数据库审计方案

数据库审计方案

数据库审计与风险控制解决方案

1 概述

1.1 数据库面临的安全挑战

数据库是企业核心业务开展过程中最具有战略性的资产，一般都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其它非法者获取。互联网的急速发展使得企业的数据库信息价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：

管理层面：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。

技术层面：现有的数据库内部操作不明，无法经过外部的任何安全工具(比如：防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。

审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。

伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。

1.2 数据库审计的客观需求

数据库审计与风险控制的目的概括来说主要是三个方面：一是确保数据的完整性;二是让管理者全面了解数据库实际发生的情况;三是在可疑行为发生时能够自动启动预先设置的告警流程，防范数据库风险的发生。因此，如何采取一种可信赖的综合途径，确保数据库活动记录的100%捕获是极为重要的，任何一种遗漏关键活动的行为，都会导致数据库安全上的错误判断，而且干扰数据库在运行时的性能。只有充分理解企业对数据库安全审计的客观需求，才能够给出行之有效的解决方案：

捕捉数据访问：不论在什么时间、以什么方式、只要数据被修改或查看了就需要自动对其进行追踪;

捕捉数据库配置变化：当“数据库表结构、控制数据访问的权限和数据库配置模式”等发生变化时，需要进行自动追踪;

自动防御：当探测到值得注意的情况时，需要自动启动事先设置的告警策略，以便数据库安全管理员及时采取有效应对措施，对于严重影响业务运行的高风险行为甚至能够立即阻断;

审计策略的灵活配置和管理：提供一种直截了当的方法来配置所有目标服务器的审计形式、具体说明关注的活动以及风险来临时采取的动作;

审计记录的管理：将从多个层面追踪到的信息自动整合到一个便于管理的，长期通用的数据存储中，且这些数据需要独立于被审计数据库本身;

灵活的报告生成：临时和周期性地以各种格式输出审计分析结果，用于显示、打印和传输;

1.3 现有的数据库审计解决方案的不足

传统的审计方案，或多或少存在一些缺陷，主要表现在以下几个方面：

传统网络安全方案：依靠传统的网络防火墙及入侵保护系统(IPS)，在网络中检查并实施数据库访问控制策略。可是网络防火墙只能实现对IP地址、端口及协议的访问控制，无法识别特定用户的具体数据库活动(比如：某个用户使用数据库客户端删除某张数据库表);而IPS虽然能够依赖特征库有限阻止数据库软件已知漏洞的攻击，但她同样无法判别具体的数据库用户活动，更谈不上细粒度的审计。因此，无论是防火墙，还是IPS都不能解决数据库特权滥用等问题。

基于日志收集方案：需要数据库软件本身开启审计功能，经过采集数据库系统日志信息的方法形成审计报告，这样的审计方案

受限于数据库的审计日志功能和访问控制功能，在审计深度、审计响应的实时性方面都难以获得很好的审计效果。同时，开启数据库审计功能，一方面会增加数据库服务器的资源消耗，严重影响数据库性能;另一方面审计信息的真实性、完整性也无法保证。

其它诸如应用程序修改、数据源触发器、统一认证系统授权等等方式，均只能记录有限的信息，更加无法提供细料度的数据库操作审计。

1.4 本方案解决的数据库安全问题

为了解决企业数据库安全领域的深层次、应用及业务逻辑层面的安全问题及审计需求，杭州安恒信息技术有限公司依靠其对入侵检测技术的深入研究及安全服务团队积累的数据库安全知识，研制并成功推出了全球领先的、面向企业核心数据库的、集“全方位的风险评估、多视角的访问控制、深层次的审计报告”于一体的数据库审计与风险控制设备，即明御数据库审计与风险控制系统，为企业核心数据库提供全方位安全防护。

在企业业务支撑网络中部署了明御数据库审计与风险控制系统，能够实现企业核心数据库的“系统运行可视化、日常操作可跟踪、安全事件可鉴定”目标，解决企业数据库所面临的管理层面、技术层面、审计层面的三大风险,以满足企业的不断增长的业务需要。明御数据库审计与风险控制系统对于企业数据库的安全防护功能，概括起来体现在以下三个方面：

首先：明御数据库审计与风险控制系统采用“网络抓包、本地操作审计”组合工作模式，结合安恒专用的硬件加速卡，确保数据库访问的100%完整记录，为后续的日常操作跟踪、安全事件鉴定奠定了基础。

其次：明御数据库审计与风险控制系统经过专利级的双引擎技术，一方面利用数据库安全研究团队多年积累的安全知识库，防止无意的危险误操作，阻止数据库软件漏洞引起的恶意攻击;另一方面，依赖智能自学习过程中动态创立的安全模型与异常引擎相结合，有效控制越权操作、违规操作等异常操作行为。

再者：明御数据库审计与风险控制系统依赖其独特的数据库安全策略库，能够深入到应用层协议(如操作命令、数据库对象、业务操作过程)实现细料度的安全审计，并根据事先设置的安全策略采取诸如产生告警记录、发送告警邮件(或短信)、提升风险等级、加入黑名单、立即阻断等响应。同时，明御数据库审计与风险控制系统能够提供多视角的审计报告，即根据实时记录的网络访问情况，提供多种安全审计报告，更清晰地了解系统的使用情况以及安全事件的发生情况，并可根据这些安全审计报告进一步修改和完善数据库安全策略库。

2 方案总体结构

2.1 主要功能