安恒数据库审计及风险控制系统用户手册v

数据库审计及风险控制系统

用户手册

杭州安恒信息技术有限公司

2010年5月

版权申明

本文档包含了来自杭州安恒信息技术有限公司机密的技术和商业信息，提供给杭州安恒信息技术有限公司的客户或合作伙伴使用。接受本文档表示同意对其内容保密并且未经杭州安恒信息技术有限公司书面认可，不得复制、泄露或散布本文档的全部或部分内容。

本文档及其描述的产品受有关法律的版权保护，对本文档内容的任何形式的非法复制，泄露或散布，将导致相应的法律责任。

杭州安恒信息技术有限公司保留在不另行通知的情况下修改本文档的权利，并保留对本文档内容的解释权。

This document contains confidential technical and commercial information from Hangzhou Anheng Info & Tech Co.Ltd. No part of it may be reproduced or transmitted in any form or means without the permission of Hangzhou Anheng Info & Tech Co.Ltd.

This document and the product it describes are protected by copyright according to the applicable laws.

The information in this document is subject to change without notice and describes only the product defined in the introduction of this documentation. Hangzhou Anheng Info & Tech Co.Ltd will, if necessary, explain issues, which may not be covered by the document.

Anheng logo is a registered trademark of Hangzhou Anheng Info & Tech Co.Ltd. The other product names mentioned in this document may be trademarks of their respective companies, and they are mentioned for identification purposes only. Copyright ? 2007 Hangzhou Anheng Info & Tech Co.Ltd. All rights reserved.

目 录

系统简介1 (6)

快速入门2 (7)

系统登录

2.1 (7)

2.2 (7)

系统布局

快速配置

2.3 (8)

系统功能3 (12)

探测器

3.1 (12)

数据中心

3.1.1 (12)

物理端口

3.1.2 (12)

新增

3.1.2.1 (12)

全部

3.1.2.2 (12)

探测器

3.1.3 (12)

所有探测器

3.1.4 (13)

功能配置

3.2 (13)

功能应用

3.2.1 (13)

引擎配置

3.2.2 (14)

选择采集设备

3.2.2.1 (14)

动作引擎

3.2.2.2 (14)

审计

3.3 (15)

关注行为

3.3.1 (15)

日常行为

3.3.2 (15)

查询

3.3.2.1 (15)

查看详细信息

3.3.2.2 (16)

查看会话

3.3.2.3 (16)

回放会话

3.3.2.4 (17)

3.3.3 (17)

回放

审计规则

3.4 (18)

审计规则快速配置

3.4.1 (18)

常规

3.4.2 (20)

审计对象组

3.4.3 (20)

新增

3.4.3.1 (21)

全部

3.4.3.2 (21)

规则组

3.4.4 (21)

新增

3.4.4.1 (21)

全部

3.4.4.2 (22)

3.4.5 (22)

规则

新增

3.4.5.1 (22)

3.4.5.2 (24)

全部

规则白名单

3.4.6 (24)

风险

3.5 (24)

高危

3.5.1 (25)

全部

3.5.2 (25)

查询

3.5.3 (25)

其他

3.5.4 (26)

常规配置

3.6 (26)

常规

3.6.1 (26)

引擎管理

3.6.1.1 (26)

数据来源

3.6.1.2 (26)

指定IP审计

3.6.1.3 (26)

客户端IP用途

3.6.1.4 (27)

数据来源等级

3.6.1.5 (28)

报文等级

3.6.1.6 (28)

IP等级

3.6.1.7 (29)

查询参数

3.6.1.8 (29)

设备

3.6.2 (29)

参数

3.6.2.1 (29)

系统链路

3.6.2.2 (29)

采集设备

3.6.2.3 (30)

阻断设备

3.6.2.4 (30)

3.6.3 (30)

通知

短信

3.6.3.1 (30)

邮件

3.6.3.2 (30)

SNMP服务

3.6.3.3 (31)

syslog服务

3.6.4 (31)

代理服务器

3.6.4.1 (31)

syslog服务器

3.6.4.2 (32)

系统

3.7 (32)

权限管理

3.7.1 (32)

新增用户

3.7.1.1 (33)

全部用户

3.7.1.2 (33)

角色

3.7.1.3 (33)

用户安全设置

3.7.1.4 (33)

3.7.2 (33)

数据维护

自动备份

3.7.2.1 (33)

3.7.2.2 (34)

手动备份

备份导入

3.7.2.3 (35)

自动清理

3.7.2.4 (35)

出厂设置

3.7.2.5 (35)

运行状态

3.7.3 (36)

服务器

3.7.3.1 (36)

探测器

3.7.3.2 (36)

采集设备

3.7.3.3 (36)

系统工具

3.7.4 (37)

其他

3.7.5 (37)

升级

3.7.5.1 (37)

系统日志

3.7.5.2 (38)

操作日志

3.8 (38)

报表

3.9 (38)

管理

3.9.1 (38)

预览别和名称

3.9.2 (38)

3.9.3 (45)

报表导出

Console控制台4 (46)

4.1 (46)

串口连接配置

Console配置

4.2 (47)

https根证书安装5 (52)

1 系统简介

数据库审计系统主要用于监视并记录对数据库服务器的各类操作行为及返回信息，并可以根据设置的规则，智能的判断出各种风险行为，并对违规行为进行报警（邮件、短信）等。有效地弥补现有应用业务系统在数据库安全使用上的不足，为数据库系统的安全运行提供了有力保障。

本系统采用目前业界最流行的B/S架构，用户可以方便的通过网络对系统的运行状况、数据库的受攻击程度进行操作、监控。采用B/S架构将很大程度上减少用户对系统成本的投入，其中包括维护成本。

特点

支持旁路技术，不影响被保护数据库的性能；

使用简单，不需要对被保护数据库进行任何设置；

适用面广，可以支持Oracle、MS SQL Server、Sybase，db2,Informix, MySQL等多类常用数据库；

审计精细度高，可审计并还原SQL操作语句；

可解析出SQL操作的返回信息；

提供细粒度、灵活的审计规则和查询条件

严格的权限管理机制，防止非授权用户修改数据；

内置安全策略，自动识别各种典型攻击，并及时采取措施，更有力的保障数据库的安全运行。

多级管理模式，一个数据库和服务器可以配置多个探测器，实现多个探测器同时采集数据的功能。

在功能列表区中选择某子功能后，在操作区显示对应的相关详细信息。用户可以在本区域内进行查询、编辑等具体的操作。

系统登录后，默认进入审计信息查询页面。明御系统的数据库审计部分的功能大致分为 [审计]、[风险]、[报表]、[审计规则]、[功能配置]和[探测器]、[常规配置]、[系统]、[日志]九个功能选项。

[审计]选项卡，查看关注行为（根据审计规则配置）、自定义查询、审计内容回放；

[风险]选项卡，查看告警事件及当前阻断情况；

[报表]选项卡，查看报表信息；

[审计规则]选项卡，配置审计规则；

[功能配置]选项卡，进行业务主机群级别的引擎配置（引擎加载、采集设备配置、动作配置等）；

[综合审计]选项卡，对syslog和snmp发送过来的日志进行查询。

[探测器]选项卡，查看或配置探测器信息；

[常规配置]选项卡，进行系统引擎、链路管理、阻断设备、来访客户网络、邮件、syslog服务器等常规配置；

[系统]选项卡，进行权限管理（用户管理）、数据维护、升级等功能；

[日志]选项卡，查看系统自身操作日志，记录所有修改及登录操作；

2.3 快速配置

第一步：添加物理端口

进入探测器菜单，新增物理端口，填入IP地址、选择物理端口、版本、端口和运行环境，点保存。如下图所示：（添加IP:192.168.3.21、业务类型:oracle 版本:10g 端口：1521 运行环境：linux）

第二步：添加探测器和挂载物理端口

按顺序分别添加,如下图所示：

a．添加探测器，输入探测器名称和对应的IP，点保存。（如：探测器35，IP为192.168.3.35）。这个必须要管理员去CONSOLE控制台里把这个探测器数据中心机IP改成对应的数据中心机IP就行了。

b．添加业务主机群，输入业务主机群名称，选择类型，点保存。（如：后台数据库，类型为oracle），选择上传至数据中心机。

在中心机添加的探测器的业务主机群，审计到的数据只能在中心机查看，探测器上看不到。

登录到探测器35，添加业务主机群，可以选择上传或不上传数据中心。

如果上传数据中心，在数据中心和探测器都可以看到采集的数据，如果选择不上传，只能在探测器本地查看对应的审计数据。

c．挂载物理端口，选择物理端口，点挂载。如：192.168.3.21:1521(ORACLE 10g)。

注：如果需要用同一个探测器的话，那么只需要在业务主机群中添加业务主机群的名字即可；如果是通过一个业务主机群系统要添加多个物理IP端口的话，可以在业务主机群后直接挂载相应的物理端口。

第三步: 切换到已添加的业务主机群

选项卡区，点切换，下拉菜单中选择已添加的业务主机群，点业务主机群名称。(如下图中下拉菜单里显示的“35探测器”—“义乌工商”)

第四步：开启审计引擎

切换到单个业务主机群后，进入功能配置菜单，在引擎的功能应用里，选择引擎，点保存。

（如下图中选择审计引擎，注：审计引擎为必选的引擎，特征引擎为可选引擎）

第五步：选择采集设备

在功能配置菜单下，在引擎配置里选择采集设备，在全部采集设备列表中选择所需的采集设备组，添加到已挂载的采集设备列表中。（如下图添加采集设备组1（M4））

注：如果是多个采集端口的话，可以同时添加。

3 系统功能

3.1 探测器

3.1.1 数据中心

数据中心下的参数菜单，显示的是数据中心服务器的IP，只能查看，不能修改。设置中心机或探测器首先要管理员到console的8选项里进行配置。只有数据中心机登录才能看到这个菜单，单个探测器登录是看不到的。

3.1.2 物理端口

3.1.2.1新增

进入[探测器]功能项、在物理端口栏点击[新增]；

输入web服务器的IP地址，根据数据库类型选择业务类型，版本指数据库版本，输入端口，选择数据库服务器的运行环境（即操作系统类型）。

3.1.2.2全部

在此处可对物理端口进行修改和删除操作，只有在物理端口未挂载的状态下才能进行删除操作。

3.1.3 探测器

1．添加探测器

进入[探测器]配置页面；

点击[添加]，输入探测器名称和对应的IP，点击[保存]；

2．添加业务主机群

选中已添加的探测器；

在[业务主机群]栏点击[添加]，输入名称，并选择WEB业务类型，点击[保存]；

注：添加业务主机群的目的在于方便审计记录查询，可以通过切换业务主机群查看不同业务主机群的审计记录及风险信息。

3．挂载物理端口

选中已添加的业务主机群，在右边[物理端口]栏点击[挂载]，勾选对应的物理主机，点击[挂载]。一个业务主机群可以挂载多个物理端口。

3.1.4 所有探测器

提供所有探测器，在有多个业务主机群的情况下方便管理。提供查询，规则配置以及对各个探测器的管理等主要功能。

3.2 功能配置

配置当前业务主机群的启动引擎、采集设备、动作引擎。首先切换到需要配置的业务主机群，如果只有一个探测器，则登录后默认进入此探测器对应的业务主机群。

进入[功能配置]选项卡

3.2.1 功能应用

配置当前业务主机群的启动引擎。

审计引擎

所有对该服务主机群的操作将被记录，可在[审计]选项卡中查看详细内容。

特征引擎

即启动系统自带的安全策略库，在这里我们统一称之为特征。当发生符合特征的行为时系统将自动产生告警事件，在[告警]选项卡中可查看详细内容，即所有标记为特征的事件。

日志引擎

即启动系统发送日志的功能，启动后根据常规配置—syslog服务器的配置，就可以将系统的日常审计记录及告警信息实时发送给外系统的SYSLOG服务器。

3.2.2 引擎配置

3.2.2.1选择采集设备

配置采集数据的网口。

点击[挂载]，选择采集设备，点击采集设备旁边的，挂载成功。

3.2.2.2动作引擎

配置不同级别的系统采取的动作，如以下以高危事件为例进行配置。

选择事件级别：高危事件

阻断配置（需要交换机或防火墙联动支持）

如级别为高的阻断3600秒：选择阻断设备，输入阻断时长，点击[添加]

通知配置

如级别为高的告警通过邮件发送给admin用户，admin用户的邮箱地址在[用户]选项卡中配置。

Syslog配置

如级别为高的告警发送到用户syslog服务器，事件类别为user-level messages，等级为Emergency，状态启用，点击[添加]。

3.3 审计

功能说明：记录下用户对数据库的所有操作。例如数据库用户通过客户端PL/SQL连接到数据库，他对数据库进行的所有操作都将被记录到明御系统中。管理员通过明御系统可以查看此用户具体对数据库做了哪些操作，并且可以自定义回放这些操作。管理员还能自定义审计规则，将指定对象及操作列为危险动作，当违反此规则时系统将通过告警、发邮件等方式通知系统管理员或立即进行阻断。

进入[审计]选项卡

3.3.1 关注行为

查看所有审计规则定义成关注行为的审计事件。

自定义查询条件如下：

1．审计规则名称

2．时间段

3.3.2 日常行为

3.3.2.1查询

自定义查询所有审计记录。

自定义查询

选择查询条件，点击[查询]按钮 ，默认查询时间可以进行配置。

查询条件如下：

1．审计对象：选择查询的作用对象；

2．操作类型：选择查询的操作类型，如select,insert,update,delete等操作；

3．登录用户：按指定的用户名查询，如填入lili，则查询以lili用户登录的所有操作；

4．客户端IP：按指定的源IP查询，如填入192.168.3.25，则查询源IP为192.168.3.25的所有的操作；

5．数据来源：其中的可选项由[常规配置]-[常规]-[数据来源]配置产生；

6．来访客户网络：其中的可选项由[常规配置]-[常规]-[客户端IP用途]配置产生；

7．时间段：按指定的时间段查询，查询在指定时间内对数据库进行的所有操作。

为提高查询效率，默认搜索最近七天的数据；

8．报文：通过自定义关键字进行模糊查询；

9．报文等级：根据报文等级进行查询。

报文有三个等级：重要、普通、系统，审计系统会根据预置的规则自动将每条审计记录划分等级，默认划分依据如下：

?重要：数据操纵语言（涉及到表的内容的修改，如INSERT、UPDATE、DELETE）、数据定义语言（定义构成数据库的数据结构,如CREATE、

ALTER、DROP、RENAME、TRUNCATE）、事务控制（对记录所做的修改永久

性地存储到表中，或者取消这些修改操作，如COMMIT、ROLLBACK、

SAVEPOINT）、数据控制语言（授予或撤消修改数据库结构的操作权限，

如GRANT、REVOKE）；

?普通：一般的查询语句（用于检索数据库表中存储的行，如SELECT）；

?系统：各种客户端工具过程中工具自动产生的SQL。

如果用户觉得这样的划分不符合自身的习惯的话，可对报文等级进行调整，在审计记录的详细信息页面提供报文等级调整的功能。

3.3.2.2查看详细信息

查看某条记录的详细信息

左键点击记录，在弹出的菜单点击详细，就可以查看此条记录的详细信息

3.3.2.3查看会话

会话含义：当一个用户通过客户端登录到退出，称为一次会话。

查看会话指查看本次会话的所有操作,即此用户从本次登录到退出这段时间内对数据库所做的所有操作。

3.3.2.4回放会话

回放会话指对用户从本次登录到退出这段时间内对数据库所做的所有操作按一定的时间间隔进行自动显示。

3.3.3 回放

模拟终端对数据库的实际操作界面，对符合条件的审计信息进行回放。

进入[审计]选项卡

点击左边列表区的[回放]

选择回放条件。条件选择请参考审计的自定义查询，如选择操作类型：create,点击[回放]，查询结果将以实际发生时间的先后进行回放，效果如下：

点击[播放]，则再次进行播放；

点击[暂停]，则暂停当前播放；

点击[清屏]，则清除当前屏幕的显示，不影响后继显示。

3.4 审计规则

可以在所有探测器下配置审计规则，可以挂载到各个业务主机群上作用于单个探测器，也可以在单个探测器下配置审计规则，只能对本探测器起作用。

进入[审计规则]选项卡。

3.4.1 审计规则快速配置

第一步：新增审计对象组，输入审计对象组名称点保存。如下图所示：

选择需要添加的对象类别，手工输入对象，点添加按钮,如图（添加表对象customers）：

注：如果是对整个数据库所有表进行保护的话，不需输入直接点击添加即可

第二步：新增规则组，输入规则名称，点保存，如下图所示：

第三步：新增规则，输入规则名称—>选择属于哪个规则组、规则对应哪个对象组—>选择规则条件—>选择定性行为—>选择作用的业务主机群—>点保存. 如图下图（输入规则名称“删除customers表数据时中危告警”—>选择“操作customers表的行为” 规则组、规则对应 “customers表监控”对象组—>选择审计“delete（删除记录）”操作—>选择定性行为为中风险—>选择作用于 “后台数据库（信息查询平台）”业务主机群—>点保存按钮保存

另注：如果要对已新增的审计规则进行修改，在全部审计规则中选定一条点编辑即可。如下图：

3.4.2 常规

审计选项

全部审计是指系统无条件记录所有访问记录（默认全部审计，不需要修改。）

满足条件审计是指只有满足审计规则的访问记录才能被系统记录。

选择需要的审计选项，点保存。如下图所示。

3.4.3 审计对象组

规则实例1：所有对业务表的drop操作定义为高风险事件。

审计规则配置必须先定义审计对象组。对象指SQL作用的对象，可以是表、过程、函数等。