數(shù)據(jù)安全與運維安全審計系統(tǒng)項目方案

1概述.....................................................................................2

2項目背景........................................................................3

3數(shù)據(jù)安全解決方案.........................................................................4

3.1風險分析.............................................................................4

3.1.1操作系統(tǒng)安全....................................................................4

3.1.2數(shù)據(jù)庫本身的安全風險............................................................4

3.1.3數(shù)據(jù)庫的全面防護................................................................5

3.1.4數(shù)據(jù)庫及其應用系統(tǒng)風險..........................................................5

3.1.5數(shù)據(jù)庫前端應用風險..............................................................5

3.2項目需求.............................................................................5

3.3總體設(shè)計方案........................................................................10

3.4建設(shè)目標與原則......................................................................12

3.5建設(shè)方案............................................................................12

3.5.1數(shù)據(jù)庫審計目標服務(wù)器...........................................................14

3.5.2數(shù)據(jù)庫登錄情況.................................................................16

3.5.3策略應用情況....................................................................17

3.5.4各類前端應用系統(tǒng)對數(shù)據(jù)庫的訪問.................................................17

3.5.5各類主機對數(shù)據(jù)庫的訪問.........................................................18

3.5.6修改數(shù)據(jù)庫操作情況.............................................................19

3.5.7數(shù)據(jù)庫特殊與訪問告警...........................................................20

3.6數(shù)據(jù)安全系統(tǒng)介紹....................................................................21

3.7運維安全系統(tǒng)介紹...................................................................24

3.8產(chǎn)品與功能詳解.....................................................................25

3.8.1數(shù)據(jù)庫產(chǎn)品與功能詳解...........................................................25

3.8.2運維安全產(chǎn)品與功能詳解.........................................................32

4應用效果分析...........................................................................39

5司簡介及案例...........................................................................44

1概述

隨著計算機技術(shù)的飛速進展，數(shù)據(jù)庫的應用十分廣泛，深入到各個領(lǐng)域，但隨之而來

產(chǎn)生了數(shù)據(jù)的安全問題。各類應用系統(tǒng)的數(shù)據(jù)庫中大量數(shù)據(jù)的安全問題、敏感數(shù)據(jù)的防竊

取與防篡改問題，越來越引起人們的高度重視。數(shù)據(jù)庫系統(tǒng)作為信息的聚集體，是計算機

信息系統(tǒng)的核心部件，其安全性至關(guān)重要，關(guān)系到企業(yè)興衰、成敗。因此，如何有效地保

證數(shù)據(jù)庫系統(tǒng)的安全，實現(xiàn)數(shù)據(jù)的保密性、完整性與有效性，已經(jīng)成為業(yè)界人士探索研究

的重要課題之一。

由于計算機與網(wǎng)絡(luò)的普及與廣泛應用,越來越多的關(guān)鍵業(yè)務(wù)系統(tǒng)運行在數(shù)據(jù)庫平臺上。

數(shù)據(jù)庫中的數(shù)據(jù)作為企業(yè)的財富發(fā)揮著越來越重要的作用，同時也成為不安定因素的要緊

目標。如何保證數(shù)據(jù)庫自身的安全，已成為現(xiàn)代數(shù)據(jù)庫系統(tǒng)的要緊評測指標之一。數(shù)據(jù)庫

是信息技術(shù)的核心與基礎(chǔ)，廣泛應用在電信、金融、政府、商業(yè)、企業(yè)等諸多領(lǐng)域，當我

們說現(xiàn)代經(jīng)濟依靠于計算機時，我們真正的意思是說現(xiàn)代經(jīng)濟依靠于數(shù)據(jù)庫系統(tǒng)。數(shù)據(jù)庫

口儲存著諸如銀行賬戶、醫(yī)療保險、電話記錄、生產(chǎn)或者交易明細、產(chǎn)品資料等極其重要

與敏感的信息。盡管這些系統(tǒng)的數(shù)據(jù)完整性與安全性是相當重要的，但對數(shù)據(jù)庫采取的安

合檢查措施的級別還比不上操作系統(tǒng)與網(wǎng)絡(luò)的安全檢查措施的級別。許多因素都可能破壞

數(shù)據(jù)的完整性并導致非法訪問，這些因素包含復雜程度、密碼安全性較差、誤配置、未被

察覺的系統(tǒng)后門與數(shù)據(jù)庫安全策略的缺失等。

2項目背景

數(shù)據(jù)庫作為金融行業(yè)信息系統(tǒng)的核心與基礎(chǔ)，承載著越來越多的關(guān)鍵業(yè)務(wù)系統(tǒng)，整個

業(yè)務(wù)流程過程中的操作、數(shù)據(jù)的變更、新增、刪除都存儲在數(shù)據(jù)庫中，儲存著客戶的個人

與資金等各類信息。信息一旦被篡改或者者泄露，不僅損害到公民自身利益，機構(gòu)的品牌

形象，甚至影響到公共秩序與國家利益。因此對數(shù)據(jù)庫的保護是一項務(wù)必的，關(guān)鍵的，重

要的工作任務(wù)。

為了保證XX業(yè)務(wù)系統(tǒng)的更加穩(wěn)固安全地運行，X〉：對業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫建設(shè)進行了完

善，不僅考慮數(shù)據(jù)庫系統(tǒng)的集群、特殊容錯能力，更從業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作安全方面進

行考慮，更加深入，細粒度地保證業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫操作的安全。從網(wǎng)絡(luò)層上說，銀行正從

應用層方面來保證業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫的安全。那么如何對業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作安全進行檢

查呢？我們使用數(shù)據(jù)庫安全審計系統(tǒng)對業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫操作進行審計。使用運維安全系

統(tǒng)對各類服務(wù)器本身進行審計。

銀行數(shù)據(jù)各類數(shù)據(jù)庫系統(tǒng)。它們的特殊地位要求安全性極高，重點要考慮二方面的安

全風險：一是來自外部安全風險：利用弱口令設(shè)置、數(shù)據(jù)庫系統(tǒng)漏洞、SQL注入等攻擊數(shù)

據(jù)庫系統(tǒng)，非法進入數(shù)據(jù)庫系統(tǒng)訪問、拷貝與修改數(shù)據(jù)內(nèi)容；另一個是內(nèi)部安全風險：以

合法授權(quán)身份進入業(yè)務(wù)系統(tǒng)對數(shù)據(jù)的訪問與操作的違規(guī)性行為。以上安全風險會引發(fā)數(shù)據(jù)

庫系統(tǒng)癱瘓、各類內(nèi)部數(shù)據(jù)信息被泄露與篡改、涉密數(shù)據(jù)信息被竊取與失泄等信息安全事

件發(fā)生。因此重點要對這兩部分的數(shù)據(jù)庫及服務(wù)器進行防護。

3數(shù)據(jù)安全解決方案

3.1風險分析

任何公司的要緊電子數(shù)字資產(chǎn)都存貯在現(xiàn)代的關(guān)系數(shù)據(jù)產(chǎn)品中。商業(yè)機構(gòu)與政府組織

都是利用這些數(shù)據(jù)庫服務(wù)器得到人事信息，如員工的二資表，醫(yī)療記錄等。因此他們有責

任保護別人的隱私，并為他們保密。數(shù)據(jù)庫服務(wù)器還存有往常的與將來的敏感的金融數(shù)據(jù)，

包含貿(mào)易記錄、商業(yè)合同及帳務(wù)數(shù)據(jù)等。象技術(shù)的所有權(quán)、工程數(shù)據(jù)，甚至市場企劃等決

貧性的機密信息，務(wù)必對競爭者保密，并阻止非法訪問，數(shù)據(jù)庫服務(wù)器還包含全面的顧客

信息，如財務(wù)帳目，信用卡號及商業(yè)伙伴的信用信息等。目前世界上七種主流的關(guān)系型數(shù)

據(jù)庫,諸如Oracle、Sybase、MicrosoftSQLServer>IBMDB2/Informix、MySQL、PostgreSQL

服務(wù)器都具有下列特征：用戶帳號及密碼、校驗系統(tǒng)、優(yōu)先級模型與操縱數(shù)據(jù)庫的特別許

可、內(nèi)置命令（存儲過程、觸發(fā)器等）、唯一的腳本與編程語言（比如PL/SQL、

Transaction-SQL）>中間件、網(wǎng)絡(luò)協(xié)議、補丁與服務(wù)包、強有力的數(shù)據(jù)庫管理有用程序與

開發(fā)工具。

3.1.1操作系統(tǒng)安全

數(shù)據(jù)庫安裝于操作系統(tǒng)之上，對操作系統(tǒng)的安全防護也是至關(guān)重要的，運維人員能

夠通過遠程訪問操作系統(tǒng)，達到本地操作數(shù)據(jù)庫的目的。系統(tǒng)口令及訪問操縱權(quán)限管理技

犬手段薄弱；數(shù)據(jù)中心存在“交叉運維”現(xiàn)象；針對運維人員無全面操作記錄；無法滿足

審計檢查對日志記錄的要求；運維安全分析報告缺乏。因此，我院迫切需要使用必要的技

術(shù)手段來防范與減少運維操作風險，確保信息系統(tǒng)安全、穩(wěn)固運行。

3.1.2數(shù)據(jù)庫本身的安全風險

數(shù)據(jù)庫服務(wù)器的應用相當復雜，掌握起來非常困難。許多數(shù)據(jù)庫管理員都忙于管理復

雜的系統(tǒng)，因此很可能沒有檢查出嚴重的安全隱患與不當?shù)呐渲?，甚至根本沒有進行檢

測。因此，正是由于傳統(tǒng)的安全體系在很大程度上忽略了數(shù)據(jù)庫安全這一主題，使數(shù)據(jù)

庫專業(yè)人員也通常沒有把安全問題當作他們的首要任務(wù)。在安全領(lǐng)域中，類似網(wǎng)頁被修改、

電腦中病毒、木馬、流氓軟件、彈出窗口等所造成的經(jīng)濟缺失微乎其微，而一旦數(shù)據(jù)庫

出現(xiàn)安全風險并被惡意利用所造成的后果幾乎是災難性的與不可挽回的。

3.1.3數(shù)據(jù)庫的全面防護

安全是多個環(huán)節(jié)層層防范、共同配合的結(jié)果。也就是說在安全領(lǐng)域不能夠僅靠某一個

環(huán)節(jié)完成所有的安全防范措施。一個安全的系統(tǒng)需要數(shù)據(jù)庫的安全、操作系統(tǒng)的安全、網(wǎng)

絡(luò)的安全、應用系統(tǒng)自身的安全共同完成。數(shù)據(jù)庫領(lǐng)域的安全措施通常包含：身份識別與

身份驗證、自主訪問操縱與強制訪問操縱、安全傳輸、系統(tǒng)審計、數(shù)據(jù)庫存儲加密等。只

有通過綜合有關(guān)安全的各個環(huán)節(jié)，才能確保高度安全的系統(tǒng)。

3.1.4數(shù)據(jù)庫及其應用系統(tǒng)風險

拙劣的數(shù)據(jù)庫安全保障設(shè)施不僅會危及數(shù)據(jù)庫的安全，還會影響到服務(wù)器的操作系統(tǒng)

與其它信用系統(tǒng)。還有一個不很明顯的原因說明了保證數(shù)據(jù)庫安全的重要性一數(shù)據(jù)庫系統(tǒng)

自身可能會提供危及整個網(wǎng)絡(luò)體系的機制。比如，某人公司可能會用數(shù)據(jù)庫服務(wù)器儲存所

有的技術(shù)手冊、文檔與白皮書的庫存清單.數(shù)據(jù)庫里的這些信息并不是特別重要的，因此

它的安全優(yōu)先級別不高。即使運行在安全狀況良好的操作系統(tǒng)中，入侵者也可通過“擴展

入駐程序，，等強有力的內(nèi)置數(shù)據(jù)庫特征，利用對數(shù)據(jù)庫的訪問，獲取對本地操作系統(tǒng)的訪

問權(quán)限。這些程序能夠發(fā)出管理員級的命令，訪問基石的操作系統(tǒng)及其全部的資源。假如

這個特定的數(shù)據(jù)庫系統(tǒng)與其它服務(wù)器有信用關(guān)系，那么入侵者就會危及整個網(wǎng)絡(luò)域的安全。

3.1.5數(shù)據(jù)庫前端應用風險

在電子商務(wù)、電子貿(mào)易的著眼點集中于WEB服務(wù)器、Java與其它新技術(shù)的同時，應該

記住這些以用戶為導向與企業(yè)對企業(yè)的系統(tǒng)都是以Web服務(wù)器后的關(guān)系數(shù)據(jù)庫為基礎(chǔ)的。

它們的安全直接關(guān)系到系統(tǒng)的有效性、數(shù)據(jù)與交易的完整性、保密性。系統(tǒng)拖延效率欠佳,

不僅影響商業(yè)活動，還會影響公司的信譽。不可避免地，這些系統(tǒng)受到入侵的可能性更大,

但是并未對商、也伙伴與客戶敏感信息的保密性加以更有效的防范。此外，ERP與管理系統(tǒng),

如ASPR/3與PeopleSoft等，都是建立在相同標準的數(shù)據(jù)庫系統(tǒng)中。無人管理的安全漏洞

與時間拖延、系統(tǒng)完整性問題與客戶信任等有直接的關(guān)系。

由此可見，數(shù)據(jù)庫安全實際上是信息安全的核心，在這種情況下，有必要使用專業(yè)的

新型數(shù)據(jù)庫安全產(chǎn)品，專門對數(shù)據(jù)庫及其操作系統(tǒng)進行保護。

3.2項目需求

做為解決卜述風險問題的數(shù)據(jù)系統(tǒng),應包含一下要緊特性：

服務(wù)器運維安全一針對直接登錄操作系統(tǒng)的行為進行操縱與審計。

數(shù)據(jù)庫使用情況評估一檢查真實的數(shù)據(jù)庫網(wǎng)絡(luò)流量以構(gòu)建一個使用的基準模型，并自

動創(chuàng)建數(shù)據(jù)庫安全政策。

管理員能夠通過審查分析文件輕松掌握適當?shù)臄?shù)據(jù)庫使用，非常靈活方便的制定數(shù)據(jù)

庫使用著的行為策略。

數(shù)據(jù)庫審計一一SecureSphere采集許多審計數(shù)據(jù)，同時提供內(nèi)置的報告功能，能夠靈

活地滿足內(nèi)部或者外部規(guī)定要求。SecureSphere的數(shù)據(jù)庫審計包含數(shù)據(jù)庫活動審計、實時

省警審計、用戶基本信息審計。

數(shù)據(jù)庫保護一一這是SecureSphere對數(shù)據(jù)庫實時保護核心功能，包含：

/數(shù)據(jù)庫應用保護

/客戶化策略的實施

,數(shù)據(jù)庫平臺的保護

/識別復雜的攻擊(通過多種手段的聯(lián)動)

具體到設(shè)備的功能，應該具有下列特點：

支持各類主流運維協(xié)議

字符型協(xié)議(Telnet.SSH、FTP、SFTP)

支持各類主流數(shù)據(jù)庫

包含對各類版本與各類平臺的Oracle、DB2^Informix、Sybase>MSSQLServer的

支持。審計廠家務(wù)必與四大數(shù)據(jù)庫廠家(Oracle,IBM,Sybase,MicroSoft)是官方認可

的深層商業(yè)合作伙伴，從而能夠保證審計結(jié)果的精確性與權(quán)威性

設(shè)備的引入不應對正常業(yè)務(wù)與正常的數(shù)據(jù)庫運行造成任何影響，同時應滿足權(quán)限分離

的要求，不容許被審計人員對審計功能元進行修改與操作。

對數(shù)據(jù)庫沒有影響的功能非常有利于部署實施，設(shè)備的部署不需要對數(shù)據(jù)庫進行變動,

或者者對數(shù)據(jù)中心結(jié)構(gòu)的其它方面進行變動。

審計產(chǎn)品應是個基丁?網(wǎng)絡(luò)的應用解決方案，不需要數(shù)據(jù)庫服務(wù)器管理權(quán)限或者者安

裝主機軟件。其部署及運營可能由網(wǎng)絡(luò)安全人員進行，而不可能對數(shù)據(jù)庫管理資源造成影

響。這種方式通過保持安全功能的獨立，從而遵守安全實踐。

審計設(shè)備能夠?qū)徲嬎嗅槍?shù)據(jù)庫的訪問，包含對數(shù)據(jù)庫直接連接的訪問，與前臺應

月程序?qū)?shù)據(jù)庫的訪問；假如應用通過加密方式訪問數(shù)據(jù)庫，同樣應該能夠?qū)徲嫷健?/p>

審計功能要求審計到盡可能全面的信息

針對母一條數(shù)據(jù)庫的訪問，審計記錄要細致到每一次事務(wù)/查詢的原始信息記錄，應該

能夠記錄所有的關(guān)鍵信息，至少包含下列各個方面:

數(shù)據(jù)庫服務(wù)器、源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應用

軟件、數(shù)據(jù)庫用戶名、訪問源操作系統(tǒng)用戶名、訪問源操作主機名、高級權(quán)限操作、存儲

過程、目標數(shù)據(jù)庫與Schema.StreamID、操作回應內(nèi)容、操作返回的錯誤代碼操作回應

的時間操作回應的條目大小。

假如是前臺用戶通過Web利用應用服務(wù)器訪問數(shù)據(jù)庫（BS架構(gòu)下），還應能夠?qū)徲嬘?/p>

錄下列信息、：前臺應用程序的用戶名、前臺程序的口口、WebSessionID、Web客戶端IP

關(guān)于通過OracleEBS或者SAP等應用服務(wù)器訪問數(shù)據(jù)庫（CS架構(gòu)下），應該能夠記錄

最終前臺用戶的用戶名

為了有效地記錄數(shù)據(jù)庫訪問操作，審計人員需要盡可能全面的審計記錄信息，全面到

準確的查詢與響應屬性這一級別。數(shù)據(jù)庫審計記錄務(wù)必將所審計數(shù)據(jù)庫事務(wù)歸于特定用戶。

比如，SOX合規(guī)審計機制要求務(wù)必記錄對財務(wù)報告數(shù)據(jù)的每個更換及執(zhí)行此更換的用戶姓

名。但是，當用戶通過Web應用程序或者SAP、OracleE-BusinessSuite等應用服務(wù)器

訪問數(shù)據(jù)庫時，數(shù)據(jù)庫審計系統(tǒng)務(wù)必能夠記錄最終的責任用戶。

支持BindVariable

很多基于數(shù)據(jù)庫的查詢是通過BindVariable完成的。這就要求審計系統(tǒng)不光要記錄查詢

口BindVariable的變量的名字，還要記錄BindVariable的數(shù)值。舉例來說：一個包含

BindVariable的SQL是：select*fromaaawhorenamc=:who,審計系統(tǒng)不光把這個SQL

記錄下來，同時要記錄:who=jimmy,這樣才是完整的包含BindVariable的審計結(jié)果。

審計策略能夠非常靈活的定義

由于關(guān)于實際的生產(chǎn)系統(tǒng)，需要審計的數(shù)據(jù)庫訪問量非常大，這就要求有靈活的審計策

略能夠定義想要審計的數(shù)據(jù)庫操作的內(nèi)容。能夠定義審計策略的條件應該包含下列各個關(guān)

鍵字的條件組合：

源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應用軟件、數(shù)據(jù)庫用戶名、

訪問源操作系統(tǒng)用戶名、訪問源操作主機名、高級權(quán)限操作、存儲過程、目標數(shù)據(jù)庫與

SchemaStreamID

操作回應內(nèi)容、操作返回的錯誤代碼、操作回應的時間、操作回應的條目大小

同樣假如是前臺用戶通過Web利用應用服務(wù)器訪問數(shù)據(jù)庫（BS架構(gòu)下），或者關(guān)于通

過OracleEBS或者SAP等應用服務(wù)器訪問數(shù)據(jù)庫（CS架構(gòu)下），還應能夠根據(jù)前臺應用程

序的用戶名來定義審計記錄的策略

能夠定義敏感數(shù)據(jù)表，保護核心機密數(shù)據(jù)

可將機密數(shù)據(jù)定義敏感表，任何用戶對敏感表的非法與違規(guī)訪問能夠產(chǎn)生特別的報警

審計結(jié)果的歸檔靈活方便

為了提高整個數(shù)據(jù)庫審計系統(tǒng)的擴展性，審計信息能夠通過FTP,SCP等傳輸協(xié)議靈活的歸

檔到外部的存儲設(shè)備上，歸檔出來的數(shù)據(jù)格式應該是通用格式（CSV）,歸檔能夠選擇手動

及定時定期的自動方式。

審計告警日志對外的接口

百計結(jié)果告警日志能夠通過Syslog或者SNMP協(xié)議與外部的統(tǒng)一審計平臺送出數(shù)據(jù)，進行

互通。

審計結(jié)果能夠自動生成符合專業(yè)合規(guī)審計（SOX）要求的審計報告

符合SOX合規(guī)性的審計解決方案為生成關(guān)鍵業(yè)務(wù)（如財務(wù)）報告時使用的數(shù)據(jù)庫提供全面

的數(shù)據(jù)審計與安全性，給審計人員帶來了極大的便利性△

數(shù)據(jù)庫安全審計網(wǎng)關(guān)能夠使用自動生成的專用的報告來證明對關(guān)鍵數(shù)據(jù)庫實施操縱，這些都

是404條款的要緊要求。通過專用的符合SOX的用戶評估報告，合規(guī)性檢查人員能夠驗證只有

具有合法需求的用戶才能夠訪問關(guān)鍵數(shù)據(jù)庫。

智能而自動的建立用戶對數(shù)據(jù)庫訪問的行為模型

審計設(shè)備設(shè)備應具有自動建立用戶數(shù)據(jù)庫訪問行為模型的能力。自動智能建模功能能

夠自動學習、同時自動習慣用戶數(shù)據(jù)庫及應用系統(tǒng)的各方面特點，自動建立“充分必要”

的安全策略。同時，結(jié)合全面的、精細的手工定制與調(diào)優(yōu)功能，在最大程度的降低管理工

作量的同時，提供最佳的安全配置。

為每個用戶自動建立對數(shù)據(jù)庫與Schema訪問的基線，內(nèi)容是可正常訪問的數(shù)據(jù)庫與

Schemao

月戶訪問模型自動建立功能分析實際數(shù)據(jù)庫流量并使月復雜的學習算法創(chuàng)建每個訪問數(shù)據(jù)

庫的用戶或者應用的所有合法活動分析模型。

此模型不僅僅作為后來審計評估使用變化或者應用行為的基準，同時是自動生成的數(shù)

據(jù)庫使用安全政策，同意信息安全小組不僅僅能夠監(jiān)視并審計使用，而且保護數(shù)據(jù)庫免受

非法行為。學習算法不斷應用到實際流量中以便當用戶活動隨著時間進展時，有效變化將

自動重新組織并集成到行為模型中。假如用戶訪問數(shù)據(jù)庫的時候，行為模型的偏差將自動

觸發(fā)一個報警并能夠根據(jù)嚴重性進行阻斷。

發(fā)現(xiàn)非法行為的實時告警功能

這是在系統(tǒng)運行時，對正在進行的業(yè)務(wù)與管理層面的數(shù)據(jù)庫交互活動進行檢測。對其

口違反既定的安全策略的行為能夠即時發(fā)現(xiàn)，同時能夠產(chǎn)生報警、阻斷與供事后分析與審

計的根據(jù)。實時的監(jiān)控與防護能夠第一時間消除違規(guī)操作對系統(tǒng)的影響。

設(shè)備具有實時告警的功能，針對非法訪問行為與用戶定義的訪問行為能夠?qū)崟r告警。

告警信息能夠發(fā)送到SyslogServer,或者通過Email發(fā)出。

數(shù)據(jù)庫保護

這是數(shù)據(jù)庫安全審計產(chǎn)品的重要功能，能夠?qū)崟r俁護核心核心數(shù)據(jù)庫免遭各類非法行

為與破壞。在數(shù)據(jù)庫操作所通過的網(wǎng)絡(luò)、操作系統(tǒng)、應用軟件方面，相應的安全規(guī)則就是:

防火墻、IPS規(guī)則、應用協(xié)議保護；這部分規(guī)則能夠是靜態(tài)的，已經(jīng)根據(jù)數(shù)據(jù)庫與應用系

統(tǒng)的要求做了精細的預設(shè)，同時還能夠進一步的根據(jù)實際需要進行微調(diào)。此功能應包含：

數(shù)據(jù)庫應用保護

審計設(shè)備連續(xù)比較數(shù)據(jù)庫訪問模型的真有用戶操作的差異.來自分析的重要偏差生成

警報，同時惡意的行為能夠根據(jù)策略有選擇性的阻止。

客戶化策略實施

除了基于特征文件的安全政策外，管理能夠定義任意粒度的客戶政策。比如：管理員

能夠設(shè)置訪問系統(tǒng)對象的查詢策略，甚至對包含特定文本模式的查詢。政策偏離能夠生成

一個警報或者者迅速阻止活動。

行為特征代碼分析完成數(shù)據(jù)庫平臺保護

應該具有（IPS）保護數(shù)據(jù)庫基礎(chǔ)設(shè)施免受針對數(shù)據(jù)庫平臺及操作系統(tǒng)軟件中已知漏洞

蠕蟲及其它攻擊。IPS功能要緊通過檢查數(shù)據(jù)庫訪問是否與特征代碼庫匹配來推斷是否會

觸發(fā)數(shù)據(jù)庫的漏洞。特征代碼庫要求與國際安全研究組織同步，同時能夠包含自定義的SQL

特征。

特征代碼要保證能夠在線升級，能夠使得系統(tǒng)在第一時間內(nèi)抵御最新出現(xiàn)的針對數(shù)據(jù)庫的

非法危害行為與在數(shù)據(jù)庫沒有打補丁的情況下，防止數(shù)據(jù)庫廠家的安全漏洞造成的危害

防火墻層面與SQL協(xié)議層面保護

防火墻層面是在網(wǎng)絡(luò)層面保護數(shù)據(jù)庫免受各類網(wǎng)絡(luò)層面的非法操作威脅。同時關(guān)于上

層協(xié)議（SQL的通信）的合法性及濫用的檢測，關(guān)于數(shù)據(jù)庫服務(wù)器軟件也非常重要。對此,

自計設(shè)備應該專門提供SQL應用協(xié)議檢測的功能，來檢測SQL協(xié)議是否合法或者符合標準

的規(guī)定。

在數(shù)據(jù)庫保護層面，關(guān)于非法操作，能夠進行非常豐富的響應動作，分為三類：告警

響應，即時行動，后續(xù)行動。即時行動能夠?qū)?shù)據(jù)包丟棄，后續(xù)行動就是通過對外通信來

通知管理人員有非法行為發(fā)生。

數(shù)據(jù)庫安全評估功能：

對數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)與運行時的配置進行評估。數(shù)據(jù)庫的基礎(chǔ)系統(tǒng)包含，操作系統(tǒng)與數(shù)據(jù)

庫應用程序，它們通常會存在軟件的缺陷或者漏洞，容易被攻擊者利用。

能夠主動評估數(shù)據(jù)庫的安全狀況，包含是否打了Patch,包含用戶權(quán)限在內(nèi)的各類安全設(shè)

置是否合理。

高性能

要求審計設(shè)備的能夠提供雙向最低500Mbps,最高2Gbps的性能，毫微秒級延遲，支持的

SQL交易數(shù)量從5萬每秒到20萬每秒。

高可用性

百計設(shè)備應支持高可用性確保最大的正常運行時間及應用可用性.審計設(shè)備應具有在設(shè)備

故障下應該不影響實際業(yè)務(wù)能力，同時審計設(shè)備支持主備配置方式，在合理配置下，能夠

達到小于1秒甚至更低的主備切換時延。

集中管理，分部部署

提供全分布式的三級網(wǎng)管架構(gòu)，包含：第一層一業(yè)務(wù)探測與實施引擎，第二層一網(wǎng)管服務(wù)

器，第三層一操作操縱臺。這種結(jié)構(gòu)關(guān)于在數(shù)據(jù)庫保護這樣的大型網(wǎng)絡(luò)系統(tǒng)中部署統(tǒng)一的

安仝策略具有至關(guān)重要的意義。來自多個網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個視圖中，并存儲

在單個管理服務(wù)器數(shù)據(jù)庫中。這樣能夠增強管理的便利性，多網(wǎng)關(guān)的動態(tài)業(yè)務(wù)模型、IPS策

略與系統(tǒng)參數(shù)集中存儲于管理服務(wù)器，策略更換在服務(wù)器上進行，通過簡單操作可將這些

更換自動公布到多個網(wǎng)關(guān)中，立刻生效，方便快捷。

3.3總體設(shè)計方案

根據(jù)XX數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡(luò)架構(gòu)與數(shù)據(jù)庫服務(wù)器與中間件服務(wù)器的部署將點，我們提出

了一套完整的解決方案：在數(shù)據(jù)庫交換機上做旁路鏡像。將旁路信號入數(shù)據(jù)庫審計設(shè)備，

完成對數(shù)據(jù)庫服務(wù)器的訪問、操作行為的實時監(jiān)測審計，完整地記錄所有的訪問與操作行

為與內(nèi)容，該系統(tǒng)還提供了數(shù)據(jù)庫服務(wù)器負載狀況監(jiān)測、客戶端訪問操作的全面分類統(tǒng)計

與排名等功能。在交換機做旁路，部署運維安全設(shè)備HACo針對數(shù)據(jù)庫服務(wù)器本身的遠程

訪問進行操縱與審計。

使用hnperva數(shù)據(jù)庫安全審計網(wǎng)關(guān)作為數(shù)據(jù)庫系統(tǒng)審計，具基本原埋是：通過旁路監(jiān)

聽的方式，對網(wǎng)絡(luò)數(shù)據(jù)進行實時采集過濾，對各類上層的數(shù)據(jù)庫應用協(xié)議數(shù)據(jù)進行分析與

還原，然后再進行SQL語法解析，最后對審計記錄進行存儲、對違規(guī)的審計記錄進行實時

報警，同時生成審計報表與統(tǒng)計報表信息。

基于旁路監(jiān)聽的數(shù)據(jù)庫審計的解決方案具有下面的一些優(yōu)勢：

＞不需要對生產(chǎn)數(shù)據(jù)庫進行任何設(shè)置.，也不需要改變現(xiàn)有的網(wǎng)絡(luò)架構(gòu)與配置。

＞使用旁路監(jiān)聽方式，不影響生產(chǎn)數(shù)據(jù)庫的性能，不占用生產(chǎn)數(shù)據(jù)庫服務(wù)器的網(wǎng)絡(luò)帶

寬，同時在對審計數(shù)據(jù)進行壓縮備份時不影響業(yè)務(wù)系統(tǒng)的正常運行。

＞與數(shù)據(jù)庫管理系統(tǒng)方身的審計功能相比具有更快的響應速度,能夠進行實時審計與

處理。

＞審計數(shù)據(jù)更加安全。與原有的業(yè)務(wù)網(wǎng)絡(luò)隔離，因此能夠更有效地保護審計數(shù)據(jù)的安

全。同時審計數(shù)據(jù)傳輸過程中使用了加密隧道與身份認證機制，有效防止了審計

信息的被竊、被篡改與身份假冒.

＞具有專門的審計日志格式與審計報表，易于查詢。

＞由于使用了動態(tài)建模技術(shù)，通過自動檢測分析實時數(shù)據(jù)庫通信，然后應用復雜的學

習算法來創(chuàng)建包含訪問數(shù)據(jù)庫的每個用戶與應用程序的所有合法活動的”業(yè)務(wù)模

型”，包含數(shù)據(jù)庫客戶端的計算機名，程序名，數(shù)據(jù)庫用戶名，數(shù)據(jù)庫名，表名與

全面的數(shù)據(jù)庫操作內(nèi)容等信息?！?業(yè)務(wù)模型”大僅用作以后審計評估用戶或者應用

程序行為更換的根據(jù)，而且還是針對數(shù)據(jù)庫使用自動生成的安仝策略，信息安仝

團隊使用“業(yè)務(wù)模型”不僅能夠監(jiān)視與審計數(shù)據(jù)庫使用狀況，而且還能夠防止數(shù)

據(jù)庫受到攻擊。

使用HAC運維安全產(chǎn)品對數(shù)據(jù)庫服務(wù)器本身的運維進行安全審計，其基本原理是：運

維人員遠程接入時，通過統(tǒng)一的登錄入口，利用權(quán)限操縱，訪問不一致的目標服務(wù)器資源。

并對運維全過程進行實時，事后的監(jiān)控與追溯。

使用單臂模式部署時，其要緊的優(yōu)勢是：不改變網(wǎng)絡(luò)拓撲，安裝調(diào)試過程簡單，可按

照企業(yè)網(wǎng)絡(luò)架構(gòu)的實際情況靈活接入。具有下列特點：

＞系統(tǒng)使用協(xié)議分析、基于數(shù)據(jù)包還原虛擬化技術(shù)，實現(xiàn)操作界面模擬，將所有的

操作轉(zhuǎn)換為圖形化界面予以展現(xiàn)，實現(xiàn)100%官計信息不丟失。

＞針對運維操作圖形化審計功能的展現(xiàn)外，同時還能對字符進行分析，包含命令行

操作的命令與回顯信息與非字符型操作時鍵盤、鼠標的敲擊信息。

＞系統(tǒng)支持的審計協(xié)議與工具包含:

/終端命令操作：Telnet、SSH

/Windows圖形：RDP、VNC

/Unix/Linux圖形：Xwindows

/AS400主機圖形：AS400

/文件上，專與下載：FTP、SFTP

/數(shù)據(jù)庫管理工具：pcAnywhere、DameWarePL/SQL>TOAD等工具

3.4建設(shè)目標與原則

在為XX配置實施數(shù)據(jù)安全整體解決方案時的時候，遵循下列的配置基本原則：

?功能性滿足本項目的實際需要

?能夠支持現(xiàn)有應用系統(tǒng)，如數(shù)據(jù)庫類型、本版等

?處理性能滿足系統(tǒng)的需要

?對現(xiàn)有系統(tǒng)的無影響，包含；開地址空間、路由規(guī)劃、無需調(diào)整應用系統(tǒng)（如設(shè)

置Proxy,安裝軟件等）

3.5建設(shè)方案

為了不影響數(shù)據(jù)庫的正常使用與安全，數(shù)據(jù)庫審計設(shè)備與運維安全設(shè)備以旁路方式部

署。通過在數(shù)據(jù)庫交換機上做端口鏡像的方式，把數(shù)據(jù)庫數(shù)據(jù)流鏡像到數(shù)據(jù)庫審計網(wǎng)關(guān)，

同時在數(shù)據(jù)庫審計網(wǎng)關(guān)上配置管理IP,方便遠程管理。HAC設(shè)備旁路部署在數(shù)據(jù)庫交換機

上的任意端口，保證訪問端，被訪問端與HAC的IP路由可達，拓撲圖如下圖：

業(yè)分數(shù)據(jù)流

運維數(shù)據(jù)流

業(yè)務(wù)數(shù)據(jù)

經(jīng)紅色數(shù)據(jù)流方

向前行

impcrva管理

運維數(shù)據(jù)

路徑如遠程東面《選

H33M9）

彩色路—為邏轉(zhuǎn)數(shù)把走SSH（端I122）

向，所仃數(shù)據(jù)實際均通經(jīng)色數(shù)據(jù)流行

過上T網(wǎng)絡(luò)化輸旁路鏡像向前行

為了全面及時地掌握XX數(shù)據(jù)庫系統(tǒng)的運行、訪問與操作情況，并即時進行必要的處置,

使數(shù)據(jù)安全管理問題得到了有效的解決。除了默認的全部審計策略，還需要制定適合的策

略來快速定位關(guān)鍵的、需要關(guān)注的各類操作。

為熟悉決各類需求，我們建立了下列審計策略：

1.關(guān)鍵數(shù)據(jù)庫表審計

這個策略的作用條件為：根據(jù)我們的業(yè)務(wù)類型，部分數(shù)據(jù)庫表中存在大量的敏感信息,

對這類表我們要著重關(guān)注。

2.非已知應用程序?qū)徲?/p>

網(wǎng)絡(luò)中可能存在多條路徑，多種終端，多種客戶端軟件，對我們的數(shù)據(jù)庫進行訪問，

對此通過我們能夠關(guān)注到整個網(wǎng)絡(luò)中各類終端，軟件對數(shù)據(jù)庫的訪問

4M

Ki陰^門宿4溝耳施行￡借&.“

I-4-1J

"1+FWM氏年也字用尸彳評-14.1

pa-y>-sRn*41-4-1

MMrZif141

KJ?6?**7X1-4-1

mr,Cpc-^knc11??

A?與富“"岫》,1-4-1

"14-1WfcMs2C?t?nMrro,e<?-

gq.c”w，此

X、玄「康丁史之我141ZD

“M>m^3W

的?十臾年火爾夫M41XIL*_I

￡序戶:.f8

swmM-4-1

_CZ3r4q*?M

?>RU產(chǎn)M41C4X.C^

y4?月戶31?七1?+1二J

叔H-4-1

"本?，加噌％KW.M4.1I

Chied.t-4-1

5鞏4P134?

,1-3-11

心了―gxj?IM

lo3r?cozcifjlent:141CUcsk4l

lira;1?!!?-1-3-4|b<atait

CUMbuStiWlf-4-1[(><Wml

，；WU4?141CtMOltt

，4u：川JC1-4-1ecs?匕

皿「卜141

eM，3tiu74

raiitiipMM

?14.1

-141

,1-4-1

X!6"?t41

8rM奉計?魚W1.

3.重要操作審計

這個策略的作用條件為兩個：記錄對數(shù)據(jù)庫的插入、刪除、更新、特權(quán)操作，排除對

已知應用程序的審計。這個策略是審計對數(shù)據(jù)庫的重要操作，記錄未知應用程序與客戶端

軟件對數(shù)據(jù)庫寫操作，防止數(shù)據(jù)庫被無意或者惡意的篡改。

Ml1KMM■、*,裁，?5：cur>?

屏I?利蒼愉方>%

IM-1■Ii??iI

!PCI-在幻“eb為竄”*用戶?濘IM-1

；eaMrMigbwHV41施VX至0QJTN-fV*7F*r，lR。I

j2?U.*計11-4-1

Pr4t

li?7B

審"nciom；V41

更1?41

心Elf更IM1

：8>.THfi5T.tP41

**管燈介IT.41

9CM-W^PIM-1

1M1

r-4-i

IM1

；curM!'M-1

cjr哂-4pn34

!iO4h-?fKf11310

[而"-，9刈t

io^r??ox：季ircw1??41

11Q

cs屈:HIM1

r-li(h^lr1“

Sst*u：mIM-1

，例3rr-41

用GWAMUr-4-i

EWxirr41

JWXakMtJc.ilin

V，1

「?41

間金IM-1

Hl明叫r-41

3.5.1數(shù)據(jù)庫審計目標服務(wù)器

針對目標服務(wù)器，其審計概況如下

SECURSSPHERE

周期訪問量:

9■IVIPERVK

SECURESPHERE申計US［監(jiān)則~IThreatRadarI

聶蜴摩審計較蜴|市計管理統(tǒng)計信息|仃若管呷

范閨

第■:報告丹Ml：11/08/2012.140011，Q9,2012.0100(0天,11小仃)［史斯)

chengdu-oradejogm-andjogout(4lJ［▼］過迎K：空

時段：凌里箕

?

清逢拜P71日定文點擊用戶被心刑的時務(wù)2s

20,552留

模圖

點擊曲細分《按天》：

“統(tǒng)計信息

O解蘇涔分析

被監(jiān)則B陰R另名

爰監(jiān)刑的數(shù)據(jù)存

教掘庫服夯物生發(fā)

O波分析

共享數(shù)

數(shù)據(jù)

庫

源應

用

通主

機

接作天點擊登錄用戶主機

系

源舊2012年11月8日1959210.100725488

，

年月日71

用戶201211996059890

蛆

應用

程皮由數(shù)細分（搐網(wǎng)》:

登錄

分

各源

的0.."?.92I19600

0

O數(shù)據(jù)訪問線式―――-r/

?多的查詢圖m青一明:百三5Q

查詢類型分析

天

苦誨liP呈Thursda，194S0

量據(jù)窿甯計於據(jù)

3.5.2數(shù)據(jù)庫登錄情況

主峻堂理

,友昭分期瞄