CN109561092B

CN109561092B - 基于数据流量及数据探测结果进行安全态势建模的方法

Info

Publication number: CN109561092B
Application number: CN201811463857.1A
Authority: CN
Inventors: 杨海峰; 孙铮
Original assignee: Beijing Dbsec Technology Co ltd
Current assignee: Beijing Dbsec Technology Co ltd
Priority date: 2018-12-03
Filing date: 2018-12-03
Publication date: 2021-01-26
Anticipated expiration: 2038-12-03
Also published as: CN109561092A

Abstract

本发明涉及一种基于数据流量及数据探测结果进行安全态势建模的方法，包括以下步骤：使用数据库内容探测技术及敏感数据特征匹配技术判断数据库中敏感数据种类及分布，建立敏感数据字典；基于敏感数据字典进行数据分类分级；获取数据访问流量并基于流量分析，判断数据访问者的身份特征；基于流量分析，获取访问者访问数据的行为特征及数据对象；根据数据访问者的身份特征及行为特征，对访问数据的行为建立模型；根据模型，进行数据库风险分析及态势感知。本发明合理利用流量分析审计类以及数据探测扫描类技术提供的基础数据，对其加工分析，对数据访问情况建立智能模型，以此对数据访问过程中的态势及风险进行有效的预判和感知，预防0day攻击行为。

Description

基于数据流量及数据探测结果进行安全态势建模的方法

技术领域

本发明属于数据安全技术领域，尤其是一种基于数据流量及数据探测结果进行安全态势建模的方法。

背景技术

目前基于数据流量分析的信息采集技术已经趋于成熟，但是对采集到的信息的使用仍然存在较大限制，传统的分析方法无法根据采集到的信息对数据访问行为进行合理有效的建模并对风险进行预判。

数据库流量分析技术是指对数据库的客户端到数据库服务器的流量进行解析，从流量中获取到访问数据库的账户信息、访问工具、时间、操作系统信息、访问语句、访问对象、影响行数和结果集等信息的技术。数据库内容探测技术是指采用具有一定权限的数据库账户与数据库建立连接，通过系统对象解析判断数据库的账户分布，权限分布；通过特征匹配技术获取数据库中敏感对象分布的技术。

如何利用数据库流量分析技术以及数据库内容探测技术对数据安全态势感知及建模是目前迫切需要解决的问题。

发明内容

本发明的目的在于克服现有技术的不足，提出一种基于数据流量及数据探测结果进行安全态势建模的方法，解决了数据库流量解析产品以及数据库探测扫描类产品采集结果不便于分析和使用的问题，同时解决了没有明确配置风险规则的情况下如何对数据访问行为进行风险感知的问题。

本发明解决其技术问题是采取以下技术方案实现的：

一种基于数据流量及数据探测结果进行安全态势建模的方法，包括以下步骤：

步骤1、使用数据库内容探测技术及敏感数据特征匹配技术判断数据库中敏感数据种类及分布，建立敏感数据字典；

步骤2、基于敏感数据字典进行数据分类分级；

步骤3、获取数据访问流量并基于流量分析，判断数据访问者的身份特征；

步骤4、基于流量分析，获取访问者访问数据的行为特征及数据对象；

步骤5、根据数据访问者的身份特征及行为特征，对访问数据的行为建立模型；

步骤6、根据模型，进行数据库风险分析及态势感知。

所述步骤1的具体实现方法为：通过内容探测并基于数据特征扫描，将具有一定权限的数据库用户与数据库建立连接，遍历数据库中的数据表，从每张数据表中提取部分数据与数据特征进行匹配，得出敏感数据的分布情况，建立敏感数据字典。

所述步骤2的具体实现方法为：将通过导入数据分类分级规则与敏感数据字典进行匹配，确定目标数据环境中敏感数据的分类分级情况。

所述步骤3判断数据访问者的身份特征包括以下内容：⑴访问数据库的用户名；访问数据库的主机信息；访问数据库的IP及端口；访问数据库的语句模板；⑵访问数据库的应用程序名；⑶长连接与短连接；⑷是否具有访问系统表的行为，是否初次建立连接后立刻访问系统表；⑸是否执行参数化语句；⑹是否出现几秒内连续执行多条语句的情况。

所述步骤5的具体实现方法为：

⑴根据数据访问者是自然人和应用程序建立模型；

⑵分别针对长连接和短连接会话建立会话量模型；

⑶采集单位时间内的会话量，按日、周、月建立会话量模型；

⑷上行流量：采集单位时间内的SQL请求数量或请求包数量，按日、周、月建立上行流量模型；

⑸下行流量：采集单位时间内的SQL应答行数或应答包数量，按日、周、月建立下行流量模型。

所述短连接和长连接的判断方法为：会话生命期小于等于10秒，否则是长连接。

所述步骤6进行数据库风险分析的范围包括如下类型：

⑴登录会话异常；⑵新账户登录异常；⑶会话初始登录行为异常；⑷应用关联账户频繁更换异常；⑸应用关联IP异常；⑹应用关联账户异地登录异常；⑺操作异常建模；⑻返回结果异常；⑼敏感数据访问异常；⑽敏感数据访问频次异常。

本发明的优点和积极效果是：

1、本发明针对目前日益复杂的数据安全场景需求，合理利用流量分析审计类以及数据探测扫描类技术提供的基础数据，对其采取加工分析，对数据访问情况建立智能模型，以此对数据访问过程中的态势及风险进行有效的预判和感知，预防0day攻击行为。

2、本发明能够对数据库的访问源、访问工具、访问对象、访问语句、时间频次及数据库中敏感数据分布、权限分布等内容进行综合分析并建立数据访问模型，基于数据访问模型对数据库安全进行评估，并对潜在风险进行预判及告警。

附图说明

图1是本发明的处理流程图。

具体实施方式

以下结合附图对本发明实施例做进一步详述。

一种基于数据流量及数据探测结果进行安全态势建模的方法，如图1所示，包括以下步骤：

步骤1、使用数据库内容探测技术及敏感数据特征匹配技术判断数据库中敏感数据种类及分布，建立敏感数据字典。具体方法为：

使用数据库内容探测技术并基于数据特征扫描，通过具有一定权限的数据库用户与数据库建立连接，遍历数据库中的数据表，每张数据表中通过提取部分数据与数据特征进行匹配，从而得出敏感数据的分布情况，建立敏感数据字典。

步骤2、基于敏感数据字典进行数据分类分级。

在本步骤中，将通过导入数据分类分级规则(预先制定)，与敏感数据字典进行匹配，确定目标数据环境中敏感数据的分类分级情况，并形成清单。

步骤3、获取数据流量访问流量并基于流量分析，判断数据访问者的身份特征。

在本步骤中，判断数据访问者的身份特征的依据包括以下内容：

⑴访问数据库的用户名；访问数据库的主机信息；访问数据库的IP及端口；访问数据库的语句模板；

⑵访问数据库的应用程序名；

⑶长连接与短连接；

⑷是否具有访问系统表的行为，是否初次建立连接后立刻访问系统表；

⑸是否执行参数化语句；

⑹是否出现几秒内连续执行多条语句的情况。

步骤4、基于流量分析，获取访问者访问数据的行为特征及数据对象。

步骤5、根据数据访问者的身份特征及行为特征，对访问数据的行为建立模型，具体建模方法为：

⑴根据数据访问者是自然人和应用程序建立模型；

⑵分别针对长连接和短连接会话建立会话量模型。会话生命期<＝10秒(可设置)的是短连接，否则是长连接。

⑶采集单位时间内的会话量，按日、周、月建立会话量模型(时间周期可设置)

⑷上行流量：采集单位时间内的SQL请求数量或请求包数量，根据设置，按日、周、月建立上行流量模型。

⑸下行流量：采集单位时间内的SQL应答行数或应答包数量，根据设置，按日、周、月建立下行流量模型。

步骤6、根据会话量模型，进行数据库风险分析及态势感知。

在本步骤中，进行数据库风险分析的范围包括如下几类

(1)登录会话异常：单位时间内，例如3分钟，出现3次以上的失败登录，则认为是出现异常。其中时间和次数可设置。

(2)新账户登录异常：统计登录的账户，当业务应用或人工操作所在的主机，出现了新的登录账户。则认为是异常。

(3)会话初始登录行为异常：会话登录一般是有模式的；对来自业务应用系统或人工操作所在主机的所有登录会话，按照使用的数据库账户+数据库IP和PORT进行分组，并建立这些登录会话的前N条相同SQL命令模型，可能会存在几种不同的模型；例如部分会话的前3条SQL命令都是3,8,10，一部分是2,5,7，一部分是2,6,9。模型建立后，当出现新的登录后会话初始行为特征时，进行告警。

(4)应用关联账户频繁更换异常：根据统计结果，来自同一应用客户端IP，频繁(3分钟内，可设置)，更换登录账户的行为(更换应用账户>＝3个，可设置)，认为是异常。

(5)应用关联IP异常：根据统计结果，来自同一个应用客户端的账户，在短时间内(3分钟内，可设置)，出现了不同的客户端IP地址，认为是异常行为。

(6)应用关联账户异地登录异常：根据统计结果，来自同一个应用客户端的账户，出现了与常用登录地区不同的客户端IP地址，认为是异常行为。

(7)操作异常建模：包括失败操作、错误语句、频次和访问时间异常、新型SQL语句，语句与执行时间不匹配。

(8)返回结果异常：包括返回结果与常规数据量不符、返回结果错误等异常行为。

(9)敏感数据访问异常：统计每个敏感对象的操作语句模板；在建模时，自动分析最近单位时间段内(例如3天，可设置)，没有对该敏感对象的新型的SQL模板产生，并且系统在正常运行中(SQL量没有大范围的减少)，则自动形成SQL模板的基线；可能会出现整个业务系统的SQL模板不会收敛，但针对敏感表的SQL模板则可能是固定的。建模完成后，当出现新的访问行为时，进行告警。

对于具备应用关联能力，建立起所有非应用用户会话访问敏感数据的模型。该会话往往是业务系统内部的逻辑或线程，对数据库的运行状态进行监控的目的。这类会话正常情况下不应该访问敏感数据或批量获取敏感数据。

建立所有非应用用户访问的敏感数据对象、执行的数据操作(增删改查)，访问该对象的时间范围。建模完成后，发生访问新的敏感对象行为时，进行告警(可设置)。

(10)敏感数据访问频次异常：针对敏感对象的操作行为，记录在不同单位时间内，所有短时间会话总共执行的访问敏感对象的频次、影响的总数据量，和最大的单会话影响数据量；包括SELECT、UPDATE、DELETC、INSERT操作；单位时间可设置，一般包括10秒内，30秒内，1分钟内，3分钟，10分钟，30分钟，1小时，3小时，8小时，24小时内的所有长连接会话中，访问敏感对象的次数合计、影响的数据量合计，和最大的单会话影响数据量。

建模完成后，当频次超过10％，或影响量合计超过30％，或最大单会话影响数据量超过100％时进行告警。

需要强调的是，本发明所述的实施例是说明性的，而不是限定性的，因此本发明包括并不限于具体实施方式中所述的实施例，凡是由本领域技术人员根据本发明的技术方案得出的其他实施方式，同样属于本发明保护的范围。

Claims

1.一种基于数据流量及数据探测结果进行安全态势建模的方法，其特征在于包括以下步骤：

步骤2、基于敏感数据字典进行数据分类分级；

步骤6、根据模型，进行数据库风险分析及态势感知；

所述步骤5的具体实现方法为：

⑴根据数据访问者是自然人和应用程序建立模型；

⑵分别针对长连接和短连接会话建立会话量模型；

⑸下行流量：采集单位时间内的SQL应答行数或应答包数量，按日、周、月建立下行流量模型；

所述步骤6进行数据库风险分析的范围包括如下类型：

2.根据权利要求1所述的基于数据流量及数据探测结果进行安全态势建模的方法，其特征在于：所述步骤1的具体实现方法为：通过内容探测并基于数据特征扫描，将具有一定权限的数据库用户与数据库建立连接，遍历数据库中的数据表，从每张数据表中提取部分数据与数据特征进行匹配，得出敏感数据的分布情况，建立敏感数据字典。

3.根据权利要求1所述的基于数据流量及数据探测结果进行安全态势建模的方法，其特征在于：所述步骤2的具体实现方法为：将通过导入数据分类分级规则与敏感数据字典进行匹配，确定目标数据环境中敏感数据的分类分级情况。

4.根据权利要求1所述的基于数据流量及数据探测结果进行安全态势建模的方法，其特征在于：所述步骤3判断数据访问者的身份特征包括以下内容：⑴访问数据库的用户名；访问数据库的主机信息；访问数据库的IP及端口；访问数据库的语句模板；⑵访问数据库的应用程序名；⑶长连接与短连接；⑷是否具有访问系统表的行为，是否初次建立连接后立刻访问系统表；⑸是否执行参数化语句；⑹是否出现几秒内连续执行多条语句的情况。

5.根据权利要求1所述的基于数据流量及数据探测结果进行安全态势建模的方法，其特征在于：所述短连接和长连接的判断方法为：会话生命期小于等于10秒，否则是长连接。