[发明专利]一种内网用户的异常外发行为检测方法及装置

摘要

本发明实施例提供了一种内网用户的异常外发行为检测方法及装置，内网用户的异常外发行为检测方法包括：获取行为审计设备上报的外发行为日志，针对内网用户，获取外发行为日志中该内网用户外发数据的外发时间之前的预设时间段内访问控制设备上报的第一访问控制日志，基于第一访问控制日志中的访问控制信息，统计内网用户的访问被控数据，在根据外发数据的数据信息和访问被控数据，确定内网用户的访问行为和外发行为偏离预设行为基线时，确定内网用户存在异常外发行为。通过本方案，可以提高检测内网用户的异常外发行为的准确性。

主权项

1.一种内网用户的异常外发行为检测方法，其特征在于，所述方法包括：获取行为审计设备上报的外发行为日志，所述外发行为日志包括内网用户外发数据的数据信息及外发时间；针对所述内网用户，获取所述外发时间之前的预设时间段内访问控制设备上报的第一访问控制日志，所述第一访问控制日志包括所述内网用户的访问控制信息及所述内网用户访问的资源信息，所述访问控制信息包括所述内网用户访问被拒绝或者被允许的信息；基于所述第一访问控制日志中的访问控制信息，统计所述内网用户的访问被控数据，所述访问被控数据包括以下三种数据中的至少一种：在所述预设时间段内访问被拒绝的次数占总访问次数的第一比例、在所述预设时间段内访问被拒绝的资源个数占总访问资源个数的第二比例、在所述预设时间段内访问被拒绝的资源的访问频率；在根据所述数据信息及所述访问被控数据，确定所述内网用户的访问行为和外发行为偏离预设行为基线时，确定所述内网用户存在异常外发行为，所述预设行为基线包括以下三种基线中的至少一种：所述第一比例对应的第一比例基线、所述第二比例对应的第二比例基线、所述访问频率对应的访问频率基线。