[发明专利]一种用户越权访问敏感数据行为的检测方法及系统

权利要求书

1.一种用户越权访问敏感数据行为的检测方法，其特征在于，包括如下步骤：

步骤1，从交换机实时采集流量数据；

步骤2，将流量数据还原为SQL数据，其包括有用户名、角色类型和用户行为，将用户行为作为训练的信息指标；

步骤3，将一段时间积累的各用户的用户行为作为朴素贝叶斯算法的训练数据集，计算各用户名及用户行为符合对应角色类型的基准概率；

步骤4，采用朴素贝叶斯算法计算新增用户名及用户行为符合对应角色类型的行为概率；

步骤5，判断当前角色类型的用户行为的行为概率与基准概率是否存在偏离，是则说明该新增用户在越权访问数据；

所述步骤2还包括步骤21，对还原后的SQL数据进行标准化；

还包括步骤22，对标准化的SQL数据进行补充，对每个用户名进行角色标记，形成完整训练数据；

所述用户行为是用户访问某数据表名的行为，所述数据表名为按数据类型分类的数据表；

步骤4所述的行为概率具体为每类角色访问某数据表名的概率。

2.根据权利要求1所述的用户越权访问敏感数据行为的检测方法，其特征在于，所述训练数据集为对每个用户的用户行为进行角色划分，并关联数据表名的表向量。

3.根据权利要求2所述的用户越权访问敏感数据行为的检测方法，其特征在于，当用户访问了某数据表，则该表向量为1，其他未访问的表向量为0。

4.根据权利要求1所述的用户越权访问敏感数据行为的检测方法，其特征在于，还包括步骤6，判断用户是否访问敏感数据表，是则判定用户越权访问了敏感数据表，并发出告警。

5.一种用户越权访问敏感数据行为的检测系统，用以上述权利要求1至4任意一项所述的用户越权访问敏感数据行为的检测方法，其特征在于，包括：

数据采集模块，用于从交换机实时采集流量数据；

数据转换模块，用以将流量数据还原为SQL数据，其包括有用户名、角色类型和用户行为，将用户行为作为训练的信息指标；对还原后的SQL数据进行标准化；对标准化的SQL数据进行补充，对每个用户名进行角色标记，形成完整训练数据；具体地，对还原后的SQL数据进行标准化；对标准化的SQL数据进行补充，对每个用户名进行角色标记，形成完整训练数据；

分类器构建模块，将一段时间积累的各用户的用户行为作为朴素贝叶斯算法的训练数据集，通过贝叶斯工具包构建朴素贝叶斯分类器，计算各用户的用户行为对应角色类型的基准概率；

角色类别识别模块，朴素贝叶斯分类器判断新增用户的用户行为是对应角色的行为概率，对行为概率与该用户的基准概率进行比较，若发生偏离，则判断该新增用户越权使用了其他角色进行了对敏感数据的操作。

6.根据权利要求5所述的用户越权访问敏感数据行为的检测系统，其特征在于，还包括构建特征指标模块，用以完善训练数据，选取用户的特征指标；所述贝叶斯工具包为SparkMllib。