目錄1 概述 32 項(xiàng)目背景 43 數(shù)據(jù)安全解決方案 53.1 風(fēng)險(xiǎn)分析 53.1.1 操作系統(tǒng)安全 53.1.2 數(shù)據(jù)庫本身的安全風(fēng)險(xiǎn) 53.1.3 數(shù)據(jù)庫的全面防護(hù) 63.1.4 數(shù)據(jù)庫及其應(yīng)用系統(tǒng)風(fēng)險(xiǎn) 63.1.5 數(shù)據(jù)庫前端應(yīng)用風(fēng)險(xiǎn) 63.2 項(xiàng)目需求 73.3 總體設(shè)計(jì)方案 123.4 建設(shè)目標(biāo)與原則 133.5 建設(shè)方案 143.5.1 數(shù)據(jù)庫審計(jì)目標(biāo)服務(wù)器 153.5.2 數(shù)據(jù)庫登錄情況 173.5.3 策略應(yīng)用情況 183.5.4 各類前端應(yīng)用系統(tǒng)對(duì)數(shù)據(jù)庫的訪問 183.5.5 各類主機(jī)對(duì)數(shù)據(jù)庫的訪問 193.5.6 修改數(shù)據(jù)庫操作情況 203.5.7 數(shù)據(jù)庫異常與訪問告警 213.6 數(shù)據(jù)安全系統(tǒng)介紹 223.7 運(yùn)維安全系統(tǒng)介紹 253.8 產(chǎn)品和功能詳解 263.8.1 數(shù)據(jù)庫產(chǎn)品和功能詳解 263.8.2 運(yùn)維安全產(chǎn)品和功能詳解 344 應(yīng)用效果分析 415 司簡(jiǎn)介及案例 46概述隨著計(jì)算機(jī)技術(shù)的飛速進(jìn)展，數(shù)據(jù)庫的應(yīng)用十分廣泛，深入到各個(gè)領(lǐng)域，但隨之而來產(chǎn)生了數(shù)據(jù)的安全問題。各種應(yīng)用系統(tǒng)的數(shù)據(jù)庫中大量數(shù)據(jù)的安全問題、敏感數(shù)據(jù)的防竊取和防篡改問題，越來越引起人們的高度重視。數(shù)據(jù)庫系統(tǒng)作為信息的聚攏體，是計(jì)算機(jī)信息系統(tǒng)的核心部件，其安全性至關(guān)重要，關(guān)系到企業(yè)興衰、成敗。因此，如何有效地保證數(shù)據(jù)庫系統(tǒng)的安全，實(shí)現(xiàn)數(shù)據(jù)的保密性、完整性和有效性，差不多成為業(yè)界人士探究研究的重要課題之一。由于計(jì)算機(jī)和網(wǎng)絡(luò)的普及和廣泛應(yīng)用，越來越多的關(guān)鍵業(yè)務(wù)系統(tǒng)運(yùn)行在數(shù)據(jù)庫平臺(tái)上。數(shù)據(jù)庫中的數(shù)據(jù)作為企業(yè)的財(cái)寶發(fā)揮著越來越重要的作用，同時(shí)也成為不安定因素的要緊目標(biāo)。如何保證數(shù)據(jù)庫自身的安全，已成為現(xiàn)代數(shù)據(jù)庫系統(tǒng)的要緊評(píng)測(cè)指標(biāo)之一。數(shù)據(jù)庫是信息技術(shù)的核心和基礎(chǔ)，廣泛應(yīng)用在電信、金融、政府、商業(yè)、企業(yè)等諸多領(lǐng)域，當(dāng)我們講現(xiàn)代經(jīng)濟(jì)依靠于計(jì)算機(jī)時(shí)，我們真正的意思是講現(xiàn)代經(jīng)濟(jì)依靠于數(shù)據(jù)庫系統(tǒng)。數(shù)據(jù)庫中儲(chǔ)存著諸如銀行賬戶、醫(yī)療保險(xiǎn)、電話記錄、生產(chǎn)或交易明細(xì)、產(chǎn)品資料等極其重要和敏感的信息。盡管這些系統(tǒng)的數(shù)據(jù)完整性和安全性是相當(dāng)重要的，但對(duì)數(shù)據(jù)庫采取的安全檢查措施的級(jí)不還比不上操作系統(tǒng)和網(wǎng)絡(luò)的安全檢查措施的級(jí)不。許多因素都可能破壞數(shù)據(jù)的完整性并導(dǎo)致非法訪問，這些因素包括復(fù)雜程度、密碼安全性較差、誤配置、未被察覺的系統(tǒng)后門以及數(shù)據(jù)庫安全策略的缺失等。項(xiàng)目背景數(shù)據(jù)庫作為金融行業(yè)信息系統(tǒng)的核心和基礎(chǔ)，承載著越來越多的關(guān)鍵業(yè)務(wù)系統(tǒng)，整個(gè)業(yè)務(wù)流程過程中的操作、數(shù)據(jù)的變更、新增、刪除都存儲(chǔ)在數(shù)據(jù)庫中，保存著客戶的個(gè)人以及資金等各類信息。信息一旦被篡改或者泄露，不僅損害到公民自身利益，機(jī)構(gòu)的品牌形象，甚至阻礙到公共秩序和國家利益。因此對(duì)數(shù)據(jù)庫的愛護(hù)是一項(xiàng)必須的，關(guān)鍵的，重要的工作任務(wù)。為了保證XX業(yè)務(wù)系統(tǒng)的更加穩(wěn)定安全地運(yùn)行，XX對(duì)業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫建設(shè)進(jìn)行了完善，不僅考慮數(shù)據(jù)庫系統(tǒng)的集群、異常容錯(cuò)能力，更從業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作安全方面進(jìn)行考慮，更加深入，細(xì)粒度地保證業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫操作的安全。從網(wǎng)絡(luò)層上講，銀行正從應(yīng)用層方面來保證業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫的安全。那么如何對(duì)業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作安全進(jìn)行檢查呢？我們采納數(shù)據(jù)庫安全審計(jì)系統(tǒng)對(duì)業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作進(jìn)行審計(jì)。采納運(yùn)維安全系統(tǒng)對(duì)各種服務(wù)器本身進(jìn)行審計(jì)。銀行數(shù)據(jù)各類數(shù)據(jù)庫系統(tǒng)。它們的專門地位要求安全性極高，重點(diǎn)要考慮二方面的安全風(fēng)險(xiǎn)：一是來自外部安全風(fēng)險(xiǎn)：利用弱口令設(shè)置、數(shù)據(jù)庫系統(tǒng)漏洞、SQL注入等攻擊數(shù)據(jù)庫系統(tǒng)，非法進(jìn)入數(shù)據(jù)庫系統(tǒng)訪問、拷貝和修改數(shù)據(jù)內(nèi)容；另一個(gè)是內(nèi)部安全風(fēng)險(xiǎn)：以合法授權(quán)身份進(jìn)入業(yè)務(wù)系統(tǒng)對(duì)數(shù)據(jù)的訪問和操作的違規(guī)性行為。以上安全風(fēng)險(xiǎn)會(huì)引發(fā)數(shù)據(jù)庫系統(tǒng)癱瘓、各種內(nèi)部數(shù)據(jù)信息被泄露和篡改、涉密數(shù)據(jù)信息被竊取和失泄等信息安全事件發(fā)生。因此重點(diǎn)要對(duì)這兩部分的數(shù)據(jù)庫及服務(wù)器進(jìn)行防護(hù)。數(shù)據(jù)安全解決方案風(fēng)險(xiǎn)分析任何公司的要緊電子數(shù)字資產(chǎn)都存貯在現(xiàn)代的關(guān)系數(shù)據(jù)產(chǎn)品中。商業(yè)機(jī)構(gòu)和政府組織差不多上利用這些數(shù)據(jù)庫服務(wù)器得到人事信息，如職員的工資表，醫(yī)療記錄等。因此他們有責(zé)任愛護(hù)不人的隱私，并為他們保密。數(shù)據(jù)庫服務(wù)器還存有往常的和今后的敏感的金融數(shù)據(jù)，包括貿(mào)易記錄、商業(yè)合同及帳務(wù)數(shù)據(jù)等。象技術(shù)的所有權(quán)、工程數(shù)據(jù)，甚至市場(chǎng)企劃等決策性的機(jī)密信息，必須對(duì)竟?fàn)幷弑Ｃ?，并阻止非法訪問，數(shù)據(jù)庫服務(wù)器還包括詳細(xì)的顧客信息，如財(cái)務(wù)帳目，信用卡號(hào)及商業(yè)伙伴的信用信息等。目前世界上七種主流的關(guān)系型數(shù)據(jù)庫，諸如Oracle、Sybase、MicrosoftSQLServer、IBMDB2/Informix、MySQL、PostgreSQL服務(wù)器都具有以下特征：用戶帳號(hào)及密碼、校驗(yàn)系統(tǒng)、優(yōu)先級(jí)模型和操縱數(shù)據(jù)庫的特不許可、內(nèi)置命令（存儲(chǔ)過程、觸發(fā)器等）、唯一的腳本和編程語言（例如PL/SQL、Transaction-SQL）、中間件、網(wǎng)絡(luò)協(xié)議、補(bǔ)丁和服務(wù)包、強(qiáng)有力的數(shù)據(jù)庫治理有用程序和開發(fā)工具。操作系統(tǒng)安全數(shù)據(jù)庫安裝于操作系統(tǒng)之上，對(duì)操作系統(tǒng)的安全防護(hù)也是至關(guān)重要的，運(yùn)維人員能夠通過遠(yuǎn)程訪問操作系統(tǒng)，達(dá)到本地操作數(shù)據(jù)庫的目的。系統(tǒng)口令及訪問操縱權(quán)限治理技術(shù)手段薄弱；數(shù)據(jù)中心存在“交叉運(yùn)維”現(xiàn)象；針對(duì)運(yùn)維人員無詳細(xì)操作記錄；無法滿足審計(jì)檢查對(duì)日志記錄的要求；運(yùn)維安全分析報(bào)告缺乏。因此，我院迫切需要采納必要的技術(shù)手段來防范和減少運(yùn)維操作風(fēng)險(xiǎn)，確保信息系統(tǒng)安全、穩(wěn)定運(yùn)行。數(shù)據(jù)庫本身的安全風(fēng)險(xiǎn)數(shù)據(jù)庫服務(wù)器的應(yīng)用相當(dāng)復(fù)雜，掌握起來特不困難。許多數(shù)據(jù)庫治理員都忙于治理復(fù)雜的系統(tǒng)，因此專門可能沒有檢查出嚴(yán)峻的安全隱患和不當(dāng)?shù)呐渲?，甚至全然沒有進(jìn)行檢測(cè)。因此，正是由于傳統(tǒng)的安全體系在專門大程度上忽略了數(shù)據(jù)庫安全這一主題，使數(shù)據(jù)庫專業(yè)人員也通常沒有把安全問題當(dāng)作他們的首要任務(wù)。在安全領(lǐng)域中，類似網(wǎng)頁被修改、電腦中病毒、木馬、流氓軟件、彈出窗口等所造成的經(jīng)濟(jì)損失微乎其微，而一旦數(shù)據(jù)庫出現(xiàn)安全風(fēng)險(xiǎn)并被惡意利用所造成的后果幾乎是災(zāi)難性的和不可挽回的。數(shù)據(jù)庫的全面防護(hù)安全是多個(gè)環(huán)節(jié)層層防范、共同配合的結(jié)果。也確實(shí)是講在安全領(lǐng)域不能夠僅靠某一個(gè)環(huán)節(jié)完成所有的安全防范措施。一個(gè)安全的系統(tǒng)需要數(shù)據(jù)庫的安全、操作系統(tǒng)的安全、網(wǎng)絡(luò)的安全、應(yīng)用系統(tǒng)自身的安全共同完成。數(shù)據(jù)庫領(lǐng)域的安全措施通常包括：身份識(shí)不和身份驗(yàn)證、自主訪問操縱和強(qiáng)制訪問操縱、安全傳輸、系統(tǒng)審計(jì)、數(shù)據(jù)庫存儲(chǔ)加密等。只有通過綜合有關(guān)安全的各個(gè)環(huán)節(jié)，才能確保高度安全的系統(tǒng)。數(shù)據(jù)庫及其應(yīng)用系統(tǒng)風(fēng)險(xiǎn)拙劣的數(shù)據(jù)庫安全保障設(shè)施不僅會(huì)危及數(shù)據(jù)庫的安全，還會(huì)阻礙到服務(wù)器的操作系統(tǒng)和其它信用系統(tǒng)。還有一個(gè)不專門明顯的緣故講明了保證數(shù)據(jù)庫安全的重要性－數(shù)據(jù)庫系統(tǒng)自身可能會(huì)提供危及整個(gè)網(wǎng)絡(luò)體系的機(jī)制。例如，某個(gè)公司可能會(huì)用數(shù)據(jù)庫服務(wù)器保存所有的技術(shù)手冊(cè)、文檔和白皮書的庫存清單。數(shù)據(jù)庫里的這些信息并不是特不重要的，因此它的安全優(yōu)先級(jí)不不高。即使運(yùn)行在安全狀況良好的操作系統(tǒng)中，入侵者也可通過“擴(kuò)展入駐程序”等強(qiáng)有力的內(nèi)置數(shù)據(jù)庫特征，利用對(duì)數(shù)據(jù)庫的訪問，獵取對(duì)本地操作系統(tǒng)的訪問權(quán)限。這些程序能夠發(fā)出治理員級(jí)的命令，訪問差不多的操作系統(tǒng)及其全部的資源。假如那個(gè)特定的數(shù)據(jù)庫系統(tǒng)與其它服務(wù)器有信用關(guān)系，那么入侵者就會(huì)危及整個(gè)網(wǎng)絡(luò)域的安全。數(shù)據(jù)庫前端應(yīng)用風(fēng)險(xiǎn)在電子商務(wù)、電子貿(mào)易的著眼點(diǎn)集中于WEB服務(wù)器、Java和其它新技術(shù)的同時(shí)，應(yīng)該記住這些以用戶為導(dǎo)向和企業(yè)對(duì)企業(yè)的系統(tǒng)差不多上以Web服務(wù)器后的關(guān)系數(shù)據(jù)庫為基礎(chǔ)的。它們的安全直接關(guān)系到系統(tǒng)的有效性、數(shù)據(jù)和交易的完整性、保密性。系統(tǒng)拖延效率欠佳，不僅阻礙商業(yè)活動(dòng)，還會(huì)阻礙公司的信譽(yù)。不可幸免地，這些系統(tǒng)受到入侵的可能性更大，然而并未對(duì)商業(yè)伙伴和客戶敏感信息的保密性加以更有效的防范。此外，ERP和治理系統(tǒng)，如ASPR/3和PeopleSoft等，差不多上建立在相同標(biāo)準(zhǔn)的數(shù)據(jù)庫系統(tǒng)中。無人治理的安全漏洞與時(shí)刻拖延、系統(tǒng)完整性問題和客戶信任等有直接的關(guān)系。由此可見，數(shù)據(jù)庫安全實(shí)際上是信息安全的核心，在這種情況下，有必要采納專業(yè)的新型數(shù)據(jù)庫安全產(chǎn)品，專門對(duì)數(shù)據(jù)庫及其操作系統(tǒng)進(jìn)行愛護(hù)。項(xiàng)目需求做為解決上述風(fēng)險(xiǎn)問題的數(shù)據(jù)系統(tǒng)，應(yīng)包含一下要緊特性：服務(wù)器運(yùn)維安全—針對(duì)直接登錄操作系統(tǒng)的行為進(jìn)行操縱與審計(jì)。數(shù)據(jù)庫使用情況評(píng)估—檢查真實(shí)的數(shù)據(jù)庫網(wǎng)絡(luò)流量以構(gòu)建一個(gè)使用的基準(zhǔn)模型，并自動(dòng)創(chuàng)建數(shù)據(jù)庫安全政策。治理員能夠通過審查分析文件輕松掌握適當(dāng)?shù)臄?shù)據(jù)庫使用，特不靈活方便的制定數(shù)據(jù)庫使用著的行為策略。數(shù)據(jù)庫審計(jì)——SecureSphere采集許多審計(jì)數(shù)據(jù)，同時(shí)提供內(nèi)置的報(bào)告功能，能夠靈活地滿足內(nèi)部或外部規(guī)定要求。SecureSphere的數(shù)據(jù)庫審計(jì)包括數(shù)據(jù)庫活動(dòng)審計(jì)、實(shí)時(shí)告警審計(jì)、用戶差不多信息審計(jì)。數(shù)據(jù)庫愛護(hù)——這是SecureSphere對(duì)數(shù)據(jù)庫實(shí)時(shí)愛護(hù)核心功能，包括：數(shù)據(jù)庫應(yīng)用愛護(hù)客戶化策略的實(shí)施數(shù)據(jù)庫平臺(tái)的愛護(hù)識(shí)不復(fù)雜的攻擊（通過多種手段的聯(lián)動(dòng)）具體到設(shè)備的功能，應(yīng)該具有以下特點(diǎn)：支持各種主流運(yùn)維協(xié)議字符型協(xié)議（Telnet、SSH、FTP、SFTP）圖形化協(xié)議（RDP、Xwindows、VNC、http、https、AS400及其他）支持各種主流數(shù)據(jù)庫包括對(duì)各種版本和各種平臺(tái)的Oracle、DB2、Informix、Sybase、MSSQLServer的支持。審計(jì)廠家必須和四大數(shù)據(jù)庫廠家（Oracle，IBM,Sybase，MicroSoft）是官方認(rèn)可的深層商業(yè)合作伙伴，從而能夠保證審計(jì)結(jié)果的精確性和權(quán)威性設(shè)備的引入不應(yīng)對(duì)正常業(yè)務(wù)和正常的數(shù)據(jù)庫運(yùn)行造成任何阻礙，同時(shí)應(yīng)滿足權(quán)限分離的要求，不容許被審計(jì)人員對(duì)審計(jì)功能元進(jìn)行修改和操作。對(duì)數(shù)據(jù)庫沒有阻礙的功能特不有利于部署實(shí)施，設(shè)備的部署不需要對(duì)數(shù)據(jù)庫進(jìn)行變動(dòng)，或者對(duì)數(shù)據(jù)中心結(jié)構(gòu)的其它方面進(jìn)行變動(dòng)。審計(jì)產(chǎn)品應(yīng)是一個(gè)基于網(wǎng)絡(luò)的應(yīng)用解決方案，不需要數(shù)據(jù)庫服務(wù)器治理權(quán)限或者安裝主機(jī)軟件。其部署及運(yùn)營可能由網(wǎng)絡(luò)安全人員進(jìn)行，而可不能對(duì)數(shù)據(jù)庫治理資源造成阻礙。這種方式通過保持安全功能的獨(dú)立，從而遵守安全實(shí)踐。審計(jì)設(shè)備能夠?qū)徲?jì)所有針對(duì)數(shù)據(jù)庫的訪問，包括對(duì)數(shù)據(jù)庫直接連接的訪問，以及前臺(tái)應(yīng)用程序?qū)?shù)據(jù)庫的訪問；假如應(yīng)用通過加密方式訪問數(shù)據(jù)庫，同樣應(yīng)該能夠?qū)徲?jì)到。審計(jì)功能要求審計(jì)到盡可能詳細(xì)的信息針對(duì)每一條數(shù)據(jù)庫的訪問，審計(jì)記錄要細(xì)致到每一次事務(wù)/查詢的原始信息記錄，應(yīng)該能夠記錄所有的關(guān)鍵信息，至少包括以下各個(gè)方面：數(shù)據(jù)庫服務(wù)器、源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應(yīng)用軟件、數(shù)據(jù)庫用戶名、訪問源操作系統(tǒng)用戶名、訪問源操作主機(jī)名、高級(jí)權(quán)限操作、存儲(chǔ)過程、目標(biāo)數(shù)據(jù)庫和Schema、StreamID、操作回應(yīng)內(nèi)容、操作返回的錯(cuò)誤代碼操作回應(yīng)的時(shí)刻操作回應(yīng)的條目大小。假如是前臺(tái)用戶通過Web利用應(yīng)用服務(wù)器訪問數(shù)據(jù)庫（BS架構(gòu)下），還應(yīng)能夠?qū)徲?jì)記錄以下信息：前臺(tái)應(yīng)用程序的用戶名、前臺(tái)程序的URL、WebSessionID、Web客戶端IP關(guān)于通過OracleEBS或SAP等應(yīng)用服務(wù)器訪問數(shù)據(jù)庫（CS架構(gòu)下），應(yīng)該能夠記錄最終前臺(tái)用戶的用戶名為了有效地記錄數(shù)據(jù)庫訪問操作，審計(jì)人員需要盡可能詳細(xì)的審計(jì)記錄信息，詳細(xì)到準(zhǔn)確的查詢和響應(yīng)屬性這一級(jí)不。數(shù)據(jù)庫審計(jì)記錄必須將所審計(jì)數(shù)據(jù)庫事務(wù)歸于特定用戶。例如，SOX合規(guī)審計(jì)機(jī)制要求必須記錄對(duì)財(cái)務(wù)報(bào)告數(shù)據(jù)的每個(gè)更改及執(zhí)行此更改的用戶姓名。然而，當(dāng)用戶通過Web應(yīng)用程序或SAP、OracleE-BusinessSuite等應(yīng)用服務(wù)器訪問數(shù)據(jù)庫時(shí)，數(shù)據(jù)庫審計(jì)系統(tǒng)必須能夠記錄最終的責(zé)任用戶。支持BindVariable專門多基于數(shù)據(jù)庫的查詢是通過BindVariable完成的。這就要求審計(jì)系統(tǒng)不光要記錄查詢中BindVariable的變量的名字，還要記錄BindVariable的數(shù)值。舉例來講：一個(gè)包含BindVariable的SQL是：select*fromaaawherename=:who,審計(jì)系統(tǒng)不光把那個(gè)SQL記錄下來，同時(shí)要記錄:who=jimmy,如此才是完整的包含BindVariable的審計(jì)結(jié)果。審計(jì)策略能夠特不靈活的定義由于關(guān)于實(shí)際的生產(chǎn)系統(tǒng)，需要審計(jì)的數(shù)據(jù)庫訪問量特不大，這就要求有靈活的審計(jì)策略能夠定義想要審計(jì)的數(shù)據(jù)庫操作的內(nèi)容。能夠定義審計(jì)策略的條件應(yīng)該包括以下各個(gè)關(guān)鍵字的條件組合：源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應(yīng)用軟件、數(shù)據(jù)庫用戶名、訪問源操作系統(tǒng)用戶名、訪問源操作主機(jī)名、高級(jí)權(quán)限操作、存儲(chǔ)過程、目標(biāo)數(shù)據(jù)庫和SchemaStreamID操作回應(yīng)內(nèi)容、操作返回的錯(cuò)誤代碼、操作回應(yīng)的時(shí)刻、操作回應(yīng)的條目大小同樣假如是前臺(tái)用戶通過Web利用應(yīng)用服務(wù)器訪問數(shù)據(jù)庫（BS架構(gòu)下），或關(guān)于通過OracleEBS或SAP等應(yīng)用服務(wù)器訪問數(shù)據(jù)庫（CS架構(gòu)下），還應(yīng)能夠依照前臺(tái)應(yīng)用程序的用戶名來定義審計(jì)記錄的策略能夠定義敏感數(shù)據(jù)表，愛護(hù)核心機(jī)密數(shù)據(jù)可將機(jī)密數(shù)據(jù)定義敏感表，任何用戶對(duì)敏感表的非法和違規(guī)訪問能夠產(chǎn)生特不的報(bào)警審計(jì)結(jié)果的歸檔靈活方便為了提高整個(gè)數(shù)據(jù)庫審計(jì)系統(tǒng)的擴(kuò)展性，審計(jì)信息能夠通過FTP,SCP等傳輸協(xié)議靈活的歸檔到外部的存儲(chǔ)設(shè)備上，歸檔出來的數(shù)據(jù)格式應(yīng)該是通用格式（CSV），歸檔能夠選擇手動(dòng)及定時(shí)定期的自動(dòng)方式。審計(jì)告警日志對(duì)外的接口審計(jì)結(jié)果告警日志能夠通過Syslog或SNMP協(xié)議和外部的統(tǒng)一審計(jì)平臺(tái)送出數(shù)據(jù)，進(jìn)行互通。審計(jì)結(jié)果能夠自動(dòng)生成符合專業(yè)合規(guī)審計(jì)（SOX）要求的審計(jì)報(bào)告智能而自動(dòng)的建立用戶對(duì)數(shù)據(jù)庫訪問的行為模型審計(jì)設(shè)備設(shè)備應(yīng)具有自動(dòng)建立用戶數(shù)據(jù)庫訪問行為模型的能力。自動(dòng)智能建模功能能夠自動(dòng)學(xué)習(xí)、同時(shí)自動(dòng)適應(yīng)用戶數(shù)據(jù)庫及應(yīng)用系統(tǒng)的各方面特點(diǎn)，自動(dòng)建立“充分必要”的安全策略。同時(shí)，結(jié)合全面的、精細(xì)的手工定制和調(diào)優(yōu)功能，在最大程度的降低治理工作量的同時(shí)，提供最佳的安全配置。為每個(gè)用戶自動(dòng)建立對(duì)數(shù)據(jù)庫和Schema訪問的基線，內(nèi)容是可正常訪問的數(shù)據(jù)庫和Schema。用戶訪問模型自動(dòng)建立功能分析實(shí)際數(shù)據(jù)庫流量并使用復(fù)雜的學(xué)習(xí)算法創(chuàng)建每個(gè)訪問數(shù)據(jù)庫的用戶或應(yīng)用的所有合法活動(dòng)分析模型。此模型不僅僅作為后來審計(jì)評(píng)估使用變化或應(yīng)用行為的基準(zhǔn)，同時(shí)是自動(dòng)生成的數(shù)據(jù)庫使用安全政策，同意信息安全小組不僅僅能夠監(jiān)視并審計(jì)使用，而且愛護(hù)數(shù)據(jù)庫免受非法行為。學(xué)習(xí)算法不斷應(yīng)用到實(shí)際流量中以便當(dāng)用戶活動(dòng)隨著時(shí)刻進(jìn)展時(shí)，有效變化將自動(dòng)重新組織并集成到行為模型中。假如用戶訪問數(shù)據(jù)庫的時(shí)候，行為模型的偏差將自動(dòng)觸發(fā)一個(gè)報(bào)警并能夠依照嚴(yán)峻性進(jìn)行阻斷。發(fā)覺非法行為的實(shí)時(shí)告警功能這是在系統(tǒng)運(yùn)行時(shí)，對(duì)正在進(jìn)行的業(yè)務(wù)和治理層面的數(shù)據(jù)庫交互活動(dòng)進(jìn)行檢測(cè)。對(duì)其中違反既定的安全策略的行為能夠即時(shí)發(fā)覺，同時(shí)能夠產(chǎn)生報(bào)警、阻斷以及供事后分析和審計(jì)的依據(jù)。實(shí)時(shí)的監(jiān)控和防護(hù)能夠第一時(shí)刻消除違規(guī)操作對(duì)系統(tǒng)的阻礙。設(shè)備具有實(shí)時(shí)告警的功能，針對(duì)非法訪問行為和用戶定義的訪問行為能夠?qū)崟r(shí)告警。告警信息能夠發(fā)送到SyslogServer,或通過Email發(fā)出。數(shù)據(jù)庫愛護(hù)這是數(shù)據(jù)庫安全審計(jì)產(chǎn)品的重要功能，能夠?qū)崟r(shí)愛護(hù)核心核心數(shù)據(jù)庫免遭各種非法行為和破壞。在數(shù)據(jù)庫操作所通過的網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用軟件方面，相應(yīng)的安全規(guī)則確實(shí)是：防火墻、IPS規(guī)則、應(yīng)用協(xié)議愛護(hù)；這部分規(guī)則能夠是靜態(tài)的，差不多依照數(shù)據(jù)庫和應(yīng)用系統(tǒng)的要求做了精細(xì)的預(yù)設(shè)，同時(shí)還能夠進(jìn)一步的依照實(shí)際需要進(jìn)行微調(diào)。此功能應(yīng)包括：數(shù)據(jù)庫應(yīng)用愛護(hù)審計(jì)設(shè)備連續(xù)比較數(shù)據(jù)庫訪問模型的真有用戶操作的差異。來自分析的重要偏差生成警報(bào)，同時(shí)惡意的行為能夠依照策略有選擇性的阻止。客戶化策略實(shí)施除了基于特征文件的安全政策外，治理能夠定義任意粒度的客戶政策。例如：治理員能夠設(shè)置訪問系統(tǒng)對(duì)象的查詢策略，甚至對(duì)包含特定文本模式的查詢。政策偏離能夠生成一個(gè)警報(bào)或者迅速阻止活動(dòng)。行為特征代碼分析完成數(shù)據(jù)庫平臺(tái)愛護(hù)應(yīng)該具有(IPS)愛護(hù)數(shù)據(jù)庫基礎(chǔ)設(shè)施免受針對(duì)數(shù)據(jù)庫平臺(tái)及操作系統(tǒng)軟件中已知漏洞蠕蟲及其它攻擊。IPS功能要緊通過檢查數(shù)據(jù)庫訪問是否和特征代碼庫匹配來推斷是否會(huì)觸發(fā)數(shù)據(jù)庫的漏洞。特征代碼庫要求和國際安全研究組織同步，同時(shí)能夠包含自定義的SQL特征。特征代碼要保證能夠在線升級(jí)，能夠使得系統(tǒng)在第一時(shí)刻內(nèi)抵御最新出現(xiàn)的針對(duì)數(shù)據(jù)庫的非法危害行為以及在數(shù)據(jù)庫沒有打補(bǔ)丁的情況下，防止數(shù)據(jù)庫廠家的安全漏洞造成的危害防火墻層面和SQL協(xié)議層面愛護(hù)防火墻層面是在網(wǎng)絡(luò)層面愛護(hù)數(shù)據(jù)庫免受各種網(wǎng)絡(luò)層面的非法操作威脅。同時(shí)關(guān)于上層協(xié)議（SQL的通信）的合法性及濫用的檢測(cè)，關(guān)于數(shù)據(jù)庫服務(wù)器軟件也特不重要。對(duì)此，審計(jì)設(shè)備應(yīng)該專門提供SQL應(yīng)用協(xié)議檢測(cè)的功能，來檢測(cè)SQL協(xié)議是否合法或符合標(biāo)準(zhǔn)的規(guī)定。在數(shù)據(jù)庫愛護(hù)層面，關(guān)于非法操作，能夠進(jìn)行特不豐富的響應(yīng)動(dòng)作，分為三類：告警響應(yīng)，即時(shí)行動(dòng)，后續(xù)行動(dòng)。即時(shí)行動(dòng)能夠?qū)?shù)據(jù)包丟棄，后續(xù)行動(dòng)確實(shí)是通過對(duì)外通信來通知治理人員有非法行為發(fā)生。數(shù)據(jù)庫安全評(píng)估功能：對(duì)數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)以及運(yùn)行時(shí)的配置進(jìn)行評(píng)估。數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫應(yīng)用程序，它們通常會(huì)存在軟件的缺陷或漏洞，容易被攻擊者利用。能夠主動(dòng)評(píng)估數(shù)據(jù)庫的安全狀況，包括是否打了Patch，包括用戶權(quán)限在內(nèi)的各種安全設(shè)置是否合理。高性能要求審計(jì)設(shè)備的能夠提供雙向最低500Mbps，最高2Gbps的性能，毫微秒級(jí)延遲，支持的SQL交易數(shù)量從5萬每秒到20萬每秒。高可用性審計(jì)設(shè)備應(yīng)支持高可用性確保最大的正常運(yùn)行時(shí)刻及應(yīng)用可用性。審計(jì)設(shè)備應(yīng)具有在設(shè)備故障下應(yīng)該不阻礙實(shí)際業(yè)務(wù)能力，同時(shí)審計(jì)設(shè)備支持主備配置方式，在合理配置下，能夠達(dá)到小于1秒甚至更低的主備切換時(shí)延。集中治理，分部部署提供全分布式的三級(jí)網(wǎng)管架構(gòu)，包括：第一層—業(yè)務(wù)探測(cè)和實(shí)施引擎，第二層—網(wǎng)管服務(wù)器，第三層—操作操縱臺(tái)。這種結(jié)構(gòu)關(guān)于在數(shù)據(jù)庫愛護(hù)如此的大型網(wǎng)絡(luò)系統(tǒng)中部署統(tǒng)一的安全策略具有至關(guān)重要的意義。來自多個(gè)網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個(gè)視圖中，并存儲(chǔ)在單個(gè)治理服務(wù)器數(shù)據(jù)庫中。如此能夠增強(qiáng)治理的便利性，治理服務(wù)器，策略更改在服務(wù)器上進(jìn)行，通過簡(jiǎn)單操作可將這些更改自動(dòng)公布到多個(gè)網(wǎng)關(guān)中，趕忙生效，方便快捷?？傮w設(shè)計(jì)方案依照XX數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡(luò)架構(gòu)和數(shù)據(jù)庫服務(wù)器以及中間件服務(wù)器的部署特點(diǎn)，我們提出了一套完整的解決方案：在數(shù)據(jù)庫交換機(jī)上做旁路鏡像。將旁路信號(hào)入數(shù)據(jù)庫審計(jì)設(shè)備，完成對(duì)數(shù)據(jù)庫服務(wù)器的訪問、操作行為的實(shí)時(shí)監(jiān)測(cè)審計(jì)，完整地記錄所有的訪問與操作行為和內(nèi)容，該系統(tǒng)還提供了數(shù)據(jù)庫服務(wù)器負(fù)載狀況監(jiān)測(cè)、客戶端訪問操作的詳細(xì)分類統(tǒng)計(jì)和排名等功能。在交換機(jī)做旁路，部署運(yùn)維安全設(shè)備HAC。針對(duì)數(shù)據(jù)庫服務(wù)器本身的遠(yuǎn)程訪問進(jìn)行操縱與審計(jì)。采納Imperva數(shù)據(jù)庫安全審計(jì)網(wǎng)關(guān)作為數(shù)據(jù)庫系統(tǒng)審計(jì)，其差不多原理是：通過旁路監(jiān)聽的方式，對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行實(shí)時(shí)采集過濾，對(duì)各種上層的數(shù)據(jù)庫應(yīng)用協(xié)議數(shù)據(jù)進(jìn)行分析和還原，然后再進(jìn)行SQL語法解析，最后對(duì)審計(jì)記錄進(jìn)行存儲(chǔ)、對(duì)違規(guī)的審計(jì)記錄進(jìn)行實(shí)時(shí)報(bào)警，同時(shí)生成審計(jì)報(bào)表和統(tǒng)計(jì)報(bào)表信息?；谂月繁O(jiān)聽的數(shù)據(jù)庫審計(jì)的解決方案具有下面的一些優(yōu)勢(shì)：不需要對(duì)生產(chǎn)數(shù)據(jù)庫進(jìn)行任何設(shè)置，也不需要改變現(xiàn)有的網(wǎng)絡(luò)架構(gòu)和配置。采納旁路監(jiān)聽方式，不阻礙生產(chǎn)數(shù)據(jù)庫的性能，不占用生產(chǎn)數(shù)據(jù)庫服務(wù)器的網(wǎng)絡(luò)帶寬，同時(shí)在對(duì)審計(jì)數(shù)據(jù)進(jìn)行壓縮備份時(shí)不阻礙業(yè)務(wù)系統(tǒng)的正常運(yùn)行。與數(shù)據(jù)庫治理系統(tǒng)本身的審計(jì)功能相比具有更快的響應(yīng)速度，能夠進(jìn)行實(shí)時(shí)審計(jì)和處理。審計(jì)數(shù)據(jù)更加安全。與原有的業(yè)務(wù)網(wǎng)絡(luò)隔離，因此能夠更有效地愛護(hù)審計(jì)數(shù)據(jù)的安全。同時(shí)審計(jì)數(shù)據(jù)傳輸過程中采納了加密隧道和身份認(rèn)證機(jī)制，有效防止了審計(jì)信息的被竊、被篡改與身份假冒。具有專門的審計(jì)日志格式和審計(jì)報(bào)表，易于查詢。由于采納了動(dòng)態(tài)建模技術(shù)，通過自動(dòng)檢測(cè)分析實(shí)時(shí)數(shù)據(jù)庫通信，然后應(yīng)用復(fù)雜的學(xué)習(xí)算法來創(chuàng)建包含訪問數(shù)據(jù)庫的每個(gè)用戶和應(yīng)用程序的所有合法活動(dòng)的”業(yè)務(wù)模型”，包括數(shù)據(jù)庫客戶端的計(jì)算機(jī)名，程序名，數(shù)據(jù)庫用戶名，數(shù)據(jù)庫名，表名以及詳細(xì)的數(shù)據(jù)庫操作內(nèi)容等信息?！皹I(yè)務(wù)模型”不僅用作以后審計(jì)評(píng)估用戶或應(yīng)用程序行為更改的依據(jù)，而且依舊針對(duì)數(shù)據(jù)庫使用自動(dòng)生成的安全策略，信息安全團(tuán)隊(duì)使用”業(yè)務(wù)模型”不僅能夠監(jiān)視和審計(jì)數(shù)據(jù)庫使用狀況，而且還能夠防止數(shù)據(jù)庫受到攻擊。采納HAC運(yùn)維安全產(chǎn)品對(duì)數(shù)據(jù)庫服務(wù)器本身的運(yùn)維進(jìn)行安全審計(jì)，其差不多原理是：運(yùn)維人員遠(yuǎn)程接入時(shí)，通過統(tǒng)一的登錄入口，利用權(quán)限操縱，訪問不同的目標(biāo)服務(wù)器資源。并對(duì)運(yùn)維全過程進(jìn)行實(shí)時(shí)，事后的監(jiān)控與追溯。采納單臂模式部署時(shí)，其要緊的優(yōu)勢(shì)是：不改變網(wǎng)絡(luò)拓?fù)洌惭b調(diào)試過程簡(jiǎn)單，可按照企業(yè)網(wǎng)絡(luò)架構(gòu)的實(shí)際情況靈活接入。具有以下特點(diǎn)：系統(tǒng)采納協(xié)議分析、基于數(shù)據(jù)包還原虛擬化技術(shù)，實(shí)現(xiàn)操作界面模擬，將所有的操作轉(zhuǎn)換為圖形化界面予以展現(xiàn)，實(shí)現(xiàn)100%審計(jì)信息不丟失。針對(duì)運(yùn)維操作圖形化審計(jì)功能的展現(xiàn)外，同時(shí)還能對(duì)字符進(jìn)行分析，包括命令行操作的命令以及回顯信息和非字符型操作時(shí)鍵盤、鼠標(biāo)的敲擊信息。系統(tǒng)支持的審計(jì)協(xié)議以及工具包括：終端命令操作：Telnet、SSHWindows圖形：RDP、VNCUnix/Linux圖形：XwindowsAS400主機(jī)圖形：AS400文件上傳和下載：FTP、SFTP基于BS的治理操作：Http、Https數(shù)據(jù)庫治理工具：pcAnywhere、DameWare、PL/SQL、TOAD等工具建設(shè)目標(biāo)與原則在為XX配置實(shí)施數(shù)據(jù)安全整體解決方案時(shí)的時(shí)候，遵循以下的配置差不多原則：功能性滿足本項(xiàng)目的實(shí)際需要能夠支持現(xiàn)有應(yīng)用系統(tǒng)，如數(shù)據(jù)庫類型、本版等處理性能滿足系統(tǒng)的需要對(duì)現(xiàn)有系統(tǒng)的無阻礙，包括；IP地址空間、路由規(guī)劃、無需調(diào)整應(yīng)用系統(tǒng)（如設(shè)置Proxy，安裝軟件等）建設(shè)方案為了不阻礙數(shù)據(jù)庫的正常使用和安全，數(shù)據(jù)庫審計(jì)設(shè)備和運(yùn)維安全設(shè)備以旁路方式部署。通過在數(shù)據(jù)庫交換機(jī)上做端口鏡像的方式，把數(shù)據(jù)庫數(shù)據(jù)流鏡像到數(shù)據(jù)庫審計(jì)網(wǎng)關(guān)，同時(shí)在數(shù)據(jù)庫審計(jì)網(wǎng)關(guān)上配置治理IP，方便遠(yuǎn)程治理。HAC設(shè)備旁路部署在數(shù)據(jù)庫交換機(jī)上的任意端口，保證訪問端，被訪問端與HAC的IP路由可達(dá)，拓?fù)鋱D如下圖：為了全面及時(shí)地掌握XX數(shù)據(jù)庫系統(tǒng)的運(yùn)行、訪問和操作情況，并即時(shí)進(jìn)行必要的處置，使數(shù)據(jù)安全治理問題得到了有效的解決。除了默認(rèn)的全部審計(jì)策略，還需要制定適合的策略來快速定位關(guān)鍵的、需要關(guān)注的各種操作。為了解決各種需求，我們建立了以下審計(jì)策略：關(guān)鍵數(shù)據(jù)庫表審計(jì)那個(gè)策略的作用條件為：依照我們的業(yè)務(wù)類型，部分?jǐn)?shù)據(jù)庫表中存在大量的敏感信息，對(duì)這類表我們要著重關(guān)注。非已知應(yīng)用程序?qū)徲?jì)網(wǎng)絡(luò)中可能存在多條路徑，多種終端，多種客戶端軟件，對(duì)我們的數(shù)據(jù)庫進(jìn)行訪問，對(duì)此通過imperva，我們能夠關(guān)注到整個(gè)網(wǎng)絡(luò)中各種終端，軟件對(duì)數(shù)據(jù)庫的訪問重要操作審計(jì)那個(gè)策略的作用條件為兩個(gè)：記錄對(duì)數(shù)據(jù)庫的插入、刪除、更新、特權(quán)操作，排除對(duì)已知應(yīng)用程序的審計(jì)。那個(gè)策略是審計(jì)對(duì)數(shù)據(jù)庫的重要操作，記錄未知應(yīng)用程序和客戶端軟件對(duì)數(shù)據(jù)庫寫操作，防止數(shù)據(jù)庫被無意或惡意的篡改。數(shù)據(jù)庫審計(jì)目標(biāo)服務(wù)器針對(duì)目標(biāo)服務(wù)器，其審計(jì)概況如下周期訪問量：數(shù)據(jù)庫登錄情況策略應(yīng)用情況各類前端應(yīng)用系統(tǒng)對(duì)數(shù)據(jù)庫的訪問各類主機(jī)對(duì)數(shù)據(jù)庫的訪問修改數(shù)據(jù)庫操作情況數(shù)據(jù)庫異常與訪問告警數(shù)據(jù)安全系統(tǒng)介紹SecureSphere提供全分布式的三級(jí)網(wǎng)管架構(gòu)，包括：第一層——業(yè)務(wù)探測(cè)和實(shí)施引擎，第二層—MX網(wǎng)管服務(wù)器，第三層—操作操縱臺(tái)。這種結(jié)構(gòu)關(guān)于在XX數(shù)據(jù)庫愛護(hù)如此的大型網(wǎng)絡(luò)系統(tǒng)中部署統(tǒng)一的安全策略具有至關(guān)重要的意義。圖 SecureSphere的完整部署的示例SecureSphere的治理服務(wù)器的要緊特點(diǎn)包括：圖形報(bào)告-完整的CrystalReports?包和與ODBC兼容的數(shù)據(jù)庫訪問支持預(yù)配置報(bào)告和自定義報(bào)告。預(yù)配置報(bào)告使性能、合規(guī)性、安全警報(bào)及使用情況的異常情況一目了然。 SecureSphere在整個(gè)企業(yè)內(nèi)提供統(tǒng)一的報(bào)告。統(tǒng)一的實(shí)時(shí)警報(bào)監(jiān)視–來自多個(gè)SecureSphere安全層（動(dòng)態(tài)”業(yè)務(wù)模型”、IPS等）的實(shí)時(shí)警報(bào)將被收集、按優(yōu)先級(jí)排序并在一個(gè)統(tǒng)一的視圖中顯示給治理員。警報(bào)通知可通過電子郵件、電話、呼機(jī)和SNMP消息發(fā)送。不需要連接到分布在數(shù)據(jù)中心的各個(gè)設(shè)備。來自多個(gè)網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個(gè)視圖中，并存儲(chǔ)在單個(gè)MX治理服務(wù)器數(shù)據(jù)庫中。警報(bào)審計(jì)–來自多網(wǎng)關(guān)的警報(bào)將被收集并存儲(chǔ)于單個(gè)MX治理服務(wù)器數(shù)據(jù)庫中。若要支持審計(jì)功能，只需點(diǎn)擊幾下鼠標(biāo)就能夠依照多種參數(shù)來排序和搜索警報(bào)條目。即使是來自不同SecureSphere安全服務(wù)（IPS、動(dòng)態(tài)”業(yè)務(wù)模型”等）的特定用戶違規(guī)行為（由會(huì)話ID或IP地址標(biāo)識(shí)），也能夠被立即跟蹤。智能攻擊摘要–智能攻擊摘要通過智能地將多個(gè)攻擊導(dǎo)致的一系列事件聚合為一個(gè)需采取措施的警報(bào)，從而提高治理員的工作效率。例如，相關(guān)掃描警報(bào)可聚合為一個(gè)攻擊警報(bào)，而不是成千上萬個(gè)攻擊警報(bào)?，F(xiàn)在，快速有效的響應(yīng)變得極為重要，而這種高度集中的信息能夠使治理員快速準(zhǔn)確地了解威脅聚合警報(bào)保留了形成警報(bào)的差不多事件，以便進(jìn)行詳細(xì)分析。?MX治理服務(wù)器。更改在服務(wù)器上進(jìn)行，通過單擊可將這些更改自動(dòng)公布到多個(gè)網(wǎng)關(guān)。登錄錯(cuò)誤審計(jì)那個(gè)策略的作用條件為兩個(gè)：記錄登錄操作，登錄的結(jié)果為失敗的操作。那個(gè)策略的要緊作用是記錄登錄失敗的信息，防止有人嘗試破解密碼，損害數(shù)據(jù)庫安全。運(yùn)維安全系統(tǒng)介紹“運(yùn)維安全審計(jì)系統(tǒng)（HAC）”目標(biāo)是為組織IT系統(tǒng)核心服務(wù)器的運(yùn)維操作提供強(qiáng)有力的監(jiān)控、審計(jì)手段，使其切實(shí)滿足內(nèi)控治理中的合規(guī)性要求。HAC可對(duì)主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的治理維護(hù)進(jìn)行安全、有效、直觀的操作審計(jì)，對(duì)策略配置、系統(tǒng)維護(hù)、內(nèi)部訪問等進(jìn)行詳細(xì)的記錄，提供細(xì)粒度的審計(jì)，并支持操作過程的全程回放。HAC彌補(bǔ)了傳統(tǒng)審計(jì)系統(tǒng)的不足，將運(yùn)維審計(jì)由事件審計(jì)提升為內(nèi)容審計(jì)，并將身份認(rèn)證、授權(quán)、治理、審計(jì)有機(jī)地結(jié)合，保證只有合法用戶才能使用其擁有運(yùn)維權(quán)限的關(guān)鍵資源。HAC為組織在IT操作風(fēng)險(xiǎn)操縱、內(nèi)控安全和合規(guī)性等方面提供一套完善、有效的審計(jì)手段。HAC系統(tǒng)提供了靈活的部署方式，既能夠采取串連模式，也能夠采納單臂模式接入到企業(yè)內(nèi)部網(wǎng)絡(luò)中。采納串連模式部署時(shí)，HAC具備一定程度上的網(wǎng)絡(luò)操縱的功能，可提高核心服務(wù)器訪問的安全性；采納單臂模式部署時(shí)，不改變網(wǎng)絡(luò)拓?fù)?，安裝調(diào)試過程簡(jiǎn)單，可按照企業(yè)網(wǎng)絡(luò)架構(gòu)的實(shí)際情況靈活接入。不管串連模式依舊在單臂模式，通過HAC訪問IT基礎(chǔ)服務(wù)資源的操作都將被詳細(xì)的記錄和存儲(chǔ)下來，作為審計(jì)的基礎(chǔ)數(shù)據(jù)。HAC的部署可不能對(duì)業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)中的數(shù)據(jù)流向、帶寬等重要指標(biāo)產(chǎn)生負(fù)面阻礙，無需在核心服務(wù)器或操作客戶端上安裝任何軟硬件系統(tǒng)。產(chǎn)品和功能詳解數(shù)據(jù)庫產(chǎn)品和功能詳解SecureSphereG8/G16設(shè)備是SecureSphere系列業(yè)務(wù)監(jiān)控和防護(hù)引擎的成員，它具備四個(gè)業(yè)務(wù)接口，即能夠提供兩個(gè)在線監(jiān)控橋接組（橋接模式），或監(jiān)控四個(gè)不同的業(yè)務(wù)網(wǎng)段（旁路偵聽模式）。它的處理能力也特不強(qiáng)大，能夠提供100,000到200,000交易/秒的處理能力。它同時(shí)能夠提供所有SecureSphere系列產(chǎn)品的所有業(yè)務(wù)功能，包括前臺(tái)Web應(yīng)用的愛護(hù)，后臺(tái)數(shù)據(jù)庫的監(jiān)控和防護(hù)。同時(shí)能夠在一個(gè)平臺(tái)上同時(shí)提供這些功能。SecureSphere系列（G8和G16）要緊技術(shù)參數(shù)：技術(shù)參數(shù)G8G16吞吐量1Gbps2000Mbps每秒交易（transaction）100000200000延遲低于百萬分之一秒低于百萬分之一秒尺寸1U4U接口類型電口/光纖SX/光纖LX電口/光纖SX/光纖LX在線故障短接能力（只用于橋接）是是硬盤250GBSATA；FT模式：熱切換250GBSATA熱切換300GBSCSI外部驅(qū)動(dòng)CD-ROMCD-ROM標(biāo)準(zhǔn)機(jī)架19英寸機(jī)架19英寸機(jī)架重量40lbs（18公斤）90lbs（41公斤）電源500W；FT模式：雙工，熱切換520W雙工，熱切換1470WAC電壓要求100-240V，50-60HZ220-240V，50-60HZ物理尺寸寬：16.93”(430mm深；26.46”(672mm高：1.7”(43mm寬：17.6”(447mm深；27.8”(706mm高：6.8”(173mm操作環(huán)境5°C(41°F)到5°C(41°F)到非操作環(huán)境-40°C(-40°F)到非凝聚35°C(-40°C(-40°F)到非凝聚35°C(電磁兼容性數(shù)據(jù)庫的安全防護(hù)是一個(gè)系統(tǒng)工程。它的實(shí)施，或講是生命周期包括一下四個(gè)環(huán)節(jié)：圖數(shù)據(jù)庫及應(yīng)用安全維護(hù)的生命周期數(shù)據(jù)庫的評(píng)估是一個(gè)事前、或周期性的工作，它的工作內(nèi)容是，對(duì)數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)以及運(yùn)行時(shí)的配置進(jìn)行評(píng)估。數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫應(yīng)用程序，它們通常會(huì)存在軟件的缺陷或漏洞，容易被攻擊者利用。而運(yùn)行配置的內(nèi)容則包括數(shù)據(jù)庫系統(tǒng)在運(yùn)行時(shí)不同的用戶對(duì)數(shù)據(jù)庫的系統(tǒng)和業(yè)務(wù)對(duì)象的治理操作能力和權(quán)限——合理的、好的配置策略能夠極大的限制違規(guī)操作和非法操作發(fā)生的可能性。安全策略的制定是安全防護(hù)的核心之一。它的內(nèi)容是從安全角度定義數(shù)據(jù)庫訪問的權(quán)限的各個(gè)方面。要緊內(nèi)容是，關(guān)于用戶－操作權(quán)限－數(shù)據(jù)庫對(duì)象三個(gè)屬性（還能夠輔助以地址、時(shí)刻等）的數(shù)據(jù)庫與用戶、治理員和應(yīng)用系統(tǒng)間交互的各種限定性規(guī)范的制定。它能夠包括正向規(guī)則和反向規(guī)則兩方面的內(nèi)容；同時(shí)以自動(dòng)建模的方式為主，輔以人工微調(diào)和優(yōu)化，得到充分必要的安全規(guī)則。基于安全規(guī)則的監(jiān)控和防護(hù)這是在系統(tǒng)運(yùn)行時(shí)，對(duì)正在進(jìn)行的業(yè)務(wù)和治理層面的數(shù)據(jù)庫交互活動(dòng)進(jìn)行檢測(cè)。對(duì)其中違反既定的安全策略的行為能夠即時(shí)發(fā)覺，同時(shí)能夠產(chǎn)生報(bào)警、阻斷以及供事后分析和審計(jì)的依據(jù)。實(shí)時(shí)的監(jiān)控和防護(hù)能夠第一時(shí)刻消除共計(jì)和違規(guī)操作對(duì)系統(tǒng)的阻礙。報(bào)告和審計(jì)是周期性的業(yè)務(wù)運(yùn)行狀況的總結(jié)。其中即包括對(duì)一段時(shí)刻內(nèi)的總體運(yùn)行狀況的描述，也包括詳細(xì)的分項(xiàng)講明，以及細(xì)致到每一次事務(wù)/查詢的原始信息記錄。不僅包括正常業(yè)務(wù)運(yùn)行狀況，對(duì)安全威脅和事件也進(jìn)行特不重點(diǎn)和詳細(xì)的報(bào)告。報(bào)告和審計(jì)關(guān)于企業(yè)提供符合專業(yè)規(guī)范（如：塞班斯）要求的審計(jì)依據(jù)具有重大的意義，更重要的是對(duì)數(shù)據(jù)庫安全的整個(gè)維護(hù)和實(shí)施生命周期提供了不斷自我檢查，自我完善的依據(jù)。以下對(duì)上述數(shù)據(jù)庫安全實(shí)施環(huán)節(jié)的具體內(nèi)容進(jìn)行詳細(xì)闡述。數(shù)據(jù)庫的安全評(píng)估數(shù)據(jù)庫的評(píng)估要緊采納兩種技術(shù)手段：主動(dòng)的漏洞掃描評(píng)估和被動(dòng)的使用情況評(píng)估。要確保數(shù)據(jù)庫的安全，首先要了解其使用情況。SecureSphere的“自動(dòng)建模”通過檢測(cè)實(shí)時(shí)數(shù)據(jù)庫網(wǎng)絡(luò)通信來生成使用情況的基準(zhǔn)模型，然后自動(dòng)創(chuàng)建數(shù)據(jù)庫安全策略。治理員通過檢查“業(yè)務(wù)模型”，可輕松掌握相應(yīng)數(shù)據(jù)庫的使用情況。這關(guān)于不太了解數(shù)據(jù)庫技術(shù)的安全和檢查團(tuán)隊(duì)來講特不有用。Imperva的基于角色的治理支持“只讀”訪問權(quán)限，以便需要評(píng)估使用情況的用戶（非SecureSphere治理員）可訪問此類重要信息。必要時(shí)，具有治理特權(quán)的治理員可修改“業(yè)務(wù)模型”制定的策略，以使其符合企業(yè)安全策略或規(guī)章制度。例如，查詢組確實(shí)是“業(yè)務(wù)模型”中一個(gè)功能強(qiáng)大、表達(dá)簡(jiǎn)練的概念，它用于建立合法業(yè)務(wù)活動(dòng)模型。查詢組在“自動(dòng)建模”中表示為對(duì)數(shù)據(jù)庫表和表的操作（如Table1,Select和Table2,Update）。這些查詢組是基于SecureSphere“自動(dòng)建模”算法，從特定數(shù)據(jù)庫用戶的查詢中派生的。查詢組通過將所有訪問相同表集（如book_of_the_week）和使用相同操作（如select）的查詢分成組，來標(biāo)識(shí)正常的業(yè)務(wù)活動(dòng)。SecureSphere除了提供數(shù)據(jù)庫使用情況的微觀細(xì)節(jié)外，還提供數(shù)據(jù)庫使用潛在漏洞的詳細(xì)情況。許多漏洞都與特定的數(shù)據(jù)庫部署或使用情況相關(guān)，只有在數(shù)據(jù)庫投入使用后，通過觀看實(shí)時(shí)數(shù)據(jù)庫用戶活動(dòng)，這些漏洞才會(huì)顯現(xiàn)出來。SecureSphere的“數(shù)據(jù)庫漏洞業(yè)務(wù)模型”提供一種連續(xù)、一致、全面的方法，來確定由于與最佳做法相左而產(chǎn)生的安全漏洞和風(fēng)險(xiǎn)。它還能夠找出由于生產(chǎn)環(huán)境的配置復(fù)雜性而產(chǎn)生的安全漏洞。例如，SecureSphere可確定對(duì)默認(rèn)存儲(chǔ)過程、默認(rèn)用戶賬戶和系統(tǒng)對(duì)象的非治理性訪問，所有這些操作都與數(shù)據(jù)庫安全的最佳做法相沖突。SecureSphere的“漏洞”業(yè)務(wù)模型專門容易確定其他漏洞工具無法檢測(cè)到的數(shù)據(jù)庫漏洞，這使其成為傳統(tǒng)滲透測(cè)試和漏洞掃描工具的有益補(bǔ)充。SecureSphere的“漏洞模型”報(bào)告的幾個(gè)示例如下所示：數(shù)據(jù)庫默認(rèn)數(shù)據(jù)包和存儲(chǔ)過程評(píng)估重點(diǎn)評(píng)估非治理用戶使用默認(rèn)存儲(chǔ)過程的情況。最佳做法通常建議非治理用戶不要使用默認(rèn)存儲(chǔ)過程。數(shù)據(jù)庫用戶評(píng)估列出最佳做法通常建議非治理用戶不要使用的活動(dòng)默認(rèn)數(shù)據(jù)庫賬戶。數(shù)據(jù)庫系統(tǒng)對(duì)象訪問評(píng)估此報(bào)告列出訪問數(shù)據(jù)庫系統(tǒng)對(duì)象的非治理用戶。默認(rèn)情況下，這些對(duì)象關(guān)于任何用戶差不多上可訪問的。只是，大多數(shù)系統(tǒng)對(duì)象包含有非治理用戶不應(yīng)使用的信息。數(shù)據(jù)庫的安全策略制定、部署、監(jiān)控和防護(hù)Imperva的數(shù)據(jù)庫安全策略包括許多層次。數(shù)據(jù)庫基礎(chǔ)設(shè)施的安全策略針對(duì)數(shù)據(jù)庫的基礎(chǔ)設(shè)施——網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用軟件方面，相應(yīng)的安全規(guī)則確實(shí)是：防火墻、IPS規(guī)則、應(yīng)用協(xié)議愛護(hù)；這部分規(guī)則能夠是靜態(tài)的，差不多依照數(shù)據(jù)庫和應(yīng)用系統(tǒng)的要求做了精細(xì)的預(yù)設(shè)，同時(shí)還能夠進(jìn)一步的依照實(shí)際需要進(jìn)行微調(diào)。此外，對(duì)上層協(xié)議（SQL的通信）的合法性及濫用的檢測(cè)，關(guān)于數(shù)據(jù)庫服務(wù)器軟件也特不重要。對(duì)此，專門提供了應(yīng)用協(xié)議檢測(cè)的功能?！皠?dòng)態(tài)建?！薄弊詣?dòng)創(chuàng)建每位用戶的合法查詢組和特定查詢基準(zhǔn)。這使安全治理人員能夠制定針對(duì)單個(gè)用戶的查詢級(jí)不安全策略。查詢組所提供的查詢級(jí)不策略比手動(dòng)創(chuàng)建的策略更有效，更精確，更便于維護(hù)，而且比某些產(chǎn)品提供的基于角色的“通用”查詢策略更精細(xì)。怎么講，并不是每個(gè)人都完全符合角色的定義。相同角色的不同用戶，其查詢行為可能有專門大的不同，而這些不同關(guān)于建立強(qiáng)大的安全策略至關(guān)重要?，F(xiàn)有數(shù)據(jù)庫活動(dòng)監(jiān)視產(chǎn)品的要緊缺點(diǎn)是不能對(duì)其生成的大量數(shù)據(jù)進(jìn)行深入分析。大多數(shù)解決方案無法區(qū)分用戶活動(dòng)的正常變化和重要的攻擊信號(hào)。那些聲稱能夠提供精確攻擊警報(bào)的產(chǎn)品需要不斷地進(jìn)行調(diào)整，因此專門難提供可靠的警報(bào)。為此大多數(shù)解決方案只記錄下數(shù)據(jù)庫活動(dòng)，以進(jìn)行審計(jì)。SecureSphere“動(dòng)態(tài)建?！钡摹安樵兘M”組件通過自動(dòng)標(biāo)識(shí)每位用戶的一致行為模式，來解決這一問題。通過將所有新查詢與此前為每位用戶建立的模式進(jìn)行比較，SecureSphere能夠區(qū)分出攻擊行為和無害的用戶行為變化。查詢組在“動(dòng)態(tài)建?！敝斜硎緸閿?shù)據(jù)庫表和表操作對(duì)（如Table1,Select和Table2,Update）。這些信息是基于SecureSphere“動(dòng)態(tài)建?！彼惴?，從特定數(shù)據(jù)庫用戶的查詢中派生的。與查詢組(Accounts,Select)(Sales,Select)匹配的每個(gè)新查詢都被添加到“業(yè)務(wù)模型”中，以進(jìn)行審計(jì)。在動(dòng)態(tài)查詢組情況下，新的查詢不屬于異常事件，可不能生成重復(fù)的警報(bào)。然而，當(dāng)財(cái)務(wù)分析員突然試圖通過UPDATE操作修改銷售表時(shí)，SecureSphere將此查詢識(shí)不為不屬于他的查詢組，并相應(yīng)地發(fā)出警報(bào)。除了“動(dòng)態(tài)建?！彼峁┑淖詣?dòng)策略定義外，SecureSphere還同意安全治理員定義特定的策略，以便基于SQL查詢的特定屬性來生成警報(bào)和阻止通信。自定義策略規(guī)則以手動(dòng)方式來配置，用于執(zhí)行通過“業(yè)務(wù)模型”和協(xié)議沖突規(guī)則不能或不便實(shí)現(xiàn)的操作。當(dāng)SQL查詢與某個(gè)自定義策略規(guī)則匹配時(shí)，將記錄一條用于進(jìn)行審計(jì)的警報(bào)，同時(shí)可依照該自定義策略規(guī)則的策略阻止該查詢。自定義策略規(guī)則能夠是以下屬性的組合：源IP地址：發(fā)出查詢的源IP地址。表：出現(xiàn)在查詢中的數(shù)據(jù)庫表的名稱。操作：出現(xiàn)在查詢中的數(shù)據(jù)庫操作（如Select或Update）。應(yīng)用程序：用于生成查詢的源應(yīng)用程序。用戶：生成查詢的數(shù)據(jù)庫用戶。SecureSphere沖突：此SQL查詢觸發(fā)的與”業(yè)務(wù)模型”、協(xié)議、防火墻和簽名的沖突。檢測(cè)這些方面的沖突，為強(qiáng)制執(zhí)行安全策略提供了一種功能強(qiáng)大的靈活機(jī)制?；跀?shù)據(jù)庫安全策略的監(jiān)控和防護(hù)數(shù)據(jù)庫安全策略制定之后，必須有相應(yīng)的部署和保障機(jī)制來落實(shí)。在SecureSphere中，它的實(shí)現(xiàn)又SecureSphere的引擎完成——在規(guī)則制定完成之后就可立即進(jìn)行實(shí)施。在運(yùn)行的過程中，關(guān)于安全威脅，SecureSphere能夠進(jìn)行特不豐富的響應(yīng)動(dòng)作，分為三類：告警響應(yīng)（Alert），即時(shí)行動(dòng)（ImmediateAction）/后續(xù)行動(dòng)（FollowedAction），對(duì)外通信。告警響應(yīng)告警響應(yīng)能夠?qū)χ苯佑|發(fā)網(wǎng)管界面中的告警，同時(shí)在告警終端界面里對(duì)告警的性質(zhì)、緣故、原始數(shù)據(jù)，知識(shí)庫進(jìn)行詳細(xì)展示：所有被監(jiān)控系統(tǒng)的告警都能夠被呈現(xiàn)在一個(gè)窗口中。在統(tǒng)一的規(guī)則下，告警能夠被自動(dòng)匯聚，能夠被搜索、排序、過濾。如此極大的方便了治理員對(duì)多個(gè)系統(tǒng)的安全事件進(jìn)行對(duì)比和關(guān)聯(lián)分析。即時(shí)行動(dòng)和后續(xù)行動(dòng)即時(shí)行動(dòng)是關(guān)于明確定位、且具有嚴(yán)峻前在危害的數(shù)據(jù)包進(jìn)行即時(shí)阻斷的動(dòng)作。而后續(xù)行動(dòng)是在安全威脅確認(rèn)后對(duì)在一段時(shí)刻之內(nèi)對(duì)攻擊源進(jìn)行的阻斷。即時(shí)動(dòng)作的功能在于能夠?qū)暨M(jìn)行立即的響應(yīng)，而后續(xù)行動(dòng)保證在一定時(shí)刻內(nèi)完全對(duì)某個(gè)攻擊源的屏蔽——節(jié)約系統(tǒng)資源，同時(shí)也防止來自它的其它攻擊和破壞。即時(shí)行動(dòng)和后續(xù)行動(dòng)的定義特不豐富。包括對(duì)IP的阻斷、對(duì)Session的阻斷、TCPReset、阻斷時(shí)刻的定義等等：外部通信SecureSphere不但能夠在自身的治理界面上呈現(xiàn)告警，而且，還提供了豐富的對(duì)外通信接口：SNMP、Syslog、Email、系統(tǒng)程序的調(diào)用。這些對(duì)有效的整合整個(gè)IT系統(tǒng)的事件和告警治理體系，以及快速靈活的通知相關(guān)人員都至關(guān)重要。數(shù)據(jù)庫運(yùn)行的報(bào)告和審計(jì)SecureSphere收集一系列極其豐富的審計(jì)數(shù)據(jù)并提供特不靈活的內(nèi)置報(bào)告功能，能夠滿足所有內(nèi)部或外部的合規(guī)性要求。SecureSphere支持全方位的數(shù)據(jù)庫活動(dòng)日志記錄。治理員能夠指定多個(gè)審計(jì)日志，同時(shí)每個(gè)日志都能夠單獨(dú)配置為進(jìn)行選擇性日志記錄或進(jìn)行全面的日志記錄。全面的日志記錄包括全部用戶的所有數(shù)據(jù)庫活動(dòng)，其中用戶也包括從服務(wù)器操縱臺(tái)訪問數(shù)據(jù)庫的數(shù)據(jù)庫治理員。選擇性日志記錄能夠配置為記錄任何屬性組合，其中包括用戶、源IP地址、所訪問的表、使用的SQL操作、源應(yīng)用程序、天（按周）和時(shí)刻（按天）、存儲(chǔ)過程和授權(quán)SQL操作。作為網(wǎng)絡(luò)設(shè)備，SecureSphere審計(jì)數(shù)據(jù)可完全獨(dú)立于所有數(shù)據(jù)庫用戶（包括數(shù)據(jù)庫治理員和開發(fā)人員）進(jìn)行收集。這就能夠清晰區(qū)分?jǐn)?shù)據(jù)庫團(tuán)隊(duì)與審計(jì)或安全團(tuán)隊(duì)之間的職責(zé)。而且，審計(jì)日志記錄能夠在不阻礙數(shù)據(jù)庫性能、穩(wěn)定性和治理的情況下完成。其他數(shù)據(jù)庫活動(dòng)監(jiān)視產(chǎn)品的要緊缺點(diǎn)是不能對(duì)其生成的大量數(shù)據(jù)進(jìn)行深入分析。大多數(shù)解決方案無法區(qū)分用戶活動(dòng)的正常變化和真正的惡意或攻擊活動(dòng)。SecureSphere提供的不只是雜亂無章的的活動(dòng)日志記錄。SecureSphere實(shí)時(shí)確定“真正有問題”的活動(dòng)，并在視圖中按照優(yōu)先級(jí)顯示所有潛在的危險(xiǎn)用戶活動(dòng)（包括對(duì)數(shù)據(jù)庫應(yīng)用程序和數(shù)據(jù)庫平臺(tái)的攻擊）。報(bào)告能夠包括當(dāng)前警報(bào)或任何時(shí)刻段的歷史警報(bào)，同時(shí)能夠基于任何警報(bào)參數(shù)進(jìn)行分類、過濾或聚合。其他數(shù)據(jù)庫安全解決方案關(guān)于生成多個(gè)警報(bào)的危險(xiǎn)活動(dòng)處理得專門不理想。它們單獨(dú)處理每個(gè)警報(bào)，有可能會(huì)使真正的問題淹沒在大量相關(guān)警報(bào)中。SecureSphere提供智能攻擊摘要功能，該功能能夠?qū)⒍鄠€(gè)攻擊導(dǎo)致的多個(gè)警報(bào)聚合為一個(gè)需采取措施的警報(bào)，與此同時(shí)形成警報(bào)的差不多事件仍可用于進(jìn)行詳細(xì)分析。例如，將成千上萬個(gè)相關(guān)掃描警報(bào)聚合為一個(gè)攻擊警報(bào)。關(guān)于檢查團(tuán)隊(duì)和審計(jì)團(tuán)隊(duì)，SecureSphere提供了一種用于了解實(shí)際用戶行為并將其與最佳做法或合規(guī)性要求進(jìn)行對(duì)比的強(qiáng)有力的工具?！皹I(yè)務(wù)模型”信息的格式和內(nèi)容關(guān)于不太了解數(shù)據(jù)庫技術(shù)的人員來講尤為有用。審計(jì)報(bào)告能夠圖示出當(dāng)前的用戶“業(yè)務(wù)模型”，并能記錄一段時(shí)刻內(nèi)對(duì)“業(yè)務(wù)模型”所做的更改，例如添加新用戶或更改同意用戶使用數(shù)據(jù)庫的天和時(shí)刻。此更改通知報(bào)告關(guān)于跟蹤新數(shù)據(jù)庫功能的部署以及是否遵守了更改操縱過程特不有用。運(yùn)維安全產(chǎn)品和功能詳解HAC支持Telnet、FTP、SSH、SFTP、RDP（WindowsTerminal）、Xwindows、VNC、AS400、HTTP、HTTPS等多種通信協(xié)議，支持IBMAIX、DigitalUNIX、HPUNIX、SUNSolaris、SCOUNIX、LINUX、WINDOWS等多種操作系統(tǒng)。通過安全產(chǎn)品將人與目標(biāo)設(shè)備進(jìn)行分離，建立以“人->用戶賬號(hào)->授權(quán)->目標(biāo)設(shè)備賬號(hào)->目標(biāo)設(shè)備”為治理模式，通過基于唯一身份標(biāo)識(shí)的集中治理賬號(hào)與權(quán)限、授權(quán)的操縱策略，與各服務(wù)器、網(wǎng)絡(luò)設(shè)備等無縫連接，實(shí)現(xiàn)集中精細(xì)化運(yùn)維操作管控與審計(jì)。使IT安全運(yùn)維從被動(dòng)響應(yīng)的模式轉(zhuǎn)變?yōu)橹鲃?dòng)的運(yùn)維安全管控模式，降低人為安全風(fēng)險(xiǎn)，滿足合規(guī)和內(nèi)部治理要求。要緊屬性HAC1000EHAC1000P支持協(xié)議Telnet、SSH、FTP、SFTP、WindowsTerminal、Xwindows、VNC、AS400、http/https等Telnet、SSH、FTP、SFTP、WindowsTerminal、Xwindows、VNC、AS400、http/https等可靠性支持HA支持HA并發(fā)數(shù)最大支持字符會(huì)話1000個(gè)，圖形RDP會(huì)話300個(gè)最大支持字符會(huì)話500個(gè)，圖形RDP會(huì)話150個(gè)部署模式支持單臂、串聯(lián)模式部署支持單臂、串聯(lián)模式部署易用性B/S治理、無客戶端、Server端軟件B/S治理、無客戶端、Server端軟件清晰性采納中文界面采納中文界面兼容性支持IBMAix、HPUnix、SunSolaris、SCOUnix、Linux、Windows等各種操作系統(tǒng)主機(jī)和各種網(wǎng)絡(luò)、安全設(shè)備支持IBMAix、HPUnix、SunSolaris、SCOUnix、Linux、Windows等各種操作系統(tǒng)主機(jī)和各種網(wǎng)絡(luò)、安全設(shè)備外形2U機(jī)架式服務(wù)器IU機(jī)架式服務(wù)器存儲(chǔ)容量3TB，Raid5+0支持500GB網(wǎng)卡3個(gè)千兆以太網(wǎng)口3個(gè)千兆以太網(wǎng)口統(tǒng)一身份及認(rèn)證治理完整的身份治理和認(rèn)證為了確保合法用戶才能訪問其擁有權(quán)限的后臺(tái)資源，解決IT系統(tǒng)中普遍存在的交叉運(yùn)維而無法定位到具體人的問題，滿足審計(jì)系統(tǒng)“誰做的”要求，系統(tǒng)提供一套完整的身份治理和認(rèn)證功能。支持運(yùn)維用戶靜態(tài)口令、數(shù)字證書、動(dòng)態(tài)口令、LDAP、AD域、Radius等認(rèn)證方式；支持密碼強(qiáng)度、密碼有效期、口令嘗試死鎖、用戶激活、備注等安全治理功能；支持用戶分組治理；支持用戶信息導(dǎo)入導(dǎo)出，方便批量處理；至少支持系統(tǒng)治理員、運(yùn)維治理員、口令治理員和審計(jì)員等治理員角色，可定制治理員角色；審計(jì)員分權(quán)治理，分為全局審計(jì)員和會(huì)話審計(jì)員，其中會(huì)話審計(jì)員只能審計(jì)指定用戶的會(huì)話。后臺(tái)賬號(hào)口令集中治理系統(tǒng)支持對(duì)后臺(tái)各類資源（主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備等）的賬號(hào)口令進(jìn)行統(tǒng)一治理，即后臺(tái)資源的賬號(hào)口令由系統(tǒng)托管，用戶登錄系統(tǒng)后，系統(tǒng)依照用戶權(quán)限分配后臺(tái)資源的使用權(quán)。SSO單點(diǎn)登錄SSO單點(diǎn)登錄功能是運(yùn)維人員通過堡壘機(jī)認(rèn)證和授權(quán)后，堡壘機(jī)依照配置策略實(shí)現(xiàn)后臺(tái)資源的自動(dòng)登錄。此功能提供了運(yùn)維人員到后臺(tái)資源帳戶的一種可控對(duì)應(yīng)，同時(shí)實(shí)現(xiàn)了對(duì)后臺(tái)資源帳戶的口令統(tǒng)一愛護(hù)。針對(duì)不同主機(jī)、網(wǎng)絡(luò)和安全設(shè)備的特性，堡壘機(jī)提供托管和只托不管兩種方式實(shí)現(xiàn)運(yùn)維用戶自動(dòng)登錄后臺(tái)資源。1、托管方式實(shí)現(xiàn)自動(dòng)登錄后臺(tái)資源堡壘機(jī)自動(dòng)獵取后臺(tái)linux系統(tǒng)資源帳戶信息；依照口令安全策略，堡壘機(jī)定期自動(dòng)修改后臺(tái)資源帳戶口令；依照治理員配置，實(shí)現(xiàn)運(yùn)維用戶與后臺(tái)資源帳戶對(duì)應(yīng)，限制帳戶的越權(quán)使用；運(yùn)維用戶通過堡壘機(jī)認(rèn)證和授權(quán)后，堡壘機(jī)依照分配的帳戶實(shí)現(xiàn)自動(dòng)登錄后臺(tái)資源。2、只托不管方式實(shí)現(xiàn)自動(dòng)登錄后臺(tái)資源治理員將后臺(tái)資源帳戶及口令配置到堡壘機(jī)中；依照治理員配置，實(shí)現(xiàn)運(yùn)維用戶與后臺(tái)資源帳戶對(duì)應(yīng)，限制帳戶的越權(quán)使用；運(yùn)維用戶通過堡壘機(jī)認(rèn)證和授權(quán)后，堡壘機(jī)依照分配的帳戶實(shí)現(xiàn)自動(dòng)登錄后臺(tái)資源。關(guān)于托管的后臺(tái)設(shè)備口令，支持以配置導(dǎo)出、郵件、密碼信封、口令保管箱等的方式進(jìn)行備份。實(shí)際應(yīng)用時(shí)存在多臺(tái)設(shè)備具備相同的帳號(hào)、密碼的情況，能夠通過“統(tǒng)一賬號(hào)治理”實(shí)現(xiàn)只需要手工添加一次賬號(hào)，無需多次添加；同時(shí)啟用密碼定期修改功能時(shí)，該賬號(hào)密碼自動(dòng)修改為相同的密碼。密碼打印HAC關(guān)于被治理設(shè)備的口令能夠加密保存，支持被修改口令的打印輸出，配合密碼信封能夠打印形成密件，便于密碼保管。為進(jìn)一步保證賬號(hào)口令的安全，配合專用的密函打印機(jī)，HAC可對(duì)被治理設(shè)備的賬號(hào)口令實(shí)現(xiàn)密函打印功能，該功能必須通過二次授權(quán)復(fù)核，打印格式可由用戶自定義?？诹畋９芟潢P(guān)于托管的后臺(tái)設(shè)備口令，除支持以導(dǎo)出、郵件、密碼信封的方式進(jìn)行備份外，還支持把該托管口令備份到專用的口令安全存儲(chǔ)設(shè)備上，防止口令丟失的風(fēng)險(xiǎn)。關(guān)于該口令安全存儲(chǔ)設(shè)備的訪問，支持指紋方式認(rèn)證。訪問操縱及授權(quán)靈活、細(xì)粒度的授權(quán)系統(tǒng)提供基于用戶、運(yùn)維協(xié)議、目標(biāo)主機(jī)、運(yùn)維時(shí)刻段（年、月、日、周、時(shí)刻）、會(huì)話時(shí)長、運(yùn)維客戶端IP等組合的授權(quán)功能，實(shí)現(xiàn)細(xì)粒度授權(quán)功能，滿足用戶實(shí)際授權(quán)的需求。提供基于用戶到資源的授權(quán)提供基于用戶組到資源的授權(quán)提供基于用戶到資源組的授權(quán)提供基于用戶組到資源組的授權(quán)命令級(jí)授權(quán)關(guān)于字符型協(xié)議,如Telnet、SSH、FTP、SFTP等，能夠?qū)崿F(xiàn)命令級(jí)不的授權(quán)操縱。能夠通過命令行配置進(jìn)行規(guī)則匹配，支持黑、白名單功能；提供用戶可配置的告警規(guī)則以實(shí)現(xiàn)告警與阻斷，告警規(guī)則支持多條命令，告警規(guī)則支持正則表達(dá)式；告警規(guī)則支持告警級(jí)不、告警分類和與后臺(tái)資源綁定；告警規(guī)則能夠按照帳號(hào)級(jí)不進(jìn)行綁定，能夠設(shè)置為只有指定安全級(jí)不的帳號(hào)才能觸發(fā)告警規(guī)則，針對(duì)不同用戶實(shí)施不同的規(guī)則，從而提供更細(xì)粒度的操作操縱；應(yīng)用公布除Telnet、SSH、FTP、SFTP、RDP、VNC、XWIN、AS400、HTTP、HTTPS等常用協(xié)議外，針對(duì)用戶獨(dú)特的運(yùn)維需求，HAC推出了業(yè)界首創(chuàng)的虛擬桌面主機(jī)安全操作系統(tǒng)設(shè)備（VDH,VirtualDesktopHost），通過VDH配合HAC進(jìn)行審計(jì)能夠完全達(dá)到審計(jì)、操縱、授權(quán)的要求運(yùn)維操作全程可控，可做到授權(quán)后應(yīng)用只能訪問指定服務(wù)，最大降低對(duì)后臺(tái)目標(biāo)服務(wù)集群的可能安全風(fēng)險(xiǎn)?？蓪?duì)整個(gè)運(yùn)維操作過程進(jìn)行完整記錄，實(shí)現(xiàn)詳盡的會(huì)話審計(jì)和回放?？梢罁?jù)用戶要求快速實(shí)現(xiàn)新應(yīng)用的公布和審計(jì)?？芍С謱?duì)數(shù)據(jù)庫維護(hù)工具、pcAnywhere、DameWare等不同工具的運(yùn)維操作進(jìn)行監(jiān)控和審計(jì)。運(yùn)維事件事中操縱實(shí)時(shí)監(jiān)控及阻斷監(jiān)控正在運(yùn)維的會(huì)話，信息包括運(yùn)維用戶、運(yùn)維客戶端地址、資源地址、協(xié)議、開始時(shí)刻等；監(jiān)控后臺(tái)資源被訪問情況；提供在線運(yùn)維操作的實(shí)時(shí)監(jiān)控功能。針對(duì)命令協(xié)議和圖形協(xié)議能夠圖像方式實(shí)時(shí)監(jiān)控正在運(yùn)維的各種操作，其信息與運(yùn)維客戶端所見完全一致；治理員能夠關(guān)閉在線會(huì)話。違規(guī)操作實(shí)時(shí)告警與阻斷告警事件可實(shí)時(shí)查看，并通過審計(jì)平臺(tái)的聲音、閃耀提示；告警事件以郵件、短信通知；系統(tǒng)各類系統(tǒng)敏感事件集中處理，可通過郵件短信外發(fā)給已配置責(zé)任人；關(guān)于設(shè)置為阻斷的命令，運(yùn)維用戶無法執(zhí)行，系統(tǒng)提示相關(guān)阻斷信息?？芍С諭TSM可與ITSM相結(jié)合，為其優(yōu)化變更治理流程，加強(qiáng)對(duì)變更治理中的風(fēng)險(xiǎn)操縱；支持對(duì)變更工單錄入操作，實(shí)現(xiàn)變更過程的監(jiān)控和審計(jì)；支持對(duì)現(xiàn)有運(yùn)維變更治理系統(tǒng)快速集成；支持變更工單號(hào)事后審計(jì)功能?？芍С蛛p人復(fù)核操作支持運(yùn)維過程對(duì)雙人操作流程介入，例如對(duì)某阻斷命令，能夠設(shè)置必須由其它人進(jìn)行復(fù)核；復(fù)核人復(fù)核通過后，運(yùn)維人員才能夠執(zhí)行該阻斷命令；支持會(huì)話日志記錄雙人復(fù)核操作審批人、時(shí)刻、操作符合命令。運(yùn)維事件事后審計(jì)完整記錄網(wǎng)絡(luò)會(huì)話過程系統(tǒng)提供運(yùn)維協(xié)議Telnet、FTP、SSH、SFTP、RDP（WindowsTerminal）、Xwindows、VNC、AS400、Http、Https以及應(yīng)用公布等網(wǎng)絡(luò)會(huì)話的完整會(huì)話記錄，完全滿足內(nèi)容審計(jì)中信息百分百不丟失的要求；會(huì)話信息包括運(yùn)維用戶、運(yùn)維地址、后臺(tái)資源地址、資源名、協(xié)議、起始時(shí)刻、終止時(shí)刻、流量大小信息；會(huì)話信息包括運(yùn)維過程中所有進(jìn)出后臺(tái)資源的數(shù)據(jù)。詳盡的會(huì)話審計(jì)與回放運(yùn)維操作審計(jì)以會(huì)話為單位，提供當(dāng)日和條件查詢定位。條件查詢支持按運(yùn)維用戶、運(yùn)維地址、后臺(tái)資源地址、協(xié)議、起始時(shí)刻、結(jié)束時(shí)刻和操作內(nèi)容中關(guān)鍵字等組合方式；針對(duì)命令交互方式的協(xié)議，提供逐條命令及相關(guān)操作結(jié)果的顯示；提供圖像形式的回放，真實(shí)、直觀、可視地重現(xiàn)當(dāng)時(shí)的操作過程；回放提供快放、慢放、拖拉等方式，方便快速定位和查看；針對(duì)命令交互方式的協(xié)議，提供按命令進(jìn)行定位回放；針對(duì)RDP、Xwindows、VNC協(xié)議，提供按時(shí)刻進(jìn)行定位回放。關(guān)于RDP協(xié)議除記錄視頻格式外，關(guān)于各種鍵盤鼠標(biāo)的操作進(jìn)行記錄，具體包括鍵盤信息、屏幕文本信息、文件讀寫信息等。自審計(jì)功能治理員、審計(jì)員、運(yùn)維人員在系統(tǒng)中關(guān)鍵操作行為記錄，并可通過報(bào)表展現(xiàn)；可記錄主帳號(hào)訪問審計(jì)設(shè)備時(shí)刻、終端IP記錄；可記錄主帳號(hào)訪問目標(biāo)設(shè)備、從帳號(hào)記錄。完備的審計(jì)報(bào)表功能提供運(yùn)維人員操作、治理員操作以及違規(guī)事件等多種審計(jì)報(bào)表：提供日常報(bào)表，包括今日會(huì)話、今日自審計(jì)、用戶信息、資源信息、權(quán)限信息、規(guī)則信息、治理員角色信息等報(bào)表；提供會(huì)話報(bào)表，可依照用戶選定時(shí)刻、用戶、資源形成會(huì)話報(bào)表；自審計(jì)操作報(bào)表，可依照用戶選定時(shí)刻、治理員、模塊形成自審計(jì)報(bào)表；告警報(bào)表，可依照告警類不、級(jí)不、資源、運(yùn)維用戶、協(xié)議、時(shí)刻等條件形成報(bào)表；綜合統(tǒng)計(jì)報(bào)表，可依照時(shí)刻、資源、用戶等條件形成綜合統(tǒng)計(jì)報(bào)表，報(bào)表中包括概要信息、每個(gè)用戶操作信息、每個(gè)資源被操作信息等；報(bào)表導(dǎo)出，支持PDF、Excel、Word等格式。兼容性、可擴(kuò)展性HAC運(yùn)維審計(jì)作為IT運(yùn)維流程中的一個(gè)部分，能夠遵循ITIL滿足稽核與審計(jì)的要求，系統(tǒng)能夠通過定制開發(fā)與現(xiàn)有ITSM、SOC、網(wǎng)管平臺(tái)進(jìn)行集成，滿足大型網(wǎng)絡(luò)系統(tǒng)的治理要求。基于ITIL要求，HAC系統(tǒng)自身能夠支持工單治理和雙人復(fù)核，能夠差不多滿足用戶使用紙面工單治理的差不多審計(jì)需求。能夠與KVM系統(tǒng)進(jìn)行整合，解決KVM系統(tǒng)本身審計(jì)功能薄弱的問題。能夠與專業(yè)的數(shù)據(jù)庫審計(jì)系統(tǒng)進(jìn)行整合，審計(jì)日志信息既滿足直觀、方面查看的目的，又能夠記錄詳細(xì)的數(shù)據(jù)庫操作記錄，便于故障分析。應(yīng)用效果分析該系統(tǒng)是一個(gè)完全獨(dú)立于數(shù)據(jù)庫系統(tǒng)的“黑盒子”，審計(jì)記錄自愛護(hù)性強(qiáng)，彌補(bǔ)了數(shù)據(jù)庫系統(tǒng)內(nèi)置日志審計(jì)的缺陷。數(shù)據(jù)庫系統(tǒng)內(nèi)置的日志審計(jì)功能單一，日志記錄能夠被人為修改、刪除，彌補(bǔ)了數(shù)據(jù)庫內(nèi)置日志審計(jì)的缺陷。首先，詳細(xì)記錄了所有通過網(wǎng)絡(luò)方式對(duì)數(shù)據(jù)庫系統(tǒng)所進(jìn)行的操作，包括操作時(shí)刻、計(jì)算機(jī)名、數(shù)據(jù)庫名、數(shù)據(jù)庫用戶名、操作方式、操作內(nèi)容等等，這些都便于以后的查詢?nèi)∽C，同時(shí)能夠跟蹤是否有異常的計(jì)算機(jī)或用戶或程序訪問系統(tǒng)數(shù)據(jù)庫。其次，利用審計(jì)數(shù)據(jù)對(duì)業(yè)務(wù)系統(tǒng)性能進(jìn)行優(yōu)化。通過分析業(yè)務(wù)系統(tǒng)中各個(gè)子系統(tǒng)或各個(gè)功能中對(duì)數(shù)據(jù)庫系統(tǒng)的訪問量來分析業(yè)務(wù)系統(tǒng)中存在的性能問題。比如，通過各個(gè)子業(yè)務(wù)系統(tǒng)對(duì)數(shù)據(jù)庫系統(tǒng)訪問次數(shù)統(tǒng)計(jì)來分析業(yè)務(wù)系統(tǒng)中對(duì)數(shù)據(jù)庫的操作是否可進(jìn)行優(yōu)化，從而提供整個(gè)業(yè)務(wù)系統(tǒng)的運(yùn)行性能。再次，因?yàn)橛涗浰腥藛T對(duì)數(shù)據(jù)庫操作。能夠提醒因此對(duì)數(shù)據(jù)庫操作的人員按照規(guī)范來操作，有利于銀行對(duì)數(shù)據(jù)庫操作規(guī)范的執(zhí)行。針對(duì)XX數(shù)據(jù)庫安全愛護(hù)解決方案的重要業(yè)務(wù)功能的實(shí)現(xiàn)數(shù)據(jù)庫的安全是一個(gè)綜合性的工程。它面臨的問題是多方面的。保證數(shù)據(jù)庫的安全和正常運(yùn)行，其中一個(gè)重要的功能是數(shù)據(jù)庫的審計(jì)功能。這是數(shù)據(jù)庫周期性的業(yè)務(wù)運(yùn)行狀況的總結(jié)。其中即包括對(duì)一段時(shí)刻內(nèi)的總體運(yùn)行狀況的描述，也包括詳細(xì)的分項(xiàng)講明，以及細(xì)致到每一次事務(wù)/查詢的原始信息記錄。Imperva的產(chǎn)品能夠提供針對(duì)數(shù)據(jù)庫操作的詳細(xì)審計(jì)。不僅包括正常業(yè)務(wù)