1.数据库安全概述

1.1数据泄密事件时有发生

近年来，互联网和移动互联网发展十分迅速，互联网和人们的生活结合日益紧密，社会逐步进入了智能时代和数据时代。大量的数据在各种网络上被存储和处理，其中包含大量有价值的敏感数据。随之而来的是，信息系统安全事件出现了新的特征。其中一个特征是攻击不再以摧毁和破坏信息系统为主要目的，取而代之的是以获取敏感数据为主要目的。例如近发生在国内的具有代表性的数据泄漏事件：联通用户数据泄漏、淘宝数据泄漏、锦江之星等十大酒店开房信息泄漏、社保系统信息泄漏、网易邮箱信息泄漏、机锋网用户数据泄漏、人寿广东用户数据泄漏、以及微信后门、CSDN、多玩、、天涯、人人网、、网易土木在线、梦幻西游、新浪微博、麒麟网、某婚恋网站等企业的数据泄漏。而国家之间的数据窃取问题也日益突出，棱镜门是一个典型的案例。

攻击者为了获取敏感数据，相应的也产生了许多新型的攻击手段，比如SQL注入攻击，APT（持续攻击）等。这对新时代的数据安全管理提出了新的挑战。而信息安全也相应的进入了数据安全时代。

从以上的数据泄密事件可以看出，主要的泄密数据是结构化数据，而结构化数据主要通过数据库来保存和接受查询，其安全防护问题十分重要。据Verizon公布的数据侵犯调查报告显示，92%的泄漏记录来自于数据库泄密。所以数据库的安全问题成了数据安全管理的核心问题。

1.2法规要求

面对日益严重的数据泄漏问题，我国信息安全重要性被到的高度。中央政策加码，《网络安全法》正式出台，以及一系列的法律法规和机构集中颁布和成立，都对未来数据安全工作提出了更高的标准和要求。

另外，一些行业性的法规和标准也陆续被推出和执行，例如：《计算机信息系统安全保护等级划分准则》、《数据库管理系统安全技术要求》、《涉及国家秘密的信息系统分级保护技术要求》、《涉及国家秘密的信息系统分级保护管理规范》、《人民解放军计算机信息系统安全保密规定》、《塞班斯法案(SOX)》、《信用卡标准 (PCI)》，以及电力SG168、卫生部防统方、互联网金融安全基本法、央企商业机密保护条例。

这些法规和标准中，对结构化数据和数据库的保护提出了明确的要求和相应实践的标准。

1.3数据库泄密风险分析

在信息安全产品门类众多的，数据泄漏问题仍然屡屡发生，其根本原因有：

原因一：数据库端防护被忽视。从用户终端到应用服务器部署的防护措施众多，但是部署在应用服务器以后的防护措施较少。而应用服务器后面的数据库服务器存储着敏感数据，且内部的管理人员、开发人员能够比较容易的接触到这些数据。这容易导致数据在这一段被侵犯，比如丢失和篡改。据Verizon的统计，70%左右的数据泄漏事件，来自于这一段。

原因二：业务/数据层安全防护手段缺失。在TCP/IP网络通信协议的1-7层（应用层及以下）部署较多的安全防护措施，在应用层以上的业务和数据层（第8层）部署的安全防护措施不足。据OWASP发布的十大Web应用安全漏洞中，业务和数据层的XSS攻击和SQL注入攻击前两位。而SQL注入攻击可以获取敏感数据，对系统的破坏性更直接更大。虽然WAF/NGFW可以在一定程度上阻止SQL注入行为的发生，但是SQL注入仍然可以绕过WAF/NGFW。简单绕过方式的比如内部人员在WAF/NGFW后进行SQL注入，从而获取数据。

原因三：数据库自身安全性较低。国内市场上主流的商业数据库，尤其是进口数据库，大都是安全级别在C2级别的数据库，只具有基本的防护能力，并且还存在较多的软件漏洞。这些特征导致数据库容易受到攻击。

业务/数据层安全防护手段缺失的后果表现为针对数据库的泄密风险。据Gartener的调查结果，数据库的10大泄密风险为：

1、越权权限的滥用	2、合法权限滥用
3、权限盗用	4、数据库平台漏洞
5、SQL注入、缓冲区溢出风险	6、弱鉴权机制
7、备份数据缺乏保护	8、缺乏详尽审计
9、拒绝服务攻击	10、数据库通信协议漏洞

1.4数据库安全需求分析

鉴于现实存在的数据泄漏风险和相关的法规标准要求，建恒对企业（数据所有者或者管理者）将数据库安全的真实需求概括为三点：

需求一：数据活动可视。实时显示企业敏感数据的分布情况、访问情况、风险状况，及时发现数据的异常活动状况和风险。这是数据库安全基本的要求。

需求二：数据安全可控。即通过控制数据的活动和访问，数据的安全。具体的，可控包括两个方面。

其一：防泄漏。即防止数据库中的敏感信息部分或全部被偷窥，被拖库或者镜像；

其二：防篡改。即防止数据库中的敏感信息被非法修改或者删除。

需求三：数据安全合规。帮助企业通过各种安全保密检查和测评。比如等保、分保测评，或者行业法规标准的检查。

1.5应对方法解析

针对上述风险和需求分析，建恒的应对方案可以概括为：

加强运维人员的强身份认证机制，采用WEB登录身份认证、扩展第三方令牌、UKEY身份认证等认证方式，将运维操作精确到自然人，避免多人共用账号导致的权限不清、责任不明等安全隐患。

对数据库运维操作进行全程管控，对违规操作进行命令级或会话级实时阻断。

及时发现数据的高危操作、异常操作和安全风险，对管理员进行告警；

数据库运维操作与业务操作分别记录实现全面审计，对数据的访问和活动情况进行位的监控和记录，便于事后审计和追查；

输出可视化的报表，便于分析;

2.产品概述

建恒信安数据库审计与管控系统通过协议代理和交换机旁路镜像的方式，对运维账号提供单点登录的入口，全程对所有数据库运维操作进行管控，发现违规操作及时阻断，同时记录网络中一切对数据库的访问行为。经过对访问数据的分析、过滤和解析记录用户访问数据库所做的所有操作以及返回的结果，形成审计日志。便于事后查询与追责。

3.产品特点

3.1 运维操作管控

通过设置安全策略，对运维操作的开始时间和结束时间进行管控；

通过设置安全策略，对运维操作的终端IP或IP范围进行限定；

通过设置安全策略，对运维操作的命令进行命令阻断或会话阻断。

3.2 运维单点登录SSO

一键式快速登录，运维人员将目标数据库的登录配置信息保存后，即可支持一键快速登录目标数据库。

支持运维用户登录目标数据库代填账号密码。

3.3全面的数据库操作审计

业务数据与运维数据分别审计，突出对高危运维人员的重点审计，实现全面审计。

支持运维会话审计，同时支持运维操作的语句操作回放。

3.4 全面的账号管理机制

主账号支持分组管理，分组可以采用树形方式展现，不限制分组层级数量。

用户类型：自定义用户类型，基于用户类型进行用户地址策略。

从账号管理：支持数据库从账号的管理，系统能够将数据库中的账号进行自动收集和添加等。

3.5 超强的授权管理功能

角色管理：系统内部管理功能权限支持自定义角色。角色可按照组节点进行定义，从而实现分层分级管理模式。

岗位授权：数据库授权模式基于岗位授权，岗位授权概念是建立岗位，岗位上绑定被审计数据库及从账号，这样授权可迁移、授权粒度更细；并可针对岗位设置相关安全策略。

3.6 智能数据库流量发现

支持即插即审功能，审计流量接入后无需管理员进行资源配置，自动识别被审计数据库资源。

通过对镜像流量的解析分析，系统自动识别出流量中的数据库，包含数据库类型、数据库IP和端口号。减少管理员的系统的配置工作量，方便用户使用。

3.7 丰富灵活的审计策略

通过设置时间、源IP、表名、列名、存储过程名、SQL类型等详细审计条件，实现细粒度审计。

通过多条策略的组合，满足复杂业务场景下的审计需求。

3.8 精确的应用关联审计

通过对WEB客户端、WEB应用系统/中间件、数据库的前后请求分析，匹配前后台操作语句，实现对应用系统三层关系的关联审计。

手动或自动建立匹配关系规则库，有关联审计匹配准确度。

3.9 操作行为异常审计

系统支持自动学习建模功能，通过记录、分析一段时间内数据库用户的操作行为习惯及业务访问特点，自动生成行为规则库，当用户出现违反常规操作时，系统进行实时告警。

自动建模的维度包含：访问时间段、访问频次、访问数据库名、访问表名、访问列名、访问字段名、访问存储过程名、返回结果行数等。

3.10 违规告警

系统自带SQL注入风险识别库，可以对审计到的疑似SQL注入语句进行实时告警。

通过设置告警策略，对匹配的操作进行实时告警。

提供多种告警方式，如界面告警、弹窗告警、短信告警、邮件告警、SYSLOG告警。

3.11数据库风险检测

支持对数据库进行漏洞检测，发现数据库中存在的系统漏洞。

支持对数据库进行配置检测，发现数据库中存在的不当配置漏洞。

支持对数据库进行口令检测，发现数据库中存在的弱口令账号。

4.兼容性

产品具有良好的兼容性，支持国内市场主流的操作系统和数据库系统。

产品支持的操作系统：WINDOW/LINUX/UNIX。

产品支持的数据库：oracle、SQLserver、MySql、DB2、达梦、人大金仓、informix、sybase、postgreSQL、MariaDB、神通、瀚高、TBase、HBase、Teradata、Redis、TiDB、MongoDB等。

5.典型部署

硬件部署模式：

运维管控与审计采用协议代理方式，业务审计采用端口镜像方式部署到用户网络中。不改变原有网络结构，不影响原有任何业务操作。

虚拟化环境部署模式：

在虚拟化环境中，同样协议代理方式实现运维管控，审计功能通过 agent部署方式实现，agent可灵活安装在数据库服务器或应用服务器上实时采集数据包，从而满足虚拟化环境下数据库管控与审计的需要。

6.特性势

6.1全面管控与审计

产品的管控与审计范围涵盖了所有可能访问数据的途径，不管是内部运维人员还是外部业务人员，是直接的还是间接的。

l 数据库运维管控与审计：对数据库内部运维人员的操作进行重点的管控与审计，所有操作必须安全策略才允许执行。

l 业务审计：各种业务人员或各业务系统对数据库的访问行为进行全程审计；

6.2高性能

数据库访问信息需要经过数据获取、分析处理、存储、检索展现等处理。建恒在这些方面形成了完全自主的技术体系，形成了较高的技术壁垒。

l 数据获取之硬件零拷贝技术：特殊硬件处理方式实现高获取网络通信内容；

l 分析处理之多级缓存技术：多级分析结果缓存，高分析通信内容；

l 应用NOSQL非关系型数据库，实现单机环境对审计日志的高、海量存储；

l 检索展现之分段索引技术:基于倒排索引的分段检索，实现高、灵活日志分析。

实际测试结果表明，建恒数据库审计与管控系统的连续SQL处理能力轻松达到每秒3万条，每TB硬盘低存储能力达到20亿，远高于国内外竞争产品。

6.3完善的审计日志查询与图表分析

系统提供丰富的审计查询条件和细致的统计分析条件，通过多样化的关联查询分析能力，数据展现的灵活多样。同时系统提供几十种合规报告模板，可以根据用户需求，定时生成各类报告，满足用户不同的实际需要。

6.4数据库风险检测

产品支持数据库风险检测功能，可对审计数据库进行漏洞检测、配置检测和口令检测。

l 漏洞检测可以检测出数据库中存在的系统漏洞，对存在的漏洞为管理员提供漏洞信息、风险等级、漏洞来源等并给出详细的修复建议，帮助管理员对数据库进行安全加固。

l 配置检测可以检测出数据库中存在的不安全配置漏洞，提示管理员修改安全配置。

l 口令检测可以对数据库中所有OPEN账号进行弱口令检测，发现弱口令账号提示用户加强口令强度。

7.产品价值

7.1满足合规要求，快速通过评测

建恒数据库审计与管控系统实现独立的审计和访问控制，直接输出合规的报表，满足多个行业多个法规和标准的要求，能够帮助企业快速通过各种安全保密检查和评测。满足比如等保、分保检查、防统方，以及其它行业法规标准。

7.2加强运维监管，降低数据库运维安全风险

通过对运维人员身份的强认证，避免了数据库运维操作中，常见的多账号共用和权限混乱问题的发生。通过对数据库运维的管控，所有对数据库的运维操作必须安全策略，当发现高危命令时及时阻截命令的执行；当发现高危违规操作时及时切断会话，并实时对管理员发出告警通知，及时对安全风险进行追踪排查，大限度的数据库运维操作的安全。

7.3简化业务治理，数据安全管理能力

由于数据库系统是一个复杂的软件“黑盒子”，其可视化程度很低。数据库管理员很难说清在任意时刻数据被访问的情况。这对业务治理带来了很大的困难。尤其在云环境中，这种不可视化程度严重。建恒数据库审计与管控系统通过多种手段全面监控数据的访问情况，并提供丰富的预设统计报表，以图形化的方式将数据的访问情况和风险情况可视化，进而提供访问控制能力，的简化了业务治理，了数据安全管理能力。

7.4完善纵深防御体系，整体安全防护能力

建立纵深的防御体系已经是信息安全建设的共识。数据库到应用系统这一段是信息安全的后一公里，也是后一道防线，涉及的是直接的敏感数据安全管理，直接关系到敏感数据的安全。同时，在运维/业务层加强安全防护，也逐步成为信息安全的新方向。建恒数据库审计与管控系统针对信息安全的后一公里以及运维/业务层提供丰富的防护手段，有利于企业完善纵深防御体系，整体安全防护能力。

7.5减少核心数据资产被侵犯，保障业务

信息系统有价值的资产为数据，数据也是攻击者想偷窥、篡改、甚至删除的目标。核心数据被侵犯轻者导致业务中断，重者导致泄密和篡改，严重影响企业的声誉乃至生存。围绕核心数据的攻防对抗将存在。云环境中管理权和所有权的分离加剧了数据被侵犯的风险。建恒数据库审计与管控系统紧密贴合数据，实现数据安全的可视性和可控性，并终减少核心数据资产被侵犯的可能性，保障正常的业务和企业的声誉。

推广关键字：数据库审计