[發明專利]一種基于代理方式的數據庫安全增強方法

無效

• 申請號: 200910080856.3
• 申請日: 2009-03-24
• 公開（公告）號: CN101515931A
• 公開（公告）日: 2009-08-26
• 發明（設計）人: 代六玲;杜頂;張晗立;胡金武;梁濤;湯繼良;李奇;陳合春
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 北京理工大學專利中心
• 代理人: 張利萍

技術領域

本發明屬于數據庫及信息安全技術領域，涉及一種數據庫的安全增強 方法。

背景技術

在信息系統中，數據庫應用十分廣泛。數據庫系統作為信息的聚集體， 存儲著系統中最有價值信息的數據，是信息系統的核心部件，因此，數據 庫的安全性十分重要。

在網絡環境下，數據庫系統所面對的安全問題包括：

(1)數據庫管理員(DBA)權限過高問題。目前廣泛使用的數據庫系 統的安全級別為C2級，該類系統在訪問控制方面采用的是自主訪問控制 (DAC)模式。在該模式下，DBA角色擁有至高的權限，且用戶的權限 可以不受限制的傳播，這就使得獲取DBA角色成為攻擊者(如網絡黑客) 的目標。一旦攻擊者獲得了DBA角色，就意味著數據庫將對其徹底暴露， 毫無安全性可言。

(2)數據庫系統安全漏洞問題。根據已經公布的資料，數據庫存在許 多安全風險，其中不少是致命的缺陷和漏洞。例如，緩沖區溢出漏洞或SQL 注入漏洞。其中不少漏洞可以十分容易地被攻擊者利用從而發起入侵或破 壞，導致機密數據或系統控制權的泄露。

(3)遭受惡意攻擊問題。由于數據庫存儲著最有價值的數據，是信息 系統的核心部件，其每時每刻都有可能受到攻擊。比如攻擊者采用端口掃 描、口令攻擊、緩沖區溢出攻擊、SQL注入攻擊和拒絕服務攻擊等方式。 這些攻擊行為均將會給數據庫的安全造成十分嚴重的威脅。

發明內容

本發明的目的是為了解決數據庫訪問入口的安全問題，提出一種基于 代理方式的數據庫安全增強方法。其核心是：在應用服務器和數據庫服務 器之間部署一個請求檢驗與過濾機制。該機制包括數據庫服務器的地址映 射、獨立于數據庫的授權管理和危險命令管理功能，最終達到增強數據庫 入口安全的目的。其中，數據庫服務器的地址映射是實現獨立授權管理、 危險命令管理功能的前提條件。同時，該方法對于訪問數據庫的應用系統 是完全透明的，部署后無需對現有的應用系統做改動。

一種基于代理方式的數據庫安全增強方法，其技術方案如下：

通過提供第一網絡接口和第二網絡接口，將第一網絡接口與數據庫服 務器相連，將第二網絡接口與應用服務器相連，使得應用服務器不直接連 接數據庫服務器。通過在兩個網絡接口之間轉發數據，實現數據庫服務器 的地址映射。

當應用服務器向數據庫服務器發出訪問請求時，首先對該訪問請求進 行獨立于數據庫的授權管理，即，將IP地址和用戶名進行組合來唯一甄別 每個請求者，由此對請求者進行授權管理，而不僅僅是采用用戶名甄別。 此時，先判斷請求類型，根據請求類型執行相應的響應策略。當請求類型 為數據請求時，要對其進行是否包含命令調用的判斷，如果其包含命令調 用，對該數據請求進行危險命令管理，即，先判定命令類型，再根據命令 類型執行相應的響應策略。通過這種方式，可實現比數據庫系統本身更精 確的用戶甄別，能夠有效的避免攻擊者獲得高權限時引起的數據泄露。當 獨立于數據庫的授權管理和危險命令管理完成后，將通過檢驗的訪問請求 轉發至數據庫服務器。由此及時發現和阻止越權訪問和攻擊行為。

從第一網絡接口向第二網絡接口轉發的數據為數據庫服務器對應用服 務器請求的響應，此時，將其直接轉發到應用服務器。

有益效果

本發明以基于代理的方式增強數據庫的安全性，主要表現在如下幾個 方面：

(1)本發明的地址映射機制隱藏了數據庫服務器的真實地址。

引入地址映射機制之前，數據庫服務器直接對外暴露，攻擊者可以掃 描服務器的端口，根據服務器的回復信息獲得數據庫以及操作系統的類型， 進而進行口令猜測等攻擊。

引入地址映射機制之后，數據庫服務器與應用服務器之間被隔離。地 址映射機制實現的端口映射功能，隱藏了真實的IP地址和端口，攻擊者不 能直接與數據庫服務器交互，提高了數據庫的安全性。

(2)本發明提供獨立于數據庫的二次授權管理。

在引入二次授權管理機制以前，由于數據庫直接與應用程序進行連接， 且只能通過口令進行認證，數據庫容易受到來自于不同IP地址的假冒用戶 的連接和惡意的攻擊。由于DBA角色具有超級權限，當惡意攻擊者通過竊 取口令、或者SQL注入的方法將自己的角色提高到DBA時，整個數據庫 將完全被其操縱。應用服務器也極易在類似SQL注入攻擊的過程中，成為 攻擊者的跳板。