[發(fā)明專利]一種數(shù)據(jù)庫安全異常識別方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011380211.4
• 申請日: 2020-11-30
• 公開（公告）號: CN112364348B
• 公開（公告）日: 2021-10-12
• 發(fā)明（設(shè)計）人: 劉雋良;王月兵;柳遵梁;覃錦端;王中天;毛菲
• 申請（專利權(quán)）人: 杭州美創(chuàng)科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/62;G06F11/32
• 代理公司: 杭州杭誠專利事務(wù)所有限公司 33109
• 代理人: 劉正君

1.一種數(shù)據(jù)庫安全異常識別方法，其特征在于：包括以下步驟，

S1.獲取實時數(shù)據(jù)庫指令數(shù)據(jù)；

S2.對實時數(shù)據(jù)庫指令數(shù)據(jù)提取行為特征，行為特征包括訪問域和操作域；

S3.根據(jù)已知惡意特征庫，對行為特征進行特征匹配，判定是否為已知惡意行為；

S4.對于非已知惡意行為的行為特征進行同源會話訪問域和同源會話操作域判定，然后進行異常行為判定；

訪問域的判定過程包括，

對所有請求來源相同、訪問目標數(shù)據(jù)庫一致的指令數(shù)據(jù)統(tǒng)計獲得所有同源會話統(tǒng)計集合x(F_x,D_x)；

在統(tǒng)計周期H內(nèi)，統(tǒng)計同源會話統(tǒng)計集合x(F_x,D_x)的統(tǒng)計數(shù)值，當統(tǒng)計數(shù)值達到閾值S時，生成G_fx算法：

G_fx{(F_x,D_x),(TO₁,TO₂,…TO_n)}

其中F_x為同源會話統(tǒng)計集合x(F_x,D_x)訪問請求來源，D_x為同源會話統(tǒng)計集合x(F_x,D_x)訪問目標數(shù)據(jù)庫，(TO₁,TO₂,…TO_n)為同源會話統(tǒng)計集合x(F_x,D_x)常規(guī)訪問該數(shù)據(jù)庫下數(shù)據(jù)表集合；

訪問域的異常判定過程包括，

若統(tǒng)計并形成G_fx{(F_x,D_x),(TO₁,TO₂,…TO_n)}后，針對后續(xù)此類同源會話訪問請求Sx{(F_x,D_x),(TOS_x)}生成存在異常訪問判定算法T1(Sx,G_fx)，其中TOS_x為此次同源會話請求所需訪問的數(shù)據(jù)表、數(shù)據(jù)字段集合；

若TOS_x∈(TO₁,TO₂,…TO_n)，則T1(Sx,G_fx)＝0，此次訪問請求判定為不存在異常訪問域；

反之則T1(Sx,G_fx)＝1，此次訪問請求判定為存在異常訪問域；

操作域的判定過程包括，

對所有請求來源相同、訪問目標數(shù)據(jù)庫一致的指令數(shù)據(jù)統(tǒng)計獲得所有同源會話統(tǒng)計集合x(F_x,D_x)；

在統(tǒng)計周期H內(nèi)，統(tǒng)計同源會話統(tǒng)計集合x(F_x,D_x)的統(tǒng)計數(shù)值，當統(tǒng)計數(shù)值達到閾值S時，生成G_ox算法：

G_ox{(F_x,D_x),(TA₁(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),TA₂(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),…TA_n(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)))}

其中(TA₁(),TA₂(),…TA_n())為同源會話統(tǒng)計集合x(F_x,D_x)對數(shù)據(jù)庫操作指令集合，TA₁(TO₁(a₁f₁,a₁f₂…a₁f_n))為同源會話統(tǒng)計集合x(F_x,D_x)在TA₁操作指令時涉及該數(shù)據(jù)庫下的對應(yīng)數(shù)據(jù)表TO₁下的數(shù)據(jù)字段集合；

操作域的異常判定過程包括，

若統(tǒng)計并形成

G_ox{(F_x,D_x),(TA₁(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),TA₂(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),…TA_n(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)))}后，針對后續(xù)此類同源會話訪問請求Ax{(F_x,D_x),(TOA_x)}生成存在異常訪問判定算法T2(Ax,G_ox)，其中TOA_x為此次同源會話請求所需操作指令、各操作指令涉及數(shù)據(jù)表、數(shù)據(jù)字段集合；

若

TOA_x∈(TA₁(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),TA₂(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)),…TA_n(TO₁(a₁f₁,a₁f₂…a₁f_n),TO₂(a₂f₁,a₂f₂…a₂f_n),…TO_n(a_nf₁,a_nf₂…a_nf_n)))，則T2(Ax,G_ox)＝0，此次訪問請求判定為不存在異常操作域；

反之則T2(Ax,G_ox)＝1，此次訪問請求判定為存在異常操作域；

S5.根據(jù)異常行為判定進行異常告警。