首页 / 日志 / 数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好

数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含6718字，纯文字阅读大概需要10分钟。

内容图文

一种数据库拖库行为的检测方法、装置及电子设备制造方法及图纸

技术编号：22076518阅读：181留言：0更新日期：2019-09-12 14:24 本发明专利技术实施例提供了一种数据库拖库行为的检测方法、装置及电子设备。首先，获取待检测数据库的审计日志；从审计日志中，获取用户对待检测数据库的操作行为数据；最后，将操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库检测结果。由于操作行为数据是根据审计日志中记录的用户的操作行为动态获得的，其中包括：预设的与拖库行为相关的操作行为的统计数据，因此将其与用户行为基线的比较结果作为检测依据，能够获得数据库拖库行为检测结果，减少误报、提高数据库拖库行为检测的准确率。

A Detection Method, Device and Electronic Equipment for Database Drag Behavior

全部详细技术资料下载

【技术实现步骤摘要】
一种数据库拖库行为的检测方法、装置及电子设备
本专利技术涉及网络安全
，特别是涉及一种数据库拖库行为的检测方法、装置及电子设备。
技术介绍
拖库，指攻击者入侵有价值的网络站点并窃取数据库的行为。目前，SQL注入是对互联网中的数据库进行拖库攻击的主要方式之一，攻击者利用SQL注入漏洞发起攻击，将容易触发SQL异常的代码写入SQL查询语句中，造成SQL所支持数据库的异常，以达到操作数据库、获取用户敏感信息的目的。因此，现有技术往往通过检测SQL注入的方法来进行拖库检测。具体的，由于攻击者会通过构造注释语句、“恒真”条件、使用连接符等方式进行SQL恶意注入，因而检测SQL注入时，根据预设规则对注释语句、恒真条件、连接符等进行正则匹配，根据匹配结果判断是否存在上述语句；若存在，则认为是恶意注入，存在拖库行为。但是，用户在正常使用的过程中，也可能使用注释语句、恒真条件或出现提交非法字符等误操作的情况，如果上述语句每出现一次都进行告警，就会导致大量误报，降低了检测的准确率。
技术实现思路
本专利技术实施例的目的在于提供一种数据库拖库行为的检测方法、装置及电子设备，以提高数据库拖库行为检测的准确率。具体技术方案如下：第一方面，本专利技术实施例提供了一种数据库拖库行为的检测方法，其特征在于，应用于服务器，所述方法包括：获取待检测数据库的审计日志；从所述审计日志中，获取用户对所述待检测数据库的操作行为数据；所述操作行为数据，包括：预设的与拖库行为相关的各种操作行为的统计数据；将所述操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库行为检测结果；所述用户行为基线，...

【技术保护点】
1.一种数据库拖库行为的检测方法，其特征在于，应用于服务器，所述方法包括：获取待检测数据库的审计日志；从所述审计日志中，获取用户对所述待检测数据库的操作行为数据；所述操作行为数据，包括：预设的与拖库行为相关的各种操作行为的统计数据；将所述操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库行为检测结果；所述用户行为基线，为：所述待检测数据库在未受到拖库攻击的状态下的操作行为数据。

【技术特征摘要】
1.一种数据库拖库行为的检测方法，其特征在于，应用于服务器，所述方法包括：获取待检测数据库的审计日志；从所述审计日志中，获取用户对所述待检测数据库的操作行为数据；所述操作行为数据，包括：预设的与拖库行为相关的各种操作行为的统计数据；将所述操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库行为检测结果；所述用户行为基线，为：所述待检测数据库在未受到拖库攻击的状态下的操作行为数据。2.根据权利要求1所述的方法，其特征在于，所述获取待检测数据库的审计日志的步骤，包括：获取待检测数据库在当前检测周期中生成的审计日志；所述从所述审计日志中，获取用户对所述待检测数据库的操作行为数据的步骤，包括：从所述待检测数据库在当前检测周期中生成的审计日志中，获取用户在当前检测周期内对所述待检测数据库的操作行为数据；所述用户行为基线，为：用户在上一个检测周期中，对处于未受到拖库攻击状态下的所述待检测数据库的操作行为数据。3.根据权利要求2所述的方法，其特征在于，所述从所述审计日志中，获取用户对所述待检测数据库的操作行为数据的步骤，包括：获取所述审计日志中的所有操作语句；按照预先构建的第一行为识别规则对所述所有操作语句进行语句匹配，识别出所述预设的与拖库行为相关的各种操作行为；对所述预设的与拖库行为相关的各种操作行为进行统计，获得用户对所述待检测数据库的操作行为数据。4.根据权利要求3所述的方法，其特征在于，所述预设的与拖库行为相关的各种操作行为，包括：寻找系统注入点、判断回显、数据库刺探、数据库数据导出和删除库或表操作；所述的操作行为数据，包括：注入次数、爆库次数、数据库数据导出操作次数和危险行为次数；所述对所述预设的与拖库行为相关的各种操作行为进行统计，获得用户对所述待检测数据库的操作行为数据的步骤，包括：统计寻找注入点和判断回显的操作的次数的和，作为注入次数；统计数据库刺探操作的次数，作为爆库次数；统计数据库数据导出操作次数；统计删除库或表的操作次数，作为危险行为次数。5.根据权利要求2所述的方法，其特征在于，所述操作行为数据，还包括：预设的各种正常操作行为的统计数据；所述从所述审计日志中，获取用户对所述待检测数据库的操作行为数据的步骤，包括：获取所述审计日志中的所有操作语句；按照预先构建的第二行为识别规则对所述所有操作语句进行语句匹配，识别出所述预设的与拖库行为相关的各种操作行为，和预设的各种正常操作行为；对所述预设的与拖库行为相关的各种操作行为和预设的各种正常操作行为进行统计，获得用户对所述待检测数据库的操作行为数据。6.根据权利要求5所述的方法，其特征在于，所述预设的与拖库行为相关的各种操作行为，包括：寻找系统注入点、判断回显、数据库刺探、数据库数据导出和删除库或表操作；所述预设的各种正常操作行为包括：查询操作；所述的操作行为数据，包括：注入次数、爆库次数、数据库数据导出操作次数、危险行为次数和正常操作次数；所述对所述预设的与拖库行为相关的各种操作行为进行统计，获得用户对所述待检测数据库的操作行为数据的步骤，包括：统计寻找注入点和判断回显的操作的次数的和，作为注入次数；统计数据库刺探操作的次数，作为爆库次数；统计数据库数据导出操作次数；统计删除库或表的操作次数，作为危险行为次数；统计查询操作的次数，作为正常操作次数。7.根据权利要求2所述的方法，其特征在于，在所述将所述操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库行为检测结果的步骤之后，还包括：如果检测结果为所述待检测数据库未受到拖库攻击，则保存所述待检测数据库在当前检测周期的操作行为数据，作为下一检测周期的用户行为基线。8.根据权利要求1所述的方法，其特征在于，将所述操作行为数据和预先创建的用户行为基线进行比较，获得数据库拖库检测结果的步骤，包括：计算所述操作行为数据和预先创建的用户行为基线之间的偏离度；根据偏离度的计算结果，判断所述待检测数据库是否受到拖库攻击。9.根据权利要求8所述的方法，其特征在于，所述根据偏离度的计算结果，判断所述待检测数据库是否受到拖库攻击的步骤，包括：如果所述偏离度小于预设阈值，则所述待检测数据库被判断为未受到拖库攻击；如果所述偏离度大于预设阈值，则所述待检测数据库被判断为受到拖库攻击。10.根据权利要求8所述的方法，其特征在于，所述偏离度，采用如下公式计算得到：其中，n表示所述操作行为数据和所述用户行为基线的数据维度，Xi为所述用户行为基线中的第i维数据，Yi为所述操作行为数据中的第i维数据。11.一种数据库拖库行为的检测装置，其特征在于，应用于服务器，所述装置包括：日志获取模块，用于获取待检测数据库的审计日志；...

【专利技术属性】
技术研发人员：王巍巍，
申请(专利权)人：北京奇艺世纪科技有限公司，
类型：发明
国别省市：北京,11

数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好

标签：存在研发专利技术 data 阅读导出就会条件 http

本文系统来源：https://www.cnblogs.com/bonelee/p/12499106.html

内容总结

以上是互联网集市为您收集整理的数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好全部内容，希望文章能够帮你解决数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/520282.html

来源：【匿名】

【上一篇】MySQL 的慢查询日志【下一篇】php错误日志怎么看

更多 ►

【数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好】教程文章相关的互联网学习教程文章

SQL数据库日志已满解决方法

当前的解决方法是：把硬盘上的其他文件删除，以空出硬盘空间，将数据库的日志文件大小改成无限制，然后分离数据库，要确保分离成功，、然后把数据库日志文件删除（最好是先改名，以防万一）。再附加数据库，这样会重建日志文件。加回去之后，将数据库改成自动收缩，把日志文件改成按mb增长，增长最大设为一个固定的值，值的大小看数据处理情况，存在大指的update操作的话，应设为大一点。在查询分析器上操作：清空日志 DUMP TRA...

Mysql数据库理论基础之十一 ---- 日志管理

一、简介由MySQL AB公司开发，是最流行的开放源码SQL数据库管理系统，主要特点：1、是一种数据库管理系统2、是一种关联数据库管理系统3、是一种开放源码软件，且有大量可用的共享MySQL软件4、MySQL数据库服务器具有快速、可靠和易于使用的特点5、MySQL服务器工作在客户端/服务器模式下，或嵌入式系统中InnoDB存储引擎将InnoDB表保存在一个表空间内，该表空间可由数个文件创建。这样，表的大小就能超过单独文件的最大容量。表空间可...

SQL Server 检测到基于一致性的逻辑 I/O 错误 pageid不正确、数据库日志文件丢失

客户名称：深圳某科技信息有限公司数据库类型：sql2000数据库大小：20g故障经过电脑突然断电，软件就显示某数据库错误，无法连接，打开企业管理器，显示数据库质疑，DBCC查询显示“ SQL Server 检测到基于一致性的逻辑 I/O 错误 pageid不正确、数据库日志文件丢失”。处理经过客户找到我们，然后我们让客户把数据库压缩发给我们，首先我们先对数据进行检测分析，确定是“ I/O 错误 ”，然后我们就开始用我们的修复工具对数据进 ...

sql-server的添加数据库文件（日志数据）以及收缩数据库文件（日志数据）【图】

环境： SSMS sql-server2016一、为数据库添加数据文件添加日志数据文件以下是添加数据文件和日志文件的代码ALTER DATABASE [joinbest] ADD FILE ( NAME = N‘joinbest_2‘, FILENAME = N‘C:\Program Files\Microsoft SQL Server\MSSQL13.MSSQLSERVER\MSSQL\DATA\joinbest_2.ndf‘ , SIZE = 8192KB , FILEGROWTH = 65536KB ) TO FILEGROUP [PRIMARY]ALTER DATABASE [joinbest] ADD FILE ( NAME = N‘joinbest_2_log‘, FILE...

如何从apache/nginx日志分析ip的来源并写入到数据库【代码】

如题，分析首先最简单的取出ipcd /usr/local/nginx/logs awk ‘{print $1}‘ access.log | sort | uniq -c | sort -rn | head -n 50 | awk ‘{print $2}‘ > /root/list #在nginx/apache 下执行上述代码。把ip写到list列表然后思路就是把每个ip的来源地分析出来，我用的淘宝的ip数据库，还是不错的#!/bin/bashipInfo() { for i in `cat list` do TransCoding="/usr/bin/python TransCoding.py" JsonDate="curl -s...

使用作业自动清理数据库日志文件【代码】【图】

原文:使用作业自动清理数据库日志文件在上一篇文章中介绍了如何删除数据库日志文件，但是想想还是不是不方便需要手工操作，于是想结合作业实现自动清理日志文件，在清理日志文件时我加上了条件，当磁盘控空间不足多少M才会清理，下面介绍如何实现该功能。没有阅读上一篇文章的，可以通过传送门阅读(删除数据库日志文件的方法)！阅读目录SQL查询磁盘空间大小存储过程添加作业示例下载回到顶部SQL查询磁盘空间大小　　采用内...

收缩数据库日志【代码】

收缩数据库日志--收缩日志文件 --查看日志文件大小 --dbcc sqlperf(logspace) USE[master]GOALTERDATABASE DNName SET RECOVERY SIMPLE WITH NO_WAIT GOALTERDATABASE DNName SET RECOVERY SIMPLE --简单模式GOUSE DNName GO--收缩日志文件为100MDBCC SHRINKFILE (N‘DNName_Log‘ , 100, TRUNCATEONLY) GOUSE[master]GOALTERDATABASE DNName SET RECOVERY FULLWITH NO_WAIT GOALTERDATABASE DNName SET RECOVERY FULL--还原为完...

数据库原理(日志系统原理)[转]

ref：https://blog.csdn.net/whyangwanfu/article/details/1926367事务的原语操作在事务系统的运行当中，有三个地址空间供元素存储：磁盘空间缓冲区事务的局部地址空间。一个简单的读、修改X元素操作的流程如：事务到缓冲中读取元素X，如果命中，则读取事务局部地址空间并返回，如果未命中，则先将相关页从磁盘读入缓冲区。事务在它的局部地址空间中修改元素X，然后写入缓冲区，再从缓冲区写入磁盘。当然缓冲区的数据也可能不是立即...

mysql：general_log 日志、数据库线程查询、数据库慢查询

开启general log会将所有到达MySQL Server的SQL语句记录下来。一般不会开启开功能，因为log的量会非常庞大。但个别情况下可能会临时的开一会儿general log以供排障使用。相关参数一共有3：general_log、log_output、general_log_file show variables like ‘general_log‘; -- 查看日志是否开启show variables like ‘log_output‘; -- 看看日志输出类型 table或fileshow variables like ‘general_log_file‘; -- 看看日志文...

MySQL数据库（三）-- MySQL 日志管理、备份与恢复【代码】

一、MySQL 日志管理MySQL 的日志默认保存位置为 /usr/local/mysql/datavim /etc/my.cnf [mysqld] ##错误日志，用来记录当MySQL启动、停止或运行时发生的错误信息，默认已开启 log-error=/usr/local/mysql/data/mysql_error.log #指定日志的保存位置和文件名##通用查询日志，用来记录MySQL的所有连接和语句，默认是关闭的 general_log=ON general_log_file=/usr/local/mysql/data/mysql_general.log##二进制日志(binlog)，用来记...

【实验-视频过程】数据库归档日志满了以后

归档日志满了以后、一、清理文件C:\Users\Administrator>19:24:36.78>sqlplus scott/tigerSQL*Plus: Release 11.2.0.1.0 Production on 星期五 10月 9 19:24:40 2015Copyright (c) 1982, 2010, Oracle. All rights reserved.ERROR: ORA-00257: archiver error. Connect internal only, until freed.这个时候不再允许读写了查看使用量SQL>select * from V$FLASH_RECOVERY_AREA_USAGE;删除过期的归档日志rman target sys/XXXXXXXXX...

知方可补不足~利用LogParser将IIS日志插入到数据库

[Log_IIS] GO/****** Object: Table [dbo].[Online_tj] Script Date: 10/28/2011 17:08:28 ******/ IF EXISTS (SELECT * FROM sys.objects WHERE object_id = OBJECT_ID(N‘[dbo].[Online_tj]‘) AND type in (N‘U‘)) DROP TABLE [dbo].[Online_tj] GOUSE [Log_IIS] GO/****** Object: Table [dbo].[Online_tj] Script Date: 10/28/2011 17:08:28 ******/ SET ANSI_NULLS ON GOSET QUOTED_IDENTIFIER ON GOSET ANSI_PAD...

shell分析日志导入数据库

1:mycomm.sh -> 数据库连接#!/bin/shtest_db=testoptest="mysql -hlocalhost -uroot -ptyu!@!*T2 --default-character-set=utf8 -N "now_time=`date +%s` 2.mystat.sh ->读取日志awk分析后导入数据库#!/bin/shsource /usr/local/stat/shell/mycomm.shstime=`date +%F‘ ‘%H:%M -d "1 minute ago"`etime=`date +%F‘ ‘%H:%M`tmp_list="$0.list"filename(){if [ "`date +%M`" == "00" ]then day=`date +%F‘-‘%H -d ‘-1 h...

SQLServer 2008以上误操作数据库恢复方法——日志尾部备份

问题：经常看到有人误删数据，或者误操作，特别是update和delete的时候没有加where，然后就喊爹喊娘了。人非圣贤孰能无过，做错可以理解，但不能纵容，这个以后再说，现在先来解决问题。遇到这种情况，一般都是没有做备份，不然也不会来发问了。首先要冷静，否则会有更大的灾难。直到你放弃。解决方法：对于这类问题，主要是找回误操作之前的数据，在2008之前，有个很出名的工具Log Exploer，听说还挺好用...

SQL Server 2005数据库日志丢失的恢复

网上关于SQL Server 2005数据库日志丢失的处理方法基本上都是修改数据库系统表，但是我测试N多遍都不成功，最后用英文关键字Google了下，发现一个可行方法，折磨了我两天的问题得以解决。。。背景说明：名为testdb的数据库丢失了日志文件，仅有数据文件testdb.mdf请先不要急于开始操作，如果你真的很急，请直接看我的成功试验方法(*下面的内容) 1.新建数据库testdb 2.停掉SQL Server服务器 3.删除刚刚创建好的testdb的日志文件tes...

日志 - 最热教程

pt-query-digest解析MySQLBinlog日志文...详解Python中logging日志模块在多进程环...SQL Server 收缩日志清空删除大日志文...mysql查看执行sql语句的记录日志 ssh登录日志收集 Filebeat收集单个日志&json格式使用nginx访问服务器log日志 linux C中的多进程概念与log日志与部分...过滤nginx日志并添加防火墙拒绝访问 ce...Oracle如何决定日志切换到剩下的那个日...

首页 / 日志 / 数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好

数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好

内容导读

内容图文

一种数据库拖库行为的检测方法、装置及电子设备制造方法及图纸

A Detection Method, Device and Electronic Equipment for Database Drag Behavior

内容总结

内容备注

内容手机端

【数据库拖库检测 —— 还是使用审计日志 UEBA思路做比较好】教程文章相关的互联网学习教程文章

日志 - 最新教程

日志 - 最热教程