CN107609136B - 基于访问特征标示的自主可控数据库审计方法和系统 - Google Patents

Abstract

本发明公开了一种基于访问特征标示的自主可控数据库审计方法和系统，方法包括：操作权限树OAT建立步骤，可操作数据域树DAT建立步骤，权限分配步骤，用户请求解析步骤，数据库审计步骤。上述技术方案能够根据操作集合OP、可操作数据域集合DF、操作权限树OAT进行实时数据库权限审计。

Description

基于访问特征标示的自主可控数据库审计方法和系统

技术领域

本发明涉及电子技术领域，特别是一种基于访问特征标示的自主可控数 据库审计方法和系统。

背景技术

随着信息技术的发展，越来越多的数据通过电子形式存储和发送，因此 对数据的加密也直接关系到数据的安全性。为了确保存储数据的安全性，现 有技术中需要用户采用数据库审计的机制来达到一定的事前防范、事后数据 恢复以及责任认定的目的。在最新的数据库安全风险问题研究中，用户拥有 过多不必要的权限被认为是数据库最大的安全风险，而传统流行的数据库审 计方案都难以解决权限细粒度与过大的系统开销之间的矛盾。同时，目前流 行的数据库审计方案为了降低系统开销，事前防范的安全级别往往不能满足系统安全的要求。

目前主要流行的两种数据库审计方案分别为：基于日志的数据库审计和 基于网络监听的数据库审计。在基于数据库系统自带的日志审计方案中，由 于开启日志审计功能，不仅在数据库性能上面造成较大影响，同时日志记录 的权限细粒度较差，缺少关键信息。而在基于网络监听的审计方案中，由于 审计系统部署在专用的硬件设备上，并对交换机端口进行监听，因此只能实 现会话级别的审计，而无法对操作内容进行审计。

发明内容

针对现有技术中存在的问题，本发明实施例的目的是提供一种能够提高 数据安全性的基于访问特征标示的自主可控数据库审计方法和系统，至少部 分的解决现有技术中存在的缺陷。

为了实现上述目的，本发明实施例提出了一种基于访问特征标示的自主 可控数据库审计方法，包括：

操作权限树OAT建立步骤，用于根据不同的应用逻辑对操作关键词进行 划分以建立操作权限树OAT；根据数据库操作-权限等级二元组<op_j,rank_j>构 成节点node_j，其中op_j为操作集合OP的第j个数据库操作,rank_j为对应操作 op_j的权限等级；构建权限偏序关系规则集合Rule_auth＝{node_s≥node_r|node_j＝ <op_j,rank_j>,s≠r,s＝1,2,3,…,n,r＝1,2,3,…,n}，其中node_s与node_r分别 为集合中任意的第s个与第r个二元组；然后根据权限偏序关系规则集合构 建m个规则子树T₁,T₂,T₃…T_m；其中每一规则子树对应一个操作关键词，且该规则子树的每一层对应不同的权限级别；其中权限偏序关系规则集中相同 权限级别的操作关键词构成兄弟节点，而相邻权限级别的操作关键字构成父 子节点，从根节点到叶子结点权限级别依次降低，构建出该操作关键词的规 则子树；根据用户设定的操作关键字和权限级别构成子树集合T＝{<op_i, rank_j>|i＝1,2,3,…,m,m>0,j＝1,2,3,…,n,n>0}；

可操作数据域树DAT建立步骤，用于为每一数据库构建可操作数据域子 树DB₁,DB₂,DB₃…DB_n；其中每一可操作数据域子树包括数据库表的权限级别 DB＝{<table₁,rank₁>,<table₂,rank₂>,<table₃,rank₃>…<table_m,rank_n>},m为 数据库表的数目，n为权限级别的数目,table_i为具体的数据库表,rank_j为对应 数据库表的权限级别，且再在表的子树中设定不同字段的权限级别Table＝ {<field₁,rank₁>,<field₂,rank₂>,<field₃,rank₃>…<field_m,rank_n>}，m为数据库 表中字段的数目，n为对应权限级别的数目,field_i为具体的数据库表,rank_j为对 应数据库表的权限级别，互不相交的子树DB₁,DB₂,DB₃…DB_n构成以管理员 Administrator为根的数据域树DAT；

权限分配步骤，用于在建立好操作权限树OAT和可操作数据域树DAT 后，根据数据库系统中用户申请的权限以及对系统安全的要求，为每一个申 请用户进行授权；根据每一用户获得的授权范围，将该用于分配到操作权限 树OAT和可操作数据域树DAT的对应节点中，并使用户获得以该对应节点 以下分支的所有权限。

其中，所述方法还包括：为每个树的节点创建用户信息列表LIST＝ {node_id,{user_id₁,user_id₂,user_id₃,…,user_id_n}}，其中{user_id_i|i＝1,2,…,n,n≥1} 为用户的标记数组，node_id为节点的节点标记。

其中，所述操作权限树OAT和可操作数据域树DAT为双向指针的树形 结构，并以顺序存储的方式存储上述节点的用户信息列表LIST，并根据哈希 函数的运算法则确定节点的存储位置。

其中，所述方法还包括：

用户请求解析步骤，用于对每一用户的数据操作请求进行解释，以获取 对应操作的SQL语句user_sql，以获取对应的操作集合OP＝sql_analyse(user_sql) 和可操作数据域集合DF＝sql_analyse(user_sql)；

数据库审计步骤，用于根据操作集合OP、可操作数据域集合DF、操作权 限树OAT进行实时数据库审计。

其中，所述数据库审计步骤包括：

操作权限审计子步骤，用于对操作集合OP中的操作关键词映射到操作权 限树OAT的对应节点上，并遍历用户信息列表LIST以查找是否包括该节点；

可操作数据域审计子步骤，用于将可操作数据域集合DF中的每个可操 作数据映射到操作权限树DAT的对应节点上，并遍历用户信息列表LIST以查 找是否包括该节点。

其中，所述操作权限审计子步骤具体包括：

针对操作集合OP，利用ForeachOPasrow函数对其中的操作关键词row 进行哈希映射以获得节点标记node_id；利用ForeachListasuser_id函数遍历用户 信息列表LIST以确定根据节点的节点标记node_id是否在用户信息列表LIST中， 如果是则审计通过，步骤结束；如果否则审计不通过。

其中，所述可操作数据域审计子步骤具体包括：

针对可操作数据域集合DF，利用ForeachDFasrow函数对其中的操作关键 字row进行哈希映射以获得节点标记node_id；利用ForeachListasuser_id函数遍 历用户信息列表LIST以确定根据节点的节点标记node_id是否在用户信息列表 LIST中，如果否则审计不通过且步骤结束；如果是则对其双亲节点继续进行 审计，直至审计不通过或达到根节点。

本发明的上述技术方案的有益效果如下：上述技术方案提出了一种基于 访问特征标示的自主可控数据库审计方法和系统，审计管理员根据用户申请 的操作权限、数据域和数据库系统安全的需求，为系统用户分配操作权限， 在操作权限树和数据域树的对应节点中记录用户信息，系统用户可根据获得 的系统授权进行合法的操作请求，实现相关逻辑操作。本方案包括权限初始 化、用户请求解析和数据库实时审计三个处理阶段。同时，通过引入双向指 针的树形数据结构，实现高效的用户操作权限标记，从而有效的减少用户权限审计的系统开销。

附图说明

图1为本发明实施例的系统架构框图。

具体实施方式

为了说明本发明的一种基下面结合附图和具体实施方式对本发明作进一 步详细的说明。

如附图1所示，本方案提出的数据库审计方案包括三个阶段，分别为权 限初始化阶段、用户请求解析阶段和数据库实时审计阶段，以下将对各个阶 段做详细说明：

a)权限初始化阶段

首先构建操作权限树(OperationAuthorityTree，简称OAT)，由审计管 理员根据不同的应用逻辑对操作关键字进行划分，构建相应的逻辑操作子树 T₁、T₂、T₃…T_m(子树数目m根据用户需求而定)，再根据系统的安全要求， 对每棵子树的操作关键字设定相应的权限级别，根据操作权限关系二元组 <op_j,rank_j>，构建权限偏序关系规则集合Rule_auth＝{node_s≥node_r|node_j＝ <op_j,rank_j>,s≠r,s＝1,2,3,…,n,r＝1,2,3,…,n}，其中node_s与node_r分别为集合中任意的第_s个与第r个二元组。如附图1所示，规则关系中相 同权限级别的操作关键字在子树T中作为兄弟节点，规则关系中相邻权限级 别的操作关键字则构成父子节点，从根节点到叶子结点权限级别依次降低， 完成权限树的构建。由用户设定的操作关键字和权限级别构成子树集合T＝ {<op_i,rank_j>|i＝1,2,3,…,m,m>0,j＝1,2,3,…,n,n>0}。系统根据用户 划分的子树以及不同子树中操作关键字的权限级别自动生成操作权限树 OAT。操作权限树OAT的构建过程，可由以下示例进行详细说明：审计管 理员可将操作关键字按操作类型划分为T₁数据查询语句 (DataQueryLanguage，简称DQL)、T₂数据操纵语句(DataManipulationLanguage，简称DML)、T₃数据定义语句 (DataDefinitionLanguage，简称DDL)和T₄数据控制语句 (DataControlLanguage，简称DCL)，在每棵子树中，对各自类别的操作 关键字，设定相应的权限级别，T₁子树集合中设定T₁＝{<’select’,1>,<’from’, 1>,…,<op_m,rank_n>}，T₂子树集合中设定{<’delete’,1>,<’update’,2>, <’insert’,3>…<op_m,rank_n>}，T₃子树集合中设定{<’drop’,1>,<’alter’,2>, <’create’,3>…<op_m,rank_n>}，T₄子树集合中设定{<’revoke’,1>,<’grant’,1>, <’commit’,2>…<op_m,rank_n>}，互不相交的子树T₁、T₂、T₃、T₄再构成以 Administrator为根的操作权限树OAT。

建立好操作权限树OAT后，以同样的方式构建可操作数据域树(DataAuthorityTree，简称DAT)。以下将通过实例进行详细说明：审计管 理员为所有系统的数据库构建子树DB₁,DB₂,DB3…DB_n(子树数目n可根据 用户实际需求而定)。在每棵子树中，为数据库表设定权限级别DB＝{<table₁, rank₁>,<table2,rank₂>,<table3,rank₃>…<tablem,rank_n>},m为数据库表 的数目，n为权限级别的数目,table_i为具体的数据库表,rank_j为对应数据库表 的权限级别，再在表的子树中设定不同字段的权限级别Table＝{<field₁, rank₁>,<field2,rank₂>,<field₃,rank₃>…<fieldm,rank_n>}，m为数据库表中 字段的数目，n为对应权限级别的数目,field_i为具体的数据库表,rank_j为对应 数据库表的权限级别，互不相交的子树DB₁,DB₂,DB₃…DB_n构成以 Administrator为根的数据域树DAT。

建立好操作权限树OAT和数据域树DAT后，管理员根据数据库系统的 用户申请的权限以及对系统安全的要求，为每一个申请用户进行授权。根据 用户获得的授权范围，分别在操作权限树OAT和可操作数据域树DAT的对 应节点中，记录用户信息，用户将获得以该节点为根的子树的所有权限。为 存储用户的授权信息，在每个树节点创建用户信息列表LIST＝{node_id, {user_id₁,user_id2,user_id3,…,user_idn}}，其中{user_id_i|i＝1,2,…,n,n≥ 1}为用户的唯一标记数组，node_id为节点的唯一标记。

为优化权限审计，生成的权限树将以双向指针的树形结构进行存储，同 时由于权限树初始化后，节点信息将不会发生变化，则以顺序存储的方式存 储上述节点的用户信息列表LIST信息，并根据哈希函数的运算法则合理安 排节点的存储位置，以便于权限审计时的快速标记，提高数据库实时审计的 效率。

b)用户请求解析阶段

审计系统将拦截每一个用户的数据操作请求，并对请求进行解析，获得 对应操作的SQL语句user_sql，并根据正则表达式设定的解析规则获得对 应操作集合OP＝sql_analyse(user_sql)和操作数据域集合 DF＝sql_analyse(user_sql)，将获得的操作集合OP，操作数据域集合DF， 发送到下一阶段，进行数据库实时审计。

c)数据库实时审计阶段

根据获得的操作集合OP、操作数据域集合DF以及初始化阶段生成的权 限树，进行实时数据审计，实时审计包含两个过程，首先进行操作权限的审 计，对操作集合OP中的每个值进行哈希运算，映射到操作权限树OAT的对 应节点上，并对节点存储的用户信息列表LIST进行遍历，若不存在该用户的 标记，则访问当前节点的双亲节点，进行相同的信息遍历，直到返回根节点 Administrator，权限审计结束，具体流程如算法1所示：

操作权限审计通过后，即可进行可操作数据域的审计，对集合DF中的 每个值进行哈希运算，映射到操作权限树DAT的对应节点上，并对节点存储 的用户信息列表LIST进行遍历，若不存在该用户的标记，则访问当前节点的 双亲节点，进行相同的节点信息遍历，直到返回根节点Administrator，权限 审计结束，具体流程如算法2所示：

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通 技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和 润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (7)

1.一种基于访问特征标示的自主可控数据库审计方法，其特征在于，包括：

操作权限树OAT建立步骤，用于根据不同的应用逻辑对操作关键词进行划分以建立操作权限树OAT；根据数据库操作-权限等级二元组<op_j,rank_j>构成节点node_j，其中op_j为操作集合OP的第j个数据库操作,rank_j为对应操作op_j的权限等级，共同构建权限偏序关系规则集合Rule_auth＝{node_s≥node_r|node_j＝<op_j,rank_j>,s≠r,s＝1,2,3,…,n,r＝1,2,3,…,n}，其中node_s与node_r分别为集合中任意的第s个与第r个二元组；然后根据权限偏序关系规则集合构建m个规则子树T₁,T₂,T₃…T_m；其中每一规则子树对应一个操作关键词，且该规则子树的每一层对应不同的权限级别；其中权限偏序关系规则集中相同权限级别的操作关键词构成兄弟节点，而相邻权限级别的操作关键字构成父子节点，从根节点到叶子结点权限级别依次降低，构建出该操作关键词的规则子树；根据用户设定的操作关键字和权限级别构成子树集合T＝{<op_i,rank_j>|i＝1,2,3,…,m,m>0,j＝1,2,3,…,n,n>0}；

可操作数据域树DAT建立步骤，用于为每一数据库构建可操作数据域子树DB₁,DB₂,DB₃…DB_n；其中每一可操作数据域子树包括数据库表的权限级别DB＝{<table₁,rank₁>,<table₂,rank₂>,<table₃,rank₃>…<table_m,rank_n>},m为数据库表的数目，n为权限级别的数目,table_i为具体的数据库表,rank_j为对应数据库表的权限级别，且再在表的可操作数据域子树中设定不同字段的权限级别Table＝{<field₁,rank₁>,<field₂,rank₂>,<field₃,rank₃>…<field_m,rank_n>}，m为对应数据库表中字段的数目，n为对应权限级别的数目,field_i为数据库表的字段,rank_j为对应字段的权限级别，互不相交的可操作数据域子树DB₁,DB₂,DB₃…DB_n构成以管理员Administrator为根的可操作数据域树DAT；

权限分配步骤，用于在建立好操作权限树OAT和可操作数据域树DAT后，根据数据库系统中用户申请的权限以及对系统安全的要求，为每一个申请用户进行授权；根据每一用户获得的授权范围，将该用于分配到操作权限树OAT和可操作数据域树DAT的对应节点中，并使用户获得以该对应节点以下分支的所有权限；

用户请求解析步骤，用于对每一用户的数据操作请求进行解释，以获取对应操作的SQL语句user_sql，以获取对应的操作集合OP＝sql_analyse(user_sql)和可操作数据域集合DF＝sql_analyse(user_sql)；

数据库审计步骤，用于根据操作集合OP、可操作数据域集合DF、操作权限树OAT进行实时数据库审计。

2.根据权利要求1所述的基于访问特征标示的自主可控数据库审计方法，其特征在于，所述方法还包括：为每个树的节点创建用户信息列表LIST＝{node_id,{user_id₁,user_id₂,user_id₃,…,user_id_n}}，其中{user_id_i|i＝1,2,…,n,n≥1}为用户的标记数组，node_id为节点的节点标记。

3.根据权利要求1所述的基于访问特征标示的自主可控数据库审计方法，其特征在于，所述操作权限树OAT和可操作数据域树DAT为双向指针的树形结构，并以顺序存储的方式存储上述节点的用户信息列表LIST，并根据哈希函数的运算法则确定节点的存储位置。

4.根据权利要求1所述的基于访问特征标示的自主可控数据库审计方法，其特征在于，所述数据库审计步骤包括：

操作权限审计子步骤，用于对操作集合OP中的操作关键词映射到操作权限树OAT的对应节点上，并遍历用户信息列表LIST以查找是否包括该节点；

可操作数据域审计子步骤，用于将可操作数据域集合DF中的每个可操作数据映射到操作权限树DAT的对应节点上，并遍历用户信息列表LIST以查找是否包括该节点。

5.根据权利要求4所述的基于访问特征标示的自主可控数据库审计方法，其特征在于所述操作权限审计子步骤具体包括：

针对操作集合OP，利用ForeachOPasrow函数对其中的操作关键词row进行哈希映射以获得节点标记node_id；利用ForeachListasuser_id函数遍历用户信息列表LIST以确定根据节点的节点标记node_id是否在用户信息列表LIST中，如果是则审计通过，步骤结束；如果否则审计不通过。

6.根据权利要求4所述的基于访问特征标示的自主可控数据库审计方法，其特征在于，所述可操作数据域审计子步骤具体包括：

针对可操作数据域集合DF，利用ForeachDFasrow函数对其中的操作关键字row进行哈希映射以获得节点标记node_id；利用ForeachListasuser_id函数遍历用户信息列表LIST以确定根据节点的节点标记node_id是否在用户信息列表LIST中，如果否则审计不通过且步骤结束；如果是则对其双亲节点继续进行审计，直至审计不通过或达到根节点。

7.一种基于访问特征标示的自主可控数据库审计系统，其特征在于，包括：

操作权限树OAT建立模块，用于根据不同的应用逻辑对操作关键词进行划分以建立操作权限树OAT；根据数据库操作-权限等级二元组<op_j,rank_j>构成节点node_j，其中op_j为操作集合OP的第j个数据库操作,rank_j为对应操作op_j的权限等级；构建权限偏序关系规则集合Rule_auth＝{node_s≥node_r|node_j＝<op_j,rank_j>,s≠r,s＝1,2,3,…,n,r＝1,2,3,…,n}，其中node_s与node_r分别为集合中任意的第s个与第r个二元组；然后根据权限偏序关系规则集合构建m个规则子树T₁,T₂,T₃…T_m；其中每一规则子树对应一个操作关键词，且该规则子树的每一层对应不同的权限级别；其中权限偏序关系规则集中相同权限级别的操作关键词构成兄弟节点，而相邻权限级别的操作关键字构成父子节点，从根节点到叶子结点权限级别依次降低，构建出该操作关键词的规则子树；根据用户设定的操作关键字和权限级别构成子树集合T＝{<op_i,rank_j>|i＝1,2,3,…,m,m>0,j＝1,2,3,…,n,n>0}；

可操作数据域树DAT建立模块，用于为每一数据库构建可操作数据域子树DB₁,DB₂,DB₃…DB_n；其中每一可操作数据域子树包括数据库表的权限级别DB＝{<table₁,rank₁>,<table₂,rank₂>,<table₃,rank₃>…<table_m,rank_n>},m为数据库表的数目，n为权限级别的数目,table_i为具体的数据库表,rank_j为对应数据库表的权限级别，且再在表的可操作数据域子树中设定不同字段的权限级别Table＝{<field₁,rank₁>,<field₂,rank₂>,<field₃,rank₃>…<field_m,rank_n>}，m为数据库表中字段的数目，n为对应权限级别的数目,field_i为具体的数据库表,rank_j为对应数据库表的权限级别，互不相交的可操作数据域子树DB₁,DB₂,DB₃…DB_n构成以管理员Administrator为根的可操作数据域树DAT；

权限分配模块，用于在建立好操作权限树OAT和可操作数据域树DAT后，根据数据库系统中用户申请的权限以及对系统安全的要求，为每一个申请用户进行授权；根据每一用户获得的授权范围，将该用于分配到操作权限树OAT和可操作数据域树DAT的对应节点中，并使用户获得以该对应节点以下分支的所有权限。

Images