CN104077284A - 一种数据安全访问方法及系统 - Google Patents

Abstract

本发明提供一种数据安全访问方法及系统，所述方法包括：预先配置数据安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则；探针获取用户的数据访问请求；根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句；根据所述调整后的SQL语句对数据发起访问，根据所述表的安全规则和字段安全规则对访问结果过滤后，返回给所述用户。与现有技术相比，本发明根据当时使用者产生不同的数据结果，从而提高应用程序访问数据的透明度，并提高数据访问的安全度。

Description

一种数据安全访问方法及系统

技术领域

本发明涉及数据安全技术领域，尤其涉及一种数据安全访问方法及系统。

背景技术

数据安全是指对数据的授权访问做区别对待，让最终用户只能看到被授权允许访问的数据。从安全保障的策略上可以分为数据库级的安全控制和应用系统的安全控制。数据库级的安全控制能力由数据库产品自身提供，一般数据库产品通过授权，建立数据库角色和数据的访问权限。应用系统安全控制，是将数据安全作为应用的系统的功能，逐一进行开发控制。

在实现本发明的过程中，发明人发现现有的导航方案存在如下缺点：

在现有的数据安全控制，基于数据库自身提供的安全控制，只能通过数据库角色进行授权，数据库角色都比较简单无法满足实际应用中的复杂安全控制规则。

应用安全控制，属于功能开发实现，可以实现复杂的安全控制，但存在以下问题：当安全规则发生变化时，需要修改大量的应用程序代码。在基于即席查询的应用场景中，安全控制变得非常困难。当只需要控制数据中某些属性的安全级别时，应用程序的功能很难被预定制。

现有技术中，尚没有一种应用程序透明度高、数据访问安全度高的方案。

发明内容

本发明的目的在于克服现有技术的缺点和不足，提供一种数据安全访问方法及系统。

一种数据安全访问方法，所述方法包括：

预先配置数据安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则；

探针获取用户的数据访问请求；

根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句；

根据所述调整后的SQL语句对数据发起访问，根据所述表的安全规则和字段安全规则对访问结果过滤后，返回给所述用户。

所述数据安全访问规则，还包括：

表的安全级别，字段的安全级别，用户对表、字段的访问限制级别，表数据与用户属性的匹配规则。

所述探针通过动态注入到数据访问组件，当有用户的数据访问请求时，探针监测访问请求的SQL语句并记录。

所述根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句，包括：

将所述探针传入的SQL语句进行解析，构建SQL分词；

根据所述SQL分词得到所需访问的所述表及表的相关字段；

从所述表的安全规则加载表的安全控制信息和所述字段安全规则，同时加载所述用户属性信息；

根据所述用户属性规则以及所述用户与所述表的数据匹配规则确定是否需要对数据访问进行过滤；

根据过滤结果，构建新的SQL语句。

所述方法还包括：

确定数据访问涉及的表是否需要安全审批，若是，进行安全审批请求，并在请求通过后进行数据访问；否则，直接进行数据访问。

所述根据所述表的安全规则和字段安全规则对访问结果过滤，包括：

判断所述数据访问针对的表和字段是否涉及到敏感字段，若是，将相应的字段置空；否则，直接返回数据访问结果。

一种数据安全访问系统，所述系统包括数据安全设置单元、探针单元、语句调整单元和过滤单元，其中，

所述安全设置单元，用于预先配置数据安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则；

所述探针单元，用于获取用户的数据访问请求；

所述语句调整单元，用于根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句；

所述过滤单元，用于根据所述调整后的SQL语句对数据发起访问，根据所述表的安全规则和字段安全规则对访问结果过滤后，返回给所述用户。

所述系统还包括审计控制单元，用于根据所述表的安全级别对所述用户访问权限进行审批管理。

所述审计控制单元，还用于记录数据访问日志，并通过所述日志进行数据安全访问的审计分析。

所述语句调整单元具体包括分词子单元、表字段获取子单元、加载子单元、过滤子单元和构建子单元，其中，

所述分词子单元，用于将所述探针传入的SQL语句进行解析，构建SQL分词；

所述表字段获取子单元，用于根据所述SQL分词得到所需访问的所述表及表的相关字段；

所述加载子单元，用于从所述表的安全规则加载表的安全控制信息和所述字段安全规则，同时加载所述用户属性信息；

所述过滤子单元，用于根据所述用户属性规则以及所述用户与所述表的数据匹配规则确定是否需要对数据访问进行过滤；

所述构建子单元，用于根据过滤结果，构建新的SQL语句。

本发明实施例通过预先配置数据安全访问规则，然后根据探针获取的数据访问请求，分析对应的用户属性、SQL语句、所需访问的表和字段，结合设定的安全规则、匹配规则等调整SQL语句，根据调整后的SQL语句访问数据内容，并在对访问结果进行过滤后返回给相应的用户。进一步的，还可以对用户属性相对应的权限进行控制和审批，用以分层次级别的控制数据的安全访问。与现有技术相比，本发明利用SQL解析控制数据安全透明访问，并利用SQL解析技术识别SQL语句中敏感表和字段，将数据安全的控制规则从应用中进行分离出独立控制系统，应用程序以正常的方式进行功能开发，当运行时，应用程序产生的访问同一SQL语句，能够根据当时使用者产生不同的数据结果，从而提高应用程序访问数据的透明度，并提高数据访问的安全度。

附图说明

图1为本发明实施例1提供的数据安全访问方法原理流程图；

图2为本发明实施例2提供的数据安全访问系统结构示意图；

图3为本发明实施例3提供的语句调整单元结构示意图。

具体实施方式

下面结合附图对本发明的具体实施方式进行详细描述。但本发明的实施方式不限于此。

本发明实施例中，同样的SQL(Structured Query Language，结构化查询语言)语句，能够根据不同的使用者返回不同的数据结果。例如，在现有的系统上，不用修改现在运行应用程序，就可以实现对敏感字段进行加密输出。

本发明实施例所实现的核心功能点包括：能够识别查询的SQL涉及到的表的安全级别，如果安全级别高的在申请审批通过后方可返回数据给应用。能够识别查询的SQL涉及所有字段的安全级别，如是否安全包含手机号码，帐号等安全级别高的字段，根据规则控制，对敏感字段可以输出，加密输出或不输出或需要申请审批后再输出。对一个查询SQL，根据用户不同属性和规则控制要求，能够自动加入条件进行数据过滤。如对销售记录的查询SQL，如果是总部用户可以查询所有记录，如果是某个分支机构的用户，自动过滤出这个分支机构的数据。

如图1所示，为本发明实施例1提供的数据安全访问方法原理流程图，具体如下：

步骤10，预先配置数据安全访问规则。

这里，系统运行时必须先对安全规则进行初始化配置。配置数据安全访问规则，包括设置表的安全级别、字段的安全级别、设置用户对表、字段的访问限制级别、表数据跟用户属性的匹配规则等。也就是至少要包括表的安全规则、数据匹配规则、字段安全规则和用户属性规则，具体来说，需要配置如下规则信息：

表的安全规则配置关键要素说明如下：

表的名称：要进行安全控制的表名，支持正则表达式，如可以支持表名包含关键词，或以什么开头，结束的表名。

访问安全级别：分为2个等级。1级，是普通的表，只需要进行过滤。2级，是敏感的表，需要经过审批才能访问的。

操作的安全级别：此表的数据哪些角色人员（用户）可以进行修改、删除或其它操作。

安全管理员：表对应的安全管理员信息，当表是敏感表，由其进行审批。

数据匹配规则：指明表数据过滤时采用的跟用户属性匹配的规则。例如，当用户是某个机构的用户只能访问此表的机构编码字段等于用户归属机构；当用户是高级管理员，不需要过滤等。

字段的安全规则配置表字段安全规则，关键要素如下：

字段名称：需要对某个表的哪个字段设置安全规则。

安全级别：安全级别分为3个级别。1级，普通字段，可以明文输出；2级，敏感字段，需要加密输出。3级，不允许输出。

用户属性设置用户的基本属性。包括用户的名称、角色、归属机构等。一般可以采用现有的系统的用户角色信息表的数据。

步骤20，探针获取用户的数据访问请求。

一般来说，探针是一个独立的应用程序，通过它可以得到应用系统对数据库执行情况记录，记录下来，可以打印到控制台、输出到文件，通过socket传送给SQL安全控制器。

通常来说，探针主要是用于探测并获取用户的数据访问请求。用户通常通过应用系统来对数据所在的数据库进行访问。探针通过获取用户访问请求或者通过数据库访问记录来获取用户的数据访问请求。

通常通过动态注入方式，将SQL探针注入的数据访问组件，如jdbc或odbc。当有向jdbc/odbc请求查询时，探针会监测到查询请求的SQL语句，将SQL语句传给SQL信息安全控制器。

将探针安装包安装到应用服务器的机器上，通过简单配置，就可以实现捕获数据的访问操作日志。配置修改方法如下：

对jdbc，修改方案如下：

将原来的连接字符串jdbc:oracle:thin:10.10.65.252:1521:ora10g，改为如下：listener=jdbc:oracle:thin:10.10.65.252:1521:ora10g。

对于WebLogic,Tomcat或其他服务器的数据源功能的时候，直接修改配置文件就可以。

探针捕获到的日志输出内容包括：当前用户名，SQL语句，时间。

步骤30，根据数据访问请求对应的用户属性和SQL语句，分析所需访问的表和字段，结合用户属性规则和数据匹配规则，调整SQL语句。

主要完成将探针传入的SQL，进行SQL解析，分析查询用到的表和字段，结合当前用户的信息和数据安全控制，调整SQL语句。

这里，输入的调用的信息包括：用户名，SQL语句。

对输入SQL进行解析，根据输入的SQL语句，调用Lex parser构建SQL分词，输出给Yacc编译器，建立SQL语法树，构建层次结构的java对象。

根据SQL解析结果，可以得到用到所有的表及其表的相关字段。

从表的安全规则信息加载表的安全控制信息和字段安全控制信息，同时加载当前用户的信息。规则计算当前查询所包含的敏感表和敏感字段信息。以及当前用户对这些表的数据过滤规则。

判断是否需要根据用户属性过滤。如果查询的表都不需要根据用户属性过滤，则提交原始输入SQL到数据库查询。如果查询的表需要根据用户属性过滤，则根据当前用户属性，构建新查询SQL。例如，表指定了需要按机构字段跟用户归属机构进行匹配，则构建新的子查询SQL为：

Select*from(原来输入的SQL语句)where机构字段=用户所在机构的编码。然后提交新的子查询SQL，返回数据。

也就是，将探针传入的SQL语句进行解析，构建SQL分词；根据SQL分词得到所需访问的表及表的相关字段；从表的安全规则加载表的安全控制信息和字段安全规则，同时加载用户属性信息；根据用户属性规则以及用户与表的数据匹配规则确定是否需要对数据访问进行过滤；根据过滤结果，构建新的SQL语句。

进一步的，上述的过程中，还包括判断是否需要审批的步骤：

如果当前查询涉及表的安全级别都是普通的，即不需要审批，直接进行数据访问。

如果涉及的表有需要审批的，则从审计日志中查询当前用户对此表的查询，如果没有有效申请单，则转向申请单模块进行申请。

审批的过程，通常需要审计控制子系统来完成。这个子系统记录了所有的数据库访问的日志，便于事后进行审计分析；同时提供用户访问权限的申请、审批管理。

当使用某一个应用时，探针就会捕获到此应用访问数据库的所有SQL语句，经SQL安全进行控制器分析访问SQL中包含的表的安全级别是需要进行审批时，应用就会转向数据安全访问申请模块，同时给出需要申请访问的敏感表。

使用人员填写访问原因和申请使用天数，提交申请单。系统通知数据安全管理员进行审批。

数据安全管理员查看申请单，进行审批，通过之后发送信息通知申请人员。申请人员就可以继续使用应用。

在过了表的申请期限后，安全控制系统会自动收回表的权限，这时使用者就不能使用应用了，需要重新填写申请当。

步骤40，根据调整后的SQL语句对数据发起访问，根据表的安全规则和字段安全规则对访问结果过滤后，返回给用户。

根据查询安全检查分析，是否有涉及到敏感字段，如果没有敏感字段，则将当前查询的结果数据直接返回。

如果有涉及到敏感字段，则对敏感字段进行扰乱处理，采用加密处理，如果有涉及字段不允许输出，则将查询结果对应的字段置空。

至此，数据安全访问流程结束，解决应用程序透明、安全访问数据，即将数据安全的控制规则从应用中进行分离出独立控制系统，应用程序以正常的方式进行功能开发，当运行时，应用程序产生的访问同一SQL语句，能够根据当时使用者产生不同的数据结果。

如图2所示，本发明实施例2提供了一种数据安全访问系统，该系统包括数据安全设置单元100、探针单元200、语句调整单元300和过滤单元400，具体如下：

安全设置单元100，用于预先配置数据安全访问规则。

这里的安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则。实际上，数据安全访问规则包括设置表的安全级别、字段的安全级别、设置用户对表、字段的访问限制级别、表数据跟用户属性的匹配规则等。

探针单元200，用于获取用户的数据访问请求。

语句调整单元300，用于根据数据访问请求对应的用户属性和SQL语句，分析所需访问的表和字段，结合用户属性规则和数据匹配规则，调整SQL语句。

过滤单元400，用于根据调整后的SQL语句对数据发起访问，根据表的安全规则和字段安全规则对访问结果过滤后，返回给用户。

特别的，该系统还包括审计控制单元500，用于根据表的安全级别对用户访问权限进行审批管理。

特别的，该审计控制单元500，还用于记录数据访问日志，并通过日志进行数据安全访问的审计分析。

特别的，如图3所示，本发明实施例3提供的语句调整单元300具体包括分词子单元301、表字段获取子单元302、加载子单元303、过滤子单元304和构建子单元305，具体如下：

分词子单元301，用于将探针传入的SQL语句进行解析，构建SQL分词；

表字段获取子单元302，用于根据SQL分词得到所需访问的表及表的相关字段；

加载子单元303，用于从表的安全规则加载表的安全控制信息和字段安全规则，同时加载用户属性信息；

过滤子单元304，用于根据用户属性规则以及用户与表的数据匹配规则确定是否需要对数据访问进行过滤；

构建子单元305，用于根据过滤结果，构建新的SQL语句。

需要说明的是：上述实施例提供的数据安全访问系统在数据安全访问时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将系统的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的数据安全访问方法与数据安全访问系统实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

综上，本发明实施例通过预先配置数据安全访问规则，然后根据探针获取的数据访问请求，分析对应的用户属性、SQL语句、所需访问的表和字段，结合设定的安全规则、匹配规则等调整SQL语句，根据调整后的SQL语句访问数据内容，并在对访问结果进行过滤后返回给相应的用户。进一步的，还可以对用户属性相对应的权限进行控制和审批，用以分层次级别的控制数据的安全访问。与现有技术相比，本发明利用SQL解析控制数据安全透明访问，并利用SQL解析技术识别SQL语句中敏感表和字段，将数据安全的控制规则从应用中进行分离出独立控制系统，应用程序以正常的方式进行功能开发，当运行时，应用程序产生的访问同一SQL语句，能够根据当时使用者产生不同的数据结果，从而提高应用程序访问数据的透明度，并提高数据访问的安全度。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (10)

1.一种数据安全访问方法，其特征在于，所述方法包括：

预先配置数据安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则；

探针获取用户的数据访问请求；

根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句；

根据所述调整后的SQL语句对数据发起访问，根据所述表的安全规则和字段安全规则对访问结果过滤后，返回给所述用户。

2.如权利要求1所述的方法，其特征在于，所述数据安全访问规则，还包括：

表的安全级别，字段的安全级别，用户对表、字段的访问限制级别，表数据与用户属性的匹配规则。

3.如权利要求1所述的方法，其特征在于，所述探针通过动态注入到数据访问组件，当有用户的数据访问请求时，探针监测访问请求的SQL语句并记录。

4.如权利要求1所述的方法，其特征在于，所述根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句，包括：

将所述探针传入的SQL语句进行解析，构建SQL分词；

根据所述SQL分词得到所需访问的所述表及表的相关字段；

从所述表的安全规则加载表的安全控制信息和所述字段安全规则，同时加载所述用户属性信息；

根据所述用户属性规则以及所述用户与所述表的数据匹配规则确定是否需要对数据访问进行过滤；

根据过滤结果，构建新的SQL语句。

5.如权利要求4所述的方法，其特征在于，所述方法还包括：

确定数据访问涉及的表是否需要安全审批，若是，进行安全审批请求，并在请求通过后进行数据访问；否则，直接进行数据访问。

6.如权利要求1所述的方法，其特征在于，所述根据所述表的安全规则和字段安全规则对访问结果过滤，包括：

判断所述数据访问针对的表和字段是否涉及到敏感字段，若是，将相应的字段置空；否则，直接返回数据访问结果。

7.一种数据安全访问系统，其特征在于，所述系统包括数据安全设置单元、探针单元、语句调整单元和过滤单元，其中，

所述安全设置单元，用于预先配置数据安全访问规则，包括但不限于表的安全规则、数据匹配规则、字段安全规则和用户属性规则；

所述探针单元，用于获取用户的数据访问请求；

所述语句调整单元，用于根据所述数据访问请求对应的用户属性和SQL语句，分析所需访问的所述表和字段，结合所述用户属性规则和数据匹配规则，调整所述SQL语句；

所述过滤单元，用于根据所述调整后的SQL语句对数据发起访问，根据所述表的安全规则和字段安全规则对访问结果过滤后，返回给所述用户。

8.如权利要求7所述的系统，其特征在于，所述系统还包括审计控制单元，用于根据所述表的安全级别对所述用户访问权限进行审批管理。

9.如权利要求7所述的系统，其特征在于，所述审计控制单元，还用于记录数据访问日志，并通过所述日志进行数据安全访问的审计分析。

10.如权利要求7～9任一所述的系统，其特征在于，所述语句调整单元具体包括分词子单元、表字段获取子单元、加载子单元、过滤子单元和构建子单元，其中，

所述分词子单元，用于将所述探针传入的SQL语句进行解析，构建SQL分词；

所述表字段获取子单元，用于根据所述SQL分词得到所需访问的所述表及表的相关字段；

所述加载子单元，用于从所述表的安全规则加载表的安全控制信息和所述字段安全规则，同时加载所述用户属性信息；

所述过滤子单元，用于根据所述用户属性规则以及所述用户与所述表的数据匹配规则确定是否需要对数据访问进行过滤；

所述构建子单元，用于根据过滤结果，构建新的SQL语句。