[发明专利]数据泄露检测方法、系统、装置及存储介质

权利要求书

1.一种数据泄露检测方法，其特征在于，所述数据泄露检测方法包括：

检测装置识别当前网络中存在的数据服务器，对所述数据服务器中预设关键流量传输节点的访问流量进行检测，获得各访问流量对应的会话；

追踪并记录各会话的流量行为，生成历史流量日志；

将所述历史流量日志中与预设异常特征集匹配的异常行为特征作为目标特征；

获取所述目标特征的类别，根据所述目标特征的类别确定对应的数据泄露判断策略；

根据所述数据泄露判断策略判断所述目标特征是否存在数据泄露威胁；

其中，所述获取所述目标特征的类别，根据所述目标特征的类别确定对应的数据泄露判断策略，具体包括：

获取所述目标特征的类别；

在所述目标特征的类别为通用性异常特征时，确定对应的数据泄露判断策略为从IP异常状态、访问时间异常状态和/或流量大小异常状态判断所述目标特征是否存在数据泄露威胁；

在所述目标特征的类别为协议针对性异常特征时，确定对应的数据泄露判断策略为从协议异常状态和/或端口异常判断所述目标特征是否存在数据泄露威胁。

2.如权利要求1所述的数据泄露检测方法，其特征在于，所述追踪并记录各会话的流量行为，生成历史流量日志，具体包括：

获取各会话对应的IP信息、端口信息及协议信息，根据所述IP信息、所述端口信息及所述协议信息追踪各会话的流量行为；

记录各会话的流量行为，并根据各会话的流量行为生成历史流量日志。

3.如权利要求1所述的数据泄露检测方法，其特征在于，所述在所述目标特征的类别为通用性异常特征时，确定对应的数据泄露判断策略为从IP异常状态、访问时间异常状态和/或流量大小异常状态判断所述目标特征是否存在数据泄露威胁，具体包括：

在所述数据泄露判断策略为从IP异常状态判断所述目标特征是否存在数据泄露威胁时，获取所述目标特征中的源IP，根据所述源IP与预设恶意IP黑名单是否匹配，判断所述目标特征是否存在数据泄露威胁；

和/或，

在所述数据泄露判断策略为从访问时间异常状态判断所述目标特征是否存在数据泄露威胁时，获取所述目标特征中的访问时间，根据所述访问时间与预设异常访问时间是否匹配，判断所述目标特征是否存在数据泄露威胁；

和/或，

在所述数据泄露判断策略为从流量大小异常状态判断所述目标特征是否存在数据泄露威胁时，获取所述目标特征在预设时间内的上行流量大小，根据所述上行流量大小是否超过预设流量阈值，判断所述目标特征是否存在数据泄露威胁。

4.如权利要求1所述的数据泄露检测方法，其特征在于，所述在所述目标特征的类别为协议针对性异常特征时，确定对应的数据泄露判断策略为从协议异常状态和/或端口异常判断所述目标特征是否存在数据泄露威胁，具体包括：

在所述数据泄露判断策略为从协议异常状态判断所述目标特征是否存在数据泄露威胁时，获取所述目标特征的协议流量，根据所述协议流量传输的文件信息是否异常，判断所述目标特征是否存在数据泄露威胁；

和/或，

在所述数据泄露判断策略为从端口异常状态判断所述目标特征是否存在数据泄露威胁时，获取所述目标特征的端口，根据所述端口是否为非标准端口，判断所述目标特征是否存在数据泄露威胁。

5.如权利要求1所述的数据泄露检测方法，其特征在于，所述获取所述目标特征的类别，具体包括：

对所述目标特征分别进行协议解析和流量分析，根据协议解析结果和流量分析结果确定所述目标特征的类别。

6.如权利要求1至5中任一项所述的数据泄露检测方法，其特征在于，所述根据所述数据泄露判断策略判断所述目标特征是否存在数据泄露威胁之后，所述数据泄露检测方法还包括：

当所述目标特征存在数据泄露威胁时，获取所述目标特征对应的会话信息；

将所述会话信息在本地显示界面中展示，在接收到用户输入的应对指令时，对所述应对指令进行响应。