密钥使用行为建模

行为建模这件事，说白了就是给密钥的日常使用画一张“标准画像”。

我最早做密钥审计时，以为只要统计每天调用了多少次接口就行。后来发现，那点数据根本不够用。真正的行为轮廓，得从三个维度去抠：正常长什么样、使用模式怎么分、时间规律怎么抓。

2.1 正常行为轮廓定义

正常行为轮廓，就是密钥在一段“干净”窗口内表现出来的统计特征。这个窗口通常选系统稳定期，没有攻击，没有误操作。

我个人习惯至少收集7天的数据，覆盖工作日和周末。如果业务有促销周期，还得把大促日的流量也加进去。

关键属性

特征维度	描述	典型指标
调用频率	单位时间内的使用次数	均值、峰值、95分位值
调用来源	IP、设备、进程、用户	来源分布、新来源占比
操作类型	加密、解密、签名、验签	各类型占比、操作序列
调用间隔	两次使用之间的时间差	间隔分布、周期性
返回值特征	成功/失败比例，错误码	异常返回占比、错误类型

轮廓可以用统计模型描述，比如多变量高斯分布，或者更简单的分位数区间。你在代码里拿到一组特征向量后，直接算马氏距离，就能知道当前行为和正常轮廓偏离多少。

# 伪代码示意：更新正常轮廓
def update_profile(key_id, features):
    # features: [freq, src_entropy, interval_mean, error_rate]
    if profile.count < MIN_WINDOW:
        profile.append(features)
    else:
        # 用滑动窗口更新均值和协方差
        profile.mean = (1-alpha)*profile.mean + alpha*features
        profile.cov = (1-alpha)*profile.cov + alpha*(features-profile.mean)^T ...

2.2 使用模式分类

同一把密钥在不同场景下的行为完全不同。你想想看，密钥用在API网关和用在数据库加密，特征能一样吗？所以我们需要先给使用模式分个类。

常见的模式有这么几种：

• 高频批量型：短时间内大量调用，间隔均匀。比如支付网关的签名服务。
• 低频触发型：由外部事件触发，调用时间随机。比如用户手动上传文件时的加密操作。
• 周期轮询型：定时任务调用，间隔固定。比如证书状态的定时更新。
• 持续性长连接型：密钥用于TLS会话，单次连接内多次使用。

我在项目中遇到过一个案例：某密钥的调用量平时只有几十次/小时，突然某天飙到几万次/小时。按常规算法，这肯定是异常。但细看模式，发现它是低频触发型，当天有一个批量导入任务，正好命中这个密钥。如果没做模式分类，就会误报。

模式识别方法

1. 聚类：用K-means或DBSCAN把调用记录按特征向量分组。
2. 时序模式匹配：用DTW（动态时间规整）比对调用间隔序列。
3. 规则引擎：直接根据频率和调用源打标签。

2.3 时间维度建模

时间，是行为建模里最容易忽略但又最重要的维度。

举个例子：某密钥白天调用量很高，晚上几乎为零。如果你拿全天的平均频率去算阈值，晚上的零调用会被当成正常，但白天的正常波动反而可能触发告警。这显然不合理。

所以，我们必须把时间维度拆开做建模。

三种常见的时间切片策略

策略	做法	适用场景
小时级切片	按小时建立24个独立轮廓	业务有明显昼夜差异
工作日/周末分离	两套轮廓分别训练	业务在周末明显缩量
滑动时间窗	以当前时间为中心取前后30分钟的数据	需要有平滑过渡的场景

我个人比较推荐“小时+星期”二维矩阵。比如周一10:00-11:00、周二10:00-11:00……每个时间片单独建模。这样既保留了周期性，也能捕获每日的不同模式。

# 时间切片建模示意
profile_matrix = {}  # 键: (weekday, hour)
for record in training_data:
    key = (record.timestamp.weekday(), record.timestamp.hour)
    profile_matrix[key].update(record.features)

def detect(key_id, current_record):
    key = (current_record.weekday(), current_record.hour)
    profile = profile_matrix.get(key)
    # 用轮廓计算异常得分...

本章知识体系总览

下面这张图把行为建模的完整链路串起来了。你可以看到，从原始数据到异常得分，每一步都离不开轮廓、模式和时间。

在实际部署的时候，我习惯先跑一周纯日志收集，不触发任何告警。等轮廓建立起来，再用离线回测验证效果。别急着上生产，你想想看，要是新密钥上来轮廓还是空的，那不等于裸奔吗？