一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)方法和裝置的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全技術(shù)領(lǐng)域的數(shù)據(jù)庫(kù)防火墻業(yè)務(wù)，尤其涉及一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)方法和裝置。
【背景技術(shù)】
[0002]現(xiàn)有邊界防御安全產(chǎn)品和解決方案均采用被動(dòng)防御技術(shù)，無(wú)法從根本上解決各組織數(shù)據(jù)庫(kù)數(shù)據(jù)所面臨的安全威脅和風(fēng)險(xiǎn)，解決數(shù)據(jù)庫(kù)數(shù)據(jù)安全需要專用的數(shù)據(jù)庫(kù)安全設(shè)備從根本上解決數(shù)據(jù)安全問(wèn)題。由此數(shù)據(jù)庫(kù)防火墻這一種數(shù)據(jù)庫(kù)安全主動(dòng)防御技術(shù)應(yīng)運(yùn)而生，該系統(tǒng)部署于應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)之間，用戶必須通過(guò)該系統(tǒng)才能對(duì)數(shù)據(jù)庫(kù)進(jìn)行訪問(wèn)或管理。數(shù)據(jù)庫(kù)防火墻所采用的主動(dòng)防御技術(shù)能夠主動(dòng)實(shí)時(shí)監(jiān)控、識(shí)別、告警、阻擋繞過(guò)企業(yè)網(wǎng)絡(luò)邊界防護(hù)的外部數(shù)據(jù)攻擊、來(lái)自于內(nèi)部的高權(quán)限用戶的數(shù)據(jù)竊取、破壞、損壞的等，從數(shù)據(jù)庫(kù)SQL語(yǔ)句精細(xì)化控制的技術(shù)層面，提供一種主動(dòng)安全防御措施，并且，結(jié)合獨(dú)立于數(shù)據(jù)庫(kù)的安全訪問(wèn)控制規(guī)則，幫助用戶應(yīng)對(duì)來(lái)自內(nèi)部和外部的數(shù)據(jù)安全威脅。
[0003]針對(duì)數(shù)據(jù)庫(kù)防火墻的中的從數(shù)據(jù)庫(kù)SQL語(yǔ)句精細(xì)化控制的技術(shù)，主要包含SQL語(yǔ)句的精準(zhǔn)解析以及接觸后的告警或阻斷處理。專利(公開(kāi)號(hào)為:CN103778185A) “一種用于數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)的SQL語(yǔ)句解析方法和系統(tǒng)”提供了根據(jù)SQL語(yǔ)句中關(guān)鍵的信息進(jìn)行了審計(jì)，但沒(méi)有包含會(huì)話中資源賬號(hào)，客戶端主機(jī)，數(shù)據(jù)庫(kù)名等重要信息，且沒(méi)能對(duì)于非法操作進(jìn)行阻斷。另外，在現(xiàn)有的一些數(shù)據(jù)庫(kù)審計(jì)方法中，對(duì)于危險(xiǎn)的SQL語(yǔ)句進(jìn)行了阻斷，但關(guān)閉了會(huì)話，導(dǎo)致用戶的其他合法的SQL語(yǔ)句也無(wú)法執(zhí)行，因此，現(xiàn)在亟需一種既能對(duì)非法操作進(jìn)行阻斷，又能不中斷會(huì)話鏈接的數(shù)據(jù)庫(kù)審計(jì)方法。

【發(fā)明內(nèi)容】

[0004]為了解決上述問(wèn)題，本發(fā)明提出了一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)方法和裝置，能夠保證對(duì)于特定的結(jié)構(gòu)化查詢語(yǔ)言SQL語(yǔ)句的阻斷，而不會(huì)斷開(kāi)整個(gè)鏈接。
[0005]為了達(dá)到上述目的，本發(fā)明提出了一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)方法，該方法包括:
[0006]審計(jì)引擎將數(shù)據(jù)庫(kù)事件的數(shù)據(jù)庫(kù)操作事件送入專用的結(jié)構(gòu)化查詢語(yǔ)言SQL語(yǔ)句解析模塊。
[0007]SQL語(yǔ)句解析模塊對(duì)數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類；并將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包發(fā)送至檢測(cè)模塊。
[0008]檢測(cè)模塊將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包與審計(jì)策略生成模塊中預(yù)定義的阻斷策略相比較；檢出SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包中的非法關(guān)鍵信息和合法關(guān)鍵信息。
[0009]檢測(cè)模塊將非法關(guān)鍵信息發(fā)送至數(shù)據(jù)包修改模塊進(jìn)行修改，并將合法關(guān)鍵信息發(fā)送至數(shù)據(jù)包轉(zhuǎn)發(fā)模塊進(jìn)行轉(zhuǎn)發(fā)。
[0010]數(shù)據(jù)包修改模塊將非法關(guān)鍵信息修改為合法關(guān)鍵信息后發(fā)送至數(shù)據(jù)包轉(zhuǎn)發(fā)模塊進(jìn)行轉(zhuǎn)發(fā)。
[0011]優(yōu)選地，數(shù)據(jù)包修改模塊對(duì)非法關(guān)鍵信息進(jìn)行修改是指:數(shù)據(jù)包修改模塊根據(jù)先前協(xié)議解析記錄的數(shù)據(jù)包中SQL語(yǔ)句的起始位置，修改SQL語(yǔ)句的一個(gè)或多個(gè)字段，構(gòu)造出新的數(shù)據(jù)包。
[0012]優(yōu)選地，SQL語(yǔ)句解析模塊對(duì)所述數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類是通過(guò)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的高層內(nèi)容進(jìn)行細(xì)粒度的權(quán)限控制和過(guò)濾實(shí)現(xiàn)的。
[0013]優(yōu)選地，SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包包括以下信息:SQL語(yǔ)句字段中的表名，目標(biāo)列名，條件列名，條件列值，實(shí)例名。
[0014]優(yōu)選地，阻斷策略是指:審計(jì)策略生成模塊根據(jù)用戶的使用場(chǎng)景信息對(duì)所述SQL語(yǔ)句的字段包含的客戶端程序名、數(shù)據(jù)庫(kù)、表、命令、目標(biāo)列名、條件列名、條件列值定義的規(guī)則集。
[0015]本發(fā)明還提出一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)裝置，該裝置包括:審計(jì)引擎、結(jié)構(gòu)化查詢語(yǔ)言SQL語(yǔ)句解析模塊、檢測(cè)模塊、審計(jì)策略生成模塊、數(shù)據(jù)包修改模塊、數(shù)據(jù)包轉(zhuǎn)發(fā)模塊。
[0016]審計(jì)引擎，用于將數(shù)據(jù)庫(kù)事件的數(shù)據(jù)庫(kù)操作事件送入專用的所述SQL語(yǔ)句解析模塊。
[0017]SQL語(yǔ)句解析模塊，用于對(duì)數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類；并將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包發(fā)送至檢測(cè)模塊。
[0018]檢測(cè)模塊，用于將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包與阻斷策略相比較；檢出SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包中的非法關(guān)鍵信息和合法關(guān)鍵信息；還用于將非法關(guān)鍵信息發(fā)送至數(shù)據(jù)包修改模塊，并將合法關(guān)鍵信息發(fā)送至數(shù)據(jù)包轉(zhuǎn)發(fā)模塊。
[0019]審計(jì)策略生成模塊，用于預(yù)定義阻斷策略。
[0020]數(shù)據(jù)包修改模塊，用于將非法關(guān)鍵信息修改為合法關(guān)鍵信息后發(fā)送至數(shù)據(jù)包轉(zhuǎn)發(fā)模塊。
[0021 ] 數(shù)據(jù)包轉(zhuǎn)發(fā)模塊用于對(duì)合法關(guān)鍵信息進(jìn)行轉(zhuǎn)發(fā)。
[0022]優(yōu)選地，數(shù)據(jù)包修改模塊對(duì)非法關(guān)鍵信息進(jìn)行修改是指:數(shù)據(jù)包修改模塊根據(jù)先前協(xié)議解析記錄的數(shù)據(jù)包中所述SQL語(yǔ)句的起始位置，修改SQL語(yǔ)句的一個(gè)或多個(gè)字段，構(gòu)造出新的數(shù)據(jù)包。
[0023]優(yōu)選地，SQL語(yǔ)句解析模塊對(duì)數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類是通過(guò)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的高層內(nèi)容進(jìn)行細(xì)粒度的權(quán)限控制和過(guò)濾實(shí)現(xiàn)的。
[0024]優(yōu)選地，SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包包括以下信息:SQL語(yǔ)句字段中的表名，目標(biāo)列名，條件列名，條件列值，實(shí)例名。
[0025]優(yōu)選地，阻斷策略是指:審計(jì)策略生成模塊根據(jù)用戶的使用場(chǎng)景信息對(duì)所述SQL語(yǔ)句的字段包含的客戶端程序名、數(shù)據(jù)庫(kù)、表、命令、目標(biāo)列名、條件列名、條件列值定義的規(guī)則集。
[0026]與現(xiàn)有技術(shù)相比，本發(fā)明包括:審計(jì)引擎將數(shù)據(jù)庫(kù)事件的數(shù)據(jù)庫(kù)操作事件送入專用的SQL語(yǔ)句解析模塊；對(duì)數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類；并將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包發(fā)送至檢測(cè)模塊；檢測(cè)模塊將所述SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包與審計(jì)策略生成模塊中預(yù)定義的阻斷策略相比較；檢出SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包中的非法關(guān)鍵信息和合法關(guān)鍵信息；檢測(cè)模塊將非法關(guān)鍵信息發(fā)送至數(shù)據(jù)包修改模塊進(jìn)行修改，并將所述合法關(guān)鍵信息發(fā)送至數(shù)據(jù)包轉(zhuǎn)發(fā)模塊進(jìn)行轉(zhuǎn)發(fā)；非法關(guān)鍵信息修改為合法關(guān)鍵信息后被發(fā)送至所述數(shù)據(jù)包轉(zhuǎn)發(fā)模塊進(jìn)行轉(zhuǎn)發(fā)。本發(fā)明通過(guò)SQL協(xié)議分析，根據(jù)預(yù)定義的禁止和許可策略讓合法的SQL操作通過(guò)，阻斷非法違規(guī)操作，形成數(shù)據(jù)庫(kù)的外圍防御圈，實(shí)現(xiàn)SQL危險(xiǎn)操作的主動(dòng)預(yù)防、實(shí)時(shí)審計(jì)，保證對(duì)于特定SQL語(yǔ)句的阻斷，而不會(huì)斷開(kāi)整個(gè)鏈接。
【附圖說(shuō)明】
[0027]下面對(duì)本發(fā)明實(shí)施例中的附圖進(jìn)行說(shuō)明，實(shí)施例中的附圖是用于對(duì)本發(fā)明的進(jìn)一步理解，與說(shuō)明書一起用于解釋本發(fā)明，并不構(gòu)成對(duì)本發(fā)明保護(hù)范圍的限制。
[0028]圖1為傳統(tǒng)非法操作阻斷方案；
[0029]圖2為本發(fā)明基于修改和偽造數(shù)據(jù)包的數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷功能實(shí)現(xiàn)原理；
[0030]圖3為本發(fā)明基于修改和偽造數(shù)據(jù)包的數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)裝置的結(jié)構(gòu)框圖；
[0031]圖4為本發(fā)明基于修改和偽造數(shù)據(jù)包的數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)裝置的部署拓?fù)鋱D。
【具體實(shí)施方式】
[0032]為了便于本領(lǐng)域技術(shù)人員的理解，下面結(jié)合附圖對(duì)本發(fā)明作進(jìn)一步的描述，并不能用來(lái)限制本發(fā)明的保護(hù)范圍。
[0033]本發(fā)明提出了一種數(shù)據(jù)庫(kù)命令行過(guò)濾、阻斷審計(jì)方法，如圖2所示，該方法包括以下步驟:
[0034]步驟S101，審計(jì)引擎將數(shù)據(jù)庫(kù)事件的數(shù)據(jù)庫(kù)操作事件送入專用的結(jié)構(gòu)化查詢語(yǔ)言SQL語(yǔ)句解析模塊。
[0035]該模塊包含詞法解析器以及語(yǔ)法解析器，以及其他的關(guān)鍵信息解析，如數(shù)據(jù)庫(kù)名，客戶主機(jī)名，資源賬號(hào)，響應(yīng)時(shí)間長(zhǎng)短等。詞法分析器主要由一系列帶有指令的正則表達(dá)式組成，這些指令確定了正則表達(dá)式匹配后的相應(yīng)動(dòng)作。為提高解析速度，該模塊會(huì)把所有的正則表達(dá)式翻譯成確定性有窮自動(dòng)機(jī)的內(nèi)部格式并且在語(yǔ)法分析器中根據(jù)上下文無(wú)關(guān)語(yǔ)法找出SQL語(yǔ)句中各字段之間關(guān)系，從而分析出SQL語(yǔ)句中的表名，目標(biāo)列名，條件列名，條件列值，實(shí)例名等各項(xiàng)關(guān)鍵信息。
[0036]步驟S102，SQL語(yǔ)句解析模塊對(duì)所述數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)另O、分類；并將SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包發(fā)送至檢測(cè)模塊。
[0037]優(yōu)選地，SQL語(yǔ)句解析模塊對(duì)數(shù)據(jù)庫(kù)事件的SQL語(yǔ)句操作進(jìn)行實(shí)時(shí)捕獲、識(shí)別、分類是通過(guò)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的高層內(nèi)容進(jìn)行細(xì)粒度的權(quán)限控制和過(guò)濾實(shí)現(xiàn)的。
[0038]傳統(tǒng)的防火墻是在網(wǎng)絡(luò)層次之間設(shè)置的，用于加強(qiáng)訪問(wèn)控制的軟硬件保護(hù)措施，但傳統(tǒng)的防火墻只能對(duì)網(wǎng)絡(luò)層進(jìn)行控制，不能對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的高層內(nèi)容進(jìn)行細(xì)粒度的控制和過(guò)濾。數(shù)據(jù)庫(kù)細(xì)粒度審計(jì)系統(tǒng)是在應(yīng)用和數(shù)據(jù)庫(kù)之間設(shè)置的，用于加強(qiáng)數(shù)據(jù)庫(kù)訪問(wèn)控制的軟硬件保護(hù)措施。
[0039]本發(fā)明是針對(duì)關(guān)系型數(shù)據(jù)庫(kù)保護(hù)需求的一種數(shù)據(jù)庫(kù)安全主動(dòng)防御技術(shù)，其核心功能之一為細(xì)粒度權(quán)限控制，即按照SQL操作類型包括選擇Select、輸入Insert、升級(jí)Update、刪除Delete，對(duì)象擁有者，及基于表、視圖對(duì)象、列進(jìn)行權(quán)限控制。
[0040]基于以上SQL語(yǔ)句解析模塊和細(xì)粒度權(quán)限控制機(jī)制才可以通過(guò)風(fēng)險(xiǎn)管控模型，主動(dòng)監(jiān)控?cái)?shù)據(jù)庫(kù)活動(dòng)，防止未授權(quán)的數(shù)據(jù)庫(kù)訪問(wèn)、SQL注入、權(quán)限或角色升級(jí)，以及對(duì)敏感數(shù)據(jù)的非法訪問(wèn)等。
[0041]優(yōu)選地，SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包包括以下信息:所述SQL語(yǔ)句字段中的表名，目標(biāo)列名，條件列名，條件列值，實(shí)例名。
[0042]步驟S103，檢測(cè)模塊將所述SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包與審計(jì)策略生成模塊中預(yù)定義的阻斷策略相比較；檢出SQL語(yǔ)句的關(guān)鍵信息數(shù)據(jù)包中的非法關(guān)鍵信息和合法關(guān)鍵信息；
[0043]優(yōu)選地，阻斷策略是指:審計(jì)策略生成模塊根據(jù)用戶的使用場(chǎng)景信息對(duì)所述SQL語(yǔ)句的字段包含的客戶端程序名、數(shù)據(jù)庫(kù)、表、命令、目標(biāo)列名、條件列名、條件列值定義的規(guī)則集。
[0044]市場(chǎng)上普遍使用的非法操作阻斷的方案是通過(guò)發(fā)送復(fù)位RST的形式關(guān)閉鏈接。RST是傳輸控制協(xié)議TCP首部中的6個(gè)標(biāo)志之一，表示重置連接、復(fù)位連接。發(fā)送RST包關(guān)閉連接時(shí)，不必等緩沖區(qū)的包都發(fā)出去，直接就丟棄緩存區(qū)的包發(fā)送RST包。而接收端收到RST包后，也不必發(fā)送確認(rèn)ACK包來(lái)確認(rèn)，如圖1所示。
[0045]該方法雖然可以通過(guò)關(guān)閉鏈接的形式阻斷了非法操作，但鏈接也因此中斷了，如果一個(gè)合法用戶因?yàn)檎`操作