检测数据库异常行为的方法和设备技术

本发明专利技术提供一种检测数据库异常行为的方法和设备。该方法包括：收集数据库正常行为对应的SQL语句，对SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库，采用公式V=f1×w1+f2×w2+f3×w3+f4×w4获得对数据库行为进行分析的结果V，若V大于等于预设值，则判断数据库行为为数据库异常行为。本发明专利技术提供的检测数据库异常行为的方法和设备，实现了对数据库行为可以进行全面地检查，不会产生漏报的情况，提高了检测数据库异常行为的效率。

【技术实现步骤摘要】

本专利技术涉及通信
，尤其涉及一种检测数据库异常行为的方法和设备。
技术介绍
随着系统防火墙和硬件防火墙的广泛应用，网络安全中系统级别的风险大大被降低，大多数安全漏洞由于网络不可达的原因而无法利用，目前网络安全最大的风险在于具体的应用上而不是在操作系统上。数据库中保存着企业最重要的信息资产，重要性不言而喻，因此数据库往往成为黑客攻击的重点，结构化查询语言SQL注入攻击以及现在网络中盛行的拖库目标都是核心数据库。因此必须加强对数据库的防护，将正常的数据库操作和攻击数据库的操作区分开来，使黑客和不法分子无法通过数据库窃取企业的核心信息资产。现有技术中的基于规则的正则匹配和基于关键字黑名单的方法，是从数据库通讯·流量中解析出SQL语句、应用规则和黑名单，识别出攻击行为。但是由于现有的这些技术很难全面覆盖，加上黑客攻击的手法不断变化，因此存在检查的不全面性，漏报率高等问题。
技术实现思路
本专利技术提供一种检测数据库异常行为的方法和设备，以解决现有技术中对数据库异常行为检测难以全面覆盖、漏报率高的问题。一方面，本专利技术提供一种检测数据库异常行为的方法，包括收集数据库正常行为对应的SQL语句；对所述SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库；采用公式(I)获得对数据库行为进行分析的结果V :V=f I X wl+f 2 X w2+f 3 X w3+f 4 X w4(I);其中，wl、w2、w3和w4分别为SQL语句关键字的权重、SQL内置函数的权重、SQL拓展存储过程的权重和SQL语句敏感区域的权重，H、f2、f3分别为判断SQL语句关键字、SQL内置函数、SQL拓展存储过程是否在所述白名单数据库内的函数，若在所述白名单数据库中，则各函数的返回值为0，若不在所述白名单数据库中，则各函数的返回值为l，f4为敏感区域分析函数；若V大于等于预设值，则判断所述数据库行为为数据库异常行为。进一步地，所述对所述SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库，包括对所述SQL语句进行SQL语句关键字分析生成关键字白名单数据库；对所述SQL语句进行SQL内置函数分析生成内置函数白名单数据库；对所述SQL语句进行SQL拓展存储过程分析生成拓展存储过程白名单数据库；对所述SQL语句进行敏感区域分析生成敏感区域白名单数据库，所述敏感区域包括与系统相关的信息和用户自定义表。进一步地,所述f4,具体为若分析到所述敏感区域为与系统相关的信息和用户自定义表，则所述f4的返回值为I，若分析到所述敏感区域为白名单之外的数据，则所述f4的返回值为O. 6。进一步地,所述wl、w2、w3和w4分别为2、1、2. 5和3,所述A为3。另一方面，本专利技术提供一种检测数据库异常行为的设备，包括收集模块，用于收集数据库正常行为对应的SQL语句；生成模块，用于对所述SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库；分析模块，用于采用公式(I)获得对数据库行为进行分析的结果V :V=f I X wl+f 2 X w2+f 3 X w3+f 4 X w4(I);其中，wl、w2、w3和w4分别为SQL语句关键字的权重、SQL内置函数的权重、SQL拓展存储过程的权重和SQL语句敏感区域的权重，H、f2、f3分别为判断SQL语句关键字、SQL内置函数、SQL拓展存储过程是否在所述白名单数据库内的函数，若在所述白名单数据库中，则各函数的返回值为0，若不在所述白名单数据库中，则各函数的返回值为l，f4为敏 感区域分析函数；判断模块，用于若V大于等于预设值，则判断所述数据库行为为数据库异常行为。进一步地，所述生成模块具体用于对所述SQL语句进行SQL语句关键字分析生成关键字白名单数据库；对所述SQL语句进行SQL内置函数分析生成内置函数白名单数据库；对所述SQL语句进行SQL拓展存储过程分析生成拓展存储过程白名单数据库；对所述SQL语句进行敏感区域分析生成敏感区域白名单数据库，所述敏感区域包括与系统相关的信息和用户自定义表。进一步地,所述f4,具体为若分析到所述敏感区域为与系统相关的信息和用户自定义表，则所述f4的返回值为I，若分析到所述敏感区域为白名单之外的数据，则所述f4的返回值为O. 6。进一步地，所述wl、w2、w3和w4分别为2、1、2. 5和3，所述A为3。本专利技术提供的检测数据库异常行为的方法和设备，通过对收集到的数据库正常行为对应的SQL语句进行分析，生成白名单数据库，然后采用公式V=f I X wl+f 2 X w2+f 3 X w3+f4 X w4获得对数据库行为进行分析的结果V，若V大于等于预设值，则判断数据库行为为数据库异常行为，实现了对数据库行为可以进行全面地检查，不会产生漏报的情况，提高了检测数据库异常行为的效率。附图说明为了更清楚地说明本专利技术或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。图I为本专利技术检测数据库异常行为的方法实施例一的流程图2为本专利技术检测数据库异常行为的方法实施例二的流程示意图；图3为本专利技术检测数据库异常行为的设备实施例一的结构示意图。具体实施例方式为使本专利技术的目的、技术方案和优点更加清楚，下面将结合本专利技术中的附图，对本专利技术中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。图I为本专利技术检测数据库异常行为的方法实施例一的流程图，如图I所示，本实施 例的方法可以包括步骤101、收集数据库正常行为对应的SQL语句。在步骤101中，收集数据库正常行为对应的SQL语句的方法很多，例如可以在实际业务环境中抓包，也可以使用离线的分析数据库日志的方法获得，本专利技术对此不作限制。步骤102、对SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库。在步骤102中，对SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库，包括对SQL语句进行SQL语句关键字分析生成关键字白名单数据库；对SQL语句进行SQL内置函数分析生成内置函数白名单数据库JiSQL语句进行SQL拓展存储过程分析生成拓展存储过程白名单数据库；对SQL语句进行敏感区域分析生成敏感区域白名单数据库，敏感区域包括与系统相关的信息和用户自定义表。其中，对数据库正常行为对应的SQL语句分析的越多所生成的白名单数据库就越准确，对于数据库检测来说就越有效。步骤103、采用公式(I)获得对数据库行为进行分析的结果V V=f I X wl+f 2 X w2+f 3 X w3+f 4 X w4(I);其中，wl、本文档来自技高网...

【技术保护点】
一种检测数据库异常行为的方法，其特征在于，包括：收集数据库正常行为对应的SQL语句；对所述SQL语句进行SQL语句关键字分析、SQL内置函数分析、SQL拓展存储过程分析和SQL语句敏感区域分析，生成白名单数据库；采用公式（1）获得对数据库行为进行分析的结果V：V=f1×w1+f2×w2+f3×w3+f4×w4？？？？？？？？（1）；其中，w1、w2、w3和w4分别为SQL语句关键字的权重、SQL内置函数的权重、SQL拓展存储过程的权重和SQL语句敏感区域的权重，f1、f2、f3分别为判断SQL语句关键字、SQL内置函数、SQL拓展存储过程是否在所述白名单数据库内的函数，若在所述白名单数据库中，则各函数的返回值为0，若不在所述白名单数据库中，则各函数的返回值为1，f4为敏感区域分析函数；若V大于等于预设值Ａ，则判断所述数据库行为为数据库异常行为。

【技术特征摘要】

【专利技术属性】
技术研发人员：周振，李志昕，
申请(专利权)人：北京神州绿盟信息安全科技股份有限公司，北京神州绿盟科技有限公司，
类型：发明
国别省市：