[发明专利]代理访问Oracle数据库的方法、审计终端、装置及计算机可读存储介质

说明书

本发明公开了一种代理访问Oracle数据库的方法、审计终端、装置及存储介质，该方法包括：审计终端分别与客户端和服务器进行挑战回应认证，当审计终端与客户端之间的挑战回应认证通过且审计终端与服务器之间的挑战回应认证通过时，建立服务器与客户端之间的访问连接。本发明通过在运维人员使用的客户端到Oracle数据库服务器之间构建审计终端，在这个审计终端上为每个运维人员创建不同的账户，这些账户可以对应到相同的或者不同的Oracle数据库账户。运维人员可以使用在审计终端上的账号实现对数据库的访问，而无需向运维人员提供Oracle数据库服务器的访问密码，降低了数据库的安全风险。

技术领域

本发明涉及数据库技术领域，尤其涉及代理访问Oracle数据库的方法、审计终端、装置及计算机可读存储介质。

背景技术

在数据库运维审计领域，由于Oracle数据库采用私有的TNS协议，所以针对这些协议的解析都是基于对于网络协议包的黑盒分析。之前有人做过大量的工作，但是对于Oracle数据库的认证系统，始终没有取得进展。这导致大量的针对Oracle数据库的运维审计软件，要么采用旁路网络监听数据包，并解析数据包的内容；要么直接采用数据库用户作为访问账号。但是采用旁路网络对数据库进行监听，只能针对明文协议，同时旁路审计无法实现诸如数据脱敏，敏感指令拦截等。因此，为了审计需要，采用数据库用户作为访问账号，为每个运维人员分配一个数据库访问账号，并将数据库密码暴露给运维人员，大大提高了安全风险以及运维难度。

发明内容

本发明的主要目的在于提供一种代理访问Oracle数据库的方法、审计终端、装置及存储介质，旨在解决现有技术中为了审计需要，采用数据库用户作为访问账号，为每个运维人员分配一个数据库访问账号，并将数据库密码暴露给运维人员，大大提高了安全风险以及运维难度的技术问题。

为实现上述目的，本发明提供一种代理访问Oracle数据库的方法，所述方法应用于审计终端，所述审计终端分别与客户端以及Oracle数据库服务器建立通信连接，所述方法包括：

接收所述客户端发送的访问请求，所述访问请求包含第一用户名；

获取所述第一用户名对应的第二用户名，并将所述第二用户名发送至所述Oracle数据库服务器；

接收所述Oracle数据库服务器基于所述第二用户名反馈的第二随机数；

生成第一随机数，并将所述第一随机数发送至所述客户端；

接收所述客户端反馈的第一回应信息，所述第一回应信息由所述客户端基于所述第一随机数以及所述第一用户名对应的第一口令生成；

检测所述第一回应信息是否有效；

若所述第一回应信息有效，则获取所述第二用户名对应的第二口令；

根据所述第二随机数以及所述第二口令生成第二回应信息；

将所述第二回应信息发送至所述Oracle数据库服务器，以供所述Oracle数据库服务器对所述第二回应信息进行有效性认证；

当接收到所述Oracle数据库服务器发送的第一认证通过信息时，发送第二认证通过信息至所述客户端。

可选的，所述检测所述第一回应信息是否有效的步骤包括：

根据当前的Oracle数据库版本，确定认证策略；

通过所述认证策略，对所述第一回应信息解密，得到第一解密字符串；

当所述第一解密字符串与所述认证策略对应的有效认证信息一致时，确定所述第一回应信息有效。

可选的，所述当前的Oracle数据库版本为Oracle 10g，所述认证策略为第一认证策略，所述通过所述认证策略，对所述第一回应信息解密，得到第一解密字符串的步骤包括：