[發明專利]一種基于協議指紋的數據庫入侵檢測方法

有效

• 申請號: 201610597633.4
• 申請日: 2016-07-26
• 公開（公告）號: CN107657174B
• 公開（公告）日: 2020-11-10
• 發明（設計）人: 吳朝雄;石波;陳志浩;沈德峰;胡佳;謝小明;郭江;沈艷林
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 中國兵器工業集團公司專利中心 11011
• 代理人: 張然

1.一種基于協議指紋的數據庫入侵檢測方法，其特征在于，包括：

S1、獲取網絡數據；

S2、對網絡數據進行網絡層數據解析；

S3、將數據包信息格式和內容與協議指紋庫中協議指紋的格式特征、內容特征進行比對分析，找到信息格式和內容特征一致的協議指紋，并通過協議指紋確定數據庫訪問協議，同時利用數據庫訪問協議對獲取到該網絡數據中的應用層數據包進行解析，從而獲取SQL語句的信息；

S4、按照SQL語句的結構和語法，對解析到的數據內容還原SQL語句和用戶數據；

S5、根據預存的攻擊特征和關聯規則，采用特征匹配分析還原SQL語句和SQL語句參數；

S6、根據分析結果，判斷是否存在攻擊特征，并對檢測到的攻擊特征進行響應；

該步驟S4的該還原SQL語句和用戶數據包括：進行詞法分析和語法分析；

該詞法分析包括：將一條SQL語句內容分為三類信息：標識、運算符號以及保留字，該保留字是SQL語法中自帶的關鍵字，該標識包括數字以及字母，將三類信息中的任何一項信息稱為一個詞塊，將所有詞塊作為一詞法分析工具的輸入，利用該詞法分析工具生成的規則對SQL內容進行詞法分析，得到詞法分析結果；

該語法分析包括：根據SQL的語法和結構，利用詞法分析結果以及SQL語法分析工具將該詞法分析結果解析為SQL語句，按照活動先后順序對解析得到的SQL語句進行拆分，形成行為序列向量，序列向量中的元素包括數據庫的一次活動行為，該活動行為包括用操作類型、操作對象以及操作條件；

根據預存的攻擊特征和關聯規則，采用特征匹配分析還原的SQL語句和SQL語句參數，包括：根據關聯規則以及攻擊特征，對數據庫訪問行為序列進行檢測分析，檢測分析采用模式匹配分析和活動序列關聯分析兩種，該模式匹配分析針對字符匹配分析，該活動序列關聯分析則針對具有活動序列的數據庫活動行為分析；

該模式匹配分析包括：該活動行為的操作類型、操作對象以及操作條件所代表的信息OP_i作為字符串(seq_i1,seq_i2,seq_i3)表示，該活動行為的每個屬性進行匹配分析；如果任意一個seq_ij匹配分析成功，則進行告警，如果匹配不成功且seq_j不為條件過濾屬性，則下一次匹配對象為seq_ij+1，如果匹配不成功且seq_i為條件過濾屬性，則下一次匹配對象為seq_ij的下一個字節；活動序列關聯分析過程包括：設該活動序列的向量為C＝(OP₁,OP₂,..OP_L)，設定滑動窗口的大小為L，滑動窗口用H表示；選取活動序列OP_i,到OP_i+L-1作為滑動窗口，令H＝(OP_i,OP_i+1,..OP_i+L-1)，活動序列的長度等于活動序列C的長度，滑動窗口H中選取活動序列的每個活動行為與活動序列C中(OP₁,OP₂,…OP_L)一一對應的活動行為進行比較分析，如H中活動序列的每個活動行為中的操作類型等于活動序列C的活動行為的操作類型,則認為關聯匹配成功，如果H中任意一個活動行為與C中對應的活動行為不匹配，則滑動窗口向后滑動一個活動行為，組成新的活動序列，然后再循環進行活動序列關聯分析的分析比較，直到匹配成功報警或者H中所有活動序列均與活動序列C進行了一次比較。

2.如權利要求1所述的基于協議指紋的數據庫入侵檢測方法，其特征在于，在獲取該網絡數據后，還對該網絡數據進行異常檢查和報文重組。

3.如權利要求1所述的基于協議指紋的數據庫入侵檢測方法，其特征在于，對網絡數據進行解析為對TCP/IP協議數據解析，包括：對IP報文頭部和TCP/UDP頭部解析，獲取應用層數據包，對比協議指紋庫，判斷應用層協議是否為數據庫訪問協議，如果不為數據庫訪問包，則直接做丟棄處理，如果為數據庫訪問包，則進入S3。