异常数据访问行为监控方法、装置及系统、电子设备与流程

本技术涉及数据安全领域，具体涉及一种异常数据访问行为监控方法、装置及系统、电子设备。

背景技术：

1、随着信息技术的飞速发展，数据已成为企业和组织的重要资产。在各种业务系统中存储着大量的业务数据，这些数据一旦泄露或被篡改，将给各企事业单位带来不可估量的损失。同时，用户对数据的访问行为日益复杂多样。保障数据的安全性和完整性，及时发现并防范数据访问异常行为，对于维护系统的稳定运行、保护用户隐私以及企业的正常运营至关重要。

2、传统的数据访问监控方法往往依赖于简单的规则匹配，如基于用户名、ip地址等静态信息进行访问控制和异常检测。然而，这种方式难以应对日益复杂的攻击手段和用户行为模式的变化。例如，黑客可能通过获取合法用户的账号信息，在正常的访问时间段内，从看似正常的ip地址进行数据访问，但实际上却在执行异常的数据窃取或篡改操作。这种情况下，传统的监控方法很难及时发现异常。

3、此外，随着数据量的不断增长，传统方法在处理海量数据时效率低下，无法满足实时监控的需求。同时，对于一些新型的异常行为，由于缺乏有效的特征提取和学习机制，传统方法难以准确识别。因此，迫切需要一种更加智能、高效的数据访问异常行为监控方法，以适应不断变化的安全环境。

技术实现思路

1、有鉴于此，有必要提供一种异常数据访问行为监控方法、装置及系统、电子设备，用以实现提高异常数据访问行为监控结果的准确性和适应性，降低误报率和漏报率的技术效果。

2、为了实现上述技术效果，第一方面，本技术提供了一种异常数据访问行为监控方法，包括：

3、获取历史访问数据，对所述历史访问数据进行特征提取得到访问特征数据，将所述访问特征数据划分为正常特征数据和异常特征数据；

4、对所述正常特征数据进行特征交互得到正常特征交互关系，对所述异常特征数据进行特征交互得到异常特征交互关系；

5、获取实时数据访问行为的实时访问数据，获取所述实时访问数据的实时特征交互关系；

6、计算所述实时特征交互关系与所述正常特征交互关系的正常特征匹配度，计算所述实时特征交互关系与所述异常特征交互关系的异常特征匹配度；

7、根据所述正常特征匹配度和所述异常特征匹配度确定所述实时数据访问行为是否为异常数据访问行为。

8、在一种可能的实施例中，所述对所述正常特征数据进行特征交互得到正常特征交互关系，包括：

9、基于深度神经网络对所述正常特征数据进行特征交互，提取所述正常特征数据之间的数据交互关系作为所述正常特征交互关系。

10、在一种可能的实施例中，所述将所述访问特征数据划分为正常特征数据和异常特征数据，包括：

11、获取所述历史访问数据中的标注数据，基于所述标注数据在所述历史访问数据中的数据量占比确定分类模型；

12、基于所述分类模型将所述访问特征数据划分为正常特征数据和异常特征数据。

13、在一种可能的实施例中，所述基于所述标注数据在所述历史访问数据中的数据量占比确定分类模型，包括：

14、若所述数据量占比大于第一设定阈值，确定所述分类模型为有监督算法模型；

15、若所述数据量占比小于或等于所述第一设定阈值，确定所述分类模型为无监督算法模型。

16、在一种可能的实施例中，所述分类模型为有监督算法模型，所述基于所述分类模型将所述访问特征数据划分为正常特征数据和异常特征数据，包括：

17、若所述数据量占比大于第二设定阈值，基于所述标注数据对所述有监督算法模型进行模型训练，得到目标分类模型；

18、基于所述目标分类模型将所述访问特征数据划分为正常特征数据和异常特征数据。

19、在一种可能的实施例中，所述分类模型为有监督算法模型，所述基于所述分类模型将所述访问特征数据划分为正常特征数据和异常特征数据，包括：

20、若所述数据量占比小于或等于所述第二设定阈值，基于所述标注数据对所述有监督算法模型进行模型训练，形成老师模型；

21、基于所述老师模型和所述访问特征数据构建伪标签数据；

22、基于所述标注数据和所述伪标签数据对所述有监督算法模型进行模型训练，得到所述目标分类模型；

23、基于所述目标分类模型将所述访问特征数据划分为正常特征数据和异常特征数据。

24、在一种可能的实施例中，所述对所述历史访问数据进行特征提取得到访问特征数据，包括：

25、提供多个预设特征维度；

26、对所述历史访问数据进行特征提取，得到历史数据特征；

27、将各个所述历史数据特征分别匹配至所述预设特征维度，形成所述访问特征数据。

28、第二方面，本技术提供了一种异常数据访问行为监控装置，包括：

29、历史数据获取模块，所述历史数据获取模块用于获取历史访问数据，对所述历史访问数据进行特征提取得到访问特征数据，将所述访问特征数据划分为正常特征数据和异常特征数据；

30、特征交互模块，所述特征交互模块用于对所述正常特征数据进行特征交互得到正常特征交互关系，对所述异常特征数据进行特征交互得到异常特征交互关系；

31、实时数据获取模块，所述实时数据获取模块用于获取实时数据访问行为的实时访问数据，获取所述实时访问数据的实时特征交互关系；

32、交互匹配模块，所述交互匹配模块用于计算所述实时特征交互关系与所述正常特征交互关系的正常特征匹配度，计算所述实时特征交互关系与所述异常特征交互关系的异常特征匹配度；

33、异常判定模块，所述异常判定模块用于根据所述正常特征匹配度和所述异常特征匹配度确定所述实时数据访问行为是否为异常数据访问行为。

34、第三方面，本技术提供了一种电子设备，包括：输入串口总线、输出串口总线、存储器和处理器，其中，

35、所述输入串口总线，用于获取历史访问数据和实时数据访问行为的实时访问数据；

36、所述存储器，用于存储程序、所述历史访问数据以及所述实时访问数据；

37、所述处理器，与所述存储器耦合，用于基于所述实际浓度变化数据执行所述存储器中存储的所述程序，以实现如前述的异常数据访问行为监控方法中的步骤，以确定所述实时数据访问行为是否为异常数据访问行为；

38、所述输出串口总线，用于向结果显示设备输出所述实时数据访问行为是否为异常数据访问行为。

39、第四方面，本技术提供了一种异常数据访问行为监控系统，包括：

40、网关设备，与所述网关设备连接的如前述的异常数据访问行为监控装置，以及与所述异常数据访问行为监控装置连接的数据存储设备；

41、所述网关设备用于接收实时数据访问行为，所述异常数据访问行为监控装置用于监测所述实时数据访问行为是否为异常数据访问行为；

42、若所述实时数据访问行为为所述异常数据访问行为，允许所述网关设备访问所述数据存储设备。

43、与相关技术相比，本技术所提供的异常数据访问行为监控方法、装置及系统、电子设备中，对历史访问数据进行特征提取得到访问特征数据，将访问特征数据划分为正常特征数据和异常特征数据，然后进一步的对正常特征数据和异常特征数据进行特征交互，得到对应的正常特征交互关系和异常特征交互关系，以正常特征交互关系和异常特征交互关系为标准，对于实时数据访问行为的实时访问数据，获取其对应的实时特征交互关系，将实时特征交互关系与作为标准的正常特征交互关系和异常特征交互关系进行匹配度计算，得到实时特征交互关系与正常特征交互关系的正常特征匹配度，和实时特征交互关系与异常特征交互关系的异常特征匹配度；最后根据正常特征匹配度和异常特征匹配度确定实时数据访问行为是否为异常数据访问行为，通过构建标准的正常特征交互关系和异常特征交互关系，并计算实时特征交互关系与正常特征交互关系和异常特征交互关系的匹配度来判定异常行为，能够有效识别特征组合层面的异常模式，提高异常检测的准确性和适应性，降低误报率和漏报率。