[发明专利]一种基于TCP代理的数据库动态脱敏方法及系统

说明书

本发明提出了一种基于TCP代理的数据库动态脱敏方法及系统，涉及信息安全技术领域。一种基于TCP代理的数据库动态脱敏方法包括：在数据库客户端和数据库服务器之间建立TCP代理；通过TCP代理对数据库客户端的请求和数据库服务器的响应内容进行拦截；根据预设的策略匹配规则对数据库客户端的请求和数据库服务器的响应内容进行过滤与匹配。使数据库客户端无需做任何代码修改，仅修改数据库访问地址配置，即可实现对数据库敏感数据访问的动态脱敏，同时对数据库没有任何配置与改动。此外本发明还提出了一种基于TCP代理的数据库动态脱敏系统，包括：代理部署模块、数据拦截模块、过滤匹配模块、脱敏模块及数据重组模块。

技术领域

本发明涉及信息安全技术领域，具体而言，涉及一种基于TCP代理的数据库动态脱敏方法及系统。

背景技术

现有的数据库动态脱敏系统，第一类是在数据库客户端，对请求回来的数据，来显式地判断，那些字段待脱敏，然后使用对应的脱敏接口进行处理，然后交给最终使用者；第二类比第一类有改进，同样是以TCP代理的方式，部署在客户端与关系型数据库服务端之间，通过对客户端访问数据库的查询语句的解析和重构，在查询语句上增加对应的脱敏函数(同时需要在数据库上定义脱敏函数)，来实现对敏感字段的脱敏功能。

现有方案的缺点有：

1.第一类需要在应用程序上做修改，适用场景少，复用可能性低，场景切换成本高；2.第二类技术实际脱敏操作需要数据库的支持；3.第二类技术脱敏操作会消耗数据库的运算资源，也就是说，脱敏的实际过程是在数据库服务器上完成的；4.第二类技术，无法适用于不支持脱敏函数的数据库系统。

发明内容

本发明的目的在于提供一种基于TCP代理的数据库动态脱敏方法，其能够使数据库客户端无需做任何代码修改，仅修改数据库访问地址配置，即可实现对数据库敏感数据访问的动态脱敏，同时对数据库没有任何配置与改动，而且与直接访问，即：不接入本系统，对数据库的影响完全相同。同时，如果与合适的负载均衡设备进行对接，可以轻松地实现动态脱敏集群，具备性能的线性扩展能力，以及极高的可用性。

本发明的另一目的在于提供一种基于TCP代理的数据库动态脱敏系统，其能够运行一种基于TCP代理的数据库动态脱敏方法。

本发明的实施例是这样实现的：

第一方面，本申请实施例提供一种基于TCP代理的数据库动态脱敏方法，其包括在数据库客户端和数据库服务器之间建立TCP代理；通过TCP代理对数据库客户端的请求和数据库服务器的响应内容进行拦截；根据预设的策略匹配规则对数据库客户端的请求和数据库服务器的响应内容进行过滤与匹配，以得到待脱敏字段信息；对待脱敏字段信息进行脱敏处理，以得到脱敏后的数据；获取并根据对应的数据库协议对脱敏后的数据进行解析重组，以得到重组数据，并将重组数据发送给对应的数据库客户端或数据库服务器。

在本发明的一些实施例中，上述根据预设的策略匹配规则对数据库客户端的请求和数据库服务器的响应内容进行过滤与匹配，以得到待脱敏字段信息还包括以下步骤：根据预设的策略匹配规则判断数据库客户端的请求是否有敏感字段，如果是，则对包含敏感字段的请求进行记录，然后将请求无修改地提交给数据库服务器；如果否，则对数据库客户端的请求直接发送至给数据库服务器。

在本发明的一些实施例中，上述根据预设的策略匹配规则对数据库客户端的请求和数据库服务器的响应内容进行过滤与匹配，以得到待脱敏字段信息还包括以下步骤：根据预设的策略匹配规则判断数据库服务器的响应是否有敏感字段，如果是，则对包含敏感字段的响应进行脱敏处理，然后将脱敏的结果，重新根据对应的数据库协议格式组织数据内容，把修改后的响应内容发送给数据库客户端；如果否，则对数据库客户端的响应直接发送至给数据库客户端。