安全數(shù)據(jù)庫(kù)審計(jì)體系

1、安全數(shù)據(jù)庫(kù)審計(jì)體系隨著計(jì)算機(jī)以及網(wǎng)絡(luò)的普及和廣泛應(yīng)用，信息系統(tǒng)的安全問(wèn)題也變得越來(lái)越嚴(yán)重.雖然有很多安全技術(shù)，如加密、訪(fǎng)問(wèn)控制、入侵檢測(cè)等可以用來(lái)應(yīng)對(duì)各種安全威脅，但是這些技術(shù)并不能完全保障系統(tǒng)的安全.事實(shí)上，在系統(tǒng)實(shí)際運(yùn)行中，安全威脅中很大一部分都源于內(nèi)部人員攻擊，而入侵檢查和訪(fǎng)問(wèn)控制等機(jī)制對(duì)這類(lèi)攻擊的防范能力非常有限；另一方面，對(duì)于很多外部入侵事件，入侵檢測(cè)工具不能作出正確的響應(yīng).在這些情況下，作為安全事件追蹤分析和責(zé)任追究的審計(jì)機(jī)制有著不可替代的作用.審計(jì)機(jī)制在多級(jí)安全數(shù)據(jù)庫(kù)中更為重要.因?yàn)樵谥С侄嗉?jí)安全的數(shù)據(jù)庫(kù)系統(tǒng)中，隱通道可以繞過(guò)強(qiáng)制安全策略的限制，可能構(gòu)成對(duì)系統(tǒng)的嚴(yán)重安全威脅.有些

2、隱通道很難在系統(tǒng)實(shí)現(xiàn)中完全消除，對(duì)這些隱通道一般可以采用審計(jì)的方法【1】.通過(guò)對(duì)構(gòu)成隱通道場(chǎng)景中操作序列進(jìn)行審計(jì)，可以威懾內(nèi)部人員利用隱通道進(jìn)行的非授權(quán)通信，也可以在事后檢查是否存在惡意代碼的攻擊.因此。對(duì)多級(jí)數(shù)據(jù)庫(kù)設(shè)計(jì)靈活的審計(jì)機(jī)制更加必要.對(duì)于審計(jì)子系統(tǒng)來(lái)說(shuō)，一個(gè)簡(jiǎn)單的審計(jì)策略是，對(duì)數(shù)據(jù)庫(kù)系統(tǒng)中發(fā)生的所有事件都審計(jì)，可以完全滿(mǎn)足安全分析和責(zé)任追蹤的需求.然而，這樣將大大降低系統(tǒng)的時(shí)間效率和空間效率，并且記錄大量無(wú)用的事件信息.因此，對(duì)系統(tǒng)中所有操作事件都審計(jì)是不現(xiàn)實(shí)的，也是不必要的.審計(jì)系統(tǒng)應(yīng)該具有配置審計(jì)事件的能力，靈活、有效的審計(jì)配置功能可以使得審計(jì)日志在盡量少占用時(shí)間和空間的前提下，

3、為安全事件分析和責(zé)任追究提供足夠多的信息.然而，己有的商業(yè)化數(shù)據(jù)庫(kù)系統(tǒng)對(duì)靈活的審計(jì)設(shè)置的支持非常有限.因此，研究并提出具有靈活結(jié)構(gòu)、表達(dá)能力豐富、形式化的審計(jì)策略模型對(duì)多級(jí)安全系統(tǒng)的設(shè)計(jì)和開(kāi)發(fā)都有著重要的意義.針對(duì)目前實(shí)際系統(tǒng)對(duì)審計(jì)支持的局限性，本文提出的審計(jì)策略模型主要解決以下幾方面的問(wèn)題：首先，對(duì)于大型的數(shù)據(jù)庫(kù)管理系統(tǒng),由于包括了大量的數(shù)據(jù)對(duì)象和用戶(hù)，需要支持多個(gè)審計(jì)管理員進(jìn)行分布式管理，如何實(shí)施全局的審計(jì)策略設(shè)置以及如何協(xié)調(diào)各個(gè)審計(jì)管理員之間的關(guān)系是值得研究的.其次，需要研究如何為審計(jì)管理提供靈活的基于時(shí)間的審計(jì).這種功能是很有必要的.比如，審計(jì)策略要求在下班時(shí)間或者某些重要的時(shí)段發(fā)生的

4、事件需要更全面和詳細(xì)的審計(jì)，這時(shí)就可以使用支持時(shí)間約束的審計(jì)規(guī)則.否則，需要審計(jì)管理員在不同的時(shí)段重新配置審計(jì)策略，給管理帶來(lái)很大的不便.最后是細(xì)粒度審計(jì)設(shè)置的研究.在一些數(shù)據(jù)庫(kù)中，針對(duì)元組的細(xì)粒度審計(jì)一般是通過(guò)觸發(fā)器機(jī)制實(shí)現(xiàn)的.這種方式不利于審計(jì)管理員進(jìn)行全局的一致性的審計(jì)策略管理.在本文提出的模型中，我們通過(guò)引入審計(jì)對(duì)象屬性謂詞來(lái)實(shí)現(xiàn)靈活的細(xì)粒度的審計(jì)策略配置.需要指出的是，在多級(jí)安全的數(shù)據(jù)庫(kù)中，一方面要求審計(jì)子系統(tǒng)應(yīng)該支持對(duì)隱通道的審計(jì)，另一方面，審計(jì)子系統(tǒng)本身在設(shè)計(jì)時(shí)也應(yīng)該盡量避免引入新的隱通道.本模型提出的細(xì)粒度審計(jì)策略設(shè)置可以用來(lái)輔助對(duì)隱通道的審計(jì).本模型還規(guī)定審計(jì)策略的安全級(jí)別滿(mǎn)

5、足一定的性質(zhì)以防止引入新的隱通道.本文第1節(jié)詳細(xì)描述基于多級(jí)安全數(shù)據(jù)庫(kù)管理系統(tǒng)的通用審計(jì)策略模型的框架結(jié)構(gòu).第2節(jié)討論審計(jì)策略模型的核心結(jié)構(gòu)審計(jì)策略規(guī)則庫(kù)的組成以及策略表達(dá)語(yǔ)言.第3節(jié)給出保證模型安全性必須滿(mǎn)足的不變量.第4節(jié)討論審計(jì)策略規(guī)則庫(kù)的可判定性問(wèn)題并給出了判定算法.第5節(jié)介紹與本文相關(guān)的研究工作.第6節(jié)總結(jié)全文1多級(jí)審計(jì)策略模型基本框架多級(jí)安全數(shù)據(jù)庫(kù)是實(shí)施多級(jí)強(qiáng)制安全策略（比如BellLaPadula模型121）的數(shù)據(jù)庫(kù)管理系統(tǒng).從抽象的模型層次來(lái)看,數(shù)據(jù)庫(kù)與操作系統(tǒng)的不同之處主要是數(shù)據(jù)庫(kù)中引入了事務(wù)以及數(shù)據(jù)模型，因此，在審計(jì)策略模型中包括了事務(wù)類(lèi)型和會(huì)話(huà)類(lèi)型.我們的審計(jì)策略模型中對(duì)

6、客體對(duì)象抽象為樹(shù)狀結(jié)構(gòu)，與具體數(shù)據(jù)模型無(wú)關(guān),因此既可以用于關(guān)系數(shù)據(jù)模型，也可以用于對(duì)象數(shù)據(jù)模型以及半結(jié)構(gòu)化數(shù)據(jù)模型，如XML文檔數(shù)據(jù)庫(kù).多級(jí)安全的數(shù)據(jù)庫(kù)中所有的主客體都有相應(yīng)的安全級(jí)別標(biāo)簽，并且樹(shù)狀結(jié)構(gòu)的客體對(duì)象的安全級(jí)別滿(mǎn)足從樹(shù)根到葉子的升序關(guān)系.這樣，根據(jù)BLP模型的簡(jiǎn)單安全特性（任何用戶(hù)只允許讀該用戶(hù)的安全級(jí)別支配的客體），任何級(jí)別的用戶(hù)看到的對(duì)象視圖也構(gòu)成一棵樹(shù).用戶(hù)的安全標(biāo)簽可以是TRUSTED,表明該用戶(hù)是可信的，可以違反強(qiáng)制安全策略.引入可信主體的目的是為了方便管理員的操作.用戶(hù)也屬于一種特殊的客體對(duì)象，因?yàn)橛脩?hù)屬性修改、刪除用戶(hù)等操作的對(duì)象就是用戶(hù)名.審計(jì)策略模型的核心是審計(jì)策

7、略規(guī)則庫(kù)，實(shí)施審計(jì)的子系統(tǒng)將根據(jù)審計(jì)策略規(guī)則庫(kù)決定是否對(duì)一個(gè)事件審計(jì).2審計(jì)策略規(guī)則庫(kù)審計(jì)策略規(guī)則庫(kù)是審計(jì)策略模型的核心部分，根據(jù)審計(jì)策略規(guī)則庫(kù)可以確定對(duì)任何一個(gè)事件是否應(yīng)該審計(jì)以及審計(jì)的頻度.實(shí)施審計(jì)的子系統(tǒng)將根據(jù)上述判定結(jié)果實(shí)施審計(jì)或者不審計(jì).本節(jié)我們將依次給出審計(jì)策略規(guī)則庫(kù)各個(gè)組成部分的定義.由于本模型支持時(shí)間約束的審計(jì)策略，我們先給出時(shí)間約束的定義.文獻(xiàn)3引入了周期時(shí)間的概念，由于該定義直觀上易于理解，并且能夠表達(dá)常見(jiàn)的時(shí)間約束。因此木模型也采用這種時(shí)間描述形式.在審計(jì)策略中，我們可以根據(jù)一個(gè)操作的執(zhí)行結(jié)果決定是否進(jìn)行審計(jì).常用的操作執(zhí)行結(jié)果有操作成功和操作失敗.為了進(jìn)一步控制對(duì)某些類(lèi)型操作結(jié)果的審計(jì)，我們還定義了自主訪(fǎng)問(wèn)控制不允許導(dǎo)致的操作失敗、強(qiáng)制訪(fǎng)問(wèn)控制不允許導(dǎo)致的失敗，以及在系統(tǒng)禁止多實(shí)例時(shí)用戶(hù)企圖創(chuàng)建多實(shí)例對(duì)象導(dǎo)致的失敗.通過(guò)對(duì)操作失敗原因的細(xì)分，可以方便地按照違反安全策略的類(lèi)型對(duì)操作進(jìn)行審計(jì)策略定義.定義4（操作執(zhí)行結(jié)果ges）.操作執(zhí)行結(jié)果是操作執(zhí)行是否成功或者失敗以及失敗類(lèi)型.操作執(zhí)行結(jié)果集合RES二fi,2,吩，.）,并且基本操作執(zhí)行結(jié)果集合SUCCESSFUL,UNSUCCESSFUL,BOTHjcRES,以及操作失敗類(lèi)型集合FRES=EDAC,EMAC,EPOL,.cRES.其中SUCCESSFUL表示操作成功執(zhí)行，U