[发明专利]一种数据库提供安全防护的系统和方法

说明书

技术领域

本发明涉及一种数据库提供安全防护的系统和方法，基于数据库上应用时，通过操作系统网络驱动、文件驱动、SPI、HOOK和加解密技术，可实现对数据库中数据的防护，以避免数据库数据泄露的可能。

缩略语及名词解释：

SPI：Windows网络访问控制技术

HOOK：Windows钩子技术

IP：计算机网络访问地址

网络驱动：基于winodWs／linux上的网络传输驱动。

Ghost：磁盘备份工具

背景技术

随着企业信息化的不断发展，企业通过构建信息化系统：业务系统，办公系统，财务系统等等，这些系统数据都通过数据库保存，其中不乏有企业客户敏感的信息数据库。数据库管理员通过用户帐户管理、用户权限管理，防范数据的泄漏。然而这些措施无法防止非法远程连接、非法工具访问。用户可以通过合法的应用或工具导出数据，将数据库的信息导出至访问终端上存储，等等。因此引发的数据库信息泄露事件频频发生。

现有的数据库安全软件，都是基于数据库审计，事后发现的原则实现，对于访问数据库所面临的信息泄露问题，存在如下严重缺失：

1、对访问数据库的设备无法进行控制。任意设备都能连接到数据库上，无法防止非法设备的连接。

2、任意应用或工具都能连接到数据库，导致非法应用或工具都能从数据库中获取数据信息。

3、对从数据库中导出的数据文件仅进行加密处理，能够有效地防止因丢失造成的信息泄露。然而，因为无法配合信息系统中的权限管理，不能有效地限制下载者的使用权限，可能会造成下载者的越权使用所导致的信息泄露。

4、对数据库文件没有保护，数据库文件可以随意拷贝、删除、移动。导致数据库文件的安全性没有保障。

发明内容

本发明提供了一种数据库提供安全防护的系统和方法，基于企业应用系统访问数据库时，通过Windows操作系统内核驱动、SPI、HOOK和加解密技术，可实现对数据库中数据的防护，以避免通过终端进行信息泄露的可能。

本发明所述的数据库安全防护系统，可从三个层面防护数据库的安全。

1.对访问数据库进行管理和控制。允许合法用户从合法设备使用合法应用和工具访问数据库，禁止其他非法连接数据库，防止非法远程连接数据库。

2.对数据库文件进行控制。防止对数据库文件的拷贝、删除、移动。保障数据库文件的安全。

3.对从合法应用、数据库工具中下载、或导出的数据文件，进行加密并在使用时进行权限管理。防止用户滥用、越权等造成的信息泄露。

图1为本发明所述的信息系统在终端上的安全防护系统，其中包括

准入模块、访问控制模块、数据库文件保护模块、加解密模块、防硬盘拷贝模块、日志记录模块。

准入模块：控制计算机连接数据库请求。允许安全许可的合法用户从合法的地址、用合法的设备、以合法的方式访问数据库，禁止其他非法连接数据库，防止非法入侵。

访问控制模块：控制连接数据库的应用和工具。只允许合法的用户从合法的地址、合法的设备使用合法数据库的应用和工具连接数据库，其他应用和工具禁止访问数据库。控制合法连接数据库的应用和工具对数据内容的复制粘贴、内容另存为、内容打印、截屏、控制数据备份路径等操作。

数据库文件保护模块：对数据库文件进行保护。禁止拷贝、删除、移动数据库文件。保障数据库文件的安全。

加解密模块：对通过合法的应用及工具下载、备份、导出的数据文件进行加密。加密文件可以在安装本系统的安全环境中正常打开，修改。离开安全环境无法打开。加密文件需要导入到数据库时，导入前自动将加密文件解密成明文，文件导入完成后，删除明文文件。

防硬盘拷贝模块：防止利用磁盘备份工具(如：ghost等)对硬盘数据整体备份，导致数据库信息泄露。

日志记录模块：记录针对数据库的操作日志，包括(允许／禁止访问数据库的IP地址、时间。允许／禁止拷贝、删除、移动数据库文件的登录用户、时间。允许／禁止访问数据库的应用、工具等)以及对打开加密文件记录，针对加密文档的操作(截屏、另存、拷贝粘贴、打印)记录。

本发明提供一种数据库提供安全防护的系统和方法，准入模块控制连接数据库的设备，访问控制模块控制连接数据库的应用和工具，加解密模块对连接数据库应用和工具导出／导入的文件、进行加密解密。防硬盘拷贝模块，禁止对硬盘进行磁盘级的备份、复制。日志记录模块记录所有对数据库操作、控制行为等信息记录。