CN106302498B - 一种基于登录参数的数据库准入防火墙系统 - Google Patents

一种基于登录参数的数据库准入防火墙系统 Download PDF

Info

Publication number
CN106302498B
CN106302498B CN201610733850.1A CN201610733850A CN106302498B CN 106302498 B CN106302498 B CN 106302498B CN 201610733850 A CN201610733850 A CN 201610733850A CN 106302498 B CN106302498 B CN 106302498B
Authority
CN
China
Prior art keywords
access
database
rule
module
protocol
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610733850.1A
Other languages
English (en)
Other versions
CN106302498A (zh
Inventor
陈云
裴俊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou Palladium Networking Technology Co ltd
Original Assignee
杭州汉领信息科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 杭州汉领信息科技有限公司 filed Critical 杭州汉领信息科技有限公司
Priority to CN201610733850.1A priority Critical patent/CN106302498B/zh
Publication of CN106302498A publication Critical patent/CN106302498A/zh
Application granted granted Critical
Publication of CN106302498B publication Critical patent/CN106302498B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于登录参数的数据库准入防火墙系统，该系统包括网络接入模块、协议解码模块、规则处理模块以及日志告警模块；本发明提出的数据库准入防火墙，通过解析数据库登录参数，并且将登录参数作为认证因子进行混合匹配认证，只要有一个因子不符合制定的规则，就会被阻断，确保数据库准入行为的可靠性。即使攻击者想通过更换账号、工具、接入设备等方式对数据库进行访问，都会被精准识别并被阻断，从数据库安全接入层面杜绝非法访问数据库，非法操作数据库的行为，从而大大降低了数据库的安全风险。

Description

一种基于登录参数的数据库准入防火墙系统
技术领域
本发明属于信息安全领域，尤其涉及一种基于登录参数的数据库准入防火墙系统。
背景技术
随着企业信息化进程的发展，用户将企业的核心业务数据和客户信息都放置到了数据库中，数据库的安全管理需求变得越来越迫切，由于数据库自身的安全性不足等原因，攻击者可通过各种途径进行非法访问，甚至第三方人员的访问也无法进行有效的管控。
为保障数据库以及信息系统的安全，各企业和单位采取了许多防护措施，但绝大多数的防护措施和方法只能进行地址、端口、协议等网络层过滤现有的安全防护，对数据库访问权限上，并不能进行有效的控制，极易发生越权访问，恶意数据库接入，数据库信息外泄和篡改的情况。
此外，很多用户环境下，攻击者设置可以通过伪造IP地址，在合法的设备上上传非法的数据库访问工具，甚至是直接用高权限数据库账号进行访问，现有的数据库安全体系，无法对这些攻击进行有效防御。
发明内容
为解决上述数据库安全访问问题，杜绝非授权用户接入数据库系统，本发明提供了一种基于登录参数的数据库准入防火墙系统。
为实现上述目的以及实际部署需要，本发明在TCP/IP五元组流标识基础之上，增加数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称、访问时间等数据库登录参数作为新的流标识因子，利用网络防火墙访问控制逻辑及其展现形式，根据设置的过滤规则触发阻断动作。
本发明通过以下方案来实现：一种基于登录参数的数据库准入防火墙系统，该系统包括网络接入模块、协议解码模块、规则处理模块以及日志告警模块；
所述网络接入模块包含两种接入模式：并联接入以及串联接入，可根据不同需求进行不同级别的部署；
所述协议解码模块分析并识别数据库通讯协议以及SQL操作语句，进行应用层的协议解码，通过流会话解码技术，对数据库通讯协议进行流重组，所有解析语句都会标记唯一的会话标识，然后提取出数据库登录参数；数据库登录参数在网络传输中依据数据库协议不同而有差异；
所述规则处理模块包含三部分：规则配置、规则过滤以及动作处理；所述规则配置采用防火墙规则表现形式，支持黑、白名单模式；所述规则过滤支持任意登录参数因子组合匹配，所有登录参数可以进行任意组合，只要有任何一个登录参数因子不符合规则策略，都会触发后续的动作处理；所述动作处理根据网络接入模块不同采用不同处理办法，串联准入网络墙规则处理动作采用“丢弃+RST阻断”实现方式；并联接入数据库准入防火墙采用“RST阻断”实现方式；规则处理模块采用流标记跟踪每一个数据包，流一旦标记为阻断，对于与此流相关联的后续每一个网络包，都将触发阻断操作，以便彻底阻断用户接入数据库服务，避免无法阻断网络联接导致准入策略无效事件发生；
所述日志告警模块集中处理规则告警，并以事件形式集中存放于内部数据库中，以便管理员分析、总结和统计。
进一步地，所述数据库登录参数包括数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称、访问源IP地址、访问时间中的一个或多个。
进一步地，所述网络接入模块的串联接入模式，通过配置BYPASS网卡实现透明网桥。
进一步地，所述协议解码模块，包括对SQLServer、Mysql、DB2、Oracle、Informix、Sybase的数据库协议解码。
进一步地，所述协议解码模块，针对SQLServer的TDS协议登录参数加密字段，通过获取加密证书实现加密参数解析。
进一步地，所述规则处理模块，可根据协议解码模块解析的登录参数，通过白名单的方式进行规则配置，即只有配置在策略内的数据库接入行为是允许的，其他的数据库接入都会被拒绝和阻断。
进一步地，所述规则处理模块采用任意登录参数因子组合匹配模式，该模式支持的登录参数因子如下：数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称，访问源IP地址，访问时间；任一登录参数因子不符合策略规则，都会触发阻断动作。
本发明的有益效果是：本发明提出的数据库准入防火墙，通过解析数据库登录参数，并且将登录参数作为认证因子进行混合匹配认证，只要有一个因子不符合制定的规则，就会被阻断，确保数据库准入行为的可靠性。即使攻击者想通过更换账号、工具、接入设备等方式对数据库进行访问，都会被精准识别并被阻断，从数据库安全接入层面杜绝非法访问数据库，非法操作数据库的行为，从而大大降低了数据库的安全风险。
附图说明
图1为本发明数据库准入防火墙的系统架构图；
图2为本发明数据库准入防火墙的系统流程图。
具体实施方式
下面结合附图和具体实施例对本发明作进一步详细说明。
如图1所示，本发明提供的一种基于登录参数的数据库准入防火墙系统，包含四大模块，分别是网络接入模块、协议解码模块、规则处理模块以及日志告警模块。用户访问数据库会经过数据库准入防火墙系统的分析和规则匹配，通过规则允许的才能够进行访问数据库，非允许访问会被阻断，上述模块其具体功能如下：
1)所述网络接入模块包含两种接入模式：并联接入以及串联接入，可根据不同需求进行不同级别的部署。
2)所述协议解码模块分析并识别数据库通讯协议以及SQL操作语句，进行应用层的协议解码，比如Oracle的TNS协议和SQLserver的TDS协议等，通过流会话解码技术，对数据库通讯协议进行流重组，所有解析语句都会标记唯一的会话标识，然后提取出数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称、访问源IP地址、访问时间等数据库登录参数；数据库登录参数在网络传输中依据数据库协议不同而有差异；
3)所述规则处理模块包含三部分：规则配置、规则过滤以及动作处理；所述规则配置采用防火墙规则表现形式，支持黑、白名单模式；所述规则过滤支持任意登录参数因子组合匹配，所有登录参数可以进行任意组合，只要有任何一个登录参数因子不符合规则策略，都会触发后续的动作处理；所述动作处理根据网络接入模块不同采用不同处理办法，串联准入网络墙规则处理动作采用“丢弃+RST阻断”实现方式；并联接入数据库准入防火墙采用“RST阻断”实现方式；本发明的规则处理模块区别于传统IDS、IPS阻断方式是采用流标记跟踪每一个数据包，流一旦标记为阻断，对于与此流相关联的后续每一个网络包，都将触发阻断操作，以便彻底阻断用户接入数据库服务，避免无法阻断网络联接导致准入策略无效事件发生；
4)所述日志告警模块：集中处理规则告警，并以事件形式集中存放于内部数据库中，以便管理员分析、总结和统计。
所述网络接入模块的串联接入模式，通过配置BYPASS网卡实现透明网桥。
所述协议解码模块，包括对SQLServer、Mysql、DB2、Oracle、Informix、Sybase的数据库协议解码。
所述协议解码模块，针对SQLServer的TDS协议登录参数加密字段，通过获取加密证书实现加密参数解析。
所述规则处理模块采用任意登录参数因子组合匹配模式，该模式支持的登录参数因子如下：数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称，访问源IP地址，访问时间；任一登录参数因子不符合策略规则，都会触发阻断动作。
所述规则处理模块，可根据协议解码模块解析的登录参数，通过白名单的方式进行规则配置，即只有配置在策略内的数据库接入行为是允许的，其他的数据库接入都会被拒绝和阻断。
实施例：
数据库准入防火墙通过串联部署在用户环境，用户A和用户B每次访问数据库都会经过数据库准入防火墙的策略检查。
假设用户A和用户B都对数据库进行了登录访问，协议解码模块对两者的登录参数进行解析，得出以下的登录因子：
表1
用户 源主机名称 源用户名称 访问工具 数据库账号名称
A A-Hostname A-User Sqlplus Normal
B B-Hostname B-User ODBC System
假设用户A和用户B的数据库访问权限是合规的，在规则处理模块的规则配置部分对用户A和用户B的登录参数进行准入规则制定，用户A和用户B登录数据库必须完全满足以上表格的登录参数才能放行。
假设用户A从其他途径获得数据库高权限账号system，用户B上传了一个强大的客户端工具Hack-DB，想要对数据库进行一些恶意操作。
如图2所示，系统对数据包进行接收，同时创建和关联流标识，对用户A和用户B的连接进行会话锁定和关联。之后进行协议解码，登录参数解码情况如下：
表2
用户 源主机名称 源用户名称 访问工具 数据库账号名称
A A-Hostname A-User Sqlplus System
B B-Hostname B-User Hack-DB System
表2解析的登录参数和表1的规则策略进行对比，我们可以看到，用户A的数据库账号名称发生了变化，由Normal变成了System，用户B的访问工具发生了变化，由ODBC变成了Hack-DB，根据规则处理的原则，有一项的登录参数不符合，都会触发拒绝阻断的策略动作。
阻断策略触发后，将会对前面标记的流标识会话的所有动作都进行阻断，防止阻断策略失效，确保数据库准入策略的可靠性。

Claims (6)

1.一种基于登录参数的数据库准入防火墙系统，其特征在于，该系统包括网络接入模块、协议解码模块、规则处理模块以及日志告警模块；
所述网络接入模块包含两种接入模式：并联接入以及串联接入，可根据不同需求进行不同级别的部署；
所述协议解码模块分析并识别数据库通讯协议以及SQL操作语句，进行应用层的协议解码，得到解析语句，通过流会话解码技术，对数据库通讯协议进行流重组，所有解析语句都会标记唯一的会话标识，然后提取出数据库登录参数；数据库登录参数在网络传输中依据数据库协议不同而有差异；所述规则处理模块包含三部分：规则配置、规则过滤以及动作处理；所述规则配置采用防火墙规则表现形式，支持黑、白名单模式；所述规则过滤支持任意登录参数组合匹配，支持的登录参数包括：数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称、访问源IP地址、访问时间；所有登录参数可以进行任意组合，只要有任何一个登录参数不符合防火墙规则，都会触发后续的动作处理；
所述动作处理根据网络接入模块接入模式的不同采用不同处理办法，串联接入时，防火墙规则处理动作采用“丢弃+RST阻断”实现方式；并联接入时，防火墙规则采用“RST阻断”实现方式；规则处理模块采用流标记跟踪每一个数据包，流一旦标记为阻断，对于与此流相关联的后续每一个数据包，都将触发阻断操作，以便彻底阻断用户接入数据库服务，避免无法阻断网络联接导致防火墙规则无效事件发生；
所述日志告警模块集中对规则处理模块触发的操作进行告警，并将告警信息以事件形式集中存放于内部数据库中，以便管理员分析、总结和统计。
2.根据权利要求1所述的一种基于登录参数的数据库准入防火墙系统，其特征在于，所述数据库登录参数包括数据库账号名称、访问工具名称、访问源主机名称、访问源用户名称、访问源IP地址、访问时间中的一个或多个。
3.根据权利要求1所述的一种基于登录参数的数据库准入防火墙系统，其特征在于，所述网络接入模块的串联接入模式，通过配置BYPASS网卡实现透明网桥。
4.根据权利要求1所述的一种基于登录参数的数据库准入防火墙系统，其特征在于，所述协议解码模块，包括对SQLServer、Mysql、DB2、Oracle、Informix、Sybase的数据库协议解码。
5.根据权利要求1所述的一种基于登录参数的数据库准入防火墙系统，其特征在于，所述协议解码模块，针对SQLServer的TDS协议登录参数加密字段，通过获取加密证书实现加密参数解析。
6.根据权利要求1所述的一种基于登录参数的数据库准入防火墙系统，其特征在于，所述规则处理模块，可根据协议解码模块解析的登录参数，通过白名单的方式进行规则的配置，即只有配置在防火墙规则内的数据库接入行为是允许的，其他的数据库接入都会被拒绝和阻断。
CN201610733850.1A 2016-08-25 2016-08-25 一种基于登录参数的数据库准入防火墙系统 Active CN106302498B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610733850.1A CN106302498B (zh) 2016-08-25 2016-08-25 一种基于登录参数的数据库准入防火墙系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610733850.1A CN106302498B (zh) 2016-08-25 2016-08-25 一种基于登录参数的数据库准入防火墙系统

Publications (2)

Publication Number Publication Date
CN106302498A CN106302498A (zh) 2017-01-04
CN106302498B true CN106302498B (zh) 2019-05-14

Family

ID=57676697

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610733850.1A Active CN106302498B (zh) 2016-08-25 2016-08-25 一种基于登录参数的数据库准入防火墙系统

Country Status (1)

Country Link
CN (1) CN106302498B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107483461B (zh) * 2017-08-30 2020-06-12 奇安信科技集团股份有限公司 一种nat环境下的终端准入控制方法及装置
CN108629201A (zh) * 2018-04-24 2018-10-09 山东华软金盾软件股份有限公司 一种对数据库非法操作进行阻断的方法
CN111625857A (zh) * 2020-04-17 2020-09-04 中国建设银行股份有限公司 基于oracle数据库的登录监控方法、系统、设备和存储介质
CN112115504A (zh) * 2020-06-29 2020-12-22 上海金融期货信息技术有限公司 一种基于tds协议的数据库访问方法和系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7240212B2 (en) * 2003-02-18 2007-07-03 Ubs Painewebber, Inc. Method and system for secure alert messaging
CN101030242A (zh) * 2007-02-12 2007-09-05 深圳市迈科龙电子有限公司 一种控制数据库安全访问的方法
WO2009007985A2 (en) * 2007-07-06 2009-01-15 Elitecore Technologies Limited Identity and policy-based network security and management system and method
CN101901219A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 数据库注入攻击检测方法及系统
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置
CN104636675A (zh) * 2013-11-08 2015-05-20 苏州慧盾信息安全科技有限公司 一种数据库提供安全防护的系统和方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7240212B2 (en) * 2003-02-18 2007-07-03 Ubs Painewebber, Inc. Method and system for secure alert messaging
CN101030242A (zh) * 2007-02-12 2007-09-05 深圳市迈科龙电子有限公司 一种控制数据库安全访问的方法
WO2009007985A2 (en) * 2007-07-06 2009-01-15 Elitecore Technologies Limited Identity and policy-based network security and management system and method
CN101901219A (zh) * 2009-05-27 2010-12-01 北京启明星辰信息技术股份有限公司 数据库注入攻击检测方法及系统
CN104636675A (zh) * 2013-11-08 2015-05-20 苏州慧盾信息安全科技有限公司 一种数据库提供安全防护的系统和方法
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置

Also Published As

Publication number Publication date
CN106302498A (zh) 2017-01-04

Similar Documents

Publication Publication Date Title
CN104166812B (zh) 一种基于独立授权的数据库安全访问控制方法
CN106302498B (zh) 一种基于登录参数的数据库准入防火墙系统
US8880893B2 (en) Enterprise information asset protection through insider attack specification, monitoring and mitigation
CN105656903A (zh) 一种Hive平台的用户安全管理系统及应用
CN103179130B (zh) 一种信息系统内网安全统一管理平台及管理方法
CN102722667A (zh) 基于虚拟数据库和虚拟补丁的数据库安全防护系统和方法
CN107395570A (zh) 基于大数据管理分析的云平台审计系统
CN106657011A (zh) 一种业务服务器授权安全访问方法
CN103413202B (zh) 一种应用于运维审计系统的自动收集授权关系的方法
CN107566363A (zh) 一种基于机器学习的sql注入攻击防护方法
CN101599977B (zh) 网络业务的管理方法和系统
CN108629201A (zh) 一种对数据库非法操作进行阻断的方法
CN105516091A (zh) 一种基于sdn控制器的安全流过滤器及过滤方法
CN109617875A (zh) 一种终端通信网的安全接入平台及其实现方法
CN107070951A (zh) 一种内网安全防护系统和方法
CN109510841A (zh) 一种控制装置及系统的安全隔离网关
Panguluri et al. Protecting water and wastewater infrastructure from cyber attacks
CN106302518A (zh) 一种软硬件结合的网络防火墙
CN109995720A (zh) 异构设备集中管理方法、装置、系统、设备及介质
CN114157457A (zh) 一种网络数据信息安全用的权限申请及监控方法
CN206962850U (zh) 电力信息网的安全防护系统及电力信息系统
CN1953454A (zh) 基于角色管理的安全审计方法及系统
CN117061556B (zh) 一种电力监控系统远程运维安全保护装置
CN108243040A (zh) 一种云计算的身份认证和访问管理安全服务的实现架构
Tzokatziou et al. Exploiting SCADA vulnerabilities using a human interface device

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20220424

Address after: 310012 rooms 403, 405, 407, 409 and 411, North floor, building 5, No. 90, Wensan Road, Xihu District, Hangzhou, Zhejiang

Patentee after: HANGZHOU PALLADIUM NETWORKING TECHNOLOGY CO.,LTD.

Address before: 310012 Room 403 and 405, North floor, building 5, No. 90, Wensan Road, Xixi street, Xihu District, Hangzhou City, Zhejiang Province

Patentee before: HANGZHOU LEADSINO INFORMATION TECHNOLOGY CO.,LTD.

TR01 Transfer of patent right
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: A Database Access Firewall System Based on Login Parameters

Granted publication date: 20190514

Pledgee: China Merchants Bank Co.,Ltd. Hangzhou Branch

Pledgor: HANGZHOU PALLADIUM NETWORKING TECHNOLOGY CO.,LTD.

Registration number: Y2024980012501

PE01 Entry into force of the registration of the contract for pledge of patent right