基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法
【專利摘要】本發(fā)明涉及一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，步驟包括：（1）總線對(duì)進(jìn)入總線的通信數(shù)據(jù)在TCP/IP層進(jìn)行解析，根據(jù)關(guān)表格數(shù)據(jù)流協(xié)議和透明網(wǎng)絡(luò)底層協(xié)議做數(shù)據(jù)包分析；（2）透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包處理，處理步驟包括：（3）關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包處理；（4）將過(guò)濾后的安全數(shù)據(jù)包經(jīng)過(guò)總線的流轉(zhuǎn)發(fā)送至指定的數(shù)據(jù)庫(kù)服務(wù)器。本發(fā)明方法實(shí)現(xiàn)了跨電力信息內(nèi)外網(wǎng)的信息安全傳輸，更加對(duì)數(shù)據(jù)庫(kù)的操作訪問(wèn)進(jìn)行了分析、過(guò)濾，避免了外網(wǎng)對(duì)電力信息內(nèi)網(wǎng)的數(shù)據(jù)庫(kù)注入攻擊。
【專利說(shuō)明】基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于電力企業(yè)信息系統(tǒng)信息集成領(lǐng)域的跨因特網(wǎng)和電力信息內(nèi)網(wǎng)的信息交換【技術(shù)領(lǐng)域】，特別是一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法。
【背景技術(shù)】
[0002]電力信息網(wǎng)承載著電力市場(chǎng)交易、招投標(biāo)、營(yíng)銷(xiāo)等多個(gè)業(yè)務(wù)系統(tǒng)，對(duì)內(nèi)提供如審計(jì)、評(píng)標(biāo)、核算等業(yè)務(wù)，對(duì)外提供發(fā)布、投標(biāo)、繳費(fèi)等各項(xiàng)服務(wù)。若對(duì)信息系統(tǒng)分級(jí)過(guò)多將會(huì)導(dǎo)致各個(gè)分區(qū)間數(shù)據(jù)交換帶來(lái)的大量延時(shí)。為此，把電力信息網(wǎng)絡(luò)分為信息內(nèi)網(wǎng)和信息外網(wǎng)。信息外網(wǎng)和因特網(wǎng)之間采用防火墻相連，屬于低安全級(jí)別區(qū)域，信息內(nèi)網(wǎng)與信息外網(wǎng)邏輯隔離，與電力內(nèi)部其他數(shù)據(jù)網(wǎng)物理隔離，屬于高級(jí)別安全區(qū)域，各個(gè)業(yè)務(wù)系統(tǒng)根據(jù)其具體需要把相應(yīng)的服務(wù)器分別放置在信息內(nèi)外網(wǎng)。
[0003]為了最大程度地保證電力信息系統(tǒng)的安全，把盡可能多的業(yè)務(wù)放到信息內(nèi)網(wǎng)，把對(duì)外提供服務(wù)的服務(wù)器設(shè)在外網(wǎng)，其他對(duì)內(nèi)服務(wù)器、個(gè)人計(jì)算機(jī)等所有主機(jī)都放置在信息內(nèi)網(wǎng)，特別需要強(qiáng)調(diào)為了保護(hù)數(shù)據(jù)的安全，所有業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫(kù)放置在信息內(nèi)網(wǎng)。
[0004]目前，由于安全隔離總線放置在信息內(nèi)外網(wǎng)的邊界，所以首先要起到一般防火墻的基本作用來(lái)保證對(duì)各個(gè)訪問(wèn)主機(jī)的控制。電力信息網(wǎng)絡(luò)各個(gè)業(yè)務(wù)系統(tǒng)的主機(jī)IP地址、MAC地址、端口等都比較固定，電力系統(tǒng)應(yīng)用范圍最廣的為Oracle數(shù)據(jù)庫(kù)和SQL Server數(shù)據(jù)庫(kù)，這兩者占據(jù)了電力系統(tǒng)數(shù)據(jù)庫(kù)的90%以上。Oracle數(shù)據(jù)庫(kù)的數(shù)據(jù)通信采用TNS協(xié)議，SQL Server和Sybase數(shù)據(jù)庫(kù)采用TDS協(xié)議，目前信息系統(tǒng)遭受攻擊最多的是針對(duì)數(shù)據(jù)庫(kù)的SQL注入攻擊，若能夠把這兩種協(xié)議分析出來(lái)，并且對(duì)其采用JDBC驅(qū)動(dòng)進(jìn)行偏移量分析，就能實(shí)現(xiàn)SQL語(yǔ)句的還原，進(jìn)而可以基本滿足電力信息系統(tǒng)數(shù)據(jù)庫(kù)訪問(wèn)控制的需要。
[0005]另外，電力信息系統(tǒng)有較多的業(yè)務(wù)要經(jīng)過(guò)總線進(jìn)行內(nèi)外網(wǎng)通信，若此裝置的效率不夠高的話將會(huì)成為內(nèi)外網(wǎng)通信的瓶頸。

【發(fā)明內(nèi)容】

[0006]本發(fā)明的目的在于針對(duì)現(xiàn)有技術(shù)的不足，提供一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法。
[0007]本發(fā)明解決其技術(shù)問(wèn)題是采取以下技術(shù)方案實(shí)現(xiàn)的:
[0008]一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，步驟如下:
[0009]( I)總線對(duì)進(jìn)入總線的通信數(shù)據(jù)在TCP/IP層進(jìn)行解析，根據(jù)關(guān)表格數(shù)據(jù)流協(xié)議和透明網(wǎng)絡(luò)底層協(xié)議做數(shù)據(jù)包分析；
[0010](2)透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包處理，處理步驟包括:
[0011]①分析數(shù)據(jù)包頭，得到數(shù)據(jù)包長(zhǎng)度、數(shù)據(jù)長(zhǎng)度及包括連接、接收、確認(rèn)、拒絕、重定向內(nèi)容的數(shù)據(jù)包類型；
[0012]②根據(jù)數(shù)據(jù)包頭中的參數(shù)，計(jì)算數(shù)據(jù)在數(shù)據(jù)包中的偏移量，分析出數(shù)據(jù)所處位置；[0013]③將數(shù)據(jù)取出翻譯成數(shù)據(jù)庫(kù)查詢字符串；
[0014]④將數(shù)據(jù)庫(kù)查詢字符串根據(jù)配置好的過(guò)濾規(guī)則進(jìn)行排查，符合過(guò)濾規(guī)則的語(yǔ)句進(jìn)入下一步操作，其它做丟棄處理；
[0015](3)關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包處理；
[0016](4)將過(guò)濾后的安全數(shù)據(jù)包經(jīng)過(guò)總線的流轉(zhuǎn)發(fā)送至指定的數(shù)據(jù)庫(kù)服務(wù)器。
[0017]而且，所述步驟(I)做數(shù)據(jù)包分析的具體方法為:
[0018]①根據(jù)數(shù)據(jù)包頭的不同來(lái)區(qū)分關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包和透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包，不同協(xié)議的數(shù)據(jù)包進(jìn)入各自的解析通道；
[0019]②其余的數(shù)據(jù)包做丟棄處理。
[0020]而且，所述步驟(3)關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包處理的方法步驟與步驟(2)透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包處理步驟相同。
[0021 ] 本發(fā)明的優(yōu)點(diǎn)和積極效果是
[0022]本發(fā)明針對(duì)跨電力信息內(nèi)網(wǎng)和因特網(wǎng)的業(yè)務(wù)應(yīng)用系統(tǒng)對(duì)數(shù)據(jù)庫(kù)安全訪問(wèn)和操作做了基于信息交換總線的安全訪問(wèn)方法，該方法實(shí)現(xiàn)了跨電力信息內(nèi)外網(wǎng)的信息安全傳輸，更加對(duì)數(shù)據(jù)庫(kù)的操作訪問(wèn)進(jìn)行了分析、過(guò)濾，避免了外網(wǎng)對(duì)電力信息內(nèi)網(wǎng)的數(shù)據(jù)庫(kù)注入攻擊。
【專利附圖】

【附圖說(shuō)明】
[0023]圖1是本發(fā)明基于的信息交換總線的原理示意圖；
[0024]圖2是本發(fā)明基于信息交換總線內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法基本邏輯流程。
【具體實(shí)施方式】
[0025]以下結(jié)合附圖對(duì)本發(fā)明實(shí)施例做進(jìn)一步詳述，以下實(shí)施例只是描述性的，不是限定性的，不能以此限定本發(fā)明的保護(hù)范圍。
[0026]本發(fā)明的基本原理
[0027]本發(fā)明方法的實(shí)現(xiàn)是基于對(duì)網(wǎng)絡(luò)通信協(xié)議進(jìn)行分析，然后基于傳輸控制/網(wǎng)際協(xié)議(TCP/IP)通信流上的數(shù)據(jù)庫(kù)訪問(wèn)協(xié)議解析出數(shù)據(jù)庫(kù)查詢語(yǔ)句進(jìn)行過(guò)濾。
[0028]如圖1所示，首先，總線開(kāi)放通信端口，使得外網(wǎng)的數(shù)據(jù)庫(kù)訪問(wèn)信息通過(guò)該入口進(jìn)入總線；總線將該部分的數(shù)據(jù)經(jīng)過(guò)流轉(zhuǎn)，進(jìn)入到數(shù)據(jù)庫(kù)操作過(guò)濾代理模塊；代理模塊進(jìn)行數(shù)據(jù)庫(kù)協(xié)議的解析分離出查詢語(yǔ)句并還原，根據(jù)制定的規(guī)則進(jìn)行過(guò)濾；過(guò)濾后的數(shù)據(jù)包從信息交換總線發(fā)送出去。從而實(shí)現(xiàn)外網(wǎng)到內(nèi)網(wǎng)的數(shù)據(jù)庫(kù)安全訪問(wèn)。
[0029]一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，如圖2所示，步驟如下:
[0030](I)總線對(duì)進(jìn)入總線的通信數(shù)據(jù)在TCP/IP層進(jìn)行解析，根據(jù)關(guān)表格數(shù)據(jù)流協(xié)議(TDS)和透明網(wǎng)絡(luò)底層協(xié)議(TNS)做數(shù)據(jù)包分析；具體方法為，
[0031]①根據(jù)數(shù)據(jù)包頭的不同來(lái)區(qū)分TDS協(xié)議數(shù)據(jù)包和TNS協(xié)議數(shù)據(jù)包，不同協(xié)議的數(shù)據(jù)包進(jìn)入各自的解析通道；
[0032]②其余的數(shù)據(jù)包做丟棄處理；
[0033](2)透明網(wǎng)絡(luò)底層協(xié)議(TNS)數(shù)據(jù)包處理，處理步驟如下:
[0034]①分析數(shù)據(jù)包頭，得到數(shù)據(jù)包長(zhǎng)度、數(shù)據(jù)長(zhǎng)度及包括連接、接收、確認(rèn)、拒絕、重定向內(nèi)容的數(shù)據(jù)包類型；
[0035]②根據(jù)數(shù)據(jù)包頭中的參數(shù)，計(jì)算數(shù)據(jù)在數(shù)據(jù)包中的偏移量，分析出數(shù)據(jù)所處位置；
[0036]③將數(shù)據(jù)取出翻譯成數(shù)據(jù)庫(kù)查詢字符串；
[0037]④將數(shù)據(jù)庫(kù)查詢字符串根據(jù)配置好的過(guò)濾規(guī)則進(jìn)行排查；比如，過(guò)濾掉所有數(shù)據(jù)庫(kù)定義語(yǔ)句，如:創(chuàng)建表(Create )、廢棄表(Drop )、刪除語(yǔ)句(DeIete ),符合過(guò)濾規(guī)則的語(yǔ)句進(jìn)入下一步操作，不符合規(guī)則的語(yǔ)句所屬數(shù)據(jù)包均做丟棄處理；
[0038](3)關(guān)表格數(shù)據(jù)流協(xié)議(TDS)數(shù)據(jù)包處理，處理步驟如下:
[0039]①分析數(shù)據(jù)包頭，得到數(shù)據(jù)包長(zhǎng)度、數(shù)據(jù)長(zhǎng)度及包括連接、接收、確認(rèn)、拒絕、重定向內(nèi)容的數(shù)據(jù)包類型；
[0040]②根據(jù)數(shù)據(jù)包頭中的參數(shù)，計(jì)算數(shù)據(jù)在數(shù)據(jù)包中的偏移量，分析出數(shù)據(jù)所處位置；
[0041]③將數(shù)據(jù)取出翻譯成數(shù)據(jù)庫(kù)查詢字符串；
[0042]④將數(shù)據(jù)庫(kù)查詢字符串根據(jù)配置好的過(guò)濾規(guī)則進(jìn)行排查；比如，過(guò)濾掉所有數(shù)據(jù)庫(kù)定義語(yǔ)句，如:創(chuàng)建表(Create)、廢棄表(Drop)、刪除語(yǔ)句(Delete),符合過(guò)濾規(guī)則的語(yǔ)句進(jìn)入下一步操作，不符合規(guī)則的語(yǔ)句所屬數(shù)據(jù)包均做丟棄處理；
[0043](4)將過(guò)濾后的安全數(shù)據(jù)包經(jīng)過(guò)總線的流轉(zhuǎn)發(fā)送至指定的數(shù)據(jù)庫(kù)服務(wù)器。
【權(quán)利要求】
1.一種基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，其特征在于:步驟如下: (1)總線對(duì)進(jìn)入總線的通信數(shù)據(jù)在TCP/IP層進(jìn)行解析，根據(jù)關(guān)表格數(shù)據(jù)流協(xié)議和透明網(wǎng)絡(luò)底層協(xié)議做數(shù)據(jù)包分析； (2)透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包處理，處理步驟包括: ①分析數(shù)據(jù)包頭，得到數(shù)據(jù)包長(zhǎng)度、數(shù)據(jù)長(zhǎng)度及包括連接、接收、確認(rèn)、拒絕、重定向內(nèi)容的數(shù)據(jù)包類型； ②根據(jù)數(shù)據(jù)包頭中的參數(shù)，計(jì)算數(shù)據(jù)在數(shù)據(jù)包中的偏移量，分析出數(shù)據(jù)所處位置； ③將數(shù)據(jù)取出翻譯成數(shù)據(jù)庫(kù)查詢字符串； ④將數(shù)據(jù)庫(kù)查詢字符串根據(jù)配置好的過(guò)濾規(guī)則進(jìn)行排查，符合過(guò)濾規(guī)則的語(yǔ)句進(jìn)入下一步操作，其它做丟棄處理； (3)關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包處理； (4 )將過(guò)濾后的安全數(shù)據(jù)包經(jīng)過(guò)總線的流轉(zhuǎn)發(fā)送至指定的數(shù)據(jù)庫(kù)服務(wù)器。
2.根據(jù)權(quán)利要求1所述的基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，其特征在于:所述步驟(I)做數(shù)據(jù)包分析的具體方法為: ①根據(jù)數(shù)據(jù)包頭的不同來(lái)區(qū)分關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包和透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包，不同協(xié)議的數(shù)據(jù)包進(jìn)入各自的解析通道； ②其余的數(shù)據(jù)包做丟棄處理。
3.根據(jù)權(quán)利要求1所述的基于信息交換總線的內(nèi)外網(wǎng)數(shù)據(jù)庫(kù)訪問(wèn)方法，其特征在于:所述步驟(3)關(guān)表格數(shù)據(jù)流協(xié)議數(shù)據(jù)包處理的方法步驟與步驟(2)透明網(wǎng)絡(luò)底層協(xié)議數(shù)據(jù)包處理步驟相同。
【文檔編號(hào)】G06F17/30GK103731417SQ201310680082
【公開(kāi)日】2014年4月16日 申請(qǐng)日期:2013年11月26日 優(yōu)先權(quán)日:2013年11月26日
【發(fā)明者】齊昕, 周仁, 李武興, 周亞楠, 米娜, 陳沛 申請(qǐng)人:國(guó)家電網(wǎng)公司, 國(guó)網(wǎng)天津市電力公司