CN102567669A - 用于等保测评中数据库安全的自动测评方法及其系统 - Google Patents
用于等保测评中数据库安全的自动测评方法及其系统 Download PDFInfo
- Publication number
- CN102567669A CN102567669A CN2011104405501A CN201110440550A CN102567669A CN 102567669 A CN102567669 A CN 102567669A CN 2011104405501 A CN2011104405501 A CN 2011104405501A CN 201110440550 A CN201110440550 A CN 201110440550A CN 102567669 A CN102567669 A CN 102567669A
- Authority
- CN
- China
- Prior art keywords
- test
- script
- appraisal
- evaluation
- database
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
本发明公开了一种等保测评中数据库安全的自动测评方法，包括以下步骤：建立可对每种数据库的各个安全配置检查点进行检查的测评脚本库；通过测评脚本执行模块识别被测数据库的类型，从测评脚本库中选择合适的测评脚本，并执行该测评脚本；通过脚本返回数据分析模块将测评脚本执行返回结果进行分析形成测评结果，并存入数据库中；通过测评报告生成模块自动生成数据库安全的测评报告。本发明还公开了等保测评中数据库安全的自动测评系统，包括依次相连的测评脚本库模块、测评脚本执行模块、脚本返回数据分析模块、测评报告生成模块。本发明实现了自动对数据库安全进行测评，得到等保测评结果。
Description
技术领域
本发明涉及信息系统安全等级保护测评(简称等保测评)技术，更具体地说，涉及用于等保测评中数据库安全的自动测评方法，本发明还涉及利用该方法的用于等保测评中数据库安全的自动测评系统。
背景技术
信息安全涉及国家利益、安全和主权。2007年，中华人民共和国国家公安部、国家保密局、国家密码管理局、国务院信息化办公室四部委联合发布“关于开展全国重要信息系统安全等级保护定级工作的通知”，要求各行业各省市内组织开展了重要信息系统安全等级保护定级工作。依据《信息安全等级保护管理办法》(公通字[2007]43号)，信息系统运营、使用单位在进行信息系统备案后，都应当选择测评机构进行信息系统安全等级保护测评，简称等保测评。等保测评是测评机构依据《信息系统安全等级保护测评要求》等管理规范和技术标准，检测评估信息系统安全等级保护状况是否达到相应等级基本要求的过程，是落实信息安全等级保护制度的重要环节。
等保测评工作中包括主机安全的测评，主机安全的测评包括对主机中的数据库安全进行数据库安全的测评，数据库安全的测评是对已经按《信息安全技术信息系统安全等级保护定级指南》定级的数据库安全进行测评，检查被测数据库安全是否达到既定的级别，具体地，《信息系统安全等级保护测评要求》制定有对数据库安全测评检查的安全配置检查点，该安全配置检查点包括：补丁管理检查、身份鉴别检查、数据备份策略检查、授权与访问控制措施检查、审计不完整性检查、监听管理措施、外部存储、多余服务、密码明文存储、链接控制措施等；但是，对于不同类型的数据库，其数据库安全的等保测评工作都是采用人工测评方法，包括：1、根据等级保护技术标准要求的相应等级下的各个测评指标对不同数据库安全进行测评，具体是对不同类型数据库的各个安全配置检查点进行检查；2、根据人工测评的结果编写等保测评报告。这种采用人工进行测评的方法存在以下问题：
1)检查手段过于简单，导致测评结果不全面；
2)耗时过长，测评效率低；
3)人为的测评失误容易带来测评失误的风险；
4)对不同数据库主机的安全配置检查点检查测评时，因人为因素而不够规范。
发明内容
本发明的目的在于提供一种用于等保测评中数据库安全的自动测评方法，实现自动对主机安全进行测评，得到等保测评结果。
本发明的另一个目的在于提供一种用于等保测评中数据库安全的自动测评系统。
本发明的目的通过以下技术方案实现：一种用于等保测评中数据库安全的自动测评方法，包括如下步骤：
(1)针对等保测评中不同的数据库类型，建立可对每种数据库的各个安全配置检查点进行检查的测评脚本库；
(2)根据信息系统安全等级保护测评要求，对数据库安全要求的各个测评指标，建立测评指标参考值列表库；
(3)识别被测数据库类型，根据既定的被测数据库安全级别从测评脚本库中选择相应的测评脚本，并在被测主机上执行该测评脚本，得到脚本执行后返回的数据；
(4)分析脚本执行后返回的数据得出测评结果值，将该测评结果值与测评指标参考值列表库中对应的测评参考值进行比较，得出测评结果；
(5)存储所述的测评结果，并根据测评结果输出数据库安全的测评报告。
本发明的另一个目的通过以下技术方案实现：一种用于等保测评中的数据库的安全自动测评系统，包括：
测评脚本库模块，用于存储对不同类型数据库的各个安全配置检查点检查的测评脚本；
测评脚本执行模块，用于识别被测数据库类型，根据既定的数据库安全级别从测评脚本库中选择相应的测评脚本在被测主机上执行，得到脚本执行后的返回数据；
脚本返回数据分析模块，用于分析脚本执行后返回的数据，得出测评结果；
测评报告生成模块，用于将测评结果存储在数据库中，并输出数据库安全的测评报告；
所述测评脚本库模块、测评脚本执行模块、脚本返回数据分析模块、测评报告生成模块依次相连；所述测评脚本执行模块在被测数据库的主机上执行测评脚本库模块中的对应测评脚本，由脚本返回数据分析模块对脚本执行后返回的数据进行分析，得出测评结果，再由测评报告生成模块存储测评结果并输出数据库安全的测评报告。
本发明所述脚本返回数据分析模块包括用于存储正则表达式的正则表达式列表库模块、用于存储测评指标参考值的测评指标参考值列表库模块、用于将脚本执行后返回的数据与测评指标参考值分析比较的文本数据分析器，所述正则表达式列表库模块、测评指标参考值列表库模块分别与文本数据分析器相连；所述文本数据分析器根据数据库类型从正则表达式列表库模块中选择对应的正则表达式与脚本执行后返回的数据进行匹配，得出测评指标对应的测评结果值，再通过文本数据分析器将该测评结果值与测评指标参考值列表库中的测评指标参考值进行比较，得出测评结果。
本发明所述测评报告生成模块包括用于存储测评结果的数据库模块、用于存储测评报告模板的测评报告模板库模块、用于输出数据库安全测评报告的测评报告生成器，所述测评报告模板库模块与测评报告生成器相连；一方面，所述测评结果存储到数据库模块中；另一方面，测评报告生成器根据既定的数据库安全级别选取对应的测评报告模板，将测评结果写入至该测评报告模板后输出测评报告。
与现有技术相比，本发明技术具有以下优点：
(1)本发明根据信息系统安全等级保护测评要求建立针对各种不同类型的数据库的测评脚本，从而可保证对数据库安全的全面测评，对不同类型数据库的各个测评检查点也相应具有了规范性；降低了测评失误带来的风险耗时短，提高了等保测评的工作效率。
附图说明
图1为本发明数据库安全的自动测评方法及其系统的示意图。
具体实施方式
下面结合具体实施例对本发明进一步加以阐述。
如图1所示的用于等保测评中数据库安全的自动测评方法，包括如下步骤：
(1)针对等保测评中不同的数据库类型，建立可对每种数据库的各个安全配置检查点进行检查的测评脚本库；
(2)根据信息系统安全等级保护测评要求，对数据库安全要求的各个测评指标，建立测评指标参考值列表库；
(3)识别被测数据库类型，根据既定的被测数据库安全级别从测评脚本库中选择相应的测评脚本，并在被测数据库的主机上执行该测评脚本，得到脚本执行后返回的数据；
(4)分析脚本执行后返回的数据得出测评结果值，将该测评结果值与测评指标参考值列表库中对应的测评参考值进行比较，得出测评结果；
(5)存储所述的测评结果，并根据测评结果输出数据库安全的测评报告。
如图1所示的利用上述安全测评方法的等保测评中数据库安全的自动测评系统，它包括：测评脚本库模块、测评脚本执行模块、脚本返回数据分析模块和测评报告生成模块，测评脚本库模块、测评脚本执行模块、脚本返回数据分析模块、测评报告生成模块依次相连；测评脚本执行模块在被测数据库的主机上执行测评脚本库模块中的对应测评脚本，由脚本返回数据分析模块对脚本执行后返回的数据进行分析，得出测评结果，再由测评报告生成模块存储测评结果并输出数据库安全的测评报告。
测评脚本库模块是用于存储适对不同类型数据库的各个安全配置检查点检查的测评脚本，依据《信息系统安全等级保护测评要求》文件，针对目前主机设备厂家提供的不同的数据库，给每种数据库编写相应的用于等保测评的测评脚本，以便被测数据库的主机对应执行并生成脚本执行后返回的数据。测评脚本主要包括有测评脚本包括ORACLE测评脚本和SQL SERVER测评脚本，测评脚本库可根据需要扩展增加测评脚本。
依据《信息系统安全等级保护测评要求》编写的测评脚本具体包括数据库安全中的补丁管理检查、身份鉴别检查、数据备份策略检查、授权与访问控制措施检查、审计不完整性检查、监听管理措施、外部存储、多余服务、密码明文存储、链接控制措施等，能够覆盖到等保测评的标准制定的数据库安全配置检查点的各个方面。
测评脚本执行模块是用于识别被测数据库类型，然后根据既定的数据库安全级别从测评脚本库中选择相应的测评脚本在被测数据库的主机上执行，得到脚本执行后的返回数据；测评脚本执行模块的核心部件是测评脚本管理器，该测评脚本管理器提供用户交互界面，用户可以预先在交互界面上选择设定被测数据库的类型和选择被测数据库的安全定级级别，测评脚本管理器将根据用户的选择从测评脚本库中提取相应的测评脚本，并在被测数据库的主机中运行该脚本，最后测评脚本将根据脚本运行后返回的数据保存至txt文本文档中，并作为测评返回的原始数据文档。
脚本返回数据分析模块是用于分析脚本执行后返回的数据(原始数据)，得出测评结果；该脚本返回数据分析模块包括用于存储正则表达式的正则表达式列表库模块、用于存储测评指标参考值的测评指标参考值列表库模块、用于将脚本执行后返回的数据与测评指标参考值分析比较的文本数据分析器，正则表达式列表库模块、测评指标参考值列表库模块分别与文本数据分析器相连；文本数据分析器通过从正则表达式列表库中选择合适的正则表达式列表，并分别逐项从原始数据文档中匹配出测评指标对应的测评结果值；然后根据既定的数据库安全定级级别，从测评指标参考值列表库中选择合适的测评指标参考值列表，并将测评结果值与测评指标参考值列表中对应测评项的参考值进行比较，如果该测评指标项的测评结果值与对应参考值相等或落在参考值范围中，则认为该测评项符合；否则不符合。
正则表达式列表库模块包含每种数据库类型对应的正则表达式列表，因为不同数据库类型对应不同的脚本，不同的脚本在具有不同数据库的主机上运行后返回的数据格式和数据内容都不一样，因而不同的脚本返回数据需要不同的正则表达式列表进行匹配，每一个正则表达式只能匹配出一行或一小段数据，而数据库安全测评具体的测评指标有很多，大量的正则表达式的集合被称为正则表达式列表。数据库安全的测评指标测评值可以通过对应的正则表达式列表的某行或某几行正则表达式匹配规则进行匹配，因而，在返回原始数据后的脚本返回数据分析模块中，只需要按该数据库类型的正则表达式列表从头到尾顺序匹配即可提取所有测评指标的测评结果。
测评指标参考值列表库模块存放着各级数据库安全测评指标参考值列表。在测评指标参考值列表中，每一行定义了该等级的数据库安全指标参考值或参考值范围。
测评报告生成模块是用于将测评结果存储在数据库中，并输出被测数据库安全的测评报告；该测评报告生成模块包括用于存储测评结果的数据库模块、用于存储测评报告模板的测评报告模板库模块、用于输出被测数据库安全测评报告的测评报告生成器，测评报告模板库模块与测评报告生成器相连；一方面，测评结果存储到数据库模块中；另一方面，测评报告生成器根据既定的数据库安全级别，从测评报告模板库中选择读取对应的测评报告模板，并生成报告模板的副本，然后将测评结果(包括数据库安全的现场测评值和测评结果符合情况)写入至该测评报告模板副本的相应位置，从而形成数据库安全的测评报告。
本发明的实施方式不限于此，根据上述内容，按照本领域的普通技术知识和惯用手段，在不脱离本发明上述基本技术思想前提下，本发明还可以做出其它多种形式的等效修改、替换或变更，均应当理解为仍属于本发明的保护范围。
Claims (4)
1.一种用于等保测评中数据库安全的自动测评方法，其特征在于包括如下步骤：
(1)针对等保测评中不同的数据库类型，建立可对每种数据库的各个安全配置检查点进行检查的测评脚本库；
(2)根据信息系统安全等级保护测评要求，对数据库安全要求的各个测评指标，建立测评指标参考值列表库；
(3)识别被测数据库类型，根据既定的被测数据库安全级别从测评脚本库中选择相应的测评脚本，并在被测主机上执行该测评脚本，得到脚本执行后返回的数据；
(4)分析脚本执行后返回的数据得出测评结果值，将该测评结果值与测评指标参考值列表库中对应的测评参考值进行比较，得出测评结果；
(5)存储所述的测评结果，并根据测评结果输出数据库安全的测评报告。
2.一种用于等保测评中数据库安全的自动测评系统，该系统包括：
测评脚本库模块，用于存储对不同类型数据库的各个安全配置检查点检查的测评脚本；
测评脚本执行模块，用于识别被测数据库类型，根据既定的数据库安全级别从测评脚本库中选择相应的测评脚本在被测主机上执行，得到脚本执行后的返回数据；
脚本返回数据分析模块，用于分析脚本执行后返回的数据，得出测评结果；
测评报告生成模块，用于将测评结果存储在数据库中，并输出数据库安全的测评报告；
所述测评脚本库模块、测评脚本执行模块、脚本返回数据分析模块、测评报告生成模块依次相连；所述测评脚本执行模块在被测数据库的主机上执行测评脚本库模块中的对应测评脚本，由脚本返回数据分析模块对脚本执行后返回的数据进行分析，得出测评结果，再由测评报告生成模块存储测评结果并输出数据库安全的测评报告。
3.根据权利要求2所述的用于等保测评中数据库安全的自动测评系统，其特征在于：所述脚本返回数据分析模块包括用于存储正则表达式的正则表达式列表库模块、用于存储测评指标参考值的测评指标参考值列表库模块、用于将脚本执行后返回的数据与测评指标参考值分析比较的文本数据分析器，所述正则表达式列表库模块、测评指标参考值列表库模块分别与文本数据分析器相连；所述文本数据分析器根据数据库类型从正则表达式列表库模块中选择对应的正则表达式与脚本执行后返回的数据进行匹配，得出测评指标对应的测评结果值，再通过文本数据分析器将该测评结果值与测评指标参考值列表库中的测评指标参考值进行比较，得出测评结果。
4.根据权利要求2所述的用于等保测评中数据库安全的自动测评系统，其特征在于：所述测评报告生成模块包括用于存储测评结果的数据库模块、用于存储测评报告模板的测评报告模板库模块、用于输出数据库安全测评报告的测评报告生成器，所述测评报告模板库模块与测评报告生成器相连；一方面，所述测评结果存储到数据库模块中；另一方面，测评报告生成器根据既定的数据库安全级别选取对应的测评报告模板，将测评结果写入至该测评报告模板后输出测评报告。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2011104405501A CN102567669A (zh) | 2011-12-23 | 2011-12-23 | 用于等保测评中数据库安全的自动测评方法及其系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2011104405501A CN102567669A (zh) | 2011-12-23 | 2011-12-23 | 用于等保测评中数据库安全的自动测评方法及其系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN102567669A true CN102567669A (zh) | 2012-07-11 |
Family
ID=46413052
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN2011104405501A Pending CN102567669A (zh) | 2011-12-23 | 2011-12-23 | 用于等保测评中数据库安全的自动测评方法及其系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN102567669A (zh) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103336927A (zh) * | 2013-06-07 | 2013-10-02 | 杭州世平信息科技有限公司 | 一种基于数据分类的数据防泄漏方法及其系统 |
| CN103839215A (zh) * | 2013-04-03 | 2014-06-04 | 杨涛 | 一种信息安全测评多维综合服务平台系统 |
| CN104937578A (zh) * | 2012-12-31 | 2015-09-23 | 施耐德电气It公司 | 不间断电源通信 |
| CN106685926A (zh) * | 2016-11-30 | 2017-05-17 | 北京瑞卓喜投科技发展有限公司 | 信息系统安全等级测评方法和系统 |
| CN109522166A (zh) * | 2018-10-11 | 2019-03-26 | 广东电网有限责任公司 | 一种等保测评的自动测评方法及系统 |
| US10503229B2 (en) | 2012-12-31 | 2019-12-10 | Schneider Electric It Corporation | Uninterruptible power supply communication |
| CN111385253A (zh) * | 2018-12-28 | 2020-07-07 | 中国电力科学研究院有限公司 | 一种面向配电自动化系统网络安全的脆弱性检测系统 |
| CN113065792A (zh) * | 2021-04-16 | 2021-07-02 | 上海安畅网络科技股份有限公司 | 一种测评方法、装置、电子设备及可读存储介质 |
| CN113065793A (zh) * | 2021-04-16 | 2021-07-02 | 上海安畅网络科技股份有限公司 | 一种测评方法、装置、电子设备及可读存储介质 |
| CN113656122A (zh) * | 2021-07-28 | 2021-11-16 | 上海纽盾科技股份有限公司 | 面向等保测评的信息筛选方法、装置及系统 |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102254035A (zh) * | 2011-08-09 | 2011-11-23 | 广东电网公司电力科学研究院 | 关系数据库测试方法及测试系统 |
-
2011
- 2011-12-23 CN CN2011104405501A patent/CN102567669A/zh active Pending
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102254035A (zh) * | 2011-08-09 | 2011-11-23 | 广东电网公司电力科学研究院 | 关系数据库测试方法及测试系统 |
Non-Patent Citations (2)
| Title |
|---|
| 方舟，黄俊强: "数据库安全测评通用模型的设计与实现", 《等级保护》 * |
| 曹娜: "大型关系库自动化测试工具的设计与实现", 《华中科技大学硕士学位论文》 * |
Cited By (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10503229B2 (en) | 2012-12-31 | 2019-12-10 | Schneider Electric It Corporation | Uninterruptible power supply communication |
| CN104937578A (zh) * | 2012-12-31 | 2015-09-23 | 施耐德电气It公司 | 不间断电源通信 |
| US10088883B2 (en) | 2012-12-31 | 2018-10-02 | Schneider Electric It Corporation | Executing restricted commands on an uninterrupted power supply |
| CN103839215A (zh) * | 2013-04-03 | 2014-06-04 | 杨涛 | 一种信息安全测评多维综合服务平台系统 |
| CN103336927A (zh) * | 2013-06-07 | 2013-10-02 | 杭州世平信息科技有限公司 | 一种基于数据分类的数据防泄漏方法及其系统 |
| CN106685926A (zh) * | 2016-11-30 | 2017-05-17 | 北京瑞卓喜投科技发展有限公司 | 信息系统安全等级测评方法和系统 |
| CN109522166A (zh) * | 2018-10-11 | 2019-03-26 | 广东电网有限责任公司 | 一种等保测评的自动测评方法及系统 |
| CN111385253A (zh) * | 2018-12-28 | 2020-07-07 | 中国电力科学研究院有限公司 | 一种面向配电自动化系统网络安全的脆弱性检测系统 |
| CN111385253B (zh) * | 2018-12-28 | 2023-05-23 | 中国电力科学研究院有限公司 | 一种面向配电自动化系统网络安全的脆弱性检测系统 |
| CN113065792A (zh) * | 2021-04-16 | 2021-07-02 | 上海安畅网络科技股份有限公司 | 一种测评方法、装置、电子设备及可读存储介质 |
| CN113065793A (zh) * | 2021-04-16 | 2021-07-02 | 上海安畅网络科技股份有限公司 | 一种测评方法、装置、电子设备及可读存储介质 |
| CN113656122A (zh) * | 2021-07-28 | 2021-11-16 | 上海纽盾科技股份有限公司 | 面向等保测评的信息筛选方法、装置及系统 |
| CN113656122B (zh) * | 2021-07-28 | 2023-05-16 | 上海纽盾科技股份有限公司 | 面向等保测评的信息筛选方法、装置及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102567669A (zh) | 用于等保测评中数据库安全的自动测评方法及其系统 | |
| CN102591773A (zh) | 等保测评中操作系统安全的自动测评方法及其系统 | |
| CN102457414B (zh) | 用于等保测评中的网络安全自动测评方法及其系统 | |
| CN202736027U (zh) | 等保测评中操作系统安全的自动测评系统 | |
| US10684938B2 (en) | Code component debugging in an application program | |
| CN110088744B (zh) | 一种数据库维护方法及其系统 | |
| CN110018954B (zh) | 代码质量检测、代码检测质量的评估方法、装置及设备 | |
| CN101515289A (zh) | 一种对通用数据文件进行检查的装置及方法 | |
| Zhang et al. | A data driven approach for discovering data quality requirements | |
| CN106126368A (zh) | 一种linux下内存故障地址解析的方法 | |
| CN111752833B (zh) | 一种软件质量体系准出方法、装置、服务器及存储介质 | |
| CN103488460A (zh) | 自动标记源代码的系统和方法 | |
| CN111966587A (zh) | 数据采集方法、装置和设备 | |
| Chen et al. | Automated quality assessment for crowdsourced test reports of mobile applications | |
| CN104574179A (zh) | 银行卡资金清算平台的复核验证系统和复核验证方法 | |
| CN106022640A (zh) | 电量指数核对系统及方法 | |
| CN113312258A (zh) | 一种接口测试方法、装置、设备及存储介质 | |
| CN112486841A (zh) | 埋点采集数据校验的方法及装置 | |
| Ferguson et al. | An empirical study on the relationship between defective requirements and test failures | |
| CN106685926A (zh) | 信息系统安全等级测评方法和系统 | |
| CN111352818B (zh) | 应用程序性能分析方法、装置、存储介质及电子设备 | |
| CN117313604B (zh) | 时序例外约束检查方法、装置、系统及存储介质 | |
| CN116301646B (zh) | 一种基于机器学习的个人计算机储存管理系统 | |
| CN117726300B (zh) | 用于招标代理业务资料校验的自动化智能处理系统 | |
| CN106886557A (zh) | 巡检评估模型自适应方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C02 | Deemed withdrawal of patent application after publication (patent law 2001) | ||
| WD01 | Invention patent application deemed withdrawn after publication |
Application publication date: 20120711 |