内部异常身份行为与数据泄露风险的AI识别方法及系统与流程

本技术涉及行为识别，尤其涉及一种内部异常身份行为与数据泄露风险的ai识别方法及系统。

背景技术：

1、企业内部数据库运维已经从固定终端直连逐步转向统一运维入口、数据库代理和临时授权连接，常见安全控制包括统一身份认证、堡垒机审计、数据库审计、运维工单管理和数据防泄漏，统一身份认证与堡垒机保存登录人员、终端、账号、访问对象和连接时段，数据库审计解析查询语句并记录访问表、访问字段、返回记录量及执行结果，运维工单保存故障对象、授权范围和处置过程，数据防泄漏依据字段分级标记或导出规则生成告警。

2、与内部异常行为及数据泄露风险识别用途相近的方案通常将数据库审计与用户实体行为分析结合，以登录账号或单次数据库连接作为分析主体，从访问时间、终端、查询语句类型、访问对象、返回记录量和数据敏感级别中提取行为特征，在固定时间窗口内统计查询频次、字段数量和返回规模，并与相应账号的历史基线或告警阈值比较，部分方案再依据运维工单中的授权人员、授权时段和目标系统过滤正常操作，最终形成异常访问或数据外传告警。

3、在数据库代理、跳板连接和临时账号并存的内部运维场景中，同一操作过程可能分散为多个持续时间较短的连接，故障核验查询与分批次的数据读取交错出现，各连接独立形成的查询频次、返回规模和基线偏差仍处于正常波动范围，现有方案由此容易把连续操作拆分为多个低强度事件，并将告警对象停留在账号或单次连接层面，对同一内部运维过程的归属及相应数据访问用途产生识别偏差。

技术实现思路

1、本技术提供一种内部异常身份行为与数据泄露风险的ai识别方法及系统，所要解决的技术问题是，由于同一内部运维过程被多个数据库子会话分散记录，导致异常身份行为及数据泄露风险的识别结果存在偏差。

2、为解决上述技术问题，第一方面，本技术提供一种内部异常身份行为与数据泄露风险的ai识别方法，包括：

3、获取运维访问记录、数据库查询记录、运维工单及敏感表结构数据，关联运维访问记录和数据库查询记录以确定实际操作者；

4、根据数据库查询记录形成实际操作者的跨子会话查询片段集，根据敏感表结构数据确定目标敏感表；

5、根据运维工单的任务节点完成情况更新实际操作者的任务进度状态；

6、根据跨子会话查询片段集对目标敏感表的敏感字段及记录范围补齐情况更新目标敏感表的拼表进度状态；

7、从跨子会话查询片段集中确定未推进任务进度状态且使拼表进度状态由未闭合状态转为闭合状态的背离查询片段，闭合状态表示查询结果覆盖敏感字段及记录范围；

8、在验证环境中回放跨子会话查询片段集，得到实际操作者的第一任务结果和目标敏感表的第一拼表结果；

9、剥离背离查询片段后回放剩余查询片段，得到实际操作者的第二任务结果和目标敏感表的第二拼表结果；

10、若第一任务结果与第二任务结果相同、第一拼表结果为闭合状态且第二拼表结果为未闭合状态，生成实际操作者的异常身份行为识别结果及目标敏感表的数据泄露风险识别结果。

11、可选地，关联运维访问记录和数据库查询记录以确定实际操作者，包括：

12、根据运维访问记录中的实名登录标识确定实名锚定子会话；

13、根据实名锚定子会话的访问终端标识和访问时段，从运维访问记录中筛选候选数据库子会话；

14、从数据库查询记录中提取各候选数据库子会话的查询输入数据和查询结果数据，形成会话输入输出数据；

15、从会话输入输出数据中，将仅存在于前一候选数据库子会话的查询结果数据、并被后一候选数据库子会话作为查询输入数据使用的数据确定为承接数据；

16、根据承接数据在前一候选数据库子会话与后一候选数据库子会话之间建立定向承接关系；

17、沿定向承接关系连接至实名锚定子会话，形成操作者会话链，并根据操作者会话链对应的实名登录标识确定操作者会话链对应人员，将操作者会话链对应人员确定为实际操作者。

18、可选地，根据数据库查询记录形成实际操作者的跨子会话查询片段集，包括：

19、根据操作者会话链中的定向承接关系排列各候选数据库子会话，得到子会话序列；

20、依次从子会话序列对应的数据库查询记录中提取表标识、字段标识、关联锚点字段、记录范围和承接数据，形成原始查询片段；

21、根据各原始查询片段的输入承接数据和输出承接数据建立查询片段连接关系；

22、在未建立查询片段连接关系的相邻原始查询片段之间设置断开标记；

23、若后续原始查询片段使用前一原始查询片段输出的承接数据，或者后续原始查询片段的记录范围起始锚点值在关联锚点字段的排序顺序中紧邻前一原始查询片段的记录范围结束锚点值，将对应的断开标记替换为查询片段连接关系；

24、根据各原始查询片段、查询片段连接关系和剩余的断开标记形成跨子会话查询片段集。

25、可选地，根据跨子会话查询片段集对目标敏感表的敏感字段及记录范围补齐情况更新目标敏感表的拼表进度状态，包括：

26、将目标敏感表的关联锚点字段设置为锚点节点，将目标敏感表的敏感字段设置为字段节点，并按照跨子会话查询片段集中的记录范围边界设置记录范围节点，形成待补齐节点集合；

27、若原始查询片段取得的敏感字段和记录范围通过同一关联锚点值对应，在锚点节点、对应的字段节点和对应的记录范围节点之间建立连接边，形成拼表关系图；

28、从拼表关系图中提取锚点节点以及与锚点节点处于同一连通部分的字段节点和记录范围节点，形成有效补齐节点集合；

29、根据待补齐节点集合与有效补齐节点集合的差集，形成剩余待补齐节点集合；

30、若剩余待补齐节点集合为空集，将拼表进度状态更新为闭合状态；若剩余待补齐节点集合为非空集，将拼表进度状态更新为未闭合状态。

31、可选地，从跨子会话查询片段集中确定未推进任务进度状态且使拼表进度状态由未闭合状态转为闭合状态的背离查询片段，包括：

32、将跨子会话查询片段集执行完毕时处于闭合状态的拼表关系图确定为最终闭合拼表关系图；

33、从最终闭合拼表关系图中提取自锚点节点到达各字段节点和记录范围节点的全部连接路径，形成连接路径集合；

34、将连接路径集合中的连接边映射至对应的原始查询片段，形成候选查询片段集合；

35、比较各候选查询片段执行前后的任务进度状态，并从候选查询片段集合中保留执行前后任务进度状态相同的候选查询片段，形成任务无贡献查询片段集合；

36、根据对任务无贡献查询片段集合中的查询片段执行虚拟剥离得到的结果确定闭合断开片段组，闭合断开片段组全部保留时最终闭合拼表关系图为闭合状态，闭合断开片段组全部剥离时最终闭合拼表关系图为未闭合状态，剥离闭合断开片段组的任一真子集时最终闭合拼表关系图仍为闭合状态；

37、将闭合断开片段组中的查询片段确定为背离查询片段。

38、可选地，根据敏感表结构数据确定目标敏感表，包括：

39、从敏感表结构数据中提取各数据表的键关联关系和敏感字段标记，形成数据表关联数据；

40、根据数据表关联数据，将以客户编号字段作为主键或者唯一键，并关联姓名字段、证件号码字段、手机号码字段、银行账号字段和地址字段的客户身份信息主表确定为目标敏感表。

41、可选地，根据运维工单的任务节点完成情况更新实际操作者的任务进度状态，包括：

42、根据运维工单中的任务操作及任务操作之间的执行依赖关系形成任务节点序列；

43、从任务节点序列中确定首个未完成任务节点；

44、若跨子会话查询片段集中的查询结果与运维工单的执行记录共同提供首个未完成任务节点所需的输入数据及完成证据，将首个未完成任务节点标记为完成，并根据完成标记更新任务进度状态。

45、可选地，在验证环境中回放跨子会话查询片段集，得到实际操作者的第一任务结果和目标敏感表的第一拼表结果，包括：

46、在验证环境中建立目标敏感表的表结构副本并写入非生产验证数据，形成验证数据快照；

47、固定函数返回值和事务执行顺序，形成回放条件；

48、按照回放条件，基于验证数据快照回放跨子会话查询片段集，得到完整回放结果；

49、根据完整回放结果确定实际操作者的第一任务结果和目标敏感表的第一拼表结果。

50、可选地，剥离背离查询片段后回放剩余查询片段，得到实际操作者的第二任务结果和目标敏感表的第二拼表结果，包括：

51、在背离查询片段的原执行位置设置空操作标记，形成剥离后查询片段序列；

52、按照回放条件，基于验证数据快照回放剥离后查询片段序列，得到第二任务结果和第二拼表结果。

53、第二方面，本技术提供一种内部异常身份行为与数据泄露风险的ai识别系统，包括：

54、数据归属构建模块，用于获取运维访问记录、数据库查询记录、运维工单及敏感表结构数据，关联运维访问记录和数据库查询记录以确定实际操作者；

55、数据归属构建模块还用于根据数据库查询记录形成实际操作者的跨子会话查询片段集，根据敏感表结构数据确定目标敏感表，并将实际操作者、跨子会话查询片段集、运维工单及目标敏感表提供给双进度分析模块；

56、双进度分析模块，用于根据运维工单的任务节点完成情况，按照跨子会话查询片段集中的查询片段执行顺序更新实际操作者的任务进度状态；

57、双进度分析模块还用于根据跨子会话查询片段集对目标敏感表的敏感字段及记录范围补齐情况，按照查询片段执行顺序更新目标敏感表的拼表进度状态，并将任务进度状态和拼表进度状态提供给背离定位模块；

58、背离定位模块，用于从跨子会话查询片段集中确定未推进任务进度状态且使拼表进度状态由未闭合状态转为闭合状态的背离查询片段，闭合状态表示查询结果覆盖敏感字段及记录范围；

59、背离定位模块还用于将背离查询片段及跨子会话查询片段集提供给回放验证与风险输出模块；

60、回放验证与风险输出模块，用于在验证环境中回放跨子会话查询片段集，并在剥离背离查询片段后回放剩余查询片段，得到实际操作者的第一任务结果和第二任务结果以及目标敏感表的第一拼表结果和第二拼表结果；

61、回放验证与风险输出模块还用于在第一任务结果与第二任务结果相同、第一拼表结果为闭合状态且第二拼表结果为未闭合状态时，生成实际操作者的异常身份行为识别结果及目标敏感表的数据泄露风险识别结果。

62、本技术提供的技术方案具有以下有益效果：

63、本技术通过运维访问记录与数据库查询记录之间的承接数据关系确定实际操作者，并将不同数据库子会话中的查询记录组织为同一跨子会话查询片段集，由此保持操作主体、查询顺序和数据来源之间的连续关系，降低数据库账号变化或连接拆分对操作过程归属的影响。

64、基于连续的操作过程，本技术分别维护任务进度状态和拼表进度状态，任务进度状态记录运维工单的推进情况，拼表进度状态记录敏感字段对目标锚点值集合的覆盖情况；当查询片段保持任务进度状态不变并使拼表进度状态转为闭合状态时，可以将敏感数据完整化作用定位至相应背离查询片段。

65、定位完成后，完整回放与剥离回放采用同一验证数据快照、函数返回值和事务顺序，使两次回放的差异集中于背离查询片段及相应依赖剥离片段；第一任务结果与第二任务结果相同，可以确认剥离操作没有改变工单任务结果，第一拼表结果闭合且第二拼表结果未闭合，则进一步确认背离查询片段对敏感字段完整覆盖具有确定作用。

66、上述处理依次完成实际操作者归属、两类进度状态比较、背离查询片段定位和数据层回放确认，使异常身份行为识别结果与具体会话链、查询片段和拼表状态变化对应，提高识别结果的可复核性和证据关联性。