XXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)Imperva技術(shù)建議書(shū)

xxxxxxXXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)Imperva技術(shù)建議書(shū)2011.07 xxxxxxXXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)Imperva技術(shù)建議書(shū)第28頁(yè)目錄1.概述：xxx系統(tǒng)數(shù)據(jù)庫(kù)安全和審計(jì)的重要性 32.xxx數(shù)據(jù)庫(kù)保護(hù)系統(tǒng)建議方案 62.1背景介紹 62.1配置原則 62.2配置說(shuō)明 73.針對(duì)xxxxxxXXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)重要功能的實(shí)現(xiàn) 124系統(tǒng)的管理和報(bào)告功能 205產(chǎn)品和功能詳解 22概述：xxx系統(tǒng)數(shù)據(jù)庫(kù)安全和審計(jì)的重要性隨著計(jì)算機(jī)技術(shù)的飛速發(fā)展，數(shù)據(jù)庫(kù)的應(yīng)用十分廣泛，深入到各個(gè)領(lǐng)域，包括能源行業(yè)的生產(chǎn)領(lǐng)域，比如本建議書(shū)覆蓋的xxxxxx系統(tǒng)，但隨之而來(lái)產(chǎn)生了數(shù)據(jù)的安全問(wèn)題。各種應(yīng)用系統(tǒng)的數(shù)據(jù)庫(kù)中大量數(shù)據(jù)的安全問(wèn)題、敏感數(shù)據(jù)的防竊取和防篡改問(wèn)題，越來(lái)越引起人們的高度重視。數(shù)據(jù)庫(kù)系統(tǒng)作為信息的聚集體，是計(jì)算機(jī)信息系統(tǒng)的核心部件，其安全性至關(guān)重要，關(guān)系到企業(yè)興衰、成敗。因此，如何有效地保證數(shù)據(jù)庫(kù)系統(tǒng)的安全，實(shí)現(xiàn)數(shù)據(jù)的保密性、完整性和有效性，已經(jīng)成為業(yè)界人士探索研究的重要課題之一。由于物聯(lián)網(wǎng)技術(shù)的發(fā)展，包括計(jì)算機(jī)和網(wǎng)絡(luò)的普及和廣泛應(yīng)用，越來(lái)越多的關(guān)鍵業(yè)務(wù)系統(tǒng)運(yùn)行在數(shù)據(jù)庫(kù)平臺(tái)上。數(shù)據(jù)庫(kù)中的數(shù)據(jù)作為企業(yè)的財(cái)富發(fā)揮著越來(lái)越重要的作用，同時(shí)也成為不安定因素的主要目標(biāo)。如何保證數(shù)據(jù)庫(kù)自身的安全，已成為現(xiàn)代數(shù)據(jù)庫(kù)系統(tǒng)的主要評(píng)測(cè)指標(biāo)之一。數(shù)據(jù)庫(kù)是信息技術(shù)的核心和基礎(chǔ)，廣泛應(yīng)用在電信、金融、政府、商業(yè)、企業(yè)等諸多領(lǐng)域，當(dāng)我們說(shuō)現(xiàn)代經(jīng)濟(jì)依賴于計(jì)算機(jī)時(shí)，我們真正的意思是說(shuō)現(xiàn)代經(jīng)濟(jì)依賴于數(shù)據(jù)庫(kù)系統(tǒng)。數(shù)據(jù)庫(kù)中儲(chǔ)存著諸如生產(chǎn)或交易明細(xì)、產(chǎn)品資料等極其重要和敏感的信息。盡管這些系統(tǒng)的數(shù)據(jù)完整性和安全性是相當(dāng)重要的，但對(duì)數(shù)據(jù)庫(kù)采取的安全檢查措施的級(jí)別還比不上操作系統(tǒng)和網(wǎng)絡(luò)的安全檢查措施的級(jí)別。許多因素都可能破壞數(shù)據(jù)的完整性并導(dǎo)致非法訪問(wèn)，這些因素包括復(fù)雜程度、密碼安全性較差、誤配置、未被察覺(jué)的系統(tǒng)后門以及數(shù)據(jù)庫(kù)安全策略的缺失等。任何公司的主要電子數(shù)字資產(chǎn)都存貯在現(xiàn)代的關(guān)系數(shù)據(jù)產(chǎn)品中。商業(yè)機(jī)構(gòu)和政府組織都是利用這些數(shù)據(jù)庫(kù)服務(wù)器得到人事信息，如本次考慮的油氣物聯(lián)網(wǎng)中就有很多關(guān)鍵生產(chǎn)數(shù)據(jù)。因此他們有責(zé)任保護(hù)數(shù)據(jù)的安全和不被非法篡改。數(shù)據(jù)庫(kù)服務(wù)器還存有以前的和將來(lái)的敏感的生產(chǎn)交易數(shù)據(jù)，包括貿(mào)易記錄、商業(yè)合同及帳務(wù)數(shù)據(jù)等。象技術(shù)的所有權(quán)、工程數(shù)據(jù)，甚至市場(chǎng)企劃等決策性的機(jī)密信息，必須對(duì)竟?fàn)幷弑Ｃ?，并阻止非法訪問(wèn)。目前世界上七種主流的關(guān)系型數(shù)據(jù)庫(kù)，諸如Oracle、Sybase、MicrosoftSQLServer、IBMDB2/Informix、MySQL、PostgreSQL服務(wù)器都具有以下特征：用戶帳號(hào)及密碼、校驗(yàn)系統(tǒng)、優(yōu)先級(jí)模型和控制數(shù)據(jù)庫(kù)的特別許可、內(nèi)置命令（存儲(chǔ)過(guò)程、觸發(fā)器等）、唯一的腳本和編程語(yǔ)言（例如PL/SQL、Transaction-SQL）、中間件、網(wǎng)絡(luò)協(xié)議、補(bǔ)丁和服務(wù)包、強(qiáng)有力的數(shù)據(jù)庫(kù)管理實(shí)用程序和開(kāi)發(fā)工具。但是數(shù)據(jù)庫(kù)本身往往缺乏獨(dú)立的第三方的安全管理設(shè)備和解決方案。數(shù)據(jù)庫(kù)服務(wù)器的應(yīng)用相當(dāng)復(fù)雜，掌握起來(lái)非常困難。許多數(shù)據(jù)庫(kù)管理員都忙于管理復(fù)雜的系統(tǒng)，所以很可能沒(méi)有檢查出嚴(yán)重的安全隱患和不當(dāng)?shù)呐渲?，甚至根本沒(méi)有進(jìn)行檢測(cè)。所以，正是由于傳統(tǒng)的安全體系在很大程度上忽略了數(shù)據(jù)庫(kù)安全這一主題，使數(shù)據(jù)庫(kù)專業(yè)人員也通常沒(méi)有把安全問(wèn)題當(dāng)作他們的首要任務(wù)。在安全領(lǐng)域中，類似網(wǎng)頁(yè)被修改、電腦中病毒、木馬、流氓軟件、彈出窗口等所造成的經(jīng)濟(jì)損失微乎其微，而一旦數(shù)據(jù)庫(kù)出現(xiàn)安全風(fēng)險(xiǎn)并被惡意利用所造成的后果幾乎是災(zāi)難性的和不可挽回的。安全是多個(gè)環(huán)節(jié)層層防范、共同配合的結(jié)果。也就是說(shuō)在安全領(lǐng)域不能夠僅靠某一個(gè)環(huán)節(jié)完成所有的安全防范措施。一個(gè)安全的系統(tǒng)需要數(shù)據(jù)庫(kù)的安全、操作系統(tǒng)的安全、網(wǎng)絡(luò)的安全、應(yīng)用系統(tǒng)自身的安全共同完成。數(shù)據(jù)庫(kù)領(lǐng)域的安全措施通常包括：身份識(shí)別和身份驗(yàn)證、自主訪問(wèn)控制和強(qiáng)制訪問(wèn)控制、安全傳輸、系統(tǒng)審計(jì)、數(shù)據(jù)庫(kù)存儲(chǔ)加密等。只有通過(guò)綜合有關(guān)安全的各個(gè)環(huán)節(jié)，才能確保高度安全的系統(tǒng)。不完善的數(shù)據(jù)庫(kù)安全保障設(shè)施不僅會(huì)危及數(shù)據(jù)庫(kù)的安全，還會(huì)影響到服務(wù)器的操作系統(tǒng)和其它信用系統(tǒng)。還有一個(gè)不很明顯的原因說(shuō)明了保證數(shù)據(jù)庫(kù)安全的重要性－數(shù)據(jù)庫(kù)系統(tǒng)自身可能會(huì)提供危及整個(gè)網(wǎng)絡(luò)體系的機(jī)制。例如，某個(gè)公司可能會(huì)用數(shù)據(jù)庫(kù)服務(wù)器保存所有的技術(shù)手冊(cè)、文檔和白皮書(shū)的庫(kù)存清單。數(shù)據(jù)庫(kù)里的這些信息并不是特別重要的，所以它的安全優(yōu)先級(jí)別不高。即使運(yùn)行在安全狀況良好的操作系統(tǒng)中，入侵者也可通過(guò)“擴(kuò)展入駐程序”等強(qiáng)有力的內(nèi)置數(shù)據(jù)庫(kù)特征，利用對(duì)數(shù)據(jù)庫(kù)的訪問(wèn)，獲取對(duì)本地操作系統(tǒng)的訪問(wèn)權(quán)限。這些程序可以發(fā)出管理員級(jí)的命令，訪問(wèn)基本的操作系統(tǒng)及其全部的資源。如果這個(gè)特定的數(shù)據(jù)庫(kù)系統(tǒng)與其它服務(wù)器有信用關(guān)系，那么入侵者就會(huì)危及整個(gè)網(wǎng)絡(luò)域的安全。20世紀(jì)90年代開(kāi)始，各能源企業(yè)展開(kāi)了以計(jì)算機(jī)技術(shù)代替手工業(yè)務(wù)的研究。到了90年代中后期，隨著信息技術(shù)和互聯(lián)網(wǎng)應(yīng)用的發(fā)展，我國(guó)能源行業(yè)已經(jīng)完成了以業(yè)務(wù)核算為核心的信息化發(fā)展歷程，開(kāi)始向管理信息化的方向轉(zhuǎn)型，為今后的生產(chǎn)管理信息化奠定了良好的基礎(chǔ)。生產(chǎn)系統(tǒng)信息化目標(biāo)是實(shí)現(xiàn)生產(chǎn)信息的充分共享。在這種情況下，生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)的重要性就尤為突出。如果數(shù)據(jù)庫(kù)中的數(shù)據(jù)遭到篡改或泄漏，或者被人非法利用，將造成不可估量的損失。由此可見(jiàn)，數(shù)據(jù)庫(kù)安全實(shí)際上是生產(chǎn)系統(tǒng)信息安全的核心，在這種情況下，有必要采用專業(yè)的新型數(shù)據(jù)庫(kù)安全產(chǎn)品，專門對(duì)生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)進(jìn)行保護(hù)。xxx數(shù)據(jù)庫(kù)保護(hù)系統(tǒng)建議方案綜上所述，為了保證xxxxxx數(shù)據(jù)庫(kù)系統(tǒng)的安全，我們建議在物聯(lián)網(wǎng)的生產(chǎn)系統(tǒng)配備專業(yè)的數(shù)據(jù)庫(kù)安全產(chǎn)品，來(lái)保證xxx的核心業(yè)務(wù)數(shù)據(jù)庫(kù)（最重要的生產(chǎn)數(shù)據(jù)庫(kù)）的安全。2.1背景介紹XXX系統(tǒng)為xxx十二五規(guī)劃的重點(diǎn)項(xiàng)目，目的實(shí)現(xiàn)全國(guó)范圍內(nèi)的油氣田的信息化建設(shè)。

XXX系統(tǒng)運(yùn)行于企業(yè)內(nèi)網(wǎng)，計(jì)劃在油田公司級(jí)部署關(guān)系數(shù)據(jù)庫(kù)，該數(shù)據(jù)庫(kù)存儲(chǔ)下層多個(gè)實(shí)時(shí)數(shù)據(jù)庫(kù)的生產(chǎn)采集數(shù)據(jù)。同時(shí)關(guān)系數(shù)據(jù)庫(kù)向WEB服務(wù)器提供數(shù)據(jù)，用于管理平臺(tái)的展示。xxx是把地區(qū)、井場(chǎng)、站庫(kù)等油田生產(chǎn)制造現(xiàn)場(chǎng)為數(shù)據(jù)采集源點(diǎn)；采用自動(dòng)化數(shù)據(jù)采集設(shè)備（比如傳感器），通過(guò)局域光纖網(wǎng)、GPRS/CDMA、微波通訊網(wǎng)等傳輸手段；將地震數(shù)據(jù)、井下測(cè)量的地層和井筒數(shù)據(jù)、井口測(cè)量的設(shè)備運(yùn)行和流體屬性數(shù)據(jù)等海量數(shù)據(jù)實(shí)時(shí)采集進(jìn)入信息管理中心的數(shù)據(jù)倉(cāng)庫(kù)；按照科學(xué)的過(guò)程如數(shù)據(jù)模型進(jìn)行數(shù)據(jù)的組織與管理，在此基礎(chǔ)上通過(guò)大量的業(yè)務(wù)模型進(jìn)行知識(shí)集成，通過(guò)應(yīng)用智能識(shí)別、數(shù)據(jù)融合、移動(dòng)計(jì)算、云計(jì)算等技術(shù)，進(jìn)而支持石油地質(zhì)綜合研究、油藏分析等科學(xué)研究和在線模擬，完成生產(chǎn)實(shí)時(shí)診斷，科學(xué)研究的成果支持油田生產(chǎn)的綜合決策，決策信息反饋到生產(chǎn)制造現(xiàn)場(chǎng)進(jìn)而完成環(huán)境，在這種情況下，生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)的安全性就尤為重要要對(duì)這兩部分的數(shù)據(jù)庫(kù)進(jìn)行防護(hù)，在此建議采用Imperva公司的專業(yè)數(shù)據(jù)庫(kù)安全防護(hù)設(shè)備進(jìn)行數(shù)據(jù)庫(kù)的保護(hù)和審計(jì)。2.1配置原則在為xxxxxx生產(chǎn)系統(tǒng)配置Imperva公司的數(shù)據(jù)庫(kù)安全防護(hù)產(chǎn)品的時(shí)候，遵循一下的配置的基本原則：功能性滿足本項(xiàng)目的實(shí)際需要，尤其是在數(shù)據(jù)庫(kù)安全防護(hù)方面的要求：對(duì)關(guān)系數(shù)據(jù)庫(kù)進(jìn)行防護(hù)，要保證其中數(shù)據(jù)的存儲(chǔ)安全，避免外界的篡改和竊取。

具體需求為：一方面對(duì)外界的非法盜用能夠進(jìn)行監(jiān)控和報(bào)警，；另一方面具有相應(yīng)的防護(hù)措施實(shí)現(xiàn)對(duì)非法操作的阻斷保護(hù)數(shù)據(jù)安全?？梢灾С脂F(xiàn)有應(yīng)用系統(tǒng)，如數(shù)據(jù)庫(kù)類型、本版等處理性能滿足系統(tǒng)的需要對(duì)現(xiàn)有系統(tǒng)的無(wú)影響，包括；IP地址空間、路由規(guī)劃、無(wú)需調(diào)整應(yīng)用系統(tǒng)（如設(shè)置Proxy，安裝軟件等）2.2配置說(shuō)明鑒于以上的配置原則，針對(duì)油氣物聯(lián)網(wǎng)生產(chǎn)系統(tǒng)數(shù)據(jù)庫(kù)保護(hù)項(xiàng)目，由于本身生產(chǎn)系統(tǒng)的系統(tǒng)應(yīng)用比較復(fù)雜，流量比較大，起數(shù)據(jù)庫(kù)在整個(gè)生產(chǎn)當(dāng)中非常重要，因此在每個(gè)分支機(jī)構(gòu)配備Imperva的SecureSphereX2500數(shù)據(jù)庫(kù)安全防護(hù)產(chǎn)品，保護(hù)核心的生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)，數(shù)據(jù)服務(wù)器可以是一臺(tái)，也可以是多臺(tái)，X2500通過(guò)交換機(jī)的鏡像端口獲得數(shù)據(jù)庫(kù)的訪問(wèn)流量，然后進(jìn)行流量的分析處理，實(shí)現(xiàn)包括審計(jì)在內(nèi)的各種安全功能，然后對(duì)非法操作通過(guò)TCPReset進(jìn)行阻攔，整個(gè)拓?fù)浣Y(jié)構(gòu)如下圖所示：SecureSphereX2500提供全面的安全，而不影響數(shù)據(jù)庫(kù)性能或穩(wěn)定性。作為一個(gè)獨(dú)立的網(wǎng)絡(luò)硬件設(shè)備，SecureSphere不消耗數(shù)據(jù)庫(kù)服務(wù)器處理，內(nèi)存或硬盤資源。一個(gè)單一的SecureSphere網(wǎng)關(guān)足夠滿足多個(gè)數(shù)據(jù)庫(kù)服務(wù)器的要求。SecureSphereX2500設(shè)備是SecureSphere系列業(yè)務(wù)監(jiān)控和防護(hù)引擎的成員，它具備5個(gè)業(yè)務(wù)接口（可以擴(kuò)展至9個(gè)），即可以提供4個(gè)在線監(jiān)控橋接組（橋接模式），或監(jiān)控9個(gè)不同的業(yè)務(wù)網(wǎng)段（旁路偵聽(tīng)模式）。它的處理能力也非常強(qiáng)大，SecureSphereX2500提供500Mbps吞吐量，每秒數(shù)萬(wàn)交易量，同時(shí)可以維持微秒級(jí)包延遲。其性能等級(jí)比競(jìng)爭(zhēng)對(duì)手產(chǎn)品好幾個(gè)數(shù)量級(jí)。性能不同主要是由于SecureSphere透明檢查內(nèi)核級(jí)處理結(jié)構(gòu)，其能用低延遲處理更多交易，它同時(shí)可以提供所有SecureSphere系列產(chǎn)品的所有業(yè)務(wù)功能。 對(duì)于數(shù)據(jù)庫(kù)安全防護(hù)網(wǎng)關(guān)，初期的部署方式采用偵聽(tīng)模式，在這種方式下，需要系統(tǒng)配合的工作只是通過(guò)交換機(jī)的端口鏡像，將需要保護(hù)的服務(wù)器的流量導(dǎo)入到數(shù)據(jù)庫(kù)安全保護(hù)網(wǎng)關(guān)引擎的業(yè)務(wù)接口即可。網(wǎng)關(guān)完全處于業(yè)務(wù)通道外，這種部署是對(duì)現(xiàn)有系統(tǒng)影響最小的形式。這種方式可以提供完善的針對(duì)數(shù)據(jù)庫(kù)的審計(jì)功能，并且可以對(duì)非法的訪問(wèn)或違反策略的訪問(wèn)進(jìn)行實(shí)時(shí)的告警，然后對(duì)非法操作通過(guò)TCPReset進(jìn)行阻攔。TCPReset可以中斷非法操作的TCPsession，從而導(dǎo)致非法操作無(wú)法完成。通過(guò)此部署，可以實(shí)現(xiàn)數(shù)據(jù)庫(kù)安全保護(hù)的以下重要的安全功能：智能而自動(dòng)的建立用戶對(duì)數(shù)據(jù)庫(kù)訪問(wèn)的行為模型數(shù)據(jù)庫(kù)安全保護(hù)設(shè)備應(yīng)具有自動(dòng)建立用戶數(shù)據(jù)庫(kù)訪問(wèn)行為模型的能力。自動(dòng)智能建模功能可以自動(dòng)學(xué)習(xí)、并且自動(dòng)適應(yīng)用戶數(shù)據(jù)庫(kù)及應(yīng)用系統(tǒng)的各方面特點(diǎn)，自動(dòng)建立“充分必要”的安全策略。同時(shí)，結(jié)合全面的、精細(xì)的手工定制和調(diào)優(yōu)功能，在最大程度的降低管理工作量的同時(shí)，提供最佳的安全配置。所建立的用戶的行為規(guī)則包括但不限于以下要點(diǎn)：訪問(wèn)源可為每個(gè)用戶自動(dòng)建立訪問(wèn)源信息模型，內(nèi)容包括：源IP地址，源應(yīng)用程序，源操作系統(tǒng)的主機(jī)名和用戶名等。IP地址應(yīng)用程序OS主機(jī)名OS用戶名查詢指令的策略為每個(gè)用戶自動(dòng)建立數(shù)據(jù)庫(kù)訪問(wèn)操作指令的基線，內(nèi)容是所有正常的、允許的SQL操作指令。表的訪問(wèn)和操作權(quán)限為每個(gè)用戶自動(dòng)建立對(duì)數(shù)據(jù)庫(kù)的表進(jìn)行訪問(wèn)及相關(guān)操作的基線，內(nèi)容是所有正常的、允許的對(duì)各個(gè)表的操作權(quán)限?？稍L問(wèn)的數(shù)據(jù)庫(kù)和Schema為每個(gè)用戶自動(dòng)建立對(duì)數(shù)據(jù)庫(kù)和Schema訪問(wèn)的基線，內(nèi)容是可正常訪問(wèn)的數(shù)據(jù)庫(kù)和Schema。用戶訪問(wèn)模型自動(dòng)建立功能分析實(shí)際數(shù)據(jù)庫(kù)流量并使用復(fù)雜的學(xué)習(xí)算法創(chuàng)建每個(gè)訪問(wèn)數(shù)據(jù)庫(kù)的用戶或應(yīng)用的所有合法活動(dòng)分析模型。此模型不僅僅作為后來(lái)審計(jì)評(píng)估使用變化或應(yīng)用行為的基準(zhǔn)，并且是自動(dòng)生成的數(shù)據(jù)庫(kù)使用安全政策，允許信息安全小組不僅僅可以監(jiān)視并審計(jì)使用，而且保護(hù)數(shù)據(jù)庫(kù)免受非法行為。學(xué)習(xí)算法不斷應(yīng)用到實(shí)際流量中以便當(dāng)用戶活動(dòng)隨著時(shí)間發(fā)展時(shí)，有效變化將自動(dòng)重新組織并集成到行為模型中。如果用戶訪問(wèn)數(shù)據(jù)庫(kù)的時(shí)候，行為模型的偏差將自動(dòng)觸發(fā)一個(gè)報(bào)警并可以根據(jù)嚴(yán)重性進(jìn)行阻斷。發(fā)現(xiàn)非法行為的實(shí)時(shí)告警功能這是在系統(tǒng)運(yùn)行時(shí)，對(duì)正在進(jìn)行的業(yè)務(wù)和管理層面的數(shù)據(jù)庫(kù)交互活動(dòng)進(jìn)行檢測(cè)。對(duì)其中違反既定的安全策略的行為可以即時(shí)發(fā)現(xiàn)，同時(shí)可以產(chǎn)生報(bào)警、阻斷以及供事后分析和審計(jì)的依據(jù)。實(shí)時(shí)的監(jiān)控和防護(hù)可以第一時(shí)間消除違規(guī)操作對(duì)系統(tǒng)的影響。設(shè)備具有實(shí)時(shí)告警的功能，針對(duì)非法訪問(wèn)行為和用戶定義的訪問(wèn)行為可以實(shí)時(shí)告警。告警信息可以發(fā)送到SyslogServer,或通過(guò)Email發(fā)出。數(shù)據(jù)庫(kù)保護(hù)這是數(shù)據(jù)庫(kù)安全審計(jì)產(chǎn)品的重要功能，可以實(shí)時(shí)保護(hù)核心核心數(shù)據(jù)庫(kù)免遭各種非法行為和破壞。在數(shù)據(jù)庫(kù)操作所經(jīng)過(guò)的網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用軟件方面，相應(yīng)的安全規(guī)則就是：防火墻、IPS規(guī)則、應(yīng)用協(xié)議保護(hù)；這部分規(guī)則可以是靜態(tài)的，已經(jīng)根據(jù)數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)的要求做了精細(xì)的預(yù)設(shè)，同時(shí)還可以進(jìn)一步的根據(jù)實(shí)際需要進(jìn)行微調(diào)。此功能應(yīng)包括：數(shù)據(jù)庫(kù)應(yīng)用保護(hù)審計(jì)設(shè)備連續(xù)比較數(shù)據(jù)庫(kù)訪問(wèn)模型的真實(shí)用戶操作的差異。來(lái)自分析的重要偏差生成警報(bào)，并且惡意的行為可以根據(jù)策略有選擇性的阻止?？蛻艋呗詫?shí)施除了基于特征文件的安全政策外，管理可以定義任意粒度的客戶政策。例如：管理員可以設(shè)置訪問(wèn)系統(tǒng)對(duì)象的查詢策略，甚至對(duì)包含特定文本模式的查詢。政策偏離可以生成一個(gè)警報(bào)或者迅速阻止活動(dòng)。行為特征代碼分析完成數(shù)據(jù)庫(kù)平臺(tái)保護(hù)應(yīng)該具有(IPS)保護(hù)數(shù)據(jù)庫(kù)基礎(chǔ)設(shè)施免受針對(duì)數(shù)據(jù)庫(kù)平臺(tái)及操作系統(tǒng)軟件中已知漏洞蠕蟲(chóng)及其它攻擊。IPS功能主要通過(guò)檢查數(shù)據(jù)庫(kù)訪問(wèn)是否和特征代碼庫(kù)匹配來(lái)判斷是否會(huì)觸發(fā)數(shù)據(jù)庫(kù)的漏洞。特征代碼庫(kù)要求和國(guó)際安全研究組織同步，并且可以包含自定義的SQL特征。特征代碼要保證可以在線升級(jí)，可以使得系統(tǒng)在第一時(shí)間內(nèi)抵御最新出現(xiàn)的針對(duì)數(shù)據(jù)庫(kù)的非法危害行為以及在數(shù)據(jù)庫(kù)沒(méi)有打補(bǔ)丁的情況下，防止數(shù)據(jù)庫(kù)廠家的安全漏洞造成的危害防火墻層面和SQL協(xié)議層面保護(hù)防火墻層面是在網(wǎng)絡(luò)層面保護(hù)數(shù)據(jù)庫(kù)免受各種網(wǎng)絡(luò)層面的非法操作威脅。同時(shí)對(duì)于上層協(xié)議（SQL的通信）的合法性及濫用的檢測(cè)，對(duì)于數(shù)據(jù)庫(kù)服務(wù)器軟件也非常重要。對(duì)此，審計(jì)設(shè)備應(yīng)該專門提供SQL應(yīng)用協(xié)議檢測(cè)的功能，來(lái)檢測(cè)SQL協(xié)議是否合法或符合標(biāo)準(zhǔn)的規(guī)定。在數(shù)據(jù)庫(kù)保護(hù)層面，對(duì)于非法操作，可以進(jìn)行非常豐富的響應(yīng)動(dòng)作，分為三類：告警響應(yīng)，即時(shí)行動(dòng)，后續(xù)行動(dòng)。即時(shí)行動(dòng)可以將數(shù)據(jù)包丟棄，后續(xù)行動(dòng)就是通過(guò)對(duì)外通信來(lái)通知管理人員有非法行為發(fā)生。數(shù)據(jù)庫(kù)安全評(píng)估功能：對(duì)數(shù)據(jù)庫(kù)的基礎(chǔ)系統(tǒng)以及運(yùn)行時(shí)的配置進(jìn)行評(píng)估。數(shù)據(jù)庫(kù)的基礎(chǔ)系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫(kù)應(yīng)用程序，它們通常會(huì)存在軟件的缺陷或漏洞，容易被攻擊者利用。可以主動(dòng)評(píng)估數(shù)據(jù)庫(kù)的安全狀況，包括是否打了Patch，包括用戶權(quán)限在內(nèi)的各種安全設(shè)置是否合理。但是TCPReset是在發(fā)現(xiàn)非法操作之后發(fā)出的，有少數(shù)的操作是一個(gè)數(shù)據(jù)包就完成了，對(duì)于這種操作，但是因?yàn)榫W(wǎng)關(guān)不在數(shù)據(jù)通路中，無(wú)法對(duì)這一個(gè)包的非法訪問(wèn)阻斷。如果想要對(duì)非法訪問(wèn)實(shí)時(shí)阻斷，可以采用在線部署的方式，這種部署方式下，可以實(shí)時(shí)的阻斷非法的訪問(wèn)，最大限度的保證核心數(shù)據(jù)庫(kù)的安全性，我們可以在未來(lái)的擴(kuò)容中考慮這種方式，其部署拓?fù)淙缦滤荆?.針對(duì)xxxxxxXXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)重要功能的實(shí)現(xiàn)油氣生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)的安全保護(hù)是一個(gè)綜合性的工程，生產(chǎn)系統(tǒng)的數(shù)據(jù)庫(kù)面臨的問(wèn)題也是多方面的：做為解決上述問(wèn)題的數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)，應(yīng)包含一下主要特性：數(shù)據(jù)庫(kù)使用情況評(píng)估—檢查真實(shí)的數(shù)據(jù)庫(kù)網(wǎng)絡(luò)流量以構(gòu)建一個(gè)使用的基準(zhǔn)模型，并自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)安全政策。管理員可以通過(guò)審查分析文件輕松掌握適當(dāng)?shù)臄?shù)據(jù)庫(kù)使用，非常靈活方便的制定數(shù)據(jù)庫(kù)使用著的行為策略。數(shù)據(jù)庫(kù)審計(jì)——SecureSphere采集許多審計(jì)數(shù)據(jù)，并且提供內(nèi)置的報(bào)告功能，可以靈活地滿足內(nèi)部或外部規(guī)定要求。SecureSphere的數(shù)據(jù)庫(kù)審計(jì)包括數(shù)據(jù)庫(kù)活動(dòng)審計(jì)、實(shí)時(shí)告警審計(jì)、用戶基本信息審計(jì)。數(shù)據(jù)庫(kù)保護(hù)——這是SecureSphere對(duì)數(shù)據(jù)庫(kù)實(shí)時(shí)保護(hù)核心功能，包括：數(shù)據(jù)庫(kù)應(yīng)用保護(hù)客戶化策略的實(shí)施數(shù)據(jù)庫(kù)平臺(tái)的保護(hù)識(shí)別復(fù)雜的攻擊（通過(guò)多種手段的聯(lián)動(dòng)）具體到設(shè)備的功能，應(yīng)該具有以下特點(diǎn)：支持各種主流數(shù)據(jù)庫(kù)包括對(duì)各種版本和各種平臺(tái)的Oracle、DB2、Informix、Sybase、MSSQLServer的支持。審計(jì)廠家必須和四大數(shù)據(jù)庫(kù)廠家（Oracle，IBM,Sybase，MicroSoft）是官方認(rèn)可的深層商業(yè)合作伙伴，從而能夠保證審計(jì)結(jié)果的精確性和權(quán)威性設(shè)備的引入不應(yīng)對(duì)正常業(yè)務(wù)和正常的數(shù)據(jù)庫(kù)運(yùn)行造成任何影響，同時(shí)應(yīng)滿足權(quán)限分離的要求，不容許被審計(jì)人員對(duì)審計(jì)功能元進(jìn)行修改和操作。對(duì)數(shù)據(jù)庫(kù)沒(méi)有影響的功能非常有利于部署實(shí)施，設(shè)備的部署不需要對(duì)數(shù)據(jù)庫(kù)進(jìn)行變動(dòng)，或者對(duì)數(shù)據(jù)中心結(jié)構(gòu)的其它方面進(jìn)行變動(dòng)。審計(jì)產(chǎn)品應(yīng)是一個(gè)基于網(wǎng)絡(luò)的應(yīng)用解決方案，不需要數(shù)據(jù)庫(kù)服務(wù)器管理權(quán)限或者安裝主機(jī)軟件。其部署及運(yùn)營(yíng)可能由網(wǎng)絡(luò)安全人員進(jìn)行，而不會(huì)對(duì)數(shù)據(jù)庫(kù)管理資源造成影響。這種方式通過(guò)保持安全功能的獨(dú)立，從而遵守安全實(shí)踐。審計(jì)設(shè)備可以審計(jì)所有針對(duì)數(shù)據(jù)庫(kù)的訪問(wèn)，包括對(duì)數(shù)據(jù)庫(kù)直接連接的訪問(wèn)，以及前臺(tái)應(yīng)用程序?qū)?shù)據(jù)庫(kù)的訪問(wèn)；如果應(yīng)用通過(guò)加密方式訪問(wèn)數(shù)據(jù)庫(kù)，同樣應(yīng)該可以審計(jì)到。審計(jì)功能要求審計(jì)到盡可能詳細(xì)的信息針對(duì)每一條數(shù)據(jù)庫(kù)的訪問(wèn)，審計(jì)記錄要細(xì)致到每一次事務(wù)/查詢的原始信息記錄，應(yīng)該可以記錄所有的關(guān)鍵信息，至少包括以下各個(gè)方面：數(shù)據(jù)庫(kù)服務(wù)器源IP目的IP原始的查詢指令去除具體參數(shù)的查詢指令源應(yīng)用軟件數(shù)據(jù)庫(kù)用戶名訪問(wèn)源操作系統(tǒng)用戶名訪問(wèn)源操作主機(jī)名高級(jí)權(quán)限操作存儲(chǔ)過(guò)程目標(biāo)數(shù)據(jù)庫(kù)和SchemaStreamID操作回應(yīng)內(nèi)容操作返回的錯(cuò)誤代碼操作回應(yīng)的時(shí)間操作回應(yīng)的條目大小如果是前臺(tái)用戶通過(guò)Web利用應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)（BS架構(gòu)下），還應(yīng)可以審計(jì)記錄以下信息：前臺(tái)應(yīng)用程序的用戶名前臺(tái)程序的URLWebSessionIDWeb客戶端IP對(duì)于通過(guò)OracleEBS或SAP等應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)（CS架構(gòu)下），應(yīng)該可以記錄最終前臺(tái)用戶的用戶名為了有效地記錄數(shù)據(jù)庫(kù)訪問(wèn)操作，審計(jì)人員需要盡可能詳細(xì)的審計(jì)記錄信息，詳細(xì)到準(zhǔn)確的查詢和響應(yīng)屬性這一級(jí)別。數(shù)據(jù)庫(kù)審計(jì)記錄必須將所審計(jì)數(shù)據(jù)庫(kù)事務(wù)歸于特定用戶。例如，SOX合規(guī)審計(jì)機(jī)制要求必須記錄對(duì)財(cái)務(wù)報(bào)告數(shù)據(jù)的每個(gè)更改及執(zhí)行此更改的用戶姓名。但是，當(dāng)用戶通過(guò)Web應(yīng)用程序或SAP、OracleE-BusinessSuite等應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)時(shí)，數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)必須可以記錄最終的責(zé)任用戶。支持BindVariable很多基于數(shù)據(jù)庫(kù)的查詢是通過(guò)BindVariable完成的。這就要求審計(jì)系統(tǒng)不光要記錄查詢中BindVariable的變量的名字，還要記錄BindVariable的數(shù)值。舉例來(lái)說(shuō)：一個(gè)包含BindVariable的SQL是：select*fromaaawherename=:who,審計(jì)系統(tǒng)不光把這個(gè)SQL記錄下來(lái)，同時(shí)要記錄:who=jimmy,這樣才是完整的包含BindVariable的審計(jì)結(jié)果。審計(jì)策略可以非常靈活的定義由于對(duì)于實(shí)際的生產(chǎn)系統(tǒng)，需要審計(jì)的數(shù)據(jù)庫(kù)訪問(wèn)量非常大，這就要求有靈活的審計(jì)策略可以定義想要審計(jì)的數(shù)據(jù)庫(kù)操作的內(nèi)容?？梢远x審計(jì)策略的條件應(yīng)該包括以下各個(gè)關(guān)鍵字的條件組合：源IP目的IP原始的查詢指令去除具體參數(shù)的查詢指令源應(yīng)用軟件數(shù)據(jù)庫(kù)用戶名訪問(wèn)源操作系統(tǒng)用戶名訪問(wèn)源操作主機(jī)名高級(jí)權(quán)限操作存儲(chǔ)過(guò)程目標(biāo)數(shù)據(jù)庫(kù)和SchemaStreamID操作回應(yīng)內(nèi)容操作返回的錯(cuò)誤代碼操作回應(yīng)的時(shí)間操作回應(yīng)的條目大小同樣如果是前臺(tái)用戶通過(guò)Web利用應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)（BS架構(gòu)下），或?qū)τ谕ㄟ^(guò)OracleEBS或SAP等應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)（CS架構(gòu)下），還應(yīng)可以根據(jù)前臺(tái)應(yīng)用程序的用戶名來(lái)定義審計(jì)記錄的策略可以定義敏感數(shù)據(jù)表，保護(hù)核心機(jī)密數(shù)據(jù)可將機(jī)密數(shù)據(jù)定義敏感表，任何用戶對(duì)敏感表的非法和違規(guī)訪問(wèn)可以產(chǎn)生特別的報(bào)警審計(jì)結(jié)果的歸檔靈活方便為了提高整個(gè)數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)的擴(kuò)展性，審計(jì)信息可以通過(guò)FTP,SCP等傳輸協(xié)議靈活的歸檔到外部的存儲(chǔ)設(shè)備上，歸檔出來(lái)的數(shù)據(jù)格式應(yīng)該是通用格式（CSV），歸檔可以選擇手動(dòng)及定時(shí)定期的自動(dòng)方式。審計(jì)告警日志對(duì)外的接口審計(jì)結(jié)果告警日志可以通過(guò)Syslog或SNMP協(xié)議和外部的統(tǒng)一審計(jì)平臺(tái)送出數(shù)據(jù)，進(jìn)行互通。審計(jì)結(jié)果可以自動(dòng)生成符合專業(yè)合規(guī)審計(jì)（SOX）要求的審計(jì)報(bào)告高可用性審計(jì)設(shè)備應(yīng)支持高可用性確保最大的正常運(yùn)行時(shí)間及應(yīng)用可用性。審計(jì)設(shè)備應(yīng)具有在設(shè)備故障下應(yīng)該不影響實(shí)際業(yè)務(wù)能力，同時(shí)審計(jì)設(shè)備支持主備配置方式，在合理配置下，可以達(dá)到小于1秒甚至更低的主備切換時(shí)延。保證數(shù)據(jù)庫(kù)的安全和正常運(yùn)行，其中一個(gè)重要的功能是數(shù)據(jù)庫(kù)的審計(jì)功能。這是數(shù)據(jù)庫(kù)周期性的業(yè)務(wù)運(yùn)行狀況的總結(jié)。其中即包括對(duì)一段時(shí)間內(nèi)的總體運(yùn)行狀況的描述，也包括詳細(xì)的分項(xiàng)說(shuō)明，以及細(xì)致到每一次事務(wù)/查詢的原始信息記錄。Imperva的產(chǎn)品可以提供針對(duì)數(shù)據(jù)庫(kù)操作的詳細(xì)審計(jì)，入下圖所示：不僅包括正常業(yè)務(wù)運(yùn)行狀況，對(duì)安全威脅和事件也進(jìn)行特別重點(diǎn)和詳細(xì)的報(bào)告。報(bào)告和審計(jì)對(duì)于企業(yè)提供符合專業(yè)規(guī)范（如：塞班斯）要求的審計(jì)依據(jù)具有重大的意義，更重要的是對(duì)數(shù)據(jù)庫(kù)安全的整個(gè)維護(hù)和實(shí)施生命周期提供了不斷自我檢查，自我完善的依據(jù)。這是在系統(tǒng)運(yùn)行時(shí)，對(duì)正在進(jìn)行的業(yè)務(wù)和管理層面的數(shù)據(jù)庫(kù)交互活動(dòng)進(jìn)行檢測(cè)。對(duì)其中違反既定的安全策略的行為可以即時(shí)發(fā)現(xiàn)，同時(shí)可以產(chǎn)生報(bào)警、阻斷以及供事后分析和審計(jì)的依據(jù)。實(shí)時(shí)的監(jiān)控和防護(hù)可以第一時(shí)間消除共計(jì)和違規(guī)操作對(duì)系統(tǒng)的影響。SecureSphere自動(dòng)處理數(shù)據(jù)庫(kù)安全問(wèn)題的核心是Imperva的”動(dòng)態(tài)建模””技術(shù)。”動(dòng)態(tài)建?！薄弊詣?dòng)檢測(cè)實(shí)時(shí)數(shù)據(jù)庫(kù)通信，然后應(yīng)用復(fù)雜的學(xué)習(xí)算法來(lái)創(chuàng)建包含訪問(wèn)數(shù)據(jù)庫(kù)的每個(gè)用戶和應(yīng)用程序的所有合法活動(dòng)的”業(yè)務(wù)模型”。“業(yè)務(wù)模型”不僅用作以后審計(jì)評(píng)估用戶或應(yīng)用程序行為更改的依據(jù)，而且還是針對(duì)數(shù)據(jù)庫(kù)使用自動(dòng)生成的安全策略，信息安全團(tuán)隊(duì)使用”業(yè)務(wù)模型”不僅能夠監(jiān)視和審計(jì)數(shù)據(jù)庫(kù)使用狀況，而且還可以防止數(shù)據(jù)庫(kù)受到攻擊。SecureSphere學(xué)習(xí)算法不斷應(yīng)用于實(shí)時(shí)通信中，這樣，當(dāng)用戶活動(dòng)隨時(shí)間推移不斷增加時(shí)，有效的更改被自動(dòng)識(shí)別并合并到”業(yè)務(wù)模型”中。如果數(shù)據(jù)庫(kù)行為與”業(yè)務(wù)模型”不同，則會(huì)自動(dòng)觸發(fā)警報(bào)，而且該行為可能會(huì)根據(jù)嚴(yán)重程度被阻止。每個(gè)”業(yè)務(wù)模型”都包括：用戶名、源IP地址、訪問(wèn)的表、針對(duì)每張表所執(zhí)行的SQL操作、查詢、查詢組、源應(yīng)用程序、允許使用的日期和時(shí)間、存儲(chǔ)過(guò)程以及授權(quán)的SQL操作。”動(dòng)態(tài)建?！薄辈粌H適用于直接訪問(wèn)數(shù)據(jù)庫(kù)的用戶，同時(shí)也適用于代表用戶與數(shù)據(jù)庫(kù)進(jìn)行交互的應(yīng)用程序（如，SAP、PeopleSoft）。對(duì)于登錄到數(shù)據(jù)庫(kù)的每個(gè)應(yīng)用程序，SecureSphere都會(huì)自動(dòng)生成為該應(yīng)用程序定制的安全策略。這樣，SecureSphere可為訪問(wèn)數(shù)據(jù)庫(kù)的應(yīng)用程序生成與單獨(dú)數(shù)據(jù)庫(kù)用戶一樣的安全功能。以下部分描述動(dòng)態(tài)配置的每個(gè)元素，以便您深入了解SecureSphere的評(píng)估和策略定義功能。“動(dòng)態(tài)建?！薄弊詣?dòng)創(chuàng)建每個(gè)數(shù)據(jù)庫(kù)的合法用戶列表，以及相關(guān)的數(shù)據(jù)庫(kù)屬性，如訪問(wèn)的數(shù)據(jù)庫(kù)表、每張表的訪問(wèn)類型（如，select、update）、查詢組、查詢以及使用的存儲(chǔ)過(guò)程。這些信息可用作評(píng)估數(shù)據(jù)庫(kù)使用狀況或日后進(jìn)行審計(jì)的基礎(chǔ)，并形成為每個(gè)用戶自動(dòng)生成的基于角色的安全策略。SecureSphere的”動(dòng)態(tài)建模””技術(shù)可自動(dòng)為每個(gè)用戶創(chuàng)建基準(zhǔn)安全策略（”業(yè)務(wù)模型”）。當(dāng)未記錄在”業(yè)務(wù)模型”中的新用戶試圖訪問(wèn)數(shù)據(jù)庫(kù)時(shí)，將記錄一條用于進(jìn)行審計(jì)的警報(bào)，并且根據(jù)策略可能會(huì)阻止該用戶。管理員可手動(dòng)將新用戶添加到允許的用戶列表中，也可以指定應(yīng)拒絕訪問(wèn)數(shù)據(jù)庫(kù)的用戶。SecureSphere還可通過(guò)報(bào)告默認(rèn)數(shù)據(jù)庫(kù)用戶帳戶訪問(wèn)的數(shù)據(jù)庫(kù)和用戶是否“共享”數(shù)據(jù)庫(kù)帳戶來(lái)評(píng)估執(zhí)行操作的是否符合最佳做法。安全管理員可使用此信息來(lái)重新配置數(shù)據(jù)庫(kù)或警告用戶停止進(jìn)行不適當(dāng)?shù)牟僮鳌９芾韱T還可選擇接收警報(bào)或阻止使用默認(rèn)用戶帳戶的方式?！皠?dòng)態(tài)建?！薄睘槊總€(gè)用戶自動(dòng)創(chuàng)建合法的源IP地址列表。這些信息用來(lái)自動(dòng)生成控制每個(gè)用戶的源位置的安全策略。SecureSphere管理員可手動(dòng)在此列表中刪除或添加源IP地址，也可以指定用戶可以從任何源IP地址訪問(wèn)數(shù)據(jù)庫(kù)。如果源IP地址與該基準(zhǔn)不同，則會(huì)生成警報(bào)，并且可根據(jù)策略阻止該訪問(wèn)。還可指定未經(jīng)授權(quán)的網(wǎng)段，并且記錄從這些網(wǎng)段進(jìn)行登錄的嘗試以便進(jìn)行審計(jì)，從這些網(wǎng)段登錄會(huì)生成警報(bào)或被阻止。由于從未經(jīng)授權(quán)的網(wǎng)段或新IP地址登錄的用戶活動(dòng)會(huì)危害登錄憑據(jù)，因此許多組織要求能夠檢查用戶IP地址。例如，CRM應(yīng)用程序所使用的數(shù)據(jù)庫(kù)登錄名可以與帶有已定義IP地址的服務(wù)器池唯一關(guān)聯(lián)?！敖栌谩盋RM登錄名從PC訪問(wèn)數(shù)據(jù)庫(kù)的人可標(biāo)識(shí)為非法用戶，并被立刻阻止。審計(jì)報(bào)告可包括有關(guān)基準(zhǔn)IP地址、使用的新IP地址以及從未經(jīng)授權(quán)的網(wǎng)段進(jìn)行連接的信息。生成源應(yīng)用程序”業(yè)務(wù)模型”可有效防止濫用應(yīng)用程序的用戶帳戶。如果惡意用戶可訪問(wèn)某個(gè)應(yīng)用程序（如，java應(yīng)用程序或CRM或ERP包）所用的憑據(jù)，則此用戶就可以使用此登錄信息通過(guò)標(biāo)準(zhǔn)查詢工具（如MicrosoftSQLQueryAnalyzer或Excel）或?qū)Ｓ脭?shù)據(jù)庫(kù)黑客工具訪問(wèn)數(shù)據(jù)庫(kù)。對(duì)于每位數(shù)據(jù)庫(kù)用戶，SecureSphere可記錄其用于訪問(wèn)數(shù)據(jù)庫(kù)的源應(yīng)用程序。SecureSphere管理員可手動(dòng)在此列表中刪除或添加源應(yīng)用程序，也可以指定用戶可以使用任何應(yīng)用程序訪問(wèn)數(shù)據(jù)庫(kù)。當(dāng)未在”業(yè)務(wù)模型”中記錄的源應(yīng)用程序嘗試訪問(wèn)數(shù)據(jù)庫(kù)時(shí)，將記錄一條用于進(jìn)行審計(jì)的警報(bào)，并且根據(jù)策略可能會(huì)阻止該查詢。SecureSphere管理員可限制允許單個(gè)用戶連接到數(shù)據(jù)庫(kù)的時(shí)間（按天）和天（按周）。如果用戶在未經(jīng)授權(quán)時(shí)間嘗試連接數(shù)據(jù)庫(kù)，將記錄一條用于進(jìn)行審計(jì)的警報(bào)，并且根據(jù)策略可能會(huì)阻止該訪問(wèn)。SecureSphere可對(duì)預(yù)定義的“授權(quán)操作”進(jìn)行特定的策略和審計(jì)控制。授權(quán)操作列表包括各種敏感數(shù)據(jù)庫(kù)操作（如，刪除表、關(guān)閉、刪除等）。默認(rèn)情況下，這些操作都會(huì)生成警報(bào)。但是，安全管理人員可為特定的用戶（通常為數(shù)據(jù)庫(kù)管理員）創(chuàng)建允許的授權(quán)操作列表。審計(jì)報(bào)告詳細(xì)記錄了每位用戶進(jìn)行授權(quán)操作的所有情況，以及所有與”業(yè)務(wù)模型”不匹配的授權(quán)操作xxxxxxXXX數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)Imperva技術(shù)建議書(shū)“動(dòng)態(tài)建模””自動(dòng)創(chuàng)建每位用戶的合法存儲(chǔ)過(guò)程基準(zhǔn)。同樣，管理員也可以在安全策略中定義各個(gè)存儲(chǔ)過(guò)程，指定可使用的存儲(chǔ)過(guò)程、應(yīng)生成警報(bào)的存儲(chǔ)過(guò)程或?qū)⒈蛔柚沟拇鎯?chǔ)過(guò)程。審計(jì)報(bào)告可記錄所有存儲(chǔ)過(guò)程的使用情況、特定默認(rèn)存儲(chǔ)過(guò)程或危險(xiǎn)存儲(chǔ)過(guò)程的使用情況，以及不符合”業(yè)務(wù)模型”的存儲(chǔ)過(guò)程的使用情況。4系統(tǒng)的管理和報(bào)告功能SecureSphere提供全分布式的三級(jí)網(wǎng)管架構(gòu)，包括：第一層—業(yè)務(wù)探測(cè)和實(shí)施引擎，第二層—MX網(wǎng)管服務(wù)器，第三層—操作控制臺(tái)。這種結(jié)構(gòu)對(duì)于在xxx生產(chǎn)系統(tǒng)數(shù)據(jù)庫(kù)保護(hù)這樣的大型網(wǎng)絡(luò)系統(tǒng)中部署統(tǒng)一的安全策略具有至關(guān)重要的意義。在初期部署的時(shí)候，我們可以啟用網(wǎng)關(guān)上面的管理功能，當(dāng)網(wǎng)關(guān)逐漸增多后，我們可以采用單獨(dú)的管理器MX對(duì)所有的網(wǎng)關(guān)進(jìn)行統(tǒng)一的管理。SecureSphere的管理功能的主要特點(diǎn)包括：圖形報(bào)告-完整的CrystalReports?包和與ODBC兼容的數(shù)據(jù)庫(kù)訪問(wèn)支持預(yù)配置報(bào)告和自定義報(bào)告。預(yù)配置報(bào)告使性能、合規(guī)性、安全警報(bào)及使用情況的異常情況一目了然。 SecureSphere在整個(gè)企業(yè)內(nèi)提供統(tǒng)一的報(bào)告。統(tǒng)一的實(shí)時(shí)警報(bào)監(jiān)視–來(lái)自多個(gè)SecureSphere安全層（動(dòng)態(tài)”業(yè)務(wù)模型”、IPS等）的實(shí)時(shí)警報(bào)將被收集、按優(yōu)先級(jí)排序并在一個(gè)統(tǒng)一的視圖中顯示給管理員。警報(bào)通知可通過(guò)電子郵件、電話、呼機(jī)和SNMP消息發(fā)送。不需要連接到分布在數(shù)據(jù)中心的各個(gè)設(shè)備。來(lái)自多個(gè)網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個(gè)視圖中，并存儲(chǔ)在單個(gè)MX管理服務(wù)器數(shù)據(jù)庫(kù)中。警報(bào)審計(jì)–來(lái)自多網(wǎng)關(guān)的警報(bào)將被收集并存儲(chǔ)于單個(gè)MX管理服務(wù)器數(shù)據(jù)庫(kù)中。若要支持審計(jì)功能，只需點(diǎn)擊幾下鼠標(biāo)就可以根據(jù)多種參數(shù)來(lái)排序和搜索警報(bào)條目。即使是來(lái)自不同SecureSphere安全服務(wù)（IPS、動(dòng)態(tài)”業(yè)務(wù)模型”等）的特定用戶違規(guī)行為（由會(huì)話ID或IP地址標(biāo)識(shí)），也可以被立即跟蹤。智能攻擊摘要–智能攻擊摘要通過(guò)智能地將多個(gè)攻擊導(dǎo)致的一系列事件聚合為一個(gè)需采取措施的警報(bào)，從而提高管理員的工作效率。例如，相關(guān)掃描警報(bào)可聚合為一個(gè)攻擊警報(bào)，而不是成千上萬(wàn)個(gè)攻擊警報(bào)。如今，快速有效的響應(yīng)變得極為重要，而這種高度集中的信息能夠使管理員快速準(zhǔn)確地了解威脅聚合警報(bào)保留了形成警報(bào)的基本事件，以便進(jìn)行詳細(xì)分析。?MX管理服務(wù)器。更改在服務(wù)器上進(jìn)行，通過(guò)單擊可將這些更改自動(dòng)發(fā)布到多個(gè)網(wǎng)關(guān)。5產(chǎn)品和功能詳解SecureSphereX2500設(shè)備是SecureSphere系列業(yè)務(wù)監(jiān)控和防護(hù)引擎的成員，它具備最多9個(gè)業(yè)務(wù)接口，即可以提供4個(gè)在線監(jiān)控橋接組（橋接模式），或監(jiān)控9個(gè)不同的業(yè)務(wù)網(wǎng)段（旁路偵聽(tīng)模式）。它的處理能力也非常強(qiáng)大，可以提供500Mbps數(shù)據(jù)庫(kù)的處理能力。它同時(shí)可以提供所有SecureSphere系列產(chǎn)品的所有業(yè)務(wù)功能，包括前臺(tái)Web應(yīng)用的保護(hù)，后臺(tái)數(shù)據(jù)庫(kù)的監(jiān)控和防護(hù)。并且可以在一個(gè)平臺(tái)上同時(shí)提供這些功能。SecureSphere系列（X2500）主要技術(shù)參數(shù)：技術(shù)參數(shù)X2500吞吐量500Mbps延遲低于百萬(wàn)分之一秒尺寸1U接口缺省6*10/100/1000Mbps（最多10個(gè)）(最大4光纖接口)接口類型電口/光纖SX/光纖LX最大橋接網(wǎng)段/監(jiān)聽(tīng)網(wǎng)段4/9在線故障短接能力（只用于橋接）是硬盤500GBSATA；兩個(gè)SATARAID1外部驅(qū)動(dòng)CD-ROM標(biāo)準(zhǔn)機(jī)架19英寸機(jī)架重量40lbs（18公斤）電源500W；FT模式：雙工，熱切換520WAC電壓要求100-240V，50-60HZ物理尺寸寬：16.93”(430mm深；26.46”(672mm高：1.7”(43mm操作環(huán)境5°C(41°F)到非操作環(huán)境-40°C(-40°F)到70°非凝結(jié)35°C(電磁兼容性數(shù)據(jù)庫(kù)的安全防護(hù)是一個(gè)系統(tǒng)工程。它的實(shí)施，或說(shuō)是生命周期包括一下四個(gè)環(huán)節(jié)：圖數(shù)據(jù)庫(kù)及應(yīng)用安全維護(hù)的生命周期數(shù)據(jù)庫(kù)的評(píng)估是一個(gè)事前、或周期性的工作，它的工作內(nèi)容是，對(duì)數(shù)據(jù)庫(kù)的基礎(chǔ)系統(tǒng)以及運(yùn)行時(shí)的配置進(jìn)行評(píng)估。數(shù)據(jù)庫(kù)的基礎(chǔ)系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫(kù)應(yīng)用程序，它們通常會(huì)存在軟件的缺陷或漏洞，容易被攻擊者利用。而運(yùn)行配置的內(nèi)容則包括數(shù)據(jù)庫(kù)系統(tǒng)在運(yùn)行時(shí)不同的用戶對(duì)數(shù)據(jù)庫(kù)的系統(tǒng)和業(yè)務(wù)對(duì)象的管理操作能力和權(quán)限——合理的、好的配置策略可以極大的限制違規(guī)操作和非法操作發(fā)生的可能性。安全策略的制定是安全防護(hù)的核心之一。它的內(nèi)容是從安全角度定義數(shù)據(jù)庫(kù)訪問(wèn)的權(quán)限的各個(gè)方面。主要內(nèi)容是，對(duì)于用戶－操作權(quán)限－數(shù)據(jù)庫(kù)對(duì)象三個(gè)屬性（還可以輔助以地址、時(shí)間等）的數(shù)據(jù)庫(kù)與用戶、管理員和應(yīng)用系統(tǒng)間交互的各種限定性規(guī)范的制定。它可以包括正向規(guī)則和反向規(guī)則兩方面的內(nèi)容；同時(shí)以自動(dòng)建模的方式為主，輔以人工微調(diào)和優(yōu)化，得到充分必要的安全規(guī)則?；诎踩?guī)則的監(jiān)控和防護(hù)。這是在系統(tǒng)運(yùn)行時(shí)，對(duì)正在進(jìn)行的業(yè)務(wù)和管理層面的數(shù)據(jù)庫(kù)交互活動(dòng)進(jìn)行檢測(cè)。對(duì)其中違反既定的安全策略的行為可以即時(shí)發(fā)現(xiàn)，同時(shí)可以產(chǎn)生報(bào)警、阻斷以及供事后分析和審計(jì)的依據(jù)。實(shí)時(shí)的監(jiān)控和防護(hù)可以第一時(shí)間消除共計(jì)和違規(guī)操作對(duì)系統(tǒng)的影響。報(bào)告和審計(jì)是周期性的業(yè)務(wù)運(yùn)行狀況的總結(jié)。其中即包括對(duì)一段時(shí)間內(nèi)的總體運(yùn)行狀況的描述，也包括詳細(xì)的分項(xiàng)說(shuō)明，以及細(xì)致到每一次事務(wù)/查詢的原始信息記錄。不僅包括正常業(yè)務(wù)運(yùn)行狀況，對(duì)安全威脅和事件也進(jìn)行特別重點(diǎn)和詳細(xì)的報(bào)告。報(bào)告和審計(jì)對(duì)于企業(yè)提供符合專業(yè)規(guī)范（如：塞班斯）要求的審計(jì)依據(jù)具有重大的意義，更重要的是對(duì)數(shù)據(jù)庫(kù)安全的整個(gè)維護(hù)和實(shí)施生命周期提供了不斷自我檢查，自我完善的依據(jù)。以下對(duì)上述數(shù)據(jù)庫(kù)安全實(shí)施環(huán)節(jié)的具體內(nèi)容進(jìn)行詳細(xì)闡述。數(shù)據(jù)庫(kù)的安全評(píng)估數(shù)據(jù)庫(kù)的評(píng)估主要采用兩種技術(shù)手段：主動(dòng)的漏洞掃描評(píng)估和被動(dòng)的使用情況評(píng)估。要確保數(shù)據(jù)庫(kù)的安全，首先要了解其使用情況。SecureSphere的“自動(dòng)建?！蓖ㄟ^(guò)檢測(cè)實(shí)時(shí)數(shù)據(jù)庫(kù)網(wǎng)絡(luò)通信來(lái)生成使用情況的基準(zhǔn)模型，然后自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)安全策略。管理員通過(guò)檢查”業(yè)務(wù)模型”，可輕松掌握相應(yīng)數(shù)據(jù)庫(kù)的使用情況。這對(duì)于不太了解數(shù)據(jù)庫(kù)技術(shù)的安全和檢查團(tuán)隊(duì)來(lái)說(shuō)特別有用。Imperva的基于角色的管理支持“只讀”訪問(wèn)權(quán)限，以便需要評(píng)估使用情況的用戶（非SecureSphere管理員）可訪問(wèn)此類重要信息。必要時(shí)，具有管理特權(quán)的管理員可修改”業(yè)務(wù)模型”制定的策略，以使其符合企業(yè)安全策略或規(guī)章制度。例如，查詢組就是”業(yè)務(wù)模型”中一個(gè)功能強(qiáng)大、表達(dá)簡(jiǎn)練的概念，它用于建立合法業(yè)務(wù)活動(dòng)模型。查詢組在“自動(dòng)建模”中表示為對(duì)數(shù)據(jù)庫(kù)表和表的操作（如Table1,Select和Table2,Update）。這些查詢組是基于SecureSphere“自動(dòng)建?！彼惴ǎ瑥奶囟〝?shù)據(jù)庫(kù)用戶的查詢中派生的。SecureSphere除了提供數(shù)據(jù)庫(kù)使用情況的微觀細(xì)節(jié)外，還提供數(shù)據(jù)庫(kù)使用潛在漏洞的詳細(xì)情況。許多漏洞都與特定的數(shù)據(jù)庫(kù)部署或使用情況相關(guān)，只有在數(shù)據(jù)庫(kù)投入使用后，通過(guò)觀察實(shí)時(shí)數(shù)據(jù)庫(kù)用戶活動(dòng)，這些漏洞才會(huì)顯現(xiàn)出來(lái)。SecureSphere的“數(shù)據(jù)庫(kù)漏洞業(yè)務(wù)模型”提供一種連續(xù)、一致、全面的方法，來(lái)確定由于與最佳做法相左而產(chǎn)生的安全漏洞和風(fēng)險(xiǎn)。它還可以找出由于生產(chǎn)環(huán)境的配置復(fù)雜性而產(chǎn)生的安全漏洞。例如，SecureSphere可確定對(duì)默認(rèn)存儲(chǔ)過(guò)程、默認(rèn)用戶帳戶和系統(tǒng)對(duì)象的非管理性訪問(wèn)，所有這些操作都與數(shù)據(jù)庫(kù)安全的最佳做法相沖突。SecureSphere的“漏洞”業(yè)務(wù)模型””很容易確定其他漏洞工具無(wú)法檢測(cè)到的數(shù)據(jù)庫(kù)漏洞，這使其成為傳統(tǒng)滲透測(cè)試和漏洞掃描工具的有益補(bǔ)充。SecureSphere的“漏洞模型”報(bào)告的幾個(gè)示例如下所示：數(shù)據(jù)庫(kù)默認(rèn)數(shù)據(jù)包和存儲(chǔ)過(guò)程評(píng)估重點(diǎn)評(píng)估非管理用戶使用默認(rèn)存儲(chǔ)過(guò)程的情況。最佳做法通常建議非管理用戶不要使用默認(rèn)存儲(chǔ)過(guò)程。數(shù)據(jù)庫(kù)用戶評(píng)估列出最佳做法通常建議非管理用戶不要使用的活動(dòng)默認(rèn)數(shù)據(jù)庫(kù)帳戶。數(shù)據(jù)庫(kù)系統(tǒng)對(duì)象訪問(wèn)評(píng)估-此報(bào)告列出訪問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)對(duì)象的非管理用戶。默認(rèn)情況下，這些對(duì)象對(duì)于任何用戶都是可訪問(wèn)的。不過(guò)，大多數(shù)系統(tǒng)對(duì)象包含有非管理用戶不應(yīng)使用的信息。數(shù)據(jù)庫(kù)的安全策略制定、部署、監(jiān)控和防護(hù)Imperva的數(shù)據(jù)庫(kù)安全策略包括許多層次。數(shù)據(jù)庫(kù)基礎(chǔ)設(shè)施的安全策略針對(duì)數(shù)據(jù)庫(kù)的基礎(chǔ)設(shè)施——網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用軟件方面，相應(yīng)的安全規(guī)則就是：防火墻、IPS規(guī)則、應(yīng)用協(xié)議保護(hù)；這部分規(guī)則可以是靜態(tài)的，已經(jīng)根據(jù)數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)的要求做了精細(xì)的預(yù)設(shè)，同時(shí)還可以進(jìn)一步的根據(jù)實(shí)際需要進(jìn)行微調(diào)。此外，對(duì)上層協(xié)議（SQL的通信）的合法性及濫用的檢測(cè)，對(duì)于數(shù)據(jù)庫(kù)服務(wù)器軟件也非常重要。對(duì)此，專門提供了應(yīng)用協(xié)議檢測(cè)的功能?！皠?dòng)態(tài)建?！薄弊詣?dòng)創(chuàng)建每位用戶的合法查詢組和特定查詢基準(zhǔn)。這使安全管理人員可以制定針對(duì)單個(gè)用戶的查詢級(jí)別安全策略。查詢組所提供的查詢級(jí)別策略比手動(dòng)創(chuàng)建的策略更有效，更精確，更便于維護(hù)，而且比某些產(chǎn)品提供的基于角色的“通用”查詢策略更精細(xì)。畢竟，并不是每個(gè)人都完全符合角色的定義。相同角色的不同用戶，其查詢行為可能有很大的不同，而這些不同對(duì)于建立強(qiáng)大的安全策略至關(guān)重要。現(xiàn)有數(shù)據(jù)庫(kù)活動(dòng)監(jiān)視產(chǎn)品的主要缺點(diǎn)是不能對(duì)其生成的大量數(shù)據(jù)進(jìn)行深入分析。大多數(shù)解決方案無(wú)法區(qū)分用戶活動(dòng)的正常變化和重要的攻擊信號(hào)。那些聲稱能夠提供精確攻擊警報(bào)的產(chǎn)品需要不斷地進(jìn)行調(diào)整，因此很難提供可靠的警報(bào)。為此大多數(shù)解決方案只記錄下數(shù)據(jù)庫(kù)活動(dòng)，以進(jìn)行審計(jì)。SecureSphere”動(dòng)態(tài)建模””的“查詢組”組件通過(guò)自動(dòng)標(biāo)識(shí)每位用戶的一致行為模式，來(lái)解決這一問(wèn)題。通過(guò)將所有新查詢與此前為每位用戶建立的模式進(jìn)行比較，SecureSphere能夠區(qū)分出攻擊行為和無(wú)害的用戶行為變化。查詢組在”動(dòng)態(tài)建模””中表示為數(shù)據(jù)庫(kù)表和表操作對(duì)（如Table1,Select和Table2,Update）。這些信息是基于SecureSphere”動(dòng)態(tài)建?！薄彼惴?，從特定數(shù)據(jù)庫(kù)用戶的查詢中派生的。與查詢組(Accounts,Select)(Sales,Select)匹配的每個(gè)新查詢都被添加到”業(yè)務(wù)模型”中，以進(jìn)行審計(jì)。在動(dòng)態(tài)查詢組情況下，新的查詢不屬于異常事件，不會(huì)生成重復(fù)的警報(bào)。但是，當(dāng)財(cái)務(wù)分析員突然試圖通過(guò)UPDATE操作修改銷售表時(shí)，SecureSphere將此查詢識(shí)別為不屬于他的查詢組，并相應(yīng)地發(fā)出警報(bào)。除了”動(dòng)態(tài)建模””所提供的自動(dòng)策略定義外，SecureSphere還允許安全管理員定義特定的策略，以便基于SQL查詢的特定屬性來(lái)生成警報(bào)和阻止通信。自定義策略規(guī)則以手動(dòng)方式來(lái)配置，用于執(zhí)行通過(guò)”業(yè)務(wù)模型”和協(xié)議沖突規(guī)則不能或不便實(shí)現(xiàn)的操作。當(dāng)SQL查詢與某個(gè)自定義策略規(guī)則匹配時(shí)，將記錄一條用于進(jìn)行審計(jì)的警報(bào)，并且可根據(jù)該自定義策略規(guī)則的策略阻止該查詢。自定義策略規(guī)則可以是以下屬性的組合：源IP地址：發(fā)出查詢的源IP地址。表：出現(xiàn)在查詢中的數(shù)據(jù)庫(kù)表的名稱。操作：出現(xiàn)在查詢中的數(shù)據(jù)庫(kù)操作（如Select或Update）。應(yīng)用程序：用于生成