摘要：傳統(tǒng)的數(shù)據(jù)庫損害控制是一階段的，在損害評估期間損害會(huì)擴(kuò)散。本文我們給出名為一種多階段數(shù)據(jù)庫損害控制系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。通過這種方法，系統(tǒng)保證在損害評估期間不會(huì)發(fā)生損害擴(kuò)散。
關(guān)鍵詞：多層數(shù)據(jù)庫損害控制；系統(tǒng)設(shè)計(jì)
最近，越來越多的人發(fā)現(xiàn)現(xiàn)有的安全的系統(tǒng)對于多種攻擊來說依舊易于攻擊，現(xiàn)有安全機(jī)制缺乏阻止攻擊能力。入侵容忍系統(tǒng)不同于傳統(tǒng)的安全系統(tǒng)，擴(kuò)展傳統(tǒng)安全系統(tǒng)經(jīng)歷攻擊后能夠生存或可操作。入侵容忍系統(tǒng)的焦點(diǎn)在于面臨攻擊時(shí)有能力提供持續(xù)的基本服務(wù)。本文中，我們給出一個(gè)多階段數(shù)據(jù)庫損害控制的完整模型，并且設(shè)計(jì)和實(shí)現(xiàn)一個(gè)多階段數(shù)據(jù)庫損害控制系統(tǒng)。本系統(tǒng)的關(guān)鍵特性是實(shí)現(xiàn)多階段損害控制，因此能夠確保修復(fù)期間不會(huì)存在損害漏出。同時(shí)能立即控制多個(gè)惡意事務(wù)造成的損害，沒有損害漏出，而且對于最終用戶是透明的，因此數(shù)據(jù)庫應(yīng)用開發(fā)人員感覺不到損害控制的復(fù)雜。
1多級數(shù)據(jù)庫控制元素
1.1一階段損害控制
可生存數(shù)據(jù)庫系統(tǒng)執(zhí)行一階段損害控制，只對修復(fù)管理鑒別出被破壞的數(shù)據(jù)項(xiàng)進(jìn)行控制，直到它們被修復(fù)。一個(gè)被控制的數(shù)據(jù)項(xiàng)不能被新的事務(wù)讀取或更新。
1.2多階段損害控制
可生存數(shù)據(jù)庫系統(tǒng)實(shí)行多階段損害控制：（1）一旦惡意事務(wù)B被發(fā)現(xiàn)，一組特殊的數(shù)據(jù)項(xiàng)，記做SE，將被立即控制。SE的定義是被B破壞的數(shù)據(jù)集，記做SD，是SE的子集。這個(gè)階段叫做最初控制。最初控制應(yīng)該迅速完成。被控制的數(shù)據(jù)集被稱作控制集。為確保最初控制之后沒有損害擴(kuò)散，每一個(gè)活動(dòng)事務(wù)應(yīng)該被回滾到SE被控制之前。（2）整個(gè)多階段損害控制過程是一系列控制集，即SE，S1，S2，...，Sk，...,這些集合匯聚到一個(gè)空集合￥，SE是最初控制的結(jié)果，而且可能包括很多錯(cuò)誤控制的未被損害的數(shù)據(jù)項(xiàng)。Si（i>=1）是解除錯(cuò)誤控制數(shù)據(jù)項(xiàng)或已經(jīng)被修復(fù)的數(shù)據(jù)項(xiàng)的解除控制操作集合的結(jié)果。作為結(jié)果，當(dāng)i<j時(shí)Sj包含于Si。當(dāng)這個(gè)集合為空集時(shí)，所有被控制的損害都被修復(fù)，沒有對象需要被控制了。解除控制操作通常非為幾個(gè)解除階段，盡管這些解除階段能夠同時(shí)存在。多階段控制的優(yōu)點(diǎn)在于修復(fù)期間沒有損害漏出以及修復(fù)非常簡便。
2應(yīng)對多個(gè)惡意事務(wù)的算法設(shè)計(jì)
我們針對多個(gè)惡意事務(wù)提出一種多階段控制算法，能夠保證被控制的數(shù)據(jù)庫部分不會(huì)有損害泄漏。處理多個(gè)惡意事務(wù)的具體算法如下：When系統(tǒng)只有一個(gè)惡意事務(wù)Bi正在被修復(fù)，且惡意事務(wù)Bj被發(fā)現(xiàn)：控制操作：（a）回滾所有當(dāng)前活動(dòng)事務(wù)（b）設(shè)置t2為當(dāng)前時(shí)間（c）設(shè)置t1的值為min（tBis，tBjs）。這里tBis和tBjs分別是Bi及Bj開始時(shí)間。注意Bj可能早于Bi開始。（d）在U_SET被隨后解除控制操作調(diào)整之后，允許新事務(wù)進(jìn)入。解除控制操作：（1）Case1Bj早于Bi提交（a）從U_SET中移除所有數(shù)據(jù)（b）停止當(dāng)前所有解除控制階段（c）通過掃描Bj開始時(shí)間的日志來重啟解除控制階段A、B和C。被重啟的階段現(xiàn)在應(yīng)該處理Bj和Bi，而不是僅僅處理Bi。例如，階段A應(yīng)該只把Bi和Bj都沒破壞的數(shù)據(jù)項(xiàng)放入U(xiǎn)_SET。（d）通過掃描Bj開始時(shí)間的日志來重啟修復(fù)進(jìn)程（連同解除控制階段D）。被重啟的修復(fù)進(jìn)程現(xiàn)在應(yīng)該處理Bi和Bj。（e）隨時(shí)將解除控制的數(shù)據(jù)項(xiàng)放入U(xiǎn)_SET。（2）Case2Bj晚于Bi提交If沒有解除控制階段完成這部分包含Bj提交之后執(zhí)行操作的日志的掃描繼續(xù)每一個(gè)解除階段，方法是每一個(gè)控制階段調(diào)整為不僅僅處理Bi，而是處理Bi和Bj。Else對于每個(gè)已經(jīng)掃描到某些Bj提交之后執(zhí)行的'操作的解除控制階段（包括修復(fù)進(jìn)程）（a）停止解除控制階段（或修復(fù)進(jìn)程）（b）移除Bj提交之后被更新而且被這個(gè)階段（或進(jìn)程）從U_SET中解除控制的數(shù)據(jù)項(xiàng)（c）通過重新掃描Bj開始以后的日志重啟這個(gè)解除控制階段（或修復(fù)進(jìn)程）。重啟的階段（或修復(fù)進(jìn)程）現(xiàn)在應(yīng)該處理Bj和Bi上述算法確保所有被惡意事務(wù)引起的損害將在惡意事務(wù)被檢測到的時(shí)候立刻被控制，并且在如何時(shí)間點(diǎn)，不會(huì)有損害從被控制的數(shù)據(jù)庫部分泄漏出去。
3系統(tǒng)組成
本系統(tǒng)的主要組成包括：控制執(zhí)行器、解除控制執(zhí)行器。系統(tǒng)的關(guān)鍵操作是通過三個(gè)主要事件觸發(fā)的。
3.1控制執(zhí)行器
當(dāng)控制執(zhí)行器從它的消息隊(duì)列里取回一個(gè)惡意事務(wù)，它將執(zhí)行算法1中的控制操作。特別的，它將（1）停止執(zhí)行新事務(wù)，（2）中止所有活動(dòng)事務(wù)，（3）調(diào)整控制時(shí)間窗口，（4）在從解除控制器和修復(fù)管理報(bào)告U_SET已經(jīng)調(diào)整的“準(zhǔn)備好”消息后，允許新事務(wù)執(zhí)行。由于TRANS_LIST表包括活動(dòng)事務(wù)的標(biāo)識(shí)，控制執(zhí)行器能夠要求DBMS中止這些事務(wù)。因?yàn)槭聞?wù)的開始時(shí)間也保持在TRANS_LIST表,調(diào)整控制時(shí)間窗口將會(huì)很容易。當(dāng)一個(gè)新的用戶事務(wù)在上述控制操作完成后到達(dá)時(shí)，控制執(zhí)行器需要這樣實(shí)現(xiàn)損害控制：在控制時(shí)間窗口內(nèi)更新的任何數(shù)據(jù)項(xiàng)都不允許訪問，除非是U_SET中的對象。控制管理算法如下所示。注意損害控制管理的實(shí)現(xiàn)以SQL語句為單位而不是事務(wù)，因?yàn)椋海?）讀提取也是以SQL語句為單位；（2）在某些事務(wù)里某些稍晚的SQL語句執(zhí)行可能依賴于先前的語句；（3）這中方法能夠?qū)崿F(xiàn)更快的控制檢查。對于有多個(gè)SQL語句的事務(wù)，我們不檢查任何其他SQL語句的讀操作，就能夠拒絕或延遲這個(gè)事務(wù)的訪問。
3.2解除控制執(zhí)行器
解除控制執(zhí)行器負(fù)責(zé)解除控制階段。為了實(shí)現(xiàn)控制，系統(tǒng)需要保持事務(wù)類型間的依賴關(guān)系。特別的，利用“類型圖”表保持類型依賴。
參考文獻(xiàn)：
[1]孫玉海,孟麗榮.基于多級入侵容忍的數(shù)據(jù)庫安全解決方案[J].計(jì)算機(jī)工程與設(shè)計(jì)，2005（03）.
【多層數(shù)據(jù)庫損害控制系統(tǒng)設(shè)計(jì)研究論文】相關(guān)文章：
多層住宅建筑給排水設(shè)計(jì)研究論文范文06-03
商場消防聯(lián)動(dòng)控制系統(tǒng)設(shè)計(jì)研究論文10-24
攤鋪機(jī)自動(dòng)找平控制系統(tǒng)設(shè)計(jì)研究論文11-02
全自動(dòng)浸錫機(jī)控制系統(tǒng)設(shè)計(jì)研究論文10-29
CPAC控制系統(tǒng)設(shè)計(jì)論文11-21
多層框架結(jié)構(gòu)優(yōu)化設(shè)計(jì)論文11-21
智能照明控制系統(tǒng)的設(shè)計(jì)論文11-15