CN114385599B - 一种基于内核评分机制的审计处理方法和系统 - Google Patents

Abstract

本申请公开了一种基于内核评分机制的审计处理方法和系统，该方法包括：集群中的预定内核根据确定预定内核进行SQL语句审计的负荷，其中，集群是将进行SQL语句审计的内核进行配置形成的集群；预定内核在负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至集群中的其他内核进行审计；预定内核获取集群中除预定内核外的其他内核的评分，其中，评分用于指示该内核的资源使用情况；预定内核根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给评分最优的其他内核，其中，评分最优的其他内核的空闲资源最多。通过本申请解决了现有技术对数据库审计进行审计资源的问题，从而提高了审计资源分配的合理性，进而提高了审计效率。

Description

一种基于内核评分机制的审计处理方法和系统

技术领域

本申请涉及到审计领域，具体而言，涉及一种基于内核评分机制的审计处理方法和系统。

背景技术

数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为商业和公共安全中最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。数据库存在各种管理和技术上的风险，对企业来说，数据库安全存在的众多安全隐患。

为了解决安全隐患需要对SQL语句进行审计，数据库审计需要消耗计算资源，如何安排审计资源决定了数据库审计的效率，对于此，现有技术中没有公开相应的技术方案。

发明内容

本申请实施例提供了一种基于内核评分机制的审计处理方法和系统，以至少解决现有技术对数据库审计进行审计资源的问题。

根据本申请的一个方面，提供了一种基于内核评分机制的审计处理方法，包括：集群中的预定内核根据确定所述预定内核进行SQL语句审计的负荷，其中，所述集群是将进行SQL语句审计的内核进行配置形成的集群；所述预定内核在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；所述预定内核获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；所述预定内核根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。

进一步地，还包括：所述集群中的每个内核根据该内核的资源使用情况进行自我评分，并将自我评分之后得到的评分放入到缓存中；其中，所述预定内核获取到的其他内核的评分是从所述缓冲中获取的。

进一步地，所述每个内核的资源使用情况包括以下至少之一：该内核正在处理的SQL语句量、该内核待处理的SQL语句量。

进一步地，还包括：所述每个内核获取该内核正在处理的SQL会话以及待处理的SQL会话；所述每个内核获取每个会话的SQL语句量；所述每个内核根据正在处理的SQL会话、待处理的SQL会话以及每个会话的SQL语句量得到该内核正在处理的SQL语句量以及该内核待处理的SQL语句量。

根据本申请的另一个方面，还提供了一种基于内核评分机制的审计处理系统，包括：第一确定模块，位于集群中的预定内核中，用于根据确定所述预定内核进行SQL语句审计的负荷，其中，所述集群是将进行SQL语句审计的内核进行配置形成的集群；第二确定模块，位于所述预定内核中，用于在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；获取模块，位于所述预定内核中，用于获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；选择模块，位于所述预定内核中，用于根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。

进一步地，还包括：评分模块，位于所述集群中的每个内核中，用于根据该内核的资源使用情况进行自我评分，并将自我评分之后得到的评分放入到缓存中；其中，所述预定内核获取到的其他内核的评分是从所述缓冲中获取的。

进一步地，所述每个内核的资源使用情况包括以下至少之一：该内核正在处理的SQL语句量、该内核待处理的SQL语句量。

进一步地，还包括：处理模块，位于所述每个内核中，用于：获取该内核正在处理的SQL会话以及待处理的SQL会话；获取每个会话的SQL语句量；根据正在处理的SQL会话、待处理的SQL会话以及每个会话的SQL语句量得到该内核正在处理的SQL语句量以及该内核待处理的SQL语句量。

根据本申请的另一个方面，还提供了一种处理器，用于运行软件，其中，所述软件用于执行上述的方法。

根据本申请的另一个方面，还提供了一种存储器，用于存储软件，其中，所述软件用于执行上述的方法。

在本申请实施例中，采用了集群中的预定内核根据确定所述预定内核进行SQL语句审计的负荷，其中，所述集群是将进行SQL语句审计的内核进行配置形成的集群；所述预定内核在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；所述预定内核获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；所述预定内核根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。通过本申请解决了现有技术对数据库审计进行审计资源的问题，从而提高了审计资源分配的合理性，进而提高了审计效率。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的基于内核评分机制的审计处理方法的流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

在本实施例中审计到数据库审计，进行数据库审计的方式有很多种，例如，在相关技术中，提供了如下一种数据库审计方法，该方法包括：

步骤S100，对数据库访问网关的访问数据进行抓取，根据抓取获得的数据获得数据库访问信息，可以预见的，所述数据库访问网关可能存在其他访问数据，因此，需要对所述抓取获得的数据进行筛选，从而获得数据库访问信息。

步骤S200，根据所述数据库访问信息解析获得对应的数据库访问语句，并保存所述数据库访问语句。根据所述数据库访问信息根据对应的数据库协议，通过预设对应的解析算法解析出与所述数据库访问信息相对应的数据库访问语句，并保存所述数据库访问语句。

步骤S300，预设时间间隔后，获取预设时段内保存的数据库访问语句，并通过预设算法判断所述数据库访问语句是否合法。

为了保证数据库系统审计的实时性，通常在预设时间间隔后，方才获取预设时段内保存的数据库访问语句，对所述保存的数据库访问语句通过预设算法逐一进行判断，判断所述数据库访问语句是否合法，例如，所述判断可以通过正则表达式匹配核心数据表关键字，通过匹配结果判断所述数据库访问语句是否合法，进一步的，为方便数据库管理员使用，可通过预设白名单的方式增加合法的数据库访问规则。

针对本步骤，一种可能的实施方式包括如下步骤：1、预设时间间隔10分钟后，读取10分钟内保存的数据库访问语句；2、对每一条数据库访问语句应用规则判断，所述规则判断可以为正则表达式匹配，如通过正则表达式过滤出所有带有/*slave*/开头标记的数据库访问语句；3、根据步骤2所过滤出来的带有/*slave*/开头标记的数据库访问语句与数据库管理员预设的白名单进行比较，若在所述白名单之中，则所述数据库访问语句合法，若不在所述白名单之中，则所述数据库访问语句非法。

步骤S400，当判断到所述数据库访问语句非法时，提示数据库管理员。

当判断到所述数据库访问语句非法时，通过通知、告警等方式提示数据库管理员，使数据库管理员能够及时知晓该非法数据库访问语句，可以预见的，所述对数据库管理员的提示可以包括：邮件、短信、微信等。在本实施例中，通过对数据库访问网关进行监听，获取所有数据库访问信息，并对该数据库访问信息进行解析并保存解析后生成的数据库访问语句，同时在预设时间间隔后对保存的预设时段内的数据库访问语句进行审计，判断是否存在非法数据库访问，并在发现非法访问时提示数据库管理员，使得数据库审计工作不再需要大量的人工参与，能够自动完成审计且在发现非法数据库访问时主动提示数据库管理员。

当判断到所述数据库访问语句非法时，提示数据库管理员之后还包括：步骤S500，根据所述非法的数据库访问语句对应的数据库访问信息，对所述非法的数据库访问语句进行追溯，获取所述数据库访问语句的源地址。根据所述非法的数据库访问语句获得与其对应的数据库访问信息，并根据所述数据库访问信息获得该数据库访问语句的源地址，从而对所述非法的数据库访问语句进行追溯，其中，所述数据库访问信息中包括：源IP地址、源端口号、源MAC、目标IP地址、目标端口号、目标MAC。

对抓取到的SQL语句进行审计时，在本实施例中提供了一种基于内核评分机制的审计处理方法，图1是根据本申请实施例的基于内核评分机制的审计处理方法的流程图，下面对图1中包括的步骤进行说明。

步骤S102，集群中的预定内核根据确定所述预定内核进行SQL语句审计的负荷，其中，所述集群是将进行SQL语句审计的内核进行配置形成的集群；

作为一个可选的实施方式，审计服务可以预先从内核中选择用于进行审计的内核，将用于进行SQL审计的内核配置成一个集群，审计服务开辟高速缓存用于各个用于审计的内核保存评分。每个用于审计的内核间隔预定周期计算自己的评分，并评分放入到高速缓存中。审计服务获取待审计的SQL语句的数量或者包括SQL语句的SQL会话的数量，根据所述SQL会话的数量或者SQL语句的数量选择用于进行审计的内核，在所述SQL会话的数量或者SQL语句的数量增加的时候，获取在缓存中的评分，如果评分表示所有内核的负荷均大于第一阈值，则增加用于审计的内核，如果评分表示部分内核的负荷小于第二阈值，则减少用于审计的内核。

步骤S104，所述预定内核在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；

步骤S106，所述预定内核获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；

步骤S108，所述预定内核根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。

作为另一个可选的实施方式，如果评分最优的其他内核的数量为多个，则获取多个评分最优的内核中的每个内核的评分变化趋势，选择评分变化趋势从差变优的其他内核作为接收所述预定内核转发SQL语句的接收内核。

通过上述步骤解决了现有技术对数据库审计进行审计资源的问题，从而提高了审计资源分配的合理性，进而提高了审计效率。

在上述步骤中，可以对内核进行评分，评分可以由集群中制定的内核来进行评分，也可以由每个内核来自己进行评分，例如，所述集群中的每个内核根据该内核的资源使用情况进行自我评分，并将自我评分之后得到的评分放入到缓存中；其中，所述预定内核获取到的其他内核的评分是从所述缓冲中获取的。

可选地，所述每个内核的资源使用情况包括以下至少之一：该内核正在处理的SQL语句量、该内核待处理的SQL语句量。

SQL语句量可以从会话量得到，在该可选实施例中，所述每个内核获取该内核正在处理的SQL会话以及待处理的SQL会话；所述每个内核获取每个会话的SQL语句量；所述每个内核根据正在处理的SQL会话、待处理的SQL会话以及每个会话的SQL语句量得到该内核正在处理的SQL语句量以及该内核待处理的SQL语句量。

作为一个可选的实施方式，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计时，可以按照会话的方式来进行转发，所述预定内核获取待审计的SQL会话的优先级，所述预定内核从待审计的SQL会话选择优先级高于阈值的会话进行转发，所述预定内核获取所述集群中除所述预定内核外的其他内核的评分，所述预定内核将不同优先级的SQL会话转发到不同评分的其他内核，其中，优先级越高的SQL会话被转发到的其他内核的评分越优。

作为另一个可选的实施方式，判断所述预定内核能够处理的SQL会话的优先级是否均高于所述集群中的其他内核，如果高于，从所述评分最优的内核运行的线程中选择空闲的线程，并将所述空闲的线程能够处理的SQL会话的优先级配置为最高，所述预定内核将所述待审计的SQL会话转发至配置后的所述空闲的线程上。

在本实施例中，提供一种电子装置，包括存储器和处理器，存储器中存储有计算机程序，处理器被设置为运行计算机程序以执行以上实施例中的方法。

上述程序可以运行在处理器中，或者也可以存储在存储器中（或称为计算机可读介质），计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存 (PRAM)、静态随机存取存储器 (SRAM)、动态随机存取存储器 (DRAM)、其他类型的随机存取存储器 (RAM)、只读存储器 (ROM)、电可擦除可编程只读存储器 (EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘 (DVD) 或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体 (transitory media)，如调制的数据信号和载波。

这些计算机程序也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤，对应与不同的步骤可以通过不同的模块来实现。

该本实施例中就提供了这样的一种装置或系统。该系统被称为一种基于内核评分机制的审计处理系统，该系统包括：第一确定模块，位于集群中的预定内核中，用于根据确定所述预定内核进行SQL语句审计的负荷，其中，所述集群是将进行SQL语句审计的内核进行配置形成的集群；第二确定模块，位于所述预定内核中，用于在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；获取模块，位于所述预定内核中，用于获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；选择模块，位于所述预定内核中，用于根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。

该系统或者装置用于实现上述的实施例中的方法的功能，该系统或者装置中的每个模块与方法中的每个步骤相对应，已经在方法中进行过说明的，在此不再赘述。

例如，还包括：评分模块，位于所述集群中的每个内核中，用于根据该内核的资源使用情况进行自我评分，并将自我评分之后得到的评分放入到缓存中；其中，所述预定内核获取到的其他内核的评分是从所述缓冲中获取的。可选地，所述每个内核的资源使用情况包括以下至少之一：该内核正在处理的SQL语句量、该内核待处理的SQL语句量。

又例如，还包括：处理模块，位于所述每个内核中，用于：获取该内核正在处理的SQL会话以及待处理的SQL会话；获取每个会话的SQL语句量；根据正在处理的SQL会话、待处理的SQL会话以及每个会话的SQL语句量得到该内核正在处理的SQL语句量以及该内核待处理的SQL语句量。

在上述实施例中，提供了一种基于审计kernel节点压力的评分机制以及审计集群内部包转发机制，在该机制中用于审计的内核组成一个集群，审计的包会发给集群上的一个节点上，如果该节点无法进行审计，则该节点将该待审计的包发送给集群中的其他节点。集群中的内核会根据该内核的资源使用情况，例如，CPU处理的会话量、内存保存的会话量、每个会话中的SQL语句数，来对自己进行评分。集群中的节点根据内核各自的评分之后确定一个最优的节点来进行转发。内核对自己的打分会放入到缓存中，需要进行SQL语句或者会话转发的内核，会从高速缓存中找一个最优分数的内核进行转发。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (6)

1.一种基于内核评分机制的审计处理方法，其特征在于，包括：

审计服务预先从内核中选择用于进行审计的内核，将用于进行SQL审计的内核配置成一个集群；所述审计服务开辟高速缓存用于各个用于审计的内核保存评分，每个用于SQL审计的内核间隔预定周期计算自己的评分，并评分放入到高速缓存中；所述审计服务获取待审计的SQL语句的数量或者包括SQL语句的SQL会话的数量，根据所述SQL会话的数量或者SQL语句的数量选择用于进行SQL语句审计的内核，在所述SQL会话的数量或者SQL语句的数量增加的时候，获取在缓存中的评分，如果评分表示所有用于进行SQL语句审计的内核的负荷均大于第一阈值，则增加用于进行SQL语句审计的内核，如果评分表示部分用于进行SQL语句审计内核的负荷小于第二阈值，则减少用于进行SQL语句审计的内核；

所述集群中的预定内核确定所述预定内核进行SQL语句审计的负荷；

所述预定内核在所述负荷满足预定条件的情况下，确定需要将待审计的SQL语句转发至所述集群中的其他内核进行审计；

所述预定内核获取所述集群中除所述预定内核外的其他内核的评分，其中，所述评分用于指示该内核的资源使用情况；

所述预定内核根据评分选择评分最优的其他内核，并将待审计的SQL语句转发给所述评分最优的其他内核，其中，所述评分最优的其他内核的空闲资源最多。

2.根据权利要求1所述的方法，其特征在于，还包括：

所述集群中的每个内核根据该内核的资源使用情况进行自我评分，并将自我评分之后得到的评分放入到缓存中；其中，所述预定内核获取到的其他内核的评分是从所述缓存中获取的。

3.根据权利要求2所述的方法，其特征在于，所述每个内核的资源使用情况包括以下至少之一：该内核正在处理的SQL语句量、该内核待处理的SQL语句量。

4.根据权利要求3所述的方法，其特征在于，还包括：

所述每个内核获取该内核正在处理的SQL会话以及待处理的SQL会话；

所述每个内核获取每个会话的SQL语句量；

所述每个内核根据正在处理的SQL会话、待处理的SQL会话以及每个会话的SQL语句量得到该内核正在处理的SQL语句量以及该内核待处理的SQL语句量。

5.一种处理器，其特征在于，用于运行软件，其中，所述软件用于执行权利要求1至4中任一项所述的方法。

6.一种存储器，其特征在于，用于存储软件，其中，所述软件用于执行权利要求1至4中任一项所述的方法。

Images