[发明专利]一种基于工控数据库的三层关联审计方法及系统

权利要求书

1.一种基于工控数据库的三层关联审计方法，应用于数据库审计系统，其特征在于，包括：

响应于中间件应用层开启应用服务器日志转发功能后发送的前端用户层访问日志，数据库审计系统对前端用户层访问日志进行存储；

响应于中间件应用层通过应用服务器日志转发功能发送的工控数据库层访问日志，数据库审计系统对工控数据库层访问日志进行存储；

数据库审计系统对前端用户层访问日志和工控数据库层访问日志进行关联审计分析，确定前端用户层访问和工控数据库层访问的关联。

2.如权利要求1所述的基于工控数据库的三层关联审计方法，其特征在于，中间件应用层在接收到前端用户层的访问请求后做应用层协议解析与处理，将解析与处理结果记录在前端用户层访问日志中，然后中间件应用层开启应用服务器日志转发功能，将前端用户层访问日志转发到数据库审计系统。

3.如权利要求1所述的基于工控数据库的三层关联审计方法，其特征在于，中间件应用层对前端应用层的访问请求解析处理完成后，向工控数据库层发送数据请求，并记录对工控数据库层的请求、返回及调用过程至工控数据库层访问日志中，通过开启的应用服务器日志转发功能，将工控数据库层访问日志转发到数据库审计系统。

4.如权利要求1所述的基于工控数据库的三层关联审计方法，其特征在于，对前端用户层访问日志和工控数据库层访问日志进行关联审计分析，包括但不限于如下分析方式：

①分析前端用户层访问中间件应用层的URL发生时刻的TCP报文中的时间戳、会话ID，与中间件应用层访问工控数据库层的SQL命令发生时刻的TCP报文中的时间戳、会话ID；

②分析前端用户层访问中间件应用层的URL，与中间件应用层访问工控数据库层的SQL模板发生的次数及概率，加入关联审计模板；

③分析前端用户层访问中间件应用层的URL，与中间件应用层访问工控数据库层的SQL模板携带的参数长度、类型等特征。

5.一种数据库审计系统，其特征在于，所述数据库审计系统执行如权利要求1-4任一项所述的基于工控数据库的三层关联审计方法。

6.一种基于工控数据库的三层关联审计总控系统，包括如权利要求5所述的数据库审计系统，以及工控数据库系统；所述工控数据库系统包括前端用户层、中间件应用层和工控数据库层。

7.如权利要求6所述的基于工控数据库的三层关联审计总控系统，其特征在于，

前端用户层向中间件应用层发送访问请求；

中间件应用层接到访问请求后做应用层协议解析与处理，开启应用服务器日志转发功能，将前端用户层访问日志转发到数据库审计系统；

中间件应用层解析完成后会向工控数据库层做数据请求，记录对工控数据库层的请求、返回及调用过程至工控数据库层访问日志，通过应用服务器日志转发功能将工控数据库层访问日志转发至数据库审计平台；

数据库审计系统对前端用户层访问日志和工控数据库层访问日志进行关联审计分析，确定前端用户层访问和工控数据库层访问的关联。

8.如权利要求6所述的基于工控数据库的三层关联审计总控系统，其特征在于，前端用户层与中间件应用层之间通过HTTP访问，前端用户层向中间件应用层发送访问请求，中间件应用层向前端应用层返回用户层请求的数据；中间件应用层连接工控数据库层，中间件应用层向工控数据库层发送数据库访问请求，工控数据库层向中间件应用层返回中间件应用层请求的数据；数据库审计系统通过交换机连接中间件应用层，通过交换机的端口镜像功能将中间件应用层的访问流量和工控数据库层的访问流量统一镜像至数据库审计系统，加入审计监控范围，确定HTTP访问和数据库访问的关联。