[发明专利]数据泄露检测

说明书

描述了用于基于快照分析的数据泄露检测的系统和方法。所描述的系统和方法识别数据结构的多个快照，针对每个快照识别数据结构的多个叶节点，为每个叶节点生成数据属性的向量，向每个向量分配权重以产生针对每个快照的一组加权向量，基于对应组的加权向量计算每对快照之间的距离度量，以及基于距离度量检测多个快照中的异常快照。

背景技术

以下总体上涉及数据泄露(breach)检测，并且更具体地涉及基于快照分析的数据泄露检测。

随着个人和公司实体变得更加依赖于数据，他们也变得易受到以该数据为目标的攻击。网络弹性是个人或组织在面对网络攻击时以最小的干扰量继续工作的能力。网络弹性可以包括以确保组织在网络攻击和网络中断期间继续起作用的企业的信息安全、业务连续性和网络弹性。

在一些情况下，网络攻击可能以使得它们难以检测的方式进行。因此，在本领域中需要提供检测复杂网络攻击的改进能力的系统和方法。

发明内容

描述了用于基于快照分析的数据泄露检测的方法、装置和非暂时性计算机可读介质。该方法、装置和非暂时性计算机可读介质可以提供识别数据结构的多个快照，为每个快照识别数据结构的多个叶节点，为每个叶节点生成数据属性的向量，为每个向量分配权重以产生每个快照的一组加权向量，基于对应组的加权向量计算每对快照之间的距离度量，以及基于距离度量在多个快照中检测异常快照。

附图说明

现在将仅通过示例的方式并参考以下附图来描述本发明的优选实施例：

图1示出了根据本公开的实施例的异常快照检测系统的示例。

图2示出了根据本公开的实施例的服务器的示例。

图3示出了根据本公开的实施方式的一系列快照的示例。

图4示出了根据本公开的实施例的数据结构的示例。

图5到7示出了根据本公开的实施例的用于数据泄露检测方法的过程的示例，其中，获取备份文件的快照并将其与周围文件进行比较。

具体实施方式

本公开提供了用于数据泄露检测的系统和方法。本公开的实施例涉及数据泄露检测方法，其中，获取备份文件的快照并将其与周围文件进行比较，以检测文件结构中在正常改变模式之外的任何异常。

本公开的实施例使用加权树结构来生成备份快照(即，快照签名)中的离散分布的文件属性，该加权树结构包括一组加权向量。然后，计算在两个快照签名之间在两组加权向量之间测量的距离度量。通过将快照的局部密度与相邻数据组的快照的密度进行比较来检测异常快照。

网络攻击正在上升，其中网络钓鱼和社交工程、恶意软件、鱼叉式网络钓鱼、服务拒绝和过时软件是当今威胁组织的最高网络中断。关键网络弹性关注包括：缺乏在网络攻击的唤醒中保持弹性的能力、作为网络弹性的最高障碍的不充分的规划和准备、以及特别的、不存在的或不一致的网络安全事故响应计划。

随着网络攻击变得越来越普遍和昂贵，网络弹性挑战变得更加困难。网络间谍行为和勒索软件变得普遍，其中先进的、目标性的和持续性的威胁集中在许多组织上。随着网络和基础设施变得更加复杂，攻击的前景不断扩大。

诸如破坏备份文件的恶意软件的攻击导致许多问题，并且恢复过程花费大量时间(尤其是在需要手动操作来解决这些问题时)。另外，越来越多的规章对要求昂贵的合规程序的组织提出了要求。例如，数据泄露通知要求促成了数字世界中的挑战。

可以使用各种数据泄露检测方法来确定数据是否已经被破坏。这些检测方法可以包括用于检测可以暗示网络威胁或数据安全的破坏的异常备份快照的技术。例如，许多数据泄露检测方法使用单向量异常检测方法。基于密度的异常检测方法使用矢量近似来确定统计离群值。这些方法将点周围的密度与该点的局部附近周围的密度进行比较。该方法假设正常数据对象周围的密度具有与邻近数据对象相似的密度。