CN105528558B - 一种隐蔽信道通信的检测方法及装置 - Google Patents

Abstract

本发明公开了一种隐蔽信道通信的检测方法及装置。所述方法包括确定可能被用户利用进行隐蔽通信的数据库对象；监控用户对所述数据库对象的操作是否满足设定扩展规则；对满足设定扩展规则的操作按照设定方式进行试探性测试；将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。本发明解决因对所有的潜在隐蔽信道进行度量和处置产生不必要的性能消耗及降低系统效率的问题，将隐蔽信道的使用主体是自然人还是程序进行区分，达到了降低对隐蔽信道进行度量和处置的性能消耗及提高系统效率的效果。

Description

一种隐蔽信道通信的检测方法及装置

技术领域

本发明实施例涉及数据库技术，尤其涉及一种隐蔽信道通信的检测方法及装置。

背景技术

隐蔽信道是指允许进程以危害系统安全策略的方式传输信息的通信信道。

隐蔽信道的概念最初是Lampson在1973年提出，其给出的隐蔽信道定义为：不是被设计或本意不是用来传输信息的通信信道。在这篇开创性的文章里，Lampson关注于程序的限制问题，即如何在程序的执行过程中进行限制，使其不能向其他未授权的程序传输信息。他列举了恶意或行为不当的程序绕过限制措施，泄露数据的6种方法和相应的处理措施，并把这些方法归纳为3种类型:存储信道，合法信道和“隐蔽信道”。后续的研究将隐蔽信道重新划分为两种类型:存储隐蔽信道和时间隐蔽信道，统称隐蔽信道。其中:时间隐蔽信道对应于Lampson所指的“隐蔽信道”；合法信道则是一种阈下信道(subliminal channel)，是公开信道中所建立的一种实现隐蔽通信的方式。信道中公开的、有意义的信息仅仅充当了秘密信息的载体，秘密信息通过它进行传输。这种隐蔽传输信息的方式后来逐渐淡出了隐蔽信道研究的中心，形成了相对独立的研究领域。

隐蔽信道分析工作包括信道识别、度量和处置。信道识别是对系统的静态分析，强调对设计和代码进行分析发现所有潜在的隐蔽信道。信道度量是对信道传输能力和威胁程度的评价。信道处置措施包括信道消除、限制和审计。隐蔽信道消除措施包括修改系统、排除产生隐蔽信道的源头、破坏信道的存在条件.限制措施要求将信道危害降低到系统能够容忍的范围内。但是，并非所有的潜在隐蔽信道都能被入侵者实际利用，如果对所有的潜在隐蔽信道进行度量和处置会产生不必要的性能消耗，降低系统效率。另外，由于目前的基于隐蔽信道判断规则对于隐蔽信道的使用主体是自然人还是程序不做区分，因而检测隐蔽信道技术存在误判率高和漏检的情况。

发明内容

本发明提供一种隐蔽信道通信的检测方法及装置，以实现降低对隐蔽信道进行度量和处置的性能消耗及提高系统效率的目的。

第一方面，本发明实施例提供了一种隐蔽信道通信的检测方法，包括：

确定可能被用户利用进行隐蔽通信的数据库对象；

监控用户对所述数据库对象的操作是否满足设定扩展规则；

对满足设定扩展规则的操作按照设定方式进行试探性测试；

将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。

第二方面，本发明实施例还提供了一种隐蔽信道通信的检测装置，该装置包括：

数据库对象确定单元，用于确定可能被用户利用进行隐蔽通信的数据库对象；

操作监控单元，用于监控用户对所述数据库对象的操作是否满足设定扩展规则；

试探性测试单元，用于对满足设定扩展规则的操作按照设定方式进行试探性测试；

异常操作确定单元，用于将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。

本发明通过确定可能被用户利用进行隐蔽通信的数据库对象；监控用户对所述数据库对象的操作是否满足设定扩展规则；对满足设定扩展规则的操作按照设定方式进行试探性测试；将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。本发明解决因对所有的潜在隐蔽信道进行度量和处置产生不必要的性能消耗及降低系统效率的问题，将隐蔽信道的使用主体是自然人还是程序进行区分，达到了降低对隐蔽信道进行度量和处置的性能消耗及提高系统效率的效果。

附图说明

图1是本发明实施例一中的一种隐蔽信道通信的检测方法的流程图；

图2是本发明实施例二中的一种隐蔽信道通信的检测装置的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

实施例一

图1为本发明实施例一提供的隐蔽信道通信的检测方法的流程图，本实施例可适用于对潜在隐蔽信道的相关操作进行监测和记录，通过分析记录，检测出入侵者对信道的实际使用操作的情况，该方法可以由隐蔽信道通信的检测装置来执行，具体包括如下步骤：

S110、确定可能被用户利用进行隐蔽通信的数据库对象。

其中，数据库对象包括可能被用户利用以进行隐蔽通信的共享的数据库资源。

终端获取用户对数据库对象的操作，根据所述数据库对象确定用户可操作的共享资源；根据所述共享资源构建共享资源矩阵，通过共享资源矩阵确定可能被用户利用进行隐蔽通信的数据库对象。例如，利用共享资源矩阵法确定可能的隐蔽通道，具体包括：1)分析全部TCB原语操作,确定用户通过TCB接口可见/可修改的共享资源属性；2)构造共享资源矩阵,该矩阵的行对应TCB原语,列对应可见/可修改的共享资源属性；如果一个原语可以读一个变量，则将该矩阵项标记为R，如果一个原语可以修改一个变量，则将该矩阵项标记为M；3)对共享资源矩阵完成传递闭包操作；分析每个矩阵行，找出同时包含R和M的行，并删去其他矩阵行。当一个进程可以读一个变量且另一个进程可以写该变量时，如果写进程的安全级支配读进程的安全级,就可能产生潜在的隐蔽通道。

S120、监控用户对所述数据库对象的操作是否满足设定扩展规则。

其中，所述设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作。例如，同一用户在一个时间段内，反复做同样的操作，如建立同样表名的表。还可能是有一个用户在每隔5秒钟建立一个表，若建立一个表则在随后的下一个5秒钟的时间段内执行删除这个表的操作。以及，还可能是有一个用户每隔5秒钟对一个表进行插入操作，且插入同样的数据，如果有插入操作则在随后的下一个5秒钟的时间段内却删除这个数据的操作。应当注意的是，对于设定扩展规则越全面及越合理，最后处理隐蔽信道的效果就越好。该设定扩展规则的设定不是一成不变的，而是随着研究的发展与经验的总结进行不断完善的。

终端监控用户操作数据库对象的方式及次数，以确定用户是否对同一个或同一组数据库对象进行多次重复操作。若终端监控到同一用户每隔5秒建立一个表a，在建立表a之后，在随后的下一个5秒钟的时间段内又执行删除该表a的操作。如此重复检查到多次建立数据表以及随后删除相应新建数据表的操作，则确定该用户对所述数据库对象的操作满足设定扩展规则。

S130、对满足设定扩展规则的操作按照设定方式进行试探性测试。

其中，试探性测试为终端在对隐蔽信道进行检测时，检测到有非正常操作的可能时，向该非正常操作对应的用户发送无逻辑信息或非正常信息的方式。终端在检测到满足设定规则的操作完成后，返回无逻辑或非正常信息给用户以进行试探性测试。例如，终端在检测到用户重复创建数据表及删除新创建的数据表的操作，检测到设定次数的创建数据表的操作之后，若再次检测该用户创建数据表的操作，则在创建操作完成后，无论创建操作是成功或失败，终端对应于该创建操作向用户返回如“你好，楼下有你快递”或“ahuifahaf”等无逻辑或非正常信息。

终端检测用户输入的信息是否为所述无逻辑或非正常信息的响应信息。终端在返回上述无逻辑或非正常信息后，检测用户的响应信息。若用户输入的信息是所述无逻辑或非正常信息的响应信息，则确定该用户通过所述试探性测试；若用户输入的信息是重复对同一个或同一组数据库对象的操作，则确定该用户未通过所述试探性测试。例如：如果上述创建数据表a的用户是正常用户，则当该正常用户接收到终端返回的无逻辑或非正常信息时，他应该会立即重复做创建数据库表a的操作，而不是按原操作模式执行删除数据表a的操作。终端可以根据用户的响应信息确定该用户是正常用户还是非正常用户。

S140、将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。

终端检测用户对所述试探性测试的响应信息(下一时刻的操作)，若用户未响应所述试探性测试，而是继续执行重复对同一个或同一组数据库对象的操作，则确定该用户为非正常用户，该用户的操作为隐蔽信道的异常操作。例如，终端在检测到用户多次向同一数据库中重复插入数据表b及删除新插入的数据表b的操作，检测到设定次数的向同一数据库插入数据表b的操作之后，若再次检测该用户向同一数据库插入数据表b的操作，则在插入数据表b的操作完成后，无论插入数据表b的操作是成功或失败，终端对该用户进行试探性测试，即返回如“你好，楼下有你快递”的信息。终端检测用户输入的响应信息，若该用户不响应该信息，继续执行删除数据表b的操作，则确定该用户未通过所述试探性测试，该用户的向同一数据库插入及删除数据表的操作为隐蔽信道通信的异常操作。

本实施例的技术方案，通过确定可能被用户利用进行隐蔽通信的数据库对象；监控用户对所述数据库对象的操作是否满足设定扩展规则；对满足设定扩展规则的操作按照设定方式进行试探性测试；将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。本实施例的技术方案解决因对所有的潜在隐蔽信道进行度量和处置产生不必要的性能消耗及降低系统效率的问题，将隐蔽信道的使用主体是自然人还是程序进行区分，达到了降低对隐蔽信道进行度量和处置的性能消耗及提高系统效率的效果。

在上述技术方案的基础上，在未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作之后，优选增加中断未通过所述试探性测试的操作对应的用户与数据库的连接，并禁止该用户再次登录数据库的步骤。这样设置的好处在于对异常操作进行限制，阻断隐蔽通道，提高了系统的安全性。

实施例二

图2是本发明实施例二中的一种隐蔽信道通信的检测装置的结构示意图。所述隐蔽信道通信的检测装置，包括：

数据库对象确定单元210，用于确定可能被用户利用进行隐蔽通信的数据库对象；

操作监控单元220，用于监控用户对所述数据库对象的操作是否满足设定扩展规则；

试探性测试单元230，用于对满足设定扩展规则的操作按照设定方式进行试探性测试；

异常操作确定单元240，用于将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。

本实施例的技术方案，通过数据库对象确定单元210确定可能被用户利用进行隐蔽通信的数据库对象；通过操作监控单元220监控用户对所述数据库对象的操作是否满足设定扩展规则；通过试探性测试单元230对满足设定扩展规则的操作按照设定方式进行试探性测试；通过异常操作确定单元240将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作。本实施例的技术方案解决因对所有的潜在隐蔽信道进行度量和处置产生不必要的性能消耗及降低系统效率的问题，将隐蔽信道的使用主体是自然人还是程序进行区分，达到了降低对隐蔽信道进行度量和处置的性能消耗及提高系统效率的效果。

进一步的，数据库对象确定单元210具体用于：

获取用户对数据库对象的操作，根据所述数据库对象确定用户可操作的共享资源；

根据所述共享资源构建共享资源矩阵，通过共享资源矩阵确定可能被用户利用进行隐蔽通信的数据库对象。

进一步的，设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作；

以及，所述操作监控单元220具体用于：

监控用户操作数据库对象的方式及次数，以确定用户是否对同一个或同一组数据库对象进行多次重复操作。

进一步的，试探性测试单元230具体用于：

在满足设定规则的操作完成后，返回无逻辑或非正常信息给用户以进行试探性测试；

检测用户输入的信息是否为所述无逻辑或非正常信息的响应信息；

若用户输入的信息是所述无逻辑或非正常信息的响应信息，则确定该用户通过所述试探性测试；

若用户输入的信息是重复对同一个或同一组数据库对象的操作，则确定该用户未通过所述试探性测试。

进一步的，所述装置还包括：

数据库连接中断单元，用于在未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作之后，中断未通过所述试探性测试的操作对应的用户与数据库的连接，并禁止该用户再次登录数据库。

上述隐蔽信道通信的检测装置可执行本发明任意实施例所提供的隐蔽信道通信的检测方法，具备执行方法相应的功能模块和有益效果。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (8)

1.一种隐蔽信道通信的检测方法，其特征在于，包括：

确定可能被用户利用进行隐蔽通信的数据库对象；

监控用户对所述数据库对象的操作是否满足设定扩展规则；

其中，所述设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作；

对满足设定扩展规则的操作按照设定方式进行试探性测试；

将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作；

所述对满足设定扩展规则的操作按照设定方式进行试探性测试，包括：

在满足设定规则的操作完成后，返回无逻辑或非正常信息给用户以进行试探性测试；

检测用户输入的信息是否为所述无逻辑或非正常信息的响应信息；

若用户输入的信息是所述无逻辑或非正常信息的响应信息，则确定该用户通过所述试探性测试；

若用户输入的信息是重复对同一个或同一组数据库对象的操作，则确定该用户未通过所述试探性测试。

2.根据权利要求1所述的方法，其特征在于，确定可能被用户利用进行隐蔽通信的数据库对象，包括：

获取用户对数据库对象的操作，根据所述数据库对象确定用户可操作的共享资源；

根据所述共享资源构建共享资源矩阵，通过共享资源矩阵确定可能被用户利用进行隐蔽通信的数据库对象。

3.根据权利要求1所述的方法，其特征在于，设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作；

以及，监控用户对所述数据库对象的操作是否满足设定扩展规则，包括：

监控用户操作数据库对象的方式及次数，以确定用户是否对同一个或同一组数据库对象进行多次重复操作。

4.根据权利要求1所述的方法，其特征在于，在未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作之后，还包括：

中断未通过所述试探性测试的操作对应的用户与数据库的连接，并禁止该用户再次登录数据库。

5.一种隐蔽信道通信的检测装置，其特征在于，包括：

数据库对象确定单元，用于确定可能被用户利用进行隐蔽通信的数据库对象；

操作监控单元，用于监控用户对所述数据库对象的操作是否满足设定扩展规则；

其中，所述设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作；

试探性测试单元，用于对满足设定扩展规则的操作按照设定方式进行试探性测试；

异常操作确定单元，用于将未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作；

试探性测试单元具体用于：

在满足设定规则的操作完成后，返回无逻辑或非正常信息给用户以进行试探性测试；

检测用户输入的信息是否为所述无逻辑或非正常信息的响应信息；

若用户输入的信息是所述无逻辑或非正常信息的响应信息，则确定该用户通过所述试探性测试；

若用户输入的信息是重复对同一个或同一组数据库对象的操作，则确定该用户未通过所述试探性测试。

6.根据权利要求5所述的装置，其特征在于，数据库对象确定单元具体用于：

获取用户对数据库对象的操作，根据所述数据库对象确定用户可操作的共享资源；

根据所述共享资源构建共享资源矩阵，通过共享资源矩阵确定可能被用户利用进行隐蔽通信的数据库对象。

7.根据权利要求5所述的装置，其特征在于，设定扩展规则包括：用户对同一个或同一组数据库对象进行多次重复操作；

以及，所述操作监控单元具体用于：

监控用户操作数据库对象的方式及次数，以确定用户是否对同一个或同一组数据库对象进行多次重复操作。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

数据库连接中断单元，用于在未通过所述试探性测试的操作确定为隐蔽信道通信的异常操作之后，中断未通过所述试探性测试的操作对应的用户与数据库的连接，并禁止该用户再次登录数据库。