[发明专利]基于业务过程模型挖掘的内部威胁检测系统及其检测方法

摘要

本发明涉及一种基于业务过程模型挖掘的内部威胁检测系统及其检测方法，该检测系统包含模型挖掘模块、异常检测模块及异常分析模块，其中，模型挖掘模块根据业务系统中各业务事件的事件日志进行模型挖掘，获取业务控制流模型、业务性能模型及执行者行为模型；异常检测模块依据模型挖掘模块，检测业务活动实时运行过程产生的事件日志的逻辑异常、性能异常及行为异常；异常分析模块针对异常检测模块的检测结果进行解析，识别实施内部威胁的执行信息并输出。本发明构建一种基于业务过程模型挖掘的内部威胁检测方法，有效地检测业务执行过程中存在的内部威胁行为，为公司及各类组织机构防范内部威胁提供有力支撑，有效保证公司及机构的信息安全。

主权项

1.一种基于业务过程模型挖掘的内部威胁检测系统，其特征在于：包含模型挖掘模块、异常检测模块及异常分析与威胁识别模块，其中，模型挖掘模块根据业务系统中各业务执行过程的事件日志进行业务过程模型挖掘，其中，业务过程模型包含业务控制流模型、业务性能模型及执行者行为模型；异常检测模块依据挖掘到的业务过程模型，检测业务运行过程中实时产生的事件日志中存在的逻辑异常、业务性能异常及执行者行为异常；异常分析与威胁识别模块针对异常检测模块的检测结果进行分析，识别出系统遭受的内部威胁并输出；异常检测模块包含操作行为异常检测单元、业务过程合规性检测单元，其中，操作行为异常检测单元包含个体异常行为检测模块及离群异常行为检测模块，根据执行者行为模型计算其行为向量，个体异常行为检测模块通过比较实际行为向量与正常行为向量判定是否存在个体异常行为；离群异常行为检测模块，对同角色下各执行者行为向量进行同维处理，将各执行者操作集的并集作为新的操作集，并为各操作赋予权值，然后，通过凝聚层次聚类法对执行者行为向量进行聚类，判定是否存在离群异常行为；业务过程合规性检测单元对实时产生的事件日志进行合规性检测；其中，合规性检测包含业务过程性能异常检测及业务过程逻辑异常检测。