[发明专利]一种数据库操作异常行为检测方法及可读存储介质

说明书

本发明公开了一种数据库操作异常行为检测方法及可读存储介质，其中，所述检测方法包括如下步骤：S01)对数据库审计类日志数据进行解析、转换和采集；S02)使用LOF算法检测异常点；S03)采用四分位算法检测数据库操作异常行为；S04)结合LOF算法和四分位算法的异常检测结果，联合检测输出异常，得出最终的数据库操作异常行为检测结果。本发明提供的数据库操作异常行为检测方法及可读存储介质，能够很好地兼顾运行速度和准确性，提高高维大数据的检测效率。

技术领域

本发明涉及一种数据安全审计方法，尤其涉及一种数据库操作异常行为检测方法及可读存储介质。

背景技术

数据安全审计及数据泄露防护的重要性不言而喻。然而，黑客日益狡猾，所使用的攻击手段花样繁多，其攻击行为日益隐蔽且没有明显的规律性。

当前，数据库操作异常行为的检测手段按照数理逻辑大致分为三类：1)基于一定规则的统计方法，如分位数算法、HBOS(基于直方图的异常值得分)算法等；2)基于神经网络等有监督类的算法，如CNN(卷积神经网络)、LSTM(长短期记忆人工神经网络)等；3)基于类群算法或树形算法等无监督类的算法，如聚类算法、孤立森林算法、频繁模式树算法等。这三类方法各有优点：第一种方法灵活易用；第二种方法考虑因素周全，函数描述和表达能力强；第三种方法直观明了，可解释性强。但是这些算法在数据安全审计领域的应用都有其局限性，要么因为过于复杂检测效率低，要么因为检测结果可信度低无法满足数据安全防御和治理的需求。

发明内容

本发明所要解决的技术问题是提供一种数据库操作异常行为检测方法，能够很好地兼顾运行速度和准确性，提高高维大数据的检测效率。

本发明为解决上述技术问题而采用的技术方案是提供一种数据库操作异常行为检测方法，包括如下步骤：S01)对数据库审计类日志数据进行解析、转换和采集；S02)使用LOF算法检测异常点；S03)采用四分位算法检测数据库操作异常行为；S04)结合LOF算法和四分位算法的异常检测结果，联合检测输出异常，得出最终的数据库操作异常行为检测结果。

进一步地，所述步骤S01中的数据库审计类日志数据来源于堡垒机或数据库审计设备的SQL请求操作日志。

进一步地，所述步骤S2包括：步骤S021，针对不同的用户实体行为异常分析场景快速选取相应的多维特征；步骤S022，对选取的特征数据进行归一化处理；步骤S023，采用LOF算法识别异常点。

进一步地，所述步骤S021针对SQL请求日志用户实体，选取如下多维特征：操作频次、访问设备端口数、操作类型数、操作表数、数据库风险操作次数、sql返回的总行数、session数、访问主机的平均持续时间和session的平均持续时间。

进一步地，所述步骤S022对选取的特征数据采用如下的最小最大化方法处理过程：对每一个用户实体操作特征量，按照x′＝(x-min_A)/(max_A-min_A)进行计算；其中，x为上一步骤中挑选的某个操作特征量，min_A为该操作特征量的最小值，max_A为该操作特征量的最大值，x′为处理之后的特征量。

进一步地，所述步骤S023包括：S0231)用欧式距离计算待检测的特征数据集中数据点的第k距离；S0232)通过所求的第k距离确定该点第k可达距离；S0233)通过所求的第k距离确定该点第k距离邻域；S0234)通过可达距离和第k距离邻域计算该点局部可达密度；S0235)通过局部可达密度计算局部离群因子，获得异常程度得分。

进一步地，所述步骤S03包括获取与数据库敏感操作或者异常操作有关的关键特征值，并按如下算法检测异常：S0321)根据分位数算法计算四分位数值；S0322)根据四分位数计算异常边界阈值；S0323)根据异常边界阈值判定异常。