數(shù)據(jù)安全與運維安全審計系統(tǒng)項目方案

1概述隨著計算機技術的飛速發(fā)展，數(shù)據(jù)庫的應用十分廣泛，深入到各個領域，但隨之而來產(chǎn)生了數(shù)據(jù)的安全問題。各種應用系統(tǒng)的數(shù)據(jù)庫中大量數(shù)據(jù)的安全問題、敏感數(shù)據(jù)的防竊取和防篡改問題，越來越引起人們的高度重視。數(shù)據(jù)庫系統(tǒng)作為信息的聚集體，是計算機信息系統(tǒng)的核心部件，其安全性至關重要，關系到企業(yè)興衰、成敗。因此，如何有效地保證數(shù)據(jù)庫系統(tǒng)的安全，實現(xiàn)數(shù)據(jù)的保密性、完整性和有效性，已經(jīng)成為業(yè)界人士探索研究的重要課題之一。由于計算機和網(wǎng)絡的普及和廣泛應用，越來越多的關鍵業(yè)務系統(tǒng)運行在數(shù)據(jù)庫平臺上。數(shù)據(jù)庫中的數(shù)據(jù)作為企業(yè)的財富發(fā)揮著越來越重要的作用，同時也成為不安定因素的主要目標。如何保證數(shù)據(jù)庫自身的安全，已成為現(xiàn)代數(shù)據(jù)庫系統(tǒng)的主要評測指標之一。數(shù)據(jù)庫是信息技術的核心和基礎，廣泛應用在電信、金融、政府、商業(yè)、企業(yè)等諸多領域，當我們說現(xiàn)代經(jīng)濟依賴于計算機時，我們真正的意思是說現(xiàn)代經(jīng)濟依賴于數(shù)據(jù)庫系統(tǒng)。數(shù)據(jù)庫中儲存著諸如銀行賬戶、醫(yī)療保險、電話記錄、生產(chǎn)或交易明細、產(chǎn)品資料等極其重要和敏感的信息。盡管這些系統(tǒng)的數(shù)據(jù)完整性和安全性是相當重要的，但對數(shù)據(jù)庫采取的安全檢查措施的級別還比不上操作系統(tǒng)和網(wǎng)絡的安全檢查措施的級別。許多因素都可能破壞數(shù)據(jù)的完整性并導致非法訪問，這些因素包括復雜程度、密碼安全性較差、誤配置、未被察覺的系統(tǒng)后門以及數(shù)據(jù)庫安全策略的缺失等。2項目背景數(shù)據(jù)庫作為金融行業(yè)信息系統(tǒng)的核心和基礎，承載著越來越多的關鍵業(yè)務系統(tǒng)，整個業(yè)務流程過程中的操作、數(shù)據(jù)的變更、新增、刪除都存儲在數(shù)據(jù)庫中，保存著客戶的個人以及資金等各類信息。信息一旦被篡改或者泄露，不僅損害到公民自身利益，機構的品牌形象，甚至影響到公共秩序和國家利益。所以對數(shù)據(jù)庫的保護是一項必須的，關鍵的，重要的工作任務。為了保證XX業(yè)務系統(tǒng)的更加穩(wěn)定安全地運行，XX對業(yè)務系統(tǒng)的數(shù)據(jù)庫建設進行了完善，不僅考慮數(shù)據(jù)庫系統(tǒng)的集群、異常容錯能力，更從業(yè)務系統(tǒng)的數(shù)據(jù)庫操作安全方面進行考慮，更加深入，細粒度地保證業(yè)務系統(tǒng)數(shù)據(jù)庫操作的安全。從網(wǎng)絡層上說，銀行正從應用層方面來保證業(yè)務系統(tǒng)數(shù)據(jù)庫的安全。那么如何對業(yè)務系統(tǒng)的數(shù)據(jù)庫操作安全進行檢查呢？我們采用數(shù)據(jù)庫安全審計系統(tǒng)對業(yè)務系統(tǒng)的數(shù)據(jù)庫操作進行審計。采用運維安全系統(tǒng)對各種服務器本身進行審計。銀行數(shù)據(jù)各類數(shù)據(jù)庫系統(tǒng)。它們的特殊地位要求安全性極高，重點要考慮二方面的安全風險：一是來自外部安全風險：利用弱口令設置、數(shù)據(jù)庫系統(tǒng)漏洞、SQL注入等攻擊數(shù)據(jù)庫系統(tǒng)，非法進入數(shù)據(jù)庫系統(tǒng)訪問、拷貝和修改數(shù)據(jù)內(nèi)容；另一個是內(nèi)部安全風險：以合法授權身份進入業(yè)務系統(tǒng)對數(shù)據(jù)的訪問和操作的違規(guī)性行為。以上安全風險會引發(fā)數(shù)據(jù)庫系統(tǒng)癱瘓、各種內(nèi)部數(shù)據(jù)信息被泄露和篡改、涉密數(shù)據(jù)信息被竊取和失泄等信息安全事件發(fā)生。所以重點要對這兩部分的數(shù)據(jù)庫及服務器進行防護。3數(shù)據(jù)安全解決方案3.1風險分析任何公司的主要電子數(shù)字資產(chǎn)都存貯在現(xiàn)代的關系數(shù)據(jù)產(chǎn)品中。商業(yè)機構和政府組織都是利用這些數(shù)據(jù)庫服務器得到人事信息，如員工的工資表，醫(yī)療記錄等。因此他們有責任保護別人的隱私，并為他們保密。數(shù)據(jù)庫服務器還存有以前的和將來的敏感的金融數(shù)據(jù)，包括貿(mào)易記錄、商業(yè)合同及帳務數(shù)據(jù)等。象技術的所有權、工程數(shù)據(jù)，甚至市場企劃等決策性的機密信息，必須對竟爭者保密，并阻止非法訪問，數(shù)據(jù)庫服務器還包括詳細的顧客信息，如財務帳目，信用卡號及商業(yè)伙伴的信用信息等。目前世界上七種主流的關系型數(shù)據(jù)庫，諸如Oracle、Sybase、MicrosoftSQLServer、IBMDB2/Informix、MySQL、PostgreSQL服務器都具有以下特征：用戶帳號及密碼、校驗系統(tǒng)、優(yōu)先級模型和控制數(shù)據(jù)庫的特別許可、內(nèi)置命令（存儲過程、觸發(fā)器等）、唯一的腳本和編程語言（例如PL/SQL、Transaction-SQL）、中間件、網(wǎng)絡協(xié)議、補丁和服務包、強有力的數(shù)據(jù)庫管理實用程序和開發(fā)工具。3.1.1操作系統(tǒng)安全數(shù)據(jù)庫安裝于操作系統(tǒng)之上，對操作系統(tǒng)的安全防護也是至關重要的，運維人員可以通過遠程訪問操作系統(tǒng)，達到本地操作數(shù)據(jù)庫的目的。系統(tǒng)口令及訪問控制權限管理技術手段薄弱；數(shù)據(jù)中心存在“交叉運維”現(xiàn)象；針對運維人員無詳細操作記錄；無法滿足審計檢查對日志記錄的要求；運維安全分析報告缺乏。因此，我院迫切需要采用必要的技術手段來防范和減少運維操作風險，確保信息系統(tǒng)安全、穩(wěn)定運行。3.1.2數(shù)據(jù)庫本身的安全風險數(shù)據(jù)庫服務器的應用相當復雜，掌握起來非常困難。許多數(shù)據(jù)庫管理員都忙于管理復雜的系統(tǒng)，所以很可能沒有檢查出嚴重的安全隱患和不當?shù)呐渲?，甚至根本沒有進行檢測。所以，正是由于傳統(tǒng)的安全體系在很大程度上忽略了數(shù)據(jù)庫安全這一主題，使數(shù)據(jù)庫專業(yè)人員也通常沒有把安全問題當作他們的首要任務。在安全領域中，類似網(wǎng)頁被修改、電腦中病毒、木馬、流氓軟件、彈出窗口等所造成的經(jīng)濟損失微乎其微，而一旦數(shù)據(jù)庫出現(xiàn)安全風險并被惡意利用所造成的后果幾乎是災難性的和不可挽回的。3.1.3數(shù)據(jù)庫的全面防護安全是多個環(huán)節(jié)層層防范、共同配合的結(jié)果。也就是說在安全領域不能夠僅靠某一個環(huán)節(jié)完成所有的安全防范措施。一個安全的系統(tǒng)需要數(shù)據(jù)庫的安全、操作系統(tǒng)的安全、網(wǎng)絡的安全、應用系統(tǒng)自身的安全共同完成。數(shù)據(jù)庫領域的安全措施通常包括：身份識別和身份驗證、自主訪問控制和強制訪問控制、安全傳輸、系統(tǒng)審計、數(shù)據(jù)庫存儲加密等。只有通過綜合有關安全的各個環(huán)節(jié)，才能確保高度安全的系統(tǒng)。3.1.4數(shù)據(jù)庫及其應用系統(tǒng)風險拙劣的數(shù)據(jù)庫安全保障設施不僅會危及數(shù)據(jù)庫的安全，還會影響到服務器的操作系統(tǒng)和其它信用系統(tǒng)。還有一個不很明顯的原因說明了保證數(shù)據(jù)庫安全的重要性－數(shù)據(jù)庫系統(tǒng)自身可能會提供危及整個網(wǎng)絡體系的機制。例如，某個公司可能會用數(shù)據(jù)庫服務器保存所有的技術手冊、文檔和白皮書的庫存清單。數(shù)據(jù)庫里的這些信息并不是特別重要的，所以它的安全優(yōu)先級別不高。即使運行在安全狀況良好的操作系統(tǒng)中，入侵者也可通過“擴展入駐程序”等強有力的內(nèi)置數(shù)據(jù)庫特征，利用對數(shù)據(jù)庫的訪問，獲取對本地操作系統(tǒng)的訪問權限。這些程序可以發(fā)出管理員級的命令，訪問基本的操作系統(tǒng)及其全部的資源。如果這個特定的數(shù)據(jù)庫系統(tǒng)與其它服務器有信用關系，那么入侵者就會危及整個網(wǎng)絡域的安全。3.1.5數(shù)據(jù)庫前端應用風險在電子商務、電子貿(mào)易的著眼點集中于WEB服務器、Java和其它新技術的同時，應該記住這些以用戶為導向和企業(yè)對企業(yè)的系統(tǒng)都是以Web服務器后的關系數(shù)據(jù)庫為基礎的。它們的安全直接關系到系統(tǒng)的有效性、數(shù)據(jù)和交易的完整性、保密性。系統(tǒng)拖延效率欠佳，不僅影響商業(yè)活動，還會影響公司的信譽。不可避免地，這些系統(tǒng)受到入侵的可能性更大，但是并未對商業(yè)伙伴和客戶敏感信息的保密性加以更有效的防范。此外，ERP和管理系統(tǒng)，如ASPR/3和PeopleSoft等，都是建立在相同標準的數(shù)據(jù)庫系統(tǒng)中。無人管理的安全漏洞與時間拖延、系統(tǒng)完整性問題和客戶信任等有直接的關系。由此可見，數(shù)據(jù)庫安全實際上是信息安全的核心，在這種情況下，有必要采用專業(yè)的新型數(shù)據(jù)庫安全產(chǎn)品，專門對數(shù)據(jù)庫及其操作系統(tǒng)進行保護。3.2項目需求做為解決上述風險問題的數(shù)據(jù)系統(tǒng)，應包含一下主要特性：服務器運維安全—針對直接登錄操作系統(tǒng)的行為進行控制與審計。數(shù)據(jù)庫使用情況評估—檢查真實的數(shù)據(jù)庫網(wǎng)絡流量以構建一個使用的基準模型，并自動創(chuàng)建數(shù)據(jù)庫安全政策。管理員可以通過審查分析文件輕松掌握適當?shù)臄?shù)據(jù)庫使用，非常靈活方便的制定數(shù)據(jù)庫使用著的行為策略。數(shù)據(jù)庫審計——SecureSphere采集許多審計數(shù)據(jù)，并且提供內(nèi)置的報告功能，可以靈活地滿足內(nèi)部或外部規(guī)定要求。SecureSphere的數(shù)據(jù)庫審計包括數(shù)據(jù)庫活動審計、實時告警審計、用戶基本信息審計。數(shù)據(jù)庫保護——這是SecureSphere對數(shù)據(jù)庫實時保護核心功能，包括：?數(shù)據(jù)庫應用保護?客戶化策略的實施?數(shù)據(jù)庫平臺的保護?識別復雜的攻擊（通過多種手段的聯(lián)動）具體到設備的功能，應該具有以下特點：支持各種主流運維協(xié)議字符型協(xié)議（Telnet、SSH、FTP、SFTP）圖形化協(xié)議（RDP、Xwindows、VNC、http、https、AS400及其他）支持各種主流數(shù)據(jù)庫包括對各種版本和各種平臺的Oracle、DB2、Informix、Sybase、MSSQLServer的支持。審計廠家必須和四大數(shù)據(jù)庫廠家（Oracle，IBM,Sybase，MicroSoft）是官方認可的深層商業(yè)合作伙伴，從而能夠保證審計結(jié)果的精確性和權威性設備的引入不應對正常業(yè)務和正常的數(shù)據(jù)庫運行造成任何影響，同時應滿足權限分離的要求，不容許被審計人員對審計功能元進行修改和操作。對數(shù)據(jù)庫沒有影響的功能非常有利于部署實施，設備的部署不需要對數(shù)據(jù)庫進行變動，或者對數(shù)據(jù)中心結(jié)構的其它方面進行變動。審計產(chǎn)品應是一個基于網(wǎng)絡的應用解決方案，不需要數(shù)據(jù)庫服務器管理權限或者安裝主機軟件。其部署及運營可能由網(wǎng)絡安全人員進行，而不會對數(shù)據(jù)庫管理資源造成影響。這種方式通過保持安全功能的獨立，從而遵守安全實踐。審計設備可以審計所有針對數(shù)據(jù)庫的訪問，包括對數(shù)據(jù)庫直接連接的訪問，以及前臺應用程序?qū)?shù)據(jù)庫的訪問；如果應用通過加密方式訪問數(shù)據(jù)庫，同樣應該可以審計到。審計功能要求審計到盡可能詳細的信息針對每一條數(shù)據(jù)庫的訪問，審計記錄要細致到每一次事務/查詢的原始信息記錄，應該可以記錄所有的關鍵信息，至少包括以下各個方面：數(shù)據(jù)庫服務器、源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應用軟件、數(shù)據(jù)庫用戶名、訪問源操作系統(tǒng)用戶名、訪問源操作主機名、高級權限操作、存儲過程、目標數(shù)據(jù)庫和Schema、StreamID、操作回應內(nèi)容、操作返回的錯誤代碼操作回應的時間操作回應的條目大小。如果是前臺用戶通過Web利用應用服務器訪問數(shù)據(jù)庫（BS架構下），還應可以審計記錄以下信息：前臺應用程序的用戶名、前臺程序的URL、WebSessionID、Web客戶端IP對于通過OracleEBS或SAP等應用服務器訪問數(shù)據(jù)庫（CS架構下），應該可以記錄最終前臺用戶的用戶名為了有效地記錄數(shù)據(jù)庫訪問操作，審計人員需要盡可能詳細的審計記錄信息，詳細到準確的查詢和響應屬性這一級別。數(shù)據(jù)庫審計記錄必須將所審計數(shù)據(jù)庫事務歸于特定用戶。例如，SOX合規(guī)審計機制要求必須記錄對財務報告數(shù)據(jù)的每個更改及執(zhí)行此更改的用戶姓名。但是，當用戶通過Web應用程序或SAP、OracleE-BusinessSuite等應用服務器訪問數(shù)據(jù)庫時，數(shù)據(jù)庫審計系統(tǒng)必須可以記錄最終的責任用戶。支持BindVariable很多基于數(shù)據(jù)庫的查詢是通過BindVariable完成的。這就要求審計系統(tǒng)不光要記錄查詢中BindVariable的變量的名字，還要記錄BindVariable的數(shù)值。舉例來說：一個包含BindVariable的SQL是：select*fromaaawherename=:who,審計系統(tǒng)不光把這個SQL記錄下來，同時要記錄:who=jimmy,這樣才是完整的包含BindVariable的審計結(jié)果。審計策略可以非常靈活的定義由于對于實際的生產(chǎn)系統(tǒng)，需要審計的數(shù)據(jù)庫訪問量非常大，這就要求有靈活的審計策略可以定義想要審計的數(shù)據(jù)庫操作的內(nèi)容。可以定義審計策略的條件應該包括以下各個關鍵字的條件組合：源IP、目的IP、原始的查詢指令、去除具體參數(shù)的查詢指令、源應用軟件、數(shù)據(jù)庫用戶名、訪問源操作系統(tǒng)用戶名、訪問源操作主機名、高級權限操作、存儲過程、目標數(shù)據(jù)庫和SchemaStreamID操作回應內(nèi)容、操作返回的錯誤代碼、操作回應的時間、操作回應的條目大小同樣如果是前臺用戶通過Web利用應用服務器訪問數(shù)據(jù)庫（BS架構下），或?qū)τ谕ㄟ^OracleEBS或SAP等應用服務器訪問數(shù)據(jù)庫（CS架構下），還應可以根據(jù)前臺應用程序的用戶名來定義審計記錄的策略可以定義敏感數(shù)據(jù)表，保護核心機密數(shù)據(jù)可將機密數(shù)據(jù)定義敏感表，任何用戶對敏感表的非法和違規(guī)訪問可以產(chǎn)生特別的報警審計結(jié)果的歸檔靈活方便為了提高整個數(shù)據(jù)庫審計系統(tǒng)的擴展性，審計信息可以通過FTP,SCP等傳輸協(xié)議靈活的歸檔到外部的存儲設備上，歸檔出來的數(shù)據(jù)格式應該是通用格式（CSV），歸檔可以選擇手動及定時定期的自動方式。審計告警日志對外的接口審計結(jié)果告警日志可以通過Syslog或SNMP協(xié)議和外部的統(tǒng)一審計平臺送出數(shù)據(jù)，進行互通。審計結(jié)果可以自動生成符合專業(yè)合規(guī)審計（SOX）要求的審計報告符合SOX合規(guī)性的審計解決方案為生成關鍵業(yè)務（如財務）報告時使用的數(shù)據(jù)庫提供全面的數(shù)據(jù)審計和安全性，給審計人員帶來了極大的便利性。數(shù)據(jù)庫安全審計網(wǎng)關可以使用自動生成的專用的報告來證明對關鍵數(shù)據(jù)庫實施控制，這些都是404條款的主要要求。通過專用的符合SOX的用戶評估報告，合規(guī)性檢查人員可以驗證只有具有合法需求的用戶才可以訪問關鍵數(shù)據(jù)庫。智能而自動的建立用戶對數(shù)據(jù)庫訪問的行為模型審計設備設備應具有自動建立用戶數(shù)據(jù)庫訪問行為模型的能力。自動智能建模功能可以自動學習、并且自動適應用戶數(shù)據(jù)庫及應用系統(tǒng)的各方面特點，自動建立“充分必要”的安全策略。同時，結(jié)合全面的、精細的手工定制和調(diào)優(yōu)功能，在最大程度的降低管理工作量的同時，提供最佳的安全配置。為每個用戶自動建立對數(shù)據(jù)庫和Schema訪問的基線，內(nèi)容是可正常訪問的數(shù)據(jù)庫和Schema。用戶訪問模型自動建立功能分析實際數(shù)據(jù)庫流量并使用復雜的學習算法創(chuàng)建每個訪問數(shù)據(jù)庫的用戶或應用的所有合法活動分析模型。此模型不僅僅作為后來審計評估使用變化或應用行為的基準，并且是自動生成的數(shù)據(jù)庫使用安全政策，允許信息安全小組不僅僅可以監(jiān)視并審計使用，而且保護數(shù)據(jù)庫免受非法行為。學習算法不斷應用到實際流量中以便當用戶活動隨著時間發(fā)展時，有效變化將自動重新組織并集成到行為模型中。如果用戶訪問數(shù)據(jù)庫的時候，行為模型的偏差將自動觸發(fā)一個報警并可以根據(jù)嚴重性進行阻斷。發(fā)現(xiàn)非法行為的實時告警功能這是在系統(tǒng)運行時，對正在進行的業(yè)務和管理層面的數(shù)據(jù)庫交互活動進行檢測。對其中違反既定的安全策略的行為可以即時發(fā)現(xiàn)，同時可以產(chǎn)生報警、阻斷以及供事后分析和審計的依據(jù)。實時的監(jiān)控和防護可以第一時間消除違規(guī)操作對系統(tǒng)的影響。設備具有實時告警的功能，針對非法訪問行為和用戶定義的訪問行為可以實時告警。告警信息可以發(fā)送到SyslogServer,或通過Email發(fā)出。數(shù)據(jù)庫保護這是數(shù)據(jù)庫安全審計產(chǎn)品的重要功能，可以實時保護核心核心數(shù)據(jù)庫免遭各種非法行為和破壞。在數(shù)據(jù)庫操作所經(jīng)過的網(wǎng)絡、操作系統(tǒng)、應用軟件方面，相應的安全規(guī)則就是：防火墻、IPS規(guī)則、應用協(xié)議保護；這部分規(guī)則可以是靜態(tài)的，已經(jīng)根據(jù)數(shù)據(jù)庫和應用系統(tǒng)的要求做了精細的預設，同時還可以進一步的根據(jù)實際需要進行微調(diào)。此功能應包括：數(shù)據(jù)庫應用保護審計設備連續(xù)比較數(shù)據(jù)庫訪問模型的真實用戶操作的差異。來自分析的重要偏差生成警報，并且惡意的行為可以根據(jù)策略有選擇性的阻止。客戶化策略實施除了基于特征文件的安全政策外，管理可以定義任意粒度的客戶政策。例如：管理員可以設置訪問系統(tǒng)對象的查詢策略，甚至對包含特定文本模式的查詢。政策偏離可以生成一個警報或者迅速阻止活動。行為特征代碼分析完成數(shù)據(jù)庫平臺保護應該具有(IPS)保護數(shù)據(jù)庫基礎設施免受針對數(shù)據(jù)庫平臺及操作系統(tǒng)軟件中已知漏洞蠕蟲及其它攻擊。IPS功能主要通過檢查數(shù)據(jù)庫訪問是否和特征代碼庫匹配來判斷是否會觸發(fā)數(shù)據(jù)庫的漏洞。特征代碼庫要求和國際安全研究組織同步，并且可以包含自定義的SQL特征。特征代碼要保證可以在線升級，可以使得系統(tǒng)在第一時間內(nèi)抵御最新出現(xiàn)的針對數(shù)據(jù)庫的非法危害行為以及在數(shù)據(jù)庫沒有打補丁的情況下，防止數(shù)據(jù)庫廠家的安全漏洞造成的危害防火墻層面和SQL協(xié)議層面保護防火墻層面是在網(wǎng)絡層面保護數(shù)據(jù)庫免受各種網(wǎng)絡層面的非法操作威脅。同時對于上層協(xié)議（SQL的通信）的合法性及濫用的檢測，對于數(shù)據(jù)庫服務器軟件也非常重要。對此，審計設備應該專門提供SQL應用協(xié)議檢測的功能，來檢測SQL協(xié)議是否合法或符合標準的規(guī)定。在數(shù)據(jù)庫保護層面，對于非法操作，可以進行非常豐富的響應動作，分為三類：告警響應，即時行動，后續(xù)行動。即時行動可以將數(shù)據(jù)包丟棄，后續(xù)行動就是通過對外通信來通知管理人員有非法行為發(fā)生。數(shù)據(jù)庫安全評估功能：對數(shù)據(jù)庫的基礎系統(tǒng)以及運行時的配置進行評估。數(shù)據(jù)庫的基礎系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫應用程序，它們通常會存在軟件的缺陷或漏洞，容易被攻擊者利用?？梢灾鲃釉u估數(shù)據(jù)庫的安全狀況，包括是否打了Patch，包括用戶權限在內(nèi)的各種安全設置是否合理。高性能要求審計設備的可以提供雙向最低500Mbps，最高2Gbps的性能，毫微秒級延遲，支持的SQL交易數(shù)量從5萬每秒到20萬每秒。高可用性審計設備應支持高可用性確保最大的正常運行時間及應用可用性。審計設備應具有在設備故障下應該不影響實際業(yè)務能力，同時審計設備支持主備配置方式，在合理配置下，可以達到小于1秒甚至更低的主備切換時延。集中管理，分部部署提供全分布式的三級網(wǎng)管架構，包括：第一層—業(yè)務探測和實施引擎，第二層—網(wǎng)管服務器，第三層—操作控制臺。這種結(jié)構對于在數(shù)據(jù)庫保護這樣的大型網(wǎng)絡系統(tǒng)中部署統(tǒng)一的安全策略具有至關重要的意義。來自多個網(wǎng)關的日志數(shù)據(jù)也將顯示在單個視圖中，并存儲在單個管理服務器數(shù)據(jù)庫中。這樣可以增強管理的便利性，多網(wǎng)關的動態(tài)業(yè)務模型、IPS策略和系統(tǒng)參數(shù)集中存儲于管理服務器，策略更改在服務器上進行，通過簡單操作可將這些更改自動發(fā)布到多個網(wǎng)關中，立刻生效，方便快捷。3.3總體設計方案根據(jù)XX數(shù)據(jù)庫系統(tǒng)的網(wǎng)絡架構和數(shù)據(jù)庫服務器以及中間件服務器的部署特點，我們提出了一套完整的解決方案：在數(shù)據(jù)庫交換機上做旁路鏡像。將旁路信號入數(shù)據(jù)庫審計設備，完成對數(shù)據(jù)庫服務器的訪問、操作行為的實時監(jiān)測審計，完整地記錄所有的訪問與操作行為和內(nèi)容，該系統(tǒng)還提供了數(shù)據(jù)庫服務器負載狀況監(jiān)測、客戶端訪問操作的詳細分類統(tǒng)計和排名等功能。在交換機做旁路，部署運維安全設備HAC。針對數(shù)據(jù)庫服務器本身的遠程訪問進行控制與審計。采用Imperva數(shù)據(jù)庫安全審計網(wǎng)關作為數(shù)據(jù)庫系統(tǒng)審計，其基本原理是：通過旁路監(jiān)聽的方式，對網(wǎng)絡數(shù)據(jù)進行實時采集過濾，對各種上層的數(shù)據(jù)庫應用協(xié)議數(shù)據(jù)進行分析和還原，然后再進行SQL語法解析，最后對審計記錄進行存儲、對違規(guī)的審計記錄進行實時報警，同時生成審計報表和統(tǒng)計報表信息。基于旁路監(jiān)聽的數(shù)據(jù)庫審計的解決方案具有下面的一些優(yōu)勢：?不需要對生產(chǎn)數(shù)據(jù)庫進行任何設置，也不需要改變現(xiàn)有的網(wǎng)絡架構和配置。?采用旁路監(jiān)聽方式，不影響生產(chǎn)數(shù)據(jù)庫的性能，不占用生產(chǎn)數(shù)據(jù)庫服務器的網(wǎng)絡帶寬，同時在對審計數(shù)據(jù)進行壓縮備份時不影響業(yè)務系統(tǒng)的正常運行。?與數(shù)據(jù)庫管理系統(tǒng)本身的審計功能相比具有更快的響應速度，可以進行實時審計和處理。?審計數(shù)據(jù)更加安全。與原有的業(yè)務網(wǎng)絡隔離，因此可以更有效地保護審計數(shù)據(jù)的安全。同時審計數(shù)據(jù)傳輸過程中采用了加密隧道和身份認證機制，有效防止了審計信息的被竊、被篡改與身份假冒。?具有專門的審計日志格式和審計報表，易于查詢。?由于采用了動態(tài)建模技術，通過自動檢測分析實時數(shù)據(jù)庫通信，然后應用復雜的學習算法來創(chuàng)建包含訪問數(shù)據(jù)庫的每個用戶和應用程序的所有合法活動的”業(yè)務模型”，包括數(shù)據(jù)庫客戶端的計算機名，程序名，數(shù)據(jù)庫用戶名，數(shù)據(jù)庫名，表名以及詳細的數(shù)據(jù)庫操作內(nèi)容等信息。“業(yè)務模型”不僅用作以后審計評估用戶或應用程序行為更改的依據(jù)，而且還是針對數(shù)據(jù)庫使用自動生成的安全策略，信息安全團隊使用”業(yè)務模型”不僅能夠監(jiān)視和審計數(shù)據(jù)庫使用狀況，而且還可以防止數(shù)據(jù)庫受到攻擊。采用HAC運維安全產(chǎn)品對數(shù)據(jù)庫服務器本身的運維進行安全審計，其基本原理是：運維人員遠程接入時，通過統(tǒng)一的登錄入口，利用權限控制，訪問不同的目標服務器資源。并對運維全過程進行實時，事后的監(jiān)控與追溯。采用單臂模式部署時，其主要的優(yōu)勢是：不改變網(wǎng)絡拓撲，安裝調(diào)試過程簡單，可按照企業(yè)網(wǎng)絡架構的實際情況靈活接入。具有以下特點：?系統(tǒng)采用協(xié)議分析、基于數(shù)據(jù)包還原虛擬化技術，實現(xiàn)操作界面模擬，將所有的操作轉(zhuǎn)換為圖形化界面予以展現(xiàn)，實現(xiàn)100%審計信息不丟失。?針對運維操作圖形化審計功能的展現(xiàn)外，同時還能對字符進行分析，包括命令行操作的命令以及回顯信息和非字符型操作時鍵盤、鼠標的敲擊信息。?系統(tǒng)支持的審計協(xié)議以及工具包括：?終端命令操作：Telnet、SSH?Windows圖形：RDP、VNC?Unix/Linux圖形：Xwindows?AS400主機圖形：AS400?文件上傳和下載：FTP、SFTP?基于BS的管理操作：Http、Https?數(shù)據(jù)庫管理工具：pcAnywhere、DameWare、PL/SQL、TOAD等工具3.4建設目標與原則在為XX配置實施數(shù)據(jù)安全整體解決方案時的時候，遵循以下的配置基本原則：l功能性滿足本項目的實際需要l可以支持現(xiàn)有應用系統(tǒng)，如數(shù)據(jù)庫類型、本版等l處理性能滿足系統(tǒng)的需要l對現(xiàn)有系統(tǒng)的無影響，包括；IP地址空間、路由規(guī)劃、無需調(diào)整應用系統(tǒng)（如設置Proxy，安裝軟件等）3.5建設方案為了不影響數(shù)據(jù)庫的正常使用和安全，數(shù)據(jù)庫審計設備和運維安全設備以旁路方式部署。通過在數(shù)據(jù)庫交換機上做端口鏡像的方式，把數(shù)據(jù)庫數(shù)據(jù)流鏡像到數(shù)據(jù)庫審計網(wǎng)關，同時在數(shù)據(jù)庫審計網(wǎng)關上配置管理IP，方便遠程管理。HAC設備旁路部署在數(shù)據(jù)庫交換機上的任意端口，保證訪問端，被訪問端與HAC的IP路由可達，拓撲圖如下圖：為了全面及時地掌握XX數(shù)據(jù)庫系統(tǒng)的運行、訪問和操作情況，并即時進行必要的處置，使數(shù)據(jù)安全管理問題得到了有效的解決。除了默認的全部審計策略，還需要制定適合的策略來快速定位關鍵的、需要關注的各種操作。為了解決各種需求，我們建立了以下審計策略：1.關鍵數(shù)據(jù)庫表審計這個策略的作用條件為：根據(jù)我們的業(yè)務類型，部分數(shù)據(jù)庫表中存在大量的敏感信息，對這類表我們要著重關注。2.非已知應用程序?qū)徲嬀W(wǎng)絡中可能存在多條路徑，多種終端，多種客戶端軟件，對我們的數(shù)據(jù)庫進行訪問，對此通過imperva，我們可以關注到整個網(wǎng)絡中各種終端，軟件對數(shù)據(jù)庫的訪問3.重要操作審計這個策略的作用條件為兩個：記錄對數(shù)據(jù)庫的插入、刪除、更新、特權操作，排除對已知應用程序的審計。這個策略是審計對數(shù)據(jù)庫的重要操作，記錄未知應用程序和客戶端軟件對數(shù)據(jù)庫寫操作，防止數(shù)據(jù)庫被無意或惡意的篡改。3.5.1數(shù)據(jù)庫審計目標服務器針對目標服務器，其審計概況如下周期訪問量：3.5.2數(shù)據(jù)庫登錄情況3.5.3策略應用情況3.5.4各類前端應用系統(tǒng)對數(shù)據(jù)庫的訪問3.5.5各類主機對數(shù)據(jù)庫的訪問3.5.6修改數(shù)據(jù)庫操作情況3.5.7數(shù)據(jù)庫異常與訪問告警3.6數(shù)據(jù)安全系統(tǒng)介紹SecureSphere提供全分布式的三級網(wǎng)管架構，包括：第一層——業(yè)務探測和實施引擎，第二層—MX網(wǎng)管服務器，第三層—操作控制臺。這種結(jié)構對于在XX數(shù)據(jù)庫保護這樣的大型網(wǎng)絡系統(tǒng)中部署統(tǒng)一的安全策略具有至關重要的意義。圖SecureSphere的完整部署的示例SecureSphere的管理服務器的主要特點包括：?圖形報告-完整的CrystalReports?包和與ODBC兼容的數(shù)據(jù)庫訪問支持預配置報告和自定義報告。預配置報告使性能、合規(guī)性、安全警報及使用情況的異常情況一目了然。SecureSphere在整個企業(yè)內(nèi)提供統(tǒng)一的報告。統(tǒng)一的實時警報監(jiān)視–來自多個SecureSphere安全層（動態(tài)”業(yè)務模型”、IPS等）的實時警報將被收集、按優(yōu)先級排序并在一個統(tǒng)一的視圖中顯示給管理員。警報通知可通過電子郵件、電話、呼機和SNMP消息發(fā)送。不需要連接到分布在數(shù)據(jù)中心的各個設備。來自多個網(wǎng)關的日志數(shù)據(jù)也將顯示在單個視圖中，并存儲在單個MX管理服務器數(shù)據(jù)庫中。警報審計–來自多網(wǎng)關的警報將被收集并存儲于單個MX管理服務器數(shù)據(jù)庫中。若要支持審計功能，只需點擊幾下鼠標就可以根據(jù)多種參數(shù)來排序和搜索警報條目。即使是來自不同SecureSphere安全服務（IPS、動態(tài)”業(yè)務模型”等）的特定用戶違規(guī)行為（由會話ID或IP地址標識），也可以被立即跟蹤。智能攻擊摘要–智能攻擊摘要通過智能地將多個攻擊導致的一系列事件聚合為一個需采取措施的警報，從而提高管理員的工作效率。例如，相關掃描警報可聚合為一個攻擊警報，而不是成千上萬個攻擊警報。如今，快速有效的響應變得極為重要，而這種高度集中的信息能夠使管理員快速準確地了解威脅聚合警報保留了形成警報的基本事件，以便進行詳細分析。?集中式策略分布–多網(wǎng)關的動態(tài)”業(yè)務模型”、IPS策略和系統(tǒng)參數(shù)集中存儲于MX管理服務器。更改在服務器上進行，通過單擊可將這些更改自動發(fā)布到多個網(wǎng)關。4.登錄錯誤審計這個策略的作用條件為兩個：記錄登錄操作，登錄的結(jié)果為失敗的操作。這個策略的主要作用是記錄登錄失敗的信息，防止有人嘗試破解密碼，損害數(shù)據(jù)庫安全。3.7運維安全系統(tǒng)介紹“運維安全審計系統(tǒng)（HAC）”目標是為組織IT系統(tǒng)核心服務器的運維操作提供強有力的監(jiān)控、審計手段，使其切實滿足內(nèi)控管理中的合規(guī)性要求。HAC可對主機、服務器、網(wǎng)絡設備、安全設備等的管理維護進行安全、有效、直觀的操作審計，對策略配置、系統(tǒng)維護、內(nèi)部訪問等進行詳細的記錄，提供細粒度的審計，并支持操作過程的全程回放。HAC彌補了傳統(tǒng)審計系統(tǒng)的不足，將運維審計由事件審計提升為內(nèi)容審計，并將身份認證、授權、管理、審計有機地結(jié)合，保證只有合法用戶才能使用其擁有運維權限的關鍵資源。HAC為組織在IT操作風險控制、內(nèi)控安全和合規(guī)性等方面提供一套完善、有效的審計手段。HAC系統(tǒng)提供了靈活的部署方式，既可以采取串連模式，也可以采用單臂模式接入到企業(yè)內(nèi)部網(wǎng)絡中。采用串連模式部署時，HAC具備一定程度上的網(wǎng)絡控制的功能，可提高核心服務器訪問的安全性；采用單臂模式部署時，不改變網(wǎng)絡拓撲，安裝調(diào)試過程簡單，可按照企業(yè)網(wǎng)絡架構的實際情況靈活接入。無論串連模式還是在單臂模式，通過HAC訪問IT基礎服務資源的操作都將被詳細的記錄和存儲下來，作為審計的基礎數(shù)據(jù)。HAC的部署不會對業(yè)務系統(tǒng)、網(wǎng)絡中的數(shù)據(jù)流向、帶寬等重要指標產(chǎn)生負面影響，無需在核心服務器或操作客戶端上安裝任何軟硬件系統(tǒng)。3.8產(chǎn)品和功能詳解3.8.1數(shù)據(jù)庫產(chǎn)品和功能詳解SecureSphereG8/G16設備是SecureSphere系列業(yè)務監(jiān)控和防護引擎的成員，它具備四個業(yè)務接口，即可以提供兩個在線監(jiān)控橋接組（橋接模式），或監(jiān)控四個不同的業(yè)務網(wǎng)段（旁路偵聽模式）。它的處理能力也非常強大，可以提供100,000到200,000交易/秒的處理能力。它同時可以提供所有SecureSphere系列產(chǎn)品的所有業(yè)務功能，包括前臺Web應用的保護，后臺數(shù)據(jù)庫的監(jiān)控和防護。并且可以在一個平臺上同時提供這些功能。SecureSphere系列（G8和G16）主要技術參數(shù)：技術參數(shù)吞吐量G8G161Gbps2000Mbps每（transaction）延遲秒交易100000200000低于百萬分之一秒低于百萬分之一秒尺寸1U4U電口/光纖SX/光纖電口/光纖SX/光纖接口類型LXLX在線故障短接能力是是（只用于橋接）硬盤250GBSATA；熱切換300GBSCSIFT模式：熱切換250GBSATACD-ROM19英寸機架40lbs（18公斤）90lbs（41公斤）500W；雙工，熱切換外部驅(qū)動標準機架重量CD-ROM19英寸機架電源FT模式：雙工，熱1470W切換520WAC電壓要求100-240V，50-220-240V，50-60HZ60HZ物理尺寸寬：16.93”(430mm)寬：17.6”(447mm)深；26.46”(672mm)深；27.8”(706mm)高：1.7”(43mm)高：6.8”(173mm)操作環(huán)境5°C(41°F)到35°C5°C(41°F)到35°C(95°F)(95°F)非操作環(huán)境-40°C(-40°F)到-40°C(-40°F)到數(shù)據(jù)庫的安全防護是一個系統(tǒng)工程。它的實施，或說是生命周期包括一下四個環(huán)節(jié)：圖數(shù)據(jù)庫及應用安全維護的生命周期數(shù)據(jù)庫的評估是一個事前、或周期性的工作，它的工作內(nèi)容是，對數(shù)據(jù)庫的基礎系統(tǒng)以及運行時的配置進行評估。數(shù)據(jù)庫的基礎系統(tǒng)包括，操作系統(tǒng)和數(shù)據(jù)庫應用程序，它們通常會存在軟件的缺陷或漏洞，容易被攻擊者利用。而運行配置的內(nèi)容則包括數(shù)據(jù)庫系統(tǒng)在運行時不同的用戶對數(shù)據(jù)庫的系統(tǒng)和業(yè)務對象的管理操作能力和權限——合理的、好的配置策略可以極大的限制違規(guī)操作和非法操作發(fā)生的可能性。安全策略的制定是安全防護的核心之一。它的內(nèi)容是從安全角度定義數(shù)據(jù)庫訪問的權限的各個方面。主要內(nèi)容是，對于用戶－操作權限－數(shù)據(jù)庫對象三個屬性（還可以輔助以地址、時間等）的數(shù)據(jù)庫與用戶、管理員和應用系統(tǒng)間交互的各種限定性規(guī)范的制定。它可以包括正向規(guī)則和反向規(guī)則兩方面的內(nèi)容；同時以自動建模的方式為主，輔以人工微調(diào)和優(yōu)化，得到充分必要的安全規(guī)則?；诎踩?guī)則的監(jiān)控和防護這是在系統(tǒng)運行時，對正在進行的業(yè)務和管理層面的數(shù)據(jù)庫交互活動進行檢測。對其中違反既定的安全策略的行為可以即時發(fā)現(xiàn)，同時可以產(chǎn)生報警、阻斷以及供事后分析和審計的依據(jù)。實時的監(jiān)控和防護可以第一時間消除共計和違規(guī)操作對系統(tǒng)的影響。報告和審計是周期性的業(yè)務運行狀況的總結(jié)。其中即包括對一段時間內(nèi)的總體運行狀況的描述，也包括詳細的分項說明，以及細致到每一次事務/查詢的原始信息記錄。不僅包括正常業(yè)務運行狀況，對安全威脅和事件也進行特別重點和詳細的報告。報告和審計對于企業(yè)提供符合專業(yè)規(guī)范（如：塞班斯）要求的審計依據(jù)具有重大的意義，更重要的是對數(shù)據(jù)庫安全的整個維護和實施生命周期提供了不斷自我檢查，自我完善的依據(jù)。以下對上述數(shù)據(jù)庫安全實施環(huán)節(jié)的具體內(nèi)容進行詳細闡述。數(shù)據(jù)庫的安全評估數(shù)據(jù)庫的評估主要采用兩種技術手段：主動的漏洞掃描評估和被動的使用情況評估。數(shù)據(jù)庫使用情況的評估要確保數(shù)據(jù)庫的安全，首先要了解其使用情況。SecureSphere的“自動建?！蓖ㄟ^檢測實時數(shù)據(jù)庫網(wǎng)絡通信來生成使用情況的基準模型，然后自動創(chuàng)建數(shù)據(jù)庫安全策略。管理員通過檢查“業(yè)務模型”，可輕松掌握相應數(shù)據(jù)庫的使用情況。這對于不太了解數(shù)據(jù)庫技術的安全和檢查團隊來說特別有用。Imperva的基于角色的管理支持“只讀”訪問權限，以便需要評估使用情況的用戶（非SecureSphere管理員）可訪問此類重要信息。必要時，具有管理特權的管理員可修改“業(yè)務模型”制定的策略，以使其符合企業(yè)安全策略或規(guī)章制度。例如，查詢組就是“業(yè)務模型”中一個功能強大、表達簡練的概念，它用于建立合法業(yè)務活動模型。查詢組在“自動建?！敝斜硎緸閷?shù)據(jù)庫表和表的操作（如Table1,Select和Table2,Update）。這些查詢組是基于SecureSphere“自動建模”算法，從特定數(shù)據(jù)庫用戶的查詢中派生的。查詢組通過將所有訪問相同表集（如book_of_the_week）和使用相同操作（如select）的查詢分成組，來標識正常的業(yè)務活動。數(shù)據(jù)庫漏洞“業(yè)務模型”SecureSphere除了提供數(shù)據(jù)庫使用情況的微觀細節(jié)外，還提供數(shù)據(jù)庫使用潛在漏洞的詳細情況。許多漏洞都與特定的數(shù)據(jù)庫部署或使用情況相關，只有在數(shù)據(jù)庫投入使用后，通過觀察實時數(shù)據(jù)庫用戶活動，這些漏洞才會顯現(xiàn)出來。SecureSphere的“數(shù)據(jù)庫漏洞業(yè)務模型”提供一種連續(xù)、一致、全面的方法，來確定由于與最佳做法相左而產(chǎn)生的安全漏洞和風險。它還可以找出由于生產(chǎn)環(huán)境的配置復雜性而產(chǎn)生的安全漏洞。例如，SecureSphere可確定對默認存儲過程、默認用戶賬戶和系統(tǒng)對象的非管理性訪問，所有這些操作都與數(shù)據(jù)庫安全的最佳做法相沖突。SecureSphere的“漏洞”業(yè)務模型很容易確定其他漏洞工具無法檢測到的數(shù)據(jù)庫漏洞，這使其成為傳統(tǒng)滲透測試和漏洞掃描工具的有益補充。SecureSphere的“漏洞模型”報告的幾個示例如下所示：數(shù)據(jù)庫默認數(shù)據(jù)包和存儲過程評估重點評估非管理用戶使用默認存儲過程的情況。最佳做法通常建議非管理用戶不要使用默認存儲過程。數(shù)據(jù)庫用戶評估列出最佳做法通常建議非管理用戶不要使用的活動默認數(shù)據(jù)庫賬戶。數(shù)據(jù)庫系統(tǒng)對象訪問評估此報告列出訪問數(shù)據(jù)庫系統(tǒng)對象的非管理用戶。默認情況下，這些對象對于任何用戶都是可訪問的。不過，大多數(shù)系統(tǒng)對象包含有非管理用戶不應使用的信息。數(shù)據(jù)庫的安全策略制定、部署、監(jiān)控和防護Imperva的數(shù)據(jù)庫安全策略包括許多層次。數(shù)據(jù)庫基礎設施的安全策略針對數(shù)據(jù)庫的基礎設施——網(wǎng)絡、操作系統(tǒng)、應用軟件方面，相應的安全規(guī)則就是：防火墻、IPS規(guī)則、應用協(xié)議保護；這部分規(guī)則可以是靜態(tài)的，已經(jīng)根據(jù)數(shù)據(jù)庫和應用系統(tǒng)的要求做了精細的預設，同時還可以進一步的根據(jù)實際需要進行微調(diào)。此外，對上層協(xié)議（SQL的通信）的合法性及濫用的檢測，對于數(shù)據(jù)庫服務器軟件也非常重要。對此，專門提供了應用協(xié)議檢測的功能。數(shù)據(jù)庫查詢組-合法業(yè)務活動建模“動態(tài)建?！薄弊詣觿?chuàng)建每位用戶的合法查詢組和特定查詢基準。這使安全管理人員可以制定針對單個用戶的查詢級別安全策略。查詢組所提供的查詢級別策略比手動創(chuàng)建的策略更有效，更精確，更便于維護，而且比某些產(chǎn)品提供的基于角色的“通用”查詢策略更精細。畢竟，并不是每個人都完全符合角色的定義。相同角色的不同用戶，其查詢行為可能有很大的不同，而這些不同對于建立強大的安全策略至關重要?，F(xiàn)有數(shù)據(jù)庫活動監(jiān)視產(chǎn)品的主要缺點是不能對其生成的大量數(shù)據(jù)進行深入分析。大多數(shù)解決方案無法區(qū)分用戶活動的正常變化和重要的攻擊信號。那些聲稱能夠提供精確攻擊警報的產(chǎn)品需要不斷地進行調(diào)整，因此很難提供可靠的警報。為此大多數(shù)解決方案只記錄下數(shù)據(jù)庫活動，以進行審計。SecureSphere“動態(tài)建模”的“查詢組”組件通過自動標識每位用戶的一致行為模式，來解決這一問題。通過將所有新查詢與此前為每位用戶建立的模式進行比較，SecureSphere能夠區(qū)分出攻擊行為和無害的用戶行為變化。查詢組在“動態(tài)建?！敝斜硎緸閿?shù)據(jù)庫表和表操作對（如Table1,Select和Table2,Update）。這些信息是基于SecureSphere“動態(tài)建?！彼惴?，從特定數(shù)據(jù)庫用戶的查詢中派生的。與查詢組(Accounts,Select)(Sales,Select)匹配的每個新查詢都被添加到“業(yè)務模型”中，以進行審計。在動態(tài)查詢組情況下，新的查詢不屬于異常事件，不會生成重復的警報。但是，當財務分析員突然試圖通過UPDATE操作修改銷售表時，SecureSphere將此查詢識別為不屬于他的查詢組，并相應地發(fā)出警報。自定義策略定義除了“動態(tài)建模”所提供的自動策略定義外，SecureSphere還允許安全管理員定義特定的策略，以便基于SQL查詢的特定屬性來生成警報和阻止通信。自定義策略規(guī)則以手動方式來配置，用于執(zhí)行通過“業(yè)務模型”和協(xié)議沖突規(guī)則不能或不便實現(xiàn)的操作。當SQL查詢與某個自定義策略規(guī)則匹配時，將記錄一條用于進行審計的警報，并且可根據(jù)該自定義策略規(guī)則的策略阻止該查詢。自定義策略規(guī)則可以是以下屬性的組合：源IP地址：發(fā)出查詢的源IP地址。表：出現(xiàn)在查詢中的數(shù)據(jù)庫表的名稱。操作：出現(xiàn)在查詢中的數(shù)據(jù)庫操作（如Select或Update）。應用程序：用于生成查詢的源應用程序。用戶：生成查詢的數(shù)據(jù)庫用戶。SecureSphere沖突：此SQL查詢觸發(fā)的與”業(yè)務模型”、協(xié)議、防火墻和簽名的沖突。檢測這些方面的沖突，為強制執(zhí)行安全策略提供了一種功能強大的靈活機制?；跀?shù)據(jù)庫安全策略的監(jiān)控和防護數(shù)據(jù)庫安全策略制定之后，必須有相應的部署和保障機制來落實。在SecureSphere中，它的實現(xiàn)又SecureSphere的引擎完成——在規(guī)則制定完成之后就可立即進行實施。在運行的過程中，對于安全威脅，SecureSphere可以進行非常豐富的響應動作，分為三類：告警響應（Alert），即時行動（ImmediateAction）/后續(xù)行動（FollowedAction），對外通信。告警響應告警響應可以對直接觸發(fā)網(wǎng)管界面中的告警，并且在告警終端界面里對告警的性質(zhì)、原因、原始數(shù)據(jù)，知識庫進行詳細展示：所有被監(jiān)控系統(tǒng)的告警都可以被呈現(xiàn)在一個窗口中。在統(tǒng)一的規(guī)則下，告警可以被自動匯聚，可以被搜索、排序、過濾。這樣極大的方便了管理員對多個系統(tǒng)的安全事件進行對比和關聯(lián)分析。即時行動和后續(xù)行動即時行動是對于明確定位、且具有嚴重前在危害的數(shù)據(jù)包進行即時阻斷的動作。而后續(xù)行動是在安全威脅確認后對在一段時間之內(nèi)對攻擊源進行的阻斷。即時動作的功能在于可以對攻擊進行立即的響應，而后續(xù)行動保證在一定時間內(nèi)完全對某個攻擊源的屏蔽——節(jié)省系統(tǒng)資源，同時也防止來自它的其它攻擊和破壞。即時行動和后續(xù)行動的定義非常豐富。包括對IP的阻斷、對Session的阻斷、TCPReset、阻斷時間的定義等等：外部通信SecureSphere不但可以在自身的管理界面上呈現(xiàn)告警，而且，還提供了豐富的對外通信接口：SNMP、Syslog、Email、系統(tǒng)程序的調(diào)用。這些對有效的整合整個IT系統(tǒng)的事件和告警管理體系，以及快速靈活的通知相關人員都至關重要。數(shù)據(jù)庫運行的報告和審計SecureSphere收集一系列極其豐富的審計數(shù)據(jù)并提供非常靈活的內(nèi)置報告功能，可以滿足所有內(nèi)部或外部的合規(guī)性要求。數(shù)據(jù)庫活動審計SecureSphere支持全方位的數(shù)據(jù)庫活動日志記錄。管理員可以指定多個審計日志，并且每個日志都可以單獨配置為進行選擇性日志記錄或進行全面的日志記錄。全面的日志記錄包括全部用戶的所有數(shù)據(jù)庫活動，其中用戶也包括從服務器控制臺訪問數(shù)據(jù)庫的數(shù)據(jù)庫管理員。選擇性日志記錄可以配置為記錄任何屬性組合，其中包括用戶、源IP地址、所訪問的表、使用的SQL操作、源應用程序、天（按周）和時間（按天）、存儲過程和授權SQL操作。作為網(wǎng)絡設備，SecureSphere審計數(shù)據(jù)可完全獨立于所有數(shù)據(jù)庫用戶（包括數(shù)據(jù)庫管理員和開發(fā)人員）進行收集。這就可以清晰區(qū)分數(shù)據(jù)庫團隊與審計或安全團隊之間的職責。而且，審計日志記錄可以在不影響數(shù)據(jù)庫性能、穩(wěn)定性和管理的情況下完成。實時警報審計其他數(shù)據(jù)庫活動監(jiān)視產(chǎn)品的主要缺點是不能對其生成的大量數(shù)據(jù)進行深入分析。大多數(shù)解決方案無法區(qū)分用戶活動的正常變化和真正的惡意或攻擊活動。SecureSphere提供的不只是雜亂無章的的活動日志記錄。SecureSphere實時確定“真正有問題”的活動，并在視圖中按照優(yōu)先級顯示所有潛在的危險用戶活動（包括對數(shù)據(jù)庫應用程序和數(shù)據(jù)庫平臺的攻擊）。報告可以包括當前警報或任何時間段的歷史警報，并且能夠基于任何警報參數(shù)進行分類、過濾或聚合。其他數(shù)據(jù)庫安全解決方案對于生成多個警報的危險活動處理得很不理想。它們單獨處理每個警報，有可能會使真正的問題淹沒在大量相關警報中。SecureSphere提供智能攻擊摘要功能，該功能可以將多個攻擊導致的多個警報聚合為一個需采取措施的警報，與此同時形成警報的基本事件仍可用于進行詳細分析。例如，將成千上萬個相關掃描警報聚合為一個攻擊警報。用戶“業(yè)務模型”審計對于檢查團隊和審計團隊，SecureSphere提供了一種用于了解實際用戶行為并將其與最佳做法或合規(guī)性要求進行對比的強有力的工具?！皹I(yè)務模型”信息的格式和內(nèi)容對于不太了解數(shù)據(jù)庫技術的人員來說尤為有用。審計報告可以圖示出當前的用戶“業(yè)務模型”，并能記錄一段時間內(nèi)對“業(yè)務模型”所做的更改，例如添加新用戶或更改允許用戶使用數(shù)據(jù)庫的天和時間。此更改通知報告對于跟蹤新數(shù)據(jù)庫功能的部署以及是否遵守了更改控制過程非常有用。3.8.2運維安全產(chǎn)品和功能詳解HAC支持Telnet、FTP、SSH、SFTP、RDP（WindowsTerminal）、Xwindows、VNC、AS400、HTTP、HTTPS等多種通信協(xié)議，支持IBMAIX、DigitalUNIX、HPUNIX、SUNSolaris、SCOUNIX、LINUX、WINDOWS等多種操作系統(tǒng)。通過安全產(chǎn)品將人與目標設備進行分離，建立以“人->用戶賬號->授權->目標設備賬號->目標設備”為管理模式，通過基于唯一身份標識的集中管理賬號與權限、授權的控制策略，與各服務器、網(wǎng)絡設備等無縫連接，實現(xiàn)集中精細化運維操作管控與審計。使IT安全運維從被動響應的模式轉(zhuǎn)變?yōu)橹鲃拥倪\維安全管控模式，降低人為安全風險，滿足合規(guī)和內(nèi)部管理要求。主要屬性HAC1000EHAC1000P支持協(xié)議Telnet、SSH、FTP、SFTP、WindowsTerminal、Xwindows、VNC、AS400、http/https等Telnet、SSH、FTP、SFTP、WindowsTerminal、Xwindows、VNC、AS400、http/https等支持HA可靠性并發(fā)數(shù)支持HA最大支持字符會話1000個，圖形最大支持字符會話500個，圖形RDPRDP會話300個部署模式支持單臂、串聯(lián)模式部署會話150個支持單臂、串聯(lián)模式部署易用性清晰性兼容性B/S管理、無客戶端、Server端軟件B/S管理、無客戶端、Server端軟件采用中文界面采用中文界面支持IBMAix、HPUnix、Sun支持IBMAix、HPUnix、SunSolaris、SCOUnix、Linux、Solaris、SCOUnix、Linux、Windows等各種操作系統(tǒng)主機和各種Windows等各種操作系統(tǒng)主機和各種網(wǎng)絡、安全設備2U機架式服務器存儲容量3TB，Raid5+0支持3個千兆以太網(wǎng)口網(wǎng)絡、安全設備IU機架式服務器500GB外形網(wǎng)卡3個千兆以太網(wǎng)口1.統(tǒng)一身份及認證管理完整的身份管理和認證為了確保合法用戶才能訪問其擁有權限的后臺資源，解決IT系統(tǒng)中普遍存在的交叉運維而無法定位到具體人的問題，滿足審計系統(tǒng)“誰做的”要求，系統(tǒng)提供一套完整的身份管理和認證功能。?支持運維用戶靜態(tài)口令、數(shù)字證書、動態(tài)口令、LDAP、AD域、Radius等認證方式；?支持密碼強度、密碼有效期、口令嘗試死鎖、用戶激活、備注等安全管理功能；?支持用戶分組管理；?支持用戶信息導入導出，方便批量處理；?至少支持系統(tǒng)管理員、運維管理員、口令管理員和審計員等管理員角色，可定制管理員角色；?審計員分權管理，分為全局審計員和會話審計員，其中會話審計員只能審計指定用戶的會話。后臺賬號口令集中管理系統(tǒng)支持對后臺各類資源（主機、服務器、網(wǎng)絡設備等）的賬號口令進行統(tǒng)一管理，即后臺資源的賬號口令由系統(tǒng)托管，用戶登錄系統(tǒng)后，系統(tǒng)根據(jù)用戶權限分配后臺資源的使用權。SSO單點登錄SSO單點登錄功能是運維人員通過堡壘機認證和授權后，堡壘機根據(jù)配置策略實現(xiàn)后臺資源的自動登錄。此功能提供了運維人員到后臺資源帳戶的一種可控對應，同時實現(xiàn)了對后臺資源帳戶的口令統(tǒng)一保護。針對不同主機、網(wǎng)絡和安全設備的特性，堡壘機提供托管和只托不管兩種方式實現(xiàn)運維用戶自動登錄后臺資源。1、托管方式實現(xiàn)自動登錄后臺資源?堡壘機自動獲取后臺linux系統(tǒng)資源帳戶信息；?根據(jù)口令安全策略，堡壘機定期自動修改后臺資源帳戶口令；?根據(jù)管理員配置，實現(xiàn)運維用戶與后臺資源帳戶對應，限制帳戶的越權使用；?運維用戶通過堡壘機認證和授權后，堡壘機根據(jù)分配的帳戶實現(xiàn)自動登錄后臺資源。2、只托不管方式實現(xiàn)自動登錄后臺資源?管理員將后臺資源帳戶及口令配置到堡壘機中；?根據(jù)管理員配置，實現(xiàn)運維用戶與后臺資源帳戶對應，限制帳戶的越權使用；?運維用戶通過堡壘機認證和授權后，堡壘機根據(jù)分配的帳戶實現(xiàn)自動登錄后臺資源。?對于托管的后臺設備口令，支持以配置導出、郵件、密碼信封、口令保管箱等的方式進行備份。實際應用時存在多臺設備具備相同的帳號、密碼的情況，可以通過“統(tǒng)一賬號管理”實現(xiàn)只需要手工添加一次賬號，無需多次添加；并且啟用密碼定期修改功能時，該賬號密碼自動修改為相同的密碼。密碼打印HAC對于被管理設備的口令能夠加密保存，支持被修改口令的打印輸出，配合密碼信封可以打印形成密件，便于密碼保管。為進一步保證賬號口令的安全，配合專用的密函打印機，HAC可對被管理設備的賬號口令實現(xiàn)密函打印功能，該功能必須經(jīng)過二次授權復核，打印格式可由用戶自定義。口令保管箱對于托管的后臺設備口令，除支持以導出、郵件、密碼信封的方式進行備份外，還支持把該托管口令備份到專用的口令安全存儲設備上，防止口令丟失的風險。對于該口令安全存儲設備的訪問，支持指紋方式認證。2.訪問控制及授權靈活、細粒度的授權系統(tǒng)提供基于用戶、運維協(xié)議、目標主機、運維時間段（年、月、日、周、時間）、會話時長、運維客戶端IP等組合的授權功能，實現(xiàn)細粒度授權功能，滿足用戶實際授權的需求。?提供基于用戶到資源的授權?提供基于用戶組到資源的授權?提供基于用戶到資源組的授權?提供基于用戶組到資源組的授權命令級授權對于字符型協(xié)議,如Telnet、SSH、FTP、SFTP等，能夠?qū)崿F(xiàn)命令級別的授權控制。?可以通過命令行配置進行規(guī)則匹配，支持黑、白名單功能；?提供用戶可配置的告警規(guī)則以實現(xiàn)告警與阻斷，告警規(guī)則支持多條命令，告警規(guī)則支持正則表達式；?告警規(guī)則支持告警級別、告警分類和與后臺資源綁定；?告警規(guī)則可以按照帳號級別進行綁定，可以設置為只有指定安全級別的帳號才能觸發(fā)告警規(guī)則，針對不同用戶實施不同的規(guī)則，從而提供更細粒度的操作控制；應用發(fā)布除Telnet、SSH、FTP、SFTP、RDP、VNC、XWIN、AS400、HTTP、HTTPS等常用協(xié)議外，針對用戶獨特的運維需求，HAC推出了業(yè)界首創(chuàng)的虛擬桌面主機安全操作系統(tǒng)設備（VDH,VirtualDesktopHost），通過VDH配合HAC進行審計能夠完全達到審計、控制、授權的要求?運維操作全程可控，可做到授權后應用只能訪問指定服務，最大降低對后臺目標服務集群的可能安全風險。?可對整個運維操作過程進行完整記錄，實現(xiàn)詳盡的會話審計和回放。?可依據(jù)用戶要求快速實現(xiàn)新應用的發(fā)布和審計。?可支持對數(shù)據(jù)庫維護工具、pcAnywhere、DameWare等不同工具的運維操作進行監(jiān)控和審計。3.運維事件事中控制實時監(jiān)控及阻斷?監(jiān)控正在運維的會話，信息包括運維用戶、運維客戶端地址、資源地址、協(xié)議、開始時間等；?監(jiān)控后臺資源被訪問情況；?提供在線運維操作的實時監(jiān)控功能。針對命令協(xié)議和圖形協(xié)議可以圖像方式實時監(jiān)控正在運維的各種操作，其信息與運維客戶端所見完全一致；?管理員可以關閉在線會話。違規(guī)操作實時告警與阻斷?告警事件可實時查看，并通過審計平臺的聲音、閃爍提示；?告警事件以郵件、短信通知；?系統(tǒng)各類系統(tǒng)敏感事件集中處理，可通過郵件短信外發(fā)給已配置責任人；?對于設置為阻斷的命令，運維用戶無法執(zhí)行，系統(tǒng)提示相關阻斷信息。可支持ITSM?可與ITSM相結(jié)合，為其優(yōu)化變更管理流程，加強對變更管理中的風險控制；?支持對變更工單錄入操作，實現(xiàn)變更過程的監(jiān)控和審計；?支持對現(xiàn)有運維變更管理系統(tǒng)快速集成；?支持變更工單號事后審計功能?？芍С蛛p人復核操作?支持運維過程對雙人操作流程介入，例如對某阻斷命令，可以設置必須由其它人進行復核；復核人復核通過后，運維人員才可以執(zhí)行該阻斷命令；?支持會話日志記錄雙人復核操作審批人、時間、操作符合命令。4.運維事件事后審計完整記錄網(wǎng)絡會話過程?系統(tǒng)提供運維協(xié)議Telnet、FTP、SSH、SFTP、RDP（WindowsTerminal）、Xwindows、VNC、AS400、Http、Https以及應用發(fā)布等網(wǎng)絡會話的完整會話記錄，完全滿足內(nèi)容審計中信息百分百不丟失的要求；?會話信息包括運維用戶、運維地址、后臺資源地址、資源名、協(xié)議、起始時間、終止時間、流量大小信息；?會話信息包括運維過程中所有進出后臺資源的數(shù)據(jù)。詳盡的會話審計與回放?運維操作審計以會話為單位，提供當日和條件查詢定位。條件查詢支持按運維用戶、運維地址、后臺資源地址、協(xié)議、起始時間、結(jié)束時間和操作內(nèi)容中關鍵字等組合方式；?針對命令交互方式的協(xié)議，提供逐條命令及相關操作結(jié)果的顯示；?提供圖像形式的回放，真實、直觀、可視地重現(xiàn)當時的操作過程；?回放提供快放、慢放、拖拉等方式，方便快速定位和查看；?針對命令交互方式的協(xié)議，提供按命令進行定位回放；?針對RDP、Xwindows、VNC協(xié)議，提供按時間進行定位回放。?對于RDP協(xié)議除記錄視頻格式外，對于各種鍵盤鼠標的操作進行記錄，具體包括鍵盤信息、屏幕文本信息、文件讀寫信息等。自審計功能?管理員、審計員、運維人員在系統(tǒng)中關鍵操作行為記錄，并可通過報表展現(xiàn)；?可記錄主帳號訪問審計設備時間、終端IP記錄；?可記錄主帳號訪問目標設備、從帳號記錄。完備的審計報表功能提供運維人員操作、管理員操作以及違規(guī)事件等多種審計報表：?提供日常報表，包括今日會話、今日自審計、用戶信息、資源信息、權限信息、規(guī)則信息、管理員角色信息等報表；?提供會話報表，可根據(jù)用戶選定時間、用戶、資源形成會話報表；?自審計操作報表，可根據(jù)用戶選定時間、管理員、模塊形成自審計報表；?告警報表，可根據(jù)告警類別、級別、資源、運維用戶、協(xié)議、時間等條件形成報表；?綜合統(tǒng)計報表，可根據(jù)時間、資源、用戶等條件形成綜合統(tǒng)計報表，報表中包括概要信息、每個用戶操作信息、每個資源被操作信息等；?報表導出，支持PDF、Excel、Word等格式。5.兼容性、可擴展性HAC運維審計作為IT運維流程中的一個部分，能夠遵循ITIL滿足稽核與審計的要求，系統(tǒng)能夠通過定制開發(fā)與現(xiàn)有ITSM、SOC、網(wǎng)管平臺進行集成，滿足大型網(wǎng)絡系統(tǒng)的管理要求。基于ITIL要求，HAC系統(tǒng)自身能夠支持工單管理和雙人復核，能夠基本滿足用戶使用紙面工單管理的基本審計需求。能夠與KVM系統(tǒng)進行整合，解決KVM系統(tǒng)本身審計功能薄弱的問題。能夠與專業(yè)的數(shù)據(jù)庫審計系統(tǒng)進行整合，審計日志信息既滿足直觀、方面查看的目的，又可以記錄詳細的數(shù)據(jù)庫操作記錄，便于故障分析。4應用效果分析該系統(tǒng)是一個完全獨立于數(shù)據(jù)庫系統(tǒng)的“黑盒子”，審計記錄自保護性強，彌補了數(shù)據(jù)庫系統(tǒng)內(nèi)置日志審計的缺陷。數(shù)據(jù)庫系統(tǒng)內(nèi)置的日志審計功能單一，日志記錄可以被人為修改、刪除，彌補了數(shù)據(jù)庫內(nèi)置日志審計的缺陷。首先，詳細記錄了所有通過網(wǎng)絡方式對數(shù)據(jù)庫系統(tǒng)所進行的操作，包括操作時間、計算機名、數(shù)據(jù)庫名、數(shù)據(jù)庫用戶名、操作方式、操作內(nèi)容等等，這些都便于以后的查詢?nèi)∽C，同時可以跟蹤是否有異常的計算機或用戶或程序訪問系統(tǒng)數(shù)據(jù)庫。其次，利用審計數(shù)據(jù)對業(yè)務系統(tǒng)性能進行優(yōu)化。通過分析業(yè)務系統(tǒng)中各個子系統(tǒng)或各個功能中對數(shù)據(jù)庫系統(tǒng)的訪問量來分析業(yè)務系統(tǒng)中存在的性能問題。比如，通過各個子業(yè)務系統(tǒng)對數(shù)據(jù)庫系統(tǒng)訪問次數(shù)統(tǒng)計來分析業(yè)務系統(tǒng)中對數(shù)據(jù)庫的操作是否可進行優(yōu)化，從而提供整個業(yè)務系統(tǒng)的運行性能。再次，因為記錄所有人員對數(shù)據(jù)庫操作?？梢蕴嵝阉詫?shù)據(jù)庫操作的人員按照規(guī)范來操作，有利于銀行對數(shù)據(jù)庫操作規(guī)范的執(zhí)行。針對XX數(shù)據(jù)庫安全保護解決方案的重要業(yè)務功能的實現(xiàn)數(shù)據(jù)庫的安全是一個綜合性的工程。它面臨的問題是多方面的。保證數(shù)據(jù)庫的安全和正常運行，其中一個重要的功能是數(shù)據(jù)庫的審計功能。這是數(shù)據(jù)庫周期性的業(yè)務運行狀況的總結(jié)。其中即包括對一段時間內(nèi)的總體運行狀況的描述，也包括詳細的分項說明，以及細致到每一次事務/查詢的原始信息記錄。Imperva的產(chǎn)品可以提供針對數(shù)據(jù)庫操作的詳細審計。不僅包括正常業(yè)務運行狀況，對安全威脅和事件也進行特別重點和詳細的報告。報告和審計對于企業(yè)提供符合專業(yè)規(guī)范（如：塞班斯）要求的審計依據(jù)具有重大的意義，更重要的是對數(shù)據(jù)庫安全的整個維護和實施生命周期提供了不斷自我檢查，自我完善的依據(jù)。這是在系統(tǒng)運行時，對正在進行的業(yè)務和管理層面的數(shù)據(jù)庫交互活動進行檢測。對其中違反既定的安全策略的行為可以即時發(fā)現(xiàn)，同時可以產(chǎn)生報警、阻斷以及供