[发明专利]一种基于协议指纹的数据库入侵检测方法

说明书

本发明公开了一种基于协议指纹的数据库入侵检测方法，包括：S1、获取网络数据；S2、对网络数据进行网络层数据解析；S3、将数据包信息格式和内容与协议指纹库中协议指纹比对分析，对获取到该网络数据中的应用层数据包进行解析，从而获取SQL语句的信息；S4、按照SQL语句的结构和语法，对解析到的数据内容还原SQL语句和用户数据；S5、根据预存的攻击特征和关联规则，采用特征匹配分析还原SQL语句和SQL语句参数；S6、根据分析结果，判断是否存在攻击特征，并对检测到的攻击特征进行响应。

技术领域

本发明属于网络安全技术领域，特别是一种基于协议指纹的数据库入侵检测方法。

背景技术

当前在数据库安全防护方面，人们提出了如访问控制、数据加密、安全审计等数据库安全机制，能有效预防和阻止非法行为的发生。但是这些安全机制均缺乏对用户行为进行定位分析的功能不能满足网络环境中对数据库安全的需要。而数据库入侵检测能够深入数据库访问包中的用户数据对用户行为进行细粒度分析，通过分析用户向数据库提交的SQL语句、操作、参数等信息，能够很好地分析用户对数据库的操作行为。

现有的针对主机入侵检测、网络入侵检测的方法较多，但专门针对数据库入侵检测的研究还较少，本发明主要解决以下几个问题：

通过协议指纹实现对各类数据库访问协议的精确解析。

通过词法、语法分析准确还原用户数据库信息。

通过关联分析实现对数据库入侵攻击的细粒度检测。

在阐述本发明前，先介绍发明中涉及到的相关概念和定义：

图1所示为数据库访问数据包结构图，如图1所示，数据库访问包结构：数据库访问协议定义了数据库客户端和服务器间的通信语言，如会话连接/断开、用户登录/退出、安全认证、操作信息请求/回应等。用户访问数据库通过专有数据库访问协议进行通信。数据库访问协议负责处理所有数据传送细节。数据库访问协议包括TNS(Transport NetworkSubstrate)、TDS(Tabular Data Stream)、DRDA(Distributed Relational DatabaseArchitecture)等协议。

协议指纹：描述了协议系统在运行过程中，网络交互数据流在结构、内容等各个方面的特征。协议指纹能够唯一确定一种协议。

攻击特征库：攻击特征库是一系列描述数据库入侵检测相关信息的数据字典的集合，这些集合完备的定义了数据库入侵检测的数据特征信息。

关联规则库：关联规则库是一系列用户根据业务和实际需求配置、定义的违规业务信息的集合。

发明内容

本发明公开了一种基于协议指纹的数据库入侵检测方法，用于解决上述现有技术的问题。

本发明一种基于协议指纹的数据库入侵检测方法，其中，包括：S 1、获取网络数据；S2、对网络数据进行网络层数据解析；S3、将数据包信息格式和内容与协议指纹库中协议指纹的格式特征、内容特征进行比对分析，找到信息格式和内容特征一致的协议指纹，并通过协议指纹确定数据库访问协议，同时利用数据库访问协议对获取到该网络数据中的应用层数据包进行解析，从而获取SQL语句的信息；S4、按照SQL语句的结构和语法，对解析到的数据内容还原SQL语句和用户数据；S5、根据预存的攻击特征和关联规则，采用特征匹配分析还原SQL语句和SQL语句参数；S6、根据分析结果，判断是否存在攻击特征，并对检测到的攻击特征进行响应。

根据本发明的基于协议指纹的数据库入侵检测方法的一实施例，其中，在获取该网络数据后，还对该网络数据进行异常检查和报文重组。