CN103310161A - 一种用于数据库系统的防护方法及系统 - Google Patents

Abstract

本发明实施例提供一种用于数据库系统的防护方法，包括：A.获取用户所输入的登录信息；B.根据所述登录信息，判断对数据库的操作指令是否允许；C.如果判断对数据库的操作指令是允许的，数据库防护系统为所述操作指令配置数据库端口；D.数据库防护系统通过数据库端口，对数据库系统执行所述操作。本发明实施例还提供一种用于数据库系统的防护系统。通过数据库防护系统，将数据库服务器与应用程序之间进行隔离。所有对数据库的访问都必须经过数据库防护系统，从而使数据传输的通道被屏蔽掉，不会被攻击者直接利用。

Description

一种用于数据库系统的防护方法及系统

技术领域

本发明涉及数据库加密技术领域，特别涉及一种用于数据库系统的防护方法及系统。 

背景技术

随着计算机技术的飞速发展，数据库的应用深入到各个领域。数据库系统作为信息的聚集体，其安全性至关重要。 

虽然目前为加强数据库系统的数据安全，采用了许多防护措施，包括机房安全、物理隔离、防火墙、入侵检测、加密传输身份认证系统等等。但这些防护措施无法高效地保证数据库系统的安全，例如，数据库系统通常采用自主访问控制模式，其中数据库管理员拥有至高的权限，一旦攻击者获得数据库管理员的权限，数据库将对其彻底暴露，毫无任何安全性可言，另外数据库系统通常采用基于口令的认证登录方式，而对登录口令缺乏有效的管理机制，从而增大了口令泄露的风险。 

如何在数据库和用户应用之间构筑安全防护机制，是一个亟待解决的问题。 

发明内容

为解决上述问题，本发明提供了一种用于数据库系统的防护方法及系统，能够在数据库和用户应用之间构筑安全防护机制，实现数据库的数据安全。 

本发明实施例提供一种用于数据库系统的防护方法，在客户端与数据库系统之间设置一数据库防护系统，该方法包括： 

A.数据库防护系统通过客户端获取用户所输入的登录信息； 

B.数据库防护系统根据所述登录信息，判断对数据库的操作指令是否允许； 

C.如果判断对数据库的操作指令是允许的，数据库防护系统为所述操作指令配置数据库端口； 

D.数据库防护系统通过数据库端口，对数据库系统执行所述操作。 

通过数据库防护系统，将数据库服务器与应用程序之间进行隔离。所有对数据库的访问都必须经过数据库防护系统，从而使数据传输的通道被屏蔽掉，不会被攻击者直接利用。 

其中，步骤D之后还包括：数据库防护系统将执行后的信息传送给所述客户端。 

通过数据库防护系统，使得数据库服务器与应用程序之间进行隔离，数据库系统相对于用户来说是不透明的，不会被攻击者直接利用。 

其中，步骤B包括：获取所述用户的管理权限；根据所述用户的管理权限，判断对数据库的操作指令是否允许。 

在数据库系统中预先规定各个用户的权限，由数据库防护系统提供独立的权限管理，由于攻击者只能获得受限的权限，不能获取管理员级别的特权。从而有效的遏制了越权访问、注入攻击、存储过程非法使用等攻击类型。 

其中，步骤D之后还包括：数据库防护系统对所有对数据库进行操作的信息进行审计。 

通过审计来自每个应用服务器的访问情况。包括请求的数据库，连接的时间，连接断开的时间，通信量大小等信息，可以及时检测出非法进入数据库系统的企图，以及每次非法越权访问的企图。 

其中，在所述数据库防护系统对所有对数据库进行操作的信息进行审计之后，还包括：发送非法访问数据库系统的警报。 

通过将报警信息发送给具有审计权限的用户，防止任何人人修改审计记录。 

其中，所述登录信息包括动态口令信息，所述动态口令是由数据库防护系统动态提供的。 

数据库系统的防护系统为用户提供动态口令，在每次需要登录的时候，用户可通过动态密码获取当前登录口令，数据库系统的防护系统在每次响应口令请求之后，自动为用户更换登录口令，并使之前使用的口令作废，从而使管理员不必担心口令泄露， 

其中，步骤D包括：数据库防护系统向数据库系统提出操作请求；数据库系统根据所述操作请求，对所述数据库防护系统进行身份认证，并判断对数据库的操作指令是否允许；如果判断对数据库的操作指令是允许的，则数据库防护系统通过数据库端口，对数据库系统执行所述操作。 

应用程序对数据库的访问，必须经过数据库防护系统和数据库系统两层身份认证和权限检查，从而提高了数据库系统的安全性。 

本发明实施例提供一种用于数据库系统的防护系统，包括：登录信息获取模块，用于获取用户所输入的数据库系统的访问请求信息；权限检验模块，用于根据预先制定的安全策略，对提交到数据库系统的访问请求信息进行权限检验，判断所述访问请求是否允许；透明代理模块，用于如果所述访问请求是允许的，数据库防护系统为所述访问请求的操作指令配置数据库端口，通过所述数据库端口，对数据库系统执行所述操作。 

通过数据库防护系统，将数据库服务器与应用程序之间进行隔离。所有对数据库的访问都必须经过数据库防护系统，从而使数据传输的通道被屏蔽掉，不会被攻击者直接利用。 

其中，还包括：审计模块，用于对所有对数据库进行操作的信息进行审计。 

通过审计来自每个应用服务器的访问情况。包括请求的数据库，连接的时间，连接断开的时间，通信量大小等信息，可以及时检测出非法进入数据库系统的企图，以及每次非法越权访问的企图。 

附图说明

图1为本发明实施例提供的一种用于数据库系统的防护方法的具体流程图。 

图2为本发明实施例提供的一种用于数据库系统的防护系统的结构示意图。 

具体实施方式

本发明实施例提供了一种用于数据库系统的防护方法。下面将结合附图，对本发明实施例进行详细描述。参见图1，本发明实施例提供的用于数据库系统的防护方法，包括以下步骤： 

S100：获取用户所输入的登录信息。 

数据库系统的用户在客户端登录数据库之前，可通过客户端的应用程序的界面输入登录信息，该登录信息可包括用户名、密码和动态口令等信息，用户或者在客户端使用存储有用户名和密码的U盾，通过输入U盾的密码进行登录。 

为解决数据库管理员难以管理登录口令的问题，数据库系统的防护系统为用户提供动态口令，在每次需要登录的时候，用户获取当前登录口令，例如，通过口令卡，数据库系统的防护系统在每次响应口令请求之后，自动为用户更换登录口令，并使之前使用的口令作废，从而使管理员不必担心口令泄露，因为即使得到的口令不小心被泄露，也不会威胁到数据库，因为下一次所使用的登录口令已经被改变。动态口令采用硬件随机数发生器生成，具有很高的随机性，并且动态口令在用户端、数据库防护系统以及数据库系统之间的传输采用SSL加密机制，从而使包括动态口令在内的数据，以加密的形式，而不是以明文的方式进行传送，能够有效地防止泄露口令等信息。 

S110：根据所述登录信息，获取所述用户的管理权限； 

在数据库的防护系统中，为所有注册的用户分配了不同级别的使用权限，例如，如果是数据库系统的管理员，则为其分配权限较 大的权限，如何是一般用户，则为其分配权限较低的权限，例如，只有查询的权限。 

在此步骤中，还可对用户所输入的登录信息进行验证，验证用户所输入的登录信息是否是合法信息，从而确定该用户是否有权使用该数据库系统。 

由于用户所输入的登录信息是以加密的格式进行传输的，数据库的防护系统获取到这些加密的数据之后，从数据库系统读取所存储的用户信息，包括：用户名、密码以及动态口令等信息，然后对这些加密的数据进行解密，并将用户在客户端所输入的登录信息与存储在数据库系统的用户信息进行匹配，如果能够匹配，则此次登录为有效登录，否则为无效登录。 

S120：根据所述用户的管理权限，判断对数据库的操作指令是否允许。 

用户具有的权限越高，对数据库系统的操作权限越大，例如，如果所述用户的管理权限为管理员，则可对数据库进行各种操作，如果是一般权限，则用户只能进行，例如，查询操作。 

S130：如果判断对数据库的操作指令是允许的，数据库的防护系统为所述操作指令配置数据库端口。 

用户对数据库操作不必事先知道数据库的实际端口，数据库防护系统为用户提供数据库的端口映射，因此，在客户端可以隐藏实际的数据库端口，使得对外提供的服务端口可以是任意空闲的端口，不再是缺省端口，攻击者难以获得数据库端口的所在。 

通过数据库防护系统，将数据库服务器与应用程序之间进行隔离。所有对数据库的访问都必须经过数据库防护系统，从而使数据传输的通道被屏蔽掉，不会被攻击者直接利用。 

S140：数据库的防护系统通过数据库端口，对数据库系统执行所述操作。 

数据库的防护系统根据所述操作指令，执行数据库系统的操作，例如，修改数据库系统的信息，数据库的防护系统通过所述数据库端口，将修改请求命令信息以加密的方式传送给数据库系统。 

数据库系统通过解密来自数据库防护系统的请求信息，该请求信息中包括数据库防护系统所使用的IP地址、MAC地址、以及硬盘序列号、主板序列号等多种计算机系统的特征，结合证书的验证方式，确保访问来源的真实性，杜绝IP地址欺骗和假冒用户的连接。 

数据库防护系统提供与数据库系统完全独立的授权检查，对每个IP来源上的每一个用户单独进行权限控制。权限的控制可以精确到用户级。 

就算攻击者成功攻陷应用服务器，并将角色提高到DBA也是徒劳。由于有数据库防护系统提供了独立的权限管理，攻击者仍然只能获得受限的权限，不能获取DBA的特权。从而有效的遏制了越权访问、SQL注入攻击、存储过程非法使用等攻击类型。 

应用程序对数据库的访问，必须经过数据库防护系统和数据库系统两层身份认证和权限检查，从而提高了数据库系统的安全性。 

数据库系统接收数据库防护系统的请求信息，首先对数据库防护系统进行身份认证之后，判断出该请求是有效请求时，允许数据库防护系统对数据库进行相应的操作，之后，数据库系统将相应的信息返给数据库防护系统，数据库防护系统再将该信息传送给用户。 

另外，该方法还包括： 

S150：数据库防护系统对所有对数据库进行操作的信息进行审计。 

其中，数据库防护系统对所有登录数据库系统的用户进行审计，包括那些没有登录成功的用户，包括：登录时间、登录时所使用的口令、操作命令等信息。还可将这些信息与预先设定的安全策略相比较，例如，规定不允许在午夜12至凌晨6点期间对数据库进行访问，如果发现某用户在这个时间里访问了数据库系统，就会发出警报信息，例如，向审计模块发出警报，该用户进行了非法访问。审 计模块可以根据预先设定的权限，对该用户进行相应的处理，例如，禁止该用户访问该数据库系统。 

本发明实施例还提供了一种用于数据库系统的防护系统。参见图2，包括：登录信息获取模块200，用于获取用户所输入的对数据库系统的访问请求信息；权限检验模块210，用于根据预先制定的安全策略，对提交到数据库系统的访问请求信息进行权限检验，判断所述访问请求是否允许；透明代理模块220，用于如果所述访问请求是允许的，数据库防护系统为所述访问请求的操作指令配置数据库端口，通过所述数据库端口，对数据库系统执行所述操作。 

该防护系统可设置在客户端的一台计算机上，也可分别设置在客户端的两台计算机上，例如，客户端服务器和客户终端，可将客户端服务器连接到数据库服务器，客户终端直接与用户或者应用程序连接，客户端服务器与客户终端通过SSL加密通道进行连接。 

权限检验模块210根据预先设定的安全策略，对用户通过客户终端提交的登录信息(对数据库的访问信息)进行权限检验。将IP地址和数据库的用户名绑定起来作为一个被授权的对象。客户端服务器的权限管理包括IP地址、用户名、数据库名、模式名、表、视图、函数、存储过程等。客户终端的权限管理只包括IP地址、用户名和数据库名。权限管理可以被设置为全部放行，这时候该防护系统作为一个虚拟数据库，将真实数据库和应用程序隔离，屏蔽其余的访问通道。 

透明代理模块220实现一个虚拟的数据库，将真实的数据库服务器IP和端口屏蔽起来，并将应用程序和数据库服务器隔离开，工作方式很类似于防火墙。该模块允许设置服务器和客户端的加密传输方式，真实数据库服务器的IP和端口，连接超时等选项。 

该系统还可包括辅助登录模块，用于实现登录口令的管理。管理员可以将登录的口令安全的托管起来，实现当前登录口令的自动获取和自动更改。所有口令进行加密保存，加密算法在USB KEY内 由硬件实现，加密密钥不出KEY。可以方便的添加用户，实现多用户的管理，可以配置自动更改密码的时间。 

该系统还可包括证书管理模块，用于实现基于证书的客户端认证，以及SSL的加密传输。客户端服务器端具有CA证书中心的功能，可以为客户终端颁发证书，建立认证体系。证书中将计算机系统的硬件信息进行绑定，以保证数据来源的真实性。 

该系统还可包括审计模块230，用于实现审计功能。审计方式包括强制审计和对常规操作的审计。强制审计只审计诸如数据库连接、越权访问、不在授权IP地址范围内的连接请求等。对常规操作的审计则包括对所有访问语句的审计。审计信息也进行加密保存，任何用户只能查看，不能修改。 

该系统可以如下方式进行配置： 

该防护系统的部署可以根据实际情况，进行多种选择。以下为几种典型的部署方案： 

可以将该防护系统仅设置在一台服务器，与数据库服务器共用同一服务器。该防护系统设置在数据库服务器上，用户通过客户终端与防护系统进行连接。将所述服务器的监听服务设置为只接受来自本机的IP，屏蔽访问通道，这种设置方式不具有加密传输的安全特性，适合于已有较高安全防护等级的内网使用。当交换的数据量很大的情况下，会对数据库服务器的性能造成影响。 

可以将该防护系统设置在一台独立的服务器上，防护系统的服务器与数据库服务器独立。防护系统设置在一个独立的服务器上面，用户通过客户终端与防护系统的服务器连接。将数据库服务器的监听服务设置为只接受来自防护系统的服务器的IP，屏蔽访问通道。这种部署方式不具有加密传输的安全特性，适合于已有较高安全防护等级的内网使用。当交换的数据量很大的情况下，不会对数据库服务器的性能造成影响，而且可以扩展到多防护系统到多数据库服务器的多对多映射，实现负载的分摊。 

可以将该防护系统同时设置在一台独立的客户端服务器和客户终端上，该防护系统被设置在数据库服务器上或者独立的服务器上，该防护系统连接到数据库服务器。客户终端部署在应用服务器上或者独立的服务器上，连接到应用程序。将数据库服务器的监听服务设置为只接受来自防护系统服务器的IP，屏蔽访问通道。这种部署方式具有加密传输的安全特性，适合于现有安全防护等级较低的网络环境中使用。尤其适合于应用程序和数据库服务器分属于不同的机房和楼宇的情况。并可以根据业务数据量的大小，考虑是否使用独立的防护系统服务器，也可以扩展到多防护系统到多数据库服务器的多对多映射，实现负载的分摊。 

该系统实施例对应上述方法实施例，其具体实现可参见方法实施例，这里不一一赘述。 

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，例如，可以将不同功能的模块通过一个集成芯片来实现等，均在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。 

Claims (9)

1.一种用于数据库系统的防护方法，其特征在于，在客户端与数据库系统之间设置一数据库防护系统，该方法包括：

A.数据库防护系统通过客户端获取用户所输入的登录信息；

B.数据库防护系统根据所述登录信息，判断对数据库的操作指令是否允许；

C.如果判断对数据库的操作指令是允许的，数据库防护系统为所述操作指令配置数据库端口；

D.数据库防护系统通过数据库端口，对数据库系统执行所述操作。

2.根据权利要求1所述的方法，其特征在于，步骤D之后还包括：

数据库防护系统将执行后的信息传送给所述客户端。

3.根据权利要求1所述的方法，其特征在于，步骤B包括：

获取所述用户的管理权限；

根据所述用户的管理权限，判断对数据库的操作指令是否允许。

4.根据权利要求1所述的方法，其特征在于，步骤D之后还包括：

数据库防护系统对对数据库进行操作的信息进行审计。

5.根据权利要求4所述的方法，其特征在于，在所述数据库防护系统对对数据库进行操作的信息进行审计之后，还包括：

发送非法访问数据库系统的警报。

6.根据权利要求1所述的方法，其特征在于，所述登录信息包括动态口令信息，所述动态口令是由数据库防护系统动态提供。

7.根据权利要求1所述的方法，其特征在于，步骤D包括：

数据库防护系统向数据库系统提出操作请求；

数据库系统根据所述操作请求，对所述数据库防护系统进行身份认证，并判断对数据库的操作指令是否允许；

如果判断对数据库的操作指令是允许的，则数据库防护系统通过所述数据库端口，对数据库系统执行所述操作。

8.一种用于数据库系统的防护系统，其特征在于，包括：

登录信息获取模块，用于获取用户所输入的数据库系统的访问请求信息；

权限检验模块，用于根据预先制定的安全策略，对提交到数据库系统的访问请求信息进行权限检验，判断所述访问请求是否允许；

透明代理模块，用于当所述访问请求是允许时，数据库防护系统为所述访问请求的操作指令配置数据库端口，通过所述数据库端口，对数据库系统执行所述操作。

9.根据权利要求8所述的系统，其特征在于，还包括：

审计模块，用于对所有对数据库进行操作的信息进行审计。

Images