CN101453358A

CN101453358A - 一种oracle数据库绑定变量的sql语句审计方法及系统

Info

Publication number: CN101453358A
Application number: CNA2007101788500A
Authority: CN
Inventors: 孙海波; 骆拥政; 叶润国; 张辉; 李新鹏
Original assignee: Beijing Venus Information Technology Co Ltd
Current assignee: Beijing Venus Information Technology Co Ltd
Priority date: 2007-12-06
Filing date: 2007-12-06
Publication date: 2009-06-10
Anticipated expiration: 2027-12-06
Also published as: CN101453358B

Abstract

本发明涉及一种oracle数据库绑定变量的sql语句精确审计方法及系统，是一种用于网络业务审计产品中对oracle数据库操作过程中使用绑定变量的sql语句进行变量提取、赋值及深入审计的方法及系统。本发明包括数据库类型识别定位器、sql语句定位及变量提取器、变量赋值提取器及审计系统。其特征在于包含以下步骤：数据库类型识别定位步骤；sql语句定位及变量提取步骤；变量赋值提取步骤和审计的步骤。本发明解决了传统审计产品中对于oracle数据库操作审计中对于绑定变量的sql语句审计的准确性问题。同时本发明具有很好的效率，可广泛应用于网络业务审计产品中。

Description

一种oracle数据库绑定变量的sql语句审计方法及系统

技术领域

本发明涉及一种oracle数据库绑定变量的sql语句审计方法及系统，是一种用于网络的电处理方法及系统，是一种依据网络数据流中报文具有的特征对oracle数据库操作过程中使用绑定变量的sql语句进行识别并准确进行变量赋值审计方法及系统。

背景技术

网络业务审计系统是目前应用日益广泛的作为网络安全防护的重要手段，它通过对业务系统中可信人员的网络活动进行解析、记录、分析以帮助管理人员事前规划预防、事中实时监控、违规行为阻止和事后追查网络运营事故，从而帮助用户加强内外部网络行为监管、避免核心资产(数据库、服务器、网络设备)损失、保障客户业务系统的正常运营，是企业实现IT管理和控制的最佳实践。其中在金融、电信等行业当中大量使用的数据库系统对于审计的要求尤为重要，目前大部分行业内部的大型数据库采用了oracle公司研制开发的数据库。经常需要对于业务系统当中的用户对oracle数据库的操作进行准确详细的审计。目前的数据库操作都是以sql语句的方式提交给后台数据库进行相关处理的，而在某些运行环境下提交后台数据库的方法是采用绑定变量的方式进行，绑定变量方法可以使数据库进行软解析，有效提高数据库服务器的执行SQL语句的速度。例如传统的提交给数据库服务器的SQL语句如下：

SELECT fname，lname，pcode FROM cust WHERE id＝674；

SELECT fname，lname，pcode FROM cust WHERE id＝836；

这样每次数据库服务器都需要对整个SQL语句进行语法等解析，会耗费大量的CPU资源。而使用绑定变量的方式，提交给数据库服务器的方法变为如下：

SELECT fname，lname，pcode FROM cust WHERE id＝:cust_no；

exec：cust_no:＝674；

SELECT fname，lname，pcode FROM cust WHERE id＝：cust_no；

exec：cust_no:＝836；

这种提交方式，服务器会把最近解析过的SQL语句放入一个共享缓冲池中，对于频繁进行执行的SQL语句，每次执行省去了很多解析工作，会大大提高SQL语句的执行速度。Oracle数据库提供的这种方式虽然有效的提高了数据库操作处理速度，但是同时给网络业务审计带来了相应的难度。目前的审计产品以协议解析或者硬匹配的方式进行数据库操作相关sql语句的提取。但是在含有变量的sql语句当中，对于变量的赋值是在sql语句之后并不包含于sql语句当中。由于一条sql语句包含的变量数目不定，因此采用协议解析的方式很难准确的定位赋值的位置。而在硬匹配方式当中由于对变量赋值不包含固定的关键特征字因此也无法准确的对变量进行赋值。这样通常导致的结果就是对于含有变量的sql语句在提取的时候只能将包含变量名的语句提取出来，而对于该变量的具体赋值无法审计。同时对于含有相同变量不同赋值的sql语句的审计结果没有区别，无法精确的审计数据库操作行为，也就是说对于变量名的审计是没有任何实际意义的。

oracle数据库使用绑定变量的sql语句当中对于所包含的变量的具体赋值在数据报文当中所处的具体位置都有若干字节的标识，这说明实现oracle数据库环境当中对于使用绑定变量的sql语句当中的变量及具体赋值的提取及审计是可能的。基于这种可能性以及对oracle数据库精确审计带来的有益的补充作用，有必要发展一种能够实现对oracle数据库绑定变量的sql语句的精确审计方法用以提高网络业务审计系统对于数据库业务审计的准确性、全面性和审计范围。

发明内容

为了克服现有网络业务审计系统对于oracle数据库使用绑定变量方式的操作当中对于sql语句中变量的提取及赋值审计功能的不足，本发明提供一种对于oracle数据库绑定变量的sql语句的精确审计方法。所述的oracle数据库绑定变量的sql语句的精确审计技术可以满足：对于oracle数据库使用绑定变量方式的操作环境中使用的含有变量的sql语句能够进行准确的提取并且能够准确的提取具体的数据库操作对应的变量赋值以供精确审计需要；具有非常高的sql语句及变量赋值的提取效率，实现尽可能简单。

本发明解决其技术问题所采用的技术方案是：一种oracle数据库绑定变量的sql语句审计方法，所述方法所使用的系统包括数据库类型识别定位器、sql语句定位及变量提取器、变量赋值提取器及审计系统，其特征在于所述方法包含以下步骤：

数据库类型识别定位步骤；

sql语句定位及变量提取步骤；

变量赋值提取步骤；

审计的步骤。

一种oracle数据库绑定变量的sql语句审计系统，其特征在于，包括：对实际网络运行环境当中使用的是否为oracle数据库进行判断的数据库类型识别定位器、对oracle数据库操作过程交互的数据报文当中含有变量的sql语句及所包含的变量名进行提取的sql语句定位及变量提取器、在提取的含有变量的sql语句的报文的后续报文中提取具体变量赋值信息的变量赋值提取器、对sql语句当中的变量进行具体赋值并根据赋值后的sql语句进行网络业务行为审计并进行实时显示或日志保存的审计系统；所述的接收实际捕获网络数据包的数据库类型识别定位器与sql语句定位及变量提取器连接；所述的sql语句定位及变量提取器与捕获后续报文的变量赋值提取器、审计系统连接；所述的变量赋值提取器与审计系统连接。

本发明的有益效果：本发明解决了传统审计产品中对于oracle数据库用户操作行为的审计仅仅依赖协议解析或硬匹配而忽视了绑定变量的sql语句当中对于变量的赋值所带来的审计准确性问题。对于使用绑定变量的sql语句的oracle数据库环境当中的数据库操作行为可以有效的进行变量及具体赋值的提取，可以将对应于具体数据库操作的赋值后的sql语句进行准确的审计。避免了传统审计系统在使用绑定变量sql语句的oracle数据库环境当中对于具体业务操作审计的不准确性。此外在系统实现的过程当中充分考虑了效率问题，对于相应变量及具体赋值的提取具有很好的性能，可广泛应用于网络业务审计产品中。

附图说明

下面结合附图和实施例对本发明进一步说明。

图1为本发明的oracle数据库绑定变量的sql语句审计系统图。

图2为本发明的oracle数据库绑定变量的sql语句审计流程图。

具体实施方式

实施例一：

本实施例为oracle数据库绑定变量的sql语句的审计方法的基本模式。所使用的系统如图1所示。包括包括数据库类型识别定位器、sql语句定位及变量提取器、变量赋值提取器及审计系统，运行流程如图2所示。所述方法包含以下步骤：

数据库类型识别定位步骤；

sql语句定位及变量提取步骤；

变量赋值提取步骤；

审计的步骤。

①数据库类型识别定位步骤。不同的数据库使用不同的通信协议，例如Sybase数据库和sqlserver数据库采用TDS协议、Oracle数据库采用TNS协议、Informix数据库使用其自行设计的informix协议等等。这些数据库在实际网络环境操作过程中初始客户端与服务器连接交互过程里会交换彼此的一些系统信息，如服务器与客户端的操作系统、当前使用的数据库类型及其版本等等。这些信息是可以依照协议解析及识别的方式来确定的。因此在客户端与服务器初始连接交互的过程当中可以在数据包当中捕获相应的系统信息，以此可以准确的判断当前网络环境当中所使用的数据库类型。

②sql语句定位及变量提取步骤。在实际oracle数据库操作过程当中，客户端与服务器的操作信息交互是以SQL语句传递的。本阶段步骤负责在所有TCP数据报文当中采用硬匹配方法提取所有对应于当前环境下数据库操作的请求数据报文当中的sql语句，并在提取出的sql语句当中采用特征匹配的方式提取并记录包含的所有变量名。此阶段的输出将作为下一阶段对变量的具体赋值的提取及进行赋值的对象。

③变量赋值提取步骤。由于在oracle数据库采用绑定变量的环境下传输的sql语句当中都包含变量名称，而仅仅将带有变量名的sql语句提取出来是非常不准确的，不能精确的反映当前具体的数据库操作，实际上是没有什么意义的。而且对于sql语句中包含的变量的具体赋值在后续报文当中总是具有一定的标识。因此本阶段主要根据sql语句定位及变量提取步骤当中提取的包含变量的sql语句及记录的变量名从后续报文当中提取对于相应变量的赋值。本阶段的输出将作为下阶段进行精确数据库业务审计的依据。

④审计步骤。以sql语句定位及变量提取步骤输出的sql语句、变量名和变量赋值提取步骤输出的对各变量的具体赋值为操作对象，将sql语句当中包含的每个变量以具体的赋值替换，将替换过后的sql语句作为当前oracle数据库操作行为的审计内容，记录网络业务特定行为的一些相关信息，将审计结果返回给客户端显示系统或储存在事件库及日志库当中。

实施例二：

本实施例为实施例一中的数据库类型识别定位步骤的优选方案。所述数据库类型识别定位步骤包括的子步骤：

以实际网络环境当中使用的数据库客户端与服务器初始连接交互过程中交换的数据报文判断当前环境当中使用的是否为oracle数据库；

以此阶段的输出作为下一阶段进行sql语句定位及变量提取的前提。

本实施例的基本思路是：

首先在数据库客户端和服务器进行连接的过程当中使用协议解析方法尽可能多的寻找能够标识给数据库类型和主机状态的信息，包括使用的协议的静态特征、端口等等。因为这些信息是各个数据库特有的标识，一般不具有相同的协议静态特征或端口，因此是可行的。在本实施例当中选取了oracle数据库在实际交互过程当中使用的TNS协议所具有的端口特征作为oracle数据库操作的判别标识。Oracle数据库使用的TNS协议使用1521端口进行数据通信，可以以此作为数据库类型的基本判定。

实施例三：

本实施例为实施例一或实施例二中的sql语句定位及变量提取步骤的优选方案。sql语句定位及变量提取步骤中的子步骤包括：

对实际捕获的oracle数据库交互的数据报文采用多模式匹配方法对标识数据库操作行为的sql语句进行提取；

在提取的sql语句当中采用多模式匹配算法对所包含的变量进行提取；

以所提取的包含变量的sql语句及变量名作为深入审计的操作对象输出。

本实施例是在数据库类型识别定位阶段已经确定当前网络环境当中所使用数据库类型为oracle数据库的前提下进行的。在数据库客户端和服务器进行数据交互的过程当中采用多模式匹配的方式对所有相关数据库的操作信息进行提取。因为所有数据库操作信息在交互过程中是以sql语句形式进行传输的。因此采用多模式匹配算法以所有sql语句的特征关键字为模式、以实际网络环境当中传输当前数据库操作使用的TCP数据报文为样本进行多模式匹配，匹配成功的数据报文即为当前环境当中对数据库进行操作行为的信息，以这样的数据报文作为提取对象。在oracle数据库操作当中所有的标识数据库操作行为的sql语句都具有特征关键字如insert、select、delete等等，以这些特征关键字为模式，以所有TCP1521端口交互的数据报文为样本进行多模式匹配，将所有具有这些模式的数据报文做为提取对象。因为sql语句当中不一定都含有变量，因此必须在提取出相应的sql语句之后，依据sql语句中包含的变量标识，提取出其中可能包含的所有变量名。例如：SELECT fname，lname，pcode FROM cust WHERE id＝:cust_no；当中以“＝:”作为变量标识，这样在sql语句中当匹配到该标识的时候，则提取其后面的部分cust_no作为变量名输出。此阶段步骤提取的sql语句和变量名将作为审计阶段进行变量赋值的对象。

本实施例所使用的算法：

多模式匹配算法：在对标识具体数据库操作的sql语句提取过程当中使用了多模式匹配算法进行数据报文的自动提取。以所有数据库操作对应的sql语句的特征关键字为模式，以实际捕获的当前数据库使用的TCP交互报文为样本进行多模式匹配。(如本实施例当中以select、insert等关键字为模式，以oracel数据库使用的TCP1521端口上的数据报文为样本进行sql语句的提取。)

在对变量名提取过程当中也使用了多模式匹配算法。以所有变量名之前具有的特征标识为模式，以实际提取的sql语句为样本进行多模式匹配(如本实施例当中以“＝:”等标识为模式，以SELECT fname，lname，pcode FROM custWHERE id＝:cust_no为样本进行变量名的提取)

实施例四：

本实施例为实施例一中的变量赋值提取步骤的优选方案。变量赋值提取步骤中的子步骤包括：

确定变量赋值的标识特征；

以变量赋值的标识特征为准在包含变量的sql语句数据报文的后续报文中提取具体对于该sql语句中各个变量的具体赋值；

将具体赋值输出，以审计使用。

本实施例的基本思路是：在sql语句定位及变量提取步骤提取出所有变量名的前提下进行的。在变量提取之后，本步骤负责在本报文的后续报文当中根据特定的标识确定对于各个变量进行赋值的字段的位置并进行相应赋值的提取以供审计阶段对绑定变量的sql语句当中的变量进行赋值替换及精确审计使用。对于变量赋值的内容可能包含在sql语句同一个数据报文当中也可能包含在后续报文当中。例如设定变量赋值规则如下：匹配sql语句之后的特征“035401”。在出现此特征之后的报文当中匹配字节07。07代表开始对变量赋值。对应于前面的sql语句当中出现的变量的分别赋值。每个变量赋值之间的分隔符为01-09之间的数字。直到匹配到fd 01赋值结束。

实施例五：

本实施例为实施例一中的审计步骤的优选方案。审计步骤中的子步骤包括：

以sql语句定位及变量提取步骤输出的sql语句、变量名和变量赋值提取步骤输出的对各变量的具体赋值为操作对象，对相应变量以具体的赋值替换；

依据替换过后的sql语句对当前oracle数据库操作行为进行审计；

将审计结果返回给客户端显示系统或储存在事件库及日志库当中。

此阶段以sql语句定位及变量提取步骤提取出的sql语句、变量名为操作对象，以变量赋值提取步骤提取的具体赋值替换sql语句当中包含的相应变量。并以替换过后的sql语句做为审计的内容，记录网络业务特定行为的一些相关信息。本实施例以经过替换的sql语句作为输出信息。这些输出信息实际上标识了当前环境下当前用户对数据库的一些具体操作行为。审计系统将这些具体审计信息传输到系统管理平台的显示装置上供管理员使用，同时将具体审计的网络业务事件存储到相应的事件库或系统日志当中以备后期追查、取证等使用。

实施例六：

本实施例是一种oracle数据库绑定变量的sql语句审计系统，是实现实施例所述方法的系统，其构成如图1所示。本实施例包括：对实际网络运行环境当中使用的是否为oracle数据库进行判断的数据库类型识别定位器。对oracle数据库操作过程交互的数据报文当中含有变量的sql语句及所包含的变量名进行提取的sql语句定位及变量提取器。在提取的含有变量的sql语句的报文的后续报文中提取具体变量赋值信息的变量赋值提取器。对sql语句当中的变量进行具体赋值并根据赋值后的sql语句进行网络业务行为审计并进行实时显示或日志保存的审计系统。

其中，数据库类型识别定位器实现了如实施例二中所述的对实际客户环境使用的数据库类型的判定功能；sql语句定位及变量提取器实现了如实施例三中所述的对于所有包含变量的sql语句及其中变量名的提取功能；变量赋值提取器实现了如实施例四中所述的在包含变量的sql语句数据报文的后续报文中对于相应变量的具体赋值进行提取的功能；审计系统实现了实施例五所述的根据具体的赋值对sql语句中的变量进行替换并根据替换后的sql语句进行的网络业务行为审计功能。

接收实际捕获网络数据包的数据库类型识别定位器与sql语句定位及变量提取器连接。sql语句定位及变量提取器与捕获后续报文的变量赋值提取器、审计系统连接。变量赋值提取器与审计系统连接。

Claims

1.一种oracle数据库绑定变量的sql语句审计方法，所述方法所使用的系统包括数据库类型识别定位器、sql语句定位及变量提取器、变量赋值提取器及审计系统，其特征在于所述方法包含以下步骤：

数据库类型识别定位步骤；

sql语句定位及变量提取步骤；

变量赋值提取步骤；

审计的步骤。

2.根据权利要求1所述的一种oracle数据库绑定变量的sql语句审计方法，其特征在于，所述数据库类型识别定位步骤包括的子步骤：

3.根据权利要求2所述的一种oracle数据库绑定变量的sql语句审计方法，其特征在于，所述sql语句定位及变量提取步骤中的子步骤：

4.根据权利要求2或3所述的一种oracle数据库绑定变量的sql语句审计方法，其特征在于，所述变量赋值提取步骤中的子步骤：

确定变量赋值的标识特征；

将具体赋值输出，以审计使用。

5.根据权利要求4所述的一种oracle数据库绑定变量的sql语句审计方法，其特征在于所述审计的步骤：

6.一种oracle数据库绑定变量的sql语句审计系统，其特征在于，包括：对实际网络运行环境当中使用的是否为oracle数据库进行判断的数据库类型识别定位器、对oracle数据库操作过程交互的数据报文当中含有变量的sql语句及所包含的变量名进行提取的sql语句定位及变量提取器、在提取的含有变量的sql语句的报文的后续报文中提取具体变量赋值信息的变量赋值提取器、对sql语句当中的变量进行具体赋值并根据赋值后的sql语句进行网络业务行为审计并进行实时显示或日志保存的审计系统；所述的接收实际捕获网络数据包的数据库类型识别定位器与sql语句定位及变量提取器连接；所述的sql语句定位及变量提取器与捕获后续报文的变量赋值提取器、审计系统连接；所述的变量赋值提取器与审计系统连接。