[发明专利]一种基于数据挖掘聚类分析的WEB违规操作行为检测方法

说明书

本发明公开了一种基于数据挖掘聚类分析的WEB违规操作行为检测方法，包括以下步骤：S1，通过对业务系统操作过程产生的网络流量的的逆向解析，还原出一个一个的HTTP请求，通过聚类分析，将相关请求序列归为一个业务模块；S2，确定用业务系统相关业务数据所在相关业务的使用情况；S3，确定不同业务的权重值；S4，检测WEB用户违规行为。本发明通过自动梳理业务系统业务模块，识别用户和用户行为，建立业务模型和业务办理逻辑，实现了对业务数据在业务系统分布的精确定位，自动识别高频、批量、绕行等不符合业务访问操作访问行为，可轻松实现WEB业务数据和业务访问操作行为的安全管理，提升WEB业务系统的安全性。

技术领域

本发明涉及web业务安全监测分析技术领域，尤其涉及一种基于数据挖掘聚类分析的WEB违规操作行为检测方法。

背景技术

Web业务系统目前对业务数据和业务办理行为的管理机制主要是通过业务数据进行加密和帐号权限控制，来达到对业务数据的保护和业务办理行为规范的作用。

业务数据加密技术主要作用在数据传输和存储两个关键节点，通过将数据(或称明文，plain text)经过加密钥匙(Encryption key)及加密函数转换，变成无意义的密文(cipher text)，而接收方则将此密文经过解密函数、解密钥匙(Decryption key)还原成业务数据，来达到对业务数据的保护效果。

帐号权限控制主要是依据帐号的角色、层次、规则和对象来对帐号赋予相应的业务操作权限。安全管理人员在权限管理系统上配置权限规则和策略，实现用户权限的管理。通查看帐号的操作日志，来发现相关帐号的违规办理行为。

但现有的加密技术和权限管理技术，在应用时存在如下缺陷：

1.业务数据的加密和解密过程存在耗时、影响业务办理效率的问题。

2.业务数据加密技术对于合法用户非法获取业务数据无法监管。

3.帐号权限控制技术偏重单一请求检查，难以发现违反业务规范的多请求越权行为。目前大量的权限管理，多针对单一的HTTP请求进行检查，对请求协议、是否包含违规关键字或正则表达式进行检查、告警，对于同业务逻辑相关的关联操作权限，是否存在违规则无法进行检查。而大量的外挂访问、脚本操作，则往往利用工具模拟合法访问，很难精确识别出是否具有正常访问权限。

4.人工设置业务规则，业务复杂的系统难以适用：目前少量的权限管理工具，能够支持设置业务逻辑、业务权限设置规则，但这需要使用人员具备较强的先验知识，才能进行正确设置，同时，需要耗费大量人力检验其精确性。然而，对于复杂的WEB业务系统，流程复杂，数量巨大，很难靠人工进行设置。因此，目前此类系统应用范围多限于简单的WEB业务系统。

发明内容

本发明提供了一种基于数据挖掘聚类分析的WEB违规操作行为检测方法，通过同步采集业务系统办理网络流量，分析用户同WEB业务系统的交互行为数据，利用业务仿制和聚类分析技术，智能梳理业务系统重要业务数据在业务系统中的分布情况，将业务系统进行业务类型细腻度分类、关联，建立相应的监测模型，自动监测发现合规帐号通过高频、批量、脚本外挂等手段来非法获取业务数据和绕行办理业务的行为，从而解决上述背景技术中提出的问题。

为了实现上述目的，本发明采用了如下技术方案：

一种基于数据挖掘聚类分析的WEB违规操作行为检测方法，包括以下步骤：

S1，通过对业务系统操作过程产生的网络流量的的逆向解析，还原出一个一个的HTTP请求，通过聚类分析，将相关请求序列归为一个业务模块；

S2，确定用业务系统相关业务数据所在相关业务的使用情况；

S3，确定不同业务的权重值；

S4，检测WEB用户违规行为。