基于量化行為的異構數據庫強制訪問控制方法

張 峻，闞銀環

(華南農業大學珠江學院，廣東 廣州510900)

1 引言

伴隨著數據庫技術的發展與完善，它已滲透到社會生活的各個領域，承擔著越來越大的數據存儲任務，包括醫療衛生、電子商務、軍事等。通過數據庫存儲和處理大量的數據，包括一些機密的敏感數據、商業秘密數據和個人隱私數據。如果數據一旦被竊取或篡改，就會造成不可估量的損失，數據庫安全問題是隨著各種信息的爆炸式增長和信息處理的日益復雜而逐步擴大的，所以，確保數據庫的安全已成為當前數據庫研究領域的重要課題。

當前，有較多學者對異構數據庫訪問控制方法已經有了較多的研究，文獻[1]中，楊霞等人對RTOS的輕量級強制訪問控制技術進行了研究，該方法首先建立了強制訪問控制模型，然后提出了任務權限安全模型，設計了安全策略，實現了數據庫訪問控制；文獻[2]中，付永貴等人研究了基于區塊鏈的數據庫訪問控制機制，該機制主要設計了數據庫訪問控制架構，通過訪問者的身份，對數據庫進行了控制。但是上述方法在應用過程中，存在控制時授權時間長的問題，量化行為能夠綜合考慮訪問活動發起的主體、訪問活動所處環境以及訪問活動發起的時間定義訪問行為，因此，將該方法應用到異構數據庫強制訪問控制中，提高授權時間。實驗結果表明，此次研究的基于量化行為的異構數據庫強制訪問控制方法有效提高了授權時間與授權正確率，證明此次研究的控制方法具備一定的應用效果，實際應用意義強。

2 用戶訪問權限關系建立

在對異構數據庫實施強制訪問控制前，建立用戶訪問權限關系，通過用戶訪問權限關系建立為異構數據庫提供初始保護。下面是用戶與多層角色之間的關系表。

表1 用戶與多級角色關系表

多層及內部角色關系表，這個表用來存儲多層角色和內部角色之間的對應關系。下面是該表的具體字段信息。

表2 多級角色與內部角色表

內部角色和對象表和操作權限的關系表，該表用于存儲內部角色和對象表，以及該表中角色的操作權限關系。下面是這個表的具體字段信息。

表3 內部角色與客體表的關系表

通過上述三個表的結合，實現了基于角色的多層次關系安全訪問控制模型的權限關系[3]。在這些關系中，用戶和多級角色的一一對應關系，多級角色和內部角色之間的一對多關系，內部角色[4]和對象表上的操作權限之間的關系可以用下面的圖1表來表示。

圖1 用戶對客體表的操作權限關系圖

這一權限關系結構為以后實現安全、方便的訪問控制系統奠定了良好的基礎。

3 基于量化行為的異構數據庫強制訪問控制實現

通過上述過程能夠限定用戶在數據庫中的訪問權限，初步依據用戶具有的內部角色判斷是否允許操作，在允許操作后，進行后續訪問控制[5]。在最后的訪問控制中，主要采用量化行為的方法進行控制。量化行為能夠將不同屬性的屬性值映射到統一度量值，這個模型包含很多不同的元素[6]，通過量化每個元素的屬性來增加訪問控制系統的復雜性，使相同的用戶在不同的時間具有不同的權限，數據庫管理員 booth在備份任務執行過程中具有備份文件修改權限[7]。綜上所述，提出圖2所示的訪問控制模型。

圖2 訪問控制模型結構圖

根據圖2的異構數據庫強制訪問控制模型可知，首先，需要先根據不同的用戶屬性進行用戶量化，同時判斷當前環境屬性，實現當前環境下的用戶訪問行為量化，并在上述基礎上對操作對象與操作環境的時態進行分析，判斷用戶的操作類型，完成對用戶訪問權限的綜合性評估，最后，根據評估結果進行對客體數據庫訪問過程進行控制。

該控制模型主要預先驗證用戶名和密碼是否真實有效，若有效則進行下一步操作，獲得用戶的訪問操作類型、用戶角色與訪問的相關信息。并將這些信息交由訪問控制模塊，最后判斷是否授權訪問行為[8]。具體過程如下所示：

為對用戶的信任度進行量化，利用映射函數將用戶的屬性值轉換為可計算的常數值，并將其引入到信任度計算函數中，得到相應的信任度[9]。表達式為

(1)

式中，Lattr代表用戶屬性集合，V(uattr1)代表對應的屬性值，w代表屬性對應的權重。

定期量化用戶屬性[10]，當量化結果超出了角色元素的閾值時，將進行角色狀態轉換，并根據量化結果向角色重新分配用戶。

然后，對用戶行為的信任度進行量化[11]。可以將行為屬性進一步細化為用戶、環境和時間屬性[12]。對體系結構行為屬性進行量化，對上述屬性進行進一步加權和匯總，從而實現更詳細的訪問控制。進行量化的流程如圖3所示。

圖3 用戶行為信任度量化流程

根據圖3的用戶行為信任度量化流程可知，首先需要對用戶權限進行查詢，然后進行查詢重寫，判斷查詢是否完成，查詢完畢后進行信任度評價，匯總用戶行為屬性，進行用戶訪問控制；反之，細化用戶行為信任度進行，返回查詢重寫過程。

評估的表達式是

(2)

式中，wi、wj、wk分別代表用戶屬性、環境屬性以及時態屬性的權重，V(uattr)、V(eattr)、V(tattr)分別代表各個屬性對應的屬性值。

根據以上過程，訪問者的訪問被量化，在此基礎上，對主體行為屬性進行了定量，當量化結果超出安全級別閾值時，將進行安全級別轉移，并再次將安全級別分配給用戶的訪問行為。

在上述量化用戶信任度與用戶行為的信任度量化的基礎上，對訪問情況安全等級評價，其表達式為：

(3)

式中，secn、sec2、sec1分別代表安全等級。

在確定訪問行為的安全等級后，授予訪問者訪問權限，具體表現形式如下所示

(4)

式中，security(opci)代表操作類型為opci的訪問行為所需要的最低安全等級。

經過上述計算分析用戶訪問行為的安全等級，如果用戶訪問行為安全等級高于操作類型的最低安全等級則允許用戶訪問，若低于則拒絕用戶的訪問請求，以此通過上述過程完成基于量化行為的異構數據庫強制訪問控制。

4 實驗

4.1 實驗環境

為驗證此次研究的數據庫強制訪問控制方法的有效性，進行實驗對比。該實驗采用 NHRTDB關系數據庫作為數據庫平臺，試驗硬件環境為英特爾酷睿i3(3.30 GHz)4 G內存 CPU。

并為了保證實驗嚴謹性，將文獻[1]中的針對RTOS的輕量級強制訪問控制技術與文獻[2]中的基于區塊鏈的數據庫訪問控制機制與所設計的訪問控制方法進行對比，主要對比三種方法的多次訪問次數下授權時間變化趨勢、多次訪問次數下資源使用情況、以及三種方法的授權正確率。

4.2 多次訪問次數下授權時間變化趨勢

此次研究的基于量化行為的異構數據庫強制訪問控制方法與傳統針對RTOS的輕量級強制訪問控制技術、基于區塊鏈的數據庫訪問控制機制兩種方法在多次訪問次數下授權時間變化趨勢如圖4所示。

圖4 多次訪問次數下授權時間變化趨勢

由圖4可知，訪問次數越多，訪問時間越長。當訪問次數為20×104次時，文獻[1]方法的訪問時間為320ms，文獻[2]方法的訪問時間為350ms，本文方法的訪問時間僅為275ms。當訪問次數為30×104次時，文獻[1]方法的訪問時間為560ms，文獻[2]方法的訪問時間為580ms，本文方法的訪問時間僅為350ms。此次研究的方法與傳統兩種方法的授權時間均隨著訪問次數的增加而增加，并且都呈線性增長的趨勢增加。本文方法的授權時間遠低于其它方法，說明本文方法的授權效率較高。

4.3 多次訪問次數下資源使用情況對比

為了進一步驗證在多次訪問下的資源利用率，驗證文獻[1]方法、文獻[2]方法以及本文方法下的系統資源使用情況，得到對比結果如表1所示。

表1 多次訪問次數下資源使用情況

分析表1可知，訪問次數越多CPU占用率越高。當訪問次數為5×104次時，文獻[1]方法的CPU占用率為25%，文獻[2]方法的CPU占用率為32%，本文方法的CPU占用率僅為2%。當訪問次數為30×104次時，文獻[1]方法的CPU占用率為35%，文獻[2]方法的CPU占用率為47%，本文方法的CPU占用率僅為7%。當訪問次數為50×104次時，文獻[1]方法的CPU占用率為45%，文獻[2]方法的CPU占用率為64%，本文方法的CPU占用率僅為12%。本文方法的CPU占用率始終處于較低水平，這是因為本文方法對用戶的信任度與用戶行為的信任度進行量化，定量主體行為屬性，對訪問情況的安全等級進行了評價?？傮w能夠證明，系統資源占用率能夠滿足數據生產端需求，能夠滿足訪問控制需求。

4.4 授權正確率對比

通過下述公式對三種方法的授權正確率計算

(5)

式(5)中，C代表授權正確率，n代表正確授權的訪問數目，N代表訪問行為的總數。

針對RTOS的輕量級強制訪問控制技術、基于區塊鏈的數據庫訪問控制機制與此次設計的訪問控制方法的授權正確率對比結果如圖6所示。

圖6 授權正確率對比

分析上圖可知，當訪問次數為10×104次時，文獻[1]方法的授權正確率為39%，文獻[2]方法的授權正確率為41%，本文方法的授權正確率高達83%。當訪問次數為20×104次時，文獻[1]方法的授權正確率為41%，文獻[2]方法的授權正確率為48%，本文方法的授權正確率高達82%。

在不同的訪問量下，此次研究的基于量化行為的異構數據庫強制訪問控制方法的授權正確率都比較高，并且遠遠高于其它傳統方法。這是因為本文方法通過量化行為方法對用戶行為的信任度進行量化，同時進行了安全等級評價，實現了異構數據庫強制訪問控制，提高了系統的授權正確率。

綜上所述，此次研究的基于量化行為的異構數據庫強制訪問控制方法較傳統針對RTOS的輕量級強制訪問控制技術、基于區塊鏈的數據庫訪問控制機制兩種方法的控制效果好，原因是此次研究的控制方法預先對用戶關系進行了分析，然后采用了量化行為方法對控制對象進行了細化，最后實現數據庫強制訪問控制，得到了效果較好的訪問控制效果。

5 結束語

對數據庫的訪問控制進行了研究，通過實驗驗證了此次研究的控制方法的有效性。通過對比實驗得出以下結論：

1)當訪問次數為30×104次時，設計方法的訪問時間僅為350ms，明設計方法能夠提升授權效率。

2)當訪問次數為50×104次時，設計方法的CPU占用率僅為12%，說明設計方法能夠降低CPU占用率。

3)當訪問次數為20×104次時，設計方法的授權正確率高達82%，說明設計方法能夠提升授權正確率。

但是由于研究時間的限制，此次研究的方法還有一定的不足，因此在后續研究中還需要繼續優化此次研究的方法。下一步的研究工作將主要圍繞更加高效的方式對行為進行量化，從而進一步減少用戶訪問時控制方法的響應時間，為數據庫強制訪問控制提供幫助。