根据调整最小支持度和调整最小可信度，对每个用户进行异常行为识别，实现对银行数据库的入侵检测的方法为：

将用户在当天的调整最小支持度作为最小支持度的取值，将用户在当天的调整最小可信度作为最小可信度的取值，使用FP-growth算法对系统中对应用户的行为模式进行挖掘，获取每个用户的行为模式；

将用户的行为模式输入孤立森林异常监测算法，进行用户的异常行为识别，将检测出的异常行为认为是对银行数据库的入侵行为，实现对银行数据库的入侵检测。

10.一种银行数据库系统入侵检测系统，包括存储器、处理器以及存储在所述存储器中并在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-9任意一项方法的步骤。