CN117240634B - 一种面向MySQL协议的智能安全蜜罐方法、系统及设备 - Google Patents

Abstract

本发明公开了一种面向MySQL协议的智能安全蜜罐方法、系统及设备，首先根据真实数据库系统的历史请求‑响应流量，构建智能安全蜜罐系统的知识库；对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；使用基于人工智能的语言模型匹配构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；根据提取出的变量与初步响应构造用户发起的SQL请求的最终响应报文。该方法、系统及设备无需真实的MySQL服务端，利用历史可公开的数据库请求‑响应对来模拟真实的服务响应，从而解决传统蜜罐数据敏感和部署、运维成本高的问题。

Description

一种面向MySQL协议的智能安全蜜罐方法、系统及设备

技术领域

本发明涉及网络安全技术领域，尤其涉及一种面向MySQL协议的智能安全蜜罐方法、系统及设备。

背景技术

目前，从最小的应用程序到大型网站系统，重要的业务数据信息都存储在数据库中，数据库的安全性问题越来越受到的关注。MySQL数据库是世界上使用最多的开源关系型数据库系统，虽然MySQL数据库受到了很好的保护，但随着网络攻击威胁性的持续增加，数据库面临的安全形势日趋严峻，其中政府、通讯、银行、IT等行业都是网络攻击的主要目标，针对MySQL数据库的复杂网络攻击旨在扰乱其正常运营，从而引发数据安全问题，造成社会动荡和经济损失。

传统的入侵检测系统只能被动地检测恶意攻击，从而采取防御措施，而蜜罐技术是一种主动攻击诱捕策略，对攻击流量实施动态的诱骗捕获，攻击者无法甄别目标的真假。相比于传统的防御手段，蜜罐收集真实的攻击信息（如：恶意软件有效载荷等），可以更好地掌握攻击者使用的不同攻击方法和策略，实时地构建弹性防御体系。近年来，为了研究攻击者使用的攻击方法，蜜罐技术得到了广泛的应用和部署，然而传统蜜罐技术具有以下缺陷：首先是数据隐私问题，蜜罐采用真实的业务系统和数据，容易造成内部数据泄露；其次是欺骗性不足问题，基于开源蜜罐的实现方法回复方式单一，容易导致欺骗性不足的问题；第三是商用蜜罐的定制成本高的问题，蜜罐的欺骗性依赖于对业务系统的定制，导致部署和运维成本高；第四是覆盖率低的问题，传统蜜罐的诱捕效果依赖业务系统仿真的覆盖率，对于未知SQL请求难以进行响应，要保证诱捕效果就必须提高覆盖率。

发明内容

本发明的目的是提供一种面向MySQL协议的智能安全蜜罐方法、系统及设备，该方法、系统及设备无需真实的MySQL服务端，利用历史可公开的数据库请求-响应对来模拟真实的服务响应，从而解决传统蜜罐数据敏感和部署、运维成本高的问题；并实现了基于人工智能语言模型的未知SQL请求-响应功能，解决传统蜜罐欺骗性不足和覆盖率低的问题。

本发明的目的是通过以下技术方案实现的：

一种面向MySQL协议的智能安全蜜罐方法，所述方法包括：

步骤1、根据真实数据库系统的历史请求-响应流量，构建智能安全蜜罐系统的知识库；

步骤2、对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；

步骤3、使用基于人工智能的语言模型匹配步骤1构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

步骤4、根据步骤2中提取出的变量与步骤3得到的初步响应构造所述用户发起的SQL请求的最终响应报文，并将所述最终响应报文发送给用户。

由上述本发明提供的技术方案可以看出，上述方法、系统及设备无需真实的MySQL服务端，利用历史可公开的数据库请求-响应对来模拟真实的服务响应，从而解决传统蜜罐数据敏感和部署、运维成本高的问题；并实现了基于人工智能语言模型的未知SQL请求-响应功能，解决传统蜜罐欺骗性不足和覆盖率低的问题。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的面向MySQL协议的智能安全蜜罐方法流程示意图；

图2所示为本发明实施例所述倒排索引的结构示意图；

图3为本发明实施例所述采用Query-Query匹配的流程示意图；

图4为本发明实施例所述系统的结构示意图；

图5为本发明实施例所举出的智能安全蜜罐的攻防场景示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，这并不构成对本发明的限制。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

如图1所示为本发明实施例提供的面向MySQL协议的智能安全蜜罐方法流程示意图，所述方法包括：

步骤1、根据真实数据库系统的历史请求-响应流量，构建智能安全蜜罐系统的知识库；

在该步骤中，将真实数据库系统的历史请求-响应流量提取为请求-响应对，形成智能安全蜜罐系统的知识库，并将知识库中的所有单词构建为词表V，具体是根据历史请求-响应流量分词后的各个单词按字母升序构建一个词表V；

为了后续的响应数据构造，根据SQL响应变量表提取历史请求-响应流量中请求报文的相应字段作为动态变量，如下表1所示，所述SQL响应变量表包括6个不同的字段，分别为数据库名、表名、列名、行数据、报文长度字段和对数据库采取的操作，例如登录、增、删、改、查等。其中，上述相应字段为请求报文中匹配上SQL响应变量表的字段；

表1 SQL响应变量表

数据库名
	表名
列名
	行数据
报文长度字段
	对数据库采取的操作

步骤2、对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；

在该步骤中，当接收到用户发起的SQL请求报文后，将报文编码为十六进制的字符串，并根据MySQL的协议字段将字符串进行分词处理；

分词后的每个单词在词表V中都有相对应的位置，将对应的位置信息作为每个单词的编码信息进行编码；

对于新的请求报文X，包含m个单词，则编码为；其中/>为第i个单词的位置编码，若该单词在词表V中，则/>；若该单词不在词表V中，则/>；其中/>是词表V的大小。

步骤3、使用基于人工智能的语言模型匹配步骤1构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

在该步骤中，匹配过程包括索引阶段和匹配阶段，其中：

在索引阶段，根据用户发起的SQL请求中的有效负载，使用倒排索引的方法从构建的知识库中快速筛选出与用户发起的SQL请求相关的N个数据报文；如图2所示为本发明实施例所述倒排索引的结构示意图，所述倒排索引是以单词为关键字进行索引，对报文内的每个关键字，找出包含这个关键字的所有历史报文。由于知识库中的数据量极其庞大，本发明采用倒排索引的方法进行索引能增加搜索的效率；

在匹配阶段，使用基于人工智能的语言模型来判断用户发起的SQL请求和索引阶段筛选出的报文的相似性，如图3所示为本发明实施例所述采用Query-Query匹配的流程示意图，具体是利用该语言模型将用户发起的SQL请求与索引阶段筛选出的N个数据报文进行基于语义的相似度匹配，在构建的知识库中将语义最相似的请求所对应的历史响应作为用户发起的SQL请求的初步响应。

举例来说，若要查询A的成绩是多少，历史知识库中只有B的成绩和A的工资，首先快速筛选出上述两个请求报文；然后使用语言模型匹配B的成绩是多少和查询最匹配；其次将B的成绩报文作为初步响应报文；最后修改变量B为A。上述语言模型可以为bert和gpt，输入为请求报文和从知识库中初步筛选的请求报文，输出为相似度得分，选出相似度得分最高的即可。

上述匹配方式具有更高的泛用性，因为请求之间语义空间是一致的，而请求与响应之间的语义空间可能是不一致的。

步骤4、根据步骤2中提取出的变量与步骤3得到的初步响应构造所述用户发起的SQL请求的最终响应报文，并将所述最终响应报文发送给用户。

在该步骤中，在构造最终响应报文阶段，如果用户发起的SQL请求报文与所构建知识库中的报文完全匹配，则将步骤3得到的初步响应作为最终响应报文发送给用户；

如果用户发起的SQL请求报文与所构建知识库中的报文不完全匹配，则将步骤2中提取出的变量回填到步骤3得到的初步响应内，并根据变量生成与用户发起的SQL请求报文相关的数据（例如查询语句中的库名、列名等）填入步骤3得到的初步响应，将填入相关数据的响应报文作为最终响应报文发送给用户，其中：

当用户发起的SQL请求报文的列变量数目不等于所构建知识库中匹配到的响应报文的列变量数量时，根据步骤2中提取出的变量添加或删除匹配到的响应报文的列变量数目；如果变量中的列名包含在匹配到的响应报文中，并查询列中不存在的行数据，则将匹配到的响应报文中的行数据作为响应负载；如果变量中的列名不包含在匹配到的响应报文中，则将用户发起的SQL请求报文中的列名回填到匹配到的响应报文内，并根据列名生成相关数据填入匹配到的响应报文。

值得注意的是，本发明实施例中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

基于上述实施例所述方法，本发明实施例还提供了一种面向MySQL协议的智能安全蜜罐系统，如图4所示为本发明实施例所述系统的结构示意图，所述系统包括：

知识库构建模块，用于根据真实数据库系统的历史请求-响应流量，构建智能安全蜜罐系统的知识库；

解析编码模块，用于对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；

智能匹配模块，用于使用基于人工智能的语言模型匹配所述知识库构建模块所构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

响应构造模块，用于根据所述解析编码模块提取出的变量与所述智能匹配模块得到的初步响应构造用户发起的SQL请求的最终响应报文，并将所述最终响应报文发送给用户。

上述系统中各个模块的具体实现方式见上述方法实施例所述。

本发明实施例还提供了一种面向MySQL协议的智能安全蜜罐设备，所述设备中存储有计算机程序，所述设备被设置为运行所述计算机程序以执行上述方法实施例中所述方法。

本发明实施例还提供了一种计算机存储介质，所述计算机存储介质存储有多条指令，所述指令适于由处理器加载并执行上述方法实施例中所述方法。上述提到的存储介质可以是只读存储器，磁盘或光盘等。

举例来说，如图5所示为本发明实施例所举出的智能安全蜜罐的攻防场景示意图，其展示了在攻击者入侵数据库的场景下，攻击者与智能蜜罐系统进行交互时，智能蜜罐系统会以协议模拟的方式与其进行交互，并根据请求端口伪造协议特征，无需真实的MySQL系统服务，即可实现对攻击者的欺骗；同时还利用协议缺陷获取攻击者信息，有利于后续对攻击者的威胁分析。

综上所述，本发明相较于传统的蜜罐，通过利用历史的数据库请求-响应对来模拟真实数据库系统响应，对攻击者行为做出回应，解决了传统蜜罐数据敏感和部署和运维成本高的问题，并实现了基于人工智能语言模型的未知SQL请求响应功能，来应对传统蜜罐欺骗性不足和覆盖率低的问题。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。本文背景技术部分公开的信息仅仅旨在加深对本发明的总体背景技术的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域技术人员所公知的现有技术。

Claims (6)

1.一种面向MySQL协议的智能安全蜜罐方法，其特征在于，所述方法包括：

步骤1、根据真实数据库系统的历史请求-响应流量，构建智能安全蜜罐系统的知识库；

步骤2、对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；

步骤3、使用基于人工智能的语言模型匹配步骤1构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

在步骤3中，匹配过程包括索引阶段和匹配阶段，其中：

在索引阶段，根据用户发起的SQL请求中的有效负载，使用倒排索引的方法从构建的知识库中快速筛选出与用户发起的SQL请求相关的N个数据报文；所述倒排索引是以单词为关键字进行索引，对报文内的每个关键字，找出包含这个关键字的所有历史报文；

在匹配阶段，使用基于人工智能的语言模型来判断用户发起的SQL请求和索引阶段筛选出的报文的相似性，具体是利用该语言模型将用户发起的SQL请求与索引阶段筛选出的N个数据报文进行基于语义的相似度匹配，在构建的知识库中将语义最相似的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

步骤4、根据步骤2中提取出的变量与步骤3得到的初步响应构造所述用户发起的SQL请求的最终响应报文，并将所述最终响应报文发送给用户；

在步骤4中，在构造最终响应报文阶段，如果用户发起的SQL请求报文与所构建知识库中的报文完全匹配，则将步骤3得到的初步响应作为最终响应报文发送给用户；

如果用户发起的SQL请求报文与所构建知识库中的报文不完全匹配，则将步骤2中提取出的变量回填到步骤3得到的初步响应内，并根据变量生成与用户发起的SQL请求报文相关的数据填入步骤3得到的初步响应，将填入相关数据的响应报文作为最终响应报文发送给用户，其中：

当用户发起的SQL请求报文的列变量数目不等于所构建知识库中匹配到的响应报文的列变量数量时，根据步骤2中提取出的变量添加或删除匹配到的响应报文的列变量数目；如果变量中的列名包含在匹配到的响应报文中，并查询列中不存在的行数据，则将匹配到的响应报文中的行数据作为响应负载；如果变量中的列名不包含在匹配到的响应报文中，则将用户发起的SQL请求报文中的列名回填到匹配到的响应报文内，并根据列名生成相关数据填入匹配到的响应报文。

2.根据权利要求1所述面向MySQL协议的智能安全蜜罐方法，其特征在于，所述步骤1的过程具体为：

将真实数据库系统的历史请求-响应流量提取为请求-响应对，形成智能安全蜜罐系统的知识库，并将知识库中的所有单词构建为词表V，具体是根据历史请求-响应流量分词后的各个单词按字母升序构建一个词表V；

根据SQL响应变量表提取历史请求-响应流量中请求报文的相应字段作为动态变量；所述SQL响应变量表包括6个不同的字段，分别为数据库名、表名、列名、行数据、报文长度字段和对数据库采取的操作。

3.根据权利要求2所述面向MySQL协议的智能安全蜜罐方法，其特征在于，在步骤2中，当接收到用户发起的SQL请求报文后，将报文编码为十六进制的字符串，并根据MySQL的协议字段将字符串进行分词处理；

分词后的每个单词在词表V中都有相对应的位置，将对应的位置信息作为每个单词的编码信息进行编码；

对于新的请求报文X，包含m个单词，则编码为；其中/>为第i个单词的位置编码，若该单词在词表V中，则/>；若该单词不在词表V中，则/>；其中/>是词表V的大小。

4.一种面向MySQL协议的智能安全蜜罐系统，其特征在于，所述系统包括：

知识库构建模块，用于根据真实数据库系统的历史请求-响应流量，构建智能安全蜜罐系统的知识库；

解析编码模块，用于对用户请求的SQL语句进行解析与编码，并提取请求数据包中的变量；

智能匹配模块，用于使用基于人工智能的语言模型匹配所述知识库构建模块所构建的知识库中与用户发起的SQL请求最相近的请求，并将该最相近的请求所对应的历史响应作为用户发起的SQL请求的初步响应；匹配过程包括索引阶段和匹配阶段，其中：

在索引阶段，根据用户发起的SQL请求中的有效负载，使用倒排索引的方法从构建的知识库中快速筛选出与用户发起的SQL请求相关的N个数据报文；所述倒排索引是以单词为关键字进行索引，对报文内的每个关键字，找出包含这个关键字的所有历史报文；

在匹配阶段，使用基于人工智能的语言模型来判断用户发起的SQL请求和索引阶段筛选出的报文的相似性，具体是利用该语言模型将用户发起的SQL请求与索引阶段筛选出的N个数据报文进行基于语义的相似度匹配，在构建的知识库中将语义最相似的请求所对应的历史响应作为用户发起的SQL请求的初步响应；

响应构造模块，用于根据所述解析编码模块提取出的变量与所述智能匹配模块得到的初步响应构造用户发起的SQL请求的最终响应报文，并将所述最终响应报文发送给用户；

在响应构造模块构造最终响应报文阶段，如果用户发起的SQL请求报文与所构建知识库中的报文完全匹配，则将初步响应作为最终响应报文发送给用户；

如果用户发起的SQL请求报文与所构建知识库中的报文不完全匹配，则将提取出的变量回填到初步响应内，并根据变量生成与用户发起的SQL请求报文相关的数据填入初步响应，将填入相关数据的响应报文作为最终响应报文发送给用户，其中：

当用户发起的SQL请求报文的列变量数目不等于所构建知识库中匹配到的响应报文的列变量数量时，根据提取出的变量添加或删除匹配到的响应报文的列变量数目；如果变量中的列名包含在匹配到的响应报文中，并查询列中不存在的行数据，则将匹配到的响应报文中的行数据作为响应负载；如果变量中的列名不包含在匹配到的响应报文中，则将用户发起的SQL请求报文中的列名回填到匹配到的响应报文内，并根据列名生成相关数据填入匹配到的响应报文。

5.一种面向MySQL协议的智能安全蜜罐设备，其特征在于，所述设备中存储有计算机程序，所述设备被设置为运行所述计算机程序以执行权利要求1至3中任意一项所述方法。

6.一种计算机存储介质，其特征在于，所述计算机存储介质存储有多条指令，所述指令适于由处理器加载并执行权利要求1至3中任意一项所述方法。