数据安全与运维安全审计系统项目方案

1、目录TOC o 1-3 h z u HYPERLINK l _Toc354745630 1概述述 PAGEREF _Toc354745630 h 3 HYPERLINK l _Toc354745631 2项目目背景 PAGEREF _Toc354745631 h 4 HYPERLINK l _Toc354745632 3数据据安全解解决方案案 PAGEREF _Toc354745632 h 5 HYPERLINK l _Toc354745633 3.1风险分分析 PAGEREF _Toc354745633 h 5 HYPERLINK l _Toc354745634 3.1.1操作系系统安全全

2、PAGEREF _Toc354745634 h 5 HYPERLINK l _Toc354745635 3.1.2数据库库本身的的安全风风险 PAGEREF _Toc354745635 h 5 HYPERLINK l _Toc354745636 3.11.3数据库库的全面面防护 PAGEREF _Toc354745636 h 6 HYPERLINK l _Toc354745637 3.1.4数据库库及其应应用系统统风险 PAGEREF _Toc354745637 h 6 HYPERLINK l _Toc354745638 3.1.5数据库库前端应应用风险险 PAGEREF _Toc354745

3、638 h 6 HYPERLINK l _Toc354745639 3.2项目需需求 PAGEREF _Toc354745639 h 7 HYPERLINK l _Toc354745640 3.3总体设设计方案案 PAGEREF _Toc354745640 h 12 HYPERLINK l _Toc354745641 3.4建设目目标与原原则 PAGEREF _Toc354745641 h 13 HYPERLINK l _Toc354745642 3.5建设方方案 PAGEREF _Toc354745642 h 14 HYPERLINK l _Toc354745643 3.5.1数据库库审计目

4、目标服务务器 PAGEREF _Toc354745643 h 15 HYPERLINK l _Toc354745644 3.5.2数据库库登录情情况 PAGEREF _Toc354745644 h 17 HYPERLINK l _Toc354745645 3.5.3策略应应用情况况 PAGEREF _Toc354745645 h 18 HYPERLINK l _Toc354745646 3.5.4各类前前端应用用系统对对数据库库的访问问 PAGEREF _Toc354745646 h 18 HYPERLINK l _Toc354745647 3.5.5各类主主机对数数据库的的访问 PAGERE

5、F _Toc354745647 h 19 HYPERLINK l _Toc354745648 3.5.6修改数数据库操操作情况况 PAGEREF _Toc354745648 h 20 HYPERLINK l _Toc354745649 3.5.7数据库库异常与与访问告告警 PAGEREF _Toc354745649 h 21 HYPERLINK l _Toc354745650 3.6数据安安全系统统介绍 PAGEREF _Toc354745650 h 22 HYPERLINK l _Toc354745651 3.7运维安安全系统统介绍 PAGEREF _Toc354745651 h 25 HY

6、PERLINK l _Toc354745652 3.8产品和和功能详详解 PAGEREF _Toc354745652 h 26 HYPERLINK l _Toc354745653 3.8.1数据库库产品和和功能详详解 PAGEREF _Toc354745653 h 26 HYPERLINK l _Toc354745654 3.8.2运维安安全产品品和功能能详解 PAGEREF _Toc354745654 h 34 HYPERLINK l _Tocc354474556555 4应用效效果分析析 PAGEREF _Toc354745655 h 41 HYPERLINK l _Toc35474565

7、6 5司简简介及案案例 PAGEREF _Toc354745656 h 46概述随着计算算机技术术的飞速速发展，数据库库的应用用十分广广泛，深深入到各各个领域域，但随随之而来来产生了了数据的的安全问问题。各各种应用用系统的的数据库库中大量量数据的的安全问问题、敏敏感数据据的防窃窃取和防防篡改问问题，越越来越引引起人们们的高度度重视。数据库库系统作作为信息息的聚集集体，是是计算机机信息系系统的核核心部件件，其安安全性至至关重要要，关系系到企业业兴衰、成败。因此，如何有有效地保保证数据据库系统统的安全全，实现现数据的的保密性性、完整整性和有有效性，已经成成为业界界人士探探索研究究的重要要课题之之一

8、。由于计算算机和网网络的普普及和广广泛应用用，越来来越多的的关键业业务系统统运行在在数据库库平台上上。数据据库中的的数据作作为企业业的财富富发挥着着越来越越重要的的作用，同时也也成为不不安定因因素的主主要目标标。如何何保证数数据库自自身的安安全，已已成为现现代数据据库系统统的主要要评测指指标之一一。数据据库是信信息技术术的核心心和基础础，广泛泛应用在在电信、金融、政府、商业、企业等等诸多领领域，当当我们说说现代经经济依赖赖于计算算机时， 我们们真正的的意思是是说现代代经济依依赖于数数据库系系统。数数据库中中储存着着诸如银银行账户户、医疗疗保险、电话记记录、生生产或交交易明细细、 产产品资料料等

9、极其其重要和和敏感的的信息。尽管这这些系统统的数据据完整性性和安全全性是相相当重要要的，但但对数据据库采取取的安全全检查措措施的级级别 还还比不上上操作系系统和网网络的安安全检查查措施的的级别。许多因因素都可可能破坏坏数据的的完整性性并导致致非法访访问，这这些因素素包括复复杂程度度、 密密码安全全性较差差、误配配置、未未被察觉觉的系统统后门以以及数据据库安全全策略的的缺失等等。 项目背景景数据库作作为金融融行业信信息系统统的核心心和基础础，承载载着越来来越多的的关键业业务系统统，整个个业务流流程过程程中的操操作、数数据的变变更、新新增、删删除都存存储在数数据库中中，保存存着客户户的个人人以及资

10、资金等各各类信息息。信息息一旦被被篡改或或者泄露露，不仅仅损害到到公民自自身利益益，机构构的品牌牌形象，甚至影影响到公公共秩序序和国家家利益。所以对对数据库库的保护护是一项项必须的的，关键键的，重重要的工工作任务务。为了保证证XX业务务系统的的更加稳稳定安全全地运行行，XXX对业务务系统的的数据库库建设进进行了完完善，不不仅考虑虑数据库库系统的的集群、异常容容错能力力，更从从业务系系统的数数据库操操作安全全方面进进行考虑虑，更加加深入，细粒度度地保证证业务系系统数据据库操作作的安全全。从网网络层上上说，银银行正从从应用层层方面来来保证业业务系统统数据库库的安全全。那么么如何对对业务系系统的数数

11、据库操操作安全全进行检检查呢？我们采采用数据据库安全全审计系系统对业业务系统统的数据据库操作作进行审审计。采采用运维维安全系系统对各各种服务务器本身身进行审审计。银行数据据各类数数据库系系统。它它们的特殊殊地位要要求安全全性极高高，重点点要考虑虑二方面面的安全全风险：一是来来自外部部安全风风险：利利用弱口口令设置置、数据据库系统统漏洞、 SQQL注入入等攻击击数据库库系统，非法进进入数据据库系统统访问、拷贝和和修改数数据内容容；另一个个是内部部安全风风险：以以合法授授权身份份进入业业务系统统对数据据的访问问和操作作的违规性行为为。以上上安全风风险会引引发数据据库系统统瘫痪、各种内内部数据据信息

12、被被泄露和和篡改、涉密数数据信息息被窃取取和失泄泄等信息息安全事事件发生生。所以以重点要要对这两两部分的的数据库库及服务务器进行行防护。数据安全全解决方方案风险分析析任何公司司的主要要电子数数字资产产都存贮贮在现代代的关系系数据产产品中。商业机机构和政政府组织织都是利利用这些些数据库库服务器器得到人人事信息息，如员员工的工工资表，医疗记记录等。因此他他们有责责任保护护别人的的隐私，并为他他们保密密。数据据库服务务器还存存有以前前的和将将来的敏敏感的金金融数据据，包括括贸易记记录、商商业合同同及帐务务数据等等。象技技术的所所有权、工程数数据，甚甚至市场场企划等等决策性性的机密密信息，必须对对竟争

13、者者保密，并阻止止非法访访问，数数据库服服务器还还包括详详细的顾顾客信息息，如财财务帐目目，信用用卡号及及商业伙伙伴的信信用信息息等。目目前世界界上七种种主流的的关系型型数据库库，诸如如Oraaclee、Syybasse、MMicrrosooft SQLL Seerveer、IIBM DB22/Innforrmixx、MyySQLL、PoostggreSSQL服服务器都都具有以以下特征征：用户户帐号及及密码、校验系系统、优优先级模模型和控控制数据据库的特特别许可可、内置置命令（存储过过程、触触发器等等）、唯唯一的脚脚本和编编程语言言（例如如PL/SQLL、Trranssacttionn-SQQ

14、L）、中间件件、网络络协议、补丁和和服务包包、强有有力的数数据库管管理实用用程序和和开发工工具。 操作系统统安全数据库安安装于操操作系统统之上，对操作作系统的的安全防防护也是是至关重重要的，运维人人员可以以通过远远程访问问操作系系统，达达到本地地操作数数据库的的目的。系统口口令及访访问控制制权限管管理技术术手段薄薄弱；数数据中心心存在“交叉运运维”现象；针对运运维人员员无详细细操作记记录；无无法满足足审计检检查对日日志记录录的要求求；运维维安全分分析报告告缺乏。因此，我院迫迫切需要要采用必必要的技技术手段段来防范范和减少少运维操操作风险险，确保保信息系系统安全全、稳定定运行。数据库本本身的安安

15、全风险险数据库服服务器的的应用相相当复杂杂，掌握握起来非非常困难难。许多多数据库库管理员员都忙于于管理复复杂的系系统， 所以很很可能没没有检查查出严重重的安全全隐患和和不当的的配置，甚至根根本没有有进行检检测。 所以，正是由由于传统统的安全全体系在在很大程程度上忽忽略了数数据库安安全这一一主题，使数据据库专业业人员也也通常没没有把安安全问题题当作他他们的首首要任务务。 在在安全领领域中，类似网网页被修修改、电电脑中病病毒、木木马、流流氓软件件、弹出出窗口等等所造成成的经济济损失微微乎其微微， 而而一旦数数据库出出现安全全风险并并被恶意意利用所所造成的的后果几几乎是灾灾难性的的和不可可挽回的的。

16、 数据库的的全面防防护安全是多多个环节节层层防防范、共共同配合合的结果果。也就就是说在在安全领领域不能能够仅靠靠某一个个环节完完成所有有的安全全防范措措施。一一个安全全的系统统需要数数据库的的安全、操作系系统的安安全、网网络的安安全、应应用系统统自身的的安全共共同完成成。数据据库领域域的安全全措施通通常包括括：身份份识别和和身份验验证、自自主访问问控制和和强制访访问控制制、安全全传输、系统审审计、数数据库存存储加密密等。只只有通过过综合有有关安全全的各个个环节，才能确确保高度度安全的的系统。数据库及及其应用用系统风风险拙劣的数数据库安安全保障障设施不不仅会危危及数据据库的安安全，还还会影响响到

17、服务务器的操操作系统统和其它它信用系系统。还还有一个个不很明明显的原原因说明明了保证证数据库库安全的的重要性性数据据库系统统自身可可能会提提供危及及整个网网络体系系的机制制。例如如，某个个公司可可能会用用数据库库服务器器保存所所有的技技术手册册、文档档和白皮皮书的库库存清单单。数据据库里的的这些信信息并不不是特别别重要的的，所以以它的安安全优先先级别不不高。即即使运行行在安全全状况良良好的操操作系统统中，入入侵者也也可通过过“扩展入入驻程序序”等强有有力的内内置数据据库特征征，利用用对数据据库的访访问，获获取对本本地操作作系统的的访问权权限。这这些程序序可以发发出管理理员级的的命令，访问基基本

18、的操操作系统统及其全全部的资资源。如如果这个个特定的的数据库库系统与与其它服服务器有有信用关关系，那那么入侵侵者就会会危及整整个网络络域的安安全。 数据库前前端应用用风险在电子商商务、电电子贸易易的着眼眼点集中中于WEEB服务务器、JJavaa和其它它新技术术的同时时，应该该记住这这些以用用户为导导向和企企业对企企业的系系统都是是以Weeb服务务器后的的关系数数据库为为基础的的。它们们的安全全直接关关系到系系统的有有效性、数据和和交易的的完整性性、保密密性。系系统拖延延效率欠欠佳，不不仅影响响商业活活动，还还会影响响公司的的信誉。不可避避免地，这些系系统受到到入侵的的可能性性更大，但是并并未对

19、商商业伙伴伴和客户户敏感信信息的保保密性加加以更有有效的防防范。此此外，EERP和和管理系系统，如如ASPPR/33和PeeoplleSooft等等，都是是建立在在相同标标准的数数据库系系统中。无人管管理的安安全漏洞洞与时间间拖延、系统完完整性问问题和客客户信任任等有直直接的关关系。 由此可见见，数据据库安全全实际上上是信息息安全的的核心，在这种种情况下下，有必必要采用用专业的的新型数数据库安安全产品品，专门门对数据据库及其其操作系系统进行行保护。项目需求求做为解决决上述风风险问题题的数据据系统，应包含含一下主主要特性性：服务器运运维安全全 针对直直接登录录操作系系统的行行为进行行控制与与审计

20、。数据库使使用情况况评估检查真真实的数数据库网网络流量量以构建建一个使使用的基基准模型型，并自自动创建建数据库库安全政政策。管理员可可以通过过审查分分析文件件轻松掌掌握适当当的数据据库使用用，非常常灵活方方便的制制定数据据库使用用着的行行为策略略。数据库审审计SeccureeSphheree采集许许多审计计数据，并且提提供内置置的报告告功能，可以灵灵活地满满足内部部或外部部规定要要求。SSecuureSSpheere的的数据库库审计包包括数据据库活动动审计、实时告告警审计计、用户户基本信信息审计计。数据库保保护这是SSecuureSSpheere对对数据库库实时保保护核心心功能，包括：数据库应

21、应用保护护客户化策策略的实实施数据库平平台的保保护识别复杂杂的攻击击（通过过多种手手段的联联动） 具具体到设设备的功功能，应应该具有有以下特特点：支持各种种主流运运维协议议字符型协协议（TTelnnet、SSHH、FTTP、SSFTPP）图形化协协议（RRDP、Xwiindoows、VNCC、htttp、htttps、AS4400及及其他）支持各种种主流数数据库 包括对对各种版版本和各各种平台台的Orraclle、DDB2、Infformmix、Sybbasee、MSS SQQL SServver的的支持。审计厂厂家必须须和四大大数据库库厂家（Oraaclee，IBBM, Sybbasee，M

22、iicrooSofft）是是官方认认可的深深层商业业合作伙伙伴，从从而能够够保证审审计结果果的精确确性和权权威性设备的引引入不应应对正常常业务和和正常的的数据库库运行造造成任何何影响，同时应应满足权权限分离离的要求求，不容容许被审审计人员员对审计计功能元元进行修修改和操操作。对数据库库没有影影响的功功能非常常有利于于部署实实施，设设备的部部署不需需要对数数据库进进行变动动，或者者对数据据中心结结构的其其它方面面进行变变动。审计产品品应是一一个基于于网络的的应用解解决方案案，不需需要数据据库服务务器管理理权限或或者安装装主机软软件。 其部署署及运营营可能由由网络安安全人员员进行，而不会会对数据据

23、库管理理资源造造成影响响。这种种方式通通过保持持安全功功能的独独立，从从而遵守守安全实实践。审计设备备可以审审计所有有针对数数据库的的访问，包括对对数据库库直接连连接的访访问，以以及前台台应用程程序对数数据库的的访问；如果应应用通过过加密方方式访问问数据库库，同样样应该可可以审计计到。审计功能能要求审审计到尽尽可能详详细的信信息针对每一一条数据据库的访访问，审审计记录录要细致致到每一一次事务务/查询询的原始始信息记记录，应应该可以以记录所所有的关关键信息息，至少少包括以以下各个个方面：数据库服服务器、源IPP、目的IIP、原始的的查询指指令、去除具具体参数数的查询询指令、源应用用软件、数据库库

24、用户名名、访问源源操作系系统用户户名、访问源源操作主主机名、高级权权限操作作、存储过过程、目标数数据库和和Schhemaa、Strreamm IDD、操作作回应内内容、操操作返回回的错误误代码操操作回应应的时间间操作回回应的条条目大小小。如果是前前台用户户通过WWeb利利用应用用服务器器访问数数据库（BS架架构下），还应应可以审审计记录录以下信信息：前前台应用用程序的的用户名名、前台程程序的UURL、Webb Seessiion ID 、Webb 客户户端IPP 对于通过过Oraaclee EBBS或SSAP等等应用服服务器访访问数据据库（CCS架构构下），应该可可以记录录最终前前台用户户的用

25、户户名为了有效效地记录录数据库库访问操操作，审审计人员员需要尽尽可能详详细的审审计记录录信息，详细到到准确的的查询和和响应属属性这一一级别。数据库库审计记记录必须须将所审审计数据据库事务务归于特特定用户户。例如如，SOOX 合合规审计计机制要要求必须须记录对对财务报报告数据据的每个个更改及及执行此此更改的的用户姓姓名。但但是，当当用户通通过 WWeb 应用程程序或SAPP、Orraclle EE-Buusinnesss Suuitee等应用用服务器器访问数数据库时时，数据据库审计计系统必必须可以以记录最最终的责责任用户户。支持Biind Varriabble很多基于于数据库库的查询询是通过过B

26、innd VVariiablle完成成的。这这就要求求审计系系统不光光要记录录查询中中Binnd VVariiablle的变变量的名名字，还还要记录录Binnd VVariiablle的数数值。举举例来说说：一个个包含BBindd Vaariaablee的SQQL是：sellectt * froom aaaa wheere namme=:whoo, 审审计系统统不光把把这个SSQL记记录下来来，同时时要记录录:whho=jjimmmy, 这样才才是完整整的包含含Binnd VVariiablle的审审计结果果。审计策略略可以非非常灵活活的定义义由于对于于实际的的生产系系统，需需要审计计的数据据

27、库访问问量非常常大，这这就要求求有灵活活的审计计策略可可以定义义想要审审计的数数据库操操作的内内容。可可以定义义审计策策略的条条件应该该包括以以下各个个关键字字的条件件组合：源IP、目的IIP、原始的的查询指指令、去除具具体参数数的查询询指令、源应用用软件、数据库库用户名名、访问源源操作系系统用户户名、访问源源操作主主机名、高级权权限操作作、存储过过程、目标数数据库和和SchhemaaStrreamm IDD 操作回应应内容、操作返返回的错错误代码码、操作回回应的时时间、操作回回应的条条目大小小同样如果果是前台台用户通通过Weeb利用用应用服服务器访访问数据据库（BBS架构构下），或对于于通过

28、OOraccle EBSS或SAAP等应应用服务务器访问问数据库库（CSS架构下下），还还应可以以根据前前台应用用程序的的用户名名来定义义审计记记录的策策略 可以定义义敏感数数据表，保护核核心机密密数据可将机密密数据定定义敏感感表，任任何用户户对敏感感表的非非法和违违规访问问可以产产生特别别的报警警审计结果果的归档档灵活方方便为了提高高整个数数据库审审计系统统的扩展展性，审审计信息息可以通通过FTTP,SSCP等等传输协协议灵活活的归档档到外部部的存储储设备上上，归档档出来的的数据格格式应该该是通用用格式（CSVV），归归档可以以选择手手动及定定时定期期的自动动方式。审计告警警日志对对外的接接

29、口审计结果果告警日日志可以以通过SSysllog或或SNMMP协议议和外部部的统一一审计平平台送出出数据，进行互互通。审计结果果可以自自动生成成符合专专业合规规审计（SOXX）要求求的审计计报告符合 SSOX 合规性性的 审计解决决方案为为生成关关键业务务（如财财务）报告时时使用的的数据库库提供全全面的数数据审计计和安全全性，给审计计人员带带来了极极大的便便利性。 数据库库安全审审计网关关可以使使用自动动生成的的专用的的报告来来证明对对关键数据据库实施施控制，这些都都是 4404 条款的的主要要要求。通通过专用用的符合合SOXX的用户户评估报报告，合合规性检检查人员员可以验验证只有有具有合合法

30、需求求的用户户才可以以访问关关键数据据库。智能而自自动的建建立用户户对数据据库访问问的行为为模型审计设备备设备应应具有自自动建立立用户数数据库访访问行为为模型的的能力。自动智智能建模模功能可可以自动动学习、并且自自动适应应用户数数据库及及应用系系统的各各方面特特点，自自动建立立“充分必必要”的安全全策略。同时，结合全全面的、精细的的手工定定制和调调优功能能，在最最大程度度的降低低管理工工作量的的同时，提供最最佳的安安全配置置。为每个用用户自动动建立对对数据库库和Scchemma访问问的基线线，内容容是可正正常访问问的数据据库和SScheema。用户访问问模型自自动建立立功能分分析实际际数据库库

31、流量并并使用复复杂的学学习算法法创建每每个访问问数据库库的用户户或应用用的所有有合法活活动分析析模型。此模型不不仅仅作作为后来来审计评评估使用用变化或或应用行行为的基基准，并并且是自自动生成成的数据据库使用用安全政政策，允允许信息息安全小小组不仅仅仅可以以监视并并审计使使用，而而且保护护数据库库免受非非法行为为。学习习算法不不断应用用到实际际流量中中以便当当用户活活动随着着时间发发展时，有效变变化将自自动重新新组织并并集成到到行为模模型中。如果用用户访问问数据库库的时候候，行为为模型的的偏差将将自动触触发一个个报警并并可以根根据严重重性进行行阻断。发现非法法行为的的实时告告警功能能这是在系系统

32、运行行时，对对正在进进行的业业务和管管理层面面的数据据库交互互活动进进行检测测。对其其中违反反既定的的安全策策略的行行为可以以即时发发现，同同时可以以产生报报警、阻阻断以及及供事后后分析和和审计的的依据。实时的的监控和和防护可可以第一一时间消消除违规规操作对对系统的的影响。设备具有有实时告告警的功功能，针针对非法法访问行行为和用用户定义义的访问问行为可可以实时时告警。告警信信息可以以发送到到Sysslogg Seerveer, 或通过过Emaail发发出。数据库保保护这是数据据库安全全审计产产品的重重要功能能，可以以实时保保护核心心核心数数据库免免遭各种种非法行行为和破破坏。在在数据库库操作所

33、所经过的的网络、操作系系统、应应用软件件方面，相应的的安全规规则就是是：防火火墙、IIPS规规则、应应用协议议保护；这部分分规则可可以是静静态的，已经根根据数据据库和应应用系统统的要求求做了精精细的预预设，同同时还可可以进一一步的根根据实际际需要进进行微调调。此功功能应包包括：数据库应应用保护护审计设备备连续比比较数据据库访问问模型的的真实用用户操作作的差异异。来自自分析的的重要偏偏差生成成警报，并且恶恶意的行行为可以以根据策策略有选选择性的的阻止。客户化策策略实施施除了基于于特征文文件的安安全政策策外，管管理可以以定义任任意粒度度的客户户政策。例如：管理员员可以设设置访问问系统对对象的查查询

34、策略略，甚至至对包含含特定文文本模式式的查询询。政策策偏离可可以生成成一个警警报或者者迅速阻阻止活动动。行为特征征代码分分析完成成数据库库平台保保护应该具有有 (IIPS)保护数数据库基基础设施施免受针针对数据据库平台台及操作作系统软软件中已已知漏洞洞蠕虫及及其它攻攻击。IIPS功功能主要要通过检检查数据据库访问问是否和和特征代代码库匹匹配来判判断是否否会触发发数据库库的漏洞洞。特征征代码库库要求和和国际安安全研究究组织同同步，并并且可以以包含自自定义的的SQLL特征。 特征代代码要保保证可以以在线升升级，可可以使得得系统在在第一时时间内抵抵御最新新出现的的针对数数据库的的非法危危害行为为以及

35、在在数据库库没有打打补丁的的情况下下，防止止数据库库厂家的的安全漏漏洞造成成的危害害防火墙层层面和SSQL协协议层面面保护防火墙层层面是在在网络层层面保护护数据库库免受各各种网络络层面的的非法操操作威胁胁。同时时对于上上层协议议（SQQL的通通信）的的合法性性及滥用用的检测测，对于于数据库库服务器器软件也也非常重重要。对对此，审审计设备备应该专专门提供供SQLL应用协协议检测测的功能能，来检检测SQQL协议议是否合合法或符符合标准准的规定定。在数据库库保护层层面，对对于非法法操作，可以进进行非常常丰富的的响应动动作，分分为三类类：告警警响应，即时行行动，后后续行动动。即时时行动可可以将数数据包

36、丢丢弃，后后续行动动就是通通过对外外通信来来通知管管理人员员有非法法行为发发生。数据库安安全评估估功能：对数据库库的基础础系统以以及运行行时的配配置进行行评估。数据库库的基础础系统包包括，操操作系统统和数据据库应用用程序，它们通通常会存存在软件件的缺陷陷或漏洞洞，容易易被攻击击者利用用。可以主动动评估数数据库的的安全状状况，包包括是否否打了PPatcch，包包括用户户权限在在内的各各种安全全设置是是否合理理。高性能要求审计计设备的的可以提提供双向向最低5500MMbpss，最高高2Gbbps的的性能，毫微秒秒级延迟迟，支持持的SQQL交易易数量从从5万每每秒到220万每每秒。高可用性性审计设备

37、备应支持持高可用用性确保保最大的的正常运运行时间间及应用用可用性性。审计计设备应应具有在在设备故故障下应应该不影影响实际际业务能能力，同同时审计计设备支支持主备备配置方方式，在在合理配配置下，可以达达到小于于1秒甚甚至更低低的主备备切换时时延。集中管理理，分部部部署提供全分分布式的的三级网网管架构构，包括括： 第第一层业务探探测和实实施引擎擎，第二二层网管服服务器，第三层层操作控控制台。这种结结构对于于在数据据库保护护这样的的大型网网络系统统中部署署统一的的安全策策略具有有至关重重要的意意义。来来自多个个网关的的日志数数据也将将显示在在单个视视图中，并存储储在单个个管理服服务器数数据库中中。这

38、样样可以增增强管理理的便利利性，多多网关的的动态业业务模型型、IPPS 策策略和系系统参数数集中存存储于管管理服务务器，策策略更改改在服务务器上进进行，通通过简单单操作可可将这些些更改自自动发布布到多个个网关中中，立刻刻生效，方便快快捷。总体设计计方案根据XXX数据库库系统的的网络架架构和数数据库服服务器以以及中间间件服务务器的部部署特点点，我们们提出了了一套完整整的解决决方案：在数据据库交换换机上做做旁路镜镜像。将将旁路信信号入数数据库审审计设备备，完成成对数据据库服务务器的访访问、操操作行为为的实时时监测审审计，完完整地记记录所有有的访问问与操作作行为和和内容，该系统统还提供供了数据据库服

39、务务器负载载状况监监测、客客户端访访问操作作的详细细分类统统计和排排名等功功能。在在交换机机做旁路路，部署署运维安安全设备备HACC。针对对数据库库服务器器本身的的远程访访问进行行控制与与审计。采用Immperrva数数据库安安全审计计网关作作为数据据库系统统审计，其其基本原原理是：通过旁旁路监听听的方式式，对网网络数据据进行实实时采集集过滤，对各种种上层的的数据库库应用协协议数据据进行分分析和还还原，然然后再进进行SQQL语法法解析，最后对对审计记记录进行行存储、对违规规的审计计记录进进行实时时报警，同时生生成审计计报表和和统计报报表信息息。基于旁路路监听的的数据库库审计的的解决方方案具有有

40、下面的的一些优优势：不需要对对生产数数据库进进行任何何设置，也不需需要改变变现有的的网络架架构和配配置。采用旁路路监听方方式，不不影响生生产数据据库的性性能，不不占用生生产数据据库服务务器的网网络带宽宽，同时时在对审审计数据据进行压压缩备份份时不影影响业务务系统的的正常运运行。与数据库库管理系系统本身身的审计计功能相相比具有有更快的的响应速速度，可可以进行行实时审审计和处处理。审计数据据更加安安全。与与原有的的业务网网络隔离离，因此此可以更更有效地地保护审审计数据据的安全全。同时时审计数数据传输输过程中中采用了了加密隧隧道和身身份认证证机制，有效防防止了审审计信息息的被窃窃、被篡篡改与身身份假

41、冒冒。具有专门门的审计计日志格格式和审审计报表表，易于于查询。由于采用用了动态态建模技技术，通通过自动动检测分分析实时时数据库库通信，然后应应用复杂杂的学习习算法来来创建包包含访问问数据库库的每个个用户和和应用程程序的所所有合法法活动的的”业务模模型”，包括括数据库库客户端端的计算算机名，程序名名，数据据库用户户名，数数据库名名，表名名以及详详细的数数据库操操作内容容等信息息。“业务模模型”不仅用用作以后后审计评评估用户户或应用用程序行行为更改改的依据据，而且且还是针针对数据据库使用用自动生生成的安安全策略略，信息息安全团团队使用用”业务模模型”不仅能能够监视视和审计计数据库库使用状状况，而而

42、且还可可以防止止数据库库受到攻攻击。采用HAAC运维维安全产产品对数数据库服服务器本本身的运运维进行行安全审审计，其其基本原原理是：运维人人员远程程接入时时，通过过统一的的登录入入口，利利用权限限控制，访问不不同的目目标服务务器资源源。并对对运维全全过程进进行实时时，事后后的监控控与追溯溯。采用单臂臂模式部部署时，其主要要的优势势是：不不改变网网络拓扑扑，安装装调试过过程简单单，可按按照企业业网络架架构的实实际情况况灵活接接入。具具有以下下特点：系统采用用协议分分析、基基于数据据包还原原虚拟化化技术，实现操操作界面面模拟，将所有有的操作作转换为为图形化化界面予予以展现现，实现现1000%审计计

43、信息不不丢失。针对运维维操作图图形化审审计功能能的展现现外，同同时还能能对字符符进行分分析，包包括命令令行操作作的命令令以及回回显信息息和非字字符型操操作时键键盘、鼠鼠标的敲敲击信息息。系统支持持的审计计协议以以及工具具包括：终端命令令操作： TTelnnet、SSHHWinddowss图形： RDPP、VNNCUnixx/Liinuxx图形：XwiindoowsAS4000主机机图形：AS4400文件上传传和下载载： FFTP、SFTTP基于BSS的管理理操作：Htttp、HHttpps数据库管管理工具具：pccAnyywheere、DammeWaare、PL/SQLL、TOOAD等等工具建

44、设目标标与原则则在为XXX配置实实施数据据安全整整体解决决方案时时的时候候，遵循循以下的的配置基基本原则则：功能性满满足本项项目的实实际需要要可以支持持现有应应用系统统，如数数据库类类型、本本版等处理性能能满足系系统的需需要对现有系系统的无无影响，包括；IP地地址空间间、路由由规划、无需调调整应用用系统（如设置置Prooxy，安装软软件等）建设方案案为了不影影响数据据库的正正常使用用和安全全，数据据库审计计设备和和运维安安全设备备以旁路路方式部部署。通通过在数数据库交交换机上上做端口口镜像的的方式，把数据据库数据据流镜像像到数据据库审计计网关，同时在在数据库库审计网网关上配配置管理理IP，方便

45、远远程管理理。HAAC设备备旁路部部署在数数据库交交换机上上的任意意端口，保证访访问端，被访问问端与HHAC的的IP路路由可达达，拓扑扑图如下下图：为了全面面及时地地掌握XXX数据据库系统统的运行行、访问问和操作作情况，并即时时进行必必要的处处置，使使数据安安全管理理问题得得到了有有效的解解决。除除了默认认的全部部审计策策略，还还需要制制定适合合的策略略来快速速定位关关键的、需要关关注的各各种操作作。为了解决决各种需需求，我我们建立立了以下下审计策策略： 关键数数据库表表审计这个策略略的作用用条件为为：根据据我们的的业务类类型，部部分数据据库表中中存在大大量的敏敏感信息息，对这这类表我我们要着

46、着重关注注。 非已知应应用程序序审计网络中可可能存在在多条路路径，多多种终端端，多种种客户端端软件，对我们们的数据据库进行行访问，对此通通过immperrva，我们可可以关注注到整个个网络中中各种终终端，软软件对数数据库的的访问重要操作作审计这个策略略的作用用条件为为两个：记录对对数据库库的插入入、删除除、更新新、特权权操作，排除对对已知应应用程序序的审计计。这个个策略是是审计对对数据库库的重要要操作，记录未未知应用用程序和和客户端端软件对对数据库库写操作作，防止止数据库库被无意意或恶意意的篡改改。数据库审审计目标标服务器器针对目标标服务器器，其审审计概况况如下周期访问问量：数据库登登录情况况

47、策略应用用情况各类前端端应用系系统对数数据库的的访问各类主机机对数据据库的访访问修改数据据库操作作情况数据库异异常与访访问告警警数据安全全系统介介绍SecuureSSpheere提提供全分分布式的的三级网网管架构构，包括括： 第第一层业务务探测和和实施引引擎，第第二层MX网网管服务务器，第第三层操作控控制台。这种结结构对于于在XXX数据库库保护这这样的大大型网络络系统中中部署统统一的安安全策略略具有至至关重要要的意义义。图SeecurreSppherre的完完整部署署的示例例 SeccureeSphheree的管理理服务器器的主要要特点包包括：图形报报告 - 完整整的 CCrysstall R

48、eeporrts 包和和与 OODBCC 兼容容的数据据库访问问支持预预配置报报告和自自定义报报告。预预配置报报告使性性能、合合规性、安全警警报及使使用情况况的异常常情况一一目了然然。SeccureeSphheree 在整整个企业业内提供供统一的的报告。统一的实实时警报报监视 来自自多个 SeccureeSphheree 安全全层（动动态”业务模模型”、IPSS 等）的实时时警报将将被收集集、按优优先级排排序并在在一个统统一的视视图中显显示给管管理员。警报通通知可通通过电子子邮件、电话、呼机和和 SNNMP 消息发发送。不不需要连连接到分分布在数数据中心心的各个个设备。来自多多个网关关的日志志

49、数据也也将显示示在单个个视图中中，并存存储在单单个 MMX 管管理服务务器数据据库中。警报审计计 来自自多网关关的警报报将被收收集并存存储于单单个 MMX 管管理服务务器数据据库中。若要支支持审计计功能，只需点点击几下下鼠标就就可以根根据多种种参数来来排序和和搜索警警报条目目。即使使是来自自不同 SeccureeSphheree 安全全服务（IPSS、动态态”业务模模型”等）的的特定用用户违规规行为（由会话话 IDD 或 IPP 地址址标识），也可可以被立立即跟踪踪。智能攻击击摘要 智能能攻击摘摘要通过过智能地地将多个个攻击导导致的一一系列事事件聚合合为一个个需采取取措施的的警报，从而提提高管

50、理理员的工工作效率率。例如如，相关关扫描警警报可聚聚合为一一个攻击击警报，而不是是成千上上万个攻攻击警报报。如今今，快速速有效的的响应变变得极为为重要，而这种种高度集集中的信信息能够够使管理理员快速速准确地地了解威威胁聚合合警报保保留了形形成警报报的基本本事件，以便进进行详细细分析。集中式式策略分分布 多网网关的动动态”业务模模型”、IPSS 策略略和系统统参数集集中存储储于 MMX 管管理服务务器。更更改在服服务器上上进行，通过单单击可将将这些更更改自动动发布到到多个网网关。登录错误误审计这个策略略的作用用条件为为两个：记录登登录操作作，登录录的结果果为失败败的操作作。这个个策略的的主要作作

51、用是记记录登录录失败的的信息，防止有有人尝试试破解密密码，损损害数据据库安全全。运维安全全系统介介绍“运维安安全审计计系统（HACC）” 目标是是为组织织IT系系统核心心服务器器的运维维操作提提供强有有力的监监控、审审计手段段，使其其切实满满足内控控管理中中的合规规性要求求。HAC可可对主机机、服务务器、网网络设备备、安全全设备等等的管理理维护进进行安全全、有效效、直观观的操作作审计，对策略略配置、系统维维护、内内部访问问等进行行详细的的记录，提供细细粒度的的审计，并支持持操作过过程的全全程回放放。HAAC弥补补了传统统审计系系统的不不足，将将运维审审计由事事件审计计提升为为内容审审计，并并将

52、身份份认证、授权、管理、审计有有机地结结合，保保证只有有合法用用户才能能使用其其拥有运运维权限限的关键键资源。HACC为组织织在ITT操作风风险控制制、内控控安全和和合规性性等方面面提供一一套完善善、有效效的审计计手段。HAC系系统提供供了灵活活的部署署方式，既可以以采取串串连模式式，也可可以采用用单臂模模式接入入到企业业内部网网络中。采用串串连模式式部署时时，HAAC具备备一定程程度上的的网络控制制的功能能，可提提高核心心服务器器访问的的安全性性；采用用单臂模模式部署署时，不不改变网网络拓扑扑，安装装调试过过程简单单，可按按照企业业网络架架构的实实际情况况灵活接接入。无论串连连模式还还是在单

53、单臂模式式，通过过HACC访问IIT基础础服务资资源的操操作都将将被详细细的记录录和存储储下来，作为审审计的基基础数据据。HAAC的部部署不会会对业务务系统、网络中中的数据据流向、带宽等等重要指指标产生生负面影影响，无无需在核核心服务务器或操操作客户户端上安安装任何何软硬件件系统。产品和功功能详解解数据库产产品和功功能详解解SecuureSSpheere G88/G116 设设备是SSecuureSSpheere系系列业务务监控和和防护引引擎的成成员，它它具备四四个业务务接口，即可以以提供两两个在线线监控桥桥接组（桥接模模式），或监控控四个不不同的业业务网段段（旁路路侦听模模式）。它的处处理能

54、力力也非常常强大，可以提提供1000,0000到到2000,0000交易易/秒的的处理能能力。它它同时可可以提供供所有SSecuureSSpheere系系列产品品的所有有业务功功能，包包括前台台Webb应用的的保护，后台数数据库的的监控和和防护。并且可可以在一一个平台台上同时时提供这这些功能能。SecuureSSpheere系系列（GG8和GG16）主要技技术参数数：技术参数数G8G16吞吐量1Gbpps20000 Mbbps每秒交易易（trranssacttionn）10000002000000延迟低于百万万分之一一秒低于百万万分之一一秒尺寸1U4U接口类型型电口/光光纤SXX/光纤纤LX电

55、口/光光纤SXX/光纤纤LX在线故障障短接能能力（只只用于桥桥接）是是硬盘250GGB SSATAA；FT模式式：热切切换2550GBB SAATA热切换3300GGB SSCSII外部驱动动CD-RROMCD-RROM标准机架架19英寸寸机架19英寸寸机架重量40lbbs（118公斤斤）90lbbs（441公斤斤）电源500WW；FT模式式：双工工，热切切换5220W双工，热热切换114700WAC电压压要求100-2400V，550-660HZZ220-2400V，550-660HZZ物理尺寸寸宽：166.933”(4300mm)深；266.466”(6722mm)高：1.7”(43mmm

56、)宽：177.6”(4477mm)深；277.8”(7066mm)高：6.8”(1733mm)操作环境境5C (411F)到355C (955F)5C (411F)到355C (955F)非操作环环境-40C (-440F) 到到 700C (1558F)相对对湿度 95%,非凝结 35C (955F)-40C (-440F) 到到 700C (1558F)相对对湿度 95%,非凝结 35C (955F)电磁兼容容性FCC Parrt 115, ICEES-0003, CEE, VVCCIIFCC Parrt 115, ICEES-0003, CEE, VVCCII数据库的的安全防防护是一一个

57、系统统工程。它的实实施，或或说是生生命周期期包括一一下四个个环节：图 数据据库及应应用安全全维护的的生命周周期数据库的的评估是一个事事前、或或周期性性的工作作，它的的工作内内容是，对数据据库的基基础系统统以及运运行时的的配置进进行评估估。数据据库的基基础系统统包括，操作系系统和数数据库应应用程序序，它们们通常会会存在软软件的缺缺陷或漏漏洞，容容易被攻攻击者利利用。而而运行配配置的内内容则包包括数据据库系统统在运行行时不同同的用户户对数据据库的系系统和业业务对象象的管理理操作能能力和权权限合理的的、好的的配置策策略可以以极大的的限制违违规操作作和非法法操作发发生的可可能性。安全策略略的制定定是安

58、全防防护的核核心之一一。它的的内容是是从安全全角度定定义数据据库访问问的权限限的各个个方面。主要内内容是，对于用用户操操作权限限数据据库对象象三个属属性（还还可以辅辅助以地地址、时时间等）的数据据库与用用户、管管理员和和应用系系统间交交互的各各种限定定性规范范的制定定。它可可以包括括正向规规则和反反向规则则两方面面的内容容；同时时以自动动建模的的方式为为主，辅辅以人工工微调和和优化，得到充充分必要要的安全全规则。基于安全全规则的的监控和和防护这是在系系统运行行时，对对正在进进行的业业务和管管理层面面的数据据库交互互活动进进行检测测。对其其中违反反既定的的安全策策略的行行为可以以即时发发现，同同

59、时可以以产生报报警、阻阻断以及及供事后后分析和和审计的的依据。实时的的监控和和防护可可以第一一时间消消除共计计和违规规操作对对系统的的影响。报告和审审计是周期性性的业务务运行状状况的总总结。其其中即包包括对一一段时间间内的总总体运行行状况的的描述，也包括括详细的的分项说说明，以以及细致致到每一一次事务务/查询询的原始始信息记记录。不不仅包括括正常业业务运行行状况，对安全全威胁和和事件也也进行特特别重点点和详细细的报告告。报告告和审计计对于企企业提供供符合专专业规范范（如：塞班斯斯）要求求的审计计依据具具有重大大的意义义，更重重要的是是对数据据库安全全的整个个维护和和实施生生命周期期提供了了不断

60、自自我检查查，自我我完善的的依据。以下对上上述数据据库安全全实施环环节的具具体内容容进行详详细阐述述。数据库的的安全评评估数据库的的评估主主要采用用两种技技术手段段：主动动的漏洞洞扫描评评估和被被动的使使用情况况评估。数据库使使用情况况的评估估要确保数数据库的的安全，首先要要了解其其使用情情况。SSecuureSSpheere 的“自动建建模”通过检检测实时时数据库库网络通通信来生生成使用用情况的的基准模模型，然然后自动动创建数数据库安安全策略略。管理员通通过检查查“业务模模型”，可轻轻松掌握握相应数数据库的的使用情情况。这这对于不不太了解解数据库库技术的的安全和和检查团团队来说说特别有有用。