一种基于主动学习的数据库恶意行为检测方法

车晶 张瑛

南京邮电大学 江苏 210046

0 前言

本文设计并实现了一种适用于开源数据库软件架构的恶意行为检测方法，并在MySQL系统上验证了该方法，测试表明，本文提出的方法具有较好的适用性和可扩展性，可实现对多种流行恶意行为的检测，同时对系统性能影响较小。表示将所有收集到的日志信息按时间排序。

数据库会话原始行为特征收集算法如下：

1 系统设计与实现

1.1 会话行为签名及生成算法

基于行为签名的恶意行为检测主要面临两大挑战，其一是如何构建正常数据库会话的行为签名使其尽可能覆盖正常数据库会话，其二是对正常和恶意行为签名的在线重构，实时扩充和维护数据库会话行为签名特征库，这样就可以使检测算法可检测新的恶意行为。

基于开源数据库系统的特点，本文将数据库会话定义为从连接数据库开始，所有的数据库访问操作，直到断开数据库连接的一系列动作的集合。使用行为特征矩阵来表征数据库会话的行为模式。

首先，需在数据库管理系统的源代码中增加对敏感系统资源的访问的监控点，这些被监控收集的信息合在一起构成了数据库会话的行为模式，鉴于开源数据库管理系统的所有源代码均是可修改和重编译的，我们在每一类功能实现点进行监控，然后对各个监控点获得监控信息进行融合，获得数据库会话的行为模式。

函数 Access(DSID,FID)表示数据库会话 DSID调用了关键敏感函数FID，函数Log(DSID, functionInfo, timestamp)表示将DSID何时访问FID的信息写入日志文件。……