審計(jì)部件：進(jìn)行數(shù)據(jù)采集。訓(xùn)練階段要求DBA對(duì)用戶(hù)行為進(jìn)行監(jiān)視，以保證采集的訓(xùn)練數(shù)據(jù)都是正常的。訓(xùn)練樣本量越大，用戶(hù)行為越規(guī)范，建立的輪廓就越準(zhǔn)確。
　　預(yù)處理部件：將采集到的數(shù)據(jù)處理成數(shù)據(jù)挖掘部件和入侵檢測(cè)部件需要的形式。
　　數(shù)據(jù)挖掘部件：構(gòu)建SQL模板庫(kù)；建立正常用戶(hù)行為決策表，并運(yùn)用粗糙集約簡(jiǎn)，建立正常用戶(hù)行為輪廓。
　　SQL模板庫(kù)：規(guī)定各角色可用的SQL模板。
　　用戶(hù)輪廓：存儲(chǔ)用戶(hù)正常行為輪廓。
　　入侵檢測(cè)部件：根據(jù)入侵檢測(cè)算法，判斷新的用戶(hù)行為是否為正常。
　　響應(yīng)部件：如果發(fā)現(xiàn)異常行為則觸發(fā)入侵警報(bào)，并按一定的策略采取相應(yīng)的防范措施。
1.2 預(yù)處理過(guò)程
　　預(yù)處理過(guò)程包括以下3個(gè)步驟：
　　（1）集成用戶(hù)會(huì)話連接。一個(gè)會(huì)話連接包含多個(gè)審計(jì)記錄，需要通過(guò)登陸和退出命令以及會(huì)話連接ID把多個(gè)屬于同一會(huì)話的審計(jì)記錄歸并到同一個(gè)會(huì)話連接中去。定義一個(gè)會(huì)話連接包含下面的屬性：本次會(huì)話連接的ID，本次會(huì)話的數(shù)據(jù)庫(kù)用戶(hù)名，該用戶(hù)所屬的角色名，本次會(huì)話用戶(hù)所提交的所有SQL語(yǔ)句序列。
　?。?）提取SQL模板序列階段。根據(jù)SQL模板的定義，依次將每個(gè)SQL語(yǔ)句轉(zhuǎn)化成SQL模板。相應(yīng)地，SQL語(yǔ)句序列就轉(zhuǎn)化成為SQL模板序列。
　　（3）計(jì)算SQL模板散列值。SQL模板長(zhǎng)度不一，特別是嵌套查詢(xún)語(yǔ)句的模板一般較長(zhǎng)，匹配效率較低。為了提高匹配效率，本文使用散列算法對(duì)每個(gè)SQL模板計(jì)算散列值，以后只要匹配散列值即可。這樣SQL語(yǔ)句序列被進(jìn)一步處理成散列值序列。散列函數(shù)^[5]是一種把可變長(zhǎng)度輸入串(預(yù)映射)轉(zhuǎn)換成固定長(zhǎng)度輸出串(散列值)的函數(shù)。散列函數(shù)具有單向性，從預(yù)映射的值很容易計(jì)算其散列值，但已知一個(gè)散列值，要找到預(yù)映射值，使其散列值等于已知散列值在計(jì)算上是不可行的。所以使用散列算法還可以增強(qiáng)系統(tǒng)安全性。
1.3 數(shù)據(jù)挖掘過(guò)程
1.3.1 粗糙集與知識(shí)約簡(jiǎn)

1.3.2? SQL模板庫(kù)的建立
　　一個(gè)好的散列算法，存在沖突的概率極小?？梢哉J(rèn)為散列值唯一代表一個(gè)SQL模板。由于散列值處理起來(lái)還是不太方便，本文還為每個(gè)散列值設(shè)置了連續(xù)的編號(hào)。每個(gè)編號(hào)唯一代表一個(gè)散列值，因此編號(hào)也唯一代表了一個(gè)SQL模板。編號(hào)與SQL模板庫(kù)的建立過(guò)程是同時(shí)進(jìn)行的，過(guò)程如下：
　　（1）依次根據(jù)會(huì)話中每個(gè)SQL模板的散列值搜索SQL模板庫(kù)；
　?。?）如果模板庫(kù)中沒(méi)有該散列值，則為其設(shè)置一個(gè)編號(hào)。若有，則獲取其編號(hào)；
　?。?）如果用戶(hù)所屬角色中沒(méi)有該散列值，則將其加入，格式為角色、散列值和編號(hào)。
用編號(hào)代替相應(yīng)的散列值，SQL語(yǔ)句序列就轉(zhuǎn)化成編號(hào)序列。
1.3.3 建立決策系統(tǒng)
　　本文的目標(biāo)是為每個(gè)用戶(hù)建立一個(gè)正常行為輪廓，以用戶(hù)作為獨(dú)立的單元來(lái)進(jìn)行訓(xùn)練。依次對(duì)每個(gè)用戶(hù)執(zhí)行這個(gè)過(guò)程，就得到所有用戶(hù)的正常行為輪廓。
　　設(shè)X是某用戶(hù)所有正常審計(jì)會(huì)話產(chǎn)生的全部SQL模板序列的集合，注意，此時(shí)的序列實(shí)際上是編號(hào)序列。用長(zhǎng)度為L(zhǎng)+1的窗口依次沿每個(gè)SQL模板序列以步長(zhǎng)為1滑動(dòng)，得到一系列長(zhǎng)度為L(zhǎng)+1的序列段，所有這些序列段組成了序列段集U。把U中每個(gè)序列段的前L個(gè)位置稱(chēng)作條件屬性集，記作A，把第L+1個(gè)位置稱(chēng)作決策屬性，記作d。SQL模板序列段反映了用戶(hù)會(huì)話中SQL模板之間的執(zhí)行次序。如果選取序列段為1，就丟失SQL模板的次序信息，而長(zhǎng)度太大，就會(huì)丟失會(huì)話的局部狀態(tài)信息，無(wú)法正確反映正常情況下的局部SQL模板的調(diào)用狀況。序列段長(zhǎng)度的選取與具體數(shù)據(jù)庫(kù)事務(wù)長(zhǎng)度有關(guān)，約為2～5個(gè)事務(wù)所包含的模板數(shù)。
　　建立正常行為輪廓的基本思想是根據(jù)U中的前L個(gè)SQL模板預(yù)測(cè)第L+1個(gè)SQL模板，即找到U中的條件屬性集A與決策屬性之間的關(guān)系。
1.3.4 提取用戶(hù)正常行為輪廓
　　在決策系統(tǒng)中，不是所有的屬性對(duì)知識(shí)表示都起作用。知識(shí)約簡(jiǎn)就是在決策系統(tǒng)保持分類(lèi)能力不變的條件下，去掉那些在知識(shí)表示中不起作用的屬性，以簡(jiǎn)化知識(shí)的表示。利用粗糙集理論約簡(jiǎn)知識(shí)，可得到最小決策規(guī)則分類(lèi)模型。
　　

　　刪除覆蓋率小于指定覆蓋率的規(guī)則。規(guī)則的覆蓋率是指同該規(guī)則匹配的短序列段的數(shù)目占總序列段數(shù)目的百分比。用戶(hù)的所有規(guī)則組成了用戶(hù)輪廓。
1.4 入侵檢測(cè)
　　定義6? 會(huì)話的異常度定義為預(yù)測(cè)失敗的序列段個(gè)數(shù)同會(huì)話中序列段總數(shù)之比。由安全管理員事先設(shè)定一個(gè)閾值，若會(huì)話異常度大于閾值，則認(rèn)為本次會(huì)話異常。
　　借助訓(xùn)練階段得到的用戶(hù)行為輪廓可以檢測(cè)出該用戶(hù)會(huì)話是否異常。一條規(guī)則同一個(gè)長(zhǎng)度為L(zhǎng)+1的序列段匹配，應(yīng)滿足如下條件：
　?。?）規(guī)則適用的長(zhǎng)度為L(zhǎng)+1；
　　（2）規(guī)則條件中描述的序列段各個(gè)位置上的SQL模板應(yīng)同序列段中的情況相符。
　　由于可能出現(xiàn)不一致規(guī)則的情況，因此本文引入了預(yù)測(cè)集概念。檢測(cè)用戶(hù)會(huì)話的算法如下：
　　（1）根據(jù)SQL模板庫(kù)把用戶(hù)會(huì)話轉(zhuǎn)換成SQL模板編號(hào)序列；
　　（2）如果序列還沒(méi)有檢測(cè)完，用長(zhǎng)度為L(zhǎng)+1的窗口在SQL模板序列上滑動(dòng)，步長(zhǎng)為1，每次截取一個(gè)長(zhǎng)度為L(zhǎng)+1的序列段。否則結(jié)束檢測(cè)；
　　（3）如果該序列段中包含不可用SQL模板，則會(huì)話異常度置為閾值+1，轉(zhuǎn)（7）；
　　（4）在正常模型中，尋找與該序列段匹配的規(guī)則，以獲得對(duì)該序列段預(yù)測(cè)集；
　?。?）若預(yù)測(cè)集為空，則以最常出現(xiàn)的幾個(gè)預(yù)測(cè)結(jié)果組成對(duì)該序列段的預(yù)測(cè)集；
　?。?）如果該序列段的第L+1個(gè)模板在預(yù)測(cè)集中，則預(yù)測(cè)成功。否則，將當(dāng)前事務(wù)標(biāo)記為異常事務(wù)，報(bào)告給DBA，并計(jì)算會(huì)話異常度；
　　（7）若會(huì)話異常度大于設(shè)定的閾值，則該會(huì)話連接為異常，報(bào)警并采取相應(yīng)措施。否則轉(zhuǎn)(2)。
2?實(shí)驗(yàn)結(jié)果與性能分析
　　本系統(tǒng)實(shí)驗(yàn)數(shù)據(jù)庫(kù)為高校人事管理數(shù)據(jù)庫(kù)，包含36個(gè)表，302個(gè)字段，使用SQL Server 2000的Profiler工具創(chuàng)建跟蹤來(lái)采集審計(jì)數(shù)據(jù)。首先按第3節(jié)方法建立SQL模板庫(kù)，選取的序列段長(zhǎng)度為9，并將用戶(hù)會(huì)話連接處理成決策系統(tǒng)形式，然后運(yùn)用波蘭華沙大學(xué)與挪威科技大學(xué)聯(lián)合開(kāi)發(fā)的ROSSETA軟件包對(duì)決策系統(tǒng)進(jìn)行屬性約簡(jiǎn)，并生成if-then形式的預(yù)測(cè)規(guī)則集，最后將預(yù)測(cè)規(guī)則集應(yīng)用于檢測(cè)。
　　為了驗(yàn)證方法的有效性，實(shí)驗(yàn)時(shí)，將閾值設(shè)成很大的值，以保證會(huì)話序列能被檢測(cè)完。首先將50個(gè)正常會(huì)話用于檢測(cè)，誤報(bào)率為5.8%，序列平均異常度為2.52。然后將生成的500個(gè)異常事務(wù)平均分配到這50個(gè)正常會(huì)話中，只有4個(gè)異常事務(wù)沒(méi)有被檢測(cè)出來(lái)，漏報(bào)率為0.8%，序列平均異常度為30.66。由誤報(bào)率和漏報(bào)率可以看出，本文建立的模型是比較精確的。由序列平均異常度可以看出，異常序列的平均異常度顯著高于正常序列的平均異常度，所以只要選取適當(dāng)閾值，盡管存在少量的誤報(bào)，也能夠準(zhǔn)確地將正常會(huì)話同異常會(huì)話區(qū)分開(kāi)來(lái)。
　　本系統(tǒng)能夠檢測(cè)的攻擊類(lèi)型如下：SQL注入攻擊、合法用戶(hù)的權(quán)限濫用、偽裝攻擊。
　　SQL注入攻擊是最常見(jiàn)的一種數(shù)據(jù)庫(kù)入侵方法，據(jù)了解，國(guó)內(nèi)60%的論壇都存在SQL漏洞，它的危害程度應(yīng)該引起足夠的重視。攻擊者利用數(shù)據(jù)庫(kù)應(yīng)用程序的漏洞，精心偽造惡意SQL語(yǔ)句，改變SQL查詢(xún)結(jié)構(gòu)以獲取用戶(hù)特權(quán)或?qū)?shù)據(jù)庫(kù)產(chǎn)生影響。這種攻擊是操作系統(tǒng)和網(wǎng)絡(luò)層入侵檢測(cè)系統(tǒng)所難以檢測(cè)的。下面以SQL注入攻擊為例說(shuō)明本模型的實(shí)際應(yīng)用。
　　例如用戶(hù)讓?xiě)?yīng)用程序按指定類(lèi)型列出自己的所有注冊(cè)信用卡。這段功能的偽代碼如下：
　　uname = getAuthenticatedUser()
　　cctype = getUserInput()
　　result = sql('SELECT nb FROM creditcards WHERE user=''
　　+ uname + '' AND type='' + cctype +'';')
　　print(result)
　　如果用戶(hù)Bob搜索他的所有VISA卡，將執(zhí)行以下查詢(xún)：SELECT nb FROM creditcards WHERE user='Bob' AND type='VISA';。這個(gè)例子包含了一個(gè)SQL注入漏洞。若Bob想看用戶(hù)Alice所有信用卡，他可以請(qǐng)求卡類(lèi)型'OR user ='Alice。這將引起如下查詢(xún)執(zhí)行：SELECT nb FROM creditcards WHERE user='Bob' AND type=''OR user='Alice';這個(gè)查詢(xún)將Alice所有信用卡列表返回給Bob。
　　在本模型中，上述攻擊語(yǔ)句將被提取為模板SELECT nb FROM creditcards WHERE user=% AND type=% OR user=%; 然后對(duì)該模板進(jìn)行散列，根據(jù)散列值搜索SQL模板庫(kù)，結(jié)果沒(méi)有與之匹配的散列值，因此可以斷定該模板異常。同樣地，該模型可以拒絕任何不符合事先定義的SQL模板的訪問(wèn)。
　　對(duì)于第二種攻擊，授權(quán)用戶(hù)繞過(guò)或回避安全控制, 一般會(huì)訪問(wèn)那些原來(lái)不允許訪問(wèn)的數(shù)據(jù)庫(kù)或數(shù)據(jù)庫(kù)對(duì)象。對(duì)它們的檢測(cè)類(lèi)似第一種。
　　對(duì)于第三種攻擊，攻擊者通過(guò)合法的登錄過(guò)程進(jìn)入系統(tǒng)(可能是竊取到賬號(hào)和口令)。不能單憑一兩次異常就斷定該用戶(hù)非法，檢測(cè)這種攻擊的前提是入侵者會(huì)作出較多與正常用戶(hù)不同的行為。如果一次會(huì)話中用戶(hù)反常行為過(guò)多，就認(rèn)為是一次入侵。
　　本文對(duì)已有的數(shù)據(jù)庫(kù)入侵檢測(cè)機(jī)制進(jìn)行了分析研究，并提出了一種基于粗糙集的數(shù)據(jù)庫(kù)入侵檢測(cè)模型。為了提高檢測(cè)的效率和精確度，使用了散列算法和預(yù)測(cè)集概念。該模型可以拒絕任何不符合事先定義的SQL模板的訪問(wèn)，還可以發(fā)現(xiàn)偽裝成合法用戶(hù)、但與合法用戶(hù)正常使用方式不同的攻擊者以及合法用戶(hù)的濫用行為。研究可以有效檢測(cè)數(shù)據(jù)庫(kù)入侵的方法是數(shù)據(jù)庫(kù)入侵容忍技術(shù)亟待解決的首要問(wèn)題，下一步工作是結(jié)合其他檢測(cè)方法進(jìn)一步提高模型精確度，并將該模型應(yīng)用到數(shù)據(jù)庫(kù)入侵容忍技術(shù)中。