数据库自主安全防护技术的研究与实现

拦截主要通过HOOK API技术实现，可以拦截的操作包括DOS下的中断、Windows中的API调用、中断服务、IFS和NDIS过滤等。目前微软提供了一个实现HOOK的函数库Detours。其实现原理是：将目标函数的前几个字节改为jmp指令跳转到自己的函数地址，以此接管对目标函数的调用，并插入自己的处理代码。
　HOOK API技术的实质是改变程序流程。在CPU的指令集中,能够改变程序流程的指令包括JMP、CALL、INT、RET、RETF、IRET等。理论上只要改变API入口和出口的任何机器码，都可以实现HOOK。但实际实现上要复杂得多,主要需要考虑如何处理好以下问题：(1)CPU指令长度。在32 bit系统中,一条JMP/CALL指令的长度是5 B，因此只需要替换API中入口处的前5 B的内容，否则会产生不可预料的后果。(2)参数。为了访问原API的参数，需要通过EBP或ESP来引用参数，因此需要明确HOOK代码中此时的EBP/ESP的值。(3)时机问题。有些HOOK必须在API的开头，如CreateFileA( )。有些必须在API的尾部，如RECV()。(4)程序上下文内容的保存。在程序执行中会涉及修改系统栈的内容，因此注意保存栈中原有内容，以便还原。(5)在HOOK代码里尽量杜绝全局变量的使用，以降低程序之间的耦合性。通过以上的分析，整理出如图4所示的实现的流程。

　DSS与传统数据库的安全防护功能相比，具有以下特点：
　(1)独立于具体的数据库。这种独立性体现在：①DSS只需要数据库提供其接口信息即可工作。②支持不同标准的SQL语句，通过数据库命令映射表可将非标准的SQL语句映射为系统设置的SQL命令。③系统自身数据的物理存储是独立于数据库的。
(2)灵活性和针对性的统一。用户可以根据自己的需要配置针对特定应用的相关规则。
(3)完善的自我安全保护措施。DSS只有数据库安全管理员和安全审计员才能访问。安全管理员和安全审计员是一类特殊的用户，他们只负责安全方面的操作，而不能访问数据库中的数据。这与Oracle等的数据库不同,在这些数据库中，DBA可以进行所有的操作。DSS系统本身具有故障恢复能力，能使系统出现问题时恢复到一个安全的状态。
　(4)完备的信息查阅和报警功能。在DSS中，本文提供了便利的设计查阅工具，方便用户对系统进行监控。另外，用户也可以自己定义报警条件和报警处理措施，一旦满足报警条件，系统就会自动地做出响应。
3 实验及结果分析
　DSS的开发主要采用VS 2005实现,开发完成后在一台主频为2.8 GHz、内存2 GB、装有Windows 2000操作系统的普通 PC机上对其进行了功能和性能的测试，使用的数据库是开源的嵌入式数据库SQLite 3.6。为了搭建测试环境，需要在SQLite中添加初始化系统自身的数据字典，并开发应用程序。测试内容包括：登录、用户管理、Sensor、访问控制、日志审计以及增加DSS前后数据库系统安全性变化等功能性测试和增加DSS系统后对数据库性能的影响两方面。其中，性能测试主要从时间和资源的增加情况来说明，针对不同数据库对象分别在五个级别(20 000、40 000、60 000、80 000、100 000)的数据上进行了插入和查询操作测试。为了做好性能对比，在SQLite中也添加了相同的访问控制功能,记为Inline Processing。插入操作的测试结果如图5所示,查询操作的测试结果如图6所示。

从功能测试结果可以看出，DSS可以为数据库系统提供自主防护。从性能测试的结果中看出，查询操作和插入操作耗时相差比较大，这主要是SQLite工作方式引起的，在执行用户的插入操作时，数据库需将内存中的数据写入磁盘数据库文件中，占用了一部分时间。而查询时，SQLite会将数据库文件部分内容缓存起来，加快了查询的速度。另外,增加DSS会对性能有略微的影响，但是它能实现对数据库系统自主保护。
本文针对传统数据库安全防护功能配置不灵活的问题，提出了一种基于HOOK技术的数据库通用安全防护系统。该系统的最大优点在于，它不受数据库自身的约束，完全独立于数据库系统，为用户提供一种按需定制的功能，不仅增加了安防配置的灵活性而且提高了通用性，可以用于不同的数据库系统中。