数据库能力验证评估方法、装置、计算机设备及存储介质制造方法及图纸

本发明专利技术实施例公开了数据库能力验证评估方法、装置、计算机设备及存储介质。方法包括：部署数据库安全防护能力验证评估工具；利用评估工具联动已有安全防护措施；探测数据库资产，并梳理数据库资产，以得到梳理结果；根据梳理结果计算安全防护措施预期响应，以得到预期响应风险值集；对数据库模拟攻击，以得到模拟结果；根据模拟结果捕获安全防护措施真实响应，以得到真实响应数据集；比对预期响应与真实响应偏差，以得到比对结果；进行数据库安全防护能力的评估，以得到评估报表；输出评估报表。通过实施本发明专利技术实施例的方法可实现有效地发现当前安全防护措施的不足，为组织数据库系统安全建设提供支撑，提高组织的数据库系统安全防护水平。全防护水平。全防护水平。

【技术实现步骤摘要】
数据库能力验证评估方法、装置、计算机设备及存储介质


[0001]本专利技术涉及数据库，更具体地说是指数据库能力验证评估方法、装置、计算机设备及存储介质。

技术介绍

[0002]在网络系统类型中，数据库资产由于其敏感性受到黑客的青睐，黑客会想尽办法攻击数据库以得到数据库中保存的敏感数据，或者通过攻击数据库影响其他网络系统的正常运行，传统单一的渗透测试、漏洞扫描已经无法满足对数据库系统的安全评估工作。
[0003]因此，有必要设计一种新的方法，实现有效地发现当前安全防护措施的不足，为组织数据库系统安全建设提供支撑，提高组织的数据库系统安全防护水平。

技术实现思路

[0004]本专利技术的目的在于克服现有技术的缺陷，提供数据库能力验证评估方法、装置、计算机设备及存储介质。
[0005]为实现上述目的，本专利技术采用以下技术方案：数据库能力验证评估方法，包括：部署数据库安全防护能力验证评估工具；利用所述评估工具联动已有安全防护措施；探测数据库资产，并梳理所述数据库资产，以得到梳理结果；根据所述梳理结果计算安全防护措施预期响应，以得到预期响应风险值集；对数据库模拟攻击，以得到模拟结果；根据所述模拟结果捕获安全防护措施真实响应，以得到真实响应数据集；根据所述预期响应风险值集以及所述真实响应数据集比对预期响应与真实响应偏差，以得到比对结果；根据所述比对结果进行数据库安全防护能力的评估，以得到评估报表；输出所述评估报表。
[0006]其进一步技术方案为：所述数据库资产包括数据库系统信息、数据库网络信息、数据库凭证信息、使用数据库的相应业务应用信息、连接数据库的客户端软件信息、操作数据库的编程语言SDK信息。
[0007]其进一步技术方案为：所述探测数据库资产，并梳理所述数据库资产，以得到梳理结果，包括：探测数据库资产；梳理所述数据库资产，记录所述数据库资产的连接状态及网络信息，形成数据库连接标志集，以得到梳理结果。
[0008]其进一步技术方案为：所述根据所述梳理结果计算安全防护措施预期响应，以得到预期响应风险值集，包括：通过检测所述梳理结果与已有安全防护设备及策略集的连通性，判断所述梳理结
果是否在所述安全防护设备及策略的保护范围内，以得到所述梳理结果与已有安全防护设备及策略集的连通链路；抽取安全防护能力验证剧本中的攻击载荷，以得到抽取结果；将所述抽取结果以及所述梳理结果与已有安全防护设备及策略集的连通链路计算数据库资产在应用业务、数据库自身、数据库运维的预期响应风险值集合，以得到预期响应风险值集。
[0009]其进一步技术方案为：所述对数据库模拟攻击，以得到模拟结果，包括：根据所述数据库连接标志集、所述安全防护能力验证剧本，模拟攻击时间间隔集，计算对每个数据库资产的攻击序列，以生成模拟攻击序列优先级集；针对模拟攻击序列优先级集、所述安全防护能力验证剧本，依次对组织内的每个数据库资产进行通过所述安全防护能力验证剧本进行模拟攻击，并生成模拟攻击标志集，以得到模拟结果。
[0010]其进一步技术方案为：所述根据所述预期响应风险值集以及所述真实响应数据集比对预期响应与真实响应偏差，以得到比对结果，包括：确定所述预期响应风险值集以及所述真实响应数据集之间是否存在交集，以得到比对结果。
[0011]其进一步技术方案为：所述根据所述比对结果进行数据库安全防护能力的评估，以得到评估报表，包括：根据所述比对结果从业务、运维、网络层面进行数据库安全防护能力的评估，以得到评估报表。
[0012]本专利技术还提供了数据库能力验证评估装置，包括：部署单元，用于部署数据库安全防护能力验证评估工具；联动单元，用于利用所述评估工具联动已有安全防护措施；资产处理单元，用于探测数据库资产，并梳理所述数据库资产，以得到梳理结果；风险值计算单元，用于根据所述梳理结果计算安全防护措施预期响应，以得到预期响应风险值集；攻击单元，用于对数据库模拟攻击，以得到模拟结果；捕获单元，用于根据所述模拟结果捕获安全防护措施真实响应，以得到真实响应数据集；比对单元，用于根据所述预期响应风险值集以及所述真实响应数据集比对预期响应与真实响应偏差，以得到比对结果；评估单元，用于根据所述比对结果进行数据库安全防护能力的评估，以得到评估报表；输出单元，用于输出所述评估报表。
[0013]本专利技术还提供了一种计算机设备，所述计算机设备包括存储器及处理器，所述存储器上存储有计算机程序，所述处理器执行所述计算机程序时实现上述的方法。
[0014]本专利技术还提供了一种存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法。
[0015]本专利技术与现有技术相比的有益效果是：本专利技术通过使用BAS技术对组织内部数据
库资产进行自动化编排、自动化链路构建、自动化执行的验证剧本入侵和攻击模拟，从而发现数据库资产在业务、系统自身、运维等多个层面的安全防护缺陷。该方法能够实现对数据库资产的持续、全方位的安全评估，实现有效地发现当前安全防护措施的不足，为组织数据库系统安全建设提供支撑，提高组织的数据库系统安全防护水平。
[0016]下面结合附图和具体实施例对本专利技术作进一步描述。
附图说明
[0017]为了更清楚地说明本专利技术实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0018]图1为本专利技术实施例提供的数据库能力验证评估方法的应用场景示意图；图2为本专利技术实施例提供的数据库能力验证评估方法的流程示意图；图3为本专利技术实施例提供的数据库能力验证评估方法的子流程示意图；图4为本专利技术实施例提供的数据库能力验证评估方法的子流程示意图；图5为本专利技术实施例提供的数据库能力验证评估方法的子流程示意图；图6为本专利技术实施例提供的数据库能力验证评估装置的示意性框图；图7为本专利技术实施例提供的数据库能力验证评估装置的资产处理单元的示意性框图；图8为本专利技术实施例提供的数据库能力验证评估装置的风险值计算单元的示意性框图；图9为本专利技术实施例提供的数据库能力验证评估装置的攻击单元的示意性框图；图10为本专利技术实施例提供的计算机设备的示意性框图。
具体实施方式
[0019]下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。
[0020]应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和
ꢀ“
包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。
[0021]还应当理解，在此本专利技术说明书中所使用的术语仅仅是出于描述特本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.数据库能力验证评估方法，其特征在于，包括：部署数据库安全防护能力验证评估工具；利用所述评估工具联动已有安全防护措施；探测数据库资产，并梳理所述数据库资产，以得到梳理结果；根据所述梳理结果计算安全防护措施预期响应，以得到预期响应风险值集；对数据库模拟攻击，以得到模拟结果；根据所述模拟结果捕获安全防护措施真实响应，以得到真实响应数据集；根据所述预期响应风险值集以及所述真实响应数据集比对预期响应与真实响应偏差，以得到比对结果；根据所述比对结果进行数据库安全防护能力的评估，以得到评估报表；输出所述评估报表。2.根据权利要求1所述的数据库能力验证评估方法，其特征在于，所述数据库资产包括数据库系统信息、数据库网络信息、数据库凭证信息、使用数据库的相应业务应用信息、连接数据库的客户端软件信息、操作数据库的编程语言SDK信息。3.根据权利要求2所述的数据库能力验证评估方法，其特征在于，所述探测数据库资产，并梳理所述数据库资产，以得到梳理结果，包括：探测数据库资产；梳理所述数据库资产，记录所述数据库资产的连接状态及网络信息，形成数据库连接标志集，以得到梳理结果。4.根据权利要求1所述的数据库能力验证评估方法，其特征在于，所述根据所述梳理结果计算安全防护措施预期响应，以得到预期响应风险值集，包括：通过检测所述梳理结果与已有安全防护设备及策略集的连通性，判断所述梳理结果是否在所述安全防护设备及策略的保护范围内，以得到所述梳理结果与已有安全防护设备及策略集的连通链路；抽取安全防护能力验证剧本中的攻击载荷，以得到抽取结果；将所述抽取结果以及所述梳理结果与已有安全防护设备及策略集的连通链路计算数据库资产在应用业务、数据库自身、数据库运维的预期响应风险值集合，以得到预期响应风险值集。5.根据权利要求1所述的数据库能力验证评估方法，其特征在于，所述对数据库模拟攻击，以得到模拟结果，包括：根据所述数据库连接标志集、所述安全防护能力验证剧本，模拟攻击时间间...

【专利技术属性】
技术研发人员：柳遵梁，覃锦端，王月兵，周杰，闻建霞，刘聪，毛菲，
申请(专利权)人：杭州美创科技股份有限公司，
类型：发明
国别省市：