[发明专利]数据库安全保护方法和装置

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种数据库安全保护方法和装置。

背景技术

随着信息化的发展，对于各种数据库如DB2、Oracle、MySQL等等的使用越来越深入到各行各业当中。尤其在涉及到金融、信息等行业当中，数据库都被用来存储大量的重要数据，而对于各种数据的审计及保护成为了网络安全产品必须要考虑的问题。

目前的各种网络安全产品，如防火墙、入侵检测系统等只能检测和防护外来的攻击或安全隐患，但是对于数据库内部人员的违规操作是无法进行有效发现及防护的。而对于普通的数据库业务审计系统目前仅仅能够对当前业务系统当中的用户对各类数据库的操作进行操作信息的提取。其中用户对于数据库的操作大体上包含增、删、改、查询等操作类型，很多的数据库业务审计系统都可以准确的提取各类的数据库操作信息，包括操作类型、操作对象、操作时间等等。但是目前的数据库业务发展趋势决定了仅仅能够提取出各种数据库的操作信息是不够的，出于数据库安全防护角度的考虑，需要能够在大量的数据库操作信息中检测出存在异常的数据库操作行为。例如一个实际发生的案例当中，某医药代表为在采购药物当中收取回扣，多次查询数据库当中各类药物的使用情况及价格，如果仅仅依赖于传统的数据库业务审计系统，虽然可以准确的审计到每一次的查询事件，但是因为每一次的查询操作均属于合法的数据库操作，因此无法检测到其中的异常。而反映在该案例的操作当中的是某一用户的查询次数及频率以及操作比例大大异常于一段时间内的数据库操作行为。又如某案例中用户为谋求私利不停的对后台数据库数据进行修改，虽然在审计系统审计到每一次的修改数据行为，但无法对这种频繁的数据修改异常行为进行发现，降低了数据库的安全性。

发明内容

本发明提供了一种数据库安全保护方法和装置，解决了数据库安全性低的问题。

一种数据库安全保护方法，包括：

接收并解析报文，提取所述报文中的数据库操作信息；

对所述数据库操作信息进行统计；

根据统计结果生成正常行为模型；

根据所述正常行为模型，检测数据库操作是否存在异常。

优选的，接收并解析报文，提取所述报文中的数据库操作信息具体为：

接收报文，提取报文中标识数据库操作的结构化查询语言语句，从所述结构化查询语言语句中提取所述数据库操作信息。

优选的，所述数据库操作信息包括操作类型、操作源IP地址、操作时间和数据库类型，所述接收并解析报文，提取所述报文中的数据库操作信息的步骤之前，还包括：

制定模型生成策略，所述模型生成策略包括策略参数、模型自学习周期、模型自学习算法、观测周期和采样周期，所述策略参数包括有效操作类型和数据库类型，所述模型自学习周期包含至少一个观测周期。

优选的，所述对所述数据库操作信息进行统计具体为；

对与所述策略参数相匹配的数据库操作信息进行分类统计，得到统计结果，所述分类统计具体为按照操作类型统计一观测周期内各类操作的操作次数。

优选的，所述根据统计结果生成正常行为模型包括：

在每个模型生成周期，根据所述统计结果，分别计算前一采样周期内各观测周期全部操作的操作次数；

分别计算各观测周期内各类操作的操作次数占所述全部操作的操作次数的比例；

根据所述全部操作的操作次数和各类操作的操作次数占所述全部操作的操作次数的比例，按照所述模型生成策略，生成正常行为模型。

优选的，所述按照所述模型生成策略，生成正常行为模型包括：

通过表达式计算在一个观测周期内一类操作的操作次数均值，其中，N为一个采样周期内包含的观测周期的个数，x_i表示在各个观测周期内该类操作的操作次数，为一个观测周期内一类操作的操作次数均值；

通过表达式计算一个采样周期内一类操作的操作次数的方差值；

通过表达式计算在一个观测周期内一类操作的操作次数占该观测周期内全部操作的操作次数的比例的均值，其中，N为一个采样周期内包含的观测周期的个数，y_j表示在各个观测周期内该类操作的操作次数占该观测周期内全部操作的操作次数的比例；

通过表达式计算在一个采样周期内一类操作的操作次数占该观测周期内全部操作的操作次数的比例的方差值；

将所述σ₁、y_j和σ₂作为正常操作模型。