安华金和数据库加密系统(DBCoffer)
数据库加密技术的要点分析
数据库加密技术的要点分析最近两年，信息安全产业随着斯诺登事件的爆发，从国家战略高度得到重视，大量的数据安全泄密事件，让企业与用户对此关注也越来越高。
安全攻击方法和策略在升级，传统的边界安全防御机制备受挑战，攻与防的较量之间，对决焦点直指泄密源——核心数据。
对于一家组织机构的核心数据往往存于传统安全防护手段难以从根本防护的数据库存储层。
入侵者或直接采取行动从外部入侵数据库主机，或利用职权之便从内部窃取数据，从而将不设防或边界网关设防的数据库存储数据整库窃走。
这种对于窃取者而言屡试不爽行为的方式背后，围绕数据库安全的行之有效的加密保护技术呼之欲出，从根本拯救数据库安全。
对数据库存储层核心数据进行加密，可以解决库内明文存储引发的信息泄露风险，也能解决数据库高权限用户不受控制的现状。
但是数据库加密这项技术要想形成真正让用户既安全又安心的产品，以下几个核心技术是用户选择该类产品的关键。
数据库列级加密策略配置在敏感系统的后台数据库中，真正需要加密存储的内容其实占据整个数据库信息的少部分，如用户身份认证信息，账户资金等，成熟的数据库加密技术可以将加密粒度控制在列级，只选择最核心列的内容进行加密，既能保证核心数据的安全性，又能避免整库加密方式造成的严重性能损耗。
现在市场上比较成熟的数据库加密产品，如安华金和的数据库保险箱（DBCoffer）即采用以列为单位进行数据库加解密的技术，能全面应对如number、varchar、date、lob等数据类型，做到用较小的代价保护用户最核心的敏感数据。
数据库运维三权分立有些数据库自身具有加密模块，如Oracle数据库。
但是这些模块的配置和权限掌握在DBA手中，这对于用户来说就像只锁上保险柜而不管理钥匙，从根本上无法解决内部高权限用户进行主动窃取数据或者误操作批量删除、修改数据，从而引发数据库安全问题。
安华金和数据库保险箱（DBCoffer）引入安全管理员和审计管理员，与数据库管理员DBA多个身份账户，并对数据库加密列的访问权限进行有效管控，，三个角色之间相互协作，各司其责，确保数据库核心数据的使用根本上安全合规。
安华金和数据库保险箱（DBCoffer for Mysql）用户手册说明书
安华金和数据库保险箱（DBCofferfor Mysql）用户手册■文档编号MySQL_TDE_Cloud_20170907■密级完全公开■版本编号V 1.2■日期2017.09.07©2017安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
■适用性声明本模板用于撰写安华金和公司介绍、项目方案、商业计划书等目录安华金和数据库保险箱（DBCOFFER FOR MYSQL） (1)用户手册 (1)一.产品简介 (4)1.1概述 (4)1.2术语定义 (4)二.特别说明 (4)三.产品部署 (5)3.1W EB管理端配置 (5)3.2安全服务初始化 (8)3.3获取主机ID (9)3.4导入LICENSE (11)3.5启动安全服务 (12)3.6备份密钥库 (13)3.7添加M YSQL实例 (14)3.8DBC OFFER-MYSQL部署 (16)3.9数据表加解密 (17)3.9.1数据表加密 (17)3.9.2数据表解密 (21)3.10权限设置 (25)3.10.1客户端IP限定 (25)3.10.2权限设置 (27)3.10.3应用关联 (30)四.三权分立 (33)4.1系统管理员 (33)4.1.1网络管理 (33)4.1.2配置管理 (34)4.1.3用户管理 (36)4.2安全管理员 (38)4.3审计管理员 (39)五.加密数据文件离线还原工具 (40)一.产品简介1.1概述安华金和针对客户对MySQL数据库的高安全性需求，提供安华金和数据库保险箱（简称DBCoffer）产品。
安华金和数据库保险箱系统使用透明加密技术，在不影响MySQL原有功能的基础上，实现对高敏感及重要数据的加密保护。
能够主动保护内部的数据安全，对数据库系统进行有效的安全加固。
安华金和数据库漏洞扫描系统介绍
安华金和数据库漏洞扫描系统产品简介安华金和数据库漏洞扫描系统xSecure-DBScan一款帮助用户对当前的数据库系统进行自动化安全评估的专业软件，能有效暴露当前数据库系统的安全问题，提供对数据库的安全状况进行持续化监控，帮助用户保持数据库的安全健康状态。
一、xSecure-DBScan的核心价值发现外部黑客攻击漏洞，防止外部攻击：实现非授权的从外到内的检测；模拟黑客使用的漏洞发现技术，在没有授权的情况下，对目标数据库的安全性作深入的探测分析；收集外部人员可以利用的数据库漏洞的详细信息。
分析内部不安全配置，防止越权访问：通过只读账户，实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置安全评估；避免内外部的非授权访问。
监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况发生的变化进行报告和分析。
二、xSecure-DBScan的竞争力（1）最大的DBMS安全漏洞知识库xSecure-DBScan支持1311个安全漏洞库；国内普通安全厂商的漏洞检测数在300个左右；专业数据库漏洞工具的检测数600-700个。
（2）最全面的数据库安全检查范围xSecure-DBScan支持4163个安全检测点；覆盖DBMS漏洞、管理员维护漏洞、程序代码漏洞和高危敏感数据检测四个方面的数据库安全检查。
（3）先进的数据库安全检查技术xSecure-DBScan支持多种数据库自动化检查技术；先进的网络数据库发现技术，不仅提供数据库服务器发现技术，还提供数据库实例发现技术；实现多种DBMS的密码生成技术，提供1万多个口令爆破库，实现快速的弱口令检测方法。
（4）持续的数据库安全状况监控突破传统的漏扫产品仅作为数据库漏洞检查工具的限制，实现对数据库运维安全状况的监控，包括相关安全配置、连接状况、用户变更状况、权限变更状况、代码变更状况等全方面的安全状况评估；建立安全基线，实现安全变化状况报告与分析。
安华金和数据库脱敏系统(DBMasker)
安华金和数据库脱敏系统（DBMasker）一. 产品概述安华金和数据库脱敏系统（简称DBMasker）是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。
DBMasker可以满足测试、开发、培训和数据共享场景的敏感数据保护需求。
DBMasker符合金融、运营商、能源、政府等行业敏感数据防护的政策合规性需求。
二. 产品价值2.1 防止生产库中敏感数据泄露DBMasker通过对生产库中的身份、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，防止生产库中的敏感数据泄露；DBMasker通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。
2.2 提升测试、开发和培训数据质量DBMasker通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。
2.3 提高数据维护和数据共享安全性DBMasker通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度，控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。
通过对访问者的不同策略，满足细粒度的生产数据访问需求。
比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息。
2.4 实现隐私数据管理的政策合规性通过DBMasker脱敏产品，可以帮助组织满足国际标准、行业监管政策中，对测试和开发环节的敏感数据保护需求。
三. 产品优势3.1 漂白只是开始，完备脱敏解决方案DBMasker具备全面的数据漂白能力，同时DBMasker具备以下能力：1）数据间关系保持：实现表间关系、同表列间关系、数据分布关系保持；2）数据子集抽取：实现基于百分比、时间或其它条件的数据抽取；3）实时动态数据脱敏：不需要数据转换存储，实时数据掩码或访问控制。
常见安全设备整理
计算机信息系统安全产品概述一、安全设备整体分类1.1、整体概述计算机信息系统安全专用产品，涉及实体安全、运行安全和信息安全三个方面。
实体安全包括环境安全，设备安全和媒体安全三个方面。
运行安全包括风险分析,审计跟踪，备份与恢复，应急四个方面。
信息安全包括操作系统安全，数据库安全，网络安全，病毒防护，访问控制，加密与鉴别七个方面。
1.2、术语定义计算机信息系统（Computer Information System）是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
计算机信息系统安全专用产品（Security Products for Computer Information Systems）是指用于保护计算机信息系统安全的专用硬件和软件产品。
实体安全（Physical Security）保护计算机设备、设施（含网络）以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故（如电磁污染等）破坏的措施、过程。
运行安全（Operation Security）为保障系统功能的安全实现，提供一套安全措施（如风险分析，审计跟踪，备份与恢复，应急等）来保护信息处理过程的安全。
信息安全（Information Security）防止信息财产被故意的或偶然的非授权泄露、更改、破坏或使信息被非法的系统辨识，控制。
即确保信息的完整性、保密性，可用性和可控性。
黑客（Hacker）对计算机信息系统进行非授权访问的人员。
应急计划（Contingency Plan）在紧急状态下，使系统能够尽量完成原定任务的计划。
证书授权（Certificate Authority）通过证书的形式证明实体（如用户身份，用户的公开密钥等）的真实性。
安全操作系统（Secure Operation System）为所管理的数据和资源提供相应的安全保护，而有效控制硬件和软件功能的操作系统。
DBCoffer产品技术白皮书_标准版
2.5. DBCoffer 产品性能优势................................................................................................. 11
2.5.1.
测试结论.......................................................................................................... 11
安华金和数据库保险箱系统— DBCoffer 技术白皮书
北 京 安 华 金 和 科 技 有 限 公 司.
版权所有(©2010)
北京公司：北京市海淀区百花科技苑 A 座 201 电 话：010-88571665 传 真：010-88571665 邮 编：100081
安华金和数据库保险箱系统—DBCoffer 技术白皮书
1.2.4.
系统安全............................................................................................................ 4
1.2.5.
维护管理功能.................................................................................................... 4
2.1. Oracle 加密产品基本状况............................................................................................... 6
安华金和,用技术实力创造高价值安全产品
安华金和，用技术实力创造高价值安全产品凭借在数据库安全领域多年技术积累和对用户需求的充分满足，安华金和在“2016中国IT运维大会大型评选”活动中两款入围产品一举拿下两项获奖荣誉——数据库安全管控平台DBController荣获“2016中国IT运维最佳技术突破奖”；数据库脱敏系统DBMasker荣获“2016中国IT运维管理最佳产品奖”，向市场交付更具使用价值的产品是安华金和的自我驱动力，两个奖项代表了市场对安华金和的高度认可。
放下荣誉，聚焦产品，今天为大家介绍下数据库安全管控平台（DBController）和数据库脱敏系统（DBMasker）这两款明星产品。
一. 明星产品之数据库安全管控平台DBController名副其实的运维管控利器，运维主管安心睡好觉安华金和作为数据库安全领域唯一掌握大型数据库的内核技术和架构原理的厂商，能够提供全系列领先数据库安全产品解决方案，覆盖数据库的检查预警、主动防御、底线防守、事后追查等各个环节。
在主动防御环节，安华金和专门针对运维侧的管理研发出数据库安全管控平台——DBController。
网络安全防护手段往往忽略了对数据库运维侧的管控，运维人员拥有很大的数据库操作权限，数据库口令暴露、高危操作、用户身份不清等数据库运维安全隐患越发清晰可见。
这种状况显然是企业构建全面数据库安全防护体系所应包含的一个重要方面。
安华金和挖掘运维安全的棘手之处，以治标治本的思路研发出的数据库运维管控平台专门针对安全运维需求制定运维行为规范制度，从身份识别、访问审批、流程管理三个层面对不合规操作加以阻挡，运用策略展示和访问审计技术，建立了包含操作申请、操作审批流程的审批流程管理制度。
数据库安全管控平台产品架构数据库安全管控平台工作步骤1、无权限操作被拒。
运维人员使用任意客户端建立连接，无操作码或执行未申请的操作，会直接被拒绝。
2、运维人员提交操作申请。
操作申请需要包含操作的具体内容、操作行为发生的起始时间和截止时间，操作的目标数据库以及具体操作对象。
安华金和数据库加密系统(DES)
安华金和数据库加密系统(DES)©2019安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录安华金和数据库加密系统(DES) (1)目录 (2)一. 关于安华金和 (3)1.1发展历史 (3)1.2产品路标 (4)二. 数据库加密系统(DES) (5)2.1产品概述 (5)2.2客户价值 (5)2.2.1 防止由于明文存储引起的泄密 (5)2.2.2 防止外部非法入侵窃取敏感数据 (5)2.2.3 防止内部高权限用户数据窃取 (6)2.2.4 防止合法用户违规访问数据 (6)2.3产品优势 (6)2.3.1 透明数据加密 (6)2.3.2 高效数据检索 (7)2.3.3 增强访问控制 (7)2.3.4 应用身份安全 (7)2.3.5 高可用易维护 (7)2.4适用场景 (8)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。
安华金和由长期致力于数据处理和信息安全的专业人士共同创造，作为中国“数据安全治理”体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流程制定及技术支撑全方位的整体数据安全思路与方案；同时，安华金和作为独立的第三方云数据安全服务商（CDSP），为国内外各大云平台用户提供专业的数据安全保障；安华金和也是中国最大的公有云平台——阿里云在数据安全领域的战略合作方。
安华金和总部位于北京，分设北京营销中心与天津研发中心，下设11大分支机构，业务覆盖华北、东北、华东、华中、华南、西南等全国省市地区。
在政府、军工、金融、能源、教育、医疗、企业等各大行业建立多个标杆案例，并取得了良好的信誉口碑。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安华金和数据库加密系统系统
(DBCoffer)
一. 产品概述
安华金和数据库加密系统(简称DBCoffer) 是一款基于透明加密技术的数据库防泄漏产品，该产品能够实现对数据库中的敏感数据加密存储、访问控制增强、应用访问安全、安全审计以及三权分立功能。
安华金和数据库加密系统能够防止明文存储引起的数据泄密、防止突破边界防护的外部黑客攻击、防止内部高权限用户的数据窃取，从根源上防止敏感数据泄漏。
安华金和数据库加密系统通过独创的、专利的三层透明视图技术、密文索引技术和应用绑定技术，突破传统数据库安全加固产品的技术瓶颈，真正实现数据高度安全、应用完全透明、密文高效访问。
二. 产品价值
2.1 全方位主动预防数据泄密
预防外部黑客窃取数据
威胁：数据库权限提升是当前数据库漏洞中黑客使用率最高的攻击手段，通过该手段黑客直接获得DBA身份，任意访问敏感数据。
防护：安华金和数据库加密系统的密文访问控制体系，可以保证即使数据库自身的权限被突破，非授权用户仍然无法访问密文数据。
防止开发人员绕过合法应用
威胁：业务系统的数据库账户常被开发或运维人员掌握，通过该账户这些人员可以直接访问数据库。
防护：安华金和数据库加密系统的应用身份鉴别，确保第三方人员无法绕开合法的业务系统，直接访问敏感数据。
预防存储层明文泄密
威胁：硬件设备、备份磁盘丢失，数据文件、备份文件的拷贝，都将引起机密数据泄漏。
防护：通过安华金和数据库加密系统，将关键信息进行加密，加密后的数据在存储层以密文形态存在，保证他人即使拿到数据文件，也“看不懂”。
防止数据库运维人员操作敏感数据
威胁：数据库的运维人员，往往有最高范围权限，一般为DBA，可看到数据库中的所有敏感信息，不符合安全管理要求。
防护：安华金和数据库加密系统通过独立的二次权限控制、三权分立，保证即使是高权限运维用户，在得不到特殊授权时也无法访问敏感数据，同时不会影响其日常运维工作。
2.2 符合信息安全政策需求
等级保护：要求三级以上系统应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。
分级保护：要求系统内的涉密信息存储应采取密码措施进行保护；数据库应采用安全加
强措施。
互联网：《工业和信息化部关于近期部分互联网站信息泄漏事件的通告》，要求各互联
网站采用加密方式存储用户信息。
军队：要求四级及以上系统中的核心业务数据必须加密保护。
三. 产品优势
3.1 先进的专利技术
安华金和数据库加密系统在透明性和密文访问性能上具备绝对的技术优势，在这两个领域分别拥有自己的专利技术：
（专利号201010169778.7）专利1.《一种基于多级视图和触发器的数据库透明加解密方法》
该专利技术使得安华金和数据库加密系统打破传统数据库加密产品应用不透明的瓶颈，确保应用不需要改造。
专利2.《一种无偏序关系的数据库密文索引方法》（专利号201010169784.2）
该专利技术使得安华金和数据库加密系统突破电信等高端应用的性能瓶颈，确保亿级数
据规模下，性能几乎不下降。
3.2 广泛的高端客户应用案例
安华金和数据库加密系统是我国产品化成熟度最高的数据库加密产品。
安华金和数据库加密系统是率先在电信级高端业务中成功应用的国内同类产品，在移动、联通有多个亿级数据规模、上千并发度的大型复杂业务系统案例。
安华金和数据库加密系统在我国多个大型部委项目中得到应用，参与建设的国家某大型
在线系统，能有效防止公务人员信息泄漏，该系统24小时持续运行。
安华金和数据库加密系统广泛应用于我国的军工军队核心系统中，提供数据安全保障。
四. 功能特性
【存储加密】
安华金和数据库加密系统实现以列为单位进行数据加密。
支持国产加密设备和加密算法。
支持对各种常用数据类型加密：CHAR，VARCHAR2，VARCHAR，LOB，NUMBER，DATE。
支持随机盐加密策略，避免相同数据的加密结果相同。
【三权分立】
安华金和数据库加密系统实现DBA、安全管理员和审计管理员的三权分立，相互监督，相互制约。
【独立权限体系】
安华金和数据库加密系统实现基于密文的增强访问权限控制，防止DBA及高权限用户对敏感数据进行访问。
所有数据库用户想访问密文数据，必须经过密文授权。
【限定时间和IP】
安华金和数据库加密系统对于授权用户对受保护数据的访问能够限定到指定的时间和IP，实现更加精确的授权和访问控制。
【应用身份鉴别】
安华金和数据库加密系统实现应用系统、应用用户和数据库用户的绑定只有受信的应用通过授权的应用账户才具有密文访问权限，防止数据库用户口令泄漏后，绕开合法业务系统，对数据库直接访问。
【审计】
审计安全管理员的加解密和密文授权行为。
审计数据库用户的密文数据访问行为。
提供IP、时间、主体、客体、操作内容、结果等审计项，支持审计记录的过滤、分析、导出。
【多级容灾机制】
安华金和数据库加密系统支持一主多从的部署方式，实现容灾和负载均衡。
支持本地应急服务，最大限度提供数据加解密服务保障。
支持异地容灾备份机制，十分钟即可完成异地容灾部署。
【产品部署】
DBC安全服务器：产品的基础核心部件，完成数据加解密、权限校验、密钥管理和安全策略存储；接入数据库服务器所能连通的高速网络。
DBC安全代理：数据库服务器插件；实现对DBMS中加密数据的透明展现和高性能访问；安装在数据库服务器上。
DBC管理工具：高度易用的图形化管理工具，实现加密对象的选择、加密策略的制定、用户授权等，需安装在一台普通PC或笔记本上。