[发明专利]一种基于独立授权的数据库安全访问控制方法

说明书

技术领域

本发明属于数据库安全领域，是一种基于独立授权的数据库安全访问控制技术。

背景技术

数据库系统是信息系统中的基础平台，许多政府机构、军事部门、企业公司的关键业务系统运行在数据库平台上，数据库系统中的数据为众多用户所共享，如果数据库安全无法保证，其上的应用系统也会被非法访问或破坏。尽管目前成熟的商用数据库管理系都具有诸如身份认证、访问控制、审计等安全功能，为数据库安全提供了一定的安全保障，但是在数据库安全方面还存在以下问题：

1.内部人员攻击行为。80％的数据库数据丢失都是由内部人员对数据库的攻击造成的，数据库维护人员、外包人员、开发人员在工作过程中都可以获取较高的数据库访问权限、甚至数据库管理员权限，该类人员有意或者无意的高危操作将对数据库造成巨大的破坏；另外具有正常业务权限的操作人员在利益的诱惑下，可以通过正常的业务操作，将系统中的敏感信息导出。

2.数据库攻击。数据库是黑客攻击的集中目标，利用Web应用漏洞进行SQL注入，在网络中进行监听嗅探，利用截获的数据库访问报文进行数据库操作行为还原、重放攻击都是黑客常用的数据库攻击行为，这些攻击行为将造成数据泄漏、数据篡改、数据损坏、数据丢失等严重后果；熟悉数据库内部结构的人员也有能力发起对数据库的攻击，借助正常业务权限通过推理查询等手段，获取超越其访问权限的信息。

3.数据库漏洞。“棱镜门”事件暴露出了使用国外商用数据库系统等基础设施所带来的严重安全隐患，国外数据库厂商、情报部门可以利用数据库管理系统自身的安全漏洞、后门等，对数据库中的数据进行监视和窃取，数据库系统存在漏洞等安全隐患，附属其上的安全保密机制便形同虚设。

4.三层架构模式下无法对用户行为进行管控。目前主流的应用系统都是基于三层架构部署的，以B/S结构的系统为例，三层分别为前台Web浏览器、中间件或Web服务器、数据库服务器。在该模式中，对后台数据的访问是通过Web应用服务器或中间件来执行的，即使采取细粒度访问控制，也只能针对Web应用服务器或中间件进行控制，无法区分访问请求是由哪个前台Web用户发起的，因此也就难以实现对用户访问行为进行管控和审计。

发明内容

本发明为了解决数据库系统在内部人员攻击、数据库攻击、数据库漏洞、三层架构下用户行为管控等方面面临的安全威胁，提出了一种基于独立授权的数据库安全访问控制技术。该安全技术采用与数据库系统松耦合的设计思路，通过将数据库访问行为与USBKey绑定，实现基于用户而非数据库账号的访问控制，将数据库访问行为与终端用户相关联，做到针对终端用户的行为管控和审计；通过引入前置访问控制，对数据库访问语句进行分析和监测，屏蔽数据库攻击行为，管控和审计内部人员操作行为，减少数据库攻击行为造成的信息损失；通过对数据库访问请求进行重新封装，避免监听嗅探攻击。

一种基于独立授权的数据库安全访问控制方法，其特征在于：访问控制服务器串接在数据库服务器之前，并连接到防火墙；防火墙还分别连接到应用服务器和访问控制服务器上；

具体工作流程分为终端关联和访问控制两个阶段，终端关联阶段工作流程如下：

步骤1：终端向应用服务器发起访问请求，建立通信通道；

步骤2：应用服务器验证终端身份；终端将USBKey中的证书信息发送至应用服务器，应用服务器通过认证服务器完成对终端的身份认证；

步骤3：应用服务器上部署的身份关联探针获取终端用户身份信息，并将终端用户身份与其后续的数据库访问行为进行关联；

步骤4：应用服务器向数据库服务器发起访问请求，访问控制服务器接管访问请求，与应用服务器建立通信通道；

步骤5：访问控制服务器通过认证服务器验证应用服务器身份；

访问控制阶段工作流程如下：

步骤1：在完成身份关联后，终端向应用服务器发起访问请求，准备通过应用进行数据库操作；

步骤2：应用服务器对用户的访问请求进行响应，根据终端的操作生成数据库访问请求；

步骤3：客户端通过过滤驱动截获数据库访问请求，根据用身份关联探针获取的用户身份与访问行为的关联信息，将访问请求对应的终端身份与访问请求一起封装为专用访问协议；

步骤4：客户端将专用访问请求进行转发；

步骤5：前置的访问控制服务器代替数据库服务器接管访问请求，丢弃非专用访问协议的请求，并还原数据库访问请求，提取终端身份信息；

步骤6：访问控制服务器根据预置的访问控制规则，对访问请求进行过滤；