CN104063473B - 一种数据库审计监测系统及其方法 - Google Patents

Abstract

本发明公开一种数据库审计监测系统及其方法，包括硬件部分和模块部分，硬件部分包括交换机、局域网和数据库审计服务器，交换机通过被镜像端口在两端均接入局域网，并通过镜像端口与数据库审计服务器相连接，两端的局域网分别与访问数据库客户端以及数据库服务器相连通；模块部分包括WEB管理模块、本地数据库模块、数据采集模块和数据分析处理模块。本发明通过数据分析处理模块中的监听模块监测并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作、恶意攻击事件信息记入审计数据库中以便日后进行查询、分析，实现对目标数据库系统操作的监控和审计。

Description

一种数据库审计监测系统及其方法

技术领域

本发明涉及计算机领域，具体涉及一种针对电力行业的数据库审计监测系统及其方法。

背景技术

随着数据库的广泛应用以及用户数据保护和操作监控的意识逐渐增强，越来越多的用户对数据库安全方面提出了更高的要求：除了能够支撑业务系统的正常运行外，还要求数据库系统有较高的可靠性、保密性、可控性和可跟踪性。对数据库系统的各种操作是在有监控的条件下进行的，同时，对重要数据的操作也要保留历史痕迹。这样，当出现了重大的涉密业务办理失误，需要进行责任追查认定时，通过数据库审计为事后追踪和责任认定提供有力的证据。

传统的安全设备，如：IDS/IPS、防火墙，都是针对于边界防护，而且防护的方向对外而不是对内的。通常数据库服务器具有自身的日志审计功能，这样的日志功能也分为多种类型，如：连接审计，C2审计，SQL语句跟踪等，可以通过对配置项的修改，设置为启动或关闭，然而这样的日志审计功能有着其自身的缺陷和危害。日志审计功能并不能进行灵活的配置，仅仅是简单的日志记录，并不能帮助管理者及时发现问题，快速定位问题；数据库自身的日志审计，并不具有监测报警的功能，不能在第一时间将异常信息报告给数据库管理者，只能用于问题查证；日志审计的记录会存在一个特定文件或是一个表，恶意攻击者或是具有权限的合法用户都可以删除这样的日志文件，从而将记录毁灭；对数据库服务器的资源和性能都会产生影响：在开启某些日志审计功能后，有时候如果无法对日志文件进行写入时，就会导致数据库停止；还有一些日志审计功能一旦开启，记录量非常大，占用了大量的硬盘空间，同时大大降低数据库服务的性能，严重影响正常的应用的顺利进行。

发明内容

发明目的：本发明的目的在于解决现有技术中存在的不足，提供一种数据库审计监测系统及其方法。

技术方案：本发明的一种数据库审计监测系统，包括交换机、局域网和数据库审计服务器，所述交换机通过被镜像端口在两端均接入局域网，并通过镜像端口与数据库审计服务器相连接，所述两端的局域网分别与访问数据库客户端以及数据库服务器相连通；所述数据库审计服务器中包括WEB管理模块、本地数据库模块、数据采集模块和数据分析处理模块：

所述数据分析处理模块对数据采集模块从网卡上抓取到的网络包进行分析，分析数据流，并对其中传输的数据库协议数据包进行分析处理，解析出用户进行的数据库操作和对应的SQL语句，并根据策略分析本次操作是否需要记录和报警；

所述WEB管理模块通过接口获取数据分析处理模块和数据采集模块的状态，数据分析处理模块维持系统网络连接信息和数据库会话信息，支持同时捕获和分析多个客户端对多个数据库的访问操作；

所述本地数据库模块存储审计对象信息及对应策略，并把审计到的数据写入到数据库表中，供WEB管理模块查询。

优化的，所述数据分析处理模块如果分析出需要记录或报警，则通过调用数据库接口把解析结果和报警信息写入数据库，并且通过对SQL语句进行分析，提取出当前SQL操作的表和字段名称，通过调用智能分析接口保存到数据中。

优化的，所述WEB管理模块中设有策略管理模块、系统管理模块、用户管理模块、日志管理模块和报表管理模块，WEB管理模块由数据分析处理模块提供接口，并接受WEB管理模块发送的配置改变通知，调用数据接口重新读取系统配置。

优化的，所述数据分析处理模块实时监听网络中流动的数据报文，将符合规则要求的数据库操作报文上传到数据中心。

优化的，所述数据分析处理模块部署在网络的关键节点，并支持对多个数据源进行数据采集，数据中心收集数据分析处理模块发来的审计数据，并进行转储，分析，以及存储最终的可读解析数据，并可接受来自访问数据库客户端的数据挖掘请求。

本发明还公开了一种数据库审计监测方法，包括以下步骤：

(1)开启数据分析处理模块中的监控程序，参数为监测网卡的名称；

(2)将监控程序进行初始化，读取配置文件，并创建连接本地数据库的连接地址，该地址为一全局变量；

(3)根据步骤(2)中的连接地址，将本地数据库中的审计对象和策略全部读入到结构体中，并创建一个守护线程；

(4)步骤(3)中的守护线程监听来自网页的请求，并创建多个线程来响应网页的请求与命令；

(5)进入监测阶段，利用抓包工具抓取原始数据；

(6)将抓取到的数据交给使用IP协议解析出来源与目的IP，并首先匹配白名单；若客户端IP在白名单内，则进行步骤(5)；若客户端IP在黑名单中，则进行步骤(7)：

(7)将步骤(6)中的数据交给TCP协议解析解析出来源与目的端口；

(8)将数据整理成数据库协议样式的数据，交由协议解析模块来还原数据库语句；

(9)还原的数据库语句交由SQL语句模块处理，分析出关键词。

进一步的，所述客户端IP若与黑名单匹配成功，进行步骤(91)，否则进行步骤(92)；

(91)将解析出的会话与SQL语句写入到审计系统中，进行步骤(5)；

(92)若匹配策略成功，进行步骤(91)，否则进行步骤(5)。

以上步骤一直循环进行，实时审计监测，并且系统的开启与关闭可通过WEB管理模块开控制。

有益效果：与现有技术相比，本发明具有以下优点：

(1)本发明不但不会增加数据库系统自身的资源负担，还能够弥补数据系统自身审计一般对select语句审计的不足。

(2)本发明中的数据库审计文件格式简单统一、可进行进行事后分析取证，并且数据本机审计记录的安全性能高，日志不易被清理丢失。

(3)本发明中的自由配置监测策略可以有效防止管理员权限滥用；降低维护人员的安全隐患；保护重要数据安全；满足合规性要求，促进IT审计；促进落实规章制度监督管理机制。

(4)本发明除可以应用于电力行业数据库，还可以应用于其他行业，实用性强。

附图说明

图1为本发明中的设备架构示意图；

图2为本发明的整体框架示意图；

图3为本发明的逻辑示意图；

图4为本发明的监测程序流程示意图。

具体实施方式

下面对本发明技术方案结合附图进行详细说明。

本发明中的数据库审计监测系统，主要通过数据分析处理模块中的监听模块监测并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作、恶意攻击事件信息记入审计数据库中以便日后进行查询、分析，实现对目标数据库系统操作的监控和审计。

本发明可以审计监测不同的数据库，结构体中包含数据库客户端的IP范围，白名单表示不审计此IP范围内的客户端，黑名单表示此IP范围内的客户端不论对数据库做了什么操作全部记录到审计系统中，而对于不在黑白名单内的客户端，则由policylist策略链表字段审计过滤，将满足策略的数据库语句写入到数据库审计系统中。

如图1至图4所示，本发明的一种数据库审计监测系统，包括交换机、局域网和数据库审计服务器，交换机通过被镜像端口在两端均接入局域网，并通过镜像端口与数据库审计服务器相连接，两端的局域网分别与访问数据库客户端以及数据库服务器相连通；数据库审计服务器中包括WEB管理模块、本地数据库模块、数据采集模块和数据分析处理模块：

其中数据分析处理模块对数据采集模块从网卡上抓取到的网络包进行分析，分析数据流，并对其中传输的数据库协议数据包进行分析处理，解析出用户进行的数据库操作和对应的SQL语句，并根据策略分析本次操作是否需要记录和报警，如果分析出需要记录或报警，则通过调用数据库接口把解析结果和报警信息写入数据库，并且通过对SQL语句进行分析，提取出当前SQL操作的表和字段名称，通过调用智能分析接口保存到数据中；WEB管理模块通过接口获取数据分析处理模块和数据采集模块的状态，数据分析处理模块维持系统网络连接信息和数据库会话信息，支持同时捕获和分析多个客户端对多个数据库的访问操作；本地数据库模块存储审计对象信息及对应策略，并把审计到的数据写入到数据库表中，供WEB管理模块查询。

不管访问数据库客户端以怎样的方式连接到远程数据库服务器，最关键的是数据库审计监测系统对外连接的网口要连接在镜像端口上，被镜像端口连接有数据库服务器的一端，这样监测程序可以抓取到客户端操作数据库的数据，不需要原网络做任何的修改调整，不影响实际业务网络的正常运行。如果在数据库服务器的部署比较分散，或者规模比较大，需要考虑支持一个引擎的多路采集，也需要考虑部署多个采集引擎。

上述WEB管理模块由数据分析处理模块提供接口，并接受WEB管理模块发送的配置改变通知，调用数据接口重新读取系统配置。

上述数据分析处理模块实时监听网络中流动的数据报文，将符合规则要求的数据库操作报文上传到数据中心，并且数据分析处理模块可以部署在网络的关键节点，并支持对多个数据源进行数据采集，数据中心收集数据分析处理模块发来的审计数据，并进行转储，分析，以及存储最终的可读解析数据，并可接受来自访问数据库客户端的数据挖掘请求。

上述的数据库审计监测系统中涉及到的审计对象(数据库应用系统)、审计策略等所有信息均以结构体的形式表示，审计对象结构体定义如下：

typedef struct__DATABASE_ITEM

{

unsigned int database_id；

char*alias_name；

unsigned int db_address；

unsigned short db_port；

unsigned char dbTypeIndex；

POLICY_ITEM*policylist；

IP_RANGE*ip_whitelist；

IP_RANGE*ip_blacklist；

}DATABASE_ITEM；

由dbTypeIndex字段可以看出本发明能够审计不同的数据库，结构体中包含数据库客户端的IP范围，白名单表示不审计此IP范围内的客户端，黑名单表示此IP范围内的客户端不论对数据库做了什么操作全部记录到审计系统中，而对于不在黑白名单内的客户端，则由policylist策略链表字段审计过滤，将满足策略的数据库语句写入到数据库审计系统中。策略结构体定义如下:

typedef struct__POLICY_ITEM{

POLICY_ITEM*next；

unsigned int policy_id；

unsigned int priority；

unsigned int databse_id；

unsigned int op_type；

long long op_time；

unsigned int op_records；

unsigned int op_tables；

unsigned char op_result；

IP_RANGE*ip_range；

POLICY_KEYWORD*keywords；

DB_USER*db_users；

POLICY_ACTION action；

int max_relevantcount；

void*matchObj；

unsigned char is_valid；

}POLICY_ITEM；

该结构体内包含了策略的基本属性如策略ID，优先级等和对应的一些小策略，时间策略、内容策略。开启监测程序后，会从数据库审计系统中读取相应信息到上述结构体中，进行数据库审计。具体的流程包括以下步骤：

(1)开启数据分析处理模块中的监控程序，参数为监测网卡的名称；

(2)将监控程序进行初始化，读取配置文件，并创建连接本地数据库的连接地址，该地址为一全局变量；

(3)根据步骤(2)中的连接地址，将本地数据库中的审计对象和策略全部读入到结构体中，并创建一个守护线程；

(4)步骤(3)中的守护线程监听来自网页的请求，并创建多个线程来响应网页的请求与命令；

(5)进入监测阶段，利用抓包工具抓取原始数据；

(6)将抓取到的数据交给使用IP协议解析出来源与目的IP，并首先匹配白名单；若客户端IP在白名单内，则进行步骤(5)；若客户端IP在黑名单中，则进行步骤(7)：

(7)将步骤(6)中的数据交给TCP协议解析解析出来源与目的端口；

(8)将数据整理成数据库协议样式的数据，交由协议解析模块来还原数据库语句；

(9)还原的数据库语句交由SQL语句模块处理，分析出关键词。

其中，上述客户端IP若与黑名单匹配成功，进行步骤(91)，否则进行步骤(92)；

(91)将解析出的会话与SQL语句写入到审计系统中，进行步骤(5)；

(92)若匹配策略成功，进行步骤(91)，否则进行步骤(5)。

Claims (6)

1.一种数据库审计监测系统的审计监测方法，其特征在于：所述数据库审计监测系统包括交换机、局域网和数据库审计服务器，所述交换机通过被镜像端口在两端均接入局域网，并通过镜像端口与数据库审计服务器相连接，所述两端的局域网分别与访问数据库客户端以及数据库服务器相连通；所述数据库审计服务器中包括WEB管理模块、本地数据库模块、数据采集模块和数据分析处理模块：所述数据分析处理模块对数据采集模块从网卡上抓取到的网络包进行分析，分析数据流，并对其中传输的数据库协议数据包进行分析处理，解析出用户进行的数据库操作和对应的SQL语句，并根据策略分析本次操作是否需要记录和报警；所述WEB管理模块通过接口获取数据分析处理模块和数据采集模块的状态，数据分析处理模块维持系统网络连接信息和数据库会话信息，支持同时捕获和分析多个客户端对多个数据库的访问操作；所述本地数据库模块存储审计对象信息及对应策略，并把审计到的数据写入到数据库表中，供WEB管理模块查询；

具体的审计监测方法包括以下步骤：

(1)开启数据分析处理模块中的监控程序，参数为监测网卡的名称；

(2)将监控程序进行初始化，读取配置文件，并创建连接本地数据库的连接地址，该地址为一全局变量；

(3)根据步骤(2)中的连接地址，将本地数据库中的审计对象和策略全部读入到结构体中，并创建一个守护线程；

(4)步骤(3)中的守护线程监听来自网页的请求，并创建多个线程来响应网页的请求与命令；

(5)进入监测阶段，利用抓包工具抓取原始数据；

(6)将抓取到的数据交给使用IP协议解析出来源与目的IP，并首先匹配白名单；若客户端IP在白名单内，则进行步骤(5)；若客户端IP在黑名单中，则进行步骤(7)：

(7)将步骤(6)中的数据交给TCP协议解析解析出来源与目的端口；

(8)将数据整理成数据库协议样式的数据，交由协议解析模块来还原数据库语句；

(9)还原的数据库语句交由SQL语句模块处理，分析出关键词。

2.根据权利要求1所述的数据库审计监测系统的审计监测方法，其特征在于：所述数据分析处理模块若分析出需要记录或报警，则通过调用数据库接口把解析结果和报警信息写入数据库，并且通过对SQL语句进行分析，提取出当前SQL操作的表和字段名称，通过调用智能分析接口保存到数据中。

3.根据权利要求1所述的数据库审计监测系统的审计监测方法，其特征在于：所述WEB管理模块由数据分析处理模块提供接口，并接受WEB管理模块发送的配置改变通知，调用数据接口重新读取系统配置。

4.根据权利要求1所述的数据库审计监测系统的审计监测方法，其特征在于：所述数据分析处理模块实时监听网络中流动的数据报文，将符合规则要求的数据库操作报文上传到数据中心。

5.根据权利要求1所述的数据库审计监测系统的审计监测方法，其特征在于：所述数据分析处理模块部署在网络的关键节点，并支持对多个数据源进行数据采集，数据中心收集数据分析处理模块发来的审计数据，并进行转储，分析，以及存储最终的可读解析数据，并可接受来自访问数据库客户端的数据挖掘请求。

6.根据权利要求1所述的数据库审计监测方法，其特征在于所述客户端IP若与黑名单匹配成功，进行步骤(91)，否则进行步骤(92)；

(91)将解析出的会话与SQL语句写入到审计系统中，进行步骤(5)；

(92)若匹配策略成功，进行步骤(91)，否则进行步骤(5)。