(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211218906.1 (22)申请日 2022.10.07 (71)申请人 北京中安星云软件技 术有限公司 地址 100000 北京市海淀区创业路8号5号 楼4层5-6-401 (72)发明人 唐更新　刘仲强　宋辉　赵卫国　 (74)专利代理 机构 成都鱼爪智云知识产权代理 有限公司 513 08 专利代理师 刘爱平 (51)Int.Cl. G06F 16/21(2019.01) G06F 16/22(2019.01) G06F 16/242(2019.01) G06N 3/04(2006.01) G06N 20/00(2019.01) (54)发明名称 一种基于机器学习的数据库行为分析方法 及系统 (57)摘要 本发明提出了一种基于机器学习的数据库 行为分析方法及系统， 涉及计算机技术领域。 该 方法包括： 当抓取到一组sql数据后， 对sql数据 进行预处理， 根据策略规则和多个编码字典生成 sql数据对应的行为矩阵， 其中， sql数据包括至 少一个sql语句。 对行为矩阵进行图像像素归一 化处理后， 从行为矩阵中截取预设大小的方形图 形数据， 并将方形图形数据转换为黑白图像数 据。 通过神经网络算法对黑白图像数据进行训 练， 生成至少一个行为模型， 行为模型用于实时 识别数据库访问行为及异常行为检测。 该方法及 系统实现了实时抓取数据库访问行为， 并实时研 判数据库访问行为和行为异常检测的目的。 权利要求书2页 说明书10页 附图4页 CN 115510032 A 2022.12.23 CN 115510032 A 1.一种基于 机器学习的数据库行为分析 方法， 其特 征在于， 包括如下步骤： 当抓取到一组sql数据后， 对所述sql数据进行预处理， 根据策略规则和多个编码字典 生成所述sql数据对应的行为矩阵， 其中， 所述sql数据包括至少一个sql语句； 对所述行为矩阵进行图像像素归一化处理后， 从所述行为矩阵中截取预设大小的方形 图形数据， 并将所述方 形图形数据转换为 黑白图像数据； 通过神经网络算法对所述黑 白图像数据进行训练， 生成至少一个行为模型， 所述行为 模型用于实时识别数据库访问行为及异常行为检测。 2.根据权利要求1所述的基于机器学习的数据库行为分析方法， 其特征在于， 对所述 sql数据进 行预处理， 根据策略规则和多个编码 字典生成所述sql数据对应的行为矩阵的步 骤包括： 实时收集数据库名、 数据库表名、 字段名和条件表达式； 对所述数据库名、 所述数据库表名、 所述字段名和所述条件表达 式进行动态编码后， 对 抓取到的sql数据进行排列组合编码， 得到对应的行为矩阵。 3.根据权利要求1所述的基于机器学习的数据库 行为分析方法， 其特征在于， 所述通过 神经网络算法对所述 黑白图像数据进行训练， 生成至少一个行为模型的步骤 包括： 根据所述黑白图像数据， 获取多个正样本和多个负样本， 其中， 所述正样本为所述方形 图形数据， 所述负 样本为全白图像和由随机值组成的图像； 将正样本和负样本的排序打乱后， 通过神经网络算法对所述多个正样本和所述多个负 样本进行训练， 生成至少一个行为模型。 4.根据权利要求3所述的基于机器学习的数据库 行为分析方法， 其特征在于， 所述行为 模型至少包括用户行为模型、 时间窗口模型和组合标识行为模型中的一种或多种。 5.根据权利要求4所述的基于机器学习的数据库 行为分析方法， 其特征在于， 所述负样 本还包括不同用户session的行为图像、 同时段不同数据库的行为图像， 以及组合标识中不 相同的组合标识的行为图像。 6.根据权利要求1所述的基于机器学习的数据库 行为分析方法， 其特征在于， 所述抓取 到一组sql数据的步骤 包括： 截取数据范围满足预设大小的数据 序列， 以抓取 得到sql数据。 7.根据权利要求1所述的基于机器学习的数据库 行为分析方法， 其特征在于， 从所述行 为矩阵中截取 预设大小的方 形图形数据的步骤 包括： 若不能截取到预设大小的方 形图形数据， 则补空位， 得到方 形图形数据； 将该方形图形数据保存至训练目录中， 且该方形图形数据和训练得到的行为模型在同 一训练目录中。 8.一种基于 机器学习的数据库行为分析系统， 其特 征在于， 包括： 数据抓取模块， 用于当抓取到一组sql数据后， 对所述sql数据进行预处理， 根据策略规 则和多个编码 字典生成所述sql数据对应的行为矩阵， 其中， 所述sql数据包括至少一个 sql 语句； 归一化处理模块， 用于对所述行为矩阵进行图像像素归一化处理后， 从所述行为矩阵 中截取预设大小的方 形图形数据， 并将所述方 形图形数据转换为 黑白图像数据； 行为模型训练模块， 用于通过神经网络算法对所述黑 白图像数据进行训练， 生成至少权　利　要　求　书 1/2 页 2 CN 115510032 A 2一个行为模型， 所述行为模型用于实时识别数据库访问行为及异常行为检测。 9.一种电子设备， 其特 征在于， 包括： 存储器， 用于存 储一个或多个程序； 处理器； 当所述一个或多个程序被所述处理器执行时， 实现如权利要求1 ‑7中任一项所述的方 法。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 该计算机程序被 处理器执行时实现如权利要求1 ‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115510032 A 3