隨著(zhu)業(ye)(ye)務(wu)數字化變革的加(jia)速，銀(yin)行業(ye)(ye)面臨的內(nei)(nei)外部(bu)(bu)(bu)信(xin)息安(an)全挑(tiao)戰(zhan)愈發嚴(yan)(yan)峻，其(qi)中內(nei)(nei)部(bu)(bu)(bu)挑(tiao)戰(zhan)主要源于(yu)(yu)銀(yin)行內(nei)(nei)控(kong)和(he)各項(xiang)管理要求的日益嚴(yan)(yan)格，尤其(qi)是近年來(lai)相關部(bu)(bu)(bu)門(men)對(dui)(dui)于(yu)(yu)個人信(xin)息安(an)全保護(hu)要求的不斷(duan)(duan)升(sheng)級。相對(dui)(dui)而言，銀(yin)行對(dui)(dui)于(yu)(yu)內(nei)(nei)部(bu)(bu)(bu)人員(yuan)(yuan)違(wei)規(gui)行為的防范(fan)意(yi)識較為薄弱，對(dui)(dui)于(yu)(yu)拍照和(he)抄寫(xie)內(nei)(nei)部(bu)(bu)(bu)信(xin)息等違(wei)規(gui)行為缺少有(you)效的技術管理手段。雖(sui)然(ran)一(yi)些監控(kong)審(shen)(shen)計(ji)類的產(chan)品可用(yong)于(yu)(yu)智能監測員(yuan)(yuan)工行為，但欠缺對(dui)(dui)系統內(nei)(nei)部(bu)(bu)(bu)數據的審(shen)(shen)計(ji)能力，以(yi)及對(dui)(dui)于(yu)(yu)員(yuan)(yuan)工行為與系統操(cao)作(zuo)的關聯分析，導致無法形成完整的證據鏈。因此(ci)，如何同步采集(ji)人員(yuan)(yuan)行為和(he)終端的操(cao)作(zuo)行為，并將這兩種行為進行有(you)效結(jie)合以(yi)快速阻斷(duan)(duan)違(wei)規(gui)行為信(xin)息，是業(ye)(ye)界亟待(dai)解(jie)決的問題。

近期，上海浦東發展銀行(xing)信(xin)(xin)用(yong)卡中(zhong)心(以(yi)(yi)下簡稱(cheng)“浦發卡中(zhong)心”)采用(yong)人工(gong)(gong)智(zhi)能和(he)計(ji)算機視(shi)覺技(ji)術(shu)研發了(le)智(zhi)能動作(zuo)(zuo)(zuo)行(xing)為(wei)識(shi)別(bie)(bie)審(shen)計(ji)系(xi)統(tong)，實現了(le)監(jian)控(kong)和(he)分(fen)析人員行(xing)為(wei)以(yi)(yi)及終(zhong)端(duan)敏感操作(zuo)(zuo)(zuo)的(de)(de)(de)聯合審(shen)計(ji)。這一系(xi)統(tong)整合了(le)多模態數(shu)據檢索(suo)技(ji)術(shu)，能夠捕獲員工(gong)(gong)在工(gong)(gong)作(zuo)(zuo)(zuo)過程(cheng)中(zhong)的(de)(de)(de)異(yi)常行(xing)為(wei)，對(dui)員工(gong)(gong)可(ke)能訪問或處理的(de)(de)(de)敏感數(shu)據也同步進行(xing)內容(rong)識(shi)別(bie)(bie)監(jian)測。該系(xi)統(tong)適用(yong)于(yu)(yu)根據監(jian)管要求(qiu)(qiu)和(he)行(xing)內制(zhi)度需要對(dui)PC終(zhong)端(duan)行(xing)為(wei)和(he)辦(ban)公人員動作(zuo)(zuo)(zuo)行(xing)為(wei)進行(xing)整體監(jian)控(kong)的(de)(de)(de)高安全(quan)級別(bie)(bie)工(gong)(gong)作(zuo)(zuo)(zuo)場景(jing)，如容(rong)易造成企業(ye)信(xin)(xin)息或其(qi)(qi)他重要信(xin)(xin)息泄露的(de)(de)(de)業(ye)務環(huan)境(jing)。尤其(qi)(qi)在《中(zhong)華人民共(gong)和(he)國個人信(xin)(xin)息保護(hu)(hu)法》頒(ban)布后，相關(guan)部(bu)門(men)對(dui)于(yu)(yu)數(shu)據使用(yong)環(huan)節的(de)(de)(de)要求(qiu)(qiu)更加嚴格，銀行(xing)在數(shu)據操作(zuo)(zuo)(zuo)和(he)系(xi)統(tong)維(wei)護(hu)(hu)等關(guan)鍵領域的(de)(de)(de)安全(quan)要求(qiu)(qiu)更高。

智(zhi)能(neng)(neng)動作行為識(shi)(shi)別審計(ji)系統采用(yong)SpringBoot、Kafka、Redis等主流技術(shu)，以確(que)保高(gao)性(xing)能(neng)(neng)和(he)高(gao)并發(fa)處理。其中SpringBoot應用(yong)于Web后端(duan)搭建(jian)，為用(yong)戶提(ti)供Java后端(duan)基礎功能(neng)(neng)的(de)(de)(de)接口(kou)服務，提(ti)高(gao)程(cheng)序的(de)(de)(de)開發(fa)效率(lv);Kafka作為消息(xi)中間(jian)件，負責日(ri)(ri)志(zhi)、告警等消息(xi)的(de)(de)(de)轉發(fa)，通過消息(xi)隊(dui)列、消息(xi)確(que)認機(ji)(ji)制，保障高(gao)并發(fa)場景(jing)下海量日(ri)(ri)志(zhi)、告警消息(xi)的(de)(de)(de)高(gao)速轉發(fa)及數據的(de)(de)(de)完整性(xing);Redis作為緩存(cun)數據庫，主要負責對平(ping)臺用(yong)戶登錄信息(xi)、告警、圖(tu)片等數據進行緩存(cun)，通過Redis的(de)(de)(de)內(nei)存(cun)緩存(cun)機(ji)(ji)制，可提(ti)高(gao)告警、圖(tu)片等數據在接口(kou)調用(yong)時(shi)的(de)(de)(de)讀寫速度，縮短單(dan)個(ge)接口(kou)的(de)(de)(de)調用(yong)時(shi)長，提(ti)升高(gao)并發(fa)的(de)(de)(de)性(xing)能(neng)(neng)。智(zhi)能(neng)(neng)動作行為識(shi)(shi)別審計(ji)系統技術(shu)架構如(ru)圖(tu)1所示。

圖1 智能動作行為識別審計系統技術架構

智(zhi)能(neng)(neng)動作行(xing)(xing)為(wei)識別(bie)(bie)(bie)審計(ji)系統(tong)應用平臺由客(ke)戶(hu)端和后(hou)(hou)端服(fu)(fu)(fu)務(wu)組成，其(qi)中客(ke)戶(hu)端安(an)裝(zhuang)在前端的終端側，根(gen)據(ju)后(hou)(hou)臺配(pei)置(zhi)策略操控(kong)終端上安(an)裝(zhuang)的攝像頭硬件;后(hou)(hou)端服(fu)(fu)(fu)務(wu)由管理服(fu)(fu)(fu)務(wu)器(qi)、AI服(fu)(fu)(fu)務(wu)器(qi)和流(liu)媒體(ti)服(fu)(fu)(fu)務(wu)器(qi)組成。客(ke)戶(hu)端負責(ze)人(ren)員行(xing)(xing)為(wei)視頻數據(ju)、終端錄屏數據(ju)以及文本日志數據(ju)的采集與(yu)發送;后(hou)(hou)端服(fu)(fu)(fu)務(wu)中的流(liu)媒體(ti)服(fu)(fu)(fu)務(wu)器(qi)負責(ze)客(ke)戶(hu)端多種數據(ju)的接收(shou)，AI服(fu)(fu)(fu)務(wu)器(qi)針對視頻數據(ju)進行(xing)(xing)智(zhi)能(neng)(neng)識別(bie)(bie)(bie)，管理服(fu)(fu)(fu)務(wu)器(qi)對策略配(pei)置(zhi)、監控(kong)數據(ju)、智(zhi)能(neng)(neng)識別(bie)(bie)(bie)數據(ju)進行(xing)(xing)檢索與(yu)查看。智(zhi)能(neng)(neng)動作行(xing)(xing)為(wei)識別(bie)(bie)(bie)審計(ji)系統(tong)應用架構如(ru)圖(tu)2所示(shi)。

圖2 智能動作行為識別審計系統應用架構

智(zhi)能動(dong)(dong)作行(xing)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)識別審計(ji)系統主要(yao)采集(ji)終端(duan)(duan)的(de)桌(zhuo)面視(shi)頻、攝像頭視(shi)頻、終端(duan)(duan)行(xing)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)文(wen)本(ben)日(ri)志(zhi)(zhi)(鼠標點(dian)擊、鍵盤、應用進程等(deng)，根(gen)據錄(lu)屏策略控制采集(ji)范圍)。以終端(duan)(duan)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)Intel Xeon Gold 5218處理(li)器、主頻率(lv)(lv)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)2.30GHz，內存為(wei)(wei)(wei)(wei)(wei)(wei)(wei)32G，操作系統為(wei)(wei)(wei)(wei)(wei)(wei)(wei)Windows Server 2016為(wei)(wei)(wei)(wei)(wei)(wei)(wei)例，在對(dui)(dui)終端(duan)(duan)性能進行(xing)平衡(heng)考(kao)量(liang)時(shi)(shi)，在滿足動(dong)(dong)作識別要(yao)求的(de)前提下，調(diao)整錄(lu)屏畫(hua)質為(wei)(wei)(wei)(wei)(wei)(wei)(wei)“低”，錄(lu)像攝像頭分(fen)辨率(lv)(lv)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)640×480ppi，幀率(lv)(lv)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)15fps，此時(shi)(shi)CPU占(zhan)用約(yue)14%，內存占(zhan)用約(yue)1%。在對(dui)(dui)數據傳(chuan)輸進行(xing)考(kao)量(liang)時(shi)(shi)，將終端(duan)(duan)錄(lu)像分(fen)辨率(lv)(lv)調(diao)整為(wei)(wei)(wei)(wei)(wei)(wei)(wei)480ppi、錄(lu)屏分(fen)辨率(lv)(lv)調(diao)整為(wei)(wei)(wei)(wei)(wei)(wei)(wei)1080ppi，行(xing)為(wei)(wei)(wei)(wei)(wei)(wei)(wei)日(ri)志(zhi)(zhi)傳(chuan)輸速率(lv)(lv)按照1條/秒，網絡(luo)帶(dai)寬總計(ji)需要(yao)約(yue)2Mbps。

智能(neng)(neng)(neng)(neng)動作行(xing)為識別(bie)(bie)審(shen)計系統應(ying)用(yong)組成模塊包(bao)括(kuo)智能(neng)(neng)(neng)(neng)行(xing)為檢(jian)測模塊、智能(neng)(neng)(neng)(neng)終端違規識別(bie)(bie)模塊、智能(neng)(neng)(neng)(neng)聯(lian)合檢(jian)測模塊、數據(ju)處(chu)理模塊、智能(neng)(neng)(neng)(neng)告(gao)警與取證模塊等(deng)五個(ge)(ge)模塊，每個(ge)(ge)模塊具有不同(tong)的功能(neng)(neng)(neng)(neng)并(bing)相互關聯(lian)、協同(tong)處(chu)置。

(1)智能行為檢測模塊

智能行為檢測模塊主要用于快速(su)、準確(que)識別錄像、影像中辦公人員的(de)異常(chang)行為，如拍(pai)照、伏(fu)案抄寫、人員離(li)崗等。

智能動作行(xing)(xing)為(wei)識別(bie)(bie)審(shen)計系(xi)(xi)統(tong)采(cai)用(yong)(yong)計算(suan)耗時短、識別(bie)(bie)精度高以(yi)及便于平臺部署的(de)(de)(de)(de)YOLO5算(suan)法(fa)(fa)。在訓(xun)(xun)練(lian)數(shu)(shu)據(ju)(ju)(ju)(ju)集(ji)方面(mian)，采(cai)用(yong)(yong)“公(gong)(gong)開數(shu)(shu)據(ju)(ju)(ju)(ju)+自(zi)有采(cai)集(ji)數(shu)(shu)據(ju)(ju)(ju)(ju)”相結(jie)合的(de)(de)(de)(de)方式(shi)，公(gong)(gong)開數(shu)(shu)據(ju)(ju)(ju)(ju)使用(yong)(yong)COCO、Object 365等被行(xing)(xing)業認可的(de)(de)(de)(de)數(shu)(shu)據(ju)(ju)(ju)(ju)集(ji)的(de)(de)(de)(de)公(gong)(gong)開數(shu)(shu)據(ju)(ju)(ju)(ju)，保(bao)障了訓(xun)(xun)練(lian)樣本的(de)(de)(de)(de)有效性；自(zi)有采(cai)集(ji)數(shu)(shu)據(ju)(ju)(ju)(ju)結(jie)合實際的(de)(de)(de)(de)辦(ban)公(gong)(gong)場景及模(mo)(mo)(mo)擬的(de)(de)(de)(de)違(wei)規行(xing)(xing)為(wei)場景，以(yi)保(bao)障數(shu)(shu)據(ju)(ju)(ju)(ju)的(de)(de)(de)(de)適用(yong)(yong)性。在模(mo)(mo)(mo)型訓(xun)(xun)練(lian)方面(mian)，選取YOLO5n-v6的(de)(de)(de)(de)模(mo)(mo)(mo)型結(jie)構(gou)，采(cai)用(yong)(yong)“預訓(xun)(xun)練(lian)+微(wei)調(diao)”的(de)(de)(de)(de)方式(shi)，通(tong)過公(gong)(gong)開數(shu)(shu)據(ju)(ju)(ju)(ju)進(jin)行(xing)(xing)模(mo)(mo)(mo)型預訓(xun)(xun)練(lian)，將自(zi)有采(cai)集(ji)數(shu)(shu)據(ju)(ju)(ju)(ju)在預訓(xun)(xun)練(lian)的(de)(de)(de)(de)基礎上進(jin)行(xing)(xing)微(wei)調(diao)，在微(wei)調(diao)過程中不凍(dong)結(jie)任何學(xue)習層(ceng)。基于YOLO5算(suan)法(fa)(fa)，系(xi)(xi)統(tong)構(gou)建了拍照(zhao)行(xing)(xing)為(wei)、伏案抄寫、人員離崗三(san)個異(yi)常行(xing)(xing)為(wei)識別(bie)(bie)模(mo)(mo)(mo)型并進(jin)行(xing)(xing)多輪模(mo)(mo)(mo)型調(diao)優(you)，經(jing)實際應用(yong)(yong)檢測，三(san)個模(mo)(mo)(mo)型的(de)(de)(de)(de)識別(bie)(bie)準確率均(jun)在95%以(yi)上。

(2)智能終端違規識別模塊

智(zhi)能終端(duan)違規識(shi)(shi)(shi)別(bie)(bie)模塊主(zhu)要記錄(lu)(lu)(lu)并識(shi)(shi)(shi)別(bie)(bie)人員(yuan)在(zai)桌面(mian)終端(duan)的異(yi)常(chang)(chang)行(xing)(xing)為(wei)，基(ji)于OCR技(ji)(ji)術(shu)將(jiang)人員(yuan)桌面(mian)終端(duan)的錄(lu)(lu)(lu)屏記錄(lu)(lu)(lu)轉化為(wei)文本(ben)內容進行(xing)(xing)存儲，同時記錄(lu)(lu)(lu)人員(yuan)的鍵盤、鼠標等操(cao)(cao)作(zuo)(zuo)行(xing)(xing)為(wei)日志(zhi)。將(jiang)錄(lu)(lu)(lu)屏數(shu)(shu)據(ju)以(yi)及(ji)操(cao)(cao)作(zuo)(zuo)日志(zhi)數(shu)(shu)據(ju)相結合(he)，利用(yong)(yong)自然語言(yan)處理、機器學(xue)習(xi)、深(shen)度學(xue)習(xi)技(ji)(ji)術(shu)，并結合(he)浦(pu)發(fa)卡中心(xin)實際應用(yong)(yong)需(xu)求，覆蓋敏(min)感(gan)(gan)數(shu)(shu)據(ju)訪問高(gao)危操(cao)(cao)作(zuo)(zuo)及(ji)異(yi)常(chang)(chang)操(cao)(cao)作(zuo)(zuo)兩類(lei)行(xing)(xing)為(wei)場景。在(zai)敏(min)感(gan)(gan)數(shu)(shu)據(ju)訪問方(fang)(fang)面(mian)，采(cai)用(yong)(yong)命名實體識(shi)(shi)(shi)別(bie)(bie)(NER)技(ji)(ji)術(shu)和正則匹配法識(shi)(shi)(shi)別(bie)(bie)文本(ben)中的敏(min)感(gan)(gan)數(shu)(shu)據(ju)及(ji)敏(min)感(gan)(gan)數(shu)(shu)據(ju)類(lei)型;在(zai)異(yi)常(chang)(chang)操(cao)(cao)作(zuo)(zuo)行(xing)(xing)為(wei)方(fang)(fang)面(mian)，采(cai)用(yong)(yong)核(he)密度估計算法(KDE)識(shi)(shi)(shi)別(bie)(bie)操(cao)(cao)作(zuo)(zuo)事件日志(zhi)反映的異(yi)常(chang)(chang)操(cao)(cao)作(zuo)(zuo)行(xing)(xing)為(wei)和高(gao)危操(cao)(cao)作(zuo)(zuo)行(xing)(xing)為(wei)。終端(duan)違規識(shi)(shi)(shi)別(bie)(bie)邏輯如圖3所(suo)示。

圖3 終端違規識別邏輯

(3)智能聯合檢測模塊

智能(neng)聯(lian)(lian)合(he)(he)檢(jian)(jian)測(ce)模(mo)(mo)(mo)塊(kuai)基于智能(neng)行(xing)(xing)為(wei)檢(jian)(jian)測(ce)模(mo)(mo)(mo)塊(kuai)與(yu)智能(neng)終(zhong)端違(wei)(wei)規(gui)(gui)(gui)識(shi)別模(mo)(mo)(mo)塊(kuai)的識(shi)別過(guo)程及結果數(shu)據進(jin)(jin)行(xing)(xing)聯(lian)(lian)動(dong)識(shi)別檢(jian)(jian)測(ce)，主要(yao)解(jie)決智能(neng)終(zhong)端違(wei)(wei)規(gui)(gui)(gui)識(shi)別模(mo)(mo)(mo)塊(kuai)無法準(zhun)確認定違(wei)(wei)規(gui)(gui)(gui)事件等問題。智能(neng)聯(lian)(lian)合(he)(he)檢(jian)(jian)測(ce)模(mo)(mo)(mo)型(xing)基于桌面終(zhong)端以及員工行(xing)(xing)為(wei)數(shu)據，采用(yong)時(shi)間(jian)序列預(yu)測(ce)模(mo)(mo)(mo)型(xing)，對員工異常(chang)違(wei)(wei)規(gui)(gui)(gui)行(xing)(xing)為(wei)進(jin)(jin)行(xing)(xing)識(shi)別與(yu)判定，主要(yao)識(shi)別的敏感數(shu)據泄(xie)露(lu)核心場景(jing)包括“敏感數(shu)據訪問+高保密網(wang)站、高保密文檔”“拍照(zhao)、伏案抄寫+離(li)開(kai)未鎖屏(ping)”等。經實際驗證測(ce)試，智能(neng)聯(lian)(lian)合(he)(he)檢(jian)(jian)測(ce)模(mo)(mo)(mo)塊(kuai)識(shi)別的綜合(he)(he)準(zhun)確率(lv)達95%以上。此外，智能(neng)聯(lian)(lian)合(he)(he)檢(jian)(jian)測(ce)模(mo)(mo)(mo)塊(kuai)建立(li)了系統協同機制與(yu)功能(neng)擴展機制，未來可以快速地納入(ru)新的監測(ce)項目和(he)監測(ce)場景(jing)，有助于銀行(xing)(xing)對合(he)(he)規(gui)(gui)(gui)要(yao)求的即時(shi)響應(ying)。

(4)AI數據處理模塊

AI數(shu)據(ju)處理(li)模塊的數(shu)據(ju)處理(li)速率可達到(dao)每(mei)秒(miao)800張圖(tu)片，能夠同時支持(chi)160臺終端進行(xing)數(shu)據(ju)采集(ji)、分析，即每(mei)個終端每(mei)秒(miao)可采集(ji)、分析5張圖(tu)像的數(shu)據(ju)，且(qie)不會產生數(shu)據(ju)堆積(ji)的風險(xian)，從(cong)而增強了智能動作行(xing)為識別審計系統整體的處理(li)速度和準確率。

(5)智能告警與取證模塊

智(zhi)(zhi)能(neng)告警(jing)與(yu)(yu)取(qu)證(zheng)模(mo)塊(kuai)主要用(yong)于實(shi)現(xian)違(wei)(wei)(wei)規(gui)(gui)事件阻斷(duan)、告警(jing)信息(xi)觸(chu)達(da)以及證(zheng)據鏈留(liu)(liu)存(cun)與(yu)(yu)取(qu)證(zheng)。該(gai)模(mo)塊(kuai)通過彈屏等方式對操作人員進(jin)行告警(jing)并(bing)阻斷(duan)其違(wei)(wei)(wei)規(gui)(gui)行為，基(ji)于違(wei)(wei)(wei)規(gui)(gui)告警(jing)事件歸集、整理相關證(zheng)據鏈并(bing)進(jin)行留(liu)(liu)存(cun)，且支持后續(xu)一鍵調閱。智(zhi)(zhi)能(neng)告警(jing)與(yu)(yu)取(qu)證(zheng)模(mo)塊(kuai)下(xia)的告警(jing)信息(xi)觸(chu)達(da)功能(neng)模(mo)塊(kuai)將在違(wei)(wei)(wei)規(gui)(gui)事件被識別后的第一時間將相關信息(xi)發送給相關負責(ze)人，便于其對違(wei)(wei)(wei)規(gui)(gui)事件進(jin)行及時處理。

智(zhi)能動作(zuo)行為(wei)識(shi)別(bie)審(shen)計系(xi)統(tong)可迅速識(shi)別(bie)潛(qian)在(zai)的(de)敏感數據訪問或信息泄露(lu)行為(wei)，增強了銀行在(zai)人(ren)員(yuan)違規(gui)行為(wei)方面的(de)防護能力。一(yi)旦(dan)系(xi)統(tong)檢測到異(yi)常(chang)行為(wei)，會立即發(fa)出告警并采取必要措施，以屏(ping)幕錄(lu)像和(he)人(ren)員(yuan)錄(lu)像的(de)形式(shi)記錄(lu)和(he)定(ding)位(wei)違規(gui)操作(zuo)，以便(bian)銀行進行后(hou)續的(de)調查(cha)和(he)取證。

智(zhi)能動作行為識別審計系統(tong)為浦發卡中(zhong)心(xin)提供(gong)了便捷的人(ren)員監(jian)控工(gong)具，并可根據監(jian)測需要對系統(tong)進行功能拓展，以(yi)適應不斷變化(hua)的監(jian)管環境，使浦發卡中(zhong)心(xin)能夠(gou)快速(su)響應合規要求，提升(sheng)信(xin)息安全審計工(gong)作的智(zhi)能化(hua)和便捷性，減(jian)少傳統(tong)管理模式中(zhong)人(ren)工(gong)執行的工(gong)作量。

智能動作行為識別審計(ji)系統將YOLO5算(suan)法等(deng)成(cheng)熟的先進技術應用在內控管理(li)領域，不僅降低了(le)數據(ju)泄露的風險，而(er)且有效提升(sheng)了(le)銀行的信(xin)息(xi)安全(quan)防護水平(ping)和內部威脅防范能力(li)。