CN115712552A - 一种api和数据库的关联审计方法及系统 - Google Patents

Abstract

本发明提出了一种API和数据库的关联审计方法及系统，涉及数据关联审计技术领域。首先，对操作系统的调用情况进行监控和跟踪，获取业务请求对应的程序指令信息，以及服务器响应于程序指令向数据库发送的数据库访问信息。然后，将两者发送至审计平台进行关联性分析。最后，将相互关联的程序指令信息和数据库访问信息进行关联标记，形成关联审计信息。即，通过监控跟踪操作系统的调用情况，同时收集API日志和数据库日志，并对两者进行关联性分析，从而实现两者的关联审计。

Description

一种API和数据库的关联审计方法及系统

技术领域

本发明涉及数据关联审计技术领域，具体而言，涉及一种API和数据库的关联审计方法及系统。

背景技术

API(ApplicationProgrammingInterface，应用程序编程接口)是操作系统给应用程序的调用接口，应用程序通过调用操作系统的API而使操作系统去执行应用程序的命令或者动作。API审计和数据库审计系统通常采用网络抓包的方式收集日志。这种方法的好处是不影响原有系统的性能，缺点是难以得到两种日志的对应关系。而有时我们需要知道这种对应关系，如执行前台客户端的一个API指令时，后台服务器访问了数据库中的哪些表，或者反过来，数据在响应一个sql语句指令时是通过哪个用户、哪个API接口调用的，从而需要将API接口执行的程序指令和相关的数据库操作关联起来，形成关联的审计日志，便于后续的审计分析。

发明内容

本发明的目的在于提供一种API和数据库的关联审计方法及系统，通过监控跟踪操作系统的调用情况，同时收集API日志和数据库日志进行关联性分析，实现两者的关联审计。

本发明的实施例是这样实现的：

第一方面，本申请实施例提供一种API和数据库的关联审计方法，包括：

对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

获取服务器响应于上述程序指令向数据库发送的数据库访问信息；

将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

基于第一方面，在本发明的一些实施例中，上述对客户端的系统调用进行监控，获取客户端应用的程序指令信息的步骤包括：

根据用户进程的启动请求创建用户进程，并对上述用户进程进行追踪；

当追踪到用户进程在进行系统调用时，获取系统调用的程序指令信息。

基于第一方面，在本发明的一些实施例中，上述将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息的步骤包括：

提取上述程序指令信息和数据库访问信息对应的时间戳和线程ID；

根据时间戳和线程ID分析确定程序指令信息和数据库访问信息之间的关联性；

根据两者的关联性生成关联审计信息。

基于第一方面，在本发明的一些实施例中，上述根据时间戳和线程ID分析确定程序指令信息和数据库访问信息的关联性的步骤包括：

若该程序指令信息和数据库访问信息的线程ID相同且时间戳在预设时间范围内，则认为两者有关联性；若线程ID不同/线程ID相同但时间戳超出预设时间范围,则认为两者无关联性。

基于第一方面，在本发明的一些实施例中，还包括：

若上述程序指令信息和数据库访问信息之间有关联性，则添加关联ID字段，以形成上述关联审计信息。

基于第一方面，在本发明的一些实施例中，还包括：

基于http协议提取上述程序指令信息对应的时间戳和线程ID，并基于TCP报文提取上述数据库访问信息对应的时间戳和线程ID。

第二方面，本申请实施例提供一种API和数据库的关联审计系统，其包括：

程序指令信息获取模块，用于对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

数据库访问信息获取模块，用于获取服务器响应于上述程序指令向数据库发送的数据库访问信息；

信息关联模块，用于将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

基于第二方面，在本发明的一些实施例中，上述信息关联模块包括：

提取子模块，用于提取上述程序指令信息和数据库访问信息对应的时间戳和线程ID；

关联分析子模块，用于根据时间戳和线程ID分析确定程序指令信息和数据库访问信息之间的关联性；

关联审计信息生成子模块，用于根据程序指令信息和数据库访问信息之间的关联性生成关联审计信息。

第三方面，本申请实施例提供一种电子设备，其包括存储器，用于存储一个或多个程序；处理器。当上述一个或多个程序被上述处理器执行时，实现如上述第一方面中任一项上述的方法。

第四方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述第一方面中任一项上述的方法。

相对于现有技术，本发明的实施例至少具有如下优点或有益效果：

本申请实施例提供一种API和数据库的关联审计方法及系统，首先，对操作系统的调用情况进行监控和跟踪。当客户端向服务端发出业务请求时，获取业务请求对应的程序指令信息，并发送至审计平台进行存储(按时间戳的顺序获取到多条程序指令信息，即形成API日志)。接着，获取服务器响应于程序指令向数据库发送的数据库访问信息，并发送至审计平台进行存储(按时间戳的顺序获取到多条数据库访问信息，即形成数据库日志)。然后，提取程序指令信息和数据库访问信息对应的时间戳和线程ID，并据其对两者进行关联性分析。最后，将相互关联的程序指令信息和数据库访问信息进行关联标记，形成关联审计信息。从而，可以根据关联审计信息作一些统计分析和安全规则配置等。整体而言，本申请通过监控跟踪操作系统的调用情况，能够同时收集API日志和数据库日志，并对两者进行关联性分析，实现两者的关联审计。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明提供的一种API和数据库的关联审计方法一实施例的步骤流程图；

图2为本发明提供的一种API和数据库的关联审计方法一实施例中将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息的步骤的具体流程图；

图3为本发明提供的一种API和数据库的关联审计系统一实施例的结构框图；

图4为本发明实施例提供的一种电子设备的结构框图。

图标：1、存储器；2、处理器；3、通信接口；11、程序指令信息获取模块；12、数据库访问信息获取模块；13、信息关联模块。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

实施例

下面结合附图，对本申请的一些实施方式作详细说明。在不冲突的情况下，下述的各个实施例及实施例中的各个特征可以相互组合。

请参照图1，图1所示为本申请实施例提供的一种API和数据库关联审计的方法的流程图，该方法包括以下步骤：

步骤S1：对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

步骤S2：获取服务器响应于上述程序指令向数据库发送的数据库访问信息。

在对Web服务端和后台数据库的访问行为进行审计时，通常应用系统都采用的是B/S(Browser/Server，浏览器/服务器)架构，这种应用系统一般分为三层结构：浏览器客户端、Web服务器、数据库服务器。通常的流程是：用户通过浏览器客户端，利用自己的帐户登录Web服务器，向服务器提交访问数据；Web服务器根据用户提交的数据构造SQL(结构化查询语言)语句，并利用唯一的帐户访问数据库服务器，提交SQL语句，并接收数据库服务器返回的结果并返回给用户。从而，对浏览器到Web服务器的前台访问事件，以及从Web服务器到数据库服务器的后台访问事件进行审计。但由于后台访问事件采用的是唯一的帐户，对于每个后台访问事件，难以确定是哪个前台访问事件触发了该事件。如果在后台访问事件中出现了越权访问、恶意访问等行为，就难以定位到具体的前台用户。此时，就需要对前端的客户端访问事件和后端的数据库访问事件进行关联，形成关联的审计日志，便于查源。

上述步骤中，操作系统在执行一个应用程序时，应用程序通过调用操作系统的API(ApplicationProgrammingInterface，应用程序编程接口)而使操作系统去执行应用程序的命令(动作)。所以通过对操作系统的调用情况进行监控和跟踪，即可捕获到客户端应用的程序指令信息和对应的数据库访问信息，按照时间戳的顺序，捕获的多条信息则形成了API日志和数据库日志。需说明的是，在执行一个程序指令时，可能会访问多个数据库中的数据，即一条程序指令信息可能对应多条数据库访问信息。

示例性的，Linux，Windows，macOS等操作系统都提供了对系统调用进行监控的能力。在Linux下可以使用strace、bpftrace等工具做系统监控，也可以基于ExtendedBerkeleyPackedFilter(eBPF)框架，开发监控程序。使用eBPF框架，开发人员可以编写c程序，并将程序注入到内核中运行，执行效率非常高。

具体的，以strace工具为例，说明对系统调用进行监控的过程。Strace可以用来跟踪进程执行时的系统调用和所接收的信号。在Linux操作系统中，进程不能直接访问硬件设备。当进程需要访问硬件设备(比如读取磁盘文件，接收网络数据等等)时，必须由用户态模式切换至内核态模式，通过系统调用访问硬件设备。strace可以跟踪到一个进程产生的系统调用，包括参数、返回值、执行消耗的时间等。所以在接收到用户进程的启动请求时，首先根据该启动请求中携带的需要启动的用户进程的标识创建用户进程，并对该用户进程进行追踪。然后，当追踪信息指示该用户进程在进行系统调用时，则获取系统调用信息，并基于该系统调用信息对该用户进程的系统调用操作进行监控，从而捕获到客户端应用的程序指令信息和对应的数据库访问信息。由于这种监控方式的大部分逻辑都在用户空间完成，而无需对内核空间的数据进行修改，因此实现较为简单。

步骤S3：将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

经过上述两个步骤，通过对系统调用进行监控，可以捕获到客户端应用的程序指令信息和服务器执行指令而向数据库发送的数据库访问信息，并转发至审计平台，从而形成API日志和数据库日志。在对日志进行审计时，通过对日志进行关联性分析，可以将相关联的程序指令信息和数据库访问信息进行关联标记，从而实现关联审计。

具体的，请参照图2，进行关联性分析，并生成关联审计信息的步骤具体包括以下过程：

步骤S3-1：提取上述程序指令信息和数据库访问信息对应的时间戳和线程ID。

上述步骤中，示例性的，捕获到的程序指令信息为一条http请求，首先记录捕获时的时间戳，然后通过解析http协议内容，即可得到线程ID、请求地址、参数、客户端IP、会话标识、用户名等信息，从而提取出该条程序指令信息对应的时间戳和线程ID。类似的，也可以基于TCP报文提取出数据库访问信息对应的时间戳和线程ID。

步骤S3-2：根据时间戳和线程ID分析确定程序指令信息和数据库访问信息之间的关联性。

上述步骤中，在进行关联性分析时，可以先比较程序指令信息和数据库访问信息的线程ID，看是否相同。若相同，说明两个操作在同一线程内运行，两者有可能是关联的；若线程ID不同，说明两者不相关联。然后，进一步比较两者的时间戳，若两者的时间戳在预设时间范围内，则认为两者相关；若两者的时间戳超出预设时间范围，则认为两者不相关。此处设置预设时间范围的目的是考虑到网络延时等因素，两者的时间戳可能会有一定的差距，若差距在可控范围内，则还是认为客户端应用的程序指令信息和数据库访问信息具有关联关系。

步骤S3-3：根据两者的关联性生成关联审计信息。

上述步骤中，若判断出程序指令信息和数据库访问信息之间有关联性，则在数据库日志中记录每条数据库访问信息对应的程序指令信息的API接口ID和所属API日志的唯一ID。即添加关联ID字段，表明两者是一组对应的操作，以形成关联审计信息。从而，根据关联审计信息可以作如下统计分析和规则配置：1.统计某个API接口对应的数据库和数据表，判断数据库是否有新增、修改、删除操作，以及调用该API接口的应用程序是否访问了敏感表、敏感字段等。2.统计一个数据表可以被哪些API接口访问，以及每个API接口访问的比例、频率是多少。3.统计一个数据表被哪些应用用户、哪些客户端IP访问过。4.根据API接口、应用用户名等信息设置数据库访问规则，如非特权用户想要修改敏感表时，将该条指令信息标记为高风险，或阻断用户请求，实现数据库的安全访问。

为了便于理解上述方案，下面以strace工具为例来说明如何做日志收集和日志的关联分析。需说明的是，随着计算机软件行业的发展，bpftrace或eBPF工具比Strace拥有更好的性能，所以实际生产环境下更常使用bpftrace或eBPF技术。

首先执行命令strace–f–p–etrace＝sendto，read–otrace.log–s2048监控web服务端的进程。其中，-f表示对调用所产生的子进程进行监控，-p指定要监控的进程id，–etrace＝sendto,read表示只跟踪sendto和read系统调用，–o指定日志输出文件，-s指定输出字符串最大长度。然后对得到的trace.log(跟踪)日志文件进行分析。例如得到了如下两条日志：

14829read(400,”POST/XXX/v1/reportHTTP/1.1\r\n……\r\n{\”name\”:\”report1\”}”,8192)＝1158

……

14829sendto(399,”U\0\0\0\3select\nid\nfromreportwhere name＝‘report1’andinvalid＝0”,89,0,NULL,0)＝89

第一条日志代表接收到一条http请求。第二条日志代表往数据库服务器发送一条sql命令。14829为两条日志的线程ID，线程ID相同，说明两个操作在同一线程内运行。然后再判断记录的两者发生时的时间戳，若时间戳在预设时间范围内，则说明两者具有关联关系。从上述例子的分析可以得出：在访问POST/XXX/v1/reportAPI接口时，Web服务器执行了查询数据库report表的操作。于是为其添加关联ID字段，从而形成关联审计信息，并存储至审计平台。

综上所述，本申请实施例提供一种API和数据库的关联审计方法，通过监控跟踪操作系统的调用情况，能够同时收集API日志和数据库日志，并对两者进行关联性分析，实现两者的关联审计。

基于同样的发明构思，本发明还提出一种API和数据库的关联审计系统，请参照图3，图3为本申请实施例提供的一种API和数据库的关联审计系统的结构框图。该系统包括：

程序指令信息获取模块11，用于对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

数据库访问信息获取模块12，用于获取服务器响应于上述程序指令向数据库发送的数据库访问信息；

信息关联模块13，用于将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

请参照图4，图4为本申请实施例提供的一种电子设备的结构框图。该电子设备包括存储器1、处理器2和通信接口3，该存储器1、处理器2和通信接口3相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。存储器1可用于存储软件程序及模块，如本申请实施例所提供的一种API和数据库的关联审计系统对应的程序指令/模块，处理器2通过执行存储在存储器1内的软件程序及模块，从而执行各种功能应用以及数据处理。该通信接口3可用于与其他节点设备进行信令或数据的通信。

其中，存储器1可以是但不限于，随机存取存储器(RandomAccessMemory，RAM)，只读存储器(ReadOnlyMemory，ROM)，可编程只读存储器(ProgrammableRead-OnlyMemory，PROM)，可擦除只读存储器(ErasableProgrammableRead-OnlyMemory，EPROM)，电可擦除只读存储器(ElectricErasableProgrammableRead-Only Memory，EEPROM)等。

处理器2可以是一种集成电路芯片，具有信号处理能力。该处理器2可以是通用处理器，包括中央处理器(CentralProcessingUnit，CPU)、网络处理器(NetworkProcessor，NP)等；还可以是数字信号处理器(DigitalSignalProcessing，DSP)、专用集成电路(Application SpecificIntegratedCircuit，ASIC)、现场可编程门阵列(Field－ProgrammableGateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

可以理解，图4所示的结构仅为示意，电子设备还可包括比图4中所示更多或者更少的组件，或者具有与图1所示不同的配置。图4中所示的各组件可以采用硬件、软件或其组合实现。

在本申请所提供的实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

对于本领域技术人员而言，显然本申请不限于上述示范性实施例的细节，而且在不背离本申请的精神或基本特征的情况下，能够以其它的具体形式实现本申请。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本申请的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本申请内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

Claims (10)

1.一种API和数据库的关联审计方法，其特征在于，包括：

对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

获取服务器响应于所述程序指令向数据库发送的数据库访问信息；

将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

2.如权利要求1所述的一种API和数据库的关联审计方法，其特征在于，所述对客户端的系统调用进行监控，获取客户端应用的程序指令信息的步骤包括：

根据用户进程的启动请求创建用户进程，并对所述用户进程进行追踪；

当追踪到用户进程在进行系统调用时，获取系统调用的程序指令信息。

3.如权利要求1所述的一种API和数据库的关联审计方法，其特征在于，所述将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息的步骤包括：

提取所述程序指令信息和数据库访问信息对应的时间戳和线程ID；

根据时间戳和线程ID分析确定程序指令信息和数据库访问信息之间的关联性；

根据两者的关联性生成关联审计信息。

4.如权利要求3所述的一种API和数据库的关联审计方法，其特征在于，所述根据时间戳和线程ID分析确定程序指令信息和数据库访问信息的关联性的步骤包括：

若该程序指令信息和数据库访问信息的线程ID相同且时间戳在预设时间范围内，则认为两者有关联性；若线程ID不同/线程ID相同但时间戳超出预设时间范围,则认为两者无关联性。

5.如权利要求4所述的一种API和数据库的关联审计方法，其特征在于，还包括：

若所述程序指令信息和数据库访问信息之间有关联性，则添加关联ID字段，以形成所述关联审计信息。

6.如权利要求3所述的一种API和数据库的关联审计方法，其特征在于，还包括：

基于http协议提取所述程序指令信息对应的时间戳和线程ID，并基于TCP报文提取所述数据库访问信息对应的时间戳和线程ID。

7.一种API和数据库的关联审计系统，其特征在于，包括：

程序指令信息获取模块，用于对客户端的系统调用进行监控，获取客户端应用的程序指令信息；

数据库访问信息获取模块，用于获取服务器响应于所述程序指令向数据库发送的数据库访问信息；

信息关联模块，用于将程序指令信息和数据库访问信息发送至审计平台进行关联性分析，并生成关联审计信息。

8.如权利要求7所述的一种API和数据库的关联审计系统，其特征在于，所述信息关联模块包括：

提取子模块，用于提取所述程序指令信息和数据库访问信息对应的时间戳和线程ID；

关联分析子模块，用于根据时间戳和线程ID分析确定程序指令信息和数据库访问信息之间的关联性；

关联审计信息生成子模块，用于根据程序指令信息和数据库访问信息之间的关联性生成关联审计信息。

9.一种电子设备，其特征在于，包括：

存储器，用于存储一个或多个程序；

处理器；

当所述一个或多个程序被所述处理器执行时，实现如权利要求1-6中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1-6中任一项所述的方法。

Images