[發明專利]實現數據庫操作數據引流的方法及其數據庫防火墻系統

有效

• 申請號: 201811532423.2
• 申請日: 2018-12-14
• 公開（公告）號: CN109710671B
• 公開（公告）日: 2023-05-30
• 發明（設計）人: 韓飛;劉勇彬;季統凱
• 申請（專利權）人: 國云科技股份有限公司
• 主分類號: G06F16/25
• 分類號: G06F16/25;G06F21/60;G06F21/62
• 代理公司: 廈門市新華專利商標代理有限公司 35203
• 代理人: 徐勛夫

1.一種實現數據庫操作數據引流的方法，其特征在于：所述的方法是通過動態庫預裝載，實現關鍵函數劫持，從而實現對數據庫操作數據引流；

所述的引流是對進出數據庫的數據流量進行引導與轉發；引流處于應用層，是對業務邏輯數據進行的引流；具體包括如下步驟：

步驟1：實現包含針對數據庫關鍵IO函數的劫持函數的動態鏈接庫；

步驟2：使用所在平臺提供的動態庫預先鏈接機制，在啟動數據庫進程時讓數據庫預先鏈接含有劫持函數的動態鏈接庫；

步驟3：在數據庫進程啟動后，劫持函數取代原來的關鍵IO函數并被數據庫進程調用，使所有數據庫IO流量都通過劫持函數；

步驟4：劫持函數開始對數據庫訪問流量進行引流和導向，通過IPC機制轉發到外部的處理進程，從而實現對數據庫流量的引導；引流方式支持串聯與旁路兩種模式。

2.根據權利要求1所述的方法，其特征在于：

所述的數據庫關鍵IO函數，是從網絡接收數據庫操作指令和返回指令結果的函數，包括：TLS/SSL加密通信環境下，libssl.so/libssl.dll鏈接庫的SSL_read()和SSL_write()函數。

3.根據權利要求1所述的方法，其特征在于：

所述的劫持函數是函數名稱和形式參數與要劫持的函數完全一致的函數；劫持函數基于所在平臺的動態庫函數鏈接機制，在數據庫進程啟動的時候替換被劫持函數。

4.根據權利要求1所述的方法，其特征在于：

所述的預先鏈接機制是：在linux平臺下，通過設置LD_PRELOAD環境變量指定動態鏈接庫，讓進程啟動的時候首先鏈接指定的動態鏈接庫；在windows平臺下，通過配置動態庫搜尋路徑來指定和搶先動態鏈接庫，實現對被替換動態庫里的目標關鍵IO函數的劫持。

5.根據權利要求1所述的方法，其特征在于：

所述的IPC機制是進程間通信機制，取決于所在的操作系統平臺；具有網絡套接字機制、內存共享機制、消息隊列機制；通過IPC機制將進出數據庫的流量引導轉發到數據庫防火墻進程進行處理。

6.根據權利要求1所述的方法，其特征在于：

所述的串聯模式是劫持函數等待防火墻返回處理結果才繼續下一步，影響原來的流量處理流程；

所述的旁路模式是不等待防火墻處理結果就繼續下一步處理，不影響原來的流量處理流程。

7.一種包含權利要求1-6任一項方法的數據庫防火墻系統，其特征在于，所述的系統包括的功能模塊有：流量收發模塊、數據庫協議解析模塊、流量處理模塊、記錄及告警模塊、控制及配置模塊；

所述的流量收發模塊，指的是基于IPC機制，與替換進數據庫進程的動態庫里面的劫持函數進行通信，收取數據庫操作流量和返回處理結果的模塊；

所述的數據庫協議解析模塊，用于識別和標準化不同數據庫操作指令，以便于下一步處理；

所述的流量處理模塊，是所述數據庫防火墻的關鍵模塊，它基于用戶所設定的處理策略，對進入的數據庫操作流量進行統計、攔截、修改、優化操作，實現數據庫防火墻的核心職能；

所述的記錄及告警模塊，用于記錄及輸出防火墻的處理結果；

所述的控制及配置模塊，用于提供控制配置功能及相關接口。