360数据库审计系统

360数据库审计系统产品白皮书

360企业安全集团

2018年7月

目录

1 前言 (4)

2 为什么需要数据库审计 (4)

2.1数据库面临的威胁 (4)

2.2信息安全等级保护要求 (6)

2.3传统防护手段捉襟见肘 (8)

3 数据库审计产品概述 (9)

3.1系统架构 (9)

3.2部署方案 (11)

4 产品技术特点 (12)

4.1独立的审计模式 (12)

4.2审计细腻度更深 (13)

4.3审计语句分析和翻译 (13)

4.4防二次泄密 (14)

4.5分权管理 (14)

4.6事件准确定位 (15)

4.7返回结果 (15)

4.8事件关联性分析 (15)

4.9字符型协议审计 (16)

4.10风险处理电子化 (16)

4.11访问工具监控 (17)

4.12事件场景还原 (17)

4.13黑白名单审计 (18)

4.14丰富的策略库 (19)

4.15数据库备份审计 (19)

4.16变量审计 (19)

4.17关注字段值提取 (20)

4.18查询细腻度 (20)

4.19独特报表功能 (20)

4.20自身安全 (21)

4.21非法操作协同阻断 (21)

4.22集中管理平台的技术特点 (22)

5 SECFOX技术创新点 (24)

5.1数据库状态监控 (25)

5.2数据库态势感知 (25)

5.3云架构下的审计 (25)

5.4身份加密报文的破译 (25)

5.5首创后关系型数据库的审计 (27)

5.4大数据安全监控行业领先 (28)

5.5首创工业控制实时数据库的安全监控 (30)

6 产品资质 (32)

1 前言

随着信息化的深入和普及，各行各业对信息系统的依赖性越来越强，信息系统中的数据也逐渐成为了企业的生命。数据的不准确、不真实、不一致、重复杂乱等就会影响企业的健康。

网神SecFox安全审计系统（“以后简称SECFOX”）从合规性、降低风险的角度，针对数据库的所有操作进行一些列的检查、分析，确保数据安全性。

2 为什么需要数据库审计

数据库安全事故的层出不穷，诸如银行内部数据泄漏造成资金失密、信用卡信息被盗用导致的系用卡伪造、企业内部机密数据泄漏引起的竞争力下降、医疗患者信息泄漏导致患者被“监控”……，这些情况无不说明了应用系统审计的重要性。

2.1 数据库面临的威胁

数据库做为企业的核心资产，承载企业重要信息，时时刻刻都面临着各类风险，如下所示的风险一直威胁着数据库安全：

威胁1 - 滥用过高权限

当用户（或应用程序）被授予超出了其工作职能所需的数据库访问权限时，这些权限可能会被恶意滥用。例如，一个大学管理员在工作中只需要能够更改学生的联系信息，不过他可能会利用过高的数据库更新权限来更改分数。

威胁2 - 滥用合法权

用户还可能将合法的数据库权限用于未经授权的目的。假设一个恶意的医务人员拥有可以通过自定义Web 应用程序查看单个患者病历的权限。通常情况下，该Web应用程序的结构限制用户只能查看单个患者的病史，即无法同时查看多个患者的病历并且不允许复制电子副本。但是，恶意的医务人员可以通过使用其他客户端（如MS-Excel）连接到数据库，来规避这些限制。通过使用MS-Excel 以及合法的登录凭据，该医务人员就可以检索和保存所有患者的病历。

威胁3 - 权限提升

攻击者可以利用数据库平台软件的漏洞将普通用户的权限转换为管理员权限。漏洞可以在存储过程、内置函数、协议实现甚至是SQL语句中找到。例如，一个金融机构的软件开发人员可以利用有漏洞的函数来获得数据库管理权限。使用管理权限，恶意的开发人员可以禁用审计机制、开设伪造的帐户以及转帐等。

威胁4 - SQL 注入

在SQL注入攻击中，入侵者通常将未经授权的数据库语句插入（或“注入”）到有漏洞的SQL数据信道中。通常情况下，攻击所针对的数据信道包括存储过程和Web应用程序输入参数。然后，这些注入的语句被传递到数据库中并在数据库中执行。使用SQL注入，攻击者可以不受限制地访问整个数据库。

威胁5 – 日志记录不完善

自动记录所有敏感的和/或异常的数据库事务应该是所有数据库部署基础的一部分。如果数据库审计策略不足，则组织将在很多级别上面临严重风险。

威胁6 - 身份验证不足

薄弱的身份验证方案可以使攻击者窃取或以其他方法获得登录凭据，从而获取合法的数据库用户的身份。攻击者可以采取很多策略来获取凭据。

威胁7 - 备份数据暴露

经常情况下，备份数据库存储介质对于攻击者是毫无防护措施的。因此，在若干起著名的安全破坏活动中，都是数据库备份磁带和硬盘被盗。防止备份数据暴露所有数据库备份都应加密。实际上，某些供应商已经建议在未来的DBMS产品中不应支持创建未加密的备份。建议经常对联机的生产数据库信息进行加密，但是由于性能问题和密钥管理不善问题，这一加密方法通常是不现实的，并且一般被公认为是上文介绍的细化的权限控制的不理想的替代方法。

2.2信息安全等级保护要求

《信息安全等级保护管理办法》要求组织对信息系统分等级实行安全保护，其中明确要求计算机信息系统创建和维护受保护客体的访问审计跟踪记录。

数据库审计本身就是一个信息安全防范问题，政府机关、医院等重要的信息系统属于三级，属于公安机关强制性信息安全防护要求等级。

等级保护三级基本要求

●应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；

●应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

●审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；

●应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

等保三级测评要求

●应设置安全审计员，询问应用系统是否有安全审计功能，对事件进行审计的选择要求和策略是什么，对审计日志的保护措施有哪些；

●应检查主要应用系统，查看其当前审计范围是否覆盖到每个用户；

●应检查主要应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；

●应检查主要应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；

●应检查主要应用系统，查看其是否为授权用户浏览和分析审计数据提供专门的审计分析功能，并能根据需要生成审计报表；

●应检查主要应用系统，查看其是否能够对特定事件指定实时报警方式；

●应测试主要应用系统，可通过非法终止审计功能或修改其配置，验证审计进程是否受到保护；

●应测试主要应用系统，在应用系统上试图产生一些重要的安全相关事件，查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况和记录情况与要求是否一致；

●应测试主要应用系统，试图非授权删除、修改或覆盖审计记录，验证安全审计的保护情况与要求是否一致

等级保护是公安部、国家保密局等多个权威部门联合制定的国家信息安全标准，也是目前我们推广最为广泛、对国家信息安全影响最大的安全标准。推动等级

保护这对于促进信息化健康发展，保障各行各业体制改革，维护公共利益、社会秩序和国家安全具有重要意义。

综上所述，国家信息安全等级保护主要从以下三方面来要求：

? 发现：制定策略，审计覆盖每个用户，可实时报警

? 审计：有专门的审计工具

? 取证：保护措施，安全事件

2.3 传统防护手段捉襟见肘

目前众多行业还没有很好的措施来防范数据库攻击，而是通过传统的手段，通过数据库自身审计产生的日志来分析，但是核心数据库自身的审计功能对数据库性能影响较大，审计权限和操作权限也没有分离，对这种数据库自身审计产生的日志，分析工作繁琐、人力投入大、审计信息易被篡改或泄漏等。大量的信息安全维护工作分散到不同机构和部门的不同人员，部分开发、维护工作外包给合作的第三方公司及人员，日常运维过程中普遍存在维护人员较多、缺乏严格的资源授权管理审核、操作不透明、缺乏有效的技术手段来监管，代维人员操作、操作无审计等诸多问题。

综上所述，我们了解到数据库安全防护存在以下风险：

◆数据库自身审计影响数据库服务器性能；

◆数据库自身审计日志分析工作繁琐、投入人力大、信息易被篡改或泄漏；

◆数据库维护人员权限没有控制起来；

◆对数据库的所有操作没有全面审计系统进行监管；

◆第三方工具直接访问数据库；

◆应用系统没有做相应的权限控制，敏感信息没有屏蔽，发生高危操作时没有日志记录。

3 数据库审计产品概述

SECFOX对审计和事务日志进行审查，从而跟踪各种对数据库操作的行为。一般审计主要记录对数据库的操作、对数据库的改变、执行该项目操作的人以及其他的属性。这些数据库被记录到SECFOX独立的平台中，并且具备较高的准确性和完整性。针对数据库活动或状态进行取证检查时，审计可以准确的反馈数据库的各种变化，对我们分析数据库的各类正常、异常、违规操作提供证据。

3.1 系统架构

网神SecFox安全审计系统由基础层、引擎层、业务层和接口管理层组成。其中，基础层和引擎层共同构成了网神领先于同行产品的后台架构，该架构可概括为“一库”“二机制”、“三平台”、“四引擎”。

网神SECFOX作为全业务审计系统，支持各种数据库操作方案、网络操作方式。如下图所示，包括：基于客户端的链接审计、基于ODBC/JDBC等链接访问、本地操作、网络操作等。

支持多种数据库类型：

?同时支Oracle 8/9/10/11、DB2、INFORMIX、SYBASE、Microsoft

SQL Server 97/2000/2005/2008、MYSQL、POSTGRESQL、

CACHE；

?国内为数不多支持的厂商，cache正在成为高性能数据库应用场景的新

宠等

?同时支持多个系统数据库的审计

?同时支持不同类型的数据库的审计

不同数据库版本及品牌采用的数据库应用协议各不相同，主要反应在报文协议格式及数据编码上。针对不同数据库的审计支持，关键在于审计的深度、快速响应的技术实力以及不漏审、不误审等。

3.2 部署方案

为了完全不影响数据库系统自身运行与性能，数据库安全审计系统应支持采用旁路监听或模式，具体可分为核心交换机网络监听模式、网桥模式和数据库系统主机上实施监听模式。

交换机网络监听模式

通过在核心交换机上设置端口镜像模式或采用TAP分流监听模式，使安全审计引擎能够监听到所有用户通过交换机与数据库进行通讯的全部操作。具体部署结构如图3.2.1所示。

图3.2.1 交换机网络监听模式审计系统部署示意图

串联阻断模式

通过将SecFox设备串联至数据库服务器前端，做了数据库网关，所有访问数据库用户流量需先经过SecFox设备

集中管理平台部署模式

过去在大型审计项目集中管理中，无法实现对数据库审计设备或防统方系统的集中管理、维护，监控、预警，审计中心很难得到有效的汇总报告，设备出现故障无法及时准确定位、权限分散的管理模式使管理维护成本居高不下等问题，网神SecFox提供了业界最为领先的数据库审计或防统方集中管理和技术手段，彻底解决了大型数据库审计项目或大型区域医疗防统方系统面临的部署、管理、监控、预警以及日志方面的问题。

4 产品技术特点

4.1独立的审计模式

在数据安全时代，独立的审计模式符合相关标准和法规的要求。网神SECFOX 采用独立的安全结构，通过交换机镜像完成数据的采集，不需要在应用系统、终端安装任何插件，其部署与运维不影响原有网络及应用。

同时，网神SECFOX采用三权分立的模式，这使得数据库维护或开发小组，安全审计小组的工作进行适当的分离。而且，审计工作不影响数据库的性能、稳定性或日常管理流程。审计结果独立存储于网神SECFOX自带的存储空间中，避免了数据库特权用户或恶意入侵数据库服务器用户，干扰审计信息的公正性。

4.2审计细腻度更深

全面性：针对业务层、应用层、数据库等各个层面的操作进行跟踪定位，包括数据库SQL执行情况、数据库返回值等。

细粒度：精确到表、对象、记录内容的细粒度审计策略，实现对敏感信息的精细监控；

独立性：基于独立监控审计的工作模式，实现了数据库管理与审计的分离，保证了审计结果的真实性、完整性、公正性。

4.3审计语句分析和翻译

在实际项目中，有些单位有专门负责审计的机构，如在医院中，数据库审计系统权限由医院纪委监察室和信息科分别掌握，因数据库SQL语言及其它数据库语言如M语言的抽象性，非专业技术人员很难看懂语句的真实信息以及蕴含的风险，而专业技术人员不存在该问题，为更好的方便客户使用，网神SECFOX提供了专业的

数据分析和翻译界面。通过在配置中设置表和字段的中文别名，在翻译中以直观和易懂的语言显示审计的结果及语意关系，方便非专业技术人员的查看。

审计语句的翻译和分析在清楚数据库表和字段结构的情况下进行，目前网神SecFox已经掌握多家知名HIS厂家的数据库表结构信息，因各项目实际情况影响，需要对已有数据库表结构信息进行纠正。语句的翻译和分析根据别名设置及数据库SQL或CACHE数据库M语言的语法语意进行逻辑性分析及字段替换。

4.4防二次泄密

在对数据库查询操作返回结果的审计中，返回信息包含了重要的敏感的信息，一旦被审计人员看到会造成信息的二次泄密，同时也会增加审计人员泄密敏感信息的可疑性。对审计结果中敏感字段进行系统级隐秘设置，可减少审计人员自身泄露敏感信息的可能性，同时也增加了数据的安全性和保密性。

数据库审计系统作为一个记账工具，其本身不应该具有查看隐秘数据，泄露保密信息的功能，从安全角度出发，网神SECFOX默认屏蔽了返回数据，只保留了返回值，以确定该操作执行成功或失败。

4.5分权管理

安全法规要求审计设备具有一定的权限控制，网神SECFOX设置了权限角色分离，如系统管理员负责设备的运行设置；审计员负责查看相关审计记录及规则违反情况；规则配置员负责数据库审计安全规则的配置等。

4.6事件准确定位

在信息安全及虚拟化背景时代下，单靠某一个信息去定位违规操作者已经成为不可能，如内网用户大多采用DHCP分配IP地址，没有做IP-MAC绑定及相应的准入规则，用户可通过更改操作系统名、IP地址、MAC地址等方式逃避追踪，传统的数据库审计定位往往局限于IP地址和MAC地址，很多时候不具备可信性。因此只有通过关联尽可能多的身份定位信息进行定位以及做一定的准入权限设置，其审计结果才具有可靠性，才能作为电子证据。网神SECFOX可以对IP、MAC、操作系统用户名、使用的工具、应用系统账号等一系列进行关联分析，从而追踪到具体人。

4.7返回结果

返回结果就是指某个查询操作所返回的数据，审计过程中可根据返回数据的内容、返回行数去直观的判断操作的危险性。网神SECFOX可审计到双向数据，从客户端请求到服务器端的响应，做到双向审计。

4.8事件关联性分析

网神SECFOX可对响应事件进行关联，如根据IP关联出某段时间内该IP所触发的告警数量等；根据一段时间内的数据库或应用系统登录失败次数判断出暴力破解

密码的可能性；根据账号的多次登录判断账号信息泄密或共享账号的可能性；相似SQL语句执行时间过长从而判断该语句设计的合理性等。根据事件关联性分析，自动涌现一批对客户具有实用价值的信息，帮助客户管理和维护好现有应用。

事件关联性通过一定的策略配置，关联组合各有用信息从而体现出其价值。

4.9字符型协议审计

除支持对各种数据库访问审计外，网神SECFOX还支持TELNET、FTP等各种字符型协议对数据库服务器的访问，并可对其设置告警条件，如发现移动或下载数据备份文件时触发告警。

如果您还想要支持对其他协议访问数据库应用系统的审计时，如远程桌面等，建议您采购网神的运维审计模块SECFOX-M。

4.10风险处理电子化

网神SECFOX同其它应用系统一样，支持流程的标准化，当发生数据库安全事件后，网神SECFOX将事件关键信息通过电邮、短信等风险发送给安全审计相关人员，在调查取证确认合法性后通过网神SECFOX给出处置意见信息，以确定事件的结束。审计管理员日后可通过追溯安全事件处置信息确定有无包庇及不作为行为。

风定

监控

无风险需

要有权人

确认并签

字

图4.10 风险告警处置流程

4.11访问工具监控

网神SECFOX自动扫描连接数据库的访问工具。从访问数据库的源头进行分析，应用系统和客户端工具根据不同的数据库类型可通过ODBC、JDBC、直连等方式连接数据库，直接连接工具如Winsql，Plsql及CS架构的客户端工具等。如发现审计记录中出现未知的数据库连接工具或出现规定之外的连接工具，审计员可根据工具监控记录分析出使用过该工具的IP及关联的操作记录，进而取证使用该工具的源头及操作的合法性。

4.12事件场景还原

网神SECFOX可根据审计日志，通过事件、端口、端口等因素构建出事件的关联性及现场，通过模拟回放，模拟出整个事件的行动轨迹，通过大屏幕显示可方便

分析人员及技术人员通过回放线索，直观的追溯事件的前后关联性及风险蕴含较深的操作行为。

事件场景还原模拟SQL 指令的执行及结果的返回，通过时间线索、会话端口、执行语句先后的关联关系，构建出事件前后的SQL 之间逻辑关系，方便进行直观的分析。

4.13 黑白名单审计

网神SECFOX 可根据客户意见及实际审计情况，将IP 、操作语句、账号登相关信息加入黑白名单。同时，在应用系统中，因应用系统对应后台的SQL 语句固定，一旦发现其中含有危险信息则可将对应的SQl 加入黑名单，而一旦应用系统中有某些语句疑似风险操作但其实际并不产生危害则可加入白名单。

图4.13白名单审计示意图

通过黑白名单设置，可减少维护人员的工具量。

不

违

规

操作

4.14丰富的策略库

网神SECFOX根据不同的行业应用提供了不同的策略库，如在医疗行业，根据不同HIS厂家的表和字段结构信息制定了符合不同HIS厂家的防统方策略库。如根据drop、delete、alter等危险操作行为制订了数据库危险操作策略，有如根据不同工具的数据库备份信息制定了数据库备份策略库等。

网神SECFOX提供了细腻度更高的规则设置界面，用户可根据规则设置定义出自己想想要的策略已达到不同的目的。

4.15数据库备份审计

数据库备份是一个很危险的操作，同时也是保护数据安全的一个例行操作，网神SECFOX可以针对不同方式、不同数据库之间的数据库备份进行审计，数据库备份意义重大，如数据库备份文件被盗或数据库被备份到脱离控制的某地，大量数据就可以离开内部网络单独建立数据库服务器进行脱机查询，如不针对备份操作进行严格控制及设置告警，则可能数据丢失泄露被广而告之都无法觉察，严重影响企业声誉，而数据库管理者也会因为失职而处罚。

4.16变量审计

在不同数据库及应用系统中，很多值得传递都是通过变量进行，如在oracle数据库中有绑定变量，在其它数据库中也有变量一说。如审计不到变量则无法对SQL 指令的危险性进行判断。网神SECFOX可对不同数据库的不同变量进行审计。

4.17关注字段值提取

网神SECFOX可根据配置，自动提取SQL指令中某关键字段的值，如查询语句中涉及的时间范围、查询的条件。由其是在金融、高值耗材等信息中，可通过查询条件查询出财产、费用、联系人等敏感信息，通过提取关注字段的值，并通过该值设置规则，则可更精确的对数据库访问操作进行精确审计。

4.18查询细腻度

网神SECFOX拥有丰富的查询条件，用户可基于IP地址、会话端口、关键字、涉及的关键表、符合的规则名、操作系统的用户名、计算机名、使用的工具名、语句的长度、语句的执行时间等设置查询和统计分析条件，细腻度越高，就越容易进行精确查询，在大数据量的背景下查询出所需要的精准信息。

4.19独特报表功能

合规性报表

网神SECFOX报表和根据合规性要求，输出不同类型的报表。例如，可根据等级保护三级要求，输出符合等保相关项目满足的度的报表。

策略定制化报表

根据审计人员关系的主要稳定，定制符合需求的策略规则输出报告，使审计人员能够迅速的得到自己需要去审计信息。

定时报表

5-企业案例-网络安全审计系统(数据库审计)解决方案

数据库审计系统技术建议书

目次 1.综述 (1) 2.需求分析 (1) 2.1.内部人员面临的安全隐患 (2) 2.2.第三方维护人员的威胁 (2) 2.3.最高权限滥用风险 (2) 2.4.违规行为无法控制的风险 (2) 2.5.系统日志不能发现的安全隐患 (2) 2.6.系统崩溃带来审计结果的丢失 (3) 3.审计系统设计方案 (3) 3.1.设计思路和原则 (3) 3.2.系统设计原理 (4) 3.3.设计方案及系统配置 (14) 3.4.主要功能介绍 (5) 3.4.1.数据库审计........................ 错误!未定义书签。 3.4.2.网络运维审计 (9) 3.4.3.OA审计............................ 错误!未定义书签。 3.4.4.数据库响应时间及返回码的审计 (9) 3.4.5.业务系统三层关联 (9) 3.4.6.合规性规则和响应 (10) 3.4.7.审计报告输出 (12) 3.4.8.自身管理 (13) 3.4.9.系统安全性设计 (14) 3.5.负面影响评价 (16) 3.6.交换机性能影响评价 (17) 4.资质证书.......................... 错误!未定义书签。

1.综述 随着计算机和网络技术发展，信息系统的应用越来越广泛。数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为商业和公共安全中最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。 围绕数据库的业务系统安全隐患如何得到有效解决，一直以来是IT治理人员和DBA们关注的焦点。做为资深信息安全厂商，结合多年的安全研究经验，提出如下解决思路： 管理层面：完善现有业务流程制度，明细人员职责和分工，规范内部员工的日常操作，严格监控第三方维护人员的操作。 技术层面：除了在业务网络部署相关的信息安全防护产品（如FW、IPS 等），还需要专门针对数据库部署独立安全审计产品，对关键的数据库操作行为进行审计，做到违规行为发生时及时告警，事故发生后精确溯源。 不过，审计关键应用程序和数据库不是一项简单工作。特别是数据库系统，服务于各有不同权限的大量用户，支持高并发的事务处理，还必须满足苛刻的服务水平要求。商业数据库软件内置的审计功能无法满足审计独立性的基本要求，还会降低数据库性能并增加管理费用。 2.需求分析 随着信息技术的发展，XXX已经建立了比较完善的信息系统，数据库中承载的信息越来越受到公司相关部门、领导的重视。同时数据库中储存着诸如XXX等极其重要和敏感的信息。这些信息一旦被篡改或者泄露，轻则造成企业或者社会的经济损失，重则影响企业形象甚至社会安全。 通过对XXX的深入调研，XXX面临的安全隐患归纳如下：

数据库安全审计解决方案

一、数据库安全审计需求概述 数据库系统是一个复杂而又关键的系统，数据库存在各种管理和技术上的风险，如果这些风险变为事实，那么企业数据将遭受严重的经济损失和法律风险。 而面对数据库的安全问题，企业常常要面对一下问题： 数据库被恶意访问、攻击甚至数据偷窃，而企业无法及时发现、追踪并阻截这些恶意的行为。 数据库遭受恶意访问、攻击后，不能追踪到足够的证据。 不了解数据使用者对数据库访问的细节，从而无法保证数据安全，特别是敏感数据的管理。 来自内部的威胁：特权用户随意修改配置、改变或盗取数据，没有明确职责分工。 针对数据库、应用系统日志的审计只能做事后分析，周期长，且无法进行持续性审计。 审计缺乏规范性，无法有效成为公司的安全管理规范且满足外部审计需求。 人工审计面对海量数据，无法满足可见性，造成审计不完整。 权责未完全区分开，导致审计效果问题。 二、企业数据管理综合解决方案 提供的一组集成模块，使用一个统一的控制台和后端数据存储，管理整个数据库的安全与合规周期。通过，现在提供一种直接解决数据库安全性和遵从性问题的自动、有效且高效的方法。可扩展企业安全平台既能实时保护数据库，又能自动化所有合规审计流程。这套方案不仅在解决问题方面表现卓越，而且在避免消极影响方面同样表现出色。它对数据库性能的影响几乎为零，无需对数据库作任何变更，甚至不依赖本地数据库日志或审计工具。 三、通过管理数据安全 发现、分类并且自动寻找、分类和保护敏感信息 使用数据库自动搜寻和信息分类功能来识别机密数据的存储位置，然后使用定制的分类标签来自动执行适用于特定级别的敏感信息的安全策

略。 评估加固漏洞、配置和行为评估，锁定与追踪 的数据库安全评估功能会扫描整个数据库架构，查找漏洞，并使用实时和历史数据提供持续的数据库安全状态评估。它预先配置了一个综合测试库，建立在特定平台漏洞和业界最佳实践案例的基础之上，可以通过的订阅服务得到定期更新。也可以自定义测试，以满足特定的要求。评估模块还会标记与合规相关的漏洞，如遵从和法规提供非法访问和数据表的行为。 监控￥执行—可视性，监控和执行各项策略，主动实时安全通过定制细粒化的实时策略来防止特权用户进行非法或可疑的行 为，同时抵挡欺诈用户或外来者的攻击。 审计报表—细粒度审计追踪，合规工作流自动化 创建一个覆盖所有数据库活动的连续、详细的追踪记录，并实时的语境分析和过滤，从而实现主动控制，生成需要的具体信息。生成的结果报表使所有数据库活动详细可见。 四、数据库安全审计解决方案的突出特点和优势： .可以同时支持监控管理多种数据库（）的各种版本； .同时支持多种企业级应用（）、应用服务器中间件服务器（）；.非入侵式部署，不影响网络、数据库服务器现有运行方式及状况，对用户、网络、服务器透明，不在数据库内安装，不需要数据库建立用户；.具有实时阻断非法访问，抵御攻击能力； .可以实现从用户、应用服务器到数据库的全程跟踪即可记录； .可以实现全方位准确监控（来自网络的访问和本地登录访问）； .具备分布式部署和分层架构能力，支持企业级不同地域、多种数据库的应用； .部署容易简单； .独特跟踪下钻（）功能，追查问题可以一步步到最底层； .多行业、众多客户成功应用案例的证明； .对、、等法律遵从性的良好支持； .国际著名审计公司的认同、认可； .第三方国际著名咨询评测机构的认可和赞赏； .支持多种异构操作系统； .记录的日志不可更改，完全符合法律要求；

网络安全审计系统需求分析复习过程

网络安全审计系统需 求分析

安全审计系统需求分析 关键字：行为监控，内容审计 摘要：系统集内容审计与行为监控为一体，以旁路的方式部署在网络中，实时采集网络数据，并按照指定策略对数据进行过滤，然后将数据所体现的内容和行为特性一并存在到数据服务器上。向用户提供审计分析功能，以及后期取证功能。 需求背景 按等级进行计算机信息系统安全保护的相关单位或部门，往往需要对流经部门与外界接点的数据实施内容审计与行为监控的，以防止非法信息恶意传播及国家机密、商业知识和知识产权等信息泄露。并且单位的网管部门需要掌握网络资源的使用情况，提高单位或部门的工作效率。 所涉及的单位类型有政府、军队机关的网络管理部门，公安、保密、司法等国家授权的网络安全监察部门，金融、电信、电力、保险、海关、商检、学校、军工等各行业网络管理中心，大中型企业网络管理中心等。 一、实现的效果和目的 a. 对用户的网络行为监控、网络传输内容审计（如员工是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了公司的机密信息，是否通过网络传播了反动言论等）。 b. 掌握网络使用情况（用途、流量），提高工作效率。 c. 网络传输信息的实时采集、海量存储。

d. 网络传输信息的统计分析。 e. 网络行为后期取证。 f. 对网络潜在威胁者予以威慑。 二、典型的系统组成 安全审计系统由三部分组成：审计引擎、数据中心、管理中心。 图1 ：典型的单点部署 审计引擎（硬件）：审计引擎对流经HUB/Switch的信息进行采集、过滤、重组、预分析，并把分析后的数据流发送给数据中心。 数据中心（软件）：对审计引擎传送过来的数据流进行存储；按照用户的指令对数据进行还原、解码、解压缩，并可进行关键字查询审计、统计分析。 管理中心（软件）：提供WEB形式的管理界面，可以方便的对系统进行管理、对网络行为监控、内容审计。用户使用WEB浏览器可以实现对整个系统的管理、使用。

当前数据库安全现状及其安全审计

当前数据库安全现状及其安全审计 大学数据库原理教科书中，数据库是这样被解释的：数据库是计算机应用系统中的一种专门管理数据库资源的系统。数据具有多种形式，如文字/数码/符号/图形/图象以及声音。 数据库安全现状 数据库系统立足于数据本身的管理，将所有的数据保存于数据库中，进行科学地组织，借助于数据库管理系统，并以此为中介，与各种应用程序或应用系统接口，使之能方便地使用并管理数据库中的数据，如数据查询/添加/删除/修改等。 数据库无所不在。海量的数据信息因为数据库的产生而变得更加容易管理和使用。政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务及企业等行业，纷纷建立起各自的数据库应用系统，以便随时对数据库中海量的数据进行管理和使用，国家/社会的发展带入信息时代。同时，随着互联网的发展，数据库作为网络的重要应用，在网站建设和网络营销中发挥着重要的作用，包括信息收集/信息查询及搜索/产品或业务管理/新闻发布/BBS论坛等等。 然而，信息技术是一把双刃剑，为社会的进步和发展带来遍历的同时，也带来了许多的安全隐患。对数据库而言，其存在的安全隐患存在更加难以估计的风险值，数据库安全事件曾出不穷： 某系统开发工程师通过互联网入侵移动中心数据库，盗取冲值卡 某医院数据库系统遭到非法入侵，导致上万名患者私隐信息被盗取 某网游公司内部数据库管理人员通过违规修改数据库数据盗窃网游点卡 黑客利用SQL注入攻击，入侵某防病毒软件数据库中心，窃取大量机密信息，导致该防病毒软件公司严重损失 某证券交易所内部数据库造黑客股民入侵，盗窃证券交易内部报告 …… 数据库安全面临内部恶意操作以及外部恶意入侵两大夹击。如何有效保护数据库信息成为当前信息安全界最为关注的课题。 数据库安全分析 三大安全风险

数据库安全审计建设立项申请报告

数据库安全审计建设立项申请报告 1数据库系统安全隐患分析 我单位的信息系统中关键数据库服务器群中的数据服务器存储着大量涉密、重要数据信息。用户数据服务器通过数据库管理系统实现对信息资源的存储管理。我单位信息系统网络系统用户数量众多，用户相互差别较大，对数据库涉密信息、重要业务信息的访问频繁。用户对数据库的任何恶意修改或误操作，都关系我单位信息系统业务数据信息的可用性、完整性与机密性，目前数据库安全隐患集中在： ●信息存储加密：数据的安全性； ●系统认证：口令强度不够，过期账号，登录攻击等； ●系统授权：账号权限，登录时间超时等； ●系统完整性：特洛伊木马，审核配置，补丁和修正程序等； 2建立数据库安全审计体系的必要性 2.1数据安全保护形势严峻 随着信息技术的不断发展，数字信息逐渐成为一种重要资产，尤其是在过去的20多年里，作为信息的主要载体——数据库，其相关应用在数量和重要性方面都取得了巨大的增长。几乎每一种组织都使用它来存储、操纵和检索数据。随着人们对数据的依赖性越来越高，各种数据信息都成为了关系组织生存的重要资产。网络化时代的到来、互联网技术的普及更加深了数据保护的矛盾，网络技术使得数字信息的泄漏和篡改变得更加容易，而防范则更加困难。 更为严重的是，所有信息泄漏事件中，源自内部人员所为的占了绝大部分。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过85%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了6056.5万美元

的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。 因此，近两年来，大多数企事业单位和政府机关纷纷把关注的目光投向信息系统数据的安全问题，尤其是内部网络的管理和防护。 2.2现有数据安全防护体系存在不足 现在较为普遍的做法是在原有网络安全防护（防火墙、IDS、UTM等传统安全设备）的基础上，采用上网行为管理类、终端管理类等具备较强防止内部信息外泄功能的产品，筑起了一道由内向外的安全防线，典型的安全防护体系如下图所示： 图：数据库安全防线的缺失 从这幅典型的网络拓扑图中，我们不难看出，安全防护体系中缺失的正是对服务器区的防护，对数据库的防护,对内部PC访问业务系统的防护！ 尽管可能使用的数据库系统是Oracal、MS SQL是国际大品牌的产品，其本身有非常强的安全性，但依然可能存在诸多隐患： 1）对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾

面向业务的信息系统的安全审计系统

面向业务的信息系统的安全审计系统 近些年来，IT系统发展很快，企业对IT系统的依赖程度也越来越高，就一个网络信息系统而言，我们不仅需要考虑一些传统的安全问题，比如防黑客、防病毒、防垃圾邮件、防后门、防蠕虫 等，但是，随着信息化程度的提高，各类业务系统也变得日益复杂，对业务系统的防护也变得越来越重要，非传统领域的安全治理也变得越来越重要。根据最新的统计资料，给企业造成的严重攻击中70％是来自于组织中的内部人员，因此，针对业务系统的信息安全治理成为一道难题，审计应运而生。 一、为什么需要面向业务的信息安全审计？ 面向业务的信息安全审计系统，顾名思义，是对用户业务的安全审计，与用户的各项应用业务有密切的关系，是信息安全审计系统中重要的组成部分，它从用户的业务安全角度出发，思考和分析用户的网络业务中所存在的脆弱点和风险。 我们不妨先看两个鲜活的案例。不久前，中国青年报报道，上海一电脑高手，方某今年25岁，学的是计算机专业，曾是某超市分店资讯组组长。方某利用职务之便，设计非法软件程序，进入超市业务系统，即超市收银系统的数据库，通过修改超市收银系统的数据库数据信息，每天将超市的销售记录的20%营业款自动删除，并将收入转存入自己的账户。从2004年6月至2005年8月期间，方某等人截留侵吞超市3家门店营业款共计397万余元之多。 程某31岁，是X公司资深软件研发工程师，从2005年2月，他由A

地运营商系统进入B地运营商的业务系统--充值中心数据库，获得最高系统权限，根据“已充值”的充值卡显示的18位密码破解出对应的34位密钥，然后把“已充值”状态改为“未充值”，并修改其有效日期，激活了已经使用过的充值卡。他把面值300元的充值密码以281.5到285元面值不等价格在网上售出，非法获利380万。 通过上述两个案例，我们不难发现，内部人员，包括内部员工或者提供第三方IT支持的维护人员等，他们利用职务之便，违规操作导致的安全问题日益频繁和突出，这些操作都与客户的业务息息相关。虽然防火墙、防病毒、入侵检测系统、防病毒、内网安全管理等常规的安全产品可以解决大部分传统意义上的网络安全问题，但是，对于这类与业务息息相关的操作行为、违规行为的安全问题，必须要有强力的手段来防范和阻止，这就是针对业务的信息安全审计系统能够带给我们的价值。 二、如何理解面向业务的信息安全审计？ 信息安全审计与信息安全管理密切相关，信息安全审计的主要依据为信息安全管理相关的标准，例如ISO/IEC17799、ISO17799/27001、COSO、COBIT、ITIL、NISTSP800系列等。这些标准实际上是出于不同的角度提出的控制体系，基于这些控制体系可以有效地控制信息安全风险，从而达到信息安全审计的目的，提高信息系统的安全性。因此，面向业务的信息安全审计系统可以理解成是信息安全审计的一个重要的分支。 根据国外的经验，如在美国的《萨班斯-奥克斯利法案

数据库安全审计解决实施方案

数据库安全审计解决方案

————————————————————————————————作者：————————————————————————————————日期： 2

一、数据库安全审计需求概述 数据库系统是一个复杂而又关键的系统，数据库存在各种管理和技术上的风险，如果这些风险变为事实，那么企业数据将遭受严重的经济损失和法律风险。 而面对数据库的安全问题，企业常常要面对一下问题： ?数据库被恶意访问、攻击甚至数据偷窃，而企业无法及时发现、追踪并阻截这些恶意的行为。 ?数据库遭受恶意访问、攻击后，不能追踪到足够的证据。 ?不了解数据使用者对数据库访问的细节，从而无法保证数据安全，特别是敏感数据的管理。 ?来自内部的威胁：特权用户随意修改配置、改变或盗取数据，没有明确职责分工。 ?针对数据库、应用系统日志的审计只能做事后分析，周期长，且无法进行持续性审计。 ?审计缺乏规范性，无法有效成为公司的安全管理规范且满足外部审计需求。 ?人工审计面对海量数据，无法满足100%可见性，造成审计不完整。?DBA权责未完全区分开，导致审计效果问题。 二、Guardium企业数据管理综合解决方案 InfoSphere Guardium提供的一组集成模块，使用一个统一的控制台和后端数据存储，管理整个数据库的安全与合规周期。通过Guardium，IBM 现在提供一种直接解决数据库安全性和遵从性问题的自动、有效且高效的方法。可扩展企业安全平台既能实时保护数据库，又能自动化所有合规审计流程。这套方案不仅在解决问题方面表现卓越，而且在避免消极影响方面同样表现出色。它对数据库性能的影响几乎为零，无需对数据库作任何变更，甚至不依赖本地数据库日志或审计工具。 三、通过Guardium管理数据安全 ?发现、分类并且自动寻找、分类和保护敏感信息 使用数据库自动搜寻和信息分类功能来识别机密数据的存储位置，然后使用定制的分类标签来自动执行适用于特定级别的敏感信息的安全策

网络安全审计系统的实现方法

网络安全审计系统的实现方法 司法信息安全方向王立鹏1 传统安全审计系统的历史 传统的安全审计系统早在70年代末、80年代初就已经出现在某些UNDO系统当中，其审计的重点也是本主机的用户行为和系统调用。在随后的20年间，其他的各个操作系统也有了自己的安全审计工具，如符合C2安全级别的Windows NT, Nnux的syslog机制以及SUN 13SM等。 2 常用安全措施的不足和基于网络的安全审计系统的出现 近几年来，随着开放系统Internet的飞速发展和电子商务的口益普及，网络安全和信息安全问题日益突出，各类黑客攻击事件更是层出不穷。而相应发展起来的安全防护措施也日益增多，特别是防火墙技术以及IDS(人侵检测技术)更是成为大家关注的焦点。但是这两者都有自己的局限性。 2.1防火墙技术的不足 防火墙技术是发展时间最长，也是当今防止网络人侵行为的最主要手段之一，主要有包过滤型防火墙和代理网关型防火墙两类。其主要思想是在内外部网络之间建立起一定的隔离，控制外部对受保护网络的访问，它通过控制穿越防火墙的数据流来屏蔽内部网络的敏感信息以及阻挡来自外部的威胁。虽然防火墙技术是当今公认发展最为成熟的一种技术，但是由于防火墙技术自身存在的一些缺陷，使其越来越难以完全满足当前网络安全防护的要求。 包过滤型防火墙如只实现了粗粒度的访问控制，一般只是基于IP地址和服务端口，对网络数据包中其他内容的检查极少，再加上其规则的配置和管理极其复杂，要求管理员对网络安全攻击有较深人的了解，因此在黑客猖撅的开放Internet系统中显得越来越难以使用。 而代理网关防火墙虽然可以将内部用户和外界隔离开来，从外部只能看到代理服务器而看不到内部任何资源，但它没有从根本上改变包过滤技术的缺陷，而且在对应用的支持和速度方面也不能令人满意 2.2入侵检测技术的不足 人侵检测技术是防火墙技术的合理补充，能够对各种黑客人侵行为进行识别，扩展了网络管理员的安全管理能力。一般来说，人侵检测系统(IDS)是防火墙之后的第二层网络安全防护机制。 目前较为成熟的IDS系统可分为基十主机的IDS和基于网络的IDS两种。 基于主机的IDS来源于系统的审计日志，它和传统基于主机的审计系统一样一般只能检测发生在本主机上面的人侵行为。 基于网络的IDS系统对网络中的数据包进行监测，对一些有人侵嫌疑的包作出报警。人侵检测的最大特色就是它的实时性…准实时性)，它能在出现攻击的时候发出警告，让管理人员在在第一时间了解到攻击行为的发生，并作出相应措施，以防止进一步的危害产生。实时性的要求使得人侵检测的速度性能至关重要，因此决定了其采用的数据分析算法不能过于复杂，也不可能采用长时间窗分析或把历史数据与实时数据结合起来进行分析，所以现在大

安全审计系统产品白皮书

绿盟安全审计系统产品白皮书 ? 2011 绿盟科技

■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，并受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。 ■商标信息 绿盟科技、NSFOCUS、绿盟是绿盟科技的商标。

目录 一. 前言 (1) 二. 为什么需要安全审计系统 (1) 2.1安全审计的必要性 (2) 2.2安全审计系统特点 (3) 三. 如何评价安全审计系统 (3) 四. 绿盟科技安全审计系统 (4) 4.1产品功能 (4) 4.2体系架构 (5) 4.3产品特点 (7) 4.3.1 网络事件“零遗漏”审计 (7) 4.3.2 高智能深度协议分析 (7) 4.3.3 全面精细的敏感信息审计 (7) 4.3.4 多维度网络行为审计 (7) 4.3.5 全程数据库操作审计 (8) 4.3.6 业界首创“网站内容安全”主动审计 (9) 4.3.7 强劲的病毒检测能力 (9) 4.3.8 基于协议的流量分析 (10) 4.3.9 基于对象的虚拟审计系统 (10) 4.3.10 强大丰富的管理能力 (10) 4.3.11 审计信息“零管理” (12) 4.3.12 方便灵活的可扩展性 (13) 4.3.13 高可靠的自身安全性 (13) 4.4解决方案 (13) 4.4.1 小型网络之精细审计方案 (13) 4.4.2 中型网络之集中审计方案 (14) 4.4.3 大型网络之分级审计方案 (15) 五. 结论 (16)

数据库审计系统_技术白皮书V1.0

此处是Logo 数据库审计系统 技术白皮书 地址： 电话： 传真： 邮编：

■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属北京所有，受到有关产权及版权法保护。任何个人、机构未经北京的书面授权许可，不得以任何方式复制或引用本文的任何内容。 ■适用性声明 文档用于撰写XX公司产品介绍、项目方案、解决方案、商业计划书等。

目录 一.产品概述 (1) 二.应用背景 (1) 2.1现状与问题 (1) 2.1.1现状 (1) 2.1.2问题 (1) 2.2需求分析 (3) 2.2.1政策需求 (3) 2.2.1.1《信息系统安全等级保护基本要求》 (3) 2.2.1.2《商业银行信息科技风险管理指引》 (3) 2.2.2技术需求 (4) 2.2.3管理需求 (4) 2.2.4性能需求 (4) 2.2.5环境与兼容性需求 (5) 2.2.6需求汇总 (5) 三.产品介绍 (5) 3.1目标 (5) 3.2产品功能 (6) 3.2.1数据库访问行为记录 (6) 3.2.2违规操作告警响应 (6) 3.2.3集中存储访问记录 (6) 3.2.4访问记录查询 (7) 3.2.5数据库安全审计报表 (7) 3.3产品部署 (7) 3.3.1旁路部署 (7) 3.3.2分布式部署 (8) 3.4产品特性 (9) 3.4.1安全便捷的部署方式 (9) 3.4.2日志检索能力 (9) 3.4.3灵活的日志查询条件 (10) 3.4.4灵活的数据库审计配置策略 (10) 3.4.5数据库入侵检测能力 (10) 3.4.6符合审计需求设计 (11) 四.用户收益 (11) 4.1对企业带来的价值 (11) 4.2全生命周期日志管理 (12) 4.3日常安全运维工作的有力工具 (12)

数据库内部安全审计

数据库内部安全审计 一、背景 在信息系统的整体安全中，数据库往往是最吸引攻击者的目标，许多网络攻击的根本目的就是获取存放在数据库中的重要信息。传统的数据库安全保障方法一定程度上提高了数据库系统的安全性，但是它们大多是被动的安全技术，以预防为主，无法有效地制止入侵行为，特别是对于数据库用户( 如数据库管理员等) 的权限滥用等内部攻击常常是无能为力的。 内部威胁问题具体表现为: (1)非故意的授权用户攻击，即用户不小心访问到了通常不访问的敏感信息，严重的是无意间将其错误地修改或者删除了； (2)盗取了正常用户信息的攻击者对数据库进行操作，他们拥有合法的访问权限，对数据库数据进行肆意的盗窃和破坏； (3)心怀不轨的内部工作人员对数据库的恶意攻击。 据统计，数据库安全问题近80%来自数据库系统内部，即数据库系统授权用户没有按照自身授权进行数据操作，而是跨越权限篡改或破坏数据。根据2013年Verizon的数据泄露调查报告:所有数据泄露事件中76%源自授权用户对敏感数据的访问；在47000多件安全事故中，69%的攻击来自于内部人员。京东发生的大型数据泄露事件造成5O亿条公民信息流出，导致用户损失数百万元，罪魁祸首就是内部工作人员。内部原因造成的数据库损失发生率和影响度都远远超过人们的想象。 由于此类安全问题发生在系统集团内部，因此，对数据库的危害极大，并且传统的入侵检测方法和数据库安全规则都不能有效防御这些问题，即使一些防火墙软硬件也无法实时检测内部入侵。因此，针对数据库系统中用户异常行为检测研究就显得尤为重要。 据统计，传统的数据安全模型是上个世纪 70 年代提出的，并且得到较好发展。到目前为止，在数据库上实现的安全策略基本上没有变化，仍旧为访问控制、用户认证、审计和加密存储。安全审计的任务是对用户已经完成的行为，给予回追式的分析，并对该行为的结果给出最终评价。这些安全机制在数据库管理上取得了较好成绩，但是面对高素质攻击人员、多样化攻击手段和复杂的网络环境，这些安全机制将无法实时监测入侵行为，保护数据库与数据的安全。基于异常的入侵检测是入侵检测研究领域中的一个重要课题，并取得了一定的研究成果。但是，这些研究成果主要针对操作系统和计算机网络，针对数据库系统的研究成果则相对较少。 以访问控制为例，虽然访问控制能够保证只有拥有相关权限的用户才可以访问数据，这也是防止数据泄露的第一道屏障，但是访问控制有一定的限制:如果采用严格的机制，访问控制的规则可能表达不够充分，在动态的环境中访问控制的规则可能需要频繁地更新，这些

数据库审计系统白皮书

360数据库审计系统产品白皮书

目录 1.产品概述 (3) 2.产品特点 (3) 2.1专业的数据库审计 (3) 2.2业务操作实时回放 (3) 2.3事件精准定位 (4) 2.4事件关联分析 (4) 2.5访问工具监控 (4) 2.6黑白名单审计 (5) 2.7变量审计 (5) 2.8关注字段值提取 (5) 2.9丰富完善的报表报告 (5) 3.产品价值 (5) 3.1未知数据库资产发现 (5) 3.2敏感数据信息管理 (6) 3.3数据库安全事件预警 (6) 3.4数据库安全事件追溯 (6) 3.5辅助用户数据库访问策略制定 (6) 3.6满足用户合规需求 (6) 4.主要功能 (6)

1.产品概述 360数据库审计系统是针对网络访问数据库的操作行为进行细粒度分析的安全设备，它可提供实时监控、违规响应、历史行为回溯等操作分析功能，是满 足数据库风险管理和内控要求、提升内部安全监管，保障数据库安全的有效手段。 2.产品特点 2.1专业的数据库审计 360数据库审计系统能够对业务网络中的各种数据库进行全方位的安全审计，具体包括： 1)数据访问审计：记录所有对保护数据的访问信息，包括文件操作、数据库执行SQL语句或存储过程等。系统审计所有用户对关键数据的访问行为，防止外部黑客入侵访问和内部人员非法获取敏感信息 2)数据变更审计：统计和查询所有被保护数据的变更记录，包括核心业务数据库表结构、关键数据文件的修改操作等等，防止外部和内部人员非法篡改重要的业务数据 3)用户操作审计：统计和查询所有用户的登录成功和失败尝试记录，记录所有用户的访问操作和用户配置信息及其权限变更情况，可用于事故和故障的追踪和诊断 4)违规访问行为审计：记录和发现用户违规访问。支持设定用户黑白名单，以及定义复杂的合规规则，支持告警 2.2业务操作实时回放 360数据库审计系统产品能对访问数据库操作进行实时、详细的监控和审计，包括各种登录命令、数据操作指令、网络操作指令，并审计操作结果，支持过程回放，真实地展现用户的操作。

数据库安全性习题解答和解析学习资料

数据库安全性习题解 答和解析

第九章数据库安全性习题解答和解析 1.1.什么是数据库的安全性? 答：数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄露、更改或破坏。 2.2.数据库安全性和计算机系统的安全性有什么关系? 答：安全性问题不是数据库系统所独有的,所有计算机系统都有这个问题。只是在数据库系统中大量数据集中存放,而且为许多最终用户直接共享,从而使安全性问题更为突出。 系统安全保护措施是否有效是数据库系统的主要指标之一。数据库的安全性和计算机系统的安全性,包括操作系统、网络系统的安全性是紧密联系、相互支持的。 3.试述可信计算机系统评测标准的情况,试述TDI/TCSEC标准的基本内容。 答：各个国家在计算机安全技术方面都建立了一套可信标准。目前各国引用或制定的一系列安全标准中,最重要的是美国国防部(DoD)正式颁布的《DoD 可信计算机系统评估标准》(Trusted Computer System Evaluation Criteria,简称 TCSEC,又称桔皮书)。(详细介绍参见《概论》9.1.2)。 TDI/TCSEC标准是将TCSEC扩展到数据库管理系统,即《可信计算机系统评估标准关于可信数据库系统的解释》(Trusted Database Interpretation 简称TDI, 又称紫皮书)。在TDI中定义了数据库管理系统的设计与实现中需满足和用以进行安全性级别评估的标准。 TDI与TCSEC一样,从安全策略、责任、保证和文档四个方面来描述安全性级别划分的指标。每个方面又细分为若干项。这些指标的具体内容,参见《概论》9.1.2。 4.试述TCSEC(TDI)将系统安全级别划分为4组7个等级的基本内容。 答：根据计算机系统对安全性各项指标的支持情况,TCSEC(TDI)将系统划分为四组(division)7个等级,依次是D、C(C1,C2)、B(B1,B2,B3)、A(A1),按系统可靠或可信程度逐渐增高。

国都兴业慧眼数据库审计系统产品白皮书 v3.0

慧眼数据库审计系统产品白皮书（V3.0） 国都兴业信息审计系统技术（北京）有限公司 二〇一四年

版权声明 本技术白皮书是对国都兴业信息审计系统技术（北京）有限公司慧眼数据库审计系统产品的描述。与内容相关的权利归国都兴业信息审计系统技术（北京）有限公司所有。白皮书中的任何内容未经本公司许可，不得转印、复制。本资料将定期更新，如欲索取最新资料，请访问本公司网站：https://www.sodocs.net/doc/c518169085.html, 您的意见或建议请发至：china@https://www.sodocs.net/doc/c518169085.html, 公司联系方式： 国都兴业信息审计系统技术（北京）有限公司 北京市海淀区东北旺西路8号中关村软件园10号楼106室 邮政编码100193 106 Great Road Building, Zhongguancun Software Park, 8 Dongbeiwang Western RD, Haidian District, Beijing 100193, P.R.China 电话(Tel): +86-10-82585166 传真(Fax): +86-10-82825363 电子信箱: china@https://www.sodocs.net/doc/c518169085.html,

公司简介 国都兴业信息审计系统技术（北京）有限公司创建于1998年，公司总部设立于北京中关村软件园，是最优秀的信息系统审计解决方案、产品和服务提供商，具有强大的自主研发实力，是通过ISO9001：2000质量管理体系认证的北京市高新技术企业。国都兴业致力于提升用户掌控信息系统风险的能力，在信息系统的安全性、可靠性、合规性等方面提供全面的IT审计解决方案和服务，开发和销售专业的IT审计产品，解决用户对信息系统监测、评估和控制管理等方面的各项需求。 国都兴业是国内信息系统审计领域最具技术创新和产品研发实力的企业，是国内最早研发生产网络应用监控审计类产品的知名企业。国都兴业推出的“慧眼”信息审计系列产品，能够针对IT基础设施、信息安全、网络应用、数据库应用以及业务操作等方面，提供全方位地实时监测和审计，被广泛地应用于企业内部控制、企业风险管理、信息系统安全保障等方面。“慧眼数据库审计系统”连续两年入选中央国家机关网络安全产品协议供货商名录，通过国家、公安部、涉密、军队等信息安全产品认证，并被授予“2008年度最值得信赖品牌奖”。 国都兴业拥有来自军队、科研机构、国内知名院校的专家与学者组成的研发团队，拥有与国家信息技术安全研究中心（N&A）共同组建的网络安全监控技术实验室，在为政府、军队、金融、电信、能源、医疗、教育等行业提供了完善的网络安全解决方案和服务的同时，还承担了多项国家、军队科研攻关项目的研究工作。 国都兴业以雄厚的技术实力、优秀的产品和优质的服务获得业界的广泛认可，荣获“中国信息化建设30周年杰出贡献单位奖”、“中国信息化建设30周年杰出贡献人物奖”，入选北京信息安全服务平台2008年度运维支持单位，并圆满完成2008年奥运网络安全评估与保障任务，被授予“共铸网络利剑，携手平安奥运”的嘉奖。 国都兴业将秉承“诚信、兴业、自信、创新”的企业精神，致力于成为最优秀的IT审计企业、最值得客户信赖的企业、最吸引优秀人才的企业，为“提升企业驾驭IT的能力，创造信息系统新价值”而不懈努力！

数据库安全审计常见8种缺陷

数据库安全审计常见8种缺陷 作者安华金和刘晓韬 随着信息化的发展，数据库安全问题成为当前政府和企事业单位用户关注的焦点，数据库审计产品已经成为当前信息安全产品的盛宠。 当前在市面上存在着几十种数据库审计产品，这些产品集中起来大约可分四种类型：（1）在网络审计产品的基础上经过简单包装推出数据库审计产品的既有网络审计产品厂商，比如国内几大安全厂商推出的数据库审计产品，安全圈都知道，不再例举； （2）针对数据库通讯协议的特点开发出专门的数据库审计产品的国内细分领域安全厂商，比如安华金和、思福迪、国都兴业、帕拉迪等； （3）国外的数据库审计产品，比如Imperva、Guardium等； （4）OEM第三方的数据库审计产品，OEM对象可能来自国内，也可能来自国外，比如Imperva或韩国的DBInsight。 随着国产化采购政策的推动，处于安全性的考虑，国外数据库审计产品，不在本文的评论范围内。笔者将重点对国内数据库审计产品常见缺陷进行分析。以下分门别类，针对最常见的8类数据库安全审计产品缺陷展开讲解。 长SQL语句漏审 大多数的SQL语句都在1K以里长度，市面上的数据库审计产品大多都能准确记录下，也能实现正常的解析；但在SQL语句超过1.5K时，很多的数据库审计产品就会发生漏审，或者只能审计下部分SQL语句。 一般Oracle一个通讯包的长度在2K，单一包内能够容纳的语句长度大约在1.4K多一点（大约为1460）；超过这个大小的SQL语句一般会拆分成多包；在Oracle 11g下通常通讯包为2K，最大可以达到8K；对于Oracle数据库没有明确说明可兼容的SQL语句的长度，有的说32K或64K是个临界点，但笔者也曾作过尝试2M做的SQL语句也能发送并被Oracle正常解析。 对于一些数据库审计产品，由于没有将多个SQL通讯包进行有效解析和关联，在发生长SQL语句时会发生无法解析或解析不全的情况；具体表现是，对于长SQL语句并未记录，或仅记录了前半部分。 这种情况的危害是，对于有些业务系统中自身就包含长SQL语句，比如经分系统，报表系统，这些SQL语句会被漏记；同时，一些黑客或攻击人员会利用这样的一些漏洞，进行数据库攻击而不留下痕迹。比如，若某个数据库审计产品，是基于单包解析机制进行的，则对于超过1.5K的SQL语句无法记录或仅记录了前1.5K，则攻击者可以首先加入1.5K长的注释，然后再写语句，这样会发生漏审或被审计下来的信息无效。

网络安全审计系统需求分析

安全审计系统需求分析 关键字：行为监控，内容审计 摘要：系统集内容审计与行为监控为一体，以旁路的方式部署在网络中，实时采集网络数据，并按照指定策略对数据进行过滤，然后将数据所体现的内容和行为特性一并存在到数据服务器上。向用户提供审计分析功能，以及后期取证功能。 需求背景 按等级进行计算机信息系统安全保护的相关单位或部门，往往需要对流经部门与外界接点的数据实施内容审计与行为监控的，以防止非法信息恶意传播及国家机密、商业知识和知识产权等信息泄露。并且单位的网管部门需要掌握网络资源的使用情况，提高单位或部门的工作效率。 所涉及的单位类型有政府、军队机关的网络管理部门，公安、保密、司法等国家授权的网络安全监察部门，金融、电信、电力、保险、海关、商检、学校、军工等各行业网络管理中心，大中型企业网络管理中心等。 一、实现的效果和目的 a. 对用户的网络行为监控、网络传输内容审计（如员工是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了公司的机密信息，是否通过网络传播了反动言论等）。 b. 掌握网络使用情况（用途、流量），提高工作效率。 c. 网络传输信息的实时采集、海量存储。 d. 网络传输信息的统计分析。 e. 网络行为后期取证。 f. 对网络潜在威胁者予以威慑。 二、典型的系统组成

安全审计系统由三部分组成：审计引擎、数据中心、管理中心。 图1 ：典型的单点部署 审计引擎（硬件）：审计引擎对流经HUB/Switch的信息进行采集、过滤、重组、预分析，并把分析后的数据流发送给数据中心。 数据中心（软件）：对审计引擎传送过来的数据流进行存储；按照用户的指令对数据进行还原、解码、解压缩，并可进行关键字查询审计、统计分析。 管理中心（软件）：提供WEB形式的管理界面，可以方便的对系统进行管理、对网络行为监控、内容审计。用户使用WEB浏览器可以实现对整个系统的管理、使用。 图2：适合多级管理的分布式部署

绿盟网络入侵防护系统产品白皮书

绿盟网络入侵防护系统 产品白皮书 ? 2011 绿盟科技

■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录 一. 前言 (2) 二. 为什么需要入侵防护系统 (2) 2.1防火墙的局限 (3) 2.2入侵检测系统的不足 (3) 2.3入侵防护系统的特点 (3) 三. 如何评价入侵防护系统 (4) 四. 绿盟网络入侵防护系统 (4) 4.1体系结构 (5) 4.2主要功能 (5) 4.3产品特点 (6) 4.3.1 多种技术融合的入侵检测机制 (6) 4.3.2 2~7层深度入侵防护能力 (8) 4.3.3 强大的防火墙功能 (9) 4.3.4 先进的Web威胁抵御能力 (9) 4.3.5 灵活高效的病毒防御能力 (10) 4.3.6 基于对象的虚拟系统 (10) 4.3.7 基于应用的流量管理 (11) 4.3.8 实用的上网行为管理 (11) 4.3.9 灵活的组网方式 (11) 4.3.10 强大的管理能力 (12) 4.3.11 完善的报表系统 (13) 4.3.12 完备的高可用性 (13) 4.3.13 丰富的响应方式 (14) 4.3.14 高可靠的自身安全性 (14) 4.4解决方案 (15) 4.4.1 多链路防护解决方案 (15) 4.4.2 交换防护解决方案 (16) 4.4.3 路由防护解决方案 (16) 4.4.4 混合防护解决方案 (17) 五. 结论 (18)

数据库审计系统

数据库审计系统 项目需求书项目名称：数据库审计系统

一、系统概述 数据库审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，能对特定的操作进行告警，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。 二、采购清单 本次招标采购的软硬件以及配套设备如下表：

三、系统建设目标 （一）系统目标 建设适应未来发展和管理需要的、功能完善、架构合理、技术先进的数据库审计系统，实现信息科技运行安全、数据安全，方便快捷地实现对各个数据库操作实时监控，提高运行安全性，满足监管要求。 （二）安全目标 系统安全架构和流程设计必须符合我行相关业务规范、技术规范和安全规范，符合国家密码管理局和人民银行、银保监会等监管机构的安全性要求，保证所采取的安全措施符合相关法律法规的规定。 系统应具有数据传输及存储过程中的可靠性、完整性、可用性、机密性、可审计性，确保客户信息的安全。 系统应具有完备的安全控管功能和审计功能，能够记录自身运行的日志信息，能够对系统操作员的操作记录进行审计。 四、功能需求 （一）总体要求 数据库审计系统建设应遵循以下原则进行设计和实现： 1.系统化：系统功能全面、完善，各个环节应有机结合形成统一的整体。 2.成熟性：选用成熟的系统，能够满足大部分的技术要求，结合监管、审计以及我行实际的需求形成完善的数据库审计系统。 3.稳定性：系统各项功能模块运行应稳定可靠，各项流程模块、报告的结果及时准确无误，用户操作流畅，与被监控的第三方系统不产生负面影响。 4.可配置：运维服务的流程简易功能以及报表等均可由用户自行设置。 5.可扩展、易集成：系统的功能和部署范围应具有根据招标方需求进行扩展的能力。 6.安全性：系统的安全性应达到招标方安全管理的规范要求，并在实施过程中做好安全保障措施和应急准备，确保方案优良和建设过程顺利。 7.自动化：能自动发现现有数据库的信息，能自动监控数据库操作，自动推

数据库审计方案

数据库审计方案

数据库审计与风险控制解决方案 1 概述 1.1 数据库面临的安全挑战 数据库是企业核心业务开展过程中最具有战略性的资产，一般都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其它非法者获取。互联网的急速发展使得企业的数据库信息价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面： 管理层面：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。 技术层面：现有的数据库内部操作不明，无法经过外部的任何安全工具(比如：防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。 审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。

伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。 1.2 数据库审计的客观需求 数据库审计与风险控制的目的概括来说主要是三个方面：一是确保数据的完整性;二是让管理者全面了解数据库实际发生的情况;三是在可疑行为发生时能够自动启动预先设置的告警流程，防范数据库风险的发生。因此，如何采取一种可信赖的综合途径，确保数据库活动记录的100%捕获是极为重要的，任何一种遗漏关键活动的行为，都会导致数据库安全上的错误判断，而且干扰数据库在运行时的性能。只有充分理解企业对数据库安全审计的客观需求，才能够给出行之有效的解决方案： 捕捉数据访问：不论在什么时间、以什么方式、只要数据被修改或查看了就需要自动对其进行追踪; 捕捉数据库配置变化：当“数据库表结构、控制数据访问的权限和数据库配置模式”等发生变化时，需要进行自动追踪; 自动防御：当探测到值得注意的情况时，需要自动启动事先设置的告警策略，以便数据库安全管理员及时采取有效应对措施，对于严重影响业务运行的高风险行为甚至能够立即阻断;