[发明专利]基于数据库的数据泄露检测模型的建模方法、装置，泄露检测方法、系统

说明书

本发明提供一种基于数据库的数据泄露检测模型的建模方法、装置，泄露检测方法、系统，包括以下步骤：A、角色和用户组关系的建立：S100.数据采集，数据包括操作日志数据、用户角色数据、敏感数据列表；S200.解析SQL语句，提取表名；S300.数据关联及特征加工；S400.用户组的建立，定义用户组；S500.建立角色和用户组的关系；B、OneClassSvm模型训练：S600.正样本特征加工，S700.正样本中每个用户组对应一个OneClassSvm模型，并对该用户组内的第二宽表数据进行OneClassSvm模型训练，从而获得该用户组下正常数据的边界。本发明针基于数据库，对用户聚类出用户组，有别于提供的角色属性，这样可以保证用户的角色属性划分不合理的情况下，也可以科学的进行组内异常探索。

技术领域

本发明涉及数据安全技术领域，具体来说是基于数据库的数据泄露检测模型的建模方法、装置，泄露检测方法、系统。

背景技术

随着信息时代的到来，随着智能设备、软件应用的普及，我们产生的数据也以指数级增长。然而，数据泄露事件也越来越多，事件引发的后果也越来越大。从infowatch发布的2019年数据泄露报告中可以看出，数据泄露事件成倍数增长，光第二季度就有2.16亿用户数据被泄露，治理数据泄露问题变得刻不容缓。

现在治理数据泄露的方法和设备也非常多，大多是对数据进行加密、审计服务器文件传输日志、标记重要数据类的功能。如申请号为CN201110074937.X公开了一种数据加密方法和解密方法，方法主要为产生对应于该电子装置的一识别码；根据该识别码产生一临时金钥；利用该临时金钥以一第一加密机制对一第一数据进行加密以产生一第一密钥；利用一第二加密机制对该第一密钥加密以产生一加密金钥。虽然通过该方法，实现对数据的加密，但是数据加密只能起到防范数据泄露，无法追溯泄露源头；再如申请号为CN201810502740.3公开了一种应用操作日志审计系统，通过日志生成单元根据应用操作动作信息生成包括日志类型、安全等级、操作内容、操作IP和操作时间的操作日志数据，并对操作日志数据进行分析，审计单元自动判断应用操作是否合法，其具有设计科学、实用性强、使用方便、安全高效的优点。但是审计服务器文件传输日志只能审计服务器级别的数据泄露，无法结合数据库；标记重要数据类虽然理论上是可以应用到数据库中进行泄露检测，但是对数据库会进行修改，破坏原始数据，而且工作量大，泄露的结果也不好找寻。

发明内容

本发明所要解决的技术问题在于现有技术中的数据泄露治理方法或无法结合数据库使用，或即使结合数据库，但是会破坏原始数据的问题。

本发明通过以下技术手段实现解决上述技术问题的：

一种基于数据库中敏感数据泄露检测用的模型建立方法，包括以下步骤：

A、角色和用户组关系的建立：

S100.数据采集，数据包括操作日志数据、用户角色数据、敏感数据列表；

S200.解析SQL语句，提取表名；

S300.数据关联及特征加工，具体为：

将操作日志数据、用户角色数据、敏感数据列表三者关联后，并进行特征加工，形成第一宽表；

S400.用户组的建立，根据特征对所述第一宽表内用户进行聚类，将最接近的群体定义为用户组；

S500.建立角色和用户组的关系，找到每个角色中最大占比的用户组，组成该角色和该用户组的关系；

B、OneClassSvm模型训练：

S600.正样本特征加工，首先获取样本数据，结合S500中的角色和用户组关系，关联出用户组；然后从每个用户组中选出符合正常业务范围的用户作为正样本，再对正样本进行特征加工，形成第二宽表；