數據庫自主安全防護技術(shù)的研究與實(shí)現

攔截主要通過(guò)HOOK API技術(shù)實(shí)現，可以攔截的操作包括DOS下的中斷、Windows中的API調用、中斷服務(wù)、IFS和NDIS過(guò)濾等。目前微軟提供了一個(gè)實(shí)現HOOK的函數庫Detours。其實(shí)現原理是：將目標函數的前幾個(gè)字節改為jmp指令跳轉到自己的函數地址，以此接管對目標函數的調用，并插入自己的處理代碼。
　HOOK API技術(shù)的實(shí)質(zhì)是改變程序流程。在CPU的指令集中,能夠改變程序流程的指令包括JMP、CALL、INT、RET、RETF、IRET等。理論上只要改變API入口和出口的任何機器碼，都可以實(shí)現HOOK。但實(shí)際實(shí)現上要復雜得多,主要需要考慮如何處理好以下問(wèn)題：(1)CPU指令長(cháng)度。在32 bit系統中,一條JMP/CALL指令的長(cháng)度是5 B，因此只需要替換API中入口處的前5 B的內容，否則會(huì )產(chǎn)生不可預料的后果。(2)參數。為了訪(fǎng)問(wèn)原API的參數，需要通過(guò)EBP或ESP來(lái)引用參數，因此需要明確HOOK代碼中此時(shí)的EBP/ESP的值。(3)時(shí)機問(wèn)題。有些HOOK必須在A(yíng)PI的開(kāi)頭，如CreateFileA( )。有些必須在A(yíng)PI的尾部，如RECV()。(4)程序上下文內容的保存。在程序執行中會(huì )涉及修改系統棧的內容，因此注意保存棧中原有內容，以便還原。(5)在HOOK代碼里盡量杜絕全局變量的使用，以降低程序之間的耦合性。通過(guò)以上的分析，整理出如圖4所示的實(shí)現的流程。

　DSS與傳統數據庫的安全防護功能相比，具有以下特點(diǎn)：
　(1)獨立于具體的數據庫。這種獨立性體現在：①DSS只需要數據庫提供其接口信息即可工作。②支持不同標準的SQL語(yǔ)句，通過(guò)數據庫命令映射表可將非標準的SQL語(yǔ)句映射為系統設置的SQL命令。③系統自身數據的物理存儲是獨立于數據庫的。
(2)靈活性和針對性的統一。用戶(hù)可以根據自己的需要配置針對特定應用的相關(guān)規則。
(3)完善的自我安全保護措施。DSS只有數據庫安全管理員和安全審計員才能訪(fǎng)問(wèn)。安全管理員和安全審計員是一類(lèi)特殊的用戶(hù)，他們只負責安全方面的操作，而不能訪(fǎng)問(wèn)數據庫中的數據。這與Oracle等的數據庫不同,在這些數據庫中，DBA可以進(jìn)行所有的操作。DSS系統本身具有故障恢復能力，能使系統出現問(wèn)題時(shí)恢復到一個(gè)安全的狀態(tài)。
　(4)完備的信息查閱和報警功能。在DSS中，本文提供了便利的設計查閱工具，方便用戶(hù)對系統進(jìn)行監控。另外，用戶(hù)也可以自己定義報警條件和報警處理措施，一旦滿(mǎn)足報警條件，系統就會(huì )自動(dòng)地做出響應。
3 實(shí)驗及結果分析
　DSS的開(kāi)發(fā)主要采用VS 2005實(shí)現,開(kāi)發(fā)完成后在一臺主頻為2.8 GHz、內存2 GB、裝有Windows 2000操作系統的普通 PC機上對其進(jìn)行了功能和性能的測試，使用的數據庫是開(kāi)源的嵌入式數據庫SQLite 3.6。為了搭建測試環(huán)境，需要在SQLite中添加初始化系統自身的數據字典，并開(kāi)發(fā)應用程序。測試內容包括：登錄、用戶(hù)管理、Sensor、訪(fǎng)問(wèn)控制、日志審計以及增加DSS前后數據庫系統安全性變化等功能性測試和增加DSS系統后對數據庫性能的影響兩方面。其中，性能測試主要從時(shí)間和資源的增加情況來(lái)說(shuō)明，針對不同數據庫對象分別在五個(gè)級別(20 000、40 000、60 000、80 000、100 000)的數據上進(jìn)行了插入和查詢(xún)操作測試。為了做好性能對比，在SQLite中也添加了相同的訪(fǎng)問(wèn)控制功能,記為Inline Processing。插入操作的測試結果如圖5所示,查詢(xún)操作的測試結果如圖6所示。

從功能測試結果可以看出，DSS可以為數據庫系統提供自主防護。從性能測試的結果中看出，查詢(xún)操作和插入操作耗時(shí)相差比較大，這主要是SQLite工作方式引起的，在執行用戶(hù)的插入操作時(shí)，數據庫需將內存中的數據寫(xiě)入磁盤(pán)數據庫文件中，占用了一部分時(shí)間。而查詢(xún)時(shí)，SQLite會(huì )將數據庫文件部分內容緩存起來(lái)，加快了查詢(xún)的速度。另外,增加DSS會(huì )對性能有略微的影響，但是它能實(shí)現對數據庫系統自主保護。
本文針對傳統數據庫安全防護功能配置不靈活的問(wèn)題，提出了一種基于HOOK技術(shù)的數據庫通用安全防護系統。該系統的最大優(yōu)點(diǎn)在于，它不受數據庫自身的約束，完全獨立于數據庫系統，為用戶(hù)提供一種按需定制的功能，不僅增加了安防配置的靈活性而且提高了通用性，可以用于不同的數據庫系統中。