TWI815310B

TWI815310B - 主動式資料庫風險偵測系統與運作方法

Info

Publication number: TWI815310B
Application number: TW111105531A
Authority: TW
Inventors: 李欣珈; 陳昱翰
Original assignee: 玉山商業銀行股份有限公司
Priority date: 2022-02-16
Filing date: 2022-02-16
Publication date: 2023-09-11
Also published as: TW202334846A

Abstract

一種主動式資料庫風險偵測系統與運作方法，系統設有巨量資料平台，其中包括資料學習模組與人工智能訓練模組，資料學習模組用以處理不同格式的資料庫日誌，建立邏輯化的資料，並學習資料特徵，予以分類；人工智能訓練模組用以執行機器學習，建立偵測異常資料庫事件的一偵測模型。系統設有佈署於資料庫伺服器上之稽核資料分析偵測引擎，其中包括稽核日誌收集模組與異常偵測模組，稽核日誌收集模組用以收集資料庫存取軌跡，異常偵測模組用以佈署偵測模型，以即時偵測資料庫中異常資料庫事件，並提供處置措施。

Description

主動式資料庫風險偵測系統與運作方法

揭露書涉及一種資料庫風險管理的系統，特別是一種建立偵測模型以能即時偵測資料庫中異常存取行為的主動式資料庫風險偵測系統與運作方法。

對於客戶個人資料保護措施，現今大多企業的因應作法為套用嚴格的存取控制、保留資料使用軌跡，搭配檔案備份，主要的方式是通過人工方式檢查活動日誌，並通過人工撰寫複雜的風險偵測規則，根據活動日誌事後判斷資料庫是否發生異常活動，缺少即時偵測異常資料庫操作的應變處理機制。

為強化資料庫安全、防範企業有價值之資料外洩，因此亟需針對資料庫端建立主動式防禦及風險偵測的措施，以能提早發現並阻斷異常存取活動。

針對習知缺少即時偵測異常資料庫操作的應變處理機制，揭露書提出一種主動式資料庫風險偵測系統與運作方法。

根據實施例，系統包括一巨量資料平台以及一資料庫伺服器，巨量資料平台設有一資料學習模組，用以處理不同格式的資料庫日誌，學習資料特徵，並予以分類，亦設有一人工智能訓練模組，執行機器學習，建立偵測異常資料庫事件（例如異常的資料庫存取行為）的偵測模型。

佈署於資料庫伺服器之稽核資料分析偵測引擎則設有一稽核日誌收集模組，用以收集資料庫存取軌跡，並設有一異常偵測模組，以佈署所述的偵測模型，以偵測異常資料庫事件，並提供處置措施。

根據主動式資料庫風險偵測系統的運作方法實施例，由稽核資料分析偵測引擎偵測資料庫運作效能，並由巨量資料平台的資料學習模組持續取得資料庫存取軌跡，包括資料庫日誌稽核紀錄，處理不同格式的資料，建立邏輯化的資料，再以人工智能訓練模組對經邏輯化的資料執行機器學習，建立所述的偵測模型。之後，將偵測模型佈署至資料庫伺服器的異常偵測模組，以即時偵測資料庫中異常資料庫事件。

優選地，當判斷異常資料庫事件發生，除以異常偵測模組自動中斷異常事件對應的唯一連線外，還觸發一安全性資訊與事件管理系統以產生告警信息。

進一步地，建立異常模型的步驟包括學習自稽核資料分析偵測引擎取得的資料庫稽核日誌以及資料庫日誌收容樞紐接收的資料庫原生日誌，以取得資料關聯性與特徵，標記特徵以分類正常事件，建立偵測模型，偵測當下資料庫事件，計算對應已知事件類別的一信心值。

進一步地，當得出信心值時，比對一閥值，判斷是否有異常資料庫事件；當有誤判事件時，根據回覆的誤判事件調校信心值的計算公式，調整事件對應的閥值，並將更新的偵測模型重新佈署至異常偵測模組。

為能更進一步瞭解本發明的特徵及技術內容，請參閱以下有關本發明的詳細說明與圖式，然而所提供的圖式僅用於提供參考與說明，並非用來對本發明加以限制。

以下是通過特定的具體實施例來說明本發明的實施方式，本領域技術人員可由本說明書所公開的內容瞭解本發明的優點與效果。本發明可通過其他不同的具體實施例加以施行或應用，本說明書中的各項細節也可基於不同觀點與應用，在不悖離本發明的構思下進行各種修改與變更。另外，本發明的附圖僅為簡單示意說明，並非依實際尺寸的描繪，事先聲明。以下的實施方式將進一步詳細說明本發明的相關技術內容，但所公開的內容並非用以限制本發明的保護範圍。

應當可以理解的是，雖然本文中可能會使用到“第一”、“第二”、“第三”等術語來描述各種元件或者訊號，但這些元件或者訊號不應受這些術語的限制。這些術語主要是用以區分一元件與另一元件，或者一訊號與另一訊號。另外，本文中所使用的術語“或”，應視實際情況可能包括相關聯的列出項目中的任一個或者多個的組合。

揭露書提出一種主動式資料庫風險偵測系統與運作方法，為實現提早發現異常資料庫事件並阻斷異常存取活動的目標，透過即時偵測異常資料庫事件（例如異常的資料庫存取行為）以及應變處理機制強化企業客戶個人資料的保護措施。

圖1顯示主動式資料庫風險偵測系統應用示意圖，圖中顯示的系統架構主要描述運行於一個企業（如銀行）或是組織（如政府單位）的資訊系統，資訊系統實作可以具有處理器、記憶體與資料庫的電腦系統，具體可為一或多個伺服主機、叢集或是工作站。資訊系統通過網路10提供使用者數據服務，使用者則可操作使用者裝置101、103通過網路10存取資訊系統提供的數據服務，如銀行提供金融服務，或是政府單位通過網頁提供民眾資訊。

根據圖示範例，資訊系統設有幾個軟體搭配電腦系統運行的伺服器與系統，可以運行在一個電腦系統中，或是實作為以內部網路相互連線的多個伺服主機。其中，資訊系統設有一網頁伺服器111，網頁伺服器111的功能之一是運行超文本傳輸協定（HTTP）伺服器，用以提供使用者裝置101、103取得資訊系統數據服務的存取介面；還設有一應用程式伺服器（application server）113，其中運行一伺服程式，提供執行於使用者裝置101、103中應用程式（如行動APP）存取服務的環境，負責應用程式執行及資訊處理。資訊系統設有資料庫伺服器115，提供資料庫服務。

為強化資料庫安全，以及防範企業有價值之資料外洩，資訊系統設有一主動式資料庫風險偵測系統117，能針對資料庫伺服器115建立主動式防禦及風險偵測機制，特別是可通過人工智能技術建立資料庫異常事件的偵測模型，可提早發現並阻斷異常存取活動。進一步地，根據一實施例，主動式資料庫風險偵測系統117的主要運作方式就是自資料庫伺服器115取得用於學習與偵測分析的存取軌跡資料，利用機器學習方法習得各種資料之間的關聯性以及特徵，並能根據所分析到的特徵分類，例如將資料分類為異常事件與正常事件。舉例來說，主動式資料庫風險偵測系統117中的人工智能技術採用一種非監督式學習（unsupervised learning），找出來源資料中的關聯性，取得資料中的規律性，可以形成一般使用者操作資料庫的行為之特徵集合，並將其進行分類。

資訊系統還設有一安全性資訊與事件管理系統（security information and event management，SIEM）119，此為資訊系統的事件記錄器，功能之一是針對存取資料庫伺服器115的行為進行即時的安全監控，並能在發現異常時發出告警信息；再進一步功能中，還能提供人工監控，對系統所誤判的事件進行學習反饋，優化資訊系統中的人工智能技術所訓練的偵測模型。

上述主動式資料庫風險偵測系統的架構可參考圖2所示實施例圖，圖示為設於資料庫伺服器端的主動式資料庫風險偵測系統，其中設有稽核資料分析偵測引擎可以執行於特定主機或工作站內的軟體模組。

根據實施例，主動式資料庫風險偵測系統主要設有巨量資料平台（big data platform）21與資料庫伺服器25，並可搭配資料庫日誌收容樞紐（database log hub）23作為資料庫原生日誌（如資料庫錯誤訊息的日誌（database error log））的集中收容中心。主動式資料庫風險偵測系統可設有執行告警與處理後續措施的系統，實作可以為圖示的安全性資訊與事件管理系統27，可以根據資料庫伺服器25發出的信息進行安全監控與告警，以此實現即時偵測異常資料庫操作以及應變處理的目的。相關細節描述如下。

在圖2中，系統設有巨量資料平台21，其中通過軟體手段實現資料學習模組（data learning module）211與人工智能訓練模組（AI training module）213，與資料庫伺服器25協同作業。

資料庫伺服器25可以是資料庫本身，其中系統運行一稽核資料分析偵測引擎251，其中運作的功能分別以稽核日誌收集模組（audit log collecting module）2511與異常偵測模組（anomaly detecting module）2513執行，稽核日誌收集模組2511與異常偵測模組2513可以是其中執行的軟體程序；或者，在一實施例中，資料庫伺服器25通過內部或外部建立與各式資料庫的連線，以取得交易產生的資料、資料庫管理師作業產生的資料，以及跨資料庫伺服器溝通產生的資料，可通過稽核資料分析偵測引擎251的稽核日誌收集模組2511收集資料庫稽核資料（audit data），主要是關於資料庫運作時用來檢查其中安全性與完整性的資料，亦通過稽核資料分析偵測引擎251的異常偵測模組2513偵測異常資料庫活動，其中主要是根據巨量資料平台21通過人工智能訓練模組213建立的偵測模型判斷資料庫異常事件。若發現可疑的連線與存取行為，異常偵測模組2513可自動中斷異常事件對應的唯一連線（kill session），也就是中斷使用者異常存取動作，並可觸發安全性資訊與事件管理系統27，產生告警信息。

根據圖示之實施例，巨量資料平台21的資料學習模組211可自資料庫日誌收容樞紐23接收資料庫原生日誌，以及自稽核資料分析偵測引擎251的稽核日誌收集模組2511取得資料庫稽核日誌，資料學習模組211可處理不同格式的資料庫日誌（database log），包括上述資料庫原生日誌與資料庫稽核日誌，並將其邏輯化，可以有效分析各種資料之間的關聯性，並學習資料特徵，主要目的之一是將各種資料庫活動進行分類，例如根據資料特徵分類出具規律性的正常資料庫操作行為。

接著，上述經邏輯化的資料以及分類等資訊將交給人工智能訓練模組213執行機器學習，人工智能訓練模組213負責訓練與建立偵測模型，並將偵測模型佈署至稽核資料分析偵測引擎251中的異常偵測模組2513，用以偵測異常資料庫事件，並提供處置措施。如此，人工智能訓練模組213可以根據異常偵測模組2513搭配安全性資訊與事件管理系統27所人工判斷的誤判事件進行學習反饋，持續優化偵測模型。

人工智能訓練模組213的資料來源包括安全性資訊與事件管理系統27產生的信息，這部分可使得人工智能訓練模組213針對誤判信息自動調整偵測模型中的參數。如此，人工智能訓練模組213針對所述分類建立偵測或調整異常資料庫事件的偵測模型，並且進一步地根據後續資料的學習與誤判資訊不斷地提升人工智能（artificial intelligence，AI）偵測準確率，並可將偵測模型更新至異常偵測模組2513。

在此一提的是，所述資料庫管理師（database administrator，簡稱DBA）指管理資料庫的專業人員，透過安全性資訊與事件管理系統27給予人工判斷的資訊，例如，當系統通過偵測模型判斷的資料庫事件有誤時，人工可能判斷出誤判的信息，此類信息可以反饋給巨量資料平台21中的人工智能訓練模組213，藉此優化偵測模型。

根據上述實施例所描述的系統運作資料庫端主動式風險偵測及防護架構，運作方法可參考圖3顯示的實施例流程。

在圖示的實施例流程中，建立與資料庫系統的連線後（步驟S301），巨量資料平台的資料學習模組持續取得資料庫存取軌跡（步驟S303），資料包括各資料庫之原生日誌，及自稽核資料分析偵測引擎的稽核日誌收集模組得到的稽核紀錄。接著透過稽核資料分析偵測引擎自動偵測資料庫效能資源，挑選系統中資料庫伺服器離峰時段回傳資料至巨量資料平台的資料學習模組，處理不同格式的資料，並建立邏輯化的資料（步驟S305）。

之後以巨量資料平台的人工智能訓練模組對經邏輯化的資料執行機器學習，建立偵測模型（步驟S307），將偵測模型佈署至稽核資料分析偵測引擎的異常偵測模組，用以即時偵測資料庫中異常資料庫事件，同時，能進一步根據新的資料更新稽核資料分析偵測引擎的異常偵測模組（步驟S309）。

在此流程中，主要是以巨量資料平台中的軟體程序進行機器學習與人工智能訓練，通過數據處理、特徵擷取、標記特徵以分類正常事件等步驟，建立用以預測資料庫異常事件的偵測模型，以有效進行異常事件偵測（步驟S311）。

上述建立偵測模型的方法可參考圖4顯示的實施例流程圖。

當巨量資料平台自稽核資料分析偵測引擎取得資料，如上述實施例描述的資料庫稽核日誌，還可包括自資料庫日誌收容樞紐接收的資料庫原生日誌，再通過機器學習方法取得資料關聯性、特徵，並可據此建立分類（步驟S401），可以通過分析標記特徵為分類出具規律性的正常資料庫操作行為，通過正常資料庫操作行為的判斷標準即形成偵測特徵集合（步驟S403）。舉例來說，在機器學習的過程中，可以以非監督式學習法找出來源資料中有關聯，且具規律性的正常資料庫操作行為之特徵集合，並將其進行分類。巨量資料平台的資料學習模組將產出一系列正常操作之類別，例如：特定時間點 + 特定帳號 + 特定語法，系統可標記以上特徵組合為正常操作類別。

而建立偵測模型時，設定計算為正常資料庫操作行為的信心值（confidence score）計算公式，並設定一閥值。舉例來說，這是在稽核資料分析偵測引擎中異常偵測模組運作時，依據所觀察之資料庫操作行為，計算對應到已知類別（正常資料庫操作行為）的信心值，並透過比對巨量資料平台的人工智能訓練模組針對信心度所設定之閥值，辨識異常事件；若信心值高於閥值，即判斷為「正常」操作，若低於閥值，則視為「異常」操作。

如此，稽核資料分析偵測引擎中異常偵測模組根據偵測模型偵測當下資料庫事件，如異常存取行為，實施例之一是計算對應已知類別的信心值（步驟S405），以此信心值比對系統設定之閥值，判斷是否有異常資料庫事件。當此時引入資料庫管理師之判斷，若有誤判，巨量資料平台的人工智能訓練模組將接收誤判事件的回覆，並可據此調校信心值計算公式，或可調整閥值（步驟S407），可據此建立或是調校偵測模型（步驟S409），最後將更新的偵測模型重新佈署至異常偵測模組。

主動式資料庫風險偵測系統運作範例可參考圖5顯示之流程。

在偵測異常資料庫事件的過程中，系統持續收集資料庫日誌、同步資料（步驟S501），學習與分析資料特徵（步驟S503），並計算對應已知分類的信心值（步驟S505），根據信心值與閥值的比對判斷是否有異常資料庫事件（步驟S507）。

舉例來說，正常資料庫行為特徵集合範例可以是在「特定時間點（如下班離峰時間）+特定帳號（如DBA帳號）+執行了特定語法（如建立資料庫（create db））」，這事件特徵的總和將判斷為正常資料庫存取行為；反之，判斷為異常資料庫存取行為如：大量的資料庫帳號登入失敗、非預期資料庫帳號建立儲存程序或是刪除資料表（drop table）語法等。

若沒有發生異常資料庫事件（否），流程回到步驟S501，相關判斷仍可交由資料庫管理師進行人工確認。若判斷有異常資料庫事件（是），將執行步驟S509，中斷異常事件對應的唯一連線，並將異常日誌傳送到安全性資訊與事件管理系統（步驟S511）。在告警後，可繼續調查異常資料庫事件（步驟S513），以此透過資料庫管理師人工判斷是否為誤判（步驟S515），若非誤判，將執行步驟S517，執行後續應變處理；若為誤判，將執行步驟S519，調校偵測模型的參數，如信心值公式、特徵組合、閥值等，再重新佈署至異常偵測模組（步驟S521）。

綜上所述，根據上述實施例所描述的主動式資料庫風險偵測系統與運作方法，系統的特點是結合大數據分析，將資料庫稽核紀錄邏輯化，並通過資料探勘以持續統整及歸類系統正常運作，加上資料庫管理師的操作，最終由人工智能技術判別異常情境，其中手段是運用機器學習方法建立一個資料庫連線及作業活動日誌分析引擎，用以協助判別異常之資料庫事件，並於監控到異常資料庫事件時進行相關處置，可提早發現並阻斷異常存取活動，並同時觸發告警以協助資料庫管理師控制風險。

以上所公開的內容僅為本發明的優選可行實施例，並非因此侷限本發明的申請專利範圍，所以凡是運用本發明說明書及圖式內容所做的等效技術變化，均包含於本發明的申請專利範圍內。

10: 網路 101、103: 使用者裝置 111:網頁伺服器 113:應用程式伺服器 115:資料庫伺服器 117:主動式資料庫風險偵測系統 119:安全性資訊與事件管理系統 21: 巨量資料平台 211: 資料學習模組 213: 人工智能訓練模組 23: 資料庫日誌收容樞紐 25: 資料庫伺服器 251: 稽核資料分析偵測引擎 2511: 稽核日誌收集模組 2513: 異常偵測模組 27: 安全性資訊與事件管理系統步驟S301～S311主動式資料庫風險偵測系統運作流程步驟S401～S409建立偵測模型的流程步驟S501～S521主動式資料庫風險偵測系統運作範例流程

圖1顯示主動式資料庫風險偵測系統應用示意圖；

圖2顯示主動式資料庫風險偵測系統的架構實施例圖；

圖3顯示主動式資料庫風險偵測系統運作方法的實施例流程圖；

圖4顯示主動式資料庫風險偵測系統建立偵測模型的實施例流程圖；以及

圖5顯示主動式資料庫風險偵測系統運作範例流程圖。

21: 巨量資料平台 211: 資料學習模組 213: 人工智能訓練模組 23: 資料庫日誌收容樞紐 25: 資料庫伺服器 251: 稽核資料分析偵測引擎 2511: 稽核日誌收集模組 2513: 異常偵測模組 27: 安全性資訊與事件管理系統

Claims

一種主動式資料庫風險偵測系統，包括：一巨量資料平台，設有一資料學習模組，用以處理不同格式的資料庫日誌，學習資料特徵，並予以分類；設有一人工智能訓練模組，執行機器學習，建立偵測一資料庫中的異常資料庫事件的一偵測模型；以及一稽核資料分析偵測引擎，該稽核資料分析偵測引擎設有一稽核日誌收集模組以及一異常偵測模組，該稽核日誌收集模組用以收集一資料庫存取軌跡；該人工智能訓練模組佈署該偵測模型至該異常偵測模組，以便偵測該異常資料庫事件，並提供處置措施，其中該異常資料庫事件為異常的資料庫存取行為；其中該主動式資料庫風險偵測系統的運作方法包括：該資料學習模組持續取得該資料庫存取軌跡，而該資料庫存取軌跡包括存取該資料庫產生的一資料庫原生日誌、一稽核紀錄以及一資料庫運作效能的資料；以該巨量資料平台的該資料學習模組處理不同格式的資料，並建立邏輯化的資料；以該巨量資料平台的該人工智能訓練模組對經邏輯化的資料執行機器學習，建立該偵測模型；以及以該人工智能訓練模組佈署該偵測模型至該稽核資料分析偵測引擎的該異常偵測模組，以即時偵測該異常資料庫事件；建立該偵測模型的步驟包括：學習自該稽核資料分析偵測引擎取得的資料庫稽核日誌以及一資料庫日誌收容樞紐接收的資料庫原生日誌，以取得資料關聯性與特徵；標記特徵以分類正常事件，建立該偵測模型；偵測當下該資料庫活動，計算對應已知類別的一信心值；以及根據回覆的誤判事件調校該信心值的計算公式，調校該偵測模型。
如請求項1所述的主動式資料庫風險偵測系統，其中，當判斷有異常資料庫事件發生，除以該異常偵測模組自動中斷異常事件對應的唯一連線，還觸發一安全性資訊與事件管理系統以產生一告警信息。
如請求項1所述的主動式資料庫風險偵測系統，其中，於得出該信心值時，比對一閥值，判斷是否有異常資料庫事件；當有誤判事件時，調校該信心值的計算公式並調整該閥值，並將更新的該偵測模型重新佈署至該異常偵測模組。
一種主動式資料庫風險偵測系統的運作方法，該主動式資料風險偵測系統包括一資料學習模組、一人工智能訓練模組以及一稽核資料分析偵測引擎，該運作方法包括：由該資料學習模組取得一資料庫中的不同格式的資料；由該資料學習模組處理該不同格式的資料，並建立一邏輯化的資料；由該人工智能訓練模組對該邏輯化的資料執行機器學習以建立一偵測模型；由該資料學習模組持續取得一資料庫存取軌跡，而該資料庫存取軌跡包括存取該資料庫產生的一資料庫原生日誌、一稽核紀錄以及一資料庫運作效能的資料；由該稽核資料分析引擎收集該資料庫存取軌跡；以及由該人工智能訓練模組佈署該偵測模型至該稽核資料分析引擎的一異常偵測模組，以便偵測該資料庫中的異常資料庫事件，其中該異常資料庫事件為異常的資料庫存取行為；建立該偵測模型的步驟包括：由該資料學習模組學習自該稽核資料分析偵測引擎取得的資料庫稽核日誌以及一資料庫日誌收容樞紐接收的資料庫原生日誌，以取得資料關聯性與特徵；由該資料學習模組標記特徵以分類正常事件，且由該人工智能訓練模組建立該偵測模型；由該偵測模型偵測當下該資料庫的事件，並計算對應已知類別的一信心值；以及由該人工智能訓練模組根據回覆的誤判事件調校該信心值的計算公式，並調校該偵測模型；其中，該偵測模型於得出該信心值時，比對一閥值，並判斷是否有異常資料庫事件；當有誤判事件時，該人工智能訓練模組調校該信心值的計算公式並調整該閥值，並重新佈署更新的該偵測模型。
如請求項4所述的主動式資料庫風險偵測系統的運作方法，其中該主動式資料庫風險偵測系統設有一巨量資料平台，而該巨量資料平台包括該資料學習模組，該資料學習模組用以處理不同格式的資料庫日誌，學習其中資料特徵，並予以分類；該稽核資料分析偵測引擎挑選一資料庫伺服器的離峰時段以回傳資料至該資料學習模組；以及該稽核資料分析偵測引擎包括一稽核日誌收集模組，該稽核日誌收集模組用以收集該資料庫存取軌跡。
如請求項5所述的主動式資料庫風險偵測系統的運作方法，其中，當該偵測模型判斷有異常資料庫事件發生，除以該異常偵測模組自動中斷異常事件對應的唯一連線，該異常偵測模組還觸發一安全性資訊與事件管理系統以產生一告警信息。