[发明专利]基于数据流量及数据探测结果进行安全态势建模的方法

说明书

本发明涉及一种基于数据流量及数据探测结果进行安全态势建模的方法，包括以下步骤：使用数据库内容探测技术及敏感数据特征匹配技术判断数据库中敏感数据种类及分布，建立敏感数据字典；基于敏感数据字典进行数据分类分级；获取数据访问流量并基于流量分析，判断数据访问者的身份特征；基于流量分析，获取访问者访问数据的行为特征及数据对象；根据数据访问者的身份特征及行为特征，对访问数据的行为建立模型；根据模型，进行数据库风险分析及态势感知。本发明合理利用流量分析审计类以及数据探测扫描类技术提供的基础数据，对其加工分析，对数据访问情况建立智能模型，以此对数据访问过程中的态势及风险进行有效的预判和感知，预防0day攻击行为。

技术领域

本发明属于数据安全技术领域，尤其是一种基于数据流量及数据探测结果进行安全态势建模的方法。

背景技术

目前基于数据流量分析的信息采集技术已经趋于成熟，但是对采集到的信息的使用仍然存在较大限制，传统的分析方法无法根据采集到的信息对数据访问行为进行合理有效的建模并对风险进行预判。

数据库流量分析技术是指对数据库的客户端到数据库服务器的流量进行解析，从流量中获取到访问数据库的账户信息、访问工具、时间、操作系统信息、访问语句、访问对象、影响行数和结果集等信息的技术。数据库内容探测技术是指采用具有一定权限的数据库账户与数据库建立连接，通过系统对象解析判断数据库的账户分布，权限分布；通过特征匹配技术获取数据库中敏感对象分布的技术。

如何利用数据库流量分析技术以及数据库内容探测技术对数据安全态势感知及建模是目前迫切需要解决的问题。

发明内容

本发明的目的在于克服现有技术的不足，提出一种基于数据流量及数据探测结果进行安全态势建模的方法，解决了数据库流量解析产品以及数据库探测扫描类产品采集结果不便于分析和使用的问题，同时解决了没有明确配置风险规则的情况下如何对数据访问行为进行风险感知的问题。

本发明解决其技术问题是采取以下技术方案实现的：

一种基于数据流量及数据探测结果进行安全态势建模的方法，包括以下步骤：

步骤1、使用数据库内容探测技术及敏感数据特征匹配技术判断数据库中敏感数据种类及分布，建立敏感数据字典；

步骤2、基于敏感数据字典进行数据分类分级；

步骤3、获取数据访问流量并基于流量分析，判断数据访问者的身份特征；

步骤4、基于流量分析，获取访问者访问数据的行为特征及数据对象；

步骤5、根据数据访问者的身份特征及行为特征，对访问数据的行为建立模型；

步骤6、根据模型，进行数据库风险分析及态势感知。

所述步骤1的具体实现方法为：通过内容探测并基于数据特征扫描，将具有一定权限的数据库用户与数据库建立连接，遍历数据库中的数据表，从每张数据表中提取部分数据与数据特征进行匹配，得出敏感数据的分布情况，建立敏感数据字典。

所述步骤2的具体实现方法为：将通过导入数据分类分级规则与敏感数据字典进行匹配，确定目标数据环境中敏感数据的分类分级情况。

所述步骤3判断数据访问者的身份特征包括以下内容：⑴访问数据库的用户名；访问数据库的主机信息；访问数据库的IP及端口；访问数据库的语句模板；⑵访问数据库的应用程序名；⑶长连接与短连接；⑷是否具有访问系统表的行为，是否初次建立连接后立刻访问系统表；⑸是否执行参数化语句；⑹是否出现几秒内连续执行多条语句的情况。

所述步骤5的具体实现方法为：

⑴根据数据访问者是自然人和应用程序建立模型；

⑵分别针对长连接和短连接会话建立会话量模型；