[发明专利]一种针对HDFS的数据窃取检测方法及装置

权利要求书

1.一种针对HDFS的数据窃取检测方法，其特征在于，包括：

接收待检测文件夹的检测数据集，并从所述检测数据集中提取每一个待检测文件的最近访问时间和创建时间；所述待检测文件夹包括至少一个待检测文件；

分别依据每一个待检测文件的最近访问时间、创建时间和检测时刻，确定所述每一个待检测文件的类别；

计算属于截止簇子集中文件的数量以及在所述检测时刻所述待检测文件夹中所有文件的数量；所述属于截止簇子集的待检测文件的创建时间小于所述检测时刻，且最近访问时间大于等于所述检测时刻并小于等于预设的复制结束时刻；其中，所述预设的复制结束时刻为所述检测时刻和预设的复制时间的和；

计算属于所述截止簇子集中文件的数量和在所述检测时刻所述待检测文件夹中所有文件的数量的比值，得到复制比例；

判断所述复制比例和预设的复制阈值的关系以及所述待检测文件夹中所有文件的数量和预设的数量阈值的关系；

当所述复制比例大于预设的复制阈值且在所述检测时刻所述待检测文件夹中所有文件的数量大于预设的数量阈值时，则所述待检测文件夹存在已被窃取的风险。

2.根据权利要求1所述的方法，其特征在于，所述待检测文件夹包括至少一个待检测文件的检测数据项；所述检测数据项包括：待检测文件的编号、最近访问时间、创建时间和待检测文件的所有父文件夹的编号。

3.根据权利要求1所述的方法，其特征在于，所述分别依据每一个待检测文件的最近访问时间、创建时间和检测时刻，确定所述每一个待检测文件的类别，包括：

针对于每一个待检测文件，确定该待检测文件的创建时间和检测时刻的关系，并分别确定该待检测文件的最近访问时间和检测时刻以及所述最近访问时间和预设的复制结束时刻的关系；

若所述待检测文件的创建时间大于等于所述检测时刻，所述待检测文件属于第一子集；

若所述待检测文件的创建时间小于所述待检测时刻，且所述待检测文件的最近访问时间小于所述检测时刻，则所述待检测文件属于第二子集；

若所述待检测文件的创建时间小于所述检测时刻，待检测文件的最近访问时间大于等于所述检测时刻且小于等于预设的复制结束时刻，所述待检测文件属于截止簇子集；

若所述待检测文件的创建时间小于所述检测时刻，且所述待检测文件的最近访问时间大于预设的复制结束时刻，则所述待检测文件属于第三子集。

4.根据权利要求3所述的方法，其特征在于，所述分别依据每一个待检测文件的最近访问时间、创建时间和检测时刻，确定每一个待检测文件的类别，包括：

通过MapReduce并行处理框架，将所述待检测文件夹中所有待检测文件划分为多个集合；

分别采用多个主机同时对多个集合进行处理，以确定每一个待检测文件的类别；

将每一个主机得到的处理结果进行汇总。

5.一种针对HDFS的数据窃取检测装置，其特征在于，包括：

提取单元，用于接收待检测文件夹的检测数据集，并从所述检测数据集中提取每一个待检测文件的最近访问时间和创建时间；所述待检测文件夹包括至少一个待检测文件；

类别确定单元，用于分别接收每一个待检测文件的最近访问时间、创建时间和检测时刻，确定所述每一个待检测文件的类别；

第一计算单元，用于计算属于截止簇子集中文件的数量以及在所述检测时刻所述待检测文件夹中所有文件的数量；所述属于截止簇子集的待检测文件的创建时间小于所述检测时刻，且最近访问时间大于等于所述检测时刻并小于等于预设的复制结束时刻；其中，所述预设的复制结束时刻为所述检测时刻和预设的复制时间的和；

第二计算单元，用于计算属于所述截止簇子集中文件的数量和在所述检测时刻所述待检测文件夹中所有文件的数量的比值，得到复制比例；

判断单元，用于判断所述复制比例和预设复制阈值的关系以及所述检测文件夹中所有文件的数量和预设的数量阈值的关系；

风险确定单元，用于当所述复制比例大于预设的复制阈值且所述待检测文件夹中所有文件的数量大于预设的数量阈值时，所述待检测文件夹存在已被窃取的风险。

6.根据权利要求5所述的装置，其特征在于，所述待检测文件夹包括至少一个待检测文件的检测数据项；所述检测数据项包括：待检测文件的编号、最近访问时间、创建时间和待检测文件的所有父文件夹的编号。