CN103544286A - 一种数据库保护方法 - Google Patents

Abstract

本发明公开了一种数据库保护方法，通过对访问数据库实例的数据库终端管理程序做数据流失控制，以此保证数据库数据在终端使用过程中的安全。对访问数据库实例的数据库终端管理程序做数据流出控制，允许查看数据库数据但禁止导出到终端；或者保证数据的使用范围控制不局限于当前访问数据库实例，通过导出数据强制加密方式，便于不同数据库之间数据的导出导入，并且保证数据在脱离数据库的传播过程安全；同时通过安全通道加密方式保证数据从数据库实例到数据库终端管理程序所在终端的网络传输安全。

Description

一种数据库保护方法

技术领域

本发明涉及计算机信息安全技术领域，具体涉及数据库系统数据信息的保护。

背景技术、

数据库作为典型的结构化数据集中存储的一种形式，其安全性一直受到安全厂商、学院研究所等关注。现有的数据库数据安全防护措施主要包含以下几个方面：数据库接入认证、用户授权及细粒度访问控制、数据库审计、数据库存储文件隔离或加密等。这些防护措施虽然对集中化存储的数据库防护有一定帮助，但是上述防护措施并不能解决以下问题。

内部人员无意数据遗失：内部人员在操作过程中会接触各种数据信息，当这些信息以明文方式导出到本地后无法再通过传统的防护措施控制这些数据的使用范围，数据容易遗失，现有的防护措施对于到达终端的数据库数据保护是无效的。

内部人员恶意数据泄露：内部人员尤其数据库管理员拥有数据库的所有访问权限，内部人员可以将数据库数据信息通过导出方式对数据造成泄露，但现有的安全防护只能做到事后审计，不能从根本上杜绝数据库中数据的泄露；

以企业内部数据库管理员操作为例；一种情况是管理员为了方便查看，将从数据库获取的数据直接保留到终端，这种情况其它人员只要获取终端的使用权就可以查看这些数据；还有一种情况是管理员恶意操作，导致整个数据库数据信息完全泄漏。

发明内容

针对目前数据库安全防护技术存在的不足，本发明的目的是对访问数据库实例的数据库终端管理程序做数据流失控制，以此保证数据库数据在终端使用过程中的安全。

根据本发明的目的，本发明主要基于以下构思：对访问数据库实例的数据库终端管理程序做数据流出控制，允许查看数据库数据但禁止导出到终端；亦可保证数据的使用范围控制不局限于当前访问数据库实例，通过导出数据强制加密方式，便于不同数据库之间数据的导出导入，同时保证数据在脱离数据库的传播过程安全；通过安全通道加密方式保证数据从数据库实例到数据库终端管理程序所在终端的网络传输安全。

为实现所述数据库实例数据信息流出控制目的，一种数据库保护方法,包括：对数据库实例访问的数据库终端管理程序在终端环境中数据的所有流出方式做控制。

更进一步,还包括：数据库终端管理程序与受保护数据库实例的通信过程在数据链接层作加密保护。

更进一步，所述数据流出控制方式包括禁止保存文件、加密导出文件、数据共享控制、网络访问控制。

更进一步，所述禁止保存文件为使用文件访问控制技术与策略进行决策是否禁止数据库终端管理程序文件保存。

更进一步，所述加密导出为使用文件系统过滤技术与策略进行决策是否对数据库终端管理程序导出文件执行强制加密；如果对导出文件执行加密，数据信息导出文件将被强制加密。

更进一步，所述数据共享控制为禁止访问数据库实例的数据库终端管理程序与终端其它程序之间数据共享。

更进一步，所述数据共享的方式包括剪贴板、数据拖拽、OLE嵌入、COM公开接口、共享内存。

更进一步，所述网络访问控制为禁止访问所述受保护数据库实例的数据库终端管理程序访问其它网络资源。

更进一步，所述通信过程加密保护策略由策略服务器指定和下发，并且由终端控制客户端和数据库实例验证端接收加密保护策略；在通信过程中由终端控制客户端和数据库实例验证端执行加密保护策略。

更进一步，所述通信过程中执行加密保护策略步骤如下：

1）终端控制客户端在终端对数据库管理程序发往数据库实例的数据加密，并且对数据库管理程序从数据库实例接收到的数据解密；

2）数据库实例验证在数据库服务器对来自于数据库管理程序的数据解密，并且对返回给数据库管理程序的数据加密。

本发明的有益效果：

在没有安装终端控制客户端的终端环境中，数据库终端管理程序无法访问受保护数据库实例，在安装终端控制客户端的终端环境中，受保护数据库实例访问用户在操作数据库实例过程中的数据信息无意遗失和有意泄露都将被有效保护和控制。解决了数据库中的数据信息在终端环境使用过程中无法有效保护的问题。本发明与具体数据库系统无关，无需对数据库系统本身做任何二次改造。

附图说明

图1为数据存储和使用关系图；

图2为数据库终端管理程序与数据库实例安全通信流程图；

图3为终端控制客户端对数据库终端管理程序的文件操作控制流程图；

具体实施方式

为使本发明的目的和优点更加清楚，下面结合附图和实施样例对本发明作进一步的详细说明。

本发明的主要目的是控制数据库终端管理程序获取到受保护数据库实例后的数据信息流失，以此保证数据库中数据信息在终端环境使用的安全。

在以下的详细描述中，已经给出了很多具体细节，例如特定的方法顺序、结构、元件以及连接体。然而应当理解的是，这个以及其它具体细节例如：公共常识、系统环境元素等不一一详尽说明。

1）策略制定和应用；

策略由策略服务器统一制定和下发；其中策略服务器负责制定数据库实例验证端策略和终端控制客户端策略；并且策略服务器通过网络方式将策略应用到数据库实例验证端和终端控制客户端；

数据库实例验证端策略指定可访问的终端控制客户端集合，此集合的单个元素包含但是不限于终端控制客户端唯一标识、终端控制客户端IP地址、通信数据包加解密密钥等；数据库实例验证端仅对此集合内客户端的请求数据包做解密，以及应答数据包做加密；

终端控制客户端策略指定可访问的数据库实例集合策略，此集合的单个元素包含但不限于数据库实例唯一标识、数据库实例IP地址、数据库实例的控制方式、通信数据包加解密密钥等；数据库实例的控制方式包括但不限于禁止保存文件控制、导出文件加密控制、数据共享控制、网络访问控制、截屏控制及屏幕防拍照保护等；

单个数据库终端管理程序访问多个数据库实例时，数据库终端管理程序的策略是多个受保护数据库实例的集合，多个不同数据库实例的策略可以同时生效。

2）数据库终端管理程序与数据库实例之间通信过程加密

数据库终端管理程序访问策略指定的受保护数据库实例时应用对应策略。

数据库终端管理程序发起的访问数据库实例请求数据包被终端控制客户端进行强制加密；如果被访问数据库实例不是策略指定的受保护系统，则终端控制客户端对请求数据包不执行加密。

数据库实例验证端对接收到指定范围的数据库终端管理程序发来的加密后请求数据包进行解密处理，非指定范围的数据库终端管理程序发来的普通请求数据包不做解密处理。数据库实例验证端对返回给指定范围的数据库终端管理程序的数据进行加密处理。所述指定范围包括终端控制客户端唯一标识、终端控制客户端IP地址等。

数据库终端管理程序接收请求返回的结果，如果数据库实例是策略指定的受保护系统，加密数据包在经过终端控制客户端时会被做解密处理，否则不做任何处理。

其中数据包加解密密钥由策略服务器对数据库实例唯一指定，每个数据库实例有单独的加解密密钥；加解密密钥在数据库终端管理程序访问数据库实例之前下发给终端控制客户端和数据库实例验证端。

3）数据库终端管理程序数据流出控制

数据库终端管理程序访问策略指定的受保护数据库实例时应用对应策略。

如果策略设置为禁止将所述受保护数据库实例中的数据信息导出到本地终端，数据库终端管理程序执行数据信息导出时，首先进入终端控制客户端的禁止保存文件单元，此单元使用文件访问控制技术与策略进行决策是否拒绝文件保存。如果拒绝直接返回拒绝信息，否则做放行处理。如果文件保存被拒绝，终端控制客户端以消息窗口形式提示当前用户保存文件被拒绝。如果文件保存被拒绝，终端控制客户端会向策略服务器上传违规操作日志。

如果策略设置为允许将所述受保护数据库实例中的数据信息导出到本地终端且导出数据加密，数据库终端管理程序执行数据信息导出时，首先进入终端控制客户端的生成文件加密单元，此单元使用文件系统过滤技术与策略进行决策是否对导出文件执行强制加密。如果对导出文件执行加密，数据信息导出文件将被强制加密。所述加密后的数据信息导出文件只能导入到受保护数据库实例中，导入时终端控制客户端对导入数据做自动解密。

如果策略设置为禁止将所述受保护数据库实例中的数据信息共享。以剪贴板控制为例，如果当前剪贴板数据来源于访问受保护数据库实例的数据库终端管理程序，所诉剪贴板数据只能在数据库终端管理程序内粘贴，如果当前剪贴板数据来源于非所述数据库终端管理程序，所述剪贴板数据可以在任何应用程序内粘贴。所述数据信息共享控制除剪贴板控制之外，还包括但是不限于数据拖拽、OLE嵌入、COM公开接口、共享内存等其他数据共享方式。

如果策略设置为禁止访问所述受保护数据库实例的数据库终端管理程序访问网络，数据库终端管理程序访问网络时，首先进入终端控制客户端的网络访问控制单元，此单元使用网络及端口控制技术与策略进行决策是否禁止数据库终端管理程序访问网络。如果当前网络地址在允许访问的网络地址范围内，则允许访问，否则拒绝本次网络访问。

为了使本方法更加明确，这里根据数据流做分类，主要包含以下控制过程：

1）数据从数据库实例到数据库终端管理程序过程：

所有从数据库终端管理程序发往策略指定数据库实例的请求数据包和所有从策略指定数据库实例返回的应答数据包都会被加密。

所有数据库终端管理程序从策略指定数据库实例获取到的加密后应答数据包以及所有数据库实例从数据库终端管理程序得到的加密后请求数据包被解密处理。

这种数据库实例到数据库终端管理程序的数据传输加密保证数据库信息在通信过程中的传输安全。

2）禁止数据从数据库终端管理程序导出到本地终端过程：

对于访问策略指定的受保护数据库实例的数据库终端管理程序，利用文件访问控制技术，根据策略设置对文件的创建、读写等做禁止控制，防止数据库实例中的数据信息导出到本地而造成信息泄露。

3）允许数据从数据库终端管理程序导出到本地终端过程：

智能识别策略指定的受保护数据库实例及其数据库终端管理程序，利用文件系统过滤技术，根据策略设置对文件读写操作做实时过滤，保证数据库实例中数据信息导出到本地时被强制自动加密，数据以密文形式存储在本地存储介质或者网络共享位置，加密过程对用户完全透明。

导出后的加密数据可以导入到其他受保护数据库实例中，智能识别策略指定的受保护数据库实例及其数据库终端管理程序，利用文件系统过滤技术，根据策略设置对文件读写操作做实时过滤，保证加密后的导出数据在导入到受保护数据库实例时被自动解密，解密过程对用户完全透明。

4）数据从数据库终端管理程序到其它程序过程：

对于以进程间通信方式实现本地终端其它应用程序与数据库终端管理程序之间的数据交互控制；具体控制进程间通信的方式包括但是不限于：数据拖拽控制、内存共享、COM(Component Object Model)组件接口、OLE(Object Linking and Embedding)接口、剪贴板等；以剪贴板为例，从访问受保护数据库实例的数据库终端管理程序拷贝的数据被禁止粘贴到其它应用程序中，而在数据库终端管理程序内部可以自由使用剪贴板。

5）数据从数据库终端管理程序到网络或者其它端口转储过程：

使用网络及端口控制技术对数据库终端管理程序向网络或其他端口的转储过程做禁止控制。

为了更好的说明本发明的技术方案，以下结合附图继续拧说明。

图1是数据存储和使用关系图。

所述关系图中，对所有从数据库实例102流出的所有数据都经过数据库实例验证端101做加密处理；对所有访问数据库实例102的流入的所有数据都经过数据库实例验证端101做解密处理。这里如果在一个没有安装终端控制客户端的机器上数据库管理程序连接数据库实例时流入数据包将被做一次解密处理。对解密处理后的数据包，数据库实例无法识别然后作错误处理；同理如果一个安装了终端控制客户端的机器上数据库管理程序连接数据库实例时，同时如果此终端有该数据库实例的安全防护策略，则客户端可以正常连接，否则请求失败。

所述关系图中，数据库终端管理程序106所有形式的数据流出将会受数据流出控制104；如果数据库终端管理程序106如果通过数据共享方式108与其它应用程序105共享数据，这种情况将会被限制，限制范围包括但是不限于数据拖拽控制、内存共享、COM(ComponentObject Model)组件接口、OLE(Object Linking and Embedding)接口、剪贴板等数据共享方式。

如果数据库终端管理程序106通过文件形式存储的终端环境103的过程中将受数据流出控制104；数据流出控制104根据当前回调参数信息与策略进行决策是否拒绝文件保存或者文件加密。如果是拒绝保存则数据库终端管理程序无法保存文件到终端环境103；如果文件加密则数据库终端管理程序在终端环境生成的文件都是加密的，其它应用程序105无法明文读取加密文件数据。

所述关系图中，数据库终端管理程序106通过网络109流出数据到107网络服务或者其它计算机环境也将会被限制。

所述关系图中，数据库终端管理程序保存到终端环境103的加密文件通过网络110传输出去的文件也是加密数据，不会导致泄密。

图2是数据库终端管理程序与数据库实例安全通信流程图。

步骤202：数据库终端管理程序发起请求数据包；

步骤203、终端控制客户端解析请求数据包的目的地址，如果是策略指定的受保护数据库实例，则执行步骤204，否则将请求数据包转交当前终端系统处理；

步骤204、将请求数据按数据库实例保护策略指定加密方式加密数据，同时被加密的请求数据包不会影响数据的发送和接收过程；

步骤205、数据库实例验证端接收到任意的请求数据包后，判断是否为正常加密的请求数据包，如果是加密后请求数据包解密后交由数据库系统处理，否则向请求终端返回错误；

步骤206、数据库系统处理请求数据包后将请求数据发送到请求终端

步骤207、在发送过程中，数据库实例验证端加密所有返回数据包；

步骤208、终端控制客户端接收到数据库实例数据包后，解密数据包返回给数据库终端管理程序；

上述步骤204和步骤207的加密过程中加密算法不局限于一种，可以动态指定，例如AES、DES、Triple DES、SEAL等；加密密钥可以由服务器指定，服务器更换，终端控制客户端与数据库验证端之间的密钥不会影响数据库实例自身数据，也不会影响终端本地存储数据，加密密钥只对当前活动会话有效。

终端应用于数据库实例之间通信的数据包分为数据包头和数据包内容，上述步骤204和步骤207的加密方法是对数据包的内容进行加密，而对不会导致泄密的数据包请求头部分不做加密，可以保证数据包内容加密后不影响通信过程。

图3是终端控制客户端对数据库终端管理程序的文件操作控制流程图；

步骤302、终端控制客户端根据对应数据库实例策略决策是否需要拒绝文件保存，如果是执行步骤305；否则执行步骤303；

步骤303、终端控制客户端对数据库管终端管理程序生成的文件在文件写过程中动态实时加密；

步骤305、终端控制客户端对数据库终端管理程序保存的文件进行拒绝处理；

上述步骤处理过程对数据库终端程管理序完全透明，数据库终端管理程序无需修改任何接口、功能、模块。

上述步骤处理过程对所有类型数据库终端管理程序适用，同时其它数据流出控制也同样适用于所有类型数据库终端管理程序；不需要数据库终端管理程序做任何修改。

Claims (10)

1.一种数据库保护方法,其特征在于，包括：对数据库实例访问的数据库终端管理程序在终端环境中数据的所有流出方式做控制。

2.如权利要求1所述的数据库保护方法，其特征在于还包括：数据库终端管理程序与受保护数据库实例的通信过程在数据链接层作加密保护。

3.如权利要求1或2所述的数据库保护方法，其特征在于，所述数据流出控制方式包括禁止保存文件、加密导出文件、数据共享控制、网络访问控制。

4.如权利要求3所述的数据库保护方法，其特征在于，所述禁止保存文件为使用文件访问控制技术与策略进行决策是否禁止数据库终端管理程序文件保存。

5.如权利要求3所述的数据库保护方法，其特征在于，所述加密导出为使用文件系统过滤技术与策略进行决策是否对数据库终端管理程序导出文件执行强制加密；如果对导出文件执行加密，数据信息导出文件将被强制加密。

6.如权利要求3所述的数据库保护方法，其特征在于，所述数据共享控制为禁止访问数据库实例的数据库终端管理程序与终端其它程序之间数据共享。

7.如权利要求6所述的数据库保护方法，其特征在于，所述数据共享的方式包括剪贴板、数据拖拽、OLE嵌入、COM公开接口、共享内存。

8.如权利要求3所述的数据库保护方法，其特征在于，所述网络访问控制为禁止访问所述受保护数据库实例的数据库终端管理程序访问其它网络资源。

9.如权利要求2所述的数据库保护方法，其特征在于，所述通信过程加密保护策略由策略服务器指定和下发，并且由终端控制客户端和数据库实例验证端接收加密保护策略；在通信过程中由终端控制客户端和数据库实例验证端执行加密保护策略。

10.如权利要求9所述的数据库保护方法，其特征在于，所述通信过程中执行加密保护策略步骤如下：

1）终端控制客户端在终端对数据库管理程序发往数据库实例的数据加密，并且对数据库管理程序从数据库实例接收到的数据解密；

2）数据库实例验证在数据库服务器对来自于数据库管理程序的数据解密，并且对返回给数据库管理程序的数据加密。

Images