CN103176987A - 一种数据库访问控制方法和装置 - Google Patents

Abstract

本发明公开了一种数据库访问控制的方法和装置。该方法包括：查看当前已经登陆数据库的访问者的网络连接信息；获取与数据库的端口建立网络连接的访问者所使用的进程信息；判断进程信息是否符合针对访问者预先设定的进程访问规则；当判定进程信息不符合针对访问者预先设定的进程访问规则时，执行针对访问者的安全控制操作。通过本发明所提高的方法和装置能够将对数据库的访问控制精确地控制到应用程序的进程级别，防止非法的应用程序进程利用合法账号进行数据库访问，增强了对数据库的访问控制。

Description

一种数据库访问控制方法和装置

技术领域

本发明涉及信息安全领域，特别涉及一种数据库访问控制的方法和装置。

背景技术

在使用数据库的系统中，数据库分配给指定应用程序的账号信息(例如用户名和密码信息)，以使用户使用应用程序可以登录数据库进行数据库操纵。但是，应用程序的账号信息可能被使用在其他非允许的终端上。数据库可以通过将应用程序运行的终端所使用的IP地址与账号相绑定，只允许从合法的应用程序从被允许的终端上使用该账户访问数据库。

但是，将账户和终端的IP地址相绑定的方法对于直接在指定应用系统所在服务器(即合法的终端)上发起的账号复用现象，却无法进行识别和管控，从而给数据库安全带来风险。

发明内容

本发明的发明人发现上述现有技术中的问题，提出了一种新的技术方案，使得可以对数据库的访问控制精确地控制到应用程序的进程级别，从而防止非法的应用程序复用账号进行数据库访问。

本发明的一个目的是提供一种数据库访问控制方法和装置。

根据本发明的第一个方面，提供了一种数据库访问控制方法，该方法包括：

查看当前已经登陆数据库的访问者的网络连接信息；

获取与所述数据库的端口建立网络连接的访问者所使用的进程信息；

判断所述进程信息是否符合针对所述访问者预先设定的进程访问规则；

当判定所述进程信息不符合针对所述访问者预先设定的进程访问规则时，执行针对所述访问者的安全控制操作。

优选地，所述网络连接信息包括所述访问者的终端IP地址，该方法还包括：

判断所述终端IP地址是否符合针对所述访问者预先设定的IP地址访问规则；

当判定所述终端IP地址不符合针对所述访问者预先设定的IP地址访问规则时，执行所述针对所述访问者的安全控制操作。

优选地，所述进程信息包括进程名和进程路径。

优选地，所述获取进程名和进程路径的方式包括以下步骤：

扫描所述访问者的终端上与所述数据库的端口建立的网络连接，根据所述网络连接中与所述数据库的端口相对应的进程信息，获取连接到所述数据库的端口的进程号；

根据所述进程号查看所述进程号所对应的进程名；

根据所述进程名获得所述进程路径。

优选地，所述安全控制操作包括以下两项中的至少一项：

发出告警提示；

执行预设的安全操作。

优选地，所述发出告警提示包括：

在所述数据库的终端上显示告警界面；

向所述数据库管理人员发出短信通知；

向数据库管理人员所操纵的设备发出电子邮件通知。

优选地，所述执行预设的安全操作包括：

关闭所述访问者与所述数据库的网络连接；

结束所述访问者对所述数据库的操作。

根据本发明的第二个方面，提供了一种数据库访问控制装置，该装置包括：

网络连接信息获取单元，用于查看当前已经登陆数据库的访问者的网络连接信息；

进程信息获取单元，用于获取与所述数据库的端口建立网络连接的访问者所使用的进程信息；

进程规则判断单元，用于判断所述进程信息是否符合针对所述访问者预先设定的进程访问规则；

第一安全操作单元，用于当判定所述进程信息不符合针对所述访问者预先设定的进程访问规则时，执行针对所述访问者的安全控制操作。

优选地，所述网络连接信息包括所述访问者的终端IP地址，该装置还包括：

IP地址规则判断单元，用于判断所述终端IP地址是否符合针对所述访问者预先设定的IP地址访问规则；

第二安全操作单元，用于当判定所述终端IP地址不符合针对所述访问者预先设定的IP地址访问规则，则执行所述针对所述访问者的安全控制操作。

优选地，所述进程信息包括进程名和进程路径。

优选地，进程信息获取单元还包括：

进程号获取模块，用于扫描所述访问者的终端上与所述数据库的端口建立的网络连接，根据所述网络连接中与所述数据库的端口相对应的进程信息，获取连接到所述数据库的端口的进程号；

进程名获取模块，用于根据所述进程号查看所述进程号所对应的进程名；

进程路径获取模块，用于根据所述进程名获得所述进程路径。

在本发明所提供的数据库访问控制的方案中，根据当前已经登陆数据库的访问者的网络连接信息，进一步获取与数据库的端口建立网络连接的访问者所使用的进程信息，根据预先设定的进程访问规则，判断该进程信息是否符合针对该访问者设定的进程访问规则，在不符合该规则的情况下，执行下一步安全控制操作。从而，能够将对数据库的访问控制精确地控制到应用程序的进程级别，防止非法的应用程序进程利用合法账号进行账号复用以访问数据库，增强了对数据库访问控制，由此提高了数据库的安全性。

在另一个实施例中，还可以增加对访问者所使用的终端IP地址进行检查，从而防止非法的应用程序进程利用合法账号和合法的终端进行数据库访问。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

构成说明书的一部分的附图描述了本发明的实施例，并且连同说明书一起用于解释本发明的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本发明，其中：

图1是示出根据本发明实施例的数据库访问控制方法的流程示意图；

图2示出根据本发明实施例的数据库访问控制装置的结构示意图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

以下实施例中以Oracle数据库为例描述本发明提供的数据库访问控制的方法、装置和实施例。但本领域技术人员应该明白，本发明的方法和装置也适用于其他数据库。

同时，本领域技术人员应该知道访问者所使用的终端可以运行在Windows操作系统上，也可以运行在其他操作系统上，对于不同的操作系统可能使用不同的网络命令。

数据库访问控制的方法

参考图1所示，该图为本发明提供的数据库访问控制的方法实施例的流程示意图，下面详细介绍该方法实施例的步骤。

步骤101，查看当前已经登陆数据库的访问者的网络连接信息。

为使应用程序能够访问数据库，通常数据库为各应用程序建立了不同账号，例如用户名和密码，供应用程序与数据库建立网络连接并登录数据库。查看当前已经登录数据库的访问者，可以获得当前已经登陆数据库的访问者的网络连接信息。

查看登录数据库的访问者的网络连接信息为本领域技术人员所熟知的，具体以Oracle数据库为例，通过以下方式获取登录的访问者建立网络连接所使用的账户名信息：

SELECT sys_context(′USERENV′，′SESSION_USER′)FROMDUAL。执行上述命令后，将获得访问者登录使用的账号名′USERENV′。

在另一种优选的实施方式中，还可以网络连接信息还可以包括访问者使用的终端IP地址，可以通过以下方法获取网络连接信息中访问者的终端所使用的IP地址：

SELECT sys_context(′USERENV′，′IP_ADDRESS′)FROMDUAL。执行上述命令后，将获得账号名′USERENV′所对应的IP地址信息。

查看已登录数据库的访问者的网络连接可以根据不同的需要进行周期性的查看。例如，第一次查看所有已登录数据库的访问者的网络连接，并针对每一个访问者进行后续的进程信息合法性判定。此后，可以在预定的时间间隔周期性地扫描数据库的访问者登录信息，对比上一次扫描结果，针对新的访问者进行后续的进程信息合法性判定。

步骤102，获取与数据库的端口建立网络连接的访问者所使用的进程信息。

进程是操作系统为正在执行的应用程序分配资源的实体单位。访问者与数据库建立连接所使用的应用程序对应于一个进程。

与数据库的端口建立网络连接的访问者所使用的进程信息可以包括多种，例如进程的进程号，也可以是进程路径。因此，根据网络连接信息中与数据库端口对应的不同进程信息，可以由不同的方法来获得访问者登陆数据库时所使用的进程的进程信息。

以进程信息包括进程名和进程路径为例，以下介绍一种优选的实施方式。

通常来说，数据库与访问者应用程序进程之间建立网络连接，网络连接包含端口信息。数据库所使用的端口可以是公认端口(Wellknown)也可以是其他端口，可以通过扫描访问者的终端上的网络连接，获得网络连接与数据库的端口建立网络连接的访问者所使用的进程信息。

以访问者的终端运行在Windows操作系统为例，在访问者的终端上执行系统命令“netstat-a”，对于netsta命令来说，参数a显示了所有已经建立的网络连接，其中包含本地和远端(数据库端口)的端口，从而可以获取与数据库端口所建立的网络连接的本地端口。进一步，可以通过netstat-ano|findstr“<本地端口号>”命令查看该端口被哪一个本地进程所占用。具体地，参数o显示了建立该网络连接的本地进程的进程号，结合参数findstr“<本地端口号>”可以查看占用该本地端口的本地进程的进程号。

另外，也可以通过netstat-ano|findstr“<数据库端口>”命令直接查看与数据库端口建立连接的本地进程号。

根据上述描述，对于应用程序的进程运行在其他操作系统时，本领域技术人员应该知道针对不同操作系统的具体的实现方法，这里不再一一详述。

访问者使用的进程的进程信息中，进程号可能是进程在创建时分配的，因此可能还需要根据进程号查看进程号所对应的进程名。查看进程名的方法可以是不同的，例如通过执行tasklist|findstr“<进程号>”可以获得进程名，或者通过查看应用程序终端的操作系统的任务管理器，以进程号的方式显示出当前运行的进程，从而获得进程号所对应的进程名。

接下来，可以根据进程名获得进程路径，具体来说，可以执行命令：wmic process where″caption＝′进程名″′get commandline，从而获得进程名对应的进程路径。

步骤103，判断进程信息是否符合针对访问者预先设定的进程访问规则。

通过步骤102获得访问者所使用的进程信息后，根据针对访问者预先设定的进程访问规则，判断进程信息是否符合针对访问者预先设定的进程访问规则。例如，一条预先设定的规则具体可以是：

账号A--(进程名，进程路径)

在前述另一种优选的实施例中，查看获得当前已经登陆数据库的访问者的网络连接信息中还包括访问者的终端IP地址，因此还可以进一步判断终端IP地址是否符合针对该访问者预先设定的IP地址访问规则，例如，一条预先设定的规则具体可以是：

账号A--(IP地址，进程名，进程路径)

步骤104，当判定进程信息不符合针对访问者预先设定的进程访问规则，则执行针对访问者的安全控制操作。

根据步骤103中的判断结果，当判定进程信息不符合针对访问者预先设定的进程访问规则，可以根据不同的需要，执行针对该访问者的安全控制操作。

类似地，当判定终端IP地址不符合针对访问者预先设定的IP地址访问规则，也可以执行针对该访问者的安全控制操作。

具体的安全控制操作可以包括发出告警提示和执行预设的安全操作中的至少一项。例如，可以仅发出告警提示或直接执行预设的安全操作，也可以发出告警提示的同时执行预设的安全操作。

发出告警提示的具体实现方式可以包括在数据库的终端上显示告警界面，也可以向数据库管理人员发出短信通知或者向数据库管理人员所操纵的设备发出邮件通知。

执行预设的安全操作可以是关闭该访问者与数据库的网络连接或者结束访问者对数据库的操作。

数据库访问控制的装置

参考图2所示，该图为本发明提供的数据库访问控制的装置实施例的结构示意图，下面详细介绍与上述数据库访问控制方法相对应的装置实施例。

该装置包括网络连接信息获取单元201、进程信息获取单元202、进程规则判断单元203和第一安全操作单元204。

网络连接信息获取单元201用于查看当前已经登陆数据库的访问者的网络连接信息。这些网络连接信息可以是登陆所使用的账户名。

进程信息获取单元202用于获取与数据库的端口建立网络连接的访问者所使用的进程信息。

进程信息包括进程名和进程路径。对应地，进程信息获取单元202具体可以包括进程号获取模块、进程名获取模块进程路径获取模块。

进程号获取模块用于扫描访问者的终端上与数据库的端口建立的网络连接，根据网络连接中与数据库的端口相对应的进程信息，获取连接到数据库的端口的进程号。

进程名获取模块用于进程号查看所述进程号所对应的进程名。

进程路径获取模块用于进程名获得进程路径。

进程规则判断单元203根据当前已经登陆数据库的访问者的网络连接信息以及与数据库的端口建立网络连接的访问者所使用的进程信息，判断进程信息是否符合针对访问者预先设定的进程访问规则。

第一安全操作单元204用于当判定进程信息不符合针对访问者预先设定的进程访问规则时，执行针对访问者的安全控制操作。

在另一种实施例中，网络连接信息还可以包括访问者的终端IP地址，该装置还可以进一步包括IP地址规则判断单元和第二安全操作单元。

IP地址规则判断单元用于判断终端IP地址是否符合针对访问者预先设定的IP地址访问规则。

第二安全操作单元用于当判定终端IP地址不符合针对访问者预先设定的IP地址访问规则，则执行针对访问者的安全控制操作。

至此，已经详细描述了根据本发明实施例的一种数据库访问控制方法和装置。为了避免遮蔽本发明的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。

可能以许多方式来实现本发明的方法、系统和设备。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于所述方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims (11)

1.一种数据库访问控制方法，其特征在于，该方法包括：

查看当前已经登陆数据库的访问者的网络连接信息；

获取与所述数据库的端口建立网络连接的访问者所使用的进程信息；

判断所述进程信息是否符合针对所述访问者预先设定的进程访问规则；

当判定所述进程信息不符合针对所述访问者预先设定的进程访问规则时，执行针对所述访问者的安全控制操作。

2.根据权利要求1所述的方法，其特征在于，所述网络连接信息包括所述访问者的终端IP地址，该方法还包括：

判断所述终端IP地址是否符合针对所述访问者预先设定的IP地址访问规则；

当判定所述终端IP地址不符合针对所述访问者预先设定的IP地址访问规则时，执行所述针对所述访问者的安全控制操作。

3.根据权利要求1所述的方法，其特征在于，所述进程信息包括进程名和进程路径。

4.根据权利要求3所述的方法，其特征在于，所述获取进程名和进程路径的方式包括以下步骤：

扫描所述访问者的终端上与所述数据库的端口建立的网络连接，根据所述网络连接中与所述数据库的端口相对应的进程信息，获取连接到所述数据库的端口的进程号；

根据所述进程号查看所述进程号所对应的进程名；

根据所述进程名获得所述进程路径。

5.根据权利要求1所述的方法，其特征在于，所述安全控制操作包括以下两项中的至少一项：

发出告警提示；

执行预设的安全操作。

6.根据权利要求5所述的方法，其特征在于，所述发出告警提示包括：

在所述数据库的终端上显示告警界面；

向所述数据库管理人员发出短信通知；

向数据库管理人员所操纵的设备发出电子邮件通知。

7.根据权利要求5所述的方法，其特征在于，所述执行预设的安全操作包括：

关闭所述访问者与所述数据库的网络连接；

结束所述访问者对所述数据库的操作。

8.一种数据库访问控制装置，其特征在于，该装置包括：

网络连接信息获取单元，用于查看当前已经登陆数据库的访问者的网络连接信息；

进程信息获取单元，用于获取与所述数据库的端口建立网络连接的访问者所使用的进程信息；

进程规则判断单元，用于判断所述进程信息是否符合针对所述访问者预先设定的进程访问规则；

第一安全操作单元，用于当判定所述进程信息不符合针对所述访问者预先设定的进程访问规则时，执行针对所述访问者的安全控制操作。

9.根据权利要求8所述的装置，其特征在于，所述网络连接信息包括所述访问者的终端IP地址，该装置还包括：

IP地址规则判断单元，用于判断所述终端IP地址是否符合针对所述访问者预先设定的IP地址访问规则；

第二安全操作单元，用于当判定所述终端IP地址不符合针对所述访问者预先设定的IP地址访问规则，则执行所述针对所述访问者的安全控制操作。

10.根据权利要求8所述的装置，其特征在于，所述进程信息包括进程名和进程路径。

11.根据权利要求10所述的装置，其特征在于，所述进程信息获取单元包括：

进程号获取模块，用于扫描所述访问者的终端上与所述数据库的端口建立的网络连接，根据所述网络连接中与所述数据库的端口相对应的进程信息，获取连接到所述数据库的端口的进程号；

进程名获取模块，用于根据所述进程号查看所述进程号所对应的进程名；

进程路径获取模块，用于根据所述进程名获得所述进程路径。

Images