CN110598423A - 数据库账号管理方法 - Google Patents

Abstract

本发明提供一种数据库账号管理方法：包括以下步骤：1)、配置数据库服务器IP和端口，抓取数据库网络流量。2)、解析步骤1)抓取的数据库流量，得到解析结果，并将解析结果发送到数据库审计设备；解析结果包含但不限于SQL语句、操作时间、操作账号、返回码、客户端程序。3)、数据库审计设备根据解析结果进行账号管理。本发明通过获取数据库服务器流量，过滤执行成功的数据库操作，得到流量中数据库操作账号、操作时间、sql语句、操作应用系统、执行错误代码，并将错误信息发送给对应的应用系统，提醒应用系统运维人员给对应的操作账号做相应处理。

Description

数据库账号管理方法

技术领域

本发明涉及一种数据库管理方法，具体涉及一种数据库账号管理方法。

背景技术

随着信息化系统的不断推进和普及，信息系统数据集中化，应用系统平台化。在信息部署环境中，数据库与多个应用系统共享数据。然而，系统运维时，应用系统会对应到不同运维人员，运维人员新旧更替很多，时间一长，会搞不清楚具体公司有哪些数据库账号对应用系统是否有操作权限，具体应该拥有什么操作权限，尤其是一些离职人员的账号使用情况，是否已经完全删除不需要的账号，或者还在被偷偷的使用。

CN201010517307.0一种对数据库中的账号信息进行管理操作的方法、系统及装置，用以解决DBA账号授权的不灵活的问题。该方法用户通过登录安全管控平台的第一账号，通过第一账号发送管理操作命令，当安全管控平台接收到该管理操作命令后，将该管理操作命令及该第一账号的信息发送到数据库，使该数据库能够采用第一账号对应的DMA账号，根据接收到的管理操作命令执行相应的管理操作。是将账号与操作进行绑定实现管理操作。

CN201610149405.0一种数据库帐号安全集中管控方法，包括如下步骤：a)获取所有待监控数据库的相关账号；b)对所有待监控数据库的相关账号进行集中式管理；c)定时监听帐号预设的过期时间，自动锁定或回收过期帐号；d)审计访问痕迹和用户行为，对违规操作的帐号进行自动预警，并在预设时间内终止该帐号的操作权限。通过监听账号行为，从而审计用户行为，对违规行为预警。

因此，需要对现有技术进行改进。

发明内容

本发明要解决的技术问题是提供一种高效的数据库账号管理方法。

为解决上述技术问题，本发明提供一种数据库账号管理方法：包括以下步骤：

1)、配置数据库服务器IP和端口，抓取数据库网络流量。

2)、解析步骤1)抓取的数据库流量，得到解析结果，并将解析结果发送到数据库审计设备；

解析结果包含但不限于SQL语句、操作时间、操作账号、返回码、客户端程序。

3)、数据库审计设备根据解析结果进行账号管理。

2、根据权利要求1所述的数据库账号管理方法，其特征在于：

步骤3包括3A和3B两步骤：

3A、账号清理：

3.11)、获得离职人员名单，并将离职人员名单同步到数据库审计设备。

离职人员名单包含但不限于账号、名称、状态；状态初始均为0。

3.12)、数据库审计设备将步骤2解析到的解析结果中的账号与离职人员名单库中状态为0的名单进行比对；

比对成功则执行步骤3.13)；

比对失败则不做任何处理；

离职人员名单库包含但不限于账号、名称、状态。

3.13)、离职人员名单库中相应离职人员的状态置为1，执行步骤3.14)；

3.14)、数据库审计设备将该账号标签为离职人员。执行步骤3.21)；

3B、权限管理：

3.21)、解析SQL语句，通过SQL语句逻辑语法分析SQL语句信息得到数据库名、数据库操作、表名和字段。

3.22)、根据返回码，获取SQL语句执行错误。

3.23)、依照SQL语句执行错误和预设在数据库服务器中的执行错误对照表，对返回码进行归类，得到错误类别。

3.24)、根据步骤3.21)得到的数据库名、数据库操作、表名和步骤3.23)得到的错误类别，提示相应的客户端程序。

作为对本发明数据库账号管理方法的改进：

还包括3.25)：通过步骤3.21)-3.24)，发现T时间内客户端程序、账号、相应权限错误、权限不足对象，组织成报表，发送给相应的应用系统运维人员。

作为对本发明数据库账号管理方法的进一步改进：

如果没有从客户端程序删除对应的离职用户，每次离职用户登陆时在客户端提示其为离职人员；

如果从客户端程序删除对应的离职用户，则数据库审计设备中的离职人员名单库中的相应账号的状态更新为2。

作为对本发明数据库账号管理方法的进一步改进：

运维人员可以设置报表发送时间T，也可以主动获取报表。

作为对本发明数据库账号管理方法的进一步改进：

步骤3.11)中的离职人员名单为数据库服务器从保存有员工信息的系统获得。

本发明数据库账号管理方法的技术优势为：

本发明通过获取数据库服务器流量，过滤执行成功的数据库操作，得到流量中数据库操作账号、操作时间、sql语句、操作应用系统、执行错误代码，并将错误信息发送给对应的应用系统，提醒应用系统运维人员给对应的操作账号做相应处理。

本发明与CN201010517307.0相比，实施例中数据库只能根据该安全管控平台发送的管理操作命令执行相应的操作，从而实现了授权最小化。

本发明与CN201610149405.0相比，本发明是通过获取失败的流量，通过返回的错误代码找到账号缺失的权限，自动提醒以免由于权限缺失不能正常工作从而影响工作效率。

1、自动检测离职人员，提高检测效率，降低误报。

2、自动梳理应用系统权限内容，并形成报表，发送给相应运维人员，提高工作效率。

具体实施方式

下面结合具体实施例对本发明进行进一步描述，但本发明的保护范围并不仅限于此。

实施例1、数据库账号管理方法，本发明通过获取数据库服务器流量，过滤执行成功的数据库操作，得到流量中数据库操作账号、操作时间、sql语句、操作应用系统、执行错误代码，并将错误信息发送给对应的应用系统，提醒应用系统运维人员给对应的操作账号做相应处理。

具体包括以下步骤：

1)、配置数据库服务器IP和端口，抓取数据库网络流量。

2)、根据数据库协议解析步骤1)抓取的数据库流量，分析数据库流量，得到解析结果，并将解析结果发送到数据库审计设备，解析结果包含但不限于SQL语句、操作时间、账号、返回码、客户端程序。

客户端程序即对数据库服务器发送请求的应用程序。

例如可以使用以下数据：

SQL语句：select test.aa from bb

操作时间：2019/04/021456

账号：yltest

返回码：1044

客户端程序：OA

3)、进行账号管理；

账号管理过程分为以下3A、3B两步骤：

3A、账号清理：

3.11)、数据库服务器从保存有员工信息的系统获得离职人员名单，并将离职人员名单同步到数据库审计设备。

离职人员名单包含但不限于账号、名称、状态；状态初始均为0。

如下表所示：

3.12)、数据库审计设备根据步骤2解析到的解析结果中的账号与离职人员名单库中状态为0的名单进行比对，比对成功则提示该账号为离职人员请及时清理，执行步骤3.13)；比对失败则说明正在操作的用户不是离职人员，不做任何处理。

离职人员名单库包含但不限于账号、名称、状态。

假设AAA为离职人员，进行登陆。

3.13)、数据库审计设备的离职人员名单库中的该离职人员的状态置为1，1代表已离职，即已经被比对成功。执行步骤3.14)；

如下表所示：

3.14)、数据库审计设备将该账号标签为离职人员。该账号一旦登录，审计设备则告警；执行步骤3.21)；

如果没有从客户端程序删除对应的离职用户，每次离职用户登陆时在审计设备向客户端提示其为离职人员；

如果从客户端程序删除对应的离职用户，则数据库审计设备中的离职人员名单库中的相应账号的状态更新为2。

如下表所示：

3B、权限管理：

3.21)、数据库审计设备解析SQL语句，通过SQL语句逻辑语法分析SQL语句信息得到(包括但不限于)数据库名、数据库操作、表名、字段。

例如：

数据库名：test

数据库操作:select

表名：bb

3.22)、数据库审计设备根据返回码，获取SQL语句执行错误。

例如返回码为1044，代表当前用户没有访问数据库服务器的权限；

3.23)、数据库审计设备依照SQL语句执行错误和预设在数据库服务器中的执行错误对照表，对返回码进行归类，得到错误类别。

例如类别为权限、数据表不存在等。

3.24)、数据库审计设备处理错误类别，根据步骤3.21)得到的数据库名、数据库操作、表名和步骤3.23)得到的错误类别，提示相应的客户端程序。

3.25)、通过步骤3.21-3.24，能够发现T时间内客户端程序、账号、相应权限错误、权限不足对象，组织成报表，发送给相应的应用系统运维人员。

特别指出，运维人员可以根据需求配置报表发送时间T，也可以根据需求主动获取报表。

例如在客户端程序OA中的用户AAA，权限为：没有访问数据库权利(离职人员)。

最后，还需要注意的是，以上列举的仅是本发明的若干个具体实施例。显然，本发明不限于以上实施例，还可以有许多变形。本领域的普通技术人员能从本发明公开的内容直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (6)

1.数据库账号管理方法，其特征在于：包括以下步骤：

1)、配置数据库服务器IP和端口，抓取数据库网络流量；

2)、解析步骤1)抓取的数据库流量，得到解析结果，并将解析结果发送到数据库审计设备；

解析结果包含但不限于SQL语句、操作时间、操作账号、返回码、客户端程序；

3)、数据库审计设备根据解析结果进行账号管理。

2.根据权利要求1所述的数据库账号管理方法，其特征在于：

步骤3包括3A和3B两步骤：

3A、账号清理：

3.11)、获得离职人员名单，并将离职人员名单同步到数据库审计设备；

离职人员名单包含但不限于账号、名称、状态；状态初始均为0；

3.12)、数据库审计设备将步骤2解析到的解析结果中的账号与离职人员名单库中状态为0的名单进行比对；

比对成功则执行步骤3.13)；

比对失败则不做任何处理；

离职人员名单库包含但不限于账号、名称、状态；

3.13)、离职人员名单库中相应离职人员的状态置为1，执行步骤3.14)；

3.14)、数据库审计设备将该账号标签为离职人员；执行步骤3.21)；

3B、权限管理：

3.21)、解析SQL语句，通过SQL语句逻辑语法分析SQL语句信息得到数据库名、数据库操作、表名和字段；

3.22)、根据返回码，获取SQL语句执行错误；

3.23)、依照SQL语句执行错误和预设在数据库服务器中的执行错误对照表，对返回码进行归类，得到错误类别；

3.24)、根据步骤3.21)得到的数据库名、数据库操作、表名和步骤3.23)得到的错误类别，提示相应的客户端程序。

3.根据权利要求2所述的数据库账号管理方法，其特征在于：

还包括3.25)：通过步骤3.21)-3.24)，发现T时间内客户端程序、账号、相应权限错误、权限不足对象，组织成报表，发送给相应的应用系统运维人员。

4.根据权利要求3所述的数据库账号管理方法，其特征在于：

如果没有从客户端程序删除对应的离职用户，每次离职用户登陆时在客户端提示其为离职人员；

如果从客户端程序删除对应的离职用户，则数据库审计设备中的离职人员名单库中的相应账号的状态更新为2。

5.根据权利要求4所述的数据库账号管理方法，其特征在于：

运维人员可以设置报表发送时间T，也可以主动获取报表。

6.根据权利要求5所述的数据库账号管理方法，其特征在于：

步骤3.11)中的离职人员名单为数据库服务器从保存有员工信息的系统获得。