[發明專利]基于訪問特征標示的自主可控數據庫審計方法和系統

有效

• 申請號: 201710846554.7
• 申請日: 2017-09-19
• 公開（公告）號: CN107609136B
• 公開（公告）日: 2021-03-05
• 發明（設計）人: 繆燕;劉紅超;楊利兵;王繼業;曾楠;王晉雄
• 申請（專利權）人: 北京許繼電氣有限公司;國家電網公司
• 主分類號: G06F16/21
• 分類號: G06F16/21;G06F21/62
• 代理公司: 北京立成智業專利代理事務所(普通合伙) 11310
• 代理人: 張江涵

1.一種基于訪問特征標示的自主可控數據庫審計方法，其特征在于，包括：

操作權限樹OAT建立步驟，用于根據不同的應用邏輯對操作關鍵詞進行劃分以建立操作權限樹OAT；根據數據庫操作-權限等級二元組op_j,rank_j構成節點node_j，其中op_j為操作集合OP的第j個數據庫操作,rank_j為對應操作op_j的權限等級，共同構建權限偏序關系規則集合Rule_auth＝{node_s≥node_r|node_j＝op_j,rank_j,s≠r,s＝1,2,3,…,n,r＝1,2,3,…,n}，其中node_s與node_r分別為集合中任意的第s個與第r個二元組；然后根據權限偏序關系規則集合構建m個規則子樹T₁,T₂,T₃…T_m；其中每一規則子樹對應一個操作關鍵詞，且該規則子樹的每一層對應不同的權限級別；其中權限偏序關系規則集中相同權限級別的操作關鍵詞構成兄弟節點，而相鄰權限級別的操作關鍵字構成父子節點，從根節點到葉子結點權限級別依次降低，構建出該操作關鍵詞的規則子樹；根據用戶設定的操作關鍵字和權限級別構成子樹集合T＝{op_i,rank_j|i＝1,2,3,…,m,m0,j＝1,2,3,…,n,n0}；

可操作數據域樹DAT建立步驟，用于為每一數據庫構建可操作數據域子樹DB₁,DB₂,DB₃…DB_n；其中每一可操作數據域子樹包括數據庫表的權限級別DB＝{table₁,rank₁,table₂,rank₂,table₃,rank₃…table_m,rank_n},m為數據庫表的數目，n為權限級別的數目,table_i為具體的數據庫表,rank_j為對應數據庫表的權限級別，且再在表的可操作數據域子樹中設定不同字段的權限級別Table＝{field₁,rank₁,field₂,rank₂,field₃,rank₃…field_m,rank_n}，m為對應數據庫表中字段的數目，n為對應權限級別的數目,field_i為數據庫表的字段,rank_j為對應字段的權限級別，互不相交的可操作數據域子樹DB₁,DB₂,DB₃…DB_n構成以管理員Administrator為根的可操作數據域樹DAT；

權限分配步驟，用于在建立好操作權限樹OAT和可操作數據域樹DAT后，根據數據庫系統中用戶申請的權限以及對系統安全的要求，為每一個申請用戶進行授權；根據每一用戶獲得的授權范圍，將該用于分配到操作權限樹OAT和可操作數據域樹DAT的對應節點中，并使用戶獲得以該對應節點以下分支的所有權限；

用戶請求解析步驟，用于對每一用戶的數據操作請求進行解釋，以獲取對應操作的SQL語句user_sql，以獲取對應的操作集合OP＝sql_analyse(user_sql)和可操作數據域集合DF＝sql_analyse(user_sql)；

數據庫審計步驟，用于根據操作集合OP、可操作數據域集合DF、操作權限樹OAT進行實時數據庫審計。