一种基于访问标记的安全数据库审计方法

统安全等因素,设置角色集合R=(r₁, r₂, r_3, …, r_n),并分别为每个角色配置权限和相关属性。对于基于角色的标记,可操作类型权限设置为一维向量q,分别用0和1来标记是否拥有对应权限,q=(v_DQ, v_DM, v_TC, v_DD, v_DC, v_UD)。同时可操作数据范围设置为二元组,分别对应可操作数据库和对应可操作数据表一维向量(db,  ,
其中  ,  为用户自定义操作

授权,可定义并控制用户数据操作的时间、频次和操作请求的IP地址等。

可操作数据范围设置为三维向量,分别对应可操作数据库、可操作数据表和可操作数据字段,共同构成三元组(db, table,  ,系统默认进行n = rand(1,9)次

初等行变换,获得初始加密矩阵E_n = P₁P₂…P_nE,由于对可逆矩阵进行了有限次的初等行变换,可确保E_n为可逆矩阵,通过可逆矩阵可计算获得解密矩阵D_n = E_n^-1。

2）权限申请合法性验证。用户需要在访问标记初始化阶段获得的授权范围内申请操作权限凭证,并提交可操作类型矩阵T_{U_OP}与可操作数据范围矩阵T_{U_FIELD},并提供应用签名sign。审计系统通过e₂(u_id,sign),获得应用签名的授权矩阵T_OP和T_FIELD。系统为验证用户权限申请的合法性,对权限向量进行离散运算。首先分别对用户权限矩阵T_{U_OP}、T_{U_FIELD}和授权矩阵T_OP、T_FIELD进行拼接,未对齐的部分用0进行填充,构成权限矩阵T_UM和签名授权矩阵T_SM,将矩阵T_SM划分为列向量T_SM={t₁,t₂,t₃,...,t_n},所有列向量进行f = t⊙0运算,记录每个一维向量f中为1的行,并对权限矩阵T_UM按列向量划分为T_UM={m₁,m₂,m₃,...,m_n},根据f向量统计的行数,将T_UM矩阵列向量m_i中的非1行置为0,并以此进行r= m_i⊙1运算,最后判断r是否为0,即可完成权限申请的合法性验证。

3）访问凭证字符串生成。将授权矩阵T_OP和T_FIELD进行按列向量合并高阶矩阵：

A_u = spite(T_OP, T_FIELD)

未对齐的部分补0填充,并对授权矩阵A_u进行基于Arnold变换的矩阵加密。对高阶矩阵建立坐标,将矩阵中每一个位置的元素(x, y)通过运算  解
密后获得授权矩阵T_SM。

将矩阵T_SM划分为列向量T_SM={t₁,t₂,t₃,...,t_n},所有列向量进行f = t⊙0运算,记录向量f中为1的行号,并对权限矩阵T_UM按行向量划分为T_UM={m₁,m₂,m₃,...,m_n},根据f向量统计的行数,将T_UM矩阵列向量m_i中的非1行置为0,并进行r= m_i⊙1运算,最后判断r是否为0,即可完成权限审计。

 3 安全性及性能分析

本文提出的基于访问标记的安全数据库审计方法,通过两种访问标记方法来实时审计用户的操作权限,确保系统的安全性。

对于普通数据,利用基于角色权限的标记方法,通过粗粒度的权限划分,将角色与一维向量q形成映射关系,在权限审计环节,通过一次离散运算f = t⊙0即可验证用户权限的合法性,确保在可控的系统开销范围内,防止用户越权访问。

对于高安全级别的数据,利用基于访问凭证的标记方法,通过细粒度的权限划分和双重访问标记方法,可以确保用户只能获取必须的操作权限。安全性分析如下：通过用户映射e(role)→T_SM,再根据矩阵T_SM中的字段,检测用户是否拥有高级权限,进行基于访问凭证标记的审计,进一步加强了高安全级别数据的安全保护级别,同时很好地防止外部用户的非法入侵。同时每个用户拥有特定的加密矩阵E_n和访问凭证字符串加密密钥U_key,保证访问凭证各个生命周期的安全性。每个用户拥有不同的矩阵加密密钥,使用对称加密的方法确保审计系统的安全性。

在性能方面,对于基于角色的标记方法,只需验证一个一维的可操作类型矩阵q的合法性和对应二元组图3 系统在不同用户量下执行数据库操作时审计模块的性能实验结果Fig. 3 The performance experimental results of the audit module under different user quantities

 5 结语

本文提出了一种基于访问凭证的安全数据库审计方法。从实验分析结果可以看出,应用本文方法的可显著提高事前防范的安全级别。在本文提出的数据库审计方法中提供了两种访问标记方法,根据数据的安全级别,将系统权限进行不同级别的划分,降低高安全级别数据受破坏或泄露的安全风险。同时通过设置凭证申请接口机制,将权限审计的系统压力转移到数据操作请求之前,并进一步降低了细粒度权限矩阵的复杂度,提高了权限审计的效率。相比于传统的数据库审计系统,在可控的系统开销范围内,本文方案提供了一种安全、高效的细粒度实时权限审计,具有较好的安全性和实用性。