赵琳娜,倪 明,喻卫东

(华东计算技术研究所,上海 201808)

随着组织机构开展的互联网业务日益增多,由于大量已知和未知的漏洞及后门的存在,面临的安全隐患不容小觑.数据库作为Web 应用的核心组成部分,存有网站动态资源和用户信息,最易受到攻击.当数据库被恶意攻击成功后,会导致用户信息泄露、内容被篡改等不良后果.除此之外,攻击者利用漏洞完成一次数据攻击所需要的时间极短,给管理员及时发现数据库入侵并补救的工作带来了极大困难.

传统数据库的防御手段是基于威胁特征感知的精确防御,需要攻击行为的特征等先验知识才能有效实施防御,具有静态、透明、缺乏多样性等缺陷.拟态防御动态异构冗余架构利用漏洞的平台相关性,在期望功能等价条件下,拟态界内的执行体具有处理结构的相异性和冗余性,对“已知的未知”风险或“未知的未知”威胁具有内生防御效果[1].

本文依托拟态防御的动态异构冗余原理,提出拟态数据库模型,通过保留字拟态化模块、指纹过滤模块和拟态化中间件模块分别实现注入指令的异构化、去指纹化和基于相似性判决的选择性执行,具有内生安全性.

1 传统数据库防御手段

根据世界著名的Web 安全与数据库安全研究组织OWASP 发布的十大最关键的Web 应用安全风险(OWASP Top 10),与数据库安全密切相关的SQL 注入攻击(SQL Injection)在2013年和2017年均被列为威胁最严重的攻击方式[2].攻击者通过利用客户端任何能够提……