一种个人信息泄露监测方法和装置
【技术领域】
本发明涉及信息安全技术领域，特别是涉及一种个人信息泄露监测方法和装置。
【背景技术】
个人信息遭泄露后危害非常大，包含垃圾短信源源不断，骚扰电话接二连三，垃圾邮件铺天盖地，冒名办卡透支欠款，案件事故从天而降，不法人员前来诈骗，不法人员前来诈骗，坑蒙拐骗乘虚而入，帐户钱款不翼而飞，个人名誉无端受损等等。个人信息泄露会造成这么严重的后果，为此我们需要防止个人信息泄露。
个人信息泄露流程包含个人信息收集侧泄露、个人信息批量成型侧泄露、个人信息传输过程泄露。针对个人信息收集侧和个人信息批量成型侧这两个维度的场景，市场上已有相应的手段实现。
目前对于网络运营商(Internet Service Provider，简写为：ISP)/网络内容服务商(Internet Content Provider，简写为：ICP)企业收集了哪些用户的个人信息、收集了哪些维度的个人信息、有哪些ISP/ICP企业在收集用户个人信息，业内尚无有效的技术手段进行监测。
鉴于此，克服该现有技术所存在的缺陷是本技术领域亟待解决的问题。
【发明内容】
本发明要解决的技术问题是目前对于网络运营商(Internet Service Provider，简写为：ISP)/网络内容服务商(Internet Content Provider，简写为：ICP)企业收集了哪些用户的个人信息、收集了哪些维度的个人信息、有哪些ISP/ICP企业在收集用户个人信息，业内尚无有效的技术手段进行监测。
本发明采用如下技术方案：
第一方面，本发明提供了一种个人信息泄露监测方法，包括：
前端个人信息泄露监测设备的网卡接收IP数据流，所述IP数据流是全部信息的原始流量；或者所述IP数据流是经过DPI设备或者分流器设备筛选后的相关协议流量；
根据个人信息监测规则逐流/逐包的检测所述IP数据流的内容，并将命中个人信息监测规则的IP数据流进行记录；
将命中个人信息监测规则的IP数据流进行记录进行关联整合，生成归档数据。
优选的，将命中个人信息监测规则的数据流进行记录，具体包括：
将命中的IP数据流中的五元组、IP地理归属，以及相关基础信息字段，填入XDR话单；
根据应用大小类的特征库识别标记为命中规则的数据流，将相应应用大小类的应用ID，填入XDR话单；以便于通过对所述XDR话单的关联整合，生成归档数据。
优选的，所述应用大小类具体表现为各类应用中收集个人信息的比例，相应命中规则的数据流，具体为高数量、高敏感度的收集个人信息的应用。
优选的，根据入库的话单和应用大小类所对应的权限标签表和敏感度权重；根据个人信息的不同维度，对个人信息元素进行敏感度分值的设定，计算不同收集事件监测中信息敏感度的分值；并进行关联整合，生成归档数据；
其中，所述收集事件监测对应于一段时间内的IP数据流完成所述关联整合后，生成的归档数据，或者，对应于一轮完整业务交互内容的归档数据。
优选的，所述收集事件，包括：
个人信息疑似非法收集事件监测、合法收集事件监测和越权收集事件监测。
优选的，所述疑似非法收集事件监测和合法收集事件监测，是通过和IP/域名备案系统对接确定是疑似非法收集或者是合法收集；其中，收集个人信息的业务未在备案系统中查询到，确定所述业务为疑似非法收集事件；收集个人信息的业务在备案系统中查询到，确定所述业务应用为合法收集事件；
所述越权收集事件监测，是通过分析采集的个人信息种类是否超出业务所需的业务应用判断是否越权收集，若收集个人信息种类超出业务所需业务应用，确定所述业务应用越权收集事件。
优选的，针对所述归档数据的分析包括：
基于IDC的IP地址对所有事件进行统计排序，发现高频次收集个人信息的业务应用，高条目数收集个人信息的业务应用；
基于终端用户地理位置统计排序，分析统计被收集个人信息的终端用户地理位置分布情况；
基于终端用户归属运营商统计排序，分析存在泄露个人信息行为的终端用户归属运营商的分布情况。
优选的，针对所述归档数据的分析还包括：
基于备案信息识别越权收集、合法/疑似非法收集行为，对中标事件进行统计排序，发现不同性质事件的分布情况；
基于性别对泄露个人信息的人群进行分类统计排序，统计男女泄露比例；基于不同年龄段人群的个人信息泄露分布进行统计排序，可重点关注老年人群体，进行诈骗预警。
优选的，针对所述归档数据的分析还包括衍生业务，具体的：
衍生业务包含儿童个人信息泄露分析，电信诈骗事前预警，社会宣传策略基线数据支撑，违规ISP企业追踪，境外ISP手机状况感知，疑似极端势力成员跟踪，弱安全ISP企业筛查，个人信息泄露态势整体感知中的一项或者多项。
第二方面，本发明还提供了一种个人信息泄露监测装置，用于实现第一方面所述的个人信息泄露监测方法，所述装置包括：
至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述处理器执行，用于执行第一方面所述的个人信息泄露监测方法。
第三方面，本发明还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个处理器执行，用于完成第一方面所述的个人信息泄露监测方法。
本发明对通过分析各ISP/ICP企业的通信数据，研判通信数据中是否包含个人信息，分析该应用流量收集的个人信息维度是否属于“违规、越权收集”，统计ISP/ICP企业收集了哪些用户的个人信息、收集了哪些维度的个人信息以及有哪些ISP/ICP企业在收集用户个人信息，并能对其行为进行取证。
【附图说明】
为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍。显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的一种个人信息泄露监测系统架构图；
图2是本发明实施例提供的一种个人信息泄露监测方法流程示意图；
图3是本发明实施例提供的一种个人信息泄露监测装置模块结构图；
图4是本发明实施例提供的一种个人信息泄露监测方法流程示意图；
图5是本发明实施例提供的一种个人信息泄露监测装置结构时示意图。
【具体实施方式】
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
在本发明的描述中，术语“内”、“外”、“纵向”、“横向”、“上”、“下”、“顶”、“底”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明而不是要求本发明必须以特定的方位构造和操作，因此不应当理解为对本发明的限制。
此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。
实施例1:
本发明实施例1提供了一种个人信息泄露监测方法，在具体阐述方法内容之前，先介绍下可适用于本发明实施例方法实现的一种系统架构，如图1所示，为适用于本发明实施例所提出的监测方法的一种网络架构关系图，其中，个人信息泄露监测设备：根据应用协议库、个人信息监测规则库对现网流量进行检测，对流量中的任意包(不根据具体应用及协议)进行内容检测，发现收集个人信息的数据流，并记录是否泄露相应的个人信息；个人信息泄露综分平台：接口前端个人信息泄露监测设备上报的事件日志，并进行综合展现分析。如图2所示，所述监测方法包括：
在步骤201中，前端个人信息泄露监测设备的网卡接收IP数据流，所述IP数据流是全部信息的原始流量；或者所述IP数据流是经过深度包检测(Deep Packet Inspection，简写为：DPI)设备或者分流器设备筛选后的相关协议流量。
在步骤202中，根据个人信息监测规则逐流/逐包的检测所述IP数据流的内容，并将命中个人信息监测规则的IP数据流进行记录。
在步骤203中，将命中个人信息监测规则的IP数据流进行记录进行关联整合，生成归档数据。
本发明实施例对通过分析各ISP/ICP企业的通信数据，研判通信数据中是否包含个人信息，分析该应用流量收集的个人信息维度是否属于“违规、越权收集”，统计ISP/ICP企业收集了哪些用户的个人信息、收集了哪些维度的个人信息以及有哪些ISP/ICP企业在收集用户个人信息，并能对其行为进行取证。
在本发明实施例中，在步骤202中所涉及的，将命中个人信息监测规则的数据流进行记录，具体包括：
将命中的IP数据流中的五元组、IP地理归属，以及相关基础信息字段，填入扩展数据记录(X Data Recording，简写为XDR)话单；
根据应用大小类的特征库识别标记为命中规则的数据流，将相应应用大小类的应用ID，填入XDR话单；以便于通过对所述XDR话单的关联整合，生成归档数据。通常会整合XDR话单，打包发送至综分平台的数据仓库技术(Extract-Transform-Load，简写为：ETL)设备；ETL设备解压XDR话单，并归整入数据库。
在本发明实施例中，所述应用大小类具体表现为各类应用中收集个人信息的比例，相应命中规则的数据流，具体为高数量、高敏感度的收集个人信息的应用。
根据入库的话单和应用大小类所对应的权限标签表和敏感度权重；根据个人信息的不同维度，对个人信息元素进行敏感度分值的设定，计算不同收集事件监测中信息敏感度的分值；并进行关联整合，生成归档数据；
其中，所述收集事件监测对应于一段时间内的IP数据流完成所述关联整合后，生成的归档数据，或者，对应于一轮完整业务交互内容的归档数据。
其中，所述收集事件，包括：个人信息疑似非法收集事件监测、合法收集事件监测和越权收集事件监测。
所述疑似非法收集事件监测和合法收集事件监测，是通过和IP/域名备案系统对接确定是疑似非法收集或者是合法收集；其中，收集个人信息的业务未在备案系统中查询到，确定所述业务为疑似非法收集事件；收集个人信息的业务在备案系统中查询到，确定所述业务应用为合法收集事件；
所述越权收集事件监测，是通过分析采集的个人信息种类是否超出业务所需的业务应用判断是否越权收集，若收集个人信息种类超出业务所需业务应用，确定所述业务应用越权收集事件。
在本发明实施例的一种实现方案中，针对所述归档数据的分析包括：
基于IDC的IP地址对所有事件进行统计排序，发现高频次收集个人信息的业务应用，高条目数收集个人信息的业务应用；
基于终端用户地理位置统计排序，分析统计被收集个人信息的终端用户地理位置分布情况；
基于终端用户归属运营商统计排序，分析存在泄露个人信息行为的终端用户归属运营商的分布情况。
在本发明实施例的优选实现方案中，针对所述归档数据的分析还包括：
基于备案信息识别越权收集、合法/疑似非法收集行为，对中标事件进行统计排序，发现不同性质事件的分布情况；
基于性别对泄露个人信息的人群进行分类统计排序，统计男女泄露比例；基于不同年龄段人群的个人信息泄露分布进行统计排序，可重点关注老年人群体，进行诈骗预警。
进一步的，针对所述归档数据的分析还可以包括衍生业务，具体的：
衍生业务包含儿童个人信息泄露分析，电信诈骗事前预警，社会宣传策略基线数据支撑，违规ISP企业追踪，境外ISP手机状况感知，疑似极端势力成员跟踪，弱安全ISP企业筛查，个人信息泄露态势整体感知中的一项或者多项。
本发明实施例中的衍生业务下的儿童个人信息泄露分析业务，基于年龄<＝14维度统计和分析。电信诈骗事前预警业务，基于银行卡号统计和分析。社会宣传策略基线数据支撑，基于地理位置分布数据，基于文化水平分布数据，基于提供性别占比，基于个人信息泄露趋势分析，基于年龄分布数据统计和分析。违规ISP企业追踪业务，基于越权收集应用进行统计和分析。境外ISP收集状况感知，基于收集ISP地理位置进行统计和分析。疑似极端势力成员跟踪，基于宗教信仰、种族、人种、地理位置等进行统计和分析。弱安全ISP企业筛查，基于合规收集应用进行统计和分析。个人信息泄露态势整体感知，对所有中标事件进行归纳分析，基于应用类别、地理位置、运营商类别、事件性质、被收集人性别、被收集人年龄等维度进行数据分析统计。同时对IDC内命中的IP地址进行事件统计排序，发现收集个人信息的高风险的业务应用。
本发明实施例中的衍生业务下的儿童个人信息泄露分析业务，可追踪高条目数收集儿童个人信息的ISP，促进ISP增强儿童个人信息保护，加强行业自律。发现收集与其提供的服务无关的儿童个人信息的ISP。
本发明实施例中的衍生业务下的电信诈骗事前预警业务，“事前”发现将遭受诈骗的高危人群，减少电信诈骗案件数，减少经济损失，挖掘电信诈骗的网络站点，打击黑产从业人员。
本发明实施例中的衍生业务下的社会宣传策略基线数据支撑，为党和国家制定“增强群众个人信息保护意识”的宣传策略上提供基础数据支撑，提升宣传工作的有效性，避免无目标、无群体的盲目宣传。
本发明实施例中的衍生业务下的违规ISP企业追踪业务，在固网以及移动网中，收集其超出业务所需的最小范围个人信息的ISP企业。追踪固网违规越权收集个人信息的ISP，发现固网归为越权收集个人信息的应用，追踪移动网违规越权收集个人信息的ISP，发现移动网中违规羽泉收集个人信息的APP。
本发明实施例中的衍生业务下的境外ISP收集状况感知业务，发现个人信息泄露至境外的人员个人，发现收集境内个人信息的境外ISP，统计境外ISP收集境内个人信息的趋势。
本发明实施例中的衍生业务下的疑似极端势力成员跟踪业务，追踪境外组织在境内的发展人群，维护社会稳定，防止境外极端势力的意识形态输出，防止暴恐事件发生。
本发明实施例中的衍生业务下的弱安全ISP企业筛查，督促重点ISP加强安全管理和安全技术的建设，预防重要ISP的个人信息数据在网络中被窃取。
本发明实施例中的衍生业务下的个人信息泄露态势整体感知，发现大量收集个人信息的合法应用，对其重点关注，同时建议其加强数据传输保护(通道加密，防止信息泄露)；发现非法收集个人信息的业务应用，对其阻断，并上报监管单位；发现越权收集个人信息的业务应用，上报监管单位对其进行整改。
本发明实施例提出的一种个人信息泄露监测方法可从互联网侧发现收集个人信息的APP、应用、网站，并对其进行取证。监测收集的隐私权限是否超出国家规定范围，监测收集信息的频率等信息。监管单位通过系统提供的信息，可推动市场上互联网业务的健康发展。
提供支撑数据，规范个人信息收集权限；对个人信息数据变现预警，发现存在交易可能性的疑似业务应用和经营方；发现重大非法收集事件，进行事中阻断；发现被钓鱼的用户，预防用户上当受骗；促进、督促合法合规业务应用提高个人信息的安全保护程度。
实施例2：
为本发明从更为详尽的物理功能节点侧，阐述本发明实施例1中的具体实现方法过程，在实施例1中所做出的相应的扩展内容同样适用于本发明实施例中，因此，相应的实施例1中的扩展内容在此不做重复阐述。参考图3所示的功能模块架构图，如图4所示，方法包括：
在步骤301中，前端个人信息泄露监测设备的网卡接收IP数据流，该流量可以是全量的原始流量，也可以是经过DPI设备或分流器设备筛选后的相关协议流量。
在步骤302中，超智能规则匹配引擎(Super Rule Matching Engine，简写为：sRME)根据个人信息监测规则逐流逐包的检测数据流的内容。
在步骤303中，标记命中规则的数据流。
在步骤304中，数据数据流五元组、IP地理归属等基础信息字段，填入XDR话单。
在步骤305中，输出命中规则的个人信息维度的字段信息，填入XDR话单。
在步骤306中，根据应用大小类特征库识别标记为命中规则的数据流。
在步骤307中，输出应用大小类的应用ID，并填入XDR话单。
在步骤308中，整合XDR话单，打包发送至综分平台的ETL设备。
在步骤309中，ETL设备解压XDR话单，并归整入库。
在步骤310中，GP/hadoop大数据根据入库的话单和应用大小类权限标签表、敏感度权重(根据个人信息的不同维度，对个人信息元素进行敏感度设定分值，进而计算不同事件中信息敏感度的分值)表进行关联整合，生成归档数据。其中，GP是基于MPP(大规模并行处理)大数据平台架构。
在步骤311中，Web服务器根据归档数据进行数据呈现。
扩展程序部分主要通过对接未备案查询系统来获取“IP-ISP对应关系表”和“非法域名、IP表”，爬虫和沙箱来获取“APP本地分析结果表”，通过大数据将各种表单数据结果进行关联查询，进而在web页面进行呈现。
实施例3：
如图5所示，是本发明实施例的个人信息泄露监测装置的架构示意图。本实施例的个人信息泄露监测装置包括一个或多个处理器21以及存储器22。其中，图5中以一个处理器21为例。
处理器21和存储器22可以通过总线或者其他方式连接，图5中以通过总线连接为例。
存储器22作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序和非易失性计算机可执行程序，如实施例1中的个人信息泄露监测方法。处理器21通过运行存储在存储器22中的非易失性软件程序和指令，从而执行个人信息泄露监测方法。
存储器22可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器22可选包括相对于处理器21远程设置的存储器，这些远程存储器可以通过网络连接至处理器21。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
所述程序指令/模块存储在所述存储器22中，当被所述一个或者多个处理器21执行时，执行上述实施例1中的个人信息泄露监测方法，例如，执行以上描述的图2和图4所示的各个步骤。
值得说明的是，上述装置和系统内的模块、单元之间的信息交互、执行过程等内容，由于与本发明的处理方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。
本领域普通技术人员可以理解实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random AccessMemory)、磁盘或光盘等。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
