[发明专利]数据库安全保护方法和装置

权利要求书

1.一种数据库安全保护方法，其特征在于，包括：

接收并解析报文，提取所述报文中的数据库操作信息；

对所述数据库操作信息进行统计；

根据统计结果生成正常行为模型；

根据所述正常行为模型，检测数据库操作是否存在异常。

2.根据权利要求1所述的数据库安全保护方法，其特征在于，接收并解析报文，提取所述报文中的数据库操作信息具体为：

接收报文，提取报文中标识数据库操作的结构化查询语言语句，从所述结构化查询语言语句中提取所述数据库操作信息。

3.根据权利要求1所述的数据库安全保护方法，其特征在于，所述数据库操作信息包括操作类型、操作源IP地址、操作时间和数据库类型，所述接收并解析报文，提取所述报文中的数据库操作信息的步骤之前，还包括：

制定模型生成策略，所述模型生成策略包括策略参数、模型自学习周期、模型自学习算法、观测周期和采样周期，所述策略参数包括有效操作类型和数据库类型，所述模型自学习周期包含至少一个观测周期。

4.根据权利要求3所述的数据库安全保护方法，其特征在于，所述对所述数据库操作信息进行统计具体为；

对与所述策略参数相匹配的数据库操作信息进行分类统计，得到统计结果，所述分类统计具体为按照操作类型统计一观测周期内各类操作的操作次数。

5.根据权利要求4所述的数据库安全保护方法，其特征在于，所述根据统计结果生成正常行为模型包括：

在每个模型生成周期，根据所述统计结果，分别计算前一采样周期内各观测周期全部操作的操作次数；

分别计算各观测周期内各类操作的操作次数占所述全部操作的操作次数的比例；

根据所述全部操作的操作次数和各类操作的操作次数占所述全部操作的操作次数的比例，按照所述模型生成策略，生成正常行为模型。

6.根据权利要求5所述的数据库安全保护方法，其特征在于，所述按照所述模型生成策略，生成正常行为模型包括：

通过表达式计算在一个观测周期内一类操作的操作次数均值，其中，N为一个采样周期内包含的观测周期的个数，x_i表示在各个观测周期内该类操作的操作次数，为一个观测周期内一类操作的操作次数均值；

通过表达式计算一个采样周期内一类操作的操作次数的方差值；

通过表达式计算在一个观测周期内一类操作的操作次数占该观测周期内全部操作的操作次数的比例的均值，其中，N为一个采样周期内包含的观测周期的个数，y_j表示在各个观测周期内该类操作的操作次数占该观测周期内全部操作的操作次数的比例；

通过表达式计算在一个采样周期内一类操作的操作次数占该观测周期内全部操作的操作次数的比例的方差值；

将所述σ₁、y_j和σ₂作为正常操作模型。

7.根据权利要求1或6所述的数据库安全保护方法，其特征在于，根据所述正常行为模型，检测数据库操作是否存在异常具体为：

将当前所在观测周期内对一类操作的操作次数与前一采样周期内的该类操作的操作次数均值之差，与该类操作的操作次数的方差值进行比较，根据比较结果，判断是否存在数据库操作异常。

8.根据权利要求1或6所述的数据库安全保护方法，其特征在于，根据所述正常行为模型，检测数据库操作是否存在异常具体为：

将当前所在观测周期内对一类操作的操作次数占该观测周期内全部操作次数的比例与前一模型生成周期内的该比例的均值之差，与该类操作的操作次数占全部操作次数的比例的方差值进行比较，根据比较结果，判断是否存在数据库操作异常。

9.一种数据库安全保护装置，其特征在于，包括：

报文解析模块，用于接收并解析报文，提取所述报文中的数据库操作信息；

统计模块，用于对所述数据库操作信息进行统计；

模型生成模块，用于根据统计结果生成正常行为模型；

异常检测模块，用于根据所述正常行为模型，检测数据库操作是否存在异常。

10.根据权利要求9所述的数据库安全保护装置，其特征在于，该装置还包括：

策略制定模块，用于制定模型生成策略，所述模型生成策略包括策略参数、模型自学习周期、模型自学习算法和观测周期，所述策略参数包括有效操作类型和数据库类型，所述模型自学习周期包含至少一个观测周期。