数据库审计和防护系统

1. 概述

1.1 背景介绍

随着政府部门、金融机构、企事业单位、商业组织等对重要数据库业务系统和数据库应用系统依赖程度的日益增强，数据库安全及数据安全的问题受到普遍关注。由于信息化建设、业务增长、系统上云等因素，在各系统中的数据库服务器也不断增加，对数据库的管理的方式和通道也日趋复杂多样。在如此繁杂的情况下，引发了如滥用特权账号、滥用合法权限、身份验证不规范、备份数据暴露、审计记录不足等各类安全问题，并加大了IT内控审计的难度。

与此同时，数据安全问题日益突出，如系统和数据库的通信协议存在漏洞、SQL注入攻击、拒绝服务攻击、权限和账号被盗、弱口令等，给攻击者留下了可趁之机，也给管理者带来了管理层面的麻烦与困难。

据风险数据公司RBS统计，截至到2020年Q3，公开的数据泄露事件已发生2953起与2019和2018年对比都要低不少，与之形成强烈对比的是数据泄露条数达惊人的360亿（较去年同期增长356%）。世界正在走向大数据、云和万物互联的数字化时代，而数字化的数据泄露加剧已成常态，千万级别的数据泄漏已不鲜见，造成的损失触目惊心。

1.2 风险分析

数据库安全风险及需求，可以归纳为以下几个方面：

1.2.1 内部访问风险

有30%的数据库威胁是来自内部，如DBA、数据库开发人员、操作人员等；容易出现权限滥用、误操作、弱口令等问题，给管理带来了很大困难，更加无法进行有效的记录和预警。

1.2.2 外部访问风险

有70%的数据库威胁是来自外部，互联网访问者、外包人员通过互联网途径访问；容易出现越权操作、恶意访问、账号密码泄露等问题。甚至容易被黑客攻击，如SQL注入、零日攻击等，同样给管理带来了很大的难度。

1.2.3 传统安全防护手段的缺陷

面对外部访问威胁，通常的做法是利用传统的安全系统进行防护，如防火墙、IPS、IDS等，但是面对诸如SQL注入、零日攻击等威胁，常常束手无策。

面对内部访问威胁，传统安全系统也无法有效控制或记录数据库产生的风险。

1.2.4 系统自身审计的缺陷

应用系统或数据库系统，自身都带有系统日志，具备一定的分析作用。

但是，系统自身的日志不仅可读性差，而且容易被篡改，更加不具备第三方独立性和权威性；甚至，开启自身记录功能之后，直接影响了系统的性能以及稳定性。

1.2.5 如何满足合规要求

随着大数据时代的到来，数据已经深入并融合到社会的各个阶层和组织中，数据的安全已经成为社会安全的重要组成部分。如何应对海量数据应用带来的各种威胁，已经成为上至国家、下至组织和个人关注的重点问题之一。

目前国内、国际的很多标准、法案法规都要求相关组织单位建设安全的审计系统，并确保审计信息是安全、完整、可查及唯一的：

Ÿ 信息安全等保要求访问来源识别、数据审计、日志记录、审计报表等。

Ÿ ISO27001标准要求记录用户访问、意外和信息安全事件的日志，以便为安全事件调查取证等。

Ÿ SOX法案要求组织设计和执行了适当的数据保护技术，以确保财务报表数据的可靠、可信等。

Ÿ 企业内控规范要求企业严格执行规范要求，以加强和规范内部控制、提高风险防范能力等。

Ÿ 等保2.0更是加强了对数据及数据库安全的要求。

2. 产品介绍

闪捷数据库审计与防护系统基于“CII”设计理念，设计出针对数据库安全的专业解决方案，可以帮助您解决以下问题:

Ÿ n识别越权使用、权限滥用，管理数据库帐号权限

Ÿ n自动跟踪敏感数据访问行为，及时发现敏感数据泄漏

Ÿ n自动检测数据库系统运行弱点、发现SQL注入等漏洞

Ÿ n自动创建数据库业务模型、及时发现异常SQL

Ÿ n实时监测SQL交互量、TCP会话、风险行为等态势

Ÿ n为数据库管理与优化提供决策依据

Ÿ n满足法律、法规要求，提供符合性报告

Ÿ n低成本且有效推行IT管理制度

闪捷数据库审计与防护系统支持旁路审计、代理审计和插件审计三种工作模式，来获取数据流量，通过对数据流量进行深度解析来实现对数据库的审计，帮助用户实时统计访问数据库的请求和风险，提升数据库运行监控的透明度，降低人工审计成本，真正实现数据库全业务运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。

闪捷数据库审计与防护系统还提供灵活的告警策略、细粒度的审计日志和合规性的报表，解决客户的核心数据库面临的“越权使用、权限滥用、权限盗用”等安全威胁，满足各类法令法规对数据库审计的要求，广泛适用于“政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务及企业”等所有使用数据库的行业。

2.1 设计理念

闪捷数据库审计与防护系统是闪捷信息基于多年数据库安全的理论和实践经验积累的基础上，结合各类法令法规（如网络安全法、SOX法案、等级保护、PCI、企业内控管理等）对数据库审计的要求，自主研发完成的业界首创智能自动学习、自动建模、风险自识别、细粒度审计、精准化行为告警、全方位的数据库安全审计产品。

通过“CII”的设计理念，为客户的核心数据库资产构建“最后一道安全防线”。

2.2 基本工作原理

闪捷数据库审计和防护系统，利用风险智能识别技术对异常和高危的数据库访问进

2.3 部署模式

闪捷数据库审计与防护系统不仅适用于物理环境，而且可直接部署在云端，帮助客户防护和审计云端数据库；可以适用于公有云、混合云的环境

2.3.1 旁路部署

闪捷数据库审计与防护系统，采用“旁路侦听”的部署模式，部署在核心交换中，通过端口镜像方式捕获数据流量，系统利用Smart审计引擎进行数据分析与告警，不改动网络拓扑、不影响业务数据、不改变使用习惯。

2.3.2 云部署模式

在云主机中安装数据库审计Agent，获取数据库操作日志。可支持目前主流的数据库，保证数据审计兼容、有效。

在访问数据库的应用系统服务器上部署数据库审计Agent，获取数据库访问的日志数据，用作日志审计。

3. 产品优势

3.1 支持多种数据库协议

不仅支持主流的数据库，如oracle、sqlserver、mysql、DB2、informix、sybase；而且支持国产数据库和专业的数据库，同时还支持云数据库及大数据组件的解析与审计。

3.2 超高设备性能，业界领先

闪捷数据库审计系统支持超高的SQL处理能力，最高性SQL处理能可达18万。

3.3 业界领先的实时会话展现形式

闪捷数据库审计实时显示当前会话列表，让数据库访问变得“一目了然”，实时定位风险预警级别，让数据库风险变得“不再隐蔽”！

3.4 细粒度的全面日志审计

通过5“W”的设计理念和数据流量的深度协议解析，最终实现能审计详细的SQL日志信息，包括，来源信息、目标信息、操作内容、字段信息、语句类型等二十多种数据库请求日志信息。

3.5 基于自动学习的用户行为模型

闪捷数据库审计与防护系统利用secsmart审计引擎，根据账号、sql语句特征和访问特征等内置了智能的自动建模机制，最终实现正常与异常的数据分析能力；不仅帮助客户梳理常态化的数据类型，而且可以有效快速的发现异常访问；一旦发现异常则及时告警并通知管理员。

3.6 实时风险趋势展示

闪捷数据库审计与防护系统基于深度分析技术引擎。自动分析数据库的数据交互情况，能实时监测到数据库的SQL请求量、TCP会话量、威胁行为；能实时分析出数据库的运行状态，通过数据威胁风险的级别，对数据库进行分值评估，为管理层提供数据库优化的依据和建议报告。

3.7 威胁自发现、自告警机制

闪捷数据库审计与防护系统中内置了丰富多样的威胁特征库和风险规则库，可以有效的对SQL注入、缓冲区溢出、暴力破解数据库等行为进行及时告警，为管理层提供风险分析依据。

3.8 丰富多样的报表功能

闪捷数据库审计与防护系统内置了通用及丰富的报表模板，可定期自动发送给相关管理员；可输出满足合规的、行业属性的报表（如DPA、SOX、等级保护、医疗防统方）。

同时，也可以对报表条件进行自定义：源IP、源应用程序、数据库账号、SQL命令、操作类型、风险级别等多个维度设置报表的内容，方便用户查询和使用。

3.9 最开放的、最全面的接口联动

系统开放了全部数据接口，如审计数据接口、告警数据接口、配置接口、策略接口等，方便用户对接第三方设备，进行日志管理，策略下发，让数据分析变得更加智能，让用户使用更加方便。

允许第三方平台对接并调用闪捷数据库审计与防护系统的接口；让数据分析变得更智能。

3.10 可伸缩的集群部署方案

闪捷数据库审计和防护系统支持集群部署模式，能够对审计系统进行横向扩展，在大数据流量、大并发、高稳定性等应用场景下都可广泛应用。