CN115396208A - 一种数据库入侵检测方法以及装置 - Google Patents

Abstract

本申请实施例公开了一种数据库入侵检测方法以及装置，该方法包括：将数据库的访问日志输入到检测模型中，检测模型为基于样本数据集进行机器学习获得的，样本数据库包括数据库入侵数据；根据检测模型的检测结果上报告警信息，弥补了常规关键字过滤的局限性，可以更有效、更快速的发现结构化查询语言入侵行为。

Description

一种数据库入侵检测方法以及装置

技术领域

本申请实施例涉及数据库领域，尤其涉及一种数据库入侵检测方法以及装置。

背景技术

随着互联网的快速发展，非法黑客组织也试图通过攻击业务系统服务器，入侵业务系统服务器达到不可告人的目的。而入侵的主要目标往往就是网络(web)服务后端的数据库系统，通过web服务入侵获取到数据库权限及数据，从而造成用户数据泄露，系统数据丢失等严重后果。

当前服务器针对黑客入侵痕迹的被动式检测方法主要是通过检测：网页页面被篡改或者被挂暗链；监管机构监测该服务器与境外恶意主机进行通讯；因挖矿等导致服务器运行不畅；数据泄露，导致数据在境外或暗网传播；对内网其他机器攻击，被安全设备发现告警等，但是，该方案针对恶意攻击行为的检测方法缺乏系统性及有效性。

发明内容

本申请实施例提供了一种数据库入侵检测方法以及装置，用于更有效、更快速的发现SQL入侵行为。

本申请实施例第一方面提供了一种数据库入侵检测方法，该方法包括：将数据库的访问日志输入到检测模型中，检测模型为基于样本数据集进行机器学习获得的，样本数据集包括数据库入侵数据；根据检测模型的检测结果上报告警信息。

在一种可能的实施方式中，上述步骤根据检测模型的检测结果上报告警信息包括：根据检测结果确定威胁等级；上报告警信息，告警信息包括威胁等级。

在一种可能的实施方式中，上述步骤上报告警信息之后，该方法还包括：保存检测结果。

在一种可能的实施方式中，上述步骤将数据库的访问日志输入到检测模型中之前，该方法还包括：开启数据库的日志功能，日志功能用于记录访问日志。

在一种可能的实施方式中，该方法还包括：获取样本数据集中的SQL语句的异常特征；对异常特征进行分析获得特征数组；对特征数据进行训练获得检测模型。

在一种可能的实施方式中，该方法还包括：接收用户的命令，命令用于触发将数据库的访问日志输入到检测模型中的步骤。

在一种可能的实施方式中，上述步骤将数据库的访问日志输入到检测模型中之前，该方法还包括：对访问日志进行关键词过滤；若过滤出高危关键词，则上报高危警告。

本申请实施例第二方面提供了一种数据库入侵检测装置，该装置包括：过滤单元，用于对数据库的访问日志进行关键词过滤；检测单元，用于将数据库的访问日志输入到检测模型中，检测模型为基于样本数据集进行机器学习获得的；上报单元，用于根据检测模型的检测结果上报告警信息。

在一种可能的实施方式中，上报单元具体用于：根据检测结果确定威胁等级；上报告警信息，告警信息包括威胁等级。

在一种可能的实施方式中，该装置还包括保存单元，该保存单元具体用于：保存检测结果。

在一种可能的实施方式中，该装置还包括启动单元，该启动单元具体用于：开启数据库的日志功能，日志功能用于记录访问日志。

在一种可能的实施方式中，该装置还包括训练单元，该训练单元具体用于：获取样本数据集中的SQL语句的异常特征；对异常特征进行分析获得特征数组；对特征数据进行训练获得检测模型。

在一种可能的实施方式中，该装置还包括接收单元，该接收单元具体用于：接收用户的命令，命令用于触发将数据库的访问日志输入到检测模型中的步骤。

在一种可能的实施方式中，报单元还用于：当过滤出高危关键词时，上报高危警告。

本申请实施例第三方面提供了一种计算机设备，包括：处理器，该处理器与存储器耦合，该存储器用于存储指令，当指令被处理器执行时，使得该计算机设备实现上述第一方面或第一方面中任一种可能的实施方式中的方法。该计算机设备例如可以为网络设备，也可以为支持网络设备实现上述方法的芯片或芯片系统等。

本申请实施例第四方面提供了一种计算机可读存储介质，该计算机可读存储介质中保存有指令，当该指令被处理器执行时，实现前述第一方面或第一方面任一种可能的实施方式提供的方法。

附图说明

图1为本申请实施例提供的一种数据库入侵检测方法的流程示意图；

图2为本申请实施例提供的一种数据库入侵检测装置的结构示意图；

图3为本申请实施例提供的另一种数据库入侵检测装置的结构示意图；

图4为本申请实施例提供的一种计算机设备的结构示意图。

具体实施方式

本申请实施例提供了一种数据库入侵检测方法以及装置，用于更有效、更快速的发现SQL入侵行为。

下面结合附图，对本申请的实施例进行描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。本领域普通技术人员可知，随着技术的发展和新场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本申请，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本申请同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本申请的主旨。

下面对本申请实施例中的一些术语进行解释。

关键词过滤，也称关键字过滤，指网络应用中，对传输信息进行预先的程序过滤、嗅探指定的关键字词，并进行智能识别，检查网络中是否有违反指定策略的行为。

随机森林(random forest,RF)，是一种集成机器学习算法，核心思想就是将若干棵独立的决策树集成在一起，每棵决策树独立地产生分类结果，最后通过投票得到最终分类结果。随机森林的‘随机’有两层含义，一是随机筛选数据，一是随机筛选特征或者说变量。每棵决策树所依据的数据，都是利用随机重采样方法(bootstrap)有放回地随机抽取原始数据中的若干个样本,构成不同的自助样本集。之后在自助样本集上利用随机特征选取方法生成决策树。

随着互联网的快速发展，非法黑客组织也试图通过攻击业务系统服务器，入侵业务系统服务器达到不可告人的目的。而入侵的主要目标往往就是网络(web)服务后端的数据库系统，通过web服务入侵获取到数据库权限及数据，从而造成用户数据泄露，系统数据丢失等严重后果。

当前服务器针对黑客入侵痕迹的被动式检测方法主要是通过检测：网页页面被篡改或者被挂暗链；监管机构监测该服务器与境外恶意主机进行通讯；因挖矿等导致服务器运行不畅；数据泄露，导致数据在境外或暗网传播；对内网其他机器攻击，被安全设备发现告警等，但是，该方案针对恶意攻击行为的检测方法缺乏系统性及有效性。

为解决上述问题，本申请实施例提供了一种数据库入侵检测方法，该方法如下所述。

请参阅图1，如图1所示为本申请实施例提供的一种数据库入侵检测方法的流程示意图，该方法包括：

步骤101.将数据库的访问日志输入到检测模型中，检测模型为基于样本数据集进行机器学习获得的。

本实施例中，本申请实施例所提供的数据库入侵检测方法，可以用于服务器，其中，服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、大数据或人工智能平台等基础云计算服务的云服务器，具体此处不做限定。服务器可以定时采集数据库的访问日志，数据库的访问日志会记录在该数据的每一项操作，其中，该操作以结构化查询语言(structured query language，SQL)语句作为执行方式，本申请实施例可以将访问日志的SQL语句输入到一个检测模型中进行检测，确定该数据库的被入侵情况。该检测模型是通过机器学习算法对数据库被入侵是可能产生的SQL语句的样本数据集进行训练生成的。

具体的，训练检测模型的方式可以是获取样本数据集中的SQL语句的异常特征，对异常特征进行分析获得特征数组，对特征数据进行训练获得检测模型。其中，服务器可以提取样本数据集中SQL语句的不常见字段，将该不常见字段设置为异常特征，即可对这些异常特征进行训练，示例性的，根据SQL语句的特征进行词法分析，转化成特征数组，再进一步生成用于机器学习的特征向量。如：select user_name，password from user where user_id＝111。

经词法分析，生成特征数组：<keyword select><type bareword><type bareword><keyword from><type bareword><keyword where><type bareword><operator＝><typenumber>，再通过类库进一步转化成特征向量，然后通过机器学习算法训练获得该检测模型。

本申请实施例中，还可以设置一个命令，当用户操作生成该命令的时候，才执行步骤102，该命令的实现方式可以是按钮或其他形式，用户可以选择开启或关闭该检测模型的检测功能，节省服务器的计算资源。

该集群学习算法可以是生成式对抗网络算法或者随机森林算法，此处不作限定，其中，随机森林算法具有分析复杂相互作用分类特征的能力，并且具有较快的学习速度。

在一个示例中，在将访问日志输入到检测模型之前，服务器还可以对访问日志中的SQL语句进行关键词过滤。具体的，在网络(web)服务在未能有效阻止网络入侵时，数据库会执行一些平时不太会执行的操作，则访问日志中会出现一些不太常见的SQL语句，则服务器可以基于这些不太常见的SQL语句对访问日志进行过滤。还可以在这些不太常见的SQL语句中确定高危关键词，若服务器检测出访问日志中存在高危关键词，则确定该数据库被入侵，及时上报高危告警，以使得工作人员执行相关的操作。

当过滤出高危关键词时，服务器可以直接上报高危警告。示例性的，如该访问日志中出现了，SQL访问数据库系统级数据库(database，DB)及系统级表格(table)，或者，SQL使用不常用函数(如sleep，ord，mid等)，则可以上报高危告警。

本申请实施例中，由于日志功能需要较大资源，因此，可以在需要的情况下才开区该日志功能。

当访问日志中没有高危关键词时，为避免关键词过滤的局限性，例如关键词设置不准确之类的问题时，再执行步骤101。

步骤102.根据检测模型的检测结果上报告警信息。

本实施例中，服务器的检测模型在接收访问日志后，可以根据特征数组分析访问日志的SQL语句，然后根据特征数组的异常特征的威胁性确定访问日志的检测结果，例如可以将异常特征区分为“良”、“疑似”或“恶”等异常等级，相应的，该检测结果则包含检测出的SQL语句，以及对应的异常等级。服务器可以根据该检测结果确定当前数据库可能体现被入侵的操作，然后向上层应用发送告警信息，该告警信息可以指示该异常等级，以及时提醒工作人员检查。

具体的，服务器上报告警信息的过程还可以是根据该检测结果确定SQL语句的威胁等级，然后将该威胁等级上报给工作人员，工作人员可以根据威胁等级依次检查，对于高威胁的SQL语句工作人员可以更快检查。其中，服务器在确定检测结果后，可以根据对SQL语句中的关键特征，如语句关键字比例、特征分析结果等，分高危、中危、低危等级别，然后通过邮件上报给工作人员。

进一步的，服务器还保存着检测结果，工作人员可以基于该威胁等级查找到相应的SQL语句，方便进行危险排查。

本申请实施例通过将经过关键词过滤后的访问日志通过检测模型，通过检测模型的检测结果确定告警信息并上报，弥补了常规关键字过滤的局限性，可以更有效、更快速的发现SQL入侵行为。

上面讲述了数据库入侵检测方法，下面对执行该方法的装置进行描述。

请参阅图2，如图2所示为本申请实施例提供的一种数据库入侵检测装置的结构示意图，该装置20包括：

检测单元201，用于将数据库的访问日志输入到检测模型中，检测模型为基于样本数据集进行机器学习获得的，样本数据集包括数据库入侵数据；

上报单元202，用于根据检测模型的检测结果上报告警信息。

其中，检测单元201用于执行图1方式实施例中的步骤101，上报单元202用于执行图1方法实施例中的步骤102。

请参阅图3，如图3所示为本申请实施例提供的另一种数据库入侵检测装置的结构示意图，该装置30还包括：

可选的，上报单元202具体用于：根据检测结果确定威胁等级；上报告警信息，告警信息包括威胁等级。

可选的，该装置20还包括保存单元203，该保存单元203具体用于：保存检测结果。

可选的，该装置20还包括启动单元204，该启动单元204具体用于：

开启数据库的日志功能，日志功能用于记录访问日志。

可选的，该装置20还包括训练单元205，该训练单元205具体用于：

获取样本数据集中的SQL语句的异常特征；

对异常特征进行分析获得特征数组；

对特征数据进行训练获得检测模型。

可选的，该装置20还包括接收单元206，该接收单元206具体用于：

接收用户的命令，命令用于触发将数据库的访问日志输入到检测模型中的步骤。

可选的，上报单元202还用于：

对访问日志进行关键词过滤；

当过滤出高危关键词时，上报高危警告。

图4所示，为本申请的实施例提供的计算机设备40的一种可能的逻辑结构示意图。计算机设备40包括：处理器401、通信接口402、存储系统403以及总线404。处理器401、通信接口402以及存储系统403通过总线404相互连接。在本申请的实施例中，处理器401用于对计算机设备40的动作进行控制管理，例如，处理器401用于执行图2或图4的方法实施例中主控制节点所执行的步骤。通信接口402用于支持计算机设备40进行通信。存储系统403，用于存储计算机设备40的程序代码和数据。

其中，处理器401可以是中央处理器单元，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器401也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，数字信号处理器和微处理器的组合等等。总线404可以是外设部件互连标准(PeripheralComponent Interconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

装置20中的检测单元101和上报单元101相当于计算机设备40中的处理器401。

装置30中的接收单元206相当于计算机设备40中的通信接口402，装置30中的保存单元203、启动单元204和训练单元205相当于计算机设备40中的处理器401。

本实施例的计算机设备40可对应于上述图1方法实施例中的服务器，该计算机设备40中的通信接口402可以实现上述图1方法实施例中的服务器所具有的功能和/或所实施的各种步骤，为了简洁，在此不再赘述。

应理解以上装置中单元的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且装置中的单元可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分单元以软件通过处理元件调用的形式实现，部分单元以硬件的形式实现。例如，各个单元可以为单独设立的处理元件，也可以集成在装置的某一个芯片中实现，此外，也可以以程序的形式存储于存储器中，由装置的某一个处理元件调用并执行该单元的功能。此外这些单元全部或部分可以集成在一起，也可以独立实现。这里所述的处理元件又可以成为处理器，可以是一种具有信号的处理能力的集成电路。在实现过程中，上述方法的各步骤或以上各个单元可以通过处理器元件中的硬件的集成逻辑电路实现或者以软件通过处理元件调用的形式实现。

在一个例子中，以上任一装置中的单元可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(application specific integratedcircuit，ASIC)，或，一个或多个微处理器(digital singnal processor，DSP)，或，一个或者多个现场可编程门阵列(field programmable gate array，FPGA)，或这些集成电路形式中至少两种的组合。再如，当装置中的单元可以通过处理元件调度程序的形式实现时，该处理元件可以是通用处理器，例如中央处理器(central processing unit，CPU)或其它可以调用程序的处理器。再如，这些单元可以集成在一起，以片上系统(system-on-a-chip，SOC)的形式实现。

在本申请的另一个实施例中，还提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，当设备的处理器执行该计算机执行指令时，设备执行上述方法实施例中发送端所执行的方法。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，read-onlymemory)、随机存取存储器(RAM，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。

Claims (10)

1.一种数据库入侵检测方法，其特征在于，包括：

将数据库的访问日志输入到检测模型中，所述检测模型为基于样本数据集进行机器学习获得的，所述样本数据集包括数据库入侵数据；

根据所述检测模型的检测结果上报告警信息。

2.根据权利要求1所述的方法，其特征在于，根据所述检测模型的检测结果上报告警信息包括：

根据所述检测结果确定威胁等级；

上报所述告警信息，所述告警信息包括所述威胁等级。

3.根据权利要求2所述的方法，其特征在于，所述上报所述告警信息之后，所述方法还包括：

保存所述检测结果。

4.根据权利要求1所述的方法，其特征在于，所述将数据库的访问日志输入到检测模型中之前，所述方法还包括：

开启所述数据库的日志功能，所述日志功能用于记录所述访问日志。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述样本数据集中的结构化查询语言SQL语句的异常特征；

对所述异常特征进行分析获得特征数组；

对所述特征数据进行训练获得所述检测模型。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收用户的命令，所述命令用于触发所述将数据库的所述访问日志输入到检测模型中的步骤。

7.根据权利要求1所述的方法，其特征在于，所述将数据库的访问日志输入到检测模型中之前，所述方法还包括：

对所述访问日志进行关键词过滤；

若过滤出高危关键词，则上报高危警告。

8.一种数据库入侵检测装置，其特征在于，包括：

检测单元，用于将数据库的访问日志输入到检测模型中，所述检测模型为基于样本数据集进行机器学习获得的，所述样本数据集包括数据库入侵数据；

上报单元，用于根据所述检测模型的检测结果上报告警信息。

9.一种计算机设备，其特征在于，包括处理器和存储器，所述处理器与所述存储器耦合，

所述存储器，用于存储程序；

所述处理器，用于执行所述存储器中的程序，使得所述计算机设备执行如权利要求1至7中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时，实现如权利要求1至7中任一项所述的方法。

Images