Resumen de Using Data Mining Techniques for the Detection of SQL Injection Attacks on Database Systems

Cesar Añasco Loor, Karen Morocho, María Valeria Gallo Mazzuchino

• español

  En cualquier organización empresarial, las infraestructuras de bases de datos y de almacenamiento de la información están sujetas a diversos ataques de inyección de lenguaje de consulta estructurado (SQL), tales como: tautologías, codificación alternativa, procedimientos almacenados, uso del operador unión, consultas adicionales, entre otros. Este artículo describe un proyecto de minería de datos para desarrollar una herramienta que identifique ataques a bases de datos por inyección de código SQL. El proyecto se realizó con una adaptación de la metodología de proceso estándar de la industria para la minería de datos (CRISP-DM). En el desarrollo, se usó un total de 12 librerías de Python para la limpieza, transformación y modelado. El modelo de detección de anomalías fue realizado usando agrupación mediante el algoritmo de vecinos más cercanos (kNN), y a los grupos con anomalías se realizó el análisis del texto de la consulta para identificar sentencias que indiquen un indicio de ataque. Para la visualización de los resultados de los modelos, se implementó una interfaz web, la cual despliega la estadística diaria de los ataques encontrados. La fuente de información se obtuvo de registros de transacciones del log de un servidor de base de datos PostgreSQL. El resultado obtenido permitió la identificación de diferentes ataques por inyección de código SQL por encima del 80% y el tiempo de ejecución para el procesamiento de medio millón de registros fue de aproximadamente 60 minutos, mediante una computadora con las siguientes características: procesador Intel® Core i7 de séptima generación, 12GB de RAM y disco sólido SSD de 500GB. 

• English

  In any business organization, database infrastructures are subject to various structured query language (SQL) injection attacks, such as tautologies, alternative coding, stored procedures, use of the union operator, piggyback, among others. This article describes a data mining project developed to mitigate the problem of identifying SQL injection attacks on databases. The project was conducted using an adaptation of the cross-industry standard process for data mining (CRISP-DM) methodology. A total of 12 python libraries was used for cleaning, transformation, and modeling. The anomaly detection model was carried out using clustering by the k – nearest neighbors (kNN) algorithm. The query text was analyzed for the groups with anomalies to identify sentences presenting attack traces. A web interface was implemented to display the daily summary of the attacks found. The information source was obtained from the transactions log of a PostgreSQL database server. Our results allowed the identification of different attacks by injection of SQL code above 80%. The execution time for processing half a million transaction log was approximately 60 minutes using a computer with the following characteristics: Intel® Core i7 processor 7th generation, 12GB RAM and 500GB SSD.