數(shù)據(jù)安全與運維安全審計系統(tǒng)項目方案

1、目錄TOC o 1-3 h z u HYPERLINK l _Toc354745630 1概述述 PAGEREF _Toc354745630 h 3 HYPERLINK l _Toc354745631 2項目目背景 PAGEREF _Toc354745631 h 4 HYPERLINK l _Toc354745632 3數(shù)據(jù)據(jù)安全解解決方案案 PAGEREF _Toc354745632 h 5 HYPERLINK l _Toc354745633 3.1風(fēng)險分分析 PAGEREF _Toc354745633 h 5 HYPERLINK l _Toc354745634 3.1.1操作系系統(tǒng)安全全

2、PAGEREF _Toc354745634 h 5 HYPERLINK l _Toc354745635 3.1.2數(shù)據(jù)庫庫本身的的安全風(fēng)風(fēng)險 PAGEREF _Toc354745635 h 5 HYPERLINK l _Toc354745636 3.11.3數(shù)據(jù)庫庫的全面面防護(hù) PAGEREF _Toc354745636 h 6 HYPERLINK l _Toc354745637 3.1.4數(shù)據(jù)庫庫及其應(yīng)應(yīng)用系統(tǒng)統(tǒng)風(fēng)險 PAGEREF _Toc354745637 h 6 HYPERLINK l _Toc354745638 3.1.5數(shù)據(jù)庫庫前端應(yīng)應(yīng)用風(fēng)險險 PAGEREF _Toc354745

3、638 h 6 HYPERLINK l _Toc354745639 3.2項目需需求 PAGEREF _Toc354745639 h 7 HYPERLINK l _Toc354745640 3.3總體設(shè)設(shè)計方案案 PAGEREF _Toc354745640 h 12 HYPERLINK l _Toc354745641 3.4建設(shè)目目標(biāo)與原原則 PAGEREF _Toc354745641 h 13 HYPERLINK l _Toc354745642 3.5建設(shè)方方案 PAGEREF _Toc354745642 h 14 HYPERLINK l _Toc354745643 3.5.1數(shù)據(jù)庫庫審計目

4、目標(biāo)服務(wù)務(wù)器 PAGEREF _Toc354745643 h 15 HYPERLINK l _Toc354745644 3.5.2數(shù)據(jù)庫庫登錄情情況 PAGEREF _Toc354745644 h 17 HYPERLINK l _Toc354745645 3.5.3策略應(yīng)應(yīng)用情況況 PAGEREF _Toc354745645 h 18 HYPERLINK l _Toc354745646 3.5.4各類前前端應(yīng)用用系統(tǒng)對對數(shù)據(jù)庫庫的訪問問 PAGEREF _Toc354745646 h 18 HYPERLINK l _Toc354745647 3.5.5各類主主機(jī)對數(shù)數(shù)據(jù)庫的的訪問 PAGERE

5、F _Toc354745647 h 19 HYPERLINK l _Toc354745648 3.5.6修改數(shù)數(shù)據(jù)庫操操作情況況 PAGEREF _Toc354745648 h 20 HYPERLINK l _Toc354745649 3.5.7數(shù)據(jù)庫庫異常與與訪問告告警 PAGEREF _Toc354745649 h 21 HYPERLINK l _Toc354745650 3.6數(shù)據(jù)安安全系統(tǒng)統(tǒng)介紹 PAGEREF _Toc354745650 h 22 HYPERLINK l _Toc354745651 3.7運維安安全系統(tǒng)統(tǒng)介紹 PAGEREF _Toc354745651 h 25 HY

6、PERLINK l _Toc354745652 3.8產(chǎn)品和和功能詳詳解 PAGEREF _Toc354745652 h 26 HYPERLINK l _Toc354745653 3.8.1數(shù)據(jù)庫庫產(chǎn)品和和功能詳詳解 PAGEREF _Toc354745653 h 26 HYPERLINK l _Toc354745654 3.8.2運維安安全產(chǎn)品品和功能能詳解 PAGEREF _Toc354745654 h 34 HYPERLINK l _Tocc354474556555 4應(yīng)用效效果分析析 PAGEREF _Toc354745655 h 41 HYPERLINK l _Toc35474565

7、6 5司簡簡介及案案例 PAGEREF _Toc354745656 h 46概述隨著計算算機(jī)技術(shù)術(shù)的飛速速發(fā)展，數(shù)據(jù)庫庫的應(yīng)用用十分廣廣泛，深深入到各各個領(lǐng)域域，但隨隨之而來來產(chǎn)生了了數(shù)據(jù)的的安全問問題。各各種應(yīng)用用系統(tǒng)的的數(shù)據(jù)庫庫中大量量數(shù)據(jù)的的安全問問題、敏敏感數(shù)據(jù)據(jù)的防竊竊取和防防篡改問問題，越越來越引引起人們們的高度度重視。數(shù)據(jù)庫庫系統(tǒng)作作為信息息的聚集集體，是是計算機(jī)機(jī)信息系系統(tǒng)的核核心部件件，其安安全性至至關(guān)重要要，關(guān)系系到企業(yè)業(yè)興衰、成敗。因此，如何有有效地保保證數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)的安全全，實現(xiàn)現(xiàn)數(shù)據(jù)的的保密性性、完整整性和有有效性，已經(jīng)成成為業(yè)界界人士探探索研究究的重要要課題之之一

8、。由于計算算機(jī)和網(wǎng)網(wǎng)絡(luò)的普普及和廣廣泛應(yīng)用用，越來來越多的的關(guān)鍵業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)運行在在數(shù)據(jù)庫庫平臺上上。數(shù)據(jù)據(jù)庫中的的數(shù)據(jù)作作為企業(yè)業(yè)的財富富發(fā)揮著著越來越越重要的的作用，同時也也成為不不安定因因素的主主要目標(biāo)標(biāo)。如何何保證數(shù)數(shù)據(jù)庫自自身的安安全，已已成為現(xiàn)現(xiàn)代數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)的主要要評測指指標(biāo)之一一。數(shù)據(jù)據(jù)庫是信信息技術(shù)術(shù)的核心心和基礎(chǔ)礎(chǔ)，廣泛泛應(yīng)用在在電信、金融、政府、商業(yè)、企業(yè)等等諸多領(lǐng)領(lǐng)域，當(dāng)當(dāng)我們說說現(xiàn)代經(jīng)經(jīng)濟(jì)依賴賴于計算算機(jī)時， 我們們真正的的意思是是說現(xiàn)代代經(jīng)濟(jì)依依賴于數(shù)數(shù)據(jù)庫系系統(tǒng)。數(shù)數(shù)據(jù)庫中中儲存著著諸如銀銀行賬戶戶、醫(yī)療療保險、電話記記錄、生生產(chǎn)或交交易明細(xì)細(xì)、 產(chǎn)產(chǎn)品資料料等

9、極其其重要和和敏感的的信息。盡管這這些系統(tǒng)統(tǒng)的數(shù)據(jù)據(jù)完整性性和安全全性是相相當(dāng)重要要的，但但對數(shù)據(jù)據(jù)庫采取取的安全全檢查措措施的級級別 還還比不上上操作系系統(tǒng)和網(wǎng)網(wǎng)絡(luò)的安安全檢查查措施的的級別。許多因因素都可可能破壞壞數(shù)據(jù)的的完整性性并導(dǎo)致致非法訪訪問，這這些因素素包括復(fù)復(fù)雜程度度、 密密碼安全全性較差差、誤配配置、未未被察覺覺的系統(tǒng)統(tǒng)后門以以及數(shù)據(jù)據(jù)庫安全全策略的的缺失等等。 項目背景景數(shù)據(jù)庫作作為金融融行業(yè)信信息系統(tǒng)統(tǒng)的核心心和基礎(chǔ)礎(chǔ)，承載載著越來來越多的的關(guān)鍵業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)，整個個業(yè)務(wù)流流程過程程中的操操作、數(shù)數(shù)據(jù)的變變更、新新增、刪刪除都存存儲在數(shù)數(shù)據(jù)庫中中，保存存著客戶戶的個人人以及資

10、資金等各各類信息息。信息息一旦被被篡改或或者泄露露，不僅僅損害到到公民自自身利益益，機(jī)構(gòu)構(gòu)的品牌牌形象，甚至影影響到公公共秩序序和國家家利益。所以對對數(shù)據(jù)庫庫的保護(hù)護(hù)是一項項必須的的，關(guān)鍵鍵的，重重要的工工作任務(wù)務(wù)。為了保證證XX業(yè)務(wù)務(wù)系統(tǒng)的的更加穩(wěn)穩(wěn)定安全全地運行行，XXX對業(yè)務(wù)務(wù)系統(tǒng)的的數(shù)據(jù)庫庫建設(shè)進(jìn)進(jìn)行了完完善，不不僅考慮慮數(shù)據(jù)庫庫系統(tǒng)的的集群、異常容容錯能力力，更從從業(yè)務(wù)系系統(tǒng)的數(shù)數(shù)據(jù)庫操操作安全全方面進(jìn)進(jìn)行考慮慮，更加加深入，細(xì)粒度度地保證證業(yè)務(wù)系系統(tǒng)數(shù)據(jù)據(jù)庫操作作的安全全。從網(wǎng)網(wǎng)絡(luò)層上上說，銀銀行正從從應(yīng)用層層方面來來保證業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)數(shù)據(jù)庫庫的安全全。那么么如何對對業(yè)務(wù)系系統(tǒng)的數(shù)數(shù)

11、據(jù)庫操操作安全全進(jìn)行檢檢查呢？我們采采用數(shù)據(jù)據(jù)庫安全全審計系系統(tǒng)對業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)的數(shù)據(jù)據(jù)庫操作作進(jìn)行審審計。采采用運維維安全系系統(tǒng)對各各種服務(wù)務(wù)器本身身進(jìn)行審審計。銀行數(shù)據(jù)據(jù)各類數(shù)數(shù)據(jù)庫系系統(tǒng)。它它們的特殊殊地位要要求安全全性極高高，重點點要考慮慮二方面面的安全全風(fēng)險：一是來來自外部部安全風(fēng)風(fēng)險：利利用弱口口令設(shè)置置、數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)漏洞、 SQQL注入入等攻擊擊數(shù)據(jù)庫庫系統(tǒng)，非法進(jìn)進(jìn)入數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)訪問、拷貝和和修改數(shù)數(shù)據(jù)內(nèi)容容；另一個個是內(nèi)部部安全風(fēng)風(fēng)險：以以合法授授權(quán)身份份進(jìn)入業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)對數(shù)據(jù)據(jù)的訪問問和操作作的違規(guī)性行為為。以上上安全風(fēng)風(fēng)險會引引發(fā)數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)癱瘓、各種內(nèi)內(nèi)部數(shù)據(jù)據(jù)信息

12、被被泄露和和篡改、涉密數(shù)數(shù)據(jù)信息息被竊取取和失泄泄等信息息安全事事件發(fā)生生。所以以重點要要對這兩兩部分的的數(shù)據(jù)庫庫及服務(wù)務(wù)器進(jìn)行行防護(hù)。數(shù)據(jù)安全全解決方方案風(fēng)險分析析任何公司司的主要要電子數(shù)數(shù)字資產(chǎn)產(chǎn)都存貯貯在現(xiàn)代代的關(guān)系系數(shù)據(jù)產(chǎn)產(chǎn)品中。商業(yè)機(jī)機(jī)構(gòu)和政政府組織織都是利利用這些些數(shù)據(jù)庫庫服務(wù)器器得到人人事信息息，如員員工的工工資表，醫(yī)療記記錄等。因此他他們有責(zé)責(zé)任保護(hù)護(hù)別人的的隱私，并為他他們保密密。數(shù)據(jù)據(jù)庫服務(wù)務(wù)器還存存有以前前的和將將來的敏敏感的金金融數(shù)據(jù)據(jù)，包括括貿(mào)易記記錄、商商業(yè)合同同及帳務(wù)務(wù)數(shù)據(jù)等等。象技技術(shù)的所所有權(quán)、工程數(shù)數(shù)據(jù)，甚甚至市場場企劃等等決策性性的機(jī)密密信息，必須對對竟?fàn)?/p>

13、者者保密，并阻止止非法訪訪問，數(shù)數(shù)據(jù)庫服服務(wù)器還還包括詳詳細(xì)的顧顧客信息息，如財財務(wù)帳目目，信用用卡號及及商業(yè)伙伙伴的信信用信息息等。目目前世界界上七種種主流的的關(guān)系型型數(shù)據(jù)庫庫，諸如如Oraaclee、Syybasse、MMicrrosooft SQLL Seerveer、IIBM DB22/Innforrmixx、MyySQLL、PoostggreSSQL服服務(wù)器都都具有以以下特征征：用戶戶帳號及及密碼、校驗系系統(tǒng)、優(yōu)優(yōu)先級模模型和控控制數(shù)據(jù)據(jù)庫的特特別許可可、內(nèi)置置命令（存儲過過程、觸觸發(fā)器等等）、唯唯一的腳腳本和編編程語言言（例如如PL/SQLL、Trranssacttionn-SQQ

14、L）、中間件件、網(wǎng)絡(luò)絡(luò)協(xié)議、補(bǔ)丁和和服務(wù)包包、強(qiáng)有有力的數(shù)數(shù)據(jù)庫管管理實用用程序和和開發(fā)工工具。 操作系統(tǒng)統(tǒng)安全數(shù)據(jù)庫安安裝于操操作系統(tǒng)統(tǒng)之上，對操作作系統(tǒng)的的安全防防護(hù)也是是至關(guān)重重要的，運維人人員可以以通過遠(yuǎn)遠(yuǎn)程訪問問操作系系統(tǒng)，達(dá)達(dá)到本地地操作數(shù)數(shù)據(jù)庫的的目的。系統(tǒng)口口令及訪訪問控制制權(quán)限管管理技術(shù)術(shù)手段薄薄弱；數(shù)數(shù)據(jù)中心心存在“交叉運運維”現(xiàn)象；針對運運維人員員無詳細(xì)細(xì)操作記記錄；無無法滿足足審計檢檢查對日日志記錄錄的要求求；運維維安全分分析報告告缺乏。因此，我院迫迫切需要要采用必必要的技技術(shù)手段段來防范范和減少少運維操操作風(fēng)險險，確保保信息系系統(tǒng)安全全、穩(wěn)定定運行。數(shù)據(jù)庫本本身的安安

15、全風(fēng)險險數(shù)據(jù)庫服服務(wù)器的的應(yīng)用相相當(dāng)復(fù)雜雜，掌握握起來非非常困難難。許多多數(shù)據(jù)庫庫管理員員都忙于于管理復(fù)復(fù)雜的系系統(tǒng)， 所以很很可能沒沒有檢查查出嚴(yán)重重的安全全隱患和和不當(dāng)?shù)牡呐渲茫踔粮緵]有有進(jìn)行檢檢測。 所以，正是由由于傳統(tǒng)統(tǒng)的安全全體系在在很大程程度上忽忽略了數(shù)數(shù)據(jù)庫安安全這一一主題，使數(shù)據(jù)據(jù)庫專業(yè)業(yè)人員也也通常沒沒有把安安全問題題當(dāng)作他他們的首首要任務(wù)務(wù)。 在在安全領(lǐng)領(lǐng)域中，類似網(wǎng)網(wǎng)頁被修修改、電電腦中病病毒、木木馬、流流氓軟件件、彈出出窗口等等所造成成的經(jīng)濟(jì)濟(jì)損失微微乎其微微， 而而一旦數(shù)數(shù)據(jù)庫出出現(xiàn)安全全風(fēng)險并并被惡意意利用所所造成的的后果幾幾乎是災(zāi)災(zāi)難性的的和不可可挽回的的。

16、 數(shù)據(jù)庫的的全面防防護(hù)安全是多多個環(huán)節(jié)節(jié)層層防防范、共共同配合合的結(jié)果果。也就就是說在在安全領(lǐng)領(lǐng)域不能能夠僅靠靠某一個個環(huán)節(jié)完完成所有有的安全全防范措措施。一一個安全全的系統(tǒng)統(tǒng)需要數(shù)數(shù)據(jù)庫的的安全、操作系系統(tǒng)的安安全、網(wǎng)網(wǎng)絡(luò)的安安全、應(yīng)應(yīng)用系統(tǒng)統(tǒng)自身的的安全共共同完成成。數(shù)據(jù)據(jù)庫領(lǐng)域域的安全全措施通通常包括括：身份份識別和和身份驗驗證、自自主訪問問控制和和強(qiáng)制訪訪問控制制、安全全傳輸、系統(tǒng)審審計、數(shù)數(shù)據(jù)庫存存儲加密密等。只只有通過過綜合有有關(guān)安全全的各個個環(huán)節(jié)，才能確確保高度度安全的的系統(tǒng)。數(shù)據(jù)庫及及其應(yīng)用用系統(tǒng)風(fēng)風(fēng)險拙劣的數(shù)數(shù)據(jù)庫安安全保障障設(shè)施不不僅會危危及數(shù)據(jù)據(jù)庫的安安全，還還會影響響到

17、服務(wù)務(wù)器的操操作系統(tǒng)統(tǒng)和其它它信用系系統(tǒng)。還還有一個個不很明明顯的原原因說明明了保證證數(shù)據(jù)庫庫安全的的重要性性數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)自身可可能會提提供危及及整個網(wǎng)網(wǎng)絡(luò)體系系的機(jī)制制。例如如，某個個公司可可能會用用數(shù)據(jù)庫庫服務(wù)器器保存所所有的技技術(shù)手冊冊、文檔檔和白皮皮書的庫庫存清單單。數(shù)據(jù)據(jù)庫里的的這些信信息并不不是特別別重要的的，所以以它的安安全優(yōu)先先級別不不高。即即使運行行在安全全狀況良良好的操操作系統(tǒng)統(tǒng)中，入入侵者也也可通過過“擴(kuò)展入入駐程序序”等強(qiáng)有有力的內(nèi)內(nèi)置數(shù)據(jù)據(jù)庫特征征，利用用對數(shù)據(jù)據(jù)庫的訪訪問，獲獲取對本本地操作作系統(tǒng)的的訪問權(quán)權(quán)限。這這些程序序可以發(fā)發(fā)出管理理員級的的命令，訪問基基本

18、的操操作系統(tǒng)統(tǒng)及其全全部的資資源。如如果這個個特定的的數(shù)據(jù)庫庫系統(tǒng)與與其它服服務(wù)器有有信用關(guān)關(guān)系，那那么入侵侵者就會會危及整整個網(wǎng)絡(luò)絡(luò)域的安安全。 數(shù)據(jù)庫前前端應(yīng)用用風(fēng)險在電子商商務(wù)、電電子貿(mào)易易的著眼眼點集中中于WEEB服務(wù)務(wù)器、JJavaa和其它它新技術(shù)術(shù)的同時時，應(yīng)該該記住這這些以用用戶為導(dǎo)導(dǎo)向和企企業(yè)對企企業(yè)的系系統(tǒng)都是是以Weeb服務(wù)務(wù)器后的的關(guān)系數(shù)數(shù)據(jù)庫為為基礎(chǔ)的的。它們們的安全全直接關(guān)關(guān)系到系系統(tǒng)的有有效性、數(shù)據(jù)和和交易的的完整性性、保密密性。系系統(tǒng)拖延延效率欠欠佳，不不僅影響響商業(yè)活活動，還還會影響響公司的的信譽(yù)。不可避避免地，這些系系統(tǒng)受到到入侵的的可能性性更大，但是并并未對

19、商商業(yè)伙伴伴和客戶戶敏感信信息的保保密性加加以更有有效的防防范。此此外，EERP和和管理系系統(tǒng)，如如ASPPR/33和PeeoplleSooft等等，都是是建立在在相同標(biāo)標(biāo)準(zhǔn)的數(shù)數(shù)據(jù)庫系系統(tǒng)中。無人管管理的安安全漏洞洞與時間間拖延、系統(tǒng)完完整性問問題和客客戶信任任等有直直接的關(guān)關(guān)系。 由此可見見，數(shù)據(jù)據(jù)庫安全全實際上上是信息息安全的的核心，在這種種情況下下，有必必要采用用專業(yè)的的新型數(shù)數(shù)據(jù)庫安安全產(chǎn)品品，專門門對數(shù)據(jù)據(jù)庫及其其操作系系統(tǒng)進(jìn)行行保護(hù)。項目需求求做為解決決上述風(fēng)風(fēng)險問題題的數(shù)據(jù)據(jù)系統(tǒng)，應(yīng)包含含一下主主要特性性：服務(wù)器運運維安全全 針對直直接登錄錄操作系系統(tǒng)的行行為進(jìn)行行控制與與審計

20、。數(shù)據(jù)庫使使用情況況評估檢查真真實的數(shù)數(shù)據(jù)庫網(wǎng)網(wǎng)絡(luò)流量量以構(gòu)建建一個使使用的基基準(zhǔn)模型型，并自自動創(chuàng)建建數(shù)據(jù)庫庫安全政政策。管理員可可以通過過審查分分析文件件輕松掌掌握適當(dāng)當(dāng)?shù)臄?shù)據(jù)據(jù)庫使用用，非常常靈活方方便的制制定數(shù)據(jù)據(jù)庫使用用著的行行為策略略。數(shù)據(jù)庫審審計SeccureeSphheree采集許許多審計計數(shù)據(jù)，并且提提供內(nèi)置置的報告告功能，可以靈靈活地滿滿足內(nèi)部部或外部部規(guī)定要要求。SSecuureSSpheere的的數(shù)據(jù)庫庫審計包包括數(shù)據(jù)據(jù)庫活動動審計、實時告告警審計計、用戶戶基本信信息審計計。數(shù)據(jù)庫保保護(hù)這是SSecuureSSpheere對對數(shù)據(jù)庫庫實時保保護(hù)核心心功能，包括：數(shù)據(jù)庫應(yīng)

21、應(yīng)用保護(hù)護(hù)客戶化策策略的實實施數(shù)據(jù)庫平平臺的保保護(hù)識別復(fù)雜雜的攻擊擊（通過過多種手手段的聯(lián)聯(lián)動） 具具體到設(shè)設(shè)備的功功能，應(yīng)應(yīng)該具有有以下特特點：支持各種種主流運運維協(xié)議議字符型協(xié)協(xié)議（TTelnnet、SSHH、FTTP、SSFTPP）圖形化協(xié)協(xié)議（RRDP、Xwiindoows、VNCC、htttp、htttps、AS4400及及其他）支持各種種主流數(shù)數(shù)據(jù)庫 包括對對各種版版本和各各種平臺臺的Orraclle、DDB2、Infformmix、Sybbasee、MSS SQQL SServver的的支持。審計廠廠家必須須和四大大數(shù)據(jù)庫庫廠家（Oraaclee，IBBM, Sybbasee，M

22、iicrooSofft）是是官方認(rèn)認(rèn)可的深深層商業(yè)業(yè)合作伙伙伴，從從而能夠夠保證審審計結(jié)果果的精確確性和權(quán)權(quán)威性設(shè)備的引引入不應(yīng)應(yīng)對正常常業(yè)務(wù)和和正常的的數(shù)據(jù)庫庫運行造造成任何何影響，同時應(yīng)應(yīng)滿足權(quán)權(quán)限分離離的要求求，不容容許被審審計人員員對審計計功能元元進(jìn)行修修改和操操作。對數(shù)據(jù)庫庫沒有影影響的功功能非常常有利于于部署實實施，設(shè)設(shè)備的部部署不需需要對數(shù)數(shù)據(jù)庫進(jìn)進(jìn)行變動動，或者者對數(shù)據(jù)據(jù)中心結(jié)結(jié)構(gòu)的其其它方面面進(jìn)行變變動。審計產(chǎn)品品應(yīng)是一一個基于于網(wǎng)絡(luò)的的應(yīng)用解解決方案案，不需需要數(shù)據(jù)據(jù)庫服務(wù)務(wù)器管理理權(quán)限或或者安裝裝主機(jī)軟軟件。 其部署署及運營營可能由由網(wǎng)絡(luò)安安全人員員進(jìn)行，而不會會對數(shù)據(jù)據(jù)

23、庫管理理資源造造成影響響。這種種方式通通過保持持安全功功能的獨獨立，從從而遵守守安全實實踐。審計設(shè)備備可以審審計所有有針對數(shù)數(shù)據(jù)庫的的訪問，包括對對數(shù)據(jù)庫庫直接連連接的訪訪問，以以及前臺臺應(yīng)用程程序?qū)?shù)數(shù)據(jù)庫的的訪問；如果應(yīng)應(yīng)用通過過加密方方式訪問問數(shù)據(jù)庫庫，同樣樣應(yīng)該可可以審計計到。審計功能能要求審審計到盡盡可能詳詳細(xì)的信信息針對每一一條數(shù)據(jù)據(jù)庫的訪訪問，審審計記錄錄要細(xì)致致到每一一次事務(wù)務(wù)/查詢詢的原始始信息記記錄，應(yīng)應(yīng)該可以以記錄所所有的關(guān)關(guān)鍵信息息，至少少包括以以下各個個方面：數(shù)據(jù)庫服服務(wù)器、源IPP、目的IIP、原始的的查詢指指令、去除具具體參數(shù)數(shù)的查詢詢指令、源應(yīng)用用軟件、數(shù)據(jù)庫庫

24、用戶名名、訪問源源操作系系統(tǒng)用戶戶名、訪問源源操作主主機(jī)名、高級權(quán)權(quán)限操作作、存儲過過程、目標(biāo)數(shù)數(shù)據(jù)庫和和Schhemaa、Strreamm IDD、操作作回應(yīng)內(nèi)內(nèi)容、操操作返回回的錯誤誤代碼操操作回應(yīng)應(yīng)的時間間操作回回應(yīng)的條條目大小小。如果是前前臺用戶戶通過WWeb利利用應(yīng)用用服務(wù)器器訪問數(shù)數(shù)據(jù)庫（BS架架構(gòu)下），還應(yīng)應(yīng)可以審審計記錄錄以下信信息：前前臺應(yīng)用用程序的的用戶名名、前臺程程序的UURL、Webb Seessiion ID 、Webb 客戶戶端IPP 對于通過過Oraaclee EBBS或SSAP等等應(yīng)用服服務(wù)器訪訪問數(shù)據(jù)據(jù)庫（CCS架構(gòu)構(gòu)下），應(yīng)該可可以記錄錄最終前前臺用戶戶的用

25、戶戶名為了有效效地記錄錄數(shù)據(jù)庫庫訪問操操作，審審計人員員需要盡盡可能詳詳細(xì)的審審計記錄錄信息，詳細(xì)到到準(zhǔn)確的的查詢和和響應(yīng)屬屬性這一一級別。數(shù)據(jù)庫庫審計記記錄必須須將所審審計數(shù)據(jù)據(jù)庫事務(wù)務(wù)歸于特特定用戶戶。例如如，SOOX 合合規(guī)審計計機(jī)制要要求必須須記錄對對財務(wù)報報告數(shù)據(jù)據(jù)的每個個更改及及執(zhí)行此此更改的的用戶姓姓名。但但是，當(dāng)當(dāng)用戶通通過 WWeb 應(yīng)用程程序或SAPP、Orraclle EE-Buusinnesss Suuitee等應(yīng)用用服務(wù)器器訪問數(shù)數(shù)據(jù)庫時時，數(shù)據(jù)據(jù)庫審計計系統(tǒng)必必須可以以記錄最最終的責(zé)責(zé)任用戶戶。支持Biind Varriabble很多基于于數(shù)據(jù)庫庫的查詢詢是通過過B

26、innd VVariiablle完成成的。這這就要求求審計系系統(tǒng)不光光要記錄錄查詢中中Binnd VVariiablle的變變量的名名字，還還要記錄錄Binnd VVariiablle的數(shù)數(shù)值。舉舉例來說說：一個個包含BBindd Vaariaablee的SQQL是：sellectt * froom aaaa wheere namme=:whoo, 審審計系統(tǒng)統(tǒng)不光把把這個SSQL記記錄下來來，同時時要記錄錄:whho=jjimmmy, 這樣才才是完整整的包含含Binnd VVariiablle的審審計結(jié)果果。審計策略略可以非非常靈活活的定義義由于對于于實際的的生產(chǎn)系系統(tǒng)，需需要審計計的數(shù)據(jù)據(jù)

27、庫訪問問量非常常大，這這就要求求有靈活活的審計計策略可可以定義義想要審審計的數(shù)數(shù)據(jù)庫操操作的內(nèi)內(nèi)容。可可以定義義審計策策略的條條件應(yīng)該該包括以以下各個個關(guān)鍵字字的條件件組合：源IP、目的IIP、原始的的查詢指指令、去除具具體參數(shù)數(shù)的查詢詢指令、源應(yīng)用用軟件、數(shù)據(jù)庫庫用戶名名、訪問源源操作系系統(tǒng)用戶戶名、訪問源源操作主主機(jī)名、高級權(quán)權(quán)限操作作、存儲過過程、目標(biāo)數(shù)數(shù)據(jù)庫和和SchhemaaStrreamm IDD 操作回應(yīng)應(yīng)內(nèi)容、操作返返回的錯錯誤代碼碼、操作回回應(yīng)的時時間、操作回回應(yīng)的條條目大小小同樣如果果是前臺臺用戶通通過Weeb利用用應(yīng)用服服務(wù)器訪訪問數(shù)據(jù)據(jù)庫（BBS架構(gòu)構(gòu)下），或?qū)τ谟谕ㄟ^

28、OOraccle EBSS或SAAP等應(yīng)應(yīng)用服務(wù)務(wù)器訪問問數(shù)據(jù)庫庫（CSS架構(gòu)下下），還還應(yīng)可以以根據(jù)前前臺應(yīng)用用程序的的用戶名名來定義義審計記記錄的策策略 可以定義義敏感數(shù)數(shù)據(jù)表，保護(hù)核核心機(jī)密密數(shù)據(jù)可將機(jī)密密數(shù)據(jù)定定義敏感感表，任任何用戶戶對敏感感表的非非法和違違規(guī)訪問問可以產(chǎn)產(chǎn)生特別別的報警警審計結(jié)果果的歸檔檔靈活方方便為了提高高整個數(shù)數(shù)據(jù)庫審審計系統(tǒng)統(tǒng)的擴(kuò)展展性，審審計信息息可以通通過FTTP,SSCP等等傳輸協(xié)協(xié)議靈活活的歸檔檔到外部部的存儲儲設(shè)備上上，歸檔檔出來的的數(shù)據(jù)格格式應(yīng)該該是通用用格式（CSVV），歸歸檔可以以選擇手手動及定定時定期期的自動動方式。審計告警警日志對對外的接接

29、口審計結(jié)果果告警日日志可以以通過SSysllog或或SNMMP協(xié)議議和外部部的統(tǒng)一一審計平平臺送出出數(shù)據(jù)，進(jìn)行互互通。審計結(jié)果果可以自自動生成成符合專專業(yè)合規(guī)規(guī)審計（SOXX）要求求的審計計報告符合 SSOX 合規(guī)性性的 審計解決決方案為為生成關(guān)關(guān)鍵業(yè)務(wù)務(wù)（如財財務(wù)）報告時時使用的的數(shù)據(jù)庫庫提供全全面的數(shù)數(shù)據(jù)審計計和安全全性，給審計計人員帶帶來了極極大的便便利性。 數(shù)據(jù)庫庫安全審審計網(wǎng)關(guān)關(guān)可以使使用自動動生成的的專用的的報告來來證明對對關(guān)鍵數(shù)據(jù)據(jù)庫實施施控制，這些都都是 4404 條款的的主要要要求。通通過專用用的符合合SOXX的用戶戶評估報報告，合合規(guī)性檢檢查人員員可以驗驗證只有有具有合合法

30、需求求的用戶戶才可以以訪問關(guān)關(guān)鍵數(shù)據(jù)據(jù)庫。智能而自自動的建建立用戶戶對數(shù)據(jù)據(jù)庫訪問問的行為為模型審計設(shè)備備設(shè)備應(yīng)應(yīng)具有自自動建立立用戶數(shù)數(shù)據(jù)庫訪訪問行為為模型的的能力。自動智智能建模模功能可可以自動動學(xué)習(xí)、并且自自動適應(yīng)應(yīng)用戶數(shù)數(shù)據(jù)庫及及應(yīng)用系系統(tǒng)的各各方面特特點，自自動建立立“充分必必要”的安全全策略。同時，結(jié)合全全面的、精細(xì)的的手工定定制和調(diào)調(diào)優(yōu)功能能，在最最大程度度的降低低管理工工作量的的同時，提供最最佳的安安全配置置。為每個用用戶自動動建立對對數(shù)據(jù)庫庫和Scchemma訪問問的基線線，內(nèi)容容是可正正常訪問問的數(shù)據(jù)據(jù)庫和SScheema。用戶訪問問模型自自動建立立功能分分析實際際數(shù)據(jù)庫庫

31、流量并并使用復(fù)復(fù)雜的學(xué)學(xué)習(xí)算法法創(chuàng)建每每個訪問問數(shù)據(jù)庫庫的用戶戶或應(yīng)用用的所有有合法活活動分析析模型。此模型不不僅僅作作為后來來審計評評估使用用變化或或應(yīng)用行行為的基基準(zhǔn)，并并且是自自動生成成的數(shù)據(jù)據(jù)庫使用用安全政政策，允允許信息息安全小小組不僅僅僅可以以監(jiān)視并并審計使使用，而而且保護(hù)護(hù)數(shù)據(jù)庫庫免受非非法行為為。學(xué)習(xí)習(xí)算法不不斷應(yīng)用用到實際際流量中中以便當(dāng)當(dāng)用戶活活動隨著著時間發(fā)發(fā)展時，有效變變化將自自動重新新組織并并集成到到行為模模型中。如果用用戶訪問問數(shù)據(jù)庫庫的時候候，行為為模型的的偏差將將自動觸觸發(fā)一個個報警并并可以根根據(jù)嚴(yán)重重性進(jìn)行行阻斷。發(fā)現(xiàn)非法法行為的的實時告告警功能能這是在系系統(tǒng)

32、運行行時，對對正在進(jìn)進(jìn)行的業(yè)業(yè)務(wù)和管管理層面面的數(shù)據(jù)據(jù)庫交互互活動進(jìn)進(jìn)行檢測測。對其其中違反反既定的的安全策策略的行行為可以以即時發(fā)發(fā)現(xiàn)，同同時可以以產(chǎn)生報報警、阻阻斷以及及供事后后分析和和審計的的依據(jù)。實時的的監(jiān)控和和防護(hù)可可以第一一時間消消除違規(guī)規(guī)操作對對系統(tǒng)的的影響。設(shè)備具有有實時告告警的功功能，針針對非法法訪問行行為和用用戶定義義的訪問問行為可可以實時時告警。告警信信息可以以發(fā)送到到Sysslogg Seerveer, 或通過過Emaail發(fā)發(fā)出。數(shù)據(jù)庫保保護(hù)這是數(shù)據(jù)據(jù)庫安全全審計產(chǎn)產(chǎn)品的重重要功能能，可以以實時保保護(hù)核心心核心數(shù)數(shù)據(jù)庫免免遭各種種非法行行為和破破壞。在在數(shù)據(jù)庫庫操作所

33、所經(jīng)過的的網(wǎng)絡(luò)、操作系系統(tǒng)、應(yīng)應(yīng)用軟件件方面，相應(yīng)的的安全規(guī)規(guī)則就是是：防火火墻、IIPS規(guī)規(guī)則、應(yīng)應(yīng)用協(xié)議議保護(hù)；這部分分規(guī)則可可以是靜靜態(tài)的，已經(jīng)根根據(jù)數(shù)據(jù)據(jù)庫和應(yīng)應(yīng)用系統(tǒng)統(tǒng)的要求求做了精精細(xì)的預(yù)預(yù)設(shè)，同同時還可可以進(jìn)一一步的根根據(jù)實際際需要進(jìn)進(jìn)行微調(diào)調(diào)。此功功能應(yīng)包包括：數(shù)據(jù)庫應(yīng)應(yīng)用保護(hù)護(hù)審計設(shè)備備連續(xù)比比較數(shù)據(jù)據(jù)庫訪問問模型的的真實用用戶操作作的差異異。來自自分析的的重要偏偏差生成成警報，并且惡惡意的行行為可以以根據(jù)策策略有選選擇性的的阻止?？蛻艋卟呗詫嵤┦┏嘶谟谔卣魑奈募陌舶踩卟咄?，管管理可以以定義任任意粒度度的客戶戶政策。例如：管理員員可以設(shè)設(shè)置訪問問系統(tǒng)對對象的查查詢

34、策略略，甚至至對包含含特定文文本模式式的查詢詢。政策策偏離可可以生成成一個警警報或者者迅速阻阻止活動動。行為特征征代碼分分析完成成數(shù)據(jù)庫庫平臺保保護(hù)應(yīng)該具有有 (IIPS)保護(hù)數(shù)數(shù)據(jù)庫基基礎(chǔ)設(shè)施施免受針針對數(shù)據(jù)據(jù)庫平臺臺及操作作系統(tǒng)軟軟件中已已知漏洞洞蠕蟲及及其它攻攻擊。IIPS功功能主要要通過檢檢查數(shù)據(jù)據(jù)庫訪問問是否和和特征代代碼庫匹匹配來判判斷是否否會觸發(fā)發(fā)數(shù)據(jù)庫庫的漏洞洞。特征征代碼庫庫要求和和國際安安全研究究組織同同步，并并且可以以包含自自定義的的SQLL特征。 特征代代碼要保保證可以以在線升升級，可可以使得得系統(tǒng)在在第一時時間內(nèi)抵抵御最新新出現(xiàn)的的針對數(shù)數(shù)據(jù)庫的的非法危危害行為為以及

35、在在數(shù)據(jù)庫庫沒有打打補(bǔ)丁的的情況下下，防止止數(shù)據(jù)庫庫廠家的的安全漏漏洞造成成的危害害防火墻層層面和SSQL協(xié)協(xié)議層面面保護(hù)防火墻層層面是在在網(wǎng)絡(luò)層層面保護(hù)護(hù)數(shù)據(jù)庫庫免受各各種網(wǎng)絡(luò)絡(luò)層面的的非法操操作威脅脅。同時時對于上上層協(xié)議議（SQQL的通通信）的的合法性性及濫用用的檢測測，對于于數(shù)據(jù)庫庫服務(wù)器器軟件也也非常重重要。對對此，審審計設(shè)備備應(yīng)該專專門提供供SQLL應(yīng)用協(xié)協(xié)議檢測測的功能能，來檢檢測SQQL協(xié)議議是否合合法或符符合標(biāo)準(zhǔn)準(zhǔn)的規(guī)定定。在數(shù)據(jù)庫庫保護(hù)層層面，對對于非法法操作，可以進(jìn)進(jìn)行非常常豐富的的響應(yīng)動動作，分分為三類類：告警警響應(yīng)，即時行行動，后后續(xù)行動動。即時時行動可可以將數(shù)數(shù)據(jù)包

36、丟丟棄，后后續(xù)行動動就是通通過對外外通信來來通知管管理人員員有非法法行為發(fā)發(fā)生。數(shù)據(jù)庫安安全評估估功能：對數(shù)據(jù)庫庫的基礎(chǔ)礎(chǔ)系統(tǒng)以以及運行行時的配配置進(jìn)行行評估。數(shù)據(jù)庫庫的基礎(chǔ)礎(chǔ)系統(tǒng)包包括，操操作系統(tǒng)統(tǒng)和數(shù)據(jù)據(jù)庫應(yīng)用用程序，它們通通常會存存在軟件件的缺陷陷或漏洞洞，容易易被攻擊擊者利用用。可以主動動評估數(shù)數(shù)據(jù)庫的的安全狀狀況，包包括是否否打了PPatcch，包包括用戶戶權(quán)限在在內(nèi)的各各種安全全設(shè)置是是否合理理。高性能要求審計計設(shè)備的的可以提提供雙向向最低5500MMbpss，最高高2Gbbps的的性能，毫微秒秒級延遲遲，支持持的SQQL交易易數(shù)量從從5萬每每秒到220萬每每秒。高可用性性審計設(shè)備

37、備應(yīng)支持持高可用用性確保保最大的的正常運運行時間間及應(yīng)用用可用性性。審計計設(shè)備應(yīng)應(yīng)具有在在設(shè)備故故障下應(yīng)應(yīng)該不影影響實際際業(yè)務(wù)能能力，同同時審計計設(shè)備支支持主備備配置方方式，在在合理配配置下，可以達(dá)達(dá)到小于于1秒甚甚至更低低的主備備切換時時延。集中管理理，分部部部署提供全分分布式的的三級網(wǎng)網(wǎng)管架構(gòu)構(gòu)，包括括： 第第一層業(yè)務(wù)探探測和實實施引擎擎，第二二層網(wǎng)管服服務(wù)器，第三層層操作控控制臺。這種結(jié)結(jié)構(gòu)對于于在數(shù)據(jù)據(jù)庫保護(hù)護(hù)這樣的的大型網(wǎng)網(wǎng)絡(luò)系統(tǒng)統(tǒng)中部署署統(tǒng)一的的安全策策略具有有至關(guān)重重要的意意義。來來自多個個網(wǎng)關(guān)的的日志數(shù)數(shù)據(jù)也將將顯示在在單個視視圖中，并存儲儲在單個個管理服服務(wù)器數(shù)數(shù)據(jù)庫中中。這

38、樣樣可以增增強(qiáng)管理理的便利利性，多多網(wǎng)關(guān)的的動態(tài)業(yè)業(yè)務(wù)模型型、IPPS 策策略和系系統(tǒng)參數(shù)數(shù)集中存存儲于管管理服務(wù)務(wù)器，策策略更改改在服務(wù)務(wù)器上進(jìn)進(jìn)行，通通過簡單單操作可可將這些些更改自自動發(fā)布布到多個個網(wǎng)關(guān)中中，立刻刻生效，方便快快捷。總體設(shè)計計方案根據(jù)XXX數(shù)據(jù)庫庫系統(tǒng)的的網(wǎng)絡(luò)架架構(gòu)和數(shù)數(shù)據(jù)庫服服務(wù)器以以及中間間件服務(wù)務(wù)器的部部署特點點，我們們提出了了一套完整整的解決決方案：在數(shù)據(jù)據(jù)庫交換換機(jī)上做做旁路鏡鏡像。將將旁路信信號入數(shù)數(shù)據(jù)庫審審計設(shè)備備，完成成對數(shù)據(jù)據(jù)庫服務(wù)務(wù)器的訪訪問、操操作行為為的實時時監(jiān)測審審計，完完整地記記錄所有有的訪問問與操作作行為和和內(nèi)容，該系統(tǒng)統(tǒng)還提供供了數(shù)據(jù)據(jù)庫服

39、務(wù)務(wù)器負(fù)載載狀況監(jiān)監(jiān)測、客客戶端訪訪問操作作的詳細(xì)細(xì)分類統(tǒng)統(tǒng)計和排排名等功功能。在在交換機(jī)機(jī)做旁路路，部署署運維安安全設(shè)備備HACC。針對對數(shù)據(jù)庫庫服務(wù)器器本身的的遠(yuǎn)程訪訪問進(jìn)行行控制與與審計。采用Immperrva數(shù)數(shù)據(jù)庫安安全審計計網(wǎng)關(guān)作作為數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)審計，其其基本原原理是：通過旁旁路監(jiān)聽聽的方式式，對網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)據(jù)進(jìn)行實實時采集集過濾，對各種種上層的的數(shù)據(jù)庫庫應(yīng)用協(xié)協(xié)議數(shù)據(jù)據(jù)進(jìn)行分分析和還還原，然然后再進(jìn)進(jìn)行SQQL語法法解析，最后對對審計記記錄進(jìn)行行存儲、對違規(guī)規(guī)的審計計記錄進(jìn)進(jìn)行實時時報警，同時生生成審計計報表和和統(tǒng)計報報表信息息?；谂月仿繁O(jiān)聽的的數(shù)據(jù)庫庫審計的的解決方方案具有有

40、下面的的一些優(yōu)優(yōu)勢：不需要對對生產(chǎn)數(shù)數(shù)據(jù)庫進(jìn)進(jìn)行任何何設(shè)置，也不需需要改變變現(xiàn)有的的網(wǎng)絡(luò)架架構(gòu)和配配置。采用旁路路監(jiān)聽方方式，不不影響生生產(chǎn)數(shù)據(jù)據(jù)庫的性性能，不不占用生生產(chǎn)數(shù)據(jù)據(jù)庫服務(wù)務(wù)器的網(wǎng)網(wǎng)絡(luò)帶寬寬，同時時在對審審計數(shù)據(jù)據(jù)進(jìn)行壓壓縮備份份時不影影響業(yè)務(wù)務(wù)系統(tǒng)的的正常運運行。與數(shù)據(jù)庫庫管理系系統(tǒng)本身身的審計計功能相相比具有有更快的的響應(yīng)速速度，可可以進(jìn)行行實時審審計和處處理。審計數(shù)據(jù)據(jù)更加安安全。與與原有的的業(yè)務(wù)網(wǎng)網(wǎng)絡(luò)隔離離，因此此可以更更有效地地保護(hù)審審計數(shù)據(jù)據(jù)的安全全。同時時審計數(shù)數(shù)據(jù)傳輸輸過程中中采用了了加密隧隧道和身身份認(rèn)證證機(jī)制，有效防防止了審審計信息息的被竊竊、被篡篡改與身身份假

41、冒冒。具有專門門的審計計日志格格式和審審計報表表，易于于查詢。由于采用用了動態(tài)態(tài)建模技技術(shù)，通通過自動動檢測分分析實時時數(shù)據(jù)庫庫通信，然后應(yīng)應(yīng)用復(fù)雜雜的學(xué)習(xí)習(xí)算法來來創(chuàng)建包包含訪問問數(shù)據(jù)庫庫的每個個用戶和和應(yīng)用程程序的所所有合法法活動的的”業(yè)務(wù)模模型”，包括括數(shù)據(jù)庫庫客戶端端的計算算機(jī)名，程序名名，數(shù)據(jù)據(jù)庫用戶戶名，數(shù)數(shù)據(jù)庫名名，表名名以及詳詳細(xì)的數(shù)數(shù)據(jù)庫操操作內(nèi)容容等信息息?！皹I(yè)務(wù)模模型”不僅用用作以后后審計評評估用戶戶或應(yīng)用用程序行行為更改改的依據(jù)據(jù)，而且且還是針針對數(shù)據(jù)據(jù)庫使用用自動生生成的安安全策略略，信息息安全團(tuán)團(tuán)隊使用用”業(yè)務(wù)模模型”不僅能能夠監(jiān)視視和審計計數(shù)據(jù)庫庫使用狀狀況，而而

42、且還可可以防止止數(shù)據(jù)庫庫受到攻攻擊。采用HAAC運維維安全產(chǎn)產(chǎn)品對數(shù)數(shù)據(jù)庫服服務(wù)器本本身的運運維進(jìn)行行安全審審計，其其基本原原理是：運維人人員遠(yuǎn)程程接入時時，通過過統(tǒng)一的的登錄入入口，利利用權(quán)限限控制，訪問不不同的目目標(biāo)服務(wù)務(wù)器資源源。并對對運維全全過程進(jìn)進(jìn)行實時時，事后后的監(jiān)控控與追溯溯。采用單臂臂模式部部署時，其主要要的優(yōu)勢勢是：不不改變網(wǎng)網(wǎng)絡(luò)拓?fù)鋼?，安裝裝調(diào)試過過程簡單單，可按按照企業(yè)業(yè)網(wǎng)絡(luò)架架構(gòu)的實實際情況況靈活接接入。具具有以下下特點：系統(tǒng)采用用協(xié)議分分析、基基于數(shù)據(jù)據(jù)包還原原虛擬化化技術(shù)，實現(xiàn)操操作界面面模擬，將所有有的操作作轉(zhuǎn)換為為圖形化化界面予予以展現(xiàn)現(xiàn)，實現(xiàn)現(xiàn)1000%審計計

43、信息不不丟失。針對運維維操作圖圖形化審審計功能能的展現(xiàn)現(xiàn)外，同同時還能能對字符符進(jìn)行分分析，包包括命令令行操作作的命令令以及回回顯信息息和非字字符型操操作時鍵鍵盤、鼠鼠標(biāo)的敲敲擊信息息。系統(tǒng)支持持的審計計協(xié)議以以及工具具包括：終端命令令操作： TTelnnet、SSHHWinddowss圖形： RDPP、VNNCUnixx/Liinuxx圖形：XwiindoowsAS4000主機(jī)機(jī)圖形：AS4400文件上傳傳和下載載： FFTP、SFTTP基于BSS的管理理操作：Htttp、HHttpps數(shù)據(jù)庫管管理工具具：pccAnyywheere、DammeWaare、PL/SQLL、TOOAD等等工具建

44、設(shè)目標(biāo)標(biāo)與原則則在為XXX配置實實施數(shù)據(jù)據(jù)安全整整體解決決方案時時的時候候，遵循循以下的的配置基基本原則則：功能性滿滿足本項項目的實實際需要要可以支持持現(xiàn)有應(yīng)應(yīng)用系統(tǒng)統(tǒng)，如數(shù)數(shù)據(jù)庫類類型、本本版等處理性能能滿足系系統(tǒng)的需需要對現(xiàn)有系系統(tǒng)的無無影響，包括；IP地地址空間間、路由由規(guī)劃、無需調(diào)調(diào)整應(yīng)用用系統(tǒng)（如設(shè)置置Prooxy，安裝軟軟件等）建設(shè)方案案為了不影影響數(shù)據(jù)據(jù)庫的正正常使用用和安全全，數(shù)據(jù)據(jù)庫審計計設(shè)備和和運維安安全設(shè)備備以旁路路方式部部署。通通過在數(shù)數(shù)據(jù)庫交交換機(jī)上上做端口口鏡像的的方式，把數(shù)據(jù)據(jù)庫數(shù)據(jù)據(jù)流鏡像像到數(shù)據(jù)據(jù)庫審計計網(wǎng)關(guān)，同時在在數(shù)據(jù)庫庫審計網(wǎng)網(wǎng)關(guān)上配配置管理理IP，方便

45、遠(yuǎn)遠(yuǎn)程管理理。HAAC設(shè)備備旁路部部署在數(shù)數(shù)據(jù)庫交交換機(jī)上上的任意意端口，保證訪訪問端，被訪問問端與HHAC的的IP路路由可達(dá)達(dá)，拓?fù)鋼鋱D如下下圖：為了全面面及時地地掌握XXX數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)的運行行、訪問問和操作作情況，并即時時進(jìn)行必必要的處處置，使使數(shù)據(jù)安安全管理理問題得得到了有有效的解解決。除除了默認(rèn)認(rèn)的全部部審計策策略，還還需要制制定適合合的策略略來快速速定位關(guān)關(guān)鍵的、需要關(guān)關(guān)注的各各種操作作。為了解決決各種需需求，我我們建立立了以下下審計策策略： 關(guān)鍵數(shù)數(shù)據(jù)庫表表審計這個策略略的作用用條件為為：根據(jù)據(jù)我們的的業(yè)務(wù)類類型，部部分?jǐn)?shù)據(jù)據(jù)庫表中中存在大大量的敏敏感信息息，對這這類表我我們要著

46、著重關(guān)注注。 非已知應(yīng)應(yīng)用程序序?qū)徲嬀W(wǎng)絡(luò)中可可能存在在多條路路徑，多多種終端端，多種種客戶端端軟件，對我們們的數(shù)據(jù)據(jù)庫進(jìn)行行訪問，對此通通過immperrva，我們可可以關(guān)注注到整個個網(wǎng)絡(luò)中中各種終終端，軟軟件對數(shù)數(shù)據(jù)庫的的訪問重要操作作審計這個策略略的作用用條件為為兩個：記錄對對數(shù)據(jù)庫庫的插入入、刪除除、更新新、特權(quán)權(quán)操作，排除對對已知應(yīng)應(yīng)用程序序的審計計。這個個策略是是審計對對數(shù)據(jù)庫庫的重要要操作，記錄未未知應(yīng)用用程序和和客戶端端軟件對對數(shù)據(jù)庫庫寫操作作，防止止數(shù)據(jù)庫庫被無意意或惡意意的篡改改。數(shù)據(jù)庫審審計目標(biāo)標(biāo)服務(wù)器器針對目標(biāo)標(biāo)服務(wù)器器，其審審計概況況如下周期訪問問量：數(shù)據(jù)庫登登錄情況況

47、策略應(yīng)用用情況各類前端端應(yīng)用系系統(tǒng)對數(shù)數(shù)據(jù)庫的的訪問各類主機(jī)機(jī)對數(shù)據(jù)據(jù)庫的訪訪問修改數(shù)據(jù)據(jù)庫操作作情況數(shù)據(jù)庫異異常與訪訪問告警警數(shù)據(jù)安全全系統(tǒng)介介紹SecuureSSpheere提提供全分分布式的的三級網(wǎng)網(wǎng)管架構(gòu)構(gòu)，包括括： 第第一層業(yè)務(wù)務(wù)探測和和實施引引擎，第第二層MX網(wǎng)網(wǎng)管服務(wù)務(wù)器，第第三層操作控控制臺。這種結(jié)結(jié)構(gòu)對于于在XXX數(shù)據(jù)庫庫保護(hù)這這樣的大大型網(wǎng)絡(luò)絡(luò)系統(tǒng)中中部署統(tǒng)統(tǒng)一的安安全策略略具有至至關(guān)重要要的意義義。圖SeecurreSppherre的完完整部署署的示例例 SeccureeSphheree的管理理服務(wù)器器的主要要特點包包括：圖形報報告 - 完整整的 CCrysstall R

48、eeporrts 包和和與 OODBCC 兼容容的數(shù)據(jù)據(jù)庫訪問問支持預(yù)預(yù)配置報報告和自自定義報報告。預(yù)預(yù)配置報報告使性性能、合合規(guī)性、安全警警報及使使用情況況的異常常情況一一目了然然。SeccureeSphheree 在整整個企業(yè)業(yè)內(nèi)提供供統(tǒng)一的的報告。統(tǒng)一的實實時警報報監(jiān)視 來自自多個 SeccureeSphheree 安全全層（動動態(tài)”業(yè)務(wù)模模型”、IPSS 等）的實時時警報將將被收集集、按優(yōu)優(yōu)先級排排序并在在一個統(tǒng)統(tǒng)一的視視圖中顯顯示給管管理員。警報通通知可通通過電子子郵件、電話、呼機(jī)和和 SNNMP 消息發(fā)發(fā)送。不不需要連連接到分分布在數(shù)數(shù)據(jù)中心心的各個個設(shè)備。來自多多個網(wǎng)關(guān)關(guān)的日志志

49、數(shù)據(jù)也也將顯示示在單個個視圖中中，并存存儲在單單個 MMX 管管理服務(wù)務(wù)器數(shù)據(jù)據(jù)庫中。警報審計計 來自自多網(wǎng)關(guān)關(guān)的警報報將被收收集并存存儲于單單個 MMX 管管理服務(wù)務(wù)器數(shù)據(jù)據(jù)庫中。若要支支持審計計功能，只需點點擊幾下下鼠標(biāo)就就可以根根據(jù)多種種參數(shù)來來排序和和搜索警警報條目目。即使使是來自自不同 SeccureeSphheree 安全全服務(wù)（IPSS、動態(tài)態(tài)”業(yè)務(wù)模模型”等）的的特定用用戶違規(guī)規(guī)行為（由會話話 IDD 或 IPP 地址址標(biāo)識），也可可以被立立即跟蹤蹤。智能攻擊擊摘要 智能能攻擊摘摘要通過過智能地地將多個個攻擊導(dǎo)導(dǎo)致的一一系列事事件聚合合為一個個需采取取措施的的警報，從而提提高管

50、理理員的工工作效率率。例如如，相關(guān)關(guān)掃描警警報可聚聚合為一一個攻擊擊警報，而不是是成千上上萬個攻攻擊警報報。如今今，快速速有效的的響應(yīng)變變得極為為重要，而這種種高度集集中的信信息能夠夠使管理理員快速速準(zhǔn)確地地了解威威脅聚合合警報保保留了形形成警報報的基本本事件，以便進(jìn)進(jìn)行詳細(xì)細(xì)分析。集中式式策略分分布 多網(wǎng)網(wǎng)關(guān)的動動態(tài)”業(yè)務(wù)模模型”、IPSS 策略略和系統(tǒng)統(tǒng)參數(shù)集集中存儲儲于 MMX 管管理服務(wù)務(wù)器。更更改在服服務(wù)器上上進(jìn)行，通過單單擊可將將這些更更改自動動發(fā)布到到多個網(wǎng)網(wǎng)關(guān)。登錄錯誤誤審計這個策略略的作用用條件為為兩個：記錄登登錄操作作，登錄錄的結(jié)果果為失敗敗的操作作。這個個策略的的主要作作

51、用是記記錄登錄錄失敗的的信息，防止有有人嘗試試破解密密碼，損損害數(shù)據(jù)據(jù)庫安全全。運維安全全系統(tǒng)介介紹“運維安安全審計計系統(tǒng)（HACC）” 目標(biāo)是是為組織織IT系系統(tǒng)核心心服務(wù)器器的運維維操作提提供強(qiáng)有有力的監(jiān)監(jiān)控、審審計手段段，使其其切實滿滿足內(nèi)控控管理中中的合規(guī)規(guī)性要求求。HAC可可對主機(jī)機(jī)、服務(wù)務(wù)器、網(wǎng)網(wǎng)絡(luò)設(shè)備備、安全全設(shè)備等等的管理理維護(hù)進(jìn)進(jìn)行安全全、有效效、直觀觀的操作作審計，對策略略配置、系統(tǒng)維維護(hù)、內(nèi)內(nèi)部訪問問等進(jìn)行行詳細(xì)的的記錄，提供細(xì)細(xì)粒度的的審計，并支持持操作過過程的全全程回放放。HAAC彌補(bǔ)補(bǔ)了傳統(tǒng)統(tǒng)審計系系統(tǒng)的不不足，將將運維審審計由事事件審計計提升為為內(nèi)容審審計，并并將

52、身份份認(rèn)證、授權(quán)、管理、審計有有機(jī)地結(jié)結(jié)合，保保證只有有合法用用戶才能能使用其其擁有運運維權(quán)限限的關(guān)鍵鍵資源。HACC為組織織在ITT操作風(fēng)風(fēng)險控制制、內(nèi)控控安全和和合規(guī)性性等方面面提供一一套完善善、有效效的審計計手段。HAC系系統(tǒng)提供供了靈活活的部署署方式，既可以以采取串串連模式式，也可可以采用用單臂模模式接入入到企業(yè)業(yè)內(nèi)部網(wǎng)網(wǎng)絡(luò)中。采用串串連模式式部署時時，HAAC具備備一定程程度上的的網(wǎng)絡(luò)控制制的功能能，可提提高核心心服務(wù)器器訪問的的安全性性；采用用單臂模模式部署署時，不不改變網(wǎng)網(wǎng)絡(luò)拓?fù)鋼洌惭b裝調(diào)試過過程簡單單，可按按照企業(yè)業(yè)網(wǎng)絡(luò)架架構(gòu)的實實際情況況靈活接接入。無論串連連模式還還是在單

53、單臂模式式，通過過HACC訪問IIT基礎(chǔ)礎(chǔ)服務(wù)資資源的操操作都將將被詳細(xì)細(xì)的記錄錄和存儲儲下來，作為審審計的基基礎(chǔ)數(shù)據(jù)據(jù)。HAAC的部部署不會會對業(yè)務(wù)務(wù)系統(tǒng)、網(wǎng)絡(luò)中中的數(shù)據(jù)據(jù)流向、帶寬等等重要指指標(biāo)產(chǎn)生生負(fù)面影影響，無無需在核核心服務(wù)務(wù)器或操操作客戶戶端上安安裝任何何軟硬件件系統(tǒng)。產(chǎn)品和功功能詳解解數(shù)據(jù)庫產(chǎn)產(chǎn)品和功功能詳解解SecuureSSpheere G88/G116 設(shè)設(shè)備是SSecuureSSpheere系系列業(yè)務(wù)務(wù)監(jiān)控和和防護(hù)引引擎的成成員，它它具備四四個業(yè)務(wù)務(wù)接口，即可以以提供兩兩個在線線監(jiān)控橋橋接組（橋接模模式），或監(jiān)控控四個不不同的業(yè)業(yè)務(wù)網(wǎng)段段（旁路路偵聽模模式）。它的處處理能

54、力力也非常常強(qiáng)大，可以提提供1000,0000到到2000,0000交易易/秒的的處理能能力。它它同時可可以提供供所有SSecuureSSpheere系系列產(chǎn)品品的所有有業(yè)務(wù)功功能，包包括前臺臺Webb應(yīng)用的的保護(hù)，后臺數(shù)數(shù)據(jù)庫的的監(jiān)控和和防護(hù)。并且可可以在一一個平臺臺上同時時提供這這些功能能。SecuureSSpheere系系列（GG8和GG16）主要技技術(shù)參數(shù)數(shù)：技術(shù)參數(shù)數(shù)G8G16吞吐量1Gbpps20000 Mbbps每秒交易易（trranssacttionn）10000002000000延遲低于百萬萬分之一一秒低于百萬萬分之一一秒尺寸1U4U接口類型型電口/光光纖SXX/光纖纖LX電

55、口/光光纖SXX/光纖纖LX在線故障障短接能能力（只只用于橋橋接）是是硬盤250GGB SSATAA；FT模式式：熱切切換2550GBB SAATA熱切換3300GGB SSCSII外部驅(qū)動動CD-RROMCD-RROM標(biāo)準(zhǔn)機(jī)架架19英寸寸機(jī)架19英寸寸機(jī)架重量40lbbs（118公斤斤）90lbbs（441公斤斤）電源500WW；FT模式式：雙工工，熱切切換5220W雙工，熱熱切換114700WAC電壓壓要求100-2400V，550-660HZZ220-2400V，550-660HZZ物理尺寸寸寬：166.933”(4300mm)深；266.466”(6722mm)高：1.7”(43mmm

56、)寬：177.6”(4477mm)深；277.8”(7066mm)高：6.8”(1733mm)操作環(huán)境境5C (411F)到355C (955F)5C (411F)到355C (955F)非操作環(huán)環(huán)境-40C (-440F) 到到 700C (1558F)相對對濕度 95%,非凝結(jié) 35C (955F)-40C (-440F) 到到 700C (1558F)相對對濕度 95%,非凝結(jié) 35C (955F)電磁兼容容性FCC Parrt 115, ICEES-0003, CEE, VVCCIIFCC Parrt 115, ICEES-0003, CEE, VVCCII數(shù)據(jù)庫的的安全防防護(hù)是一一個

57、系統(tǒng)統(tǒng)工程。它的實實施，或或說是生生命周期期包括一一下四個個環(huán)節(jié)：圖 數(shù)據(jù)據(jù)庫及應(yīng)應(yīng)用安全全維護(hù)的的生命周周期數(shù)據(jù)庫的的評估是一個事事前、或或周期性性的工作作，它的的工作內(nèi)內(nèi)容是，對數(shù)據(jù)據(jù)庫的基基礎(chǔ)系統(tǒng)統(tǒng)以及運運行時的的配置進(jìn)進(jìn)行評估估。數(shù)據(jù)據(jù)庫的基基礎(chǔ)系統(tǒng)統(tǒng)包括，操作系系統(tǒng)和數(shù)數(shù)據(jù)庫應(yīng)應(yīng)用程序序，它們們通常會會存在軟軟件的缺缺陷或漏漏洞，容容易被攻攻擊者利利用。而而運行配配置的內(nèi)內(nèi)容則包包括數(shù)據(jù)據(jù)庫系統(tǒng)統(tǒng)在運行行時不同同的用戶戶對數(shù)據(jù)據(jù)庫的系系統(tǒng)和業(yè)業(yè)務(wù)對象象的管理理操作能能力和權(quán)權(quán)限合理的的、好的的配置策策略可以以極大的的限制違違規(guī)操作作和非法法操作發(fā)發(fā)生的可可能性。安全策略略的制定定是安

58、全防防護(hù)的核核心之一一。它的的內(nèi)容是是從安全全角度定定義數(shù)據(jù)據(jù)庫訪問問的權(quán)限限的各個個方面。主要內(nèi)內(nèi)容是，對于用用戶操操作權(quán)限限數(shù)據(jù)據(jù)庫對象象三個屬屬性（還還可以輔輔助以地地址、時時間等）的數(shù)據(jù)據(jù)庫與用用戶、管管理員和和應(yīng)用系系統(tǒng)間交交互的各各種限定定性規(guī)范范的制定定。它可可以包括括正向規(guī)規(guī)則和反反向規(guī)則則兩方面面的內(nèi)容容；同時時以自動動建模的的方式為為主，輔輔以人工工微調(diào)和和優(yōu)化，得到充充分必要要的安全全規(guī)則。基于安全全規(guī)則的的監(jiān)控和和防護(hù)這是在系系統(tǒng)運行行時，對對正在進(jìn)進(jìn)行的業(yè)業(yè)務(wù)和管管理層面面的數(shù)據(jù)據(jù)庫交互互活動進(jìn)進(jìn)行檢測測。對其其中違反反既定的的安全策策略的行行為可以以即時發(fā)發(fā)現(xiàn)，同同

59、時可以以產(chǎn)生報報警、阻阻斷以及及供事后后分析和和審計的的依據(jù)。實時的的監(jiān)控和和防護(hù)可可以第一一時間消消除共計計和違規(guī)規(guī)操作對對系統(tǒng)的的影響。報告和審審計是周期性性的業(yè)務(wù)務(wù)運行狀狀況的總總結(jié)。其其中即包包括對一一段時間間內(nèi)的總總體運行行狀況的的描述，也包括括詳細(xì)的的分項說說明，以以及細(xì)致致到每一一次事務(wù)務(wù)/查詢詢的原始始信息記記錄。不不僅包括括正常業(yè)業(yè)務(wù)運行行狀況，對安全全威脅和和事件也也進(jìn)行特特別重點點和詳細(xì)細(xì)的報告告。報告告和審計計對于企企業(yè)提供供符合專專業(yè)規(guī)范范（如：塞班斯斯）要求求的審計計依據(jù)具具有重大大的意義義，更重重要的是是對數(shù)據(jù)據(jù)庫安全全的整個個維護(hù)和和實施生生命周期期提供了了不斷

60、自自我檢查查，自我我完善的的依據(jù)。以下對上上述數(shù)據(jù)據(jù)庫安全全實施環(huán)環(huán)節(jié)的具具體內(nèi)容容進(jìn)行詳詳細(xì)闡述述。數(shù)據(jù)庫的的安全評評估數(shù)據(jù)庫的的評估主主要采用用兩種技技術(shù)手段段：主動動的漏洞洞掃描評評估和被被動的使使用情況況評估。數(shù)據(jù)庫使使用情況況的評估估要確保數(shù)數(shù)據(jù)庫的的安全，首先要要了解其其使用情情況。SSecuureSSpheere 的“自動建建模”通過檢檢測實時時數(shù)據(jù)庫庫網(wǎng)絡(luò)通通信來生生成使用用情況的的基準(zhǔn)模模型，然然后自動動創(chuàng)建數(shù)數(shù)據(jù)庫安安全策略略。管理員通通過檢查查“業(yè)務(wù)模模型”，可輕輕松掌握握相應(yīng)數(shù)數(shù)據(jù)庫的的使用情情況。這這對于不不太了解解數(shù)據(jù)庫庫技術(shù)的的安全和和檢查團(tuán)團(tuán)隊來說說特別有有用。