数据库审计秘笈

1、Imperva数据库审议秘笈Agenda 售前的技巧 如何在测试中打垮竞争对手 行业客户端策略设置经验积累1、售前技巧篇（开始忽悠咯！） 背景：运营商金融业 背景：攻击行为利益化-商业数据提问？ 1、您觉得您的数据对您公司重要吗？ 2、那我们针对我们的核心数据又做了什么针对性的保护措施呢？ 3、我们现在的数据安全状况我们了解吗？数据库自身的审计功能没戏数据库自身的审计功能没戏我们的东东和别人很不一样，但请告诉客户 imperva可以对每条记录提供多达25种信息/字段，包括所有必需的所有审计信息,提供非常有限的记录信息。为客户提供许多有价值的信息，如：登陆的主机名，使用的客户端软件，对请求的响应

2、，被访问的数据库/Schema，数据库的错误提示信息，返回结果的时间、记录条数等等。细致，一定要在测试的时候，体现imperva的细致，国内产品的记录展现非常差； 和四大数据库厂家（Oracle，IBM, Sybase，MicroSoft）是官方认可的深层商业合作伙伴，很多不支持DB2，这个要说清楚；可以对数据库的每个用户对数据库的访问行为提供直观的、详细的、多方面的客观的呈现。包括：数据库帐号、访问源地址、访问客户端主机/用户名、访问软件、数据库的表、Schema、指令集。国内的产品都无法做到这些；我们的东东和别人很不一样，但请告诉客户 可以对数据库的每个用户对数据库的访问行为提供直观的、详

3、细的、多方面的客观的呈现。包括：数据库帐号、访问源地址、访问客户端主机/用户名、访问软件、数据库的表、Schema、指令集。国内的产品都无法做到这些； 根据塞班斯审计规范，提供专业的审计报告包包含各种数据库审计的专业报告。这回在中国人寿售前，他们也很感兴趣，因为他们要符合sox，但是却不知道如何在数据库审计方面入手； 最后，说性能，性能测试一直是imperva强调的，建议用户做大规模数据库调用测试，就会发现其他产品会丢数据，无法做到全审计了 2、足以毁灭对手的测试程序开始测试咯！激动！让测试把别人都搞死！重点要引导用户区关注的功能（结合业务）提供的测试神功秘籍下面部分涉及到服务交付问题 我们谈

4、了很多我们的好，但在没有让用户说出这个“好”字之前这些都是我们自说自话！所以当我们用产品的测试打动用户之后，才刚刚开始产品服务的交付，以下内容来源于我们工程师们多年推动数据库安全的配置经验总结，虽然只是一些，但却弥足珍贵！希望以后大家来丰富他技巧一：可疑的就别放过 运用场景：银行 1、设定查询时间大于10 s的策略，对大量占用数据库资源的查询进行审计，为业务端程序改进提供参考意见（陈郡）【解决方案中心认为此策略可以用户绝大部分的行业用户】技巧二：出错就查，一查到底 运用场景：银行 针对特定数据库的报错，如Oracle数据库中的ORA错误，设定审计策略，记录查询和response，帮助用户发现在应用端无法查找原因的数据库查询报错（陈郡）【解决方案中心认为此策略可以用户绝大部分的行业用户】技巧三：不知道怎么下手？这么干肯定没错 运用场景：证券 可定义敏感表，任何用户对敏感表的非法和违规访问可以产生特别的报警。imperva独有