CN103186637A - 一种分析boss数据库用户行为的方法及装置 - Google Patents

Abstract

本发明提供一种分析BOSS数据库用户行为的方法及装置，以解决现有技术中存在的，无法实时判断用户操作是否合法的问题，该方法包括：服务器从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围，以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析，由于从操作指令中提取用户的访问操作范围并进行合法性判断，进而可以实时的判断用户操作是否合法。

Description

一种分析BOSS数据库用户行为的方法及装置

技术领域

本发明涉及业务支撑和管理信息***领域，特别涉及一种分析BOSS数据库用户行为的方法及装置。

背景技术

目前信息安全是各大企业关注的重点。其中敏感数据的泄露或被恶意修改给企业带来巨大的经济损失和严重的品牌形象影响。数据库用户通过后台对敏感数据进行非法操作，风险极大。

虽然严格的数据修改审批流程可能规避风险，但由于数据操作过程中，后台人员写的结构化查询语言sql代码运行的多样性与复杂性，不能确保其中间过程中没有提取或修改需求之外的信息。

1995年，国际网络安全界最早提出4A(认证Authentication、账号Account、授权Authorization、审计Audit)统一安全管理平台解决方案概念，正式将身份认证作为整个网络安全的基础及不可或缺的组成部分，即将身份认证、授权、审计和账号(即不可否认性及数据完整性)定义为网络安全的四大组成部分，从而确立了身份认证在整个网络安全***中的地位与作用。

所谓4A统一安全管理平台解决方案，即融合统一用户账号管理、统一认证管理、统一授权管理和统一安全审计四要素后的解决方案将涵盖单点登录(SSO)等安全功能，既能够为客户提供功能完善的、高安全级别的4A管理，也能够为用户提供符合萨班斯法案(SOX)要求的内控报表。目前通过4A***对BOSS数据库管控的方案如图1所示：用户要登录所维护的***，要先统一登录4A门户，4A门户限定了该用户能够使用访问的数据应用***、主机、数据库等的帐号及权限，并可以记录用户的操作日志。目前的办法为：借助4A***的事后审计功能，进行月度审计。

后台管理员在事后导出所有BOSS数据库用户输入的字符命令、操作过程视频记录，通过阅读操作日志及观看视频的方式，来对每个用户的操作是否合法进行判断。

4A门户好比一个机房大楼的安保人员，它负责向进入大楼的人员发放门禁卡，该门禁卡限定了用户可以进入哪些楼层、哪个机房房间，同时借助视频监控***可以全程看到并记录进入人员的操作行为。

如何读懂并分析每一个进入人员的在每台机器上的操作行为？这首先要求安保人员24小时不间断查看每个进入人员在每台机器上的操作记录。其次是要求安保人员能够即时看懂所有主机、数据库SQL、应用软件的指令输入含义，清楚公司所有敏感数据对象，能实时判断输入操作是否合法。这一方案显然是无法实现的！

借助现有4A解决方案，在发生安全事故后，管理者才能知道曾有人违规操作，只能组织专业人员在事后对海量操作日志进行逐条审计，而从海量日志中进行回溯定责又极其繁琐，审计工作量极大，造成实际操作内容与审批内容匹配正确率低、效率低、非法操作发现成功率低等的问题。

借助现有4A解决方案，即使发现了一些非法操作，事故影响已经产生：数据已泄露、参数被修改，已影响用户感知，不可磨灭。显而易见，使用目前的4A解决方案，不能对操作用户行为实时分析(Analyse)，无法实时判断用户操作是否为合法。

由此可见现有技术中存在如下的问题：无法实时判断用户操作是否合法。

发明内容

本发明的目的是针对现有技术中存在的，无法实时判断用户操作是否合法的问题，提供一种分析BOSS数据库用户行为的方法及装置，该方法包括：

服务器从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围；

服务器以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。

进一步，服务器以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析具体为：

服务器将对预先配置的敏感数据进行的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析。

进一步，敏感数据在BOSS数据库中的表名、字段名及敏感数据所对应的限定的访问操作，通过数据表的形式保存。

进一步，还包括：

服务器从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围及对应的工单号；

服务器获取用户发送的与操作指令相对应的工单号；

服务器将对预先配置的敏感数据的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析具体为：

服务器根据工单号和已审批的访问操作范围的对应关系、以及设定的不合法性访问操作，对与获取的工单号对应的操作指令中的访问操作范围的合法性进行分析。

进一步，服务器从操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围具体为：

服务器运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎；

服务器通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围。

进一步，服务器从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围具体为：

服务器从工单中提取分析用户访问操作范围所需的SQL目标语句；

服务器运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎；

服务器通过SQL语法分析引擎对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围。

进一步，还包括：

服务器若确定用户将对BOSS数据库进行的访问操作合法，则允许用户对BOSS数据库进行访问操作，否则拒绝用户对BOSS数据库进行的访问操作。

进一步，服务器为BOSS数据库的前置堡垒机。

本发明实施例还提供一种分析BOSS数据库用户行为的装置，包括：

提取模块，用于从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围；

分析模块，用于以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。

进一步，分析模块，还用于将对预先配置的敏感数据进行的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析。

进一步，提取模块，还用于从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围及对应的工单号，以及获取用户发送的与操作指令相对应的工单号；

分析模块，还用于根据工单号和已审批的访问操作范围的对应关系、以及设定的不合法性访问操作，对与获取的工单号对应的操作指令中的访问操作范围的合法性进行分析。

进一步，提取模块，还用于运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围。

进一步，提取模块，还用于从工单中提取分析用户访问操作范围所需的SQL目标语句，运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围。

进一步，还包括：

执行模块，用于若确定用户将对BOSS数据库进行的访问操作合法，则允许用户对BOSS数据库进行访问操作，否则拒绝用户对BOSS数据库进行的访问操作。

由于从操作指令中提取用户的访问操作范围并进行合法性判断，进而可以实时的判断用户操作是否合法。

附图说明

图1表示本发明实施例提供的总体架构图；

图2表示本发明实施例提供的方法流程图：

图3表示本发明实施例提供的装置结构图。

具体实施方式

下面结合说明书附图对本发明优选实施例进行说明，本发明实施例提供一种分析BOSS数据库用户行为的方法及装置，以解决现有技术中存在的，无法实时判断用户操作是否合法的问题。

本实施例中，BOSS堡垒机从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围，BOSS堡垒机以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。当然也可以不是BOSS堡垒机，而是一个单独的分析服务器来执行上述的步骤。

相比现有4A***方案，本技术方案在4A与BOSS数据库之间部署增加iAnalyser***，该***可部署在BOSS堡垒机上，以实现对非法访问操作的实时分析，总体架构如图1所示。

Secure Sqlplus客户端11，以下简称该客户端为ss，通过JAVA程序编写的一个类Sqlplus客户端，通过在操作***中设置权限，只允许用户使用ss对BOSS数据库进行访问操作。它首先可以捕捉到用户向BOSS数据库发送的操作指令，调用语法分析引擎13分析每一条输入的操作指令，并将与输入的操作指令对应的用户输入的key等信息，发送到合法性判断模块，其中key为已审批的用户申请对BOSS数据库进行访问操作的工单的工单号，并通过合法性判断模块对该条操作指令语句(格式为sql语句)进行合法性判断。SS可以实现对非法操作的拦截，若语句最终判断结果为合法，则将该sql语句如实转发到BOSS数据库中，并显示BOSS数据库的操作结果返回给用户，若判断结果为非法，SS将对这种SQL语句进行拒转，并反馈给用户。

工单同步模块12，该模块通过，提供的Webservice接口协议，将“已审批”的“数据修改工单”内容同步过来，其中***工单审批***简称AMS***支持BOSS***的工单审批、事件处理流程，并将“工单流水号”记作为密钥key即之前所称的工单号，然后调用语法分析引擎13，从包括中文、英文、特殊字符等复杂无规律的工单描述中，提取出分析用户访问操作范围所需的SQL目标语句，并分析拆分成语法分析树(数据库对象+动作的简化集合)，从中得到已审批的访问操作范围，最终将key、本工单涉及操作的表名、字段表、访问操作动作等这些项写到分析数据库中，作为合法性判断依据二。

语法分析引擎13它可以为SS及同步模块所调用，可以分别对同步模块以及SS实时传送过来的SQL语句进行实时分析，并分析出对应的要访问操作的BOSS数据库的表、字段、以及访问操作范围，并将结果写到分析数据库中。该模块是本技术的核心关键部份，具体实现方法见后文详述。

合法性判断模块14与SS客户端、分析数据库进行实时交互。当用户在登录SS客户端时，SS客户端将用户输入的key发送到合法性判断模块，此时合法性判断模块先根据该key，到分析数据库中提取该key下所允许的访问操作的对象及动作即合法性判断依据二，当用户输完一条操作指令后，语法分析引擎将分析结果实时写到分析数据库里，这时合法性判断模块提取该条操作指令的分析结果，即用户将对BOSS数据库进行的访问操作的访问操作范围，作为合法性判断依据三，同时参考合法性判断一(通过展示模块配置敏感对象表，指定敏感数据重点保护的表名、字段名、限定该指定对象下的操作动作类型，作为合法性判断的依据一，依据一就是设定的不合法性访问操作，不合法性访问操作就是对预先配置的敏感数据进行的访问操作。注：判断依据一作为重点关注的保护对象，是固定的对象，判断依据二作为不同的审批单允许的对象，相比灵活多变。这两者结合，既可分重点，又可更灵活地对敏感数据进行保护)。根据三个判断依据，当判断依据三与，依据一或依据二任意其一不符合时，即被判断为非法操作，该模块内容是技术关键点，具体实现方法见后文详述。合法性判断模块最终将判断结果写到分析数据库模块。

分析数据库15接收并记录语法分析引擎所分析出来的所有访问操作对象结果，并接收记录合法性判断模块传过来的每条SQL指令的合法性判断结果。它可以被语法分析引擎、合法性判断模块、展示模块所访问。该模块不涉及关键创新技术，因此后面不作详述。

展示模块16可以完成后台管理工作，可以在展示模块前台页面配置合法性判断的依据一；同时对合法性判断结果进行展示；可以直接看到哪位用户进行了什么样的操作，该操作是否有违法。

当然上述的模块划分只是本实施例的优选方案，也可以将多个功能模块的功能在一个功能模块中实现，本实施例不对此进行限定。

本发明实施例提供的方法流程图如下图2所示，包括如下步骤：

步骤101：配置敏感对象表，指定敏感数据重点保护的BOSS数据库中的表名、字段名、限定该指定敏感数据对象下的操作动作类型，作为合法性判断的依据一。

本步骤通过敏感对象表的形式，敏感数据在BOSS数据库中的表名、字段名及敏感数据所对应的限定的访问操作，通过数据表的形式保存。这样服务器就可以确定哪些访问操作是不合法性访问操作，哪些是合法性访问操作，具体而言可以确定对合法性判断依据一的访问操作为不合法性访问操作，即确定对预先配置的敏感数据进行的访问操作为不合法性访问操作。

步骤102：利用Webservice接口每三小时从工单***(AMS***)同步提取数据修改审批工单内容。

AMS***存有数据修改审批工单，即已审批的用户申请对BOSS数据库进行访问操作的工单。并从包括中文、英文、特殊字符等复杂无规律的工单描述中，提取出分析用户访问操作范围所需的SQL目标语句。

步骤103：利用语言、语法描述理解工具antlr实现基于抽象语法树(AST)的SQL语法分析引擎。

步骤104：SQL语法分析引擎对审批工单内容进行分析，提取出工单号(key)以及经过审批允许的访问操作范围(表名、字段及访问操作动作)，并存放到分析数据库15，作为合法性判断的依据二。

BOSS堡垒机通过SQL语法分析引擎，从已审批的用户申请对BOSS数据库进行访问操作的工单中提取工单号，该工单号与已审批的访问操作范围对应。例如语法分析引擎从一个工单中提取的key为a1a1a1，以及提取已审批的访问操作范围即表名a、字段b及访问操作动作c。

BOSS堡垒机通过SQL语法分析引擎，对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围，即合法性判断的依据二。

步骤105：回收用户之前使用的SQL指令执行工具sqlplus权限，构建ss客户端。

步骤106：ss工具接收到用户输入的工单号后，提出该工单经审批允许的操作数据范围(合法性判断依据一和二)。

BOSS堡垒机通过ss工具，获取用户输入的工单号，该工单号与SQL操作指令相对应。ss工具根据该工单号得到对应的合法性判断依据一和二。

步骤107：ss工具对实时接入的SQL操作指令进行分析，并实时与工单的操作范围(操作动作、操作对象)进行合法性判断。

用户首先登录认证、账号、授权及审计4A***，之后在ss工具输入工单号key及SQL操作指令，ss工具将SQL操作指令传递到SQL语法分析引擎，SQL语法分析引擎从SQL操作指令中提取合法性判断的依据三，依据三就是用户将对BOSS数据库进行的访问操作的访问操作范围。

具体实现时，通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围，作为合法性判断的依据三。

BOSS堡垒机的ss工具根据合法性判断的依据一和合法性判断的依据二，确定合法性访问操作范围，并据此对依据三的合法性进行分析。

若确定依据三合法，则返回true值确定操作合法，允许用户对BOSS数据库进行访问操作，否则返回flase值确定操作非法，拒绝用户对BOSS数据库进行的访问操作。

步骤108：对异常操作数据开发出相关应用如：展示、导出、报表等相关应用。

在以上对本方案主要思路及实现流程步骤进行整体概要性介绍的基础上，下面根据实现步骤的顺序，进一步对本方案所涉及的关键技术点的具体实施方式进行深入说明。

步骤101：配置敏感对象表tb.mingan，指定敏感数据重点保护的BOSS数据库中的表名、字段名、限定该指定对象下的操作动作类型，作为合法性判断的依据之一。

实现步骤如下：

利用J2EE构建***应用框架，提供Web操作界面对敏感数据表进行维护管理。

管理员配置敏感对象表tb.mingan，指定敏感数据sa_sr_role重点保护的BOSS数据库中的表名a、字段名b，限定sa_sr_role的操作动作类型为insert、update、delete，并以此作为判断依据一。这样就将判断依据一放到tb.mingan表中。

从上面的配置数据样例，可以看到对于敏感数据sa_sr_role高危操作为insert、update、delete。当发现用户对sa_sr_role进行操作时，将立刻拦截。

步骤102：利用Webservice接口每三小时从工单***(AMS***)同步提取数据修改审批工单内容。

利用AMS工单***提供的WebService接口http://10.243.69.7/USD_WS/usd_ws.asmx？wsdl中的查询功能，配置查询数据修改单参数，对返回的xml数据进行解释，将数据修改单的日志保存到分析数据库中。

具体实现步骤如下：

设定提取工单的条件为佛山数据修改审批单(工单类型z_type＝′48′AND地市为佛山z_cust_org＝1313)。

同步数据信息以xml的形式返回。根据接口规范，对xml进行解释，分离提取出AMS中的工单号、类型、相关人员、主题、描述等工单数据。

利用hibernate将同步后的工单数据保存到分析数据库的AMS_WORK_ORDER表中。

步骤103：运用语言、语法描述理解工具antlr构建基于抽象语法树(AST)的SQL语法分析引擎。

当需要文本处理时，还可以使用正则表达式，使用Antlr的词法分析器生成器，因为可以很容易的完成正则表达式能够完成的所有工作；除此之外使用Antlr还可以完成一些正则表达式难以完成的工作，比如识别左括号和右括号的成对匹配等。

使用Oracle免费提供的pl/sql语法定义文件PLSQL3j.g，该文件包含了oracle语法描述，用antlrwork运行打开g文件可以查看g原码。

用cmd输入命令java-mx256M org.antlr.Tool PLSQL3j.g。

基于Antlr生成的词法分析器和语法分析器后，可以基于它们来验证输入的表达式是否合法。此时需要调用Antlr的API完成Java程序getSQLObject，如下图所示。对每一个输入的字符串，我们构造一个ANTLRStringStream流in，用in构造词法分析器lexer。词法分析的作用是产生记号，用词法分析器PLSQL3jLexer构造一个记号流tokens，然后再使用tokens构造语法分析器parser，完成词法分析和语法分析的准备工作。最后调用语法分析器的规则sql_command，完成对表达式的验证。至此，语法分析引擎就构造完成了。

步骤104：SQL语法分析引擎对审批工单内容进行分析，提取出工单号(key)以及经过审批允许的访问操作范围(表名、字段及访问操作动作)，并存放到分析数据库中，作为合法性判断的依据之二。

实现步骤如下：

对步骤102中保存下来的AMS工单日志(AMS_LOG表中的DESCRIPTION字段)内容进行分析，通过调用语法分析引擎分析出每张AMS工单号对应的访问操作内容。

将上步骤中的结果存放到表tb.shenpi中，标识为通过审核的数据。

步骤105：回收操作人员以往使用的SQL指令执行工具sqlplus权限，构建ss客户端。

java语言具有跨平台的优势，在本方案中采用java开发一个带main的可在命令行执行的java应用程序。在main程序执行时，可以通过jdk1.6自带的System.in.read工具函数捕捉到用户前台的指令和密码输出。代码如下：

while(true){

char ch＝(char)System.in.read()；

}

步骤106：ss工具接收到用户输入的工单号后，提取出该工单经审批允许的操作数据范围(合法性判断依据一和二)。

用户员执行数据操作前必须先输入key，SS传递该key，实现步骤如下：

根据用户输入的key到TB.SHENPI表(key对应AMS_CDOE字段)和敏感数据表tb.mingan提取出该key对应已经审批的数据及访问操作动作(ctrl)和服务操作对象FIELD。

用java hashmap(shenpiMap)对操作动作和对象(ctrl+FIELD)作为该key的操作范围进行存放。

步骤107：ss工具对实时接入的SQL指令进行分析，并实时与工单的操作范围(操作动作、操作对象)进行匹配。

通过字符分析，如果出现“；\n”(分 号+回车)的操作即认定为该sql已输入完成。将整句sql提取，然后构建合法性判断模块SqlParser对用户输入sql和已通过审批的操作范围进行对比，得出判断异常的方法。

具体实现步骤如下：

ss工具即Secure-sqlplus客户端实时捕捉用户输入的sql语句；

传送到语法分析引擎进行分析，分离出用户输入语句操作的动作和操作的对象，并保存到tb.user_Input表中；

将上步中的结果保存到java hashmap(userMap)中。

合法判断模块将userMap中的项逐一在操作范围shenpiMap中进行取值；

如果所有项取到了等值，即判定为真，则返回true，该操作为合法；

如果取不到等值，则返回false，该操作判定为非法。

步骤108：对异常操作数据开发出相关应用如：展示、导出、报表等相关应用。

使用j2ee框架，基于B/S结构，实现“配置、查询、导出，报表”等应用。优选利用struts+hibernate+spring.进行展现。

本发明实施例还提供一种分析BOSS数据库用户行为的装置，如图3所示，包括：

提取模块201，用于从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围；

分析模块202，用于以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。

进一步，分析模块202，还用于将对预先配置的敏感数据进行的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析。

进一步，提取模块201，还用于从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围及对应的工单号，以及获取用户发送的与操作指令相对应的工单号；

分析模块202，还用于根据工单号和已审批的访问操作范围的对应关系、以及设定的不合法性访问操作，对与获取的工单号对应的操作指令中的访问操作范围的合法性进行分析。

进一步，提取模块201，还用于运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围。

进一步，提取模块201，还用于从工单中提取分析用户访问操作范围所需的SQL目标语句，运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围。

进一步，还包括：

执行模块203，用于若确定用户将对BOSS数据库进行的访问操作合法，则允许用户对BOSS数据库进行访问操作，否则拒绝用户对BOSS数据库进行的访问操作。

Claims (14)

1.一种分析BOSS数据库用户行为的方法，其特征在于，包括：

服务器从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围；

服务器以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。

2.根据权利要求1所述的方法，其特征在于，服务器以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析具体为：

服务器将对预先配置的敏感数据进行的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析。

3.根据权利要求2所述的方法，其特征在于，敏感数据在BOSS数据库中的表名、字段名及敏感数据所对应的限定的访问操作，通过数据表的形式保存。

4.根据权利要求2所述的方法，其特征在于，还包括：

服务器从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围及对应的工单号；

服务器获取用户发送的与操作指令相对应的工单号；

服务器将对预先配置的敏感数据的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析具体为：

服务器根据工单号和已审批的访问操作范围的对应关系、以及设定的不合法性访问操作，对与获取的工单号对应的操作指令中的访问操作范围的合法性进行分析。

5.根据权利要求4所述的方法，其特征在于，服务器从操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围具体为：

服务器运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎；

服务器通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围。

6.根据权利要求4所述的方法，其特征在于，服务器从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围具体为：

服务器从工单中提取分析用户访问操作范围所需的SQL目标语句；

服务器运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎；

服务器通过SQL语法分析引擎对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围。

7.根据权利要求4所述的方法，其特征在于，还包括：

服务器若确定用户将对BOSS数据库进行的访问操作合法，则允许用户对BOSS数据库进行访问操作，否则拒绝用户对BOSS数据库进行的访问操作。

8.根据权利要求1所述的方法，其特征在于，服务器为BOSS数据库的前置堡垒机。

9.一种分析BOSS数据库用户行为的装置，其特征在于，包括：

提取模块，用于从用户登录认证、账号、授权及审计4A***后，向BOSS数据库发送的操作指令中提取，用户将对BOSS数据库进行的访问操作的访问操作范围；

分析模块，用于以合法性访问操作范围作为判断依据，对提取的访问操作范围的合法性进行分析。

10.根据权利要求9所述的装置，其特征在于，分析模块，还用于将对预先配置的敏感数据进行的访问操作作为不合法性访问操作，并据此对提取的访问操作范围的合法性进行分析。

11.根据权利要求9所述的装置，其特征在于，提取模块，还用于从已审批的用户申请对BOSS数据库进行访问操作的工单中，提取已审批的访问操作范围及对应的工单号，以及获取用户发送的与操作指令相对应的工单号；

分析模块，还用于根据工单号和已审批的访问操作范围的对应关系、以及设定的不合法性访问操作，对与获取的工单号对应的操作指令中的访问操作范围的合法性进行分析。

12.根据权利要求11所述的装置，其特征在于，提取模块，还用于运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL操作指令进行分析并拆分成语句分析树，从中得到用户将对BOSS数据库进行的访问操作的访问操作范围。

13.根据权利要求11所述的装置，其特征在于，提取模块，还用于从工单中提取分析用户访问操作范围所需的SQL目标语句，运用语言、语法描述理解工具实现基于抽象语法树的结构化查询语言SQL语法分析引擎，通过SQL语法分析引擎对SQL目标语句进行分析并拆分成语句分析树，从中得到已审批的访问操作范围。

14.根据权利要求11所述的装置，其特征在于，还包括：

执行模块，用于若确定用户将对BOSS数据库进行的访问操作合法，则允许用户对BOSS数据库进行访问操作，否则拒绝用户对BOSS数据库进行的访问操作。

Images