[发明专利]数据库安全保护方法和装置

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种数据库安全保护方法和装置。

背景技术

信息社会的发展使得对于大量的数据需要进行组织、存储和保护，随之而来的就是大量的商用数据库及私有数据库的大范围使用，如DB2、Oracle、MySQL等等。数据库的大量使用带来了许多的安全问题。入侵检测及防火墙系统能够解决来自外部的威胁和攻击，但是对于数据库内部的威胁操作或违规操作是无能为力的。而当前流行的数据库业务审计系统能够忠实的记录所有的数据库操作，但是对于这些操作之中是否存在异常或安全隐患是缺乏发现及保护能力的。

在金融、电信等领域当中，大型数据库中存储的海量数据里总包含一些敏感数据是必须被保护起来避免一些违规的增、删或篡改的。尤其是对于某些数值类型的重要数据，可操作的范围通常是有一定限制的，而目前的安全产品是无法发现违背这些限制的一些操作的。例如某电信运营商内部有职员利用职权之便在自己的账号上增加积分，虽然每次增加的积分数量不多，但是对于该关键字段的修改次数较平时正常状态下明显增多。又如某公司财务人员利用职权之便在个人账号上挪用公款，数额巨大，大大超出了其账号日常操作的数值范围。这些案例都说明了仅仅能够审计到内部用户对于数据库的操作是远远不够的，类似于上述的案例当中其操作都是正常的，而其中隐藏的异常隐患当被发现时，往往已经造成了无法弥补的后果。由此可见，现有数据库操作方法存在安全漏洞，数据库的安全性较低。

发明内容

本发明的实施例提供了一种数据库安全保护方法，解决了数据库安全性低的问题。

一种数据库安全保护方法，包括：

接收并解析数据报文，提取该数据报文中对预置的关键字段的操作，以及操作相关信息；

统计各关键字段被操作的次数，并根据统计结果和所述操作相关信息，生成关键字段检测模型；

根据所述关键字段检测模型检测关键字段访问异常及关键字段操作异常。

进一步的，上述数据库安全保护方法还包括：

根据数据库协议格式及预设字段值选择部分或全部字段作为关键字段。

进一步的，所述操作相关信息包括访问时间、访问用户、访问IP和操作数值。

进一步的，所述关键字段检测模型包含关键字段访问模型和关键字段操作模型，所述根据统计结果生成关键字段检测模型包括：

根据当前时刻前一统计周期内多个观测周期的统计结果，使用自学习方式，生成关键字段访问模型，所述关键字段访问模型中包含访问模型阈值；

根据当前时刻前一采样窗口内提取的所述操作相关信息中包含的操作数值，使用自学习方式，生成关键字段操作模型，所述关键字段操作模型中包含预测值及误差预测值。

进一步的，根据所述关键字段检测模型检测关键字段访问异常及关键字段操作异常包括：

将观测周期内统计的对关键字段的操作次数的实际值，与该关键字段的关键字段访问模型阈值进行比较，根据偏离程度判断当前对该关键字段的访问是否存在异常；和，

将每一次对关键字段的操作数值，与该关键字段的关键字段操作模型的预测值及误差预测值进行比较，根据偏离程度判断当前对该关键字段的操作是否存在异常。

进一步的，上述数据库安全保护方法还包括：

在检测到关键字段访问异常或关键字段操作异常时发出告警。

本发明还提供了一种数据库安全保护装置，包括协议解析器、数据生成器、检测模型生成器和异常检测模块；

所述协议解析器，用于接收并解析数据报文；

数据生成器，用于提取所述数据报文中对预置的关键字段的操作，以及操作相关信息，统计各关键字段被操作的次数；

检测模型生成器，用于根据所述数据生成器的统计结果和所述操作相关信息，生成关键字段检测模型；

所述异常检测模块，用于根据所述关键字段检测模型检测关键字段访问异常及关键字段操作异常。

进一步的，所述检测模型生成器包括关键字段访问模型生成单元和关键字段操作模型生成单元；

所述关键字段访问模型生成单元，用于根据当前时刻前一统计周期内多个观测周期的统计结果，使用自学习方式，生成关键字段访问模型，所述关键字段访问模型中包含访问模型阈值；

所述关键字段操作模型生成单元，用于根据当前时刻前一采样窗口内提取的所述操作相关信息中包含的操作数值，使用自学习方式，生成关键字段操作模型，所述关键字段操作模型中包含预测值及误差预测值。