CN107124429A - 一种基于双数据表设计的网络业务安全保护方法及系统 - Google Patents

Abstract

本发明提供了一种基于双数据表设计的网络业务安全保护的方法及系统，通过对核心业务数据建立一对读写同步数据表，读数据表为只读数据表，写数据表为读写数据表。通过在系统数据库中对同一数据建立读、写同步数据表的方法，实现角色访问的读、写分离和独立，为高强度的数据完整性保护(写操作控制)和弱强度的私密性保护(读操作控制)提供安全保护策略，从而实现其既可保证系统数据完整性的有效保护，又能满足数据应用访问的方便性。

Description

一种基于双数据表设计的网络业务安全保护方法及系统

技术领域

本发明涉及网络信息安全领域，涉及网络业务安全保护，尤其涉及的是工业控制网络中的控制系统安全保护的实现方法及系统。

背景技术

随着Internet网络的应用普及，网络信息安全成为国民经济发展和社会稳定的重大问题。通常信息安全是指信息网络中的信息内容的安全，也就是信息私密性保护。然而随着管理网络化，工业控制过程网络化的发展，网络业务的安全成为人们关注的重点。

与信息私密性安全保护不同，网络业务的安全实质是数据完整性保护。实际应用中数据完整性保护就是对数据表写操作的控制与保护。在工业控制领域，控制系统的作业操作的权限管理，通常采用的是基于角色的访问控制(RBAC)，即控制系统为不同的作业操作设置不同的角色，系统可根据作业操作需要，为不同人员分配不同的角色，实现权限分配从而实现访问控制。传统的基于角色访问控制适用于数据的私密性保护，而对数据的完整性保护则存在缺陷。这是由于基于角色的访问控制模型不区分系统中数据的读操作和写操作，因而基于该模型所制定的安全访问策略难以实现数据的完整性保护和数据安全访问的应用需求的平衡。

本发明针对网络业务安全保护问题，提供一种基于双数据表结构的数据完整性保护方案，从而有效解决网络业务安全保护问题。

本发明提出的基于双数据表设计的网络业务安全保护方法及系统，通过在系统数据库中对同一数据建立读、写同步数据表，实现角色访问的读、写分离和独立，为高强度的数据完整性保护(写操作控制)和弱强度的私密性保护(读操作控制)提供安全保护策略，从而实现其既可保证系统数据完整性的有效保护，又能满足数据应用访问的方便性。

发明内容

本发明一方面公开了一种基于双数据表设计的网络业务安全保护方法，能实现读写分离、实时同步。所述双数据表是指对同一数据表的复制。该方法包括：访问权限管理模块根据业务系统作业操作的不同，为不同的用户分配不同的数据库系统角色，从而制定不同的访问控制规则，并以此设计用户权限数据表；用写权限数据表存储业务数据，并定期将数据同步至读权限数据表，所述写权限数据表允许具有读写权限的用户进行操作；用所述读权限数据表存储从所述写权限数据表同步而来的业务数据，并允许具有只读权限的用户进行操作；所述用户权限数据表存储业务系统用户的权限信息，以便在业务系统用户访问业务数据表时对其权限进行控制。

访问权限管理模块进一步包括：操作请求提取模块在用户发起作业操作时，提取用户作业操作请求，发往访问请求审计模块进行分析；所述访问请求审计模块接收所述用户作业操作请求，并对用户是否对某业务数据表具有操作权限进行分析和审计；角色分配模块负责接收所述访问请求审计模块关于用户是否对某业务数据表具有操作权限的审计结果，并依据审计结果，为该用户分配相应的数据库系统角色；访问权限配置模块通过访问控制内核模块截获操作系统中对用户权限数据表访问的系统信息，并将该信息发送给监控模块，并根据所述监控模块反馈的信息判断此次数据库访问是否被允许。

访问请求审计模块进一步包括：访问权限获取模块根据业务系统用户身份信息及其请求的作业操作，在用户权限数据表中查询该业务系统用户应赋予的数据库系统角色，并将查询的结果传递给访问权限仲裁模块进行审计仲裁；所述访问权限仲裁模块用于通过对比来自所述访问权限获取模块的查询结果，判断该业务系统用户访问数据表操作的合法性；利用审计结果记录模块记录非法业务系统用户访问数据表资源和合法业务系统用户越权访问数据表资源的相关信息。

访问权限获取模块还包括：通过所述操作请求提取模块获取登录用户名称；

通过所述操作请求提取模块获取用户所请求的作业操作类型；依据所获取的登录用户名称及其所请求的作业操作类型，查询用户权限数据表，获取该用户在执行该作业操作时所应赋予的数据库系统角色。

访问权限仲裁模块进一步包括：通过所述访问权限获取模块获取用户权限数据表查询结果；通过判断查询结果是否为空，分析业务系统用户访问表的合法性；若查询结果不为空，说明该业务系统用户此次作业操作请求为合法，向所述角色分配模块返回审计通过的信息，允许所述角色分配模块按照查询结果为用户分配相应的数据库系统角色；若查询结果为空，则说明该业务系统用户此次作业操作请求为非法，向所述角色分配模块返回审计结果不通过的信息，不允许该用户对业务系统中的相应数据表进行访问，并将审计结果发送给所述审计结果记录模块进行记录。

监控模块还包括：验证访问所述控制内核模块是否能在当前操作系统上使用；注册所述访问控制内核模块，将该模块加载到操作系统中；设置用户权限数据表的路径；程序进入循环状态，获取所述访问控制内核模块截获的操作系统内核信息并判断该访问是否合法；若该次访问合法，则继续执行对用户权限数据表的访问；

若此次访问不合法，则拒绝此次访问并向用户发出错误信息。

本发明的另一方面还公开了一种基于双数据表设计的网络业务安全保护系统，能实现读写分离、实时同步。所述双数据表是指对同一数据表的复制。该安全保护系统主要由四部分组成：访问权限管理模块、写权限数据表、读权限数据表、用户权限数据表；所述访问权限管理模块的主要作用是根据业务系统作业操作的不同，为不同的用户分配不同的数据库系统角色，从而制定不同的访问控制规则，并以此设计用户权限数据表；所述写权限数据表用于存储业务数据，并定期将数据同步至读权限数据表，该数据表允许具有读写权限的用户进行操作；所述读权限数据表用于存储从写权限数据表同步而来的业务数据，并允许具有只读权限的用户进行操作；所述用户权限数据表用于存储业务系统用户的权限信息，以便在业务系统用户访问业务数据表时对其权限进行控制。

所述访问权限管理模块主要由操作请求提取模块、角色分配模块、访问请求审计模块、访问权限配置模块4个功能模块组成。第一个模块是操作请求提取模块，其主要功能是在用户发起作业操作时，提取用户的作业操作请求，发往访问请求审计模块进行分析；第二个模块是角色分配模块，其主要功能是负责接收访问请求审计模块关于用户是否对某业务数据表具有操作权限的审计结果，并依据审计结果，为该用户分配相应的数据库系统角色。

所述访问请求审计模块由访问权限获取模块、访问权限仲裁模块和审计结果记录模块3个功能模块组成。第一个模块是访问权限获取模块，其主要功能是根据业务系统用户身份信息及其请求的作业操作，在用户权限数据表中查询该业务系统用户应赋予的数据库系统角色，并将查询的结果传递给访问权限仲裁模块进行审计仲裁。第二个模块是访问权限仲裁模块，其主要功能是通过对比来自访问权限获取模块的查询结果，判断该业务系统用户访问数据表操作的合法性。第三个模块是审计结果记录模块，其主要功能为记录非法业务系统用户访问数据表资源和合法业务系统用户越权访问数据表资源的相关信息。

所述访问权限配置模块由访问控制内核模块和监控模块2个模块组成。第一个模块是访问控制内核模块，其主要功能是截获操作系统中对用户权限数据表访问的系统信息，将该信息发送给监控模块，并等待监控模块反馈信息。通过对监控模块反馈的信息判断此次数据库访问是否被允许。第二个模块是监控模块，其主要功能是配置访问控制信息，设置访问控制的对象以及通过访问控制的条件。此外，访问权限配置模块为管理员提供一个访问权限管理界面，管理员可通过此界面对访问权限数据表进行管理，完成对业务系统用户、业务操作与数据库系统角色的关联。

所述用户权限数据表，主要用于存储访问权限信息及与访问控制相关的信息，由权限管理员配置业务系统用户在进行业务操作时应当具有的数据库系统角色。用户权限数据表的具体内容如下：

字段名	类型	说明
			guest_name	char(20)	业务系统用户名
operation_type	char(20)	作业操作类型
			role_name	char(20)	数据库系统角色名

本发明提供了一种基于双数据表设计的网络业务安全保护的方法及系统，通过对核心业务数据建立一对读写同步数据表，读数据表为只读数据表，写数据表为读写数据表。通过在系统数据库中对同一数据建立读、写同步数据表的方法，实现角色访问的读、写分离和独立，为高强度的数据完整性保护(写操作控制)和弱强度的私密性保护(读操作控制)提供安全保护策略，从而实现其既可保证系统数据完整性的有效保护，又能满足数据应用访问的方便性。

本发明可作为需要强化数据完整性保护的应用系统安全设计之方案，也可用于对各类已部署的工业控制系统的安全加固方法，具有广泛的应用前景。

附图说明

图1为本发明所述的基于双数据表设计的网络业务安全保护方法结构示意图；

图2为本发明所述的访问权限管理模块结构示意图；

图3为本发明所述的访问请求审计模块结构示意图；

图4为本发明所述的访问权限获取模块的工作流程示意图；

图5为本发明所述的访问权限仲裁模块的工作流程示意图；

图6为本发明所述的访问权限配置模块结构示意图；

图7为本发明所述的监控模块的工作流程示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。

本发明提供了一种基于双数据表设计的网络业务安全保护的实现方法。在所述方法中，对于具有写操作权限的用户，为其分配读写角色并将其连接至系统写权限数据表中进行操作。对于只具有读操作权限的用户，为其分配只读角色并将其连接至系统读权限数据表中进行数据读取。对于用户请求执行超出其权限的情况，记录其操作过程，便于事后进行审计。

图1所示的是本发明所述的基于双数据表设计的网络业务安全保护方法结构示意图，该方法所涉及的安全保护系统主要由四部分组成：访问权限管理模块、写权限数据表、读权限数据表、用户权限数据表。第一个模块是访问权限管理模块，其主要作用是根据业务系统作业操作的不同，为不同的用户分配不同的数据库系统角色，从而制定不同的访问控制规则，并以此设计用户权限数据表。第二个模块是写权限数据表，其主要功能用于存储业务数据，并定期将数据同步至读权限数据表，该数据表允许具有读写权限的用户进行操作。第三个模块是读权限数据表，其主要功能用于存储从写权限数据表同步而来的业务数据，并允许具有只读权限的用户进行操作。第四个模块是用户权限数据表，其主要功能用于存储业务系统用户的权限信息，以便在业务系统用户访问数据表时对其权限进行控制。

图2所示的是本发明所述的访问权限管理模块结构示意图。主要由操作请求提取模块、角色分配模块、访问请求审计模块、访问权限配置模块4个功能模块组成。第一个模块是操作请求提取模块，其主要功能是在用户发起作业操作时，提取用户的作业操作请求，发往访问请求审计模块进行分析；第二个模块是角色分配模块，其主要功能是负责接收访问请求审计模块关于用户是否对某业务数据表具有操作权限的审计结果，并依据审计结果，为该用户分配相应的业务系统角色。若审计结果显示用户出现越权操作，则对其操作进行记录。

图3所示的是本发明所述的访问请求审计模块结构示意图。主要由访问权限获取模块、访问权限仲裁模块和审计结果记录模块3个组成。第一个模块是访问权限获取模块，其主要功能是根据业务系统用户身份信息及其请求的作业操作，在用户权限数据表中查询该业务系统用户应赋予的数据库系统角色，并将查询的结果传递给访问权限仲裁模块进行审计仲裁。第二个模块是访问权限仲裁模块，其主要功能是通过对比来自访问权限获取模块的查询结果，判断该业务系统用户访问数据表操作的合法性。第三个模块是审计结果记录模块，其主要功能为记录非法业务系统用户访问数据表资源和合法业务系统用户越权访问数据表资源的相关信息。

图4所示的是本发明所述的访问权限获取模块的工作流程示意图，其工作流程描述如下：

步骤401，访问权限获取模块通过操作请求提取模块获取登录用户名称。

步骤402，访问权限获取模块通过操作请求提取模块获取用户所请求的作业操作类型。

步骤403，依据所获取的登录用户名称及其所请求的作业操作类型，查询用户权限数据表，获取该用户在执行该作业操作时所应赋予的数据库系统角色。

图5所示的是本发明所述的访问权限仲裁模块的工作流程示意图，其工作流程描述如下：

步骤501，访问权限仲裁模块通过访问权限提取模块获取用户权限数据表查询结果。

步骤502，通过判断查询结果是否为空，分析业务系统用户访问表的合法性。

步骤503，若查询结果不为空，说明该业务系统用户此次作业操作请求为合法，向角色分配模块返回审计通过的信息，允许角色分配模块按照查询结果为用户分配相应的数据库系统角色。

步骤504，若查询结果为空，则说明该业务系统用户此次作业操作请求为非法，向角色分配模块返回审计结果不通过的信息，不允许该用户对业务系统中的相应数据表进行访问，并将审计结果发送给审计结果记录模块进行记录。

图6所示的是本发明所述的访问权限配置模块结构示意图。该模块由访问控制内核模块和监控模块组成。第一个模块是访问控制内核模块，其主要功能是截获操作系统中对用户权限数据表访问的系统信息，将该信息发送给监控模块，并等待监控模块反馈信息。通过对监控模块反馈的信息判断此次数据表访问是否被允许。第二个模块是监控模块，其主要功能是配置访问控制信息，设置访问控制的对象以及通过访问控制的条件。

本发明所述的访问控制内核模块直接工作在操作系统内核态并且拦截文件访问的系统调用。为了让监控模块能够使用访问控制内核模块，必须首先注册自己。通过注册自己，监控模块与访问控制内核模块之间进行通信，以此来进行执行用户权限数据表访问控制。

一旦一个用户权限数据表访问事件产生，访问控制内核模块拦截这个事件然后将此次访问的用户名，用户ID，进程名，访问类型等信息传递给监控模块。利用这些信息，监控模块要决定是否授权或拒绝此次访问。

当监控模块决定对于用户权限数据表的访问是否被允许，访问控制内核模块将会等待监控模块的响应，访问控制内核模块将占用操作系统并决定是否继续执行对用户权限数据表的访问请求还是返回错误，从而阻止用户权限数据表非法访问的发生。由于访问控制内核模块与操作系统整合在一起，它的存在对于应用程序来说是完全透明的，当对用户权限数据表的访问请求被拒绝，用户应用程序将接收到错误提示信息。

图7为本发明所述的监控模块的工作流程示意图，其工作流程描述如下：

步骤701，验证访问控制内核模块是否能在当前操作系统上使用。

步骤702，注册访问控制内核模块，将该模块加载到操作系统中。

步骤703，设置用户权限数据表的路径。

步骤704，程序进入循环状态，获取访问控制内核模块截获的操作系统内核信息并判断该访问是否合法。

步骤705，若该次访问合法，则继续执行对用户权限数据表的访问。

步骤706，若此次访问不合法，则拒绝此次访问并向用户发出错误信息。

综上所述，本发明提供了一种基于双数据表设计的网络业务安全保护的实现方法，在系统数据库中对同一数据建立读、写同步数据表的方法，实现角色访问的读、写分离和独立，实现了数据表中业务数据的高强度完整性保护与弱强度私密性保护，提升了工业控制系统网络业务的安全性。例如，在电力系统中，业务数据表中所存储的系统状态量等重要数据，如果该数据表中的数据被篡改，会对电力系统的控制与决策造成重大影响。通过应用该技术，可对电力系统业务数据提供有效保护，防止不法分子对业务数据进行篡改，提高电力系统运行的安全性与可靠性。本发明可应用于各类已部署数据库的工业控制系统，具有很高的推广价值。

本发明提供了一种基于双数据表设计的网络业务安全保护方法的思路，具体实现该技术方案的方法和途径很多，以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。本实施例中未明确的各组成部分均可用现有技术加以实现。

Claims (10)

1.一种基于双数据表设计的网络业务安全保护方法，包括：

访问权限管理模块根据业务系统作业操作的不同，为不同的用户分配不同的数据库系统角色，从而制定不同的访问控制规则，并以此设计用户权限数据表；

用写权限数据表存储业务数据，并定期将数据同步至读权限数据表，所述写权限数据表允许具有读写权限的用户进行操作；

用所述读权限数据表存储从所述写权限数据表同步而来的业务数据，并允许具有只读权限的用户进行操作；

所述用户权限数据表存储业务系统用户的权限信息，以便在业务系统用户访问业务数据表时对其权限进行控制。

2.根据权利要求1所述的一种基于双数据表设计的网络业务安全保护方法，其中所述访问权限管理模块进一步包括：

操作请求提取模块在用户发起作业操作时，提取用户作业操作请求，发往访问请求审计模块进行分析；

所述访问请求审计模块接收所述用户作业操作请求，并对用户是否对某业务数据表具有操作权限进行分析和审计；

角色分配模块负责接收所述访问请求审计模块关于用户是否对某业务数据表具有操作权限的审计结果，并依据审计结果，为该用户分配相应的数据库系统角色；

访问权限配置模块通过访问控制内核模块截获操作系统中对用户权限数据表访问的系统信息，并将该信息发送给监控模块，并根据所述监控模块反馈的信息判断此次数据库访问是否被允许。

3.根据权利要求2所述的一种基于双数据表设计的网络业务安全保护方法，其中所述访问请求审计模块进一步包括：

访问权限获取模块根据业务系统用户身份信息及其请求的作业操作，在用户权限数据表中查询该业务系统用户应赋予的数据库系统角色，并将查询的结果传递给访问权限仲裁模块进行审计仲裁；

所述访问权限仲裁模块用于通过对比来自所述访问权限获取模块的查询结果，判断该业务系统用户访问数据表操作的合法性；

利用审计结果记录模块记录非法业务系统用户访问数据表资源和合法业务系统用户越权访问数据表资源的相关信息。

4.根据权利要求3所述的一种基于双数据表设计的网络业务安全保护方法，其中所述访问权限获取模块还包括：

通过所述操作请求提取模块获取登录用户名称；

通过所述操作请求提取模块获取用户所请求的作业操作类型；

依据所获取的登录用户名称及其所请求的作业操作类型，查询用户权限数据表，获取该用户在执行该作业操作时所应赋予的数据库系统角色。

5.根据权利要求3所述的一种基于双数据表设计的网络业务安全保护方法，其中所述访问权限仲裁模块进一步包括：

通过所述访问权限获取模块获取用户权限数据表查询结果；

通过判断查询结果是否为空，分析业务系统用户访问表的合法性；

若查询结果不为空，说明该业务系统用户此次作业操作请求为合法，向所述角色分配模块返回审计通过的信息，允许所述角色分配模块按照查询结果为用户分配相应的数据库系统角色；

若查询结果为空，则说明该业务系统用户此次作业操作请求为非法，向所述角色分配模块返回审计结果不通过的信息，不允许该用户对业务系统中的相应数据表进行访问，并将审计结果发送给所述审计结果记录模块进行记录。

6.根据权利要求2-5任一项所述的一种基于双数据表设计的网络业务安全保护方法，其中所述监控模块还包括：

验证访问所述控制内核模块是否能在当前操作系统上使用；

注册所述访问控制内核模块，将该模块加载到操作系统中；

设置用户权限数据表的路径；

程序进入循环状态，获取所述访问控制内核模块截获的操作系统内核信息并判断该访问是否合法；

若该次访问合法，则继续执行对用户权限数据表的访问；

若此次访问不合法，则拒绝此次访问并向用户发出错误信息。

7.一种基于双数据表设计的网络业务安全保护系统，包括：访问权限管理模块、写权限数据表、读权限数据表和用户权限数据表，其特征在于；

所述访问权限管理模块用于根据业务系统作业操作的不同，为不同的用户分配不同的数据库系统角色，从而制定不同的访问控制规则，并以此设计用户权限数据表；

所述写权限数据表用于存储业务数据，并定期将数据同步至读权限数据表，该数据表允许具有读写权限的用户进行操作；

所述读权限数据表用于存储从所述写权限数据表同步而来的业务数据，并允许具有只读权限的用户进行操作；

所述用户权限数据表用于存储业务系统用户的权限信息，以便在业务系统用户访问业务数据表时对其权限进行控制。

8.根据权利要求7所述的一种基于双数据表设计的网络业务安全保护系统，其中所述访问权限管理模块由操作请求提取模块、角色分配模块、访问请求审计模块、访问权限配置模块组成；

所述操作请求提取模块用于在用户发起作业操作时，提取用户的作业操作请求，发往所述访问请求审计模块进行分析；

所述角色分配模块用于负责接收所述访问请求审计模块关于用户是否对某业务数据表具有操作权限的审计结果，并依据审计结果，为该用户分配相应的数据库系统角色；

所述访问请求审计模块由访问权限获取模块、访问权限仲裁模块和审计结果记录模块组成；

所述访问权限配置模块由访问控制内核模块和监控模块组成。

9.根据权利要求8所述的一种基于双数据表设计的网络业务安全保护系统，其中所述访问权限获取模块用于根据业务系统用户身份信息及其请求的作业操作，在用户权限数据表中查询该业务系统用户应赋予的数据库系统角色，并将查询的结果传递给所述访问权限仲裁模块进行审计仲裁；

所述访问权限仲裁模块用于通过对比来自所述访问权限获取模块的查询结果，判断该业务系统用户访问数据表操作的合法性；

所述审计结果记录模块，用于记录非法业务系统用户访问数据表资源和合法业务系统用户越权访问数据表资源的相关信息。

10.根据权利要求9所述的一种基于双数据表设计的网络业务安全保护系统，其中所述访问控制内核模块用于截获操作系统中对用户权限数据表访问的系统信息，将该信息发送给所述监控模块，并等待所述监控模块反馈信息，并通过对所述监控模块反馈的信息判断此次数据库访问是否被允许；所述监控模块用于配置访问控制信息，设置访问控制的对象以及通过访问控制的条件。