[发明专利]一种构建数据库防火墙的方法和装置

权利要求书

1.一种构建数据库防火墙的方法，其特征在于，包括：

接收发起账号的SQL查询，对所述发起账号进行判定：

如果所述发起账号在账号白名单中，则将所述SQL转入后端数据库处理；

如果所述发起账号在账号黑名单中，则将所述SQL拦截。

2.根据权利要求1所述的方法，其特征在于，所述对发起账号进行判定还包括：

如果所述发起账号既未在所述账号白名单中，也未在所述账号黑名单中，则对所述SQL的操作对象进行判定：

如果所述操作对象在操作对象白名单中，则将所述SQL转入后端数据库处理；

如果所述操作对象在操作对象黑名单中，则将所述SQL拦截。

3.根据权利要求2所述的方法，其特征在于，所述对SQL的操作对象进行判定还包括：

将所述SQL进行转换，得到所述SQL的操作条数；

将所述操作条数与账号操作行数规则表进行比对，如果所述SQL的操作行数符合所述账号操作行数规则表的操作规则，则将所述SQL转入后端数据库处理；

否则，将所述SQL拦截。

4.根据权利要求1所述的方法，其特征在于，所述对发起账号进行判定具体包括：

判定所述发起账号是否在所述账号黑名单中；

如果所述发起账号不在所述账号黑名单中，则判定所述发起账号是否在所述账号白名单中。

5.根据权利要求2所述的方法，其特征在于，所述对SQL的操作对象进行判定具体包括：

判定所述SQL的操作对象是否在所述操作对象黑名单中；

如果所述SQL的操作对象不在所述操作对象黑名单中，则判定所述SQL的操作对象是否在所述操作对象白名单中。

6.根据权利要求1所述的方法，其特征在于，在所述对发起账号进行判定之前还包括：

对所述发起账号同时发起的session数目信息进行判定，将判定结果与账号进程数规则表进行比对；

如果所述session数目信息符合所述账号进程数规则表的规则，则对所述发起账号进行判定；

否则，将所述SQL拦截。

7.根据权利要求1所述的方法，其特征在于，如果所述SQL为复杂SQL，还包括：

将可拆分的复杂SQL拆分成简单SQL，再对所述简单SQL的发起账号进行判定；

将不可拆分的复杂SQL在测试环境中运行并经DBA审核后，将该复杂SQL的发起账号加入所述账号白名单中。

8.一种构建数据库防火墙的装置，其特征在于，包括：

访问接收模块，用于接收发起账号的SQL查询；

账号判定模块，用于对所述发起账号进行判定，根据判定结果对所述SQL进行处理：如果所述发起账号在账号白名单中，则将所述SQL转入后端数据库处理；如果所述发起账号在账号黑名单中，则将所述SQL拦截。

9.根据权利要求8所述的装置，其特征在于，所述账号判定模块还包括：

对象判定子模块，如果所述发起账号既未在所述账号白名单中，也未在所述账号黑名单中，用于对所述SQL的操作对象进行判定：如果所述操作对象在操作对象白名单中，则将所述SQL转入后端数据库处理；

如果所述操作对象在操作对象黑名单中，则将所述SQL拦截。

10.根据权利要求9所述的装置，其特征在于，所述对象判定子模块还包括：

转换子单元，用于将所述SQL进行转换，得到所述SQL的操作条数；

比对处理子单元，用于将所述操作条数与账号操作行数规则表进行比对，如果所述SQL的操作行数符合所述账号操作行数规则表的操作规则，则将所述SQL转入后端数据库处理；否则，将所述SQL拦截。

11.根据权利要求8所述的装置，其特征在于，所述账号判定模块，具体用于判定所述发起账号是否在所述账号黑名单中；如果所述发起账号不在所述账号黑名单中，则判定所述发起账号是否在所述账号白名单中。

12.根据权利要求9所述的装置，其特征在于，所述对象判定子模块具体用于：判定所述SQL的操作对象是否在所述操作对象黑名单中；

如果所述SQL的操作对象不在所述操作对象黑名单中，则判定所述SQL的操作对象是否在所述操作对象白名单中。