《数据库审计方案范文.docx》由会员分享，可在线阅读，更多相关《数据库审计方案范文.docx（17页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、数据库审计与风险掌握解决方案1 概述1.1 数据库面临的安全挑战数据库是企业核心业务开展过程中最具有战略性的资产，通常都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其他非法者猎取。互联网的急速进展使得企业的数据库信息价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：治理层面：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待标准，第 三方维护人员的操作监控失效等等，致使安全大事发生时，无法追溯并定位真实的操作者。技术层面：现有的数据库内部操作不明，无法通过外部的任何安全工具(比方：防火墙、IDS、IPS 等)来
2、阻挡内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。审计层面：现有的依靠于数据库日志文件的审计方法，存在诸多的弊端,比方:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于表达审计信息的真实性。伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。1.2 数据库审计的客观需求数据库审计与风险掌握的目的概括来说主要是三个方面：一是确保数据的完整性;二是 让治理者全面了解数据库实际发生的状况;三是在可疑行为发生时可以自动启动预先设置的 告警流程，防范数据
3、库风险的发生。因此，如何实行一种可信任的综合途径，确保数据库活动记录的 100% 捕获是极为重要的，任何一种遗漏关键活动的行为，都会导致数据库安全上的错误推断，并且干扰数据库在运行时的性能。只有充分理解企业对数据库安全审计的客观 需求，才能够给出行之有效的解决方案：捕获数据访问：不管在什么时间、以什么方式、只要数据被修改或查看了就需要自动对其进展追踪;捕获数据库配置变化：当“数据库表构造、掌握数据访问的权限和数据库配置模式”等发生变化时，需要进展自动追踪;自动防范：当探测到值得留意的状况时，需要自动启动事先设置的告警策略，以便数据库安全治理员准时实行有效应对措施，对于严峻影响业务运行的高风险行
4、为甚至可以马上阻断;审计策略的敏捷配置和治理：供给一种直截了当的方法来配置全部目标效劳器的审计形式、具体说明关注的活动以及风险降临时实行的动作;审计记录的治理：将从多个层面追踪到的信息自动整合到一个便于治理的，长期通用的数据存储中，且这些数据需要独立于被审计数据库本身;敏捷的报告生成：临时和周期性地以各种格式输出审计分析结果，用于显示、打印和传输;1.3 现有的数据库审计解决方案的缺乏传统的审计方案，或多或少存在一些缺陷，主要表现在以下几个方面：传统网络安全方案：依靠传统的网络防火墙及入侵保护系统(IPS)，在网络中检查并实施数据库访问掌握策略。但是网络防火墙只能实现对IP 地址、端口及协议的
5、访问掌握，无法识别特定用户的具体数据库活动(比方：某个用户使用数据库客户端删除某张数据库表); 而 IPS 虽然可以依靠特征库有限阻挡数据库软件漏洞的攻击，但他同样无法判别具体的数据库用户活动，更谈不上细粒度的审计。因此，无论是防火墙，还是IPS 都不能解决数据库特权滥用等问题。基于日志收集方案：需要数据库软件本身开启审计功能，通过采集数据库系统日志信息 的方法形成审计报告，这样的审计方案受限于数据库的审计日志功能和访问掌握功能，在审 计深度、审计响应的实时性方面都难以获得很好的审计效果。同时，开启数据库审计功能， 一方面会增加数据库效劳器的资源消耗，严峻影响数据库性能;另一方面审计信息的真实
6、性、完整性也无法保证。其他诸如应用程序修改、数据源触发器、统一认证系统授权等等方式，均只能记录有限的信息，更加无法供给细料度的数据库操作审计。1.4 本方案解决的数据库安全问题为了解决企业数据库安全领域的深层次、应用及业务规律层面的安全问题及审计需求， 杭州安恒信息技术依靠其对入侵检测技术的深入争论及安全效劳团队积存的数据 库安全学问，研制并成功推出了全球领先的、面对企业核心数据库的、集“全方位的风险评 估、多视角的访问掌握、深层次的审计报告”于一体的数据库审计与风险掌握设备，即明御 数据库审计与风险掌握系统，为企业核心数据库供给全方位安全防护。在企业业务支撑网络中部署了明御数据库审计与风险掌
7、握系统，可以实现企业核心数据库的“系统运行可视化、日常操作可跟踪、安全大事可鉴定”目标，解决企业数据库所面临的治理层面、技术层面、审计层面的三大风险,以满足企业的不断增长的业务需要。明御数据库审计与风险掌握系统对于企业数据库的安全防护功能，概括起来表达在以下三个方面：首先：明御数据库审计与风险掌握系统承受“网络抓包、本地操作审计”组合工作模式，结合安恒专用的硬件加速卡，确保数据库访问的100% 完整记录，为后续的日常操作跟踪、安全大事鉴定奠定了根底。其次：明御数据库审计与风险掌握系统通过专利级的双引擎技术，一方面利用数据库安全争论团队多年积存的安全学问库，防止无意的危急误操作，阻挡数据库软件漏
8、洞引起的恶意攻击;另一方面，依靠智能自学习过程中动态创立的安全模型与特别引擎相结合，有效掌握越权操作、违规操作等特别操作行为。再者：明御数据库审计与风险掌握系统 依靠其独特的数据库安全策略库，可以深入到应用层协议(如操作命令、数据库对象、业务操作过程)实现细料度的安全审计，并依据事先 设置的安全策略实行诸如产生告警记录、发送告警邮件(或短信)、提升风险等级、参加黑名 单、马上阻断等响应。同时，明御数据库审计与风险掌握系统可以供给多视角的审计报告， 即依据实时记录的网络访问状况，供给多种安全审计报告，更清楚地了解系统的使用状况以及安全大事的发生状况，并可依据这些安全审计报告进一步修改和完善数据库
9、安全策略库。2 方案总体构造2.1 主要功能如以下图所示，数据库审计与风险掌握系统主要的功能模块包括“静态审计、实时监控与风险掌握、动态审计(全方位、细粒度)、审计报表、安全大事回放、审计对象治理、系统配置治理治理”几个局部。2.1.1 数据库静态审计数据库静态审计的目的是代替繁琐的手工检查,预防安全大事的发生。数据库审计与风 险掌握系统依托其权威性的数据库安全规章库，自动完成对几百种不当的数据库担忧全配 置、潜在弱点、数据库用户弱口令、数据库软件补丁、数据库潜藏木马等等静态审计，通过静态审计，可以为后续的动态防护与审计的安全策略设置供给有力的依据。2.1.2 实时监控与风险掌握数据库审计与风
10、险掌握系统可保护业界主流的数据库系统，防止受到特权滥用、漏洞攻击、人为失误等等的侵害。当用户与数据库进展交互时，数据库审计与风险掌握系统会自动依据预设置的风险掌握策略，结合对数据库活动的实时监控信息，进展特征检测及审计规章检测，任何尝试的攻击或违反审计规章的操作都会被检测到并实时阻断或告警。2.1.3 数据库动态审计数据库审计与风险掌握系统基于“数据捕获应用层数据分析监控、审计和响应”的模式供给各项安全功能，使得它的审计功能大大优于基于日志收集的审计系统，通过收集一系列极其丰富的审计数据，结合细粒度的审计规章、以满足对敏感信息的特别保护需求。数据库动态审计可以彻底摆脱数据库的黑匣子状态，供给4
11、W(who/when/where/what)审 计数据。通过实时监测并智能地分析、复原各种数据库操作，解析数据库的登录、注销、插入、删除、存储过程的执行等操作，复原 SQL 操作语句;跟踪数据库访问过程中的全部细节， 包括用户名、数据库操作类型、所访问的数据库表名、字段名、操作执行结果、数据库操作的内容取值等。全方位的数据库活动审计：实时监控来自各个层面的全部数据库活动。如：来自应用程序发起的数据库操作恳求、来自数据库客户端工具的操作恳求、来自数据库治理人员远程登录数据库效劳器产生的操作恳求等。完整的双向审计：除可实时监控数据库的恳求操作以外，还可以实时监控全部恳求操作后数据库的回应信息，如命
12、令执行状况，错误信息等。潜在危急活动重要审计：供给对 DDL 类操作、DML 类操作的重要审计功能，重要审计规章的审计要素可以包括：用户、源IP 地址、操作时间(任意天、一天中的时间、星期中的天数、月中的天数)、使用的SQL 操作类型(Select/Delete/Drop/Insert/U。pd当at某e)个数据库活动匹配了事先定义的重要审计规章时，一条报警将被记录以进展审计。重要审计规章设置：重要审计结果展现：敏感信息细粒度审计：对业务系统的重要信息，供给完全自定义的、准确到字段及记录 内容的细粒度审计功能。自定义的审计要素包括登录用户、源IP 地址、数据库对象(分为数据库用户、表、字段)、
13、操作时间段(本日、本周、本月、最近三小时、最近十二小时、最近二十四小时、最近七天、最近三十天、任意时间段)、使用的 SQL 操作类型(select/delete/drop/insert/update/creat、e/记tu录rn内ca容te。)依据操作类型及记录内容进展细粒度审计：细粒度审计结果展现：远程 ftp操作审计与回放：对发生在数据库效劳器上的ftp命令进展实时监控、审计及回放。审计的要素包括：ftp用户、ftp客户端 IP 地址、命令执行时间段(本日、本周、本月、最近三小时、最近十二小时、最近二十四小时、最近七天、最近三十天、任意时间段)、执行的 ftp命令(get/put/等ls等
14、)。自定义ftp操作审计：ftp审计结果展现：ftp回放：远程 telne操t 作审计与回放：对发生在数据库效劳器上的Telnet命令进展实时监控、审计及回放。审计的要素包括：telne用t户、telne客t户端IP 地址、命令执行时间段(本日、本周、本月、最近三小时、最近十二小时、最近二十四小时、最近七天、最近三十天、任意时间段)、telne登t 录后执行的系统命令(login/pwd/ro等ot等)。自定义telne操t 作审计：telne操t 作审计结果展现：会话分析与查看：单个离散的操作(Sql操作、ftp命令、telne命t 令)还缺乏于了解用户的真实意图，一连串的操作所组成的一个完
15、整会话呈现，可以更加清楚地推断用户的意图(违规的马虎的恶意的)。Telent操作审计会话查看：2.1.4 审计报表数据库审计与风险掌握系统内嵌了功能强大的报表模块，除了按安全阅历、行业需求分类的预定义固定格式报表外，治理员还可以利用报表自定义功能生成定制化的报告。报告模块同时支持Word 、Excel、PowerPoint、Pdf 格式的数据导出。系统缺省供给以下报表：数据库攻击源统计示意图：数据库操作审计示意：同时供给敏捷的格式报表功能，可以便利的依据业务规律来动态格式化报表元素，供给强大的样式定义，对于生疏CSS 的设计人员来说，可以设计出相当精彩的报表样式。2.1.5安全大事回放允许安全
16、治理员提取历史数据，对过去某一时段的大事进展回放，真实呈现当时的完整操作过程，便于分析和追溯系统安全问题。很多安全大事或者与之关联的大事在发生一段时间后才引发相应的人工处理, 这个时候, 作为独立审计的数据库审计与风险掌握系统就发挥特别的作用. 由于全部的FTP 、telne、t 客户端连接等大事都保存后台(包括相关的告警),对相关的大事做定位查询，缩小范围，使得追溯变得简洁;同时由于这是独立监控审计模式, 使得相关的证据更具有公证性。Sql操作回放示意图：telne命t 令回放示意图：2.1.6综合治理数据库审计与风险掌握系统供给WEB-base 的治理页面，数据库安全治理员在不需要安装任何
17、客户端软件的状况下，基于标准的扫瞄器即可完成对数据库审计与风险掌握系统的相关配置治理，主要包括“审计对象治理、系统治理、用户治理、功能配置、风险查询”等。以下图为审计对象配置示意图：以下图为系统配置示意图：以下图为风险查询示意图：2.2 审计流程明御数据库审计与风险掌握系统数据库审计流程如以下图所示：2.2.1 审计数据采集明御数据库审计与风险掌握系统审计数据采集的方式包括：网络抓包、本地操作审计， 采集的内容主要包括：账号登录行为数据：采集对账号登录动作的审计。具体包括： 账号名称、登录成功或登录失败、用户终端IP/ID、登录时间等;对特别动作的审计记录，应记录越权企图、用户终端IP/ID、
18、登录时间等;账号登录后各种操作记录，记录各种操作的操作人员、操作时间、操作内容，具体包括： 对数据库的一般操作记录;对关键数据的操作记录;数据库特别命令的操作记录明御数据库审计与风险掌握系统对审计数据的采集大多数状况下是通过网络猎取，由于其承受了专用硬件加速接口卡，可以在千兆环境下线速捕获，因此保证了明御数据库审计与风险掌握系统具备交换机一样的高吞吐量和低延时、并且确保了审计信息的不会丧失。2.2.2 审计数据标准化审计数据来源自多种方式采集的数据，而这些数据定义的格式不尽一样。所以，审计数据的标准化就必需把这些不同格式的大事转化成标准格式，然后写入审计数据库。在标准化的过程中，也需要对多种方
19、式采集的数据进展排重处理。2.2.3 审计数据归并对于标准化处理后的审计数据必需对某些数据进展归并(会聚)。归并规章，就是在什么状况下，满足什么条件，对哪些字段进展归并。大事归并功能可以对海量的审计数据依据归并条件进展归并，到达简化审计数据，提高审计数据准确率。审计数据归并规章包含以下属性：归并字段：归并处理的审计数据字段，所列字段内容一样的审计数据才进展归并; 归并时间：归并审计数据的时间窗口，指多长时间进展一次归并;归并数目：需要归并大事的数量，指多少大事进展一次归并;对被归并审计数据的处理方式：被归并的审计数据以何种方式进展处理; 被归并审计数据的处理方式：丢弃：直接将被归并审计数据全部
20、丢弃，不写入数据库; 写入数据库：将被归并审计数据全部写入数据库;通过预设归并规章的模板，便利对海量审计数据的归并，明御数据库审计与风险掌握系统供给以下预设模板：依据审计数据名称进展归并分析; 依据审计数据的类型进展归并分析;依据审计数据的原始时间进展归并分析; 依据受审计的设备类型进展归并分析;2.2.4安全大事关联通过安全大事关联功能，来深度挖掘安全隐患、推断审计数据的严峻程度，包括关联分析的类型和关联分析规章的内容。基于时序关联规章：将账号的登录行为和账号各种业务操作行为依据时序进展关联。通过时序关联，形成某一个账号连续的登录行为和操作行为，依据制定审计策略推断其是否业务操作习惯;依据时
21、序关联推断执行每个业务操作的账号是否具有正常的登录记录等;基于账号与重要操作行为的关联：将对数据库系统的重要业务操作时所使用的账号信息 进展关联，用来推断该账号是否正常使用;推断该账号是否具有该项权限所对应的权限范围， 是否为合法用户等等。基于账号与权限关联：将账号应当对应的权限与实际系统中赐予的权限进展关联，用来审计账号的访问权限是否合理;查询资源的授权访问者，权限的安排时间、安排者等是否和审批的全都。2.2.5 审计结果呈现审计数据的呈现与安全风险治理是亲热相关的。明御数据库审计与风险掌握系统供给对 审计数据进展实时监控和实时呈现。在审计数据的呈现或响应中，可以支持邮件、弹出窗口、sysl
22、og、SNMP Trap 、手机信息、声音报警等多种方式。2.2.6 敏捷的报告呈现明御数据库审计与风险掌握系统内嵌了功能强大的报表模块，除了按安全阅历、行业需求分类的预定义固定格式报表外，治理员还可以利用报表自定义功能生成定制化的报告。报告模块同时支持Word 、Excel、PowerPoint、Pdf、Html、Postscrip格t 式的数据导出。支持两种报表生成模式，即预置固定格式的报表、用户自定义报表：通过预置固定格式的报表：可快速查看安全告警、SOX 审计、设备性能以及应用系统受攻击状况。敏捷的条件格式定义，可以便利的依据业务规律来动态格式化报表元素，同时供给强大的样式定义，对于生
23、疏CSS 的设计人员来说，可以设计出相当精彩的报表样式。全部查询：指定用户查询：2.3 系统优势2.3.1零风险、多种方式部署明御数据库审计与风险掌握系统可敏捷支持直连、旁路的模式部署到网络中，因此，部署时不需要对现有的网络体系构造(包括：路由器、防火墙、应用层负载均衡设备、应用服务器等)进展调整。同时，依靠“安恒”自主研发的双引擎技术，检测过程中无需对应用程序进展修改，实现应用层的零风险部署。2.3.2不影响数据库业务本身明御数据库审计与风险掌握系统主要是通过网络抓包进展数据采集 ，因此并不影响数据库保护对象本身的运行与性能，主要表达在以下几个方面：不需要对数据库软件进展更改;不占用数据库本
24、身的资源，比方：CPU 资源、内存资源、磁盘资源等;无需数据库的治理权限;2.3.3高可用性明御数据库审计与风险掌握系统全方位确保设备本身的高可用性，包括但不限于：物理保护：关键部件承受冗余配置(如：冗余电源、内置硬盘 RAID 等);掉电保护：设备掉电(如电源被不慎碰掉)时，网络流量将会直接贯穿;系统故障保护：内置监测模块准实时地监测设备自身的安康状况;不连续的治理保护：在进展策略配置状况下，能保持网络的连接和保护;不丢包：基于硬件加速的接口卡，在1G 、2.5G、10G 环境下实现 100% 数据包捕获;冗余部署：在具备冗余体系构造的环境中，支持 Active-Activ或e Active-Standb部y 署配置。