识别方法、装置、设备、介质和程序产品与流程

本申请涉及大数据领域，更具体地涉及一种识别方法、装置、设备、介质和程序产品。

背景技术：

1、随着金融行业数字化转型的不断深入，银行业务系统中存储有大量客户敏感信息。为了防止内部人员越权访问或泄露客户敏感信息，需要对业务系统中涉及敏感数据的访问和操作行为进行有效监控。

2、当前对业务系统进行敏感操作监控的主要方式是在业务系统的应用程序源代码中嵌入日志记录代码，在敏感操作执行位置主动输出操作日志。然而，在代码层面进行任何改动，可能因无法预见的兼容性问题或逻辑错误导致系统崩溃，造成严重的损失。

3、通过在业务服务器操作系统层部署轻量级探针、旁路监听网卡流量可以实现在不改动源代码的情况下，实现攻击行为识别。但当前流量镜像识别检测方法仍停留在协议级分析层面，其关注点在于识别访问请求是否存在结构化查询语言注入、跨站脚本攻击等攻击特征，而非判断访问数据本身是否涉及敏感信息，监控粒度粗放，容易遗漏真正的敏感操作，敏感行为识别的准确度低。

技术实现思路

1、鉴于上述问题，本申请的实施例提供了一种识别方法、装置、设备、介质和程序产品。

2、根据本申请的第一方面，提供了一种识别方法，包括：通过预设的探针旁路监听网络流量，响应于接收到用户的登录请求，从网络流量中获取用户访问行为所对应的请求数据及响应数据；对请求数据中多个字段进行敏感性评估，得到多个字段的敏感度评分；基于预设的第一匹配规则集，对响应数据进行匹配处理，确定响应数据所属的数据类别；基于多个字段的敏感度评分及所述响应数据所属的数据类别，对所述用户访问行为进行敏感行为识别。

3、根据本申请的实施例，对请求数据中多个字段进行敏感性评估，得到多个字段的敏感度评分，包括：针对多个字段中的每个字段，从请求数据中提取字段的字段名及字段值；将字段的字段名与预设的敏感字段特征库进行匹配，得到字段的第一匹配度得分；通过预设的第二匹配规则集对字段的字段值进行匹配，得到字段的第二匹配度得分；将第一匹配度得分与第二匹配度得分进行加权求和，得到字段的敏感度评分。

4、根据本申请的实施例，第一匹配规则集包括多个正则表达式，每个正则表达式对应一种数据类型，基于预设的第一匹配规则集，对响应数据进行匹配处理，确定响应数据所属的数据类别，包括：从响应数据中提取多个字段的字段值；针对多个字段中的每个字段，通过第一匹配规则集中的正则表达式分别对字段的字段值进行匹配；在字段的字段值与任一正则表达式匹配的情况下，将正则表达式对应的数据类型确定为字段的数据类型；根据响应数据中多个字段的数据类型，确定响应数据所属的数据类别。

5、根据本申请的实施例，基于多个字段的敏感度评分及响应数据所属的数据类别，确定用户访问行为是否为敏感行为，包括：在请求数据中任一字段的敏感度评分大于或等于预设第一阈值的情况下，或在响应数据所属的数据类别为敏感数据类别的情况下，确定用户访问行为为敏感行为。

6、根据本申请的实施例，方法还包括：在请求数据中任一字段的敏感度评分大于或等于预设第一阈值的情况下，且在响应数据所属的数据类别为敏感数据类别的情况下，确定敏感行为的敏感等级为高；在请求数据中任一字段的敏感度评分大于或等于预设第一阈值的情况下，或在响应数据所属的数据类别为敏感数据类别的情况下，确定敏感行为的敏感等级为中。

7、根据本申请的实施例，方法还包括：在敏感等级为高的情况下，以第一告警方式输出告警信息；在敏感等级为中的情况下，以第二告警方式输出告警信息。

8、根据本申请的实施例，在用户访问行为为敏感行为情况下，方法还包括：从请求数据中提取会话标识；基于会话标识，确定执行敏感行为的目标用户；针对同一目标用户，统计目标用户在预设第一时间窗口内执行敏感行为的次数；在敏感行为的次数超过预设第二阈值的情况下，基于目标用户的身份信息，确定目标用户的用户类别。

9、根据本申请的实施例，基于会话标识，确定执行敏感行为的目标用户，包括：根据会话标识与用户身份标识之间的映射关系，确定执行用户访问行为的目标用户。

10、根据本申请的实施例，根据会话标识与用户身份标识之间的映射关系的建立方式，包括：响应于接收到用户的登录请求，从监听到的网络流量中获取用户访问行为所对应的请求数据及响应数据；从请求数据中提取会话标识；从响应数据中提取用户身份标识；建立会话标识与用户身份标识之间的映射关系。

11、根据本申请的实施例，方法还包括：从请求数据中提取会话标识；在预设的第二时间窗口内，将属于同一会话标识的所有用户访问行为按时间戳排列，得到用户的访问行为序列；针对每个用户，统计访问行为序列中执行敏感行为的次数，在次数超过第三预设阈值的情况下，触发告警。

12、根据本申请的第二方面，提供了一种识别装置，包括：获取模块，用于通过预设的探针旁路监听网络流量，响应于接收到用户的登录请求，从网络流量中获取用户访问行为所对应的请求数据及响应数据；第一处理模块，用于对请求数据中多个字段进行敏感性评估，得到多个字段的敏感度评分；第二处理模块，用于基于预设的第一匹配规则集，对响应数据进行匹配处理，确定响应数据所属的数据类别；第三处理模块，用于基于多个字段的敏感度评分及响应数据所属的数据类别，确定用户访问行为是否为敏感行为。

13、根据本申请的第三方面，提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个计算机程序，其中，上述一个或多个处理器执行上述一个或多个计算机程序以实现上述方法的步骤。

14、根据本申请的第四方面，还提供了一种计算机可读存储介质，其上存储有计算机程序或指令，上述计算机程序或指令被处理器执行时实现上述方法的步骤。

15、根据本申请的第五方面，还提供了一种计算机程序产品，包括计算机程序或指令，上述计算机程序或指令被处理器执行时实现上述方法的步骤。

1.一种识别方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述对所述请求数据中多个字段进行敏感性评估，得到多个字段的敏感度评分，包括：

3.根据权利要求1所述的方法，其特征在于，所述第一匹配规则集包括多个正则表达式，每个正则表达式对应一种数据类型，所述基于预设的第一匹配规则集，对所述响应数据进行匹配处理，确定所述响应数据所属的数据类别，包括：

4.根据权利要求1所述的方法，其特征在于，所述基于多个字段的敏感度评分及所述响应数据所属的数据类别，对所述用户访问行为进行敏感行为识别，包括：

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

7.根据权利要求1所述的方法，其特征在于，在所述用户访问行为为敏感行为情况下，所述方法还包括：

8.根据权利要求7所述的方法，其特征在于，所述基于所述会话标识，确定执行所述敏感行为的目标用户，包括：

9.根据权利要求8所述的方法，其特征在于，所述根据所述会话标识与用户身份标识之间的映射关系的建立方式，包括：

10.根据权利要求1所述的方法，其特征在于，所述方法还包括：

11.一种识别装置，其特征在于，所述装置包括：

12.一种电子设备，包括：

13.一种计算机可读存储介质，其上存储有计算机程序或指令，其特征在于，所述计算机程序或指令被处理器执行时实现根据权利要求1~10中任一项所述方法的步骤。

14.一种计算机程序产品，包括计算机程序或指令，其特征在于，所述计算机程序或指令被处理器执行时实现根据权利要求1~10中任一项所述方法的步骤。