一种基于多维度行为特征与动态权重的运维审计风险识别方法、系统、设备及介质与流程

本发明涉及运维审计，具体地说，涉及一种基于多维度行为特征与动态权重的运维审计风险识别方法、系统、设备及介质。

背景技术：

1、运维审计系统是网络安全体系的“最后一道防线”，其核心价值在于追溯运维操作责任、拦截恶意行为、满足合规要求（如等保2.0《信息安全技术网络安全等级保护基本要求》中“9.2安全管理中心”明确要求“对运维操作进行实时监控和异常告警”）。其中，风险识别是运维审计的核心功能，直接决定系统能否有效防范以下风险：

2、未授权操作风险：如普通运维人员尝试修改核心数据库权限、外部攻击者通过劫持运维账号执行恶意命令；

3、合规违规风险：如运维人员绕过审批流程删除日志、传输敏感数据至外部设备，违反《数据安全法》《个人信息保护法》；

4、操作失误风险：如误执行“rm -rf /”指令删除核心文件，导致业务中断。

5、当前运维风险识别技术存在明显短板，具体体现在：

6、特征覆盖单一：多数方案仅关注“操作频率”“禁止指令”等单一特征，无法识别“合法指令组合的恶意操作”（如“cd /root→ cat /etc/passwd → scp 192.168.1.100:/tmp/passwd”，单步操作合法，组合后为数据泄露）；

7、权重适配性差：采用静态权重（如“权限变更”操作权重固定为0.5），无法区分场景差异——同一“权限变更”操作，在“核心数据库变更”场景下风险极高，在“普通办公服务器调试”场景下风险极低，静态权重易导致误报（正常操作被判定为风险）或漏报（高危操作未触发告警）；

8、实时性不足：传统方案多采用“批量分析”（如每小时汇总一次操作日志计算风险），若发生实时恶意操作（如实时篡改数据库数据），延迟告警会导致损失扩大；

9、缺乏自我优化：模型无法根据历史告警结果调整，长期使用中误报漏报率稳定在较高水平，需人工频繁调整规则，运维成本高。

技术实现思路

1、本发明针对现有运维审计系统在风险识别中存在的覆盖范围有限、适配性差、实时性不足、误报漏报率高的问题，提出一种基于多维度行为特征与动态权重的运维审计风险识别方法、系统、设备及介质；将操作特征、环境特征、历史特征三类特征联动采集，突破传统单一特征的识别局限，实现风险的立体化刻画；能精准、实时识别运维风险，且可持续优化的技术方案，保障运维操作合规性，降低资产被篡改、数据泄露的风险。

2、本发明具体实现内容如下：

3、一种基于多维度行为特征与动态权重的运维审计风险识别方法，具体包括以下步骤：

4、步骤s1：从运维审计系统实时采集原始特征，并根据运维审计规范设定约束条件；所述原始特征包括操作特征、环境特征、历史特征；

5、步骤s2：预处理原始特征，并根据环境特征动态调整特征权重，结合获取的特征标准化值，计算风险值；

6、动态权重w_i = w_i0 × k_i，其中w_i0为基础权重，k_i为场景调整系数；若同时满足多个调整条件，则各系数连乘，之后对全部动态权重进行归一化处理。

7、步骤s3：将风险值与当前场景的风险阈值对比，生成判定结果；

8、步骤s4：标注判定结果，并根据标注结果优化模型，并根据优化前后的误报率、漏报率选择模型。

9、为了更好地实现本发明，进一步地，所述步骤s1具体包括以下步骤：

10、步骤s11：从运维协议解析得到操作特征；所述操作特征包括操作类型、指令序列、操作频率、操作时长；

11、步骤s12：从运维审计系统采集环境特征；所述环境特征包括资产敏感等级、运维协议类型、账号权限等级；

12、步骤s13：从运维审计系统的历史日志库提取历史特征；所述历史特征包括账号历史风险记录、同岗位操作基线；

13、步骤s14：根据运维规范和要求设定约束条件；所述约束条件包括风险阈值约束、权重调整约束、告警抑制约束、特征有效性约束。

14、为了更好地实现本发明，进一步地，所述步骤s2具体包括以下步骤：

15、步骤s21：将采集的原始特征进行预处理，得到预处理后的原始特征；

16、步骤s22：根据预处理后原始特征的特征维度，设置基础权重，并根据环境特征动态调整特征权重；

17、步骤s23：根据动态调整后的特征权重、特征标准化值，计算风险值。

18、为了更好地实现本发明，进一步地，所述步骤s21具体包括以下步骤：

19、步骤s211：若原始特征为数值型特征，则采用min-max归一化映射至[0,1]；

20、步骤s212：若原始特征为序列型特征，则采用word2vec词嵌入技术，将每个指令转换为128维向量，再通过均值池化得到序列特征向量；

21、步骤s213：若原始特征为分类型特征，则采用独热编码，将核心资产编码为[1,0]，将普通资产编码为[0,1]。

22、为了更好地实现本发明，进一步地，所述步骤s22的具体操作为：若特征维度为操作类型的权限变更，则设置基础权重为0.3，若资产为核心资产，则将权重×2；若账号为普通运维，则将权重×1.5；若特征维度为操作类型的文件传输，则设置基础权重为0.2，若传输目标为外部ip，则将权重×3；若为内部ip，则权重不变；若特征维度为操作频率，则设置基础权重为0.2，若超过同岗位基线2倍，则将权重×1.2；若超过同岗位基线3倍，则将权重×1.5；若特征维度为资产敏感级，则设置基础权重为0.15，若为核心资产则将权重×1.5；若为普通资产则将权重×1；若特征维度为账号历史风险，设置基础权重为0.15，若有历史风险记录，则将权重×1.3；若无历史风险记录，则将权重×1。

23、为了更好地实现本发明，进一步地，所述步骤s3的具体操作为：将计算的风险值与当前场景的风险阈值对比，若风险值大于风险阈值，则判定为高风险操作，触发告警；若风险值大于0.5且小于等于阈值，则判定为中风险操作，仅记录日志不触发告警；若风险值小于等于0.5，则判定为正常操作，仅更新操作基线。

24、为了更好地实现本发明，进一步地，所述步骤s4的具体操作为：标注判定结果，并根据标注结果优化模型；若高频操作被误报，则降低对应高频操作的基础权重；若当前操作组合未触发告警，则新增当前操作组合的特征维度；对比优化前后的误报率、漏报率，若误报率降低≥10%且漏报率降低≥5%，保留新模型；否则回滚至前一版本。

25、基于上述提出的基于多维度行为特征与动态权重的运维审计风险识别方法，为了更好地实现本发明，进一步地，提出一种基于多维度行为特征与动态权重的运维审计风险识别系统，用于执行上述的一种基于多维度行为特征与动态权重的运维审计风险识别方法；包括采集单元、风险计算单元、判定单元、优化单元；

26、所述采集单元，用于从运维审计系统实时采集原始特征，并根据运维审计规范设定约束条件；所述原始特征包括操作特征、环境特征、历史特征；

27、所述风险计算单元，用于预处理原始特征，并根据环境特征动态调整特征权重，结合获取的特征标准化值，计算风险值；

28、所述判定单元，用于将风险值与当前场景的风险阈值对比，生成判定结果；

29、所述优化单元，用于标注判定结果，并根据标注结果优化模型，并根据优化前后的误报率、漏报率选择模型。

30、基于上述提出的基于多维度行为特征与动态权重的运维审计风险识别方法，为了更好地实现本发明，进一步地，提出一种电子设备，包括存储器和处理器；所述存储器上存储有计算机程序；当所述计算机程序在所述处理器上执行时，实现上述的基于多维度行为特征与动态权重的运维审计风险识别方法。

31、基于上述提出的基于多维度行为特征与动态权重的运维审计风险识别方法，为了更好地实现本发明，进一步地，提出一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机指令；当所述计算机指令在上述的电子设备上执行时，实现上述的基于多维度行为特征与动态权重的运维审计风险识别方法。

32、本发明具有以下有益效果：

33、（1） 本发明同时采集操作、环境、历史三类特征，能从“操作行为+场景背景+历史习惯”多维度刻画风险，可精准识别为风险，避免漏报。

34、（2） 本发明根据资产敏感级、账号权限动态调整权重，“权限变更”操作在核心资产上权重提升至0.6，在普通资产上权重保持0.3，可避免“普通资产上的正常权限变更被误报”，误报率可降低30%以上。

35、（3） 本发明风险值计算频率为500ms/次，从操作发起至告警触发仅需1秒内，可在恶意操作完成前触发告警并阻断操作，减少业务中断、数据泄露等损失。

36、（4） 本发明通过人工标注迭代模型，标注后系统可自动提升“云api 调用”操作的权重，无需人工修改规则，模型适应性随使用时间增强，6个月内误报率可降低50%。

37、（5） 本发明“500ms实时计算”满足实时监控，“多维度告警+日志记录”满足异常追溯，“反馈优化”满足长期合规，可直接支撑企业等保三级及以上测评。