CN112989403A

CN112989403A - 一种数据库破坏的检测方法、装置、设备及存储介质

Info

Publication number: CN112989403A
Application number: CN201911309838.8A
Authority: CN
Inventors: 余江; 章锁柱
Original assignee: Tols Tianxiang Net An Information Technology Co ltd
Current assignee: Tols Tianxiang Net An Information Technology Co ltd
Priority date: 2019-12-18
Filing date: 2019-12-18
Publication date: 2021-06-18
Anticipated expiration: 2039-12-18
Also published as: CN112989403B

Abstract

本申请公开了一种数据库破坏的检测方法、装置、设备及存储介质，提取数据库访问的镜相流量，生成镜相流量报文；根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。本申请实施例通过对实时SQL语句的操作类型进行识别分类，并在不断自学习数据库日常操作所形成的最新状态的安全访问记录集中查找高危操作的信任哈希值，从而自主地确定数据库是否被破坏，减少了用户的配置，同时节省了成本。

Description

一种数据库破坏的检测方法、装置、设备及存储介质

技术领域

本发明一般涉及信息安全技术领域，具体涉及一种数据库破坏的检测方法、装置、设备及存储介质。

背景技术

数据库(Database)是按照数据结构来组织、存储和管理数据的仓库，简单来说可视为电子化的文件柜，用户可以对文件中的数据进行新增、截取、更新和删除等操作。随着互联网技术和信息技术的迅猛发展，以数据库为基础的信息系统，在金融、医疗以及教育等领域的信息基础设施建设中得到了广泛的应用。

在实际使用过程中，用户通过结构化查询语言(Structured Query Language，SQL)来访问和操作数据库。而当黑客突破数据库的口令限制，成功连接数据库之后，也可以使用SQL语言对数据库进行操作，但如果操作中使用了破坏性类型的语句，比如drop、alter或者truncate，将会对数据库造成不同程度的破坏。由于数据库承载着关键核心业务，其重要性不言而喻。一旦数据库遭到攻击和破坏，就会影响到整个业务的功能。目前，针对此类数据库破坏的检测方法为用户自定义安全策略，即人为指定的IP地址或者连接工具访问数据库是安全的，以及人为规定数据表对应操作类型的SQL语句。

在实现本发明的过程中，发明人发现现有技术中至少存在如下问题：一方面、自定义安全策略需要非常专业的数据库知识，这对于普通的安全管理人员而言是极其困难的，由此在做数据库防护时往往少量定义、甚至是不定义安全策略，从而造成数据库破坏行为的漏报；另一方面，自定义安全策略需要对业务系统的底层架构有深入地了解，但普通的安全管理人员对业务系统的掌握不够全面，即使定义了大量的安全策略，也极易产生误报，可操作性不强，同时需要消耗巨大的人力和财力等成本。

发明内容

鉴于现有技术中的上述缺陷或不足，期望提供一种数据库破坏的检测方法、装置、设备及存储介质，能够减少用户的配置，智能、精准地检测数据库是否存在被破坏的行为，保障数据库的安全。

第一方面，本申请提供一种数据库破坏的检测方法，所述方法包括：

提取数据库访问的镜相流量，生成镜相流量报文；

根据流量探针对所述镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；

当所述操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索所述高危操作对应的第一哈希值，并当所述第一哈希值不存在时，确定数据库被破坏。

第二方面，本申请提供一种数据库破坏的检测装置，所述装置包括：

提取模块，配置用于提取数据库访问的镜相流量，生成镜相流量报文；

识别模块，配置用于根据流量探针对所述镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；

确定模块，配置用于当所述操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索所述高危操作对应的第一哈希值，并当所述第一哈希值不存在时，确定数据库被破坏。

第三方面，本申请提供一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如第一方面所述的数据库破坏的检测方法。

第四方面，本申请提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序用于实现如第一方面所述的数据库破坏的检测方法的步骤。

综上，本申请实施例提供的数据库破坏的检测方法、装置、设备及存储介质，首先提取数据库访问的镜相流量，生成镜相流量报文；然后，根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；进而，当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。本申请实施例通过对实时SQL语句的操作类型进行识别分类，并在不断自学习数据库日常操作所形成的最新状态的安全访问记录集中查找高危操作的信任哈希值，从而自主地确定数据库是否被破坏，减少了用户的配置，同时节省了成本。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1为本申请实施例提供的一种数据库破坏的检测方法的基本流程示意图；

图2为本申请实施例提供的一种数据库破坏的检测装置的基本结构示意图；

图3为本申请实施例提供的另一种数据库破坏的检测装置的结构示意图；

图4为本申请实施例提供的一种计算机系统。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。

此外，术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或模块的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或模块，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或模块。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了便于理解和说明，下面通过图1至图4详细的阐述本申请实施例提供的数据库破坏的检测方法、装置、设备及存储介质。

请参考图1，其为本申请实施例提供的一种数据库破坏的检测方法的基本流程示意图，该方法包括以下步骤：

S101，提取数据库访问的镜相流量，生成镜相流量报文。

比如，本申请实施例对数据库接入的交换机端口做端口镜相，从而引出数据库访问的镜相流量。需要说明的是，端口镜相(Port Mirroring)功能通过在交换机或路由器上，将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听，指定端口被称为镜相端口或者目的端口。在不严重影响源端口正常吞吐流量的情况下，可以通过镜相端口对网络的流量进行监控分析。

S102，根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类。

需要说明的是，结构化查询语言(Structured Query Language，SQL)是一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统，而SQL语句就是对数据库进行操作的一种语言。比如，通过SQL语句对数据库进行创建表和索引、删除数据或者新增数据等操作。

S103，当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。

可选地，本申请实施例中高危操作对应的操作类型可以包括但不限于drop类型、alter类型、truncate类型、grant类型和revoke类型等参数。

比如，当操作类型的分类结果为高危操作时，使用[登录数据库的用户名+连接数据库的工具+连接数据库的IP地址]组成字符串，并进行MD5计算之后得到第一哈希值。进而，当第一哈希值在预先自学习的安全访问记录集中不存在时，确定数据库被破坏，并生成安全告警信息。本申请实施例通过对实时SQL语句的操作类型进行识别分类，并在不断自学习数据库日常操作所形成的最新状态的安全访问记录集中查找高危操作的信任哈希值，从而自主地确定数据库是否被破坏，减少了用户的配置，同时节省了成本。

需要说明的是，本申请实施例中安全访问记录集通过如下步骤自学习而成：首先，获取学习周期内历史镜相流量报文，并还原得到历史SQL语句的条数及每条历史SQL语句的内容；进而，分别计算每条历史SQL语句的内容组成字符串的第二哈希值，并保存第二哈希值至安全访问记录集。

可选地，本申请实施例中历史SQL语句的内容可以包括但不限于登录数据库的用户名、连接数据库的工具和连接数据库的IP地址等信息。

比如，在连续学习N个周期的历史镜相流量报文之后，通过流量探针对历史镜相流量报文进行分析，还原出历史SQL语句的条数及每条历史SQL语句的内容，并使用[登录数据库的用户名+连接数据库的工具+连接数据库的IP地址]组成字符串，对该字符串进行MD5计算得到每条历史SQL语句的内容对应的第二哈希值。进而，将每个第二哈希值作为一条安全访问记录，保存至自学习的安全访问记录集中并去重。

基于前述实施例，本申请实施例提供一种电子设备，该电子设备可以应用于图1对应的实施例提供的数据库破坏的检测方法中，具体包括一个或多个处理器，用于存储一个或多个程序的存储器；当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器执行上述的数据库破坏的检测方法。

需要说明的是，本申请实施例中所涉及的电子设备可以包括但不限于个人计算机(Personal Computer，PC)、个人数字助理(Personal Digital Assistant，PDA)、平板电脑(Tablet Computer)、无线手持设备和手机等。

本申请实施例提供的数据库破坏的检测方法，首先提取数据库访问的镜相流量，生成镜相流量报文；然后，根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；进而，当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。本申请实施例通过对实时SQL语句的操作类型进行识别分类，并在不断自学习数据库日常操作所形成的最新状态的安全访问记录集中查找高危操作的信任哈希值，从而自主地确定数据库是否被破坏，减少了用户的配置，同时节省了成本。

基于前述实施例，本申请实施例提供一种数据库破坏的检测装置，该装置可以应用于图1对应的实施例提供的数据库破坏的检测方法中。参照图2所示，该数据库破坏的检测装置2包括：

提取模块21，配置用于提取数据库访问的镜相流量，生成镜相流量报文；

识别模块22，配置用于根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；

确定模块23，配置用于当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。

可选地，在本申请的其它实施例中，如图3所示，确定模块23还包括自学习单元231，该自学习单元231具体用于：

获取学习周期内历史镜相流量报文，并还原得到历史SQL语句的条数及每条历史SQL语句的内容；

分别计算每条历史SQL语句的内容组成字符串的第二哈希值，并保存第二哈希值至安全访问记录集。

可选地，历史SQL语句的内容包括登录数据库的用户名、连接数据库的工具和连接数据库的IP地址。

可选地，高危操作对应的操作类型包括drop类型、alter类型、truncate类型、grant类型和revoke类型。

需要说明的是，本实施例中与其它实施例中相同步骤和相同内容的说明，可以参照其它实施例中的描述，此处不再赘述。

本申请实施例提供的数据库破坏的检测装置，该装置包括提取模块配置用于提取数据库访问的镜相流量，生成镜相流量报文；识别模块配置用于根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；确定模块配置用于当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。本申请实施例通过对实时SQL语句的操作类型进行识别分类，并在不断自学习数据库日常操作所形成的最新状态的安全访问记录集中查找高危操作的信任哈希值，从而自主地确定数据库是否被破坏，减少了用户的配置，同时节省了成本。

基于前述实施例，本申请实施例提供一种计算机系统。请参照图4所示，该计算机系统400包括中央处理单元(CPU)401，其可以根据存储在只读存储器(ROM)402中的程序或者从存储部分加载到随机访问存储器(RAM)403中的程序而执行各种适当的动作和处理。在RAM403中，还存储有系统操作所需的各种程序和数据。CPU401、ROM402以及RAM403通过总线404彼此相连。输入/输出(I/O)接口405也连接至总线404。

以下部件连接至I/O接口405：包括键盘、鼠标等的输入部分406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分407；包括硬盘等的存储部分408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分409。通信部分409经由诸如因特网的网络执行通信处理。驱动器410也根据需要连接至I/O接口405。可拆卸介质411，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器410上，以便于从其上读出的计算机程序根据需要被安装入存储部分408。

特别地，根据本申请的实施例，上文参考流程图1描述的过程可以被实现为计算机软件程序。例如，本申请的实施例1包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序由CPU401执行，以实现如下步骤：

提取数据库访问的镜相流量，生成镜相流量报文；

根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；

当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。

在这样的实施例中，该计算机程序可以通过通信部分409从网络上被下载和安装，和/或从可拆卸介质411被安装。

需要说明的是，本申请所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本申请各种实施例数据库破坏的检测方法、装置、设备和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。所描述的单元或模块也可以设置在处理器中，例如，可以描述为：一种处理器包括提取模块、识别模块及确定模块。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

作为另一方面，本申请还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该电子设备实现如上述实施例中的数据库破坏的检测方法。

例如，电子设备可以实现如图1中所示的：S101，提取数据库访问的镜相流量，生成镜相流量报文；S102，根据流量探针对镜相流量报文的分析数据，识别SQL语句的操作类型，并进行分类；S103，当操作类型的分类结果为高危操作时，在预先自学习的安全访问记录集中搜索高危操作对应的第一哈希值，并当第一哈希值不存在时，确定数据库被破坏。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims

1.一种数据库破坏的检测方法，其特征在于，所述方法包括：

提取数据库访问的镜相流量，生成镜相流量报文；

2.根据权利要求1所述的数据库破坏的检测方法，其特征在于，所述安全访问记录集通过如下步骤自学习而成：

获取学习周期内历史镜相流量报文，并还原得到历史SQL语句的条数及每条所述历史SQL语句的内容；

分别计算每条所述历史SQL语句的内容组成字符串的第二哈希值，并保存所述第二哈希值至所述安全访问记录集。

3.根据权利要求2所述的数据库破坏的检测方法，其特征在于，所述历史SQL语句的内容包括登录数据库的用户名、连接数据库的工具和连接数据库的IP地址。

4.根据权利要求1-3任意一项所述的数据库破坏的检测方法，其特征在于，所述高危操作对应的操作类型包括drop类型、alter类型、truncate类型、grant类型和revoke类型。

5.一种数据库破坏的检测装置，其特征在于，所述装置包括：

6.根据权利要求5所述的数据库破坏的检测装置，其特征在于，所述安全访问记录集通过如下步骤自学习而成：

7.根据权利要求6所述的数据库破坏的检测装置，其特征在于，所述历史SQL语句的内容包括登录数据库的用户名、连接数据库的工具和连接数据库的IP地址。

8.根据权利要求5-7任意一项所述的数据库破坏的检测装置，其特征在于，所述高危操作对应的操作类型包括drop类型、alter类型、truncate类型、grant类型和revoke类型。

9.一种电子设备，其特征在于，所述电子设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1-4中任一项所述的数据库破坏的检测方法。

10.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序用于实现如权利要求1至4中任一项所述的数据库破坏的检测方法的步骤。