[發明專利]代理訪問Oracle數據庫的方法、審計終端、裝置及計算機可讀存儲介質

有效

• 申請號: 201911045374.4
• 申請日: 2019-10-30
• 公開（公告）號: CN112749182B
• 公開（公告）日: 2023-01-31
• 發明（設計）人: 李俊
• 申請（專利權）人: 深圳市傲冠軟件股份有限公司
• 主分類號: G06F16/24
• 分類號: G06F16/24;G06F16/28;G06F21/62
• 代理公司: 深圳市順天達專利商標代理有限公司 44217
• 代理人: 郭偉剛

本發明公開了一種代理訪問Oracle數據庫的方法、審計終端、裝置及存儲介質，該方法包括：審計終端分別與客戶端和服務器進行挑戰回應認證，當審計終端與客戶端之間的挑戰回應認證通過且審計終端與服務器之間的挑戰回應認證通過時，建立服務器與客戶端之間的訪問連接。本發明通過在運維人員使用的客戶端到Oracle數據庫服務器之間構建審計終端，在這個審計終端上為每個運維人員創建不同的賬戶，這些賬戶可以對應到相同的或者不同的Oracle數據庫賬戶。運維人員可以使用在審計終端上的賬號實現對數據庫的訪問，而無需向運維人員提供Oracle數據庫服務器的訪問密碼，降低了數據庫的安全風險。

技術領域

本發明涉及數據庫技術領域，尤其涉及代理訪問Oracle數據庫的方法、審計終端、裝置及計算機可讀存儲介質。

背景技術

在數據庫運維審計領域，由于Oracle數據庫采用私有的TNS協議，所以針對這些協議的解析都是基于對于網絡協議包的黑盒分析。之前有人做過大量的工作，但是對于Oracle數據庫的認證系統，始終沒有取得進展。這導致大量的針對Oracle數據庫的運維審計軟件，要么采用旁路網絡監聽數據包，并解析數據包的內容；要么直接采用數據庫用戶作為訪問賬號。但是采用旁路網絡對數據庫進行監聽，只能針對明文協議，同時旁路審計無法實現諸如數據脫敏，敏感指令攔截等。因此，為了審計需要，采用數據庫用戶作為訪問賬號，為每個運維人員分配一個數據庫訪問賬號，并將數據庫密碼暴露給運維人員，大大提高了安全風險以及運維難度。

發明內容

本發明的主要目的在于提供一種代理訪問Oracle數據庫的方法、審計終端、裝置及存儲介質，旨在解決現有技術中為了審計需要，采用數據庫用戶作為訪問賬號，為每個運維人員分配一個數據庫訪問賬號，并將數據庫密碼暴露給運維人員，大大提高了安全風險以及運維難度的技術問題。

為實現上述目的，本發明提供一種代理訪問Oracle數據庫的方法，所述方法應用于審計終端，所述審計終端分別與客戶端以及Oracle數據庫服務器建立通信連接，所述方法包括：

接收所述客戶端發送的訪問請求，所述訪問請求包含第一用戶名；

獲取所述第一用戶名對應的第二用戶名，并將所述第二用戶名發送至所述Oracle數據庫服務器；

接收所述Oracle數據庫服務器基于所述第二用戶名反饋的第二隨機數；

生成第一隨機數，并將所述第一隨機數發送至所述客戶端；

接收所述客戶端反饋的第一回應信息，所述第一回應信息由所述客戶端基于所述第一隨機數以及所述第一用戶名對應的第一口令生成；

檢測所述第一回應信息是否有效；

若所述第一回應信息有效，則獲取所述第二用戶名對應的第二口令；

根據所述第二隨機數以及所述第二口令生成第二回應信息；

將所述第二回應信息發送至所述Oracle數據庫服務器，以供所述Oracle數據庫服務器對所述第二回應信息進行有效性認證；

當接收到所述Oracle數據庫服務器發送的第一認證通過信息時，發送第二認證通過信息至所述客戶端。

可選的，所述檢測所述第一回應信息是否有效的步驟包括：

根據當前的Oracle數據庫版本，確定認證策略；

通過所述認證策略，對所述第一回應信息解密，得到第一解密字符串；

當所述第一解密字符串與所述認證策略對應的有效認證信息一致時，確定所述第一回應信息有效。

可選的，所述當前的Oracle數據庫版本為Oracle 10g，所述認證策略為第一認證策略，所述通過所述認證策略，對所述第一回應信息解密，得到第一解密字符串的步驟包括：