离群风险监测方法、设备及存储介质与流程

本发明涉及数据安全领域，尤其涉及一种离群风险监测方法、设备及存储介质。

背景技术：

1、在企业数字化与api化架构普及背景下，api成为数据流转与业务交互的核心通道，伴随敏感数据高频对外暴露，非法访问、越权调用、数据批量爬取、账号盗用、ip异常访问等安全风险持续加剧。现有api安全与访问管控产品通常具备日志采集、访问控制、黑白名单拦截、简单阈值告警、账号权限校验等基础能力，可记录api调用日志、账号操作日志、ip访问日志，并基于固定规则实现基础安全管控。

2、但是，现有方案的数据使用场景靠人工定义，规则需人工持续维护，无法自适应业务变更，高并发场景下实时性与扩展性不足。并且，现有方案的异常检测依赖静态规则和单一维度阈值，无法识别渐变复合型离群行为，识别误报率较高。因此，针对当前接口数据风险监测且智能化程度低识别渐变复合型离群行为的误报率高的技术问题，需要一种新的技术来解决当前问题。

技术实现思路

1、本发明的主要目的在于解决当前接口数据风险监测智能化程度低且识别渐变复合型离群行为的误报率高的技术问题。

2、本发明第一方面提供了一种离群风险监测方法，，包括步骤：

3、获取待监测的实时访问日志；

4、将所述实时访问日志输入预设多标签分类模型进行特征提取与分类，生成对应的多维度实体标签；

5、提取所述实时访问日志的访问行为特征，将所述访问行为特征与所述多维度实体标签融合后输入预设场景分类模型，确定所述实时访问日志对应的数据使用场景标签；

6、获取基于历史正常行为序列预先构建的多维动态行为基线，提取所述实时访问日志的实时时序行为特征，并将所述实时时序行为特征与所述多维动态行为基线进行分布偏差比对，计算得出离群度量化值；

7、将所述多维度实体标签与所述数据使用场景标签组合为风险鉴别特征，利用预设的特征融合网络将所述风险鉴别特征与所述离群度量化值进行加权融合计算，得到综合风险评分；

8、基于所述综合风险评分确定目标离群风险种类，以及执行与所述目标离群风险种类相匹配的安全管控策略。

9、可选的，在本发明第一方面的第一种实现方式中，所述将所述实时访问日志输入预设多标签分类模型进行特征提取与分类，生成对应的多维度实体标签的步骤包括：

10、识别所述实时访问日志中包含的访问实体，所述访问实体包括：应用api、访问ip以及操作账号；

11、利用预设多标签分类模型对所述应用api的请求头与响应内容进行分类，生成包含访问域、部署域、访问终端、数据类型及数据量维度的第一实体标签；

12、利用预设多标签分类模型对所述访问ip的流量属性进行分类，生成包含地理位置、所属网段及威胁属性维度的第二实体标签；

13、利用预设多标签分类模型对所述操作账号的认证属性进行分类，生成包含账号类型及所属部门维度的第三实体标签；

14、汇总所述第一实体标签、所述第二实体标签及所述第三实体标签，构建所述多维度实体标签。

15、可选的，在本发明第一方面的第二种实现方式中，所述将所述实时访问日志输入预设多标签分类模型进行特征提取与分类，生成对应的多维度实体标签的步骤包括：

16、将所述实时访问日志的原始字段输入预设神经网络进行向量化特征提取，生成字段特征向量；

17、将所述字段特征向量进行激活损失映射处理，生成初始分类概率分布；

18、将所述初始分类概率分布输入预设的规则引擎进行业务逻辑校验与标准化修正，生成多维度实体标签。

19、可选的，在本发明第一方面的第三种实现方式中，所述提取所述实时访问日志的访问行为特征，将所述访问行为特征与所述多维度实体标签融合后输入预设场景分类模型，确定所述实时访问日志对应的数据使用场景标签的步骤包括：

20、将所述多维度实体标签转换为数值化编码；

21、提取所述实时访问日志的访问行为特征，并将所述访问行为特征与所述数值化编码拼接为融合特征向量；

22、将所述融合特征向量输入所述场景分类模型，对所述融合特征向量所属的空间簇进行判定，映射输出所述实时访问日志对应的数据使用场景标签。

23、可选的，在本发明第一方面的第四种实现方式中，所述多维动态行为基线由预设时序网络模型学习得到，所述获取基于历史正常行为序列预先构建的多维动态行为基线，提取所述实时访问日志的实时时序行为特征，并将所述实时时序行为特征与所述多维动态行为基线进行分布偏差比对，计算得出离群度量化值的步骤包括：

24、将所述实时时序行为特征输入所述时序网络模型，生成所述实时访问日志对应的下一时刻特征预测分布；

25、采用多维空间距离度量算法，计算所述实时时序行为特征的实际观测值与所述特征预测分布之间的空间偏离距离，将所述空间偏离距离映射为数值化的离群度量化值。

26、可选的，在本发明第一方面的第五种实现方式中，所述利用预设的特征融合网络将所述风险鉴别特征与所述离群度量化值进行加权融合计算，得到综合风险评分包括步骤：

27、计算所述风险鉴别特征中各个特征维度的特征权重；

28、将所述风险鉴别特征中各维度的量化值与其对应的所述特征权重相乘并求和，得到基础风险基数；

29、将所述基础风险基数与所述离群度量化值进行乘积计算，生成综合风险评分。

30、可选的，在本发明第一方面的第六种实现方式中，所述基于所述综合风险评分确定目标离群风险种类的步骤包括：

31、将所述综合风险评分与预设风险阈值进行比对；

32、当所述综合风险评分不小于预设风险阈值时，则根据所述综合风险评分对应的多维度实体标签，对所述综合风险评分进行种类划分，生成目标离群风险种类。

33、可选的，在本发明第一方面的第七种实现方式中，所述执行与所述目标离群风险种类相匹配的安全管控策略的步骤包括：

34、基于所述目标离群风险种类，触发包含访问阻断、业务限流或身份核验的管控动作；

35、将触发所述管控动作对应的所述实时访问日志、所述多维度实体标签、所述数据使用场景标签、所述离群度量化值、所述综合风险评分进行汇总，得到反馈样本；

36、利用所述反馈样本对所述预设场景分类模型和所述多维动态行为基线进行模型更新。

37、本发明第二方面提供了一种离群风险监测设备，包括：存储器和至少一个处理器，所述存储器中存储有指令，所述存储器和所述至少一个处理器通过线路互连；所述至少一个处理器调用所述存储器中的所述指令，以使得所述离群风险监测设备执行上述的离群风险监测方法。

38、本发明的第三方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述的离群风险监测方法。

39、在本发明实施例中，通过对实施访问日志进行特征提取和分类，生成实施访问日志对应的多维度实体标签，基于访问行为特征和多维度实体标签确定数据使用场景标签。利用实时访问日志的实时时序行为特征与多维动态行为基线，计算出离群度量化值。最后，通过特征融合网络，对风险鉴别特征与离群度量化值进行加权融合计算得到综合风险评分，利用综合风险评分执行对应的安全管控策略，实现了基于接口数据风险监测智能化识别，提高了渐变复合型离群行为识别准确率，解决了当前接口数据风险监测且智能化程度低识别渐变复合型离群行为的误报率高的技术问题。