[发明专利]异常操作行为检测方法、装置、设备及存储介质

说明书

本申请提供一种异常操作行为检测方法、装置、设备及存储介质。具体方案包括：采集第一时间范围内目标用户对数据库进行操作的第一原始日志；根据第一原始日志中的结构化查询语句确定第一时间范围内各单位时间段的各类用户操作行为次数；根据各单位时间段的各类用户操作行为次数确定各单位时间段的时间段异常分数；采用有序加权平均算子对时间段异常分数进行有序加权算术平均，确定目标用户在第一时间范围内的数据异常分数；根据数据异常分数确定目标用户是否存在异常操作行为。通过将各类用户操作行为次数转换为数据异常分数，判断目标用户的数据异常分数是否异常，可以将不符合目标用户的操作习惯的操作行为确定为异常操作行为。

技术领域

本申请涉及计算机技术领域，尤其涉及一种异常操作行为检测方法、装置、设备及存储介质。

背景技术

在数据库中存储着大量敏感数据，为了防范敏感数据泄露，需要检测出数据库用户的异常操作行为。

目前数据库用户的异常操作行为检测方法主要为：根据已经发生过的操作异常或攻击设置操作指标及操作指标阈值，对操作指标对应操作的次数进行统计，计算同比及环比并与操作指标阈值进行比较，若同比、或环比异常，或操作的次数超过操作指标阈值，则确定该数据库用户存在异常操作行为。

但是由于在现有技术中人工设置操作指标及操作指标阈值，只能检测已经发生过的异常或攻击，对于潜在的危害大但是历史发生次数少的异常操作无法有效识别。

发明内容

本申请提供一种异常操作行为检测方法、装置、设备及存储介质，用以解决只能检测已经发生过的异常或攻击，对于潜在的危害大但是历史发生次数少的异常操作无法有效识别的问题。

第一方面，本申请提供一种异常操作行为检测方法，包括：

采集第一时间范围内目标用户对数据库进行操作的第一原始日志；

根据所述第一原始日志中的结构化查询语句确定第一时间范围内各单位时间段的各类用户操作行为次数；

根据各单位时间段的各类用户操作行为次数确定各单位时间段的时间段异常分数；

采用有序加权平均算子对所述时间段异常分数进行有序加权算术平均，确定所述目标用户在第一时间范围内的数据异常分数；

根据所述数据异常分数确定所述目标用户是否存在异常操作行为。

可选的，所述根据所述第一原始日志中的结构化查询语句确定第一时间范围内各单位时间段的各类用户操作行为次数，包括：

获取预先构建的各预设关键字段与各类用户操作行为的对应关系；

将各单位时间段的包含预设关键字段的结构化查询语句的数量确定为对应的各单位时间段的各类用户操作行为次数。

可选地，所述根据各单位时间段的各类用户操作行为次数确定各单位时间段的时间段异常分数，包括：

将所述各单位时间段的各类用户操作行为次数分别代入对应的概率密度函数中，获得所述各单位时间段的各类用户操作行为的概率；

根据所述各单位时间段的各类用户操作行为的概率，采用加权平均法确定各单位时间段的时间段异常分数。

可选地，所述将所述各单位时间段的各类用户操作行为次数分别代入对应的概率密度函数中，获得所述各单位时间段的各类用户操作行为的概率之前，还包括：

采集第二时间范围内目标用户对数据库进行操作的第二原始日志；所述第二时间范围对应的时长大于所述第一时间范围对应的时长；

根据所述第二原始日志中的结构化查询语句构造各类用户操作行为的面板数据；所述面板数据包括时间粒度聚合统计后的用户操作行为次数；