數據庫審計產品售后實施培訓

數據庫審計基礎知數據庫審計配置培典型案記錄數據庫操作行為日志的系統(tǒng)從風險的來源來看越越權 a、互聯(lián)網出口數據風外部數據典型特征以web門戶服務器為目標，利用獲取s、提升系在web服務器上安放木馬軟心數據庫，竊取數據；b、數據風以數據典型原因/賬號眾多數據庫工從風險造成的結果來看險和報審計信息篩標準化審計信原始信息和報審計信息篩標準化審計信原始信息收1、旁路分布式部2、虛擬化環(huán)境部安裝

虛擬化集

交換網數據庫審3、公有云環(huán)數據庫審計基礎知數據庫審計配置培典型案二、基本審計配六、排錯平臺使1、硬件端口介2、網絡配3、設備角色配4、分布式部署配5、license導1、硬件面板端口電源指示 流 口(流量鏡像口Console

2、設備網絡配Step1：使用Console口登使用串口線和USB轉接線DB的口和PC的USBPC上超級終端設置Step2：使用用戶名/admin/Dbapp@2013登Step3：選擇1選項，按照提示依次輸入P地址、子網掩碼、網關、DN后，根據提示輸入e確認配置，然后系統(tǒng)自動重啟網卡完成修改。Step1：用一根網線直連admin使用5類線將筆記本直連到的admin子網掩碼Step2：使用用戶名/Step3：接下來同串口線3、設備角色配Step1：使用串口或者管理口進入串口程序，選擇8(設備配置)，Step選擇1可以把設備的改純數據中心的角色選擇2可以把設備改為測器角選擇3可以把設備改為據兼探測器角Step3：以把配置數據中心+探測器為1、選擇3 更改為2、輸入yes34、分布式部署配Step1：先將一臺設備配置好為Step2：然后修改其他的設備身Step3：保證數據中心和探測器Step4:在數據中心上添加對應5、License導1、添加探測2、添加業(yè)務主機3、開啟審計引擎、掛載端4、配置被審計服務5、配置流量鏡6、部分數據庫特殊配SQLserver1、添加探測登陸系統(tǒng)，在探測器配置界面，如下圖所1 2、添加業(yè)務主機選擇相應的探測器，在業(yè)務主機群界面，單擊“添加”，如下圖所示113、開啟審計引擎、掛載端集端口，如下圖所示：4、配置被審計服選擇對應的業(yè)務主機群，點擊“新增物理端口”按鈕，如下圖所示配置完成物理端口后，選擇將要掛載的物理端口，如下圖所示

5、配置流量鏡以cisco為例配置鏡像，其他交換機可能稍微會有些不一樣，具體請查看各個品牌交換機的配置手冊。配置服務器端口流量鏡像一般注意以下幾1、只需要把被審計服務器的物理端口(對外提供服務)的流量鏡像到們審計設備即可，一般不建議把整個交換機的流量都鏡像過來2、鏡像要主要是請求和返回，不能鏡像錯方向，一般建議選擇3、如果是虛擬化環(huán)境，如果DB和web之間的通信都是在虛擬機成的，這種是不支持4、配置交換機鏡像一般建議由客戶方進行配置，避免因為對客網絡不熟悉導致的網絡故障6、其他數據庫審計特殊由于SQLServer2005和2008會話連接過程都是加密，針對用戶名、客戶端工具名、操作系統(tǒng)主機名等是沒法通過旁路進行審計，目前針對這類需求研發(fā)，暫時通過在數據庫審計上配置SQLServer數據庫賬號和，獲取目標數據庫的session信息，以達到對用戶名、客戶端Step1:在SQLserver20051、全局審計策略配2、普通、特征規(guī)則配3、告警通知策略配Syslog、、SNMP、、ftp告警通知配4、規(guī)則白配5、其他策略相關配1、全局審計策略a、全部審計：指系統(tǒng)無條件記錄所有的記b、滿足條件審計：只審計滿足指定策略的記錄2、普通、特征規(guī)則配計滿足指定策略的DB審計規(guī)則配a、新建規(guī)則

DB審計規(guī)則配b、新建Web審計規(guī)則配a、新建規(guī)則b、新建Web審計規(guī)則配

Web審計規(guī)則配Web審計規(guī)則配c、規(guī)則優(yōu)先級配同db審計的規(guī)則優(yōu)先級，同級別排在最前面的優(yōu)先級d、快速加載規(guī)也同db審計規(guī)則快速加a、內置特征庫規(guī)則，同時包含一些常見web特征及b特征的規(guī)則，這些規(guī)則只能禁用和啟用，不能刪除和創(chuàng)建！版本升級的時候會更新特征規(guī)則1

323、告警通知配a、告警通知發(fā)送策略配備。b、告警通知發(fā)送方式配、，其余syslog、snmp、ftp系統(tǒng)自身無需認c、告警通知接配置告警通知接收的目標配置(syslog、snmp、、syslog、snmp、、4、規(guī)則白配作用：屬于具體某個規(guī)則，從告警規(guī)則的大集合中排除一些可能實際是合規(guī)的行為。分類a、DB審計b、Web審計

規(guī)則 列 配

4、規(guī)則白配a、通過風險告警直接生b、在白策略直接配置白

4、規(guī)則白配b、直接配置 4、規(guī)則白配b、直接配置 5、其他規(guī)則策略c、報文過a、指定源IP地址審

Step2:Step3:配置來源IPStep1:指定源IPb、IP過

Step2:Step3:配置IPStep1:IPc、報文過濾：只能從審計記錄中添加報文過濾，不支持手工定制過1、審計數據查2、告警數據查看及處3、報表數據分4、備份恢復數據查1、審計數據查a、通過全文檢索引擎進行檢索滿足條件的審計記錄b、查看審計記錄詳細信

請求sqlc、根據會話查看或回放審計記2、告警數據查看及處a、告警數據查看3、告警數據查看及處b、告警數據處理

Step3:Step4Step Step2:3、報表數據分a、打開系統(tǒng)內置的報表。b、自定義報Step1Step2:新增報 Step3:報表內容定c、報表自動發(fā)1、用戶名、角色及安全配2、數據備份及恢復配3、三層審計配4、堡壘關聯(lián)配5、鏡像參數配6、系統(tǒng)操作日志查7、自動清理配8、業(yè)務數據清除及恢復出廠設1、用戶名、角色及安全c、安全配2、數據備份及恢復配b、手工備份及恢復（針對配置數據3、三層審計配應用賬號 DB賬號select*fromtestwhereid國內少數同時支持Agent旁路學習方式最高支持80%關聯(lián)率，70%-90%支持自定義B/Sa、三層審計自動建模及手工關聯(lián)分4、堡壘關聯(lián)—加密審5、鏡像模式配鏡像模式分：普通、trunk、混合三種，一般情況下如果鏡像流量不高建議直接使用混合，如果流量比較高，最好是按照實際情況配6、系統(tǒng)操作日系統(tǒng)操作日志：也叫自身審計日志，主要是管理員及其他對數庫審計設備的所有記錄7、自動清理配自動清理：系統(tǒng)自動的完成對審計數據進行管理，在這里是需要配動態(tài)管理策略的閾值8、業(yè)務數據清除及恢復出廠設恢復出廠設置：刪除所有配置及審計數據。1、一鍵檢2、鏡像內容分析及抓3、系統(tǒng)配置核4、系統(tǒng)日志查5、服務管6、全文索引管1、一鍵檢