安全数据库审计体系

随着计算机以及网络的普及和广泛应用，信息系统的安全问题也变得越来越严重．虽然有很多安全技术，如加密、访问控制、入侵检测等可以用来应对各种安全威胁，但是这些技术并不能完全保障系统的安全．事实上，在系统实际运行中，安全威胁中很大一部分都源于内部人员攻击，而入侵检查和访问控制等机制对这类攻击的防范能力非常有限；另一方面，对于很多外部入侵事件，入侵检测工具不能作出正确的响应．在这些情况下，作为安全事件追踪分析和责任追究的审计机制有着不可替代的作用．审计机制在多级安全数据库中更为重要．因为在支持多级安全的数据库系统中，隐通道可以绕过强制安全策略的限制，可能构成对系统的严重安全威胁．有些隐通道很难在系统实现中完全消除，对这些隐通道一般可以采用审计的方法【1】．通过对构成隐通道场景中操作序列进行审计，可以威慑内部人员利用隐通道进行的非授权通信，也可以在事后检查是否存在恶意代码的攻击．

因此。对多级数据库设计灵活的审计机制更加必要．

对于审计子系统来说，一个简单的审计策略是，对数据库系统中发生的所有事件都审计，可以完全满足安全分析和责任追踪的需求．然而，这样将大大降低系统的时间效率和空间效率，并且记录大量无用的事件信息．因此，对系统中所有操作事件都审计是不现实的，也是不必要的．审计系统应该具有配置审计事件的能力，灵活、有效的审计配置功能可以使得审计日志在尽量少占用时间和空间的前提下，为安全事件分析和责任追究提供足够多的信息．然而，已有的商业化数据库系统对灵活的审计设置的支持非常有限．因此，研究并提出具有灵活结构、表达能力丰富、形式化的审计策略模型对多级安全系统的设计和开发都有着重要的意义．

针对目前实际系统对审计支持的局限性，本文提出的审计策略模型主要解决以下几方面的问题：首先，对于大型的数据库管理系统，由于包括了大量的数据对象和用户，需要支持多个审计管理员进行分布式管理，如何实施全局的审计策略设置以及如何协调各个审计管理员之间的关系是值得研究的．

其次，需要研究如何为审计管理提供灵活的基于时间的审计．这种功能是很有必要的．比如，审计策略要求在下班时间或者某些重要的时段发生的事件需要更全面和详细的审计，这时就可以使用支持时间约束的审计规则．否则，需要审计管理员在不同的时段重新配置审计策略，给管理带来很大的不便．

最后是细粒度审计设置的研究．在一些数据库中，针对元组的细粒度审计一般是通过触发器机制实现的．这种方式不利于审计管理员进行全局的一致性的审计策略管理．在本文提出的模型中，我们通过引入审计对象属性谓词来实现灵活的细粒度的审计策略配置．

需要指出的是，在多级安全的数据库中，一方面要求审计子系统应该支持对隐通道的审计，另一方面，审计子系统本身在设计时也应该尽量避免引入新的隐通道．本模型提出的细粒度审计策略设置可以用来辅助对隐通道的审计．本模型还规定审计策略的安全级别满足一定的性质以防止引入新的隐通道．

本文第1节详细描述基于多级安全数据库管理系统的通用审计策略模型的框架结构．第2节讨论审计策略模型的核心结构审计策略规则库的组成以及策略表达语言．第3节给出保证模型安全性必须满足的不变量．第4节讨论审计策略规则库的可判定性问题并给出了判定算法．第5节介绍与本文相关的研究工作．第6节总结全文．1多级审计策略模型基本框架多级安全数据库是实施多级强制安全策略(比如BellLaPadula模型【21)的数据库管理系统．从抽象的模型层次来看，数据库与操作系统的不同之处主要是数据库中引入了事务以及数据模型，因此，在审计策略模型中包括了事务类型和会话类型．我们的审计策略模型中对客体对象抽象为树状结构，与具体数据模型无关，因此既可以用于关系数据模型，也可以用于对象数据模型以及半结构化数据模型，如XML文档数据库．多级安全的数据库中所有的主客体都有相应的安全级别标签，并且树状结构的客体对象的安全级别满足从树根到叶子的升序关系．这样，根据BLP模型的简单安全特性(任何用户只允许读该用户的安全级别支配的客体)，任何级别的用户看到的对象视图也构成一棵树．用户的安全标签可以是TRUSTED，表明该用户是可信的，可以违反强制安全策略．

引入可信主体的目的是为了方便管理员的操作．用户也属于一种特殊的客体对象，因为用户属性修改、删除用户等操作的对象就是用户名．审计策略模型的核心是审计策略规则库，实施审计的子系统将根据审计策略规则库决定是否对一个事件审计．

2审计策略规则库

审计策略规则库是审计策略模型的核心部分，根据审计策略规则库可以确定对任何一个事件是否应该审计以及审计的频度．实施审计的子系统将根据上述判定结果实施审计或者不审计．本节我们将依次给出审计策略规则库各个组成部分的定义．

由于本模型支持时间约束的审计策略，我们先给出时间约束的定义．文献[3】引入了周期时间的概念，由于该定义直观上易于理解，并且能够表达常见的时间约束。因此本模型也采用这种时间描述形式．

在审计策略中，我们可以根据一个操作的执行结果决定是否进行审计．常用的操作执行结果有操作成功和操作失败．为了进一步控制对某些类型操作结果的审计，我们还定义了自主访问控制不允许导致的操作失败、强制访问控制不允许导致的失败，以及在系统禁止多实例时用户企图创建多实例对象导致的失败．通过对操作失败原因的细分，可以方便地按照违反安全策略的类型对操作进行审计策略定义．

定义4(操作执行结果ges)．操作执行结果是操作执行是否成功或者失败以及失败类型．操作执行结果集合RES={fi,r2，吩，．．．)，并且基本操作执行结果集合{SUCCESSFUL，uNSucCESSFUL，BOTH)cRES，以及操作失败类型集合FRES={EDAC，EMAC，EPOL，．．．}cRES．其中SUCCESSFUL表示操作成功执行，uNsuccEssFuL表示操作失败，BOTH表示操作成功或者失败，EDAC表示自主访问失败，EMAC表示强制访问失败，EPOL表示多实例失败(当系统禁止多实例时创建导致多实例的对象)．除了基本操作执行结果以外，RES还可以包括其他类型的操作执行结果．