本篇文章為大家展示了云數(shù)據(jù)安全解決方案是怎樣的，內(nèi)容簡(jiǎn)明扼要并且容易理解，絕對(duì)能使你眼前一亮，通過(guò)這篇文章的詳細(xì)介紹希望你能有所收獲。

創(chuàng)新互聯(lián)公司于2013年成立，先為安義等服務(wù)建站，安義等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢(xún)服務(wù)。為安義企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。

綜述

一、項(xiàng)目背景

是指大力推進(jìn)商務(wù)、生產(chǎn)、生活等領(lǐng)域的信息化,促進(jìn)信息產(chǎn)業(yè)、信息技術(shù)、信息資源和信息環(huán)境全面發(fā)展，建成全球重要的信息產(chǎn)業(yè)研發(fā)制造基地、亞洲重要的電子商務(wù)中心、全國(guó)網(wǎng)絡(luò)民生民主先行示范區(qū)、網(wǎng)絡(luò)創(chuàng)業(yè)創(chuàng)新集聚地，成為面向全世界、服務(wù)全國(guó)的信息區(qū)域中心。

值得注意的是，在信息化數(shù)字平臺(tái)的建設(shè)中，人們往往較重視服務(wù)器的可用性和安全性，而忽視了數(shù)據(jù)安全保護(hù)。實(shí)際上，數(shù)據(jù)才是各類(lèi)應(yīng)用的中樞所在，災(zāi)難發(fā)生時(shí)，服務(wù)器、路由器、存儲(chǔ)設(shè)備等硬件資源容易快速恢復(fù)或重新配置，但是若是數(shù)據(jù)損壞或丟失，信息系統(tǒng)依然不能正常對(duì)外提供服務(wù)。同時(shí)，隨著大數(shù)據(jù)時(shí)代的來(lái)臨，數(shù)據(jù)成為最有價(jià)值的核心資產(chǎn)。大數(shù)據(jù)平臺(tái)系統(tǒng)為各行業(yè)、部門(mén)的精確化管理與業(yè)務(wù)優(yōu)化，提供戰(zhàn)略的規(guī)劃與決策，同時(shí)提供了及時(shí)、準(zhǔn)確、有力的數(shù)據(jù)支撐。與此同時(shí)，各類(lèi)涉及商業(yè)秘密和敏感數(shù)據(jù)信息在處理、共享和使用過(guò)程中也面臨被違規(guī)越權(quán)使用或被用于非法用途等數(shù)據(jù)信息泄漏的安全風(fēng)險(xiǎn)。因此，數(shù)據(jù)信息已經(jīng)成為信息化平臺(tái)建設(shè)中的核心資產(chǎn)，尤其敏感數(shù)據(jù)信息泄露事件的頻繁發(fā)生，嚴(yán)重的影響著國(guó)家和人民的利益。

二、項(xiàng)目分析

1、數(shù)據(jù)安全政策分析

隨著信息化平臺(tái)的深入建設(shè)，云平臺(tái)內(nèi)部的各種業(yè)務(wù)和信息支撐系統(tǒng)不斷增加，網(wǎng)絡(luò)規(guī)模也迅速擴(kuò)大。數(shù)據(jù)庫(kù)做為信息技術(shù)的核心和基礎(chǔ)，承載著越來(lái)越多的關(guān)鍵業(yè)務(wù)系統(tǒng)，漸漸成為信息安全中最具有重要性的資產(chǎn)，數(shù)據(jù)庫(kù)的安全穩(wěn)定運(yùn)行也直接決定著項(xiàng)目能否創(chuàng)造出應(yīng)有的價(jià)值。綜上所述，數(shù)據(jù)安全也成為開(kāi)展需要考慮的重大問(wèn)題。另外，國(guó)家、保密委、國(guó)家等級(jí)保護(hù)體系中都對(duì)數(shù)據(jù)庫(kù)安全情況做出了明確的要求，其中：

2016年11月7日，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》(以下簡(jiǎn)稱(chēng)“《網(wǎng)絡(luò)安全法》”)正式通過(guò)，2017年6月1日起施行?！毒W(wǎng)絡(luò)安全法》共包括七章，七十九條，對(duì)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)和用戶(hù)個(gè)人信息保護(hù)制度等從法律層面上進(jìn)行了規(guī)定。網(wǎng)絡(luò)安全法特別強(qiáng)調(diào)了數(shù)據(jù)的安全問(wèn)題，明確指出需要對(duì)數(shù)據(jù)的采集、使用、傳輸、存儲(chǔ)等環(huán)節(jié)進(jìn)行保護(hù)，具體條款如下：

1）第二十一條：國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求【誰(shuí)主管誰(shuí)負(fù)責(zé)】 ，履行下列安全保護(hù)義務(wù)保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪(fǎng)問(wèn)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改；

（1）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實(shí)網(wǎng)絡(luò)安全保護(hù)責(zé)任；

（2）采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；

（3）采取監(jiān)測(cè)、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；

（4）采取數(shù)據(jù)分類(lèi)、重要數(shù)據(jù)備份和加密等措施；

（5）法律、行政法規(guī)規(guī)定的其他義務(wù)。

解讀如下：

（1）本條明確網(wǎng)絡(luò)安全等級(jí)保護(hù)制度（也就是常說(shuō)的”等?！保┦切畔踩ㄔO(shè)的基本要求；

（2）明確數(shù)據(jù)安全的內(nèi)容：保護(hù)網(wǎng)絡(luò)數(shù)據(jù)不被泄露或者被竊取、篡改。

（3）在以前的等保中，數(shù)據(jù)安全常常是可選項(xiàng)，而且常常是不被選擇的項(xiàng)目。通過(guò)本法本條，可以認(rèn)為數(shù)據(jù)安全不再是“可選項(xiàng)”，而是必選項(xiàng)。這將極大的改變等保的實(shí)施內(nèi)容。

（4）當(dāng)前的網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入很多是以竊取數(shù)據(jù)為目的的，需要采取防止數(shù)據(jù)竊取的技術(shù)措施。對(duì)網(wǎng)絡(luò)安全事件的日志留存時(shí)間不少于六個(gè)月。這對(duì)數(shù)據(jù)訪(fǎng)問(wèn)記錄的日志留存時(shí)間做出了明確要求，要高于6個(gè)月。

（5）要對(duì)數(shù)據(jù)根據(jù)敏感性進(jìn)行分級(jí)和分類(lèi)，從而對(duì)數(shù)據(jù)進(jìn)行細(xì)粒度的訪(fǎng)問(wèn)控制。

（6）明確要求對(duì)重要數(shù)據(jù)進(jìn)行備份和加密。

2）第四十二條：網(wǎng)絡(luò)運(yùn)營(yíng)者不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。但是，經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外。

解讀如下：

（1）本條要求，對(duì)他人提供所收集到的個(gè)人信息，必須是“經(jīng)過(guò)處理的無(wú)法識(shí)別且不能復(fù)原的”。在技術(shù)上，這即是指要求對(duì)敏感數(shù)據(jù)進(jìn)行脫敏處理。

（2）本條明確要求網(wǎng)絡(luò)運(yùn)營(yíng)者采取技術(shù)措施防止數(shù)據(jù)的泄露、毀損、丟失。

（3）本條要求發(fā)生數(shù)據(jù)安全事件時(shí)，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)該主動(dòng)上報(bào)并采取補(bǔ)救措施。但是現(xiàn)實(shí)情況是很多數(shù)據(jù)泄露事件和數(shù)據(jù)篡改事件發(fā)生過(guò)很久以后，網(wǎng)絡(luò)運(yùn)營(yíng)者才知道。所以在主動(dòng)發(fā)現(xiàn)數(shù)據(jù)安全事件方面，還需要更多的技術(shù)投入。而且在補(bǔ)救方面，如何找到攻擊路徑，也是一大難題。合格的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品能夠在一定程度上主動(dòng)發(fā)現(xiàn)數(shù)據(jù)安全事件，并能在數(shù)據(jù)安全事件溯源方面提供幫助。

3）公安部 《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》

網(wǎng)絡(luò)安全要求：

（1）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶(hù)行為等進(jìn)行日志記錄

（2）審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計(jì)相關(guān)的信息

（3）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表

（4）應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等

主機(jī)安全要求：

（1）審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶(hù)端上的每個(gè)操作系統(tǒng)用戶(hù)和數(shù)據(jù)庫(kù)用戶(hù)

（2）審計(jì)內(nèi)容應(yīng)包括重要用戶(hù)行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件

（3）審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類(lèi)型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等

（4）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表

（5）應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷

（6）保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等

（7）應(yīng)能夠根據(jù)信息系統(tǒng)的統(tǒng)一安全策略，實(shí)現(xiàn)集中審計(jì)

數(shù)據(jù)安全要求：

（1）應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性。

另外一些行業(yè)性的法規(guī)和標(biāo)準(zhǔn)也陸續(xù)被推出和執(zhí)行，例如：《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》、《數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求》、《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)技術(shù)要求》、《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范》、《中國(guó)人民***計(jì)算機(jī)信息系統(tǒng)安全保密規(guī)定》、《中國(guó)塞班斯法案(SOX)》、《***標(biāo)準(zhǔn) (PCI)》，以及電力SG168、衛(wèi)生部防統(tǒng)方、互聯(lián)網(wǎng)金融安全基本法、央企商業(yè)機(jī)密保護(hù)條例……

這些法規(guī)和標(biāo)準(zhǔn)中，對(duì)結(jié)構(gòu)化數(shù)據(jù)和數(shù)據(jù)庫(kù)的保護(hù)提出了明確的要求和相應(yīng)實(shí)踐的標(biāo)準(zhǔn)。

2、風(fēng)險(xiǎn)分析

下圖是一個(gè)典型的信息系統(tǒng)和安全防范情況示意圖，描述了當(dāng)前信息安全的情況。從圖中可以看出，從用戶(hù)終端瀏覽器或APP用戶(hù)到Web/APP服務(wù)器這一段的防護(hù)手段是比較多的。但是，在Web/APP服務(wù)器之后，防護(hù)手段就相當(dāng)有限。在這種情況下，數(shù)據(jù)庫(kù)和其中的數(shù)據(jù)，極易遭受來(lái)自于外部和內(nèi)部的形式多樣的攻擊。外部攻擊者可以繞過(guò)前端防護(hù)系統(tǒng)或者穿透應(yīng)用程序直接訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)。而內(nèi)部人員的蓄意越權(quán)訪(fǎng)問(wèn)、誤操作、或是介質(zhì)竊取等，都是數(shù)據(jù)泄露的通常途徑。雖然被報(bào)道的數(shù)據(jù)泄密事件主要是來(lái)自于外部攻擊，但是據(jù)多個(gè)調(diào)查結(jié)果顯示，來(lái)自于內(nèi)部的數(shù)據(jù)泄漏事件占70%以上。

據(jù)Verizon2017年發(fā)布的數(shù)據(jù)泄露調(diào)查分析報(bào)告和對(duì)發(fā)生的信息安全事件技術(shù)分析，排名在前4的攻擊模式（各種失誤、犯罪軟件、內(nèi)部人員/權(quán)限濫用、物理偷竊/丟失）涵蓋了90%的數(shù)據(jù)泄密事件，而這4種類(lèi)型中有3種類(lèi)型是人為的因素導(dǎo)致的數(shù)據(jù)泄露。數(shù)據(jù)泄露也常常發(fā)生在內(nèi)部，大量的運(yùn)維人員直接接觸敏感數(shù)據(jù)，傳統(tǒng)以防外為主的網(wǎng)絡(luò)安全解決方案失去了用武之地。

中安威士在多年的項(xiàng)目實(shí)踐過(guò)程中，對(duì)網(wǎng)絡(luò)環(huán)境下的數(shù)據(jù)安全管理和數(shù)據(jù)庫(kù)安全問(wèn)題進(jìn)行了調(diào)研，總結(jié)了數(shù)據(jù)庫(kù)及其管理的數(shù)據(jù)所面臨的主要泄密風(fēng)險(xiǎn)如下圖所示，在一個(gè)具體的網(wǎng)絡(luò)環(huán)境示意圖中，我們可以看到：

1)   數(shù)據(jù)庫(kù)相當(dāng)于一個(gè)黑盒子，我們無(wú)法可視化的了解數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)狀況，無(wú)法對(duì)風(fēng)險(xiǎn)進(jìn)行查看，無(wú)法對(duì)風(fēng)險(xiǎn)進(jìn)行報(bào)警 ，缺乏詳盡的審計(jì)

2)   在業(yè)務(wù)服務(wù)器區(qū)存在用于無(wú)法全部清理的系統(tǒng)漏洞、開(kāi)發(fā)人員留的后門(mén)及SQL注入漏洞等，那么客戶(hù)區(qū)，業(yè)務(wù)辦公區(qū)，運(yùn)維區(qū)都可能利用這種漏洞對(duì)數(shù)據(jù)庫(kù)進(jìn)行攻擊

3)   業(yè)務(wù)人員和內(nèi)部人員可以利用內(nèi)網(wǎng)進(jìn)行數(shù)據(jù)導(dǎo)出也存在很大風(fēng)險(xiǎn)

4)   運(yùn)維人員的越權(quán)訪(fǎng)問(wèn)，或者權(quán)限過(guò)高，例如：DBA新建用戶(hù)時(shí)，沒(méi)有細(xì)化權(quán)限，導(dǎo)致本應(yīng)只有查詢(xún)權(quán)限的用戶(hù)，進(jìn)行數(shù)據(jù)刪除，或者更新操作，或者DBA利用管理權(quán)限進(jìn)行竊取數(shù)據(jù)

5)   內(nèi)部人員也有可能對(duì)數(shù)據(jù)庫(kù)做了誤操作的行為，導(dǎo)致生產(chǎn)事故

通過(guò)對(duì)上圖場(chǎng)景的分析，中安威士根據(jù)多年數(shù)據(jù)安全的項(xiàng)目經(jīng)驗(yàn)，總結(jié)出數(shù)據(jù)庫(kù)面臨的主要風(fēng)險(xiǎn):

1)   越權(quán)權(quán)限的濫用：數(shù)據(jù)庫(kù)權(quán)限設(shè)置違反了“權(quán)限最小原則”在很多信息系統(tǒng)中比較普遍。如果這些超出的權(quán)限被濫用，則極易發(fā)生敏感數(shù)據(jù)泄漏事件；

2)   合法權(quán)限濫用：系統(tǒng)中總是有一部分用戶(hù)合法的擁有較大甚至是超級(jí)管理權(quán)限。如果這些權(quán)限被濫用，則極易發(fā)生嚴(yán)重后果；

3)   權(quán)限盜用：由于商用數(shù)據(jù)庫(kù)的用戶(hù)認(rèn)證方式主要為單一的口令方式，權(quán)限盜用容易發(fā)生，進(jìn)而極易導(dǎo)致嚴(yán)重的數(shù)據(jù)泄漏事件；

4)   數(shù)據(jù)庫(kù)平臺(tái)漏洞：數(shù)據(jù)庫(kù)管理系統(tǒng)是個(gè)復(fù)雜的軟件系統(tǒng)，從數(shù)據(jù)庫(kù)廠家發(fā)布的補(bǔ)丁情況來(lái)看，數(shù)據(jù)庫(kù)系統(tǒng)無(wú)一例外的具有嚴(yán)重的安全漏洞。如緩沖區(qū)注入漏洞或者認(rèn)證、權(quán)限管理漏洞。這些漏洞極易被攻擊者利用以竊取數(shù)據(jù)；

5)   SQL注入、緩沖區(qū)溢出風(fēng)險(xiǎn)：數(shù)據(jù)庫(kù)本身不具備SQL注入攻擊檢測(cè)能力。通過(guò)Web/APP插入惡意語(yǔ)句，或者利用連接工具發(fā)動(dòng)緩沖區(qū)溢出攻擊，攻擊者便有機(jī)會(huì)獲得整個(gè)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)權(quán)限；

6)   弱鑒權(quán)機(jī)制：商業(yè)數(shù)據(jù)庫(kù)系統(tǒng)提供的基本的管理機(jī)制，主要是自主訪(fǎng)問(wèn)控制（DAC）和基于角色的訪(fǎng)問(wèn)控制（RBAC）。并沒(méi)有采用強(qiáng)制訪(fǎng)問(wèn)控制的方式（MAC），基于用戶(hù)和數(shù)據(jù)的敏感級(jí)別來(lái)進(jìn)行權(quán)限的鑒別。這容易使得低密級(jí)用戶(hù)訪(fǎng)問(wèn)到高密級(jí)的數(shù)據(jù)；

7)   缺乏詳盡審計(jì)：審計(jì)是每個(gè)數(shù)據(jù)庫(kù)管理系統(tǒng)標(biāo)配的安全特性，用于記錄對(duì)數(shù)據(jù)的訪(fǎng)問(wèn)情況，從而形成對(duì)非法訪(fǎng)問(wèn)的威懾。而數(shù)據(jù)庫(kù)自身的審計(jì)功能在可視化、智能化、入侵檢測(cè)能力等方面能力較弱，通常無(wú)法滿(mǎn)足實(shí)際的安全需求。

3、需求分析

在信息資產(chǎn)上存在大量的政務(wù)數(shù)據(jù)及公民信息，有大量包括姓名、***號(hào)、地址、***號(hào)、合同號(hào)等個(gè)人隱私信息。而這些數(shù)據(jù)，在政務(wù)的很多工作場(chǎng)景中都會(huì)使用，例如業(yè)務(wù)分析、開(kāi)發(fā)測(cè)試、審計(jì)監(jiān)管，甚至是一些外包業(yè)務(wù)等，使用的都是真實(shí)的業(yè)務(wù)數(shù)據(jù)和信息。一旦信息泄露，無(wú)論對(duì)公司還是管理人員都會(huì)造成嚴(yán)重影響。敏感信息保護(hù)是緊迫性高、影響程度大的風(fēng)險(xiǎn)管理工作，直接影響到建設(shè)聲譽(yù)和業(yè)務(wù)開(kāi)展。

通過(guò)對(duì)數(shù)據(jù)庫(kù)存在的風(fēng)險(xiǎn)分析，和相關(guān)的法規(guī)標(biāo)準(zhǔn)要求，中安威士將數(shù)據(jù)庫(kù)安全的真實(shí)需求概括為三點(diǎn)：

1）數(shù)據(jù)安全風(fēng)險(xiǎn)可視化

了解數(shù)據(jù)資產(chǎn)的分布。需要自動(dòng)發(fā)現(xiàn)數(shù)據(jù)庫(kù)服務(wù)器、敏感數(shù)據(jù)的分布情況，為后續(xù)安全加固明確目標(biāo)；

實(shí)時(shí)掌握數(shù)據(jù)庫(kù)系統(tǒng)的可用性。要求能對(duì)數(shù)據(jù)庫(kù)運(yùn)行狀態(tài)進(jìn)行實(shí)時(shí)監(jiān)控，在狀態(tài)異常時(shí)進(jìn)行預(yù)警，提前防止業(yè)務(wù)癱瘓，保障業(yè)務(wù)系統(tǒng)的連續(xù)可用性；

實(shí)時(shí)掌握數(shù)據(jù)庫(kù)存在的風(fēng)險(xiǎn)狀況。要求能通過(guò)掃描的方式，靜態(tài)的評(píng)估企業(yè)數(shù)據(jù)庫(kù)系統(tǒng)的風(fēng)險(xiǎn)，掃描內(nèi)容包括：弱口令檢測(cè)、系統(tǒng)漏洞、配置風(fēng)險(xiǎn)等；

需要進(jìn)行數(shù)據(jù)活動(dòng)監(jiān)控。實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)活動(dòng)情況，記錄數(shù)據(jù)訪(fǎng)問(wèn)行為，尤其是對(duì)敏感數(shù)據(jù)的訪(fǎng)問(wèn)行為。要求能實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的直接訪(fǎng)問(wèn)和通過(guò)Web和應(yīng)用對(duì)數(shù)據(jù)庫(kù)的間接訪(fǎng)問(wèn)進(jìn)行全面監(jiān)控。

對(duì)高危風(fēng)險(xiǎn)進(jìn)行報(bào)警。通過(guò)策略配置識(shí)別網(wǎng)絡(luò)中的數(shù)據(jù)庫(kù)操作語(yǔ)句，是否存在風(fēng)險(xiǎn)，對(duì)風(fēng)險(xiǎn)級(jí)別進(jìn)行管理并告警處理。

2）數(shù)據(jù)的可控性

在日常數(shù)據(jù)庫(kù)使用中針對(duì)合法權(quán)限濫用、被盜用等造成的數(shù)據(jù)泄露、數(shù)據(jù)損毀、數(shù)據(jù)被篡改等采取技術(shù)手段降低風(fēng)險(xiǎn)；

需要進(jìn)行數(shù)據(jù)庫(kù)攻擊檢測(cè)和保護(hù)。由于數(shù)據(jù)庫(kù)系統(tǒng)本身可能存在的通訊協(xié)議漏洞、數(shù)據(jù)庫(kù)平臺(tái)漏洞等造成系統(tǒng)被SQL注入攻擊、緩沖區(qū)溢出攻擊等來(lái)自數(shù)據(jù)庫(kù)日常使用邊界之外的惡意攻擊風(fēng)造成的數(shù)據(jù)泄露、損毀風(fēng)險(xiǎn)。

3）數(shù)據(jù)合規(guī)性

信息系統(tǒng)需要通過(guò)各種安全檢查和測(cè)評(píng)。比如等保、分保測(cè)評(píng)，或者行業(yè)法規(guī)標(biāo)準(zhǔn)的檢查。

總體方案

一、方案概述

針對(duì)的數(shù)據(jù)庫(kù)安全安全需求，為加強(qiáng)業(yè)務(wù)系統(tǒng)敏感信息的訪(fǎng)問(wèn)安全審計(jì)監(jiān)控，防止數(shù)據(jù)庫(kù)的高危操作，防止SQL攻擊。中安威士給出基于數(shù)據(jù)庫(kù)審計(jì)，數(shù)據(jù)庫(kù)防火墻的綜合數(shù)據(jù)安全解決方案，實(shí)現(xiàn)“可視”、“可控”、“合規(guī)”的需求，如下圖，擬對(duì)存儲(chǔ)敏感信息的數(shù)據(jù)庫(kù)進(jìn)行重點(diǎn)審計(jì)，核心數(shù)據(jù)庫(kù)進(jìn)行防火墻高危阻斷。確保數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)合法合規(guī)，重點(diǎn)實(shí)現(xiàn)“數(shù)據(jù)庫(kù)操作事后追溯取證”、“數(shù)據(jù)庫(kù)違規(guī)訪(fǎng)問(wèn)行為實(shí)時(shí)預(yù)警”、“核心數(shù)據(jù)資產(chǎn)的防泄露，防篡改，防攻擊”。

1、該方案概括來(lái)講，就是把數(shù)據(jù)關(guān)進(jìn)籠子，讓數(shù)據(jù)的訪(fǎng)問(wèn)在陽(yáng)光下進(jìn)行，為兩個(gè)遞進(jìn)層次：

1）把數(shù)據(jù)關(guān)進(jìn)籠子

通過(guò)數(shù)據(jù)庫(kù)防火墻產(chǎn)品，基于自動(dòng)學(xué)習(xí)和規(guī)則配置，生成細(xì)粒度的訪(fǎng)問(wèn)控制規(guī)則，阻斷異常的查詢(xún)和訪(fǎng)問(wèn)，防止敏感數(shù)據(jù)泄漏。阻斷異常的和違規(guī)的數(shù)據(jù)修改和刪除操作，防止敏感數(shù)據(jù)被非法篡改。

2）讓數(shù)據(jù)的訪(fǎng)問(wèn)在陽(yáng)光下進(jìn)行

通過(guò)數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品，對(duì)數(shù)據(jù)的分布、性能、訪(fǎng)問(wèn)和活動(dòng)情況進(jìn)行全方位的監(jiān)控和記錄，做到哪個(gè)用戶(hù)、在什么時(shí)間、訪(fǎng)問(wèn)了哪些數(shù)據(jù)庫(kù)中的什么語(yǔ)句，便于事后審計(jì)和追查。及時(shí)發(fā)現(xiàn)數(shù)據(jù)的異常活動(dòng)情況和風(fēng)險(xiǎn)，產(chǎn)生報(bào)警。輸出可視化的報(bào)表，便于分析。

二、建設(shè)原則

為實(shí)現(xiàn)的建設(shè)目標(biāo)，中安威士在資源整合及未來(lái)擴(kuò)展方面進(jìn)行全面考慮，并遵循以下幾項(xiàng)原則進(jìn)行項(xiàng)目建設(shè)建議及產(chǎn)品選型：

1、技術(shù)先進(jìn)性

在設(shè)計(jì)過(guò)程中，應(yīng)采用國(guó)際先進(jìn)的技術(shù)、成熟的產(chǎn)品和設(shè)計(jì)規(guī)范，保證系統(tǒng)的穩(wěn)定、高效運(yùn)行，選用符合國(guó)際標(biāo)準(zhǔn)的技術(shù)和產(chǎn)品，保證系統(tǒng)的一致性，并保證在以后的發(fā)展過(guò)程中能適應(yīng)信息技術(shù)的發(fā)展趨勢(shì)，采用的技術(shù)和產(chǎn)品能夠提供清晰地發(fā)展路線(xiàn)，很好的保證項(xiàng)目建設(shè)總體投資回報(bào)率。

2、實(shí)用性與成熟性

根據(jù)系統(tǒng)實(shí)際應(yīng)用需求進(jìn)行方案的設(shè)計(jì)，采用高性能的技術(shù)成熟的標(biāo)準(zhǔn)，選用性?xún)r(jià)比高的設(shè)備，建設(shè)好的數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)庫(kù)防護(hù)墻系統(tǒng)，應(yīng)該既能夠滿(mǎn)足業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫(kù)審計(jì)防護(hù)需求，又能適應(yīng)將來(lái)應(yīng)用需求的擴(kuò)展，使系統(tǒng)能夠方便地升級(jí)，充分地保護(hù)原有的架構(gòu)。

3、開(kāi)放性與標(biāo)準(zhǔn)化

我公司主要關(guān)注用戶(hù)的投資保護(hù)以及良好的升級(jí)路徑，采用標(biāo)準(zhǔn)化和開(kāi)放的標(biāo)準(zhǔn)能夠使在選擇硬件、軟件和服務(wù)產(chǎn)品是具有靈活選擇能力，以便獲得更高性?xún)r(jià)比的產(chǎn)品和服務(wù)。

4、結(jié)構(gòu)的合理性

采用合理高效的系統(tǒng)結(jié)構(gòu)，設(shè)計(jì)的數(shù)據(jù)庫(kù)審計(jì)、防火墻系統(tǒng)結(jié)構(gòu)應(yīng)能合理安排冗余和負(fù)載，能夠避免投資浪費(fèi)，保證總擁有成本。

5、高可靠性

數(shù)據(jù)庫(kù)審計(jì)、防火墻系統(tǒng)設(shè)計(jì)特別是關(guān)鍵節(jié)點(diǎn)的設(shè)計(jì)中，選用高可靠性產(chǎn)品，并有合理的冗余和可靠的系統(tǒng)備份升級(jí)改造設(shè)計(jì)策略，保證系統(tǒng)具有故障自愈的能力，確保系統(tǒng)可靠運(yùn)行，也是保障系統(tǒng)正常運(yùn)行的關(guān)鍵。

6、高性能

構(gòu)建高質(zhì)量的數(shù)據(jù)庫(kù)審計(jì)服務(wù)平臺(tái)，為關(guān)鍵業(yè)務(wù)提供高可靠的數(shù)據(jù)庫(kù)審計(jì)平臺(tái)，業(yè)務(wù)的特點(diǎn)（高峰和低谷）期間滿(mǎn)足核心系統(tǒng)及數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)的數(shù)據(jù)庫(kù)審計(jì)訪(fǎng)問(wèn)的需要，并保證有較快的響應(yīng)速度。

7、安全性

設(shè)計(jì)的數(shù)據(jù)庫(kù)審計(jì)、防火墻系統(tǒng)具有足夠的安全性，能夠防止來(lái)自系統(tǒng)內(nèi)部的惡意破壞及來(lái)自系統(tǒng)外部的惡意攻擊；能有效地防止因人為誤操作帶來(lái)的影響，提供有效的容災(zāi)、容錯(cuò)等風(fēng)險(xiǎn)保障機(jī)制，對(duì)人為誤操作等不可預(yù)知的問(wèn)題應(yīng)有良好的預(yù)防和恢復(fù)措施。

8、可擴(kuò)展性

采用的設(shè)備、技術(shù)和其它產(chǎn)品必須標(biāo)準(zhǔn)化，系統(tǒng)結(jié)構(gòu)及設(shè)備應(yīng)易于擴(kuò)展，技術(shù)和產(chǎn)品發(fā)展具有良好的可持續(xù)性、可擴(kuò)充性，方案設(shè)計(jì)能夠保證方便平滑地對(duì)原有系統(tǒng)進(jìn)行升級(jí)和更新，最大限度地保證業(yè)務(wù)的連續(xù)性、可擴(kuò)展性、數(shù)據(jù)的高安全性。

三、集成方式

針對(duì)現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，我們通過(guò)實(shí)際調(diào)研，選擇最佳部署方式，部署方式原則本著“最大限度不改變拓?fù)浣Y(jié)構(gòu)”、“最大限度減少對(duì)業(yè)務(wù)影響”、“最大限度減少性能影響”的原則。為客戶(hù)提供最適宜的方式實(shí)現(xiàn)數(shù)據(jù)安全的防護(hù)工作。

1、數(shù)據(jù)庫(kù)審計(jì)

1）分別在互聯(lián)網(wǎng)云資源區(qū)、云資源區(qū)，以及運(yùn)維管理區(qū)部署高性能的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，對(duì)所有數(shù)據(jù)庫(kù)部署數(shù)據(jù)庫(kù)審計(jì)，有效監(jiān)控?cái)?shù)據(jù)庫(kù)訪(fǎng)問(wèn)行為，準(zhǔn)確掌握數(shù)據(jù)庫(kù)系統(tǒng)的安全狀態(tài)，及時(shí)發(fā)現(xiàn)違反數(shù)據(jù)庫(kù)安全策略的事件，實(shí)時(shí)記錄，并且實(shí)現(xiàn)安全事件的定位分析，事后追查取證。

2）在兩臺(tái)相同功能的交換機(jī)做冗余部署的情況下，部署一臺(tái)高性能的審計(jì)系統(tǒng)，將兩臺(tái)交換機(jī)的數(shù)據(jù)庫(kù)流量端口都做鏡像，統(tǒng)一發(fā)送到審計(jì)設(shè)備，審計(jì)設(shè)備針對(duì)兩個(gè)流量口部署相應(yīng)的數(shù)據(jù)庫(kù)引擎，進(jìn)行數(shù)據(jù)審計(jì)。

2、數(shù)據(jù)庫(kù)防火墻

1）針對(duì)數(shù)據(jù)庫(kù)的防護(hù)，需結(jié)合交換機(jī)策略路由的方式部署數(shù)據(jù)庫(kù)防火墻，分別在互聯(lián)網(wǎng)資源區(qū)以及政務(wù)外網(wǎng)區(qū)域部署數(shù)據(jù)庫(kù)防火墻系統(tǒng)，下面以政務(wù)外網(wǎng)資源區(qū)為例，對(duì)兩臺(tái)交換機(jī)分別做策略路由，將訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的資源發(fā)送到數(shù)據(jù)庫(kù)防火墻，防火墻系統(tǒng)接收到數(shù)據(jù)后，進(jìn)行策略的匹配，對(duì)高危操作進(jìn)行阻斷，對(duì)無(wú)危險(xiǎn)的行為通過(guò)防火墻的路由功能或者交換機(jī)進(jìn)行回注，回注到帶路由的交換機(jī)，然后通過(guò)路由策略，發(fā)送到數(shù)據(jù)庫(kù)進(jìn)行業(yè)務(wù)交互。

2）數(shù)據(jù)庫(kù)防火墻以純透明方式部署，可通過(guò)軟件bypass和硬件bypass來(lái)保障鏈路的高可用性不影響原吞吐量。

四、功能部署建議

1、對(duì)所有數(shù)據(jù)庫(kù)進(jìn)行審計(jì)，對(duì)敏感數(shù)據(jù)庫(kù)部署防火墻

項(xiàng)目的數(shù)據(jù)庫(kù)主要部署在政務(wù)外網(wǎng)云資源區(qū)，和互聯(lián)網(wǎng)云資源區(qū)，根據(jù)數(shù)據(jù)安全原則，就需要對(duì)這里的所有數(shù)據(jù)庫(kù)進(jìn)行訪(fǎng)問(wèn)行為的審計(jì)，做到訪(fǎng)問(wèn)留痕與事后追查，而在整個(gè)系統(tǒng)中，需要梳理出認(rèn)為比較重要的數(shù)據(jù)庫(kù)，這里存在的數(shù)據(jù)被認(rèn)為是敏感數(shù)據(jù)，那么就需要通過(guò)部署數(shù)據(jù)庫(kù)防火墻，實(shí)現(xiàn)敏感數(shù)據(jù)的保護(hù)。

2、數(shù)據(jù)庫(kù)的性能監(jiān)控

通過(guò)數(shù)據(jù)庫(kù)審計(jì)的性能監(jiān)控功能，實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)的運(yùn)行狀態(tài)，設(shè)定運(yùn)行的閾值限制，當(dāng)超出閾值范圍內(nèi)，我們就認(rèn)為數(shù)據(jù)庫(kù)的健康狀態(tài)有一定的危險(xiǎn)，該功能可以對(duì)超出閾值的行為進(jìn)行報(bào)警，起到提前預(yù)防宕機(jī)的可能。

具體監(jiān)控內(nèi)容如下：

1）支持監(jiān)控設(shè)備自身的CPU、內(nèi)存、硬盤(pán)、網(wǎng)絡(luò)等狀態(tài)，保證系統(tǒng)的穩(wěn)定運(yùn)行

2）支持對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行全面的狀態(tài)監(jiān)控，實(shí)時(shí)監(jiān)測(cè)數(shù)據(jù)庫(kù)系統(tǒng)的運(yùn)行參數(shù)，包括監(jiān)視器信息、連接時(shí)間、用戶(hù)活動(dòng)、表空間狀態(tài)、SGA狀態(tài)、數(shù)據(jù)文件性能、回滾段、緩沖區(qū)、鎖統(tǒng)計(jì)、cache信息、線(xiàn)程信息等參數(shù)，保證數(shù)據(jù)庫(kù)系統(tǒng)運(yùn)行穩(wěn)定

3）數(shù)據(jù)庫(kù)狀態(tài)監(jiān)控所有指標(biāo)，支持報(bào)警

3、數(shù)據(jù)庫(kù)的風(fēng)險(xiǎn)評(píng)估

通過(guò)審計(jì)產(chǎn)品的輔助功能，數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)掃描，可以對(duì)指定的數(shù)據(jù)庫(kù)進(jìn)行掃描，通過(guò)掃描給出風(fēng)險(xiǎn)報(bào)告，協(xié)助數(shù)據(jù)庫(kù)管理員，更好的優(yōu)化數(shù)據(jù)庫(kù)的漏洞。風(fēng)險(xiǎn)掃描的具體設(shè)置如下：

1）通過(guò)弱口令檢測(cè)，保證口令的強(qiáng)壯度

2）通過(guò)對(duì)數(shù)據(jù)庫(kù)系統(tǒng)用戶(hù)權(quán)限分配的風(fēng)險(xiǎn)掃描，發(fā)現(xiàn)權(quán)限分配是否合理

3）對(duì)數(shù)據(jù)庫(kù)、操作系統(tǒng)的安全配置進(jìn)行檢測(cè)，檢測(cè)范圍包括：系統(tǒng)類(lèi)、授權(quán)類(lèi)、認(rèn)證類(lèi)，此項(xiàng)目可根據(jù)實(shí)際情況進(jìn)行自定義

4）掃描完成生成掃描報(bào)告，對(duì)掃描結(jié)果進(jìn)行分析，報(bào)告，報(bào)告中提供修復(fù)建議，掃描結(jié)果例如下圖所示：

4、數(shù)據(jù)庫(kù)審計(jì)策略支撐
      綜合運(yùn)用數(shù)據(jù)庫(kù)審計(jì)的基本審計(jì)規(guī)則，默認(rèn)高風(fēng)險(xiǎn)審計(jì)規(guī)則，SQL注入規(guī)則，白名單規(guī)則，訪(fǎng)問(wèn)行為基線(xiàn)規(guī)則，通過(guò)了解業(yè)務(wù)系統(tǒng)的特性，進(jìn)行針對(duì)化的策略配置，在策略運(yùn)行的同時(shí)，定期進(jìn)行修正，使策略達(dá)到最佳狀態(tài)。

自定義規(guī)則可從如下角度進(jìn)行配置：

通過(guò)數(shù)據(jù)庫(kù)審計(jì)提供靈活的審計(jì)策略配置，以保證安全審計(jì)員可定義精準(zhǔn)的分級(jí)審計(jì)策略。審計(jì)策略可定義條件包括但不限于：策略生效時(shí)間周期、源目的IP、目的端口、被審計(jì)服務(wù)、客戶(hù)端程序、操作規(guī)則集、響應(yīng)方式、響應(yīng)時(shí)間、影響行數(shù)等。

可從安全風(fēng)險(xiǎn)等角度分類(lèi)提供缺省操作規(guī)則**，安全審計(jì)員也可自定義操作規(guī)則集。操作規(guī)則定義范圍需包括：數(shù)據(jù)庫(kù)、表、操作類(lèi)型（命令）、SQL等，需要支持等于、包含等非正則表達(dá)式方式。

對(duì)上述數(shù)據(jù)庫(kù)協(xié)議解析還原準(zhǔn)確、完整不丟失，不產(chǎn)生亂碼截?cái)嗟葐?wèn)題。解析細(xì)粒度必須涵蓋源目IP、目的端口、用戶(hù)名、客戶(hù)端工具名、主機(jī)名、操作系統(tǒng)用戶(hù)名、SQL語(yǔ)句、操作類(lèi)型、表對(duì)象、錯(cuò)誤代碼、執(zhí)行時(shí)長(zhǎng)、返回結(jié)果集、返回行數(shù)、綁定變量等，對(duì)協(xié)議里的部分特性要保證無(wú)損還原，確

日志的完整可信；支持對(duì)返回結(jié)果集全部記錄及行解析、列值解析，支持返回結(jié)果集檢索。

對(duì)審計(jì)存儲(chǔ)過(guò)程的創(chuàng)建、執(zhí)行等命令，同時(shí)還能夠自動(dòng)學(xué)習(xí)到存儲(chǔ)過(guò)程的具體內(nèi)容，防止有人使用存儲(chǔ)過(guò)程執(zhí)行一些敏感操作躲避審計(jì)系統(tǒng)監(jiān)控；生成符合審計(jì)要求的結(jié)構(gòu)化和半結(jié)構(gòu)化日志記錄。

中安威士根據(jù)豐富的項(xiàng)目經(jīng)驗(yàn)，總結(jié)了一套默認(rèn)的風(fēng)險(xiǎn)行為處理規(guī)則，這套規(guī)則可以讓客戶(hù)實(shí)現(xiàn)快速的部署并應(yīng)用。如下圖所示：

5、數(shù)據(jù)庫(kù)防護(hù)墻高危阻斷支撐

通過(guò)數(shù)據(jù)庫(kù)審計(jì)一定時(shí)間的審計(jì)結(jié)果，總結(jié)出數(shù)據(jù)庫(kù)面臨的風(fēng)險(xiǎn)行為。

根據(jù)風(fēng)險(xiǎn)行為，在數(shù)據(jù)庫(kù)防火墻中根據(jù)對(duì)應(yīng)的策略設(shè)置，將風(fēng)險(xiǎn)行為進(jìn)行阻斷。

數(shù)據(jù)庫(kù)防火墻的策略配置方式，與審計(jì)的配置方式基本一致。

6、加強(qiáng)數(shù)據(jù)庫(kù)違規(guī)操作實(shí)時(shí)預(yù)警

主要是針對(duì)內(nèi)外部人員及業(yè)務(wù)系統(tǒng)對(duì)數(shù)據(jù)庫(kù)系統(tǒng)訪(fǎng)問(wèn)存在的違規(guī)行為通過(guò)預(yù)設(shè)規(guī)則實(shí)時(shí)預(yù)警，實(shí)時(shí)通過(guò)郵件、短信、syslog方式及時(shí)通知安全審計(jì)員，確保第一時(shí)間了解數(shù)據(jù)庫(kù)違規(guī)行為狀態(tài)。

1）內(nèi)置漏洞識(shí)別攻擊策略：內(nèi)置常見(jiàn)的數(shù)據(jù)庫(kù)漏洞攻擊策略，包含SQL注入、緩沖區(qū)溢出等規(guī)則，可發(fā)現(xiàn)黑客攻擊行為并產(chǎn)生告警。

2）自定義規(guī)則：支持自定義安全審計(jì)規(guī)則，并支持黑白名單系統(tǒng)，保證黑白名單能從整體上做為自定義規(guī)則的一個(gè)補(bǔ)充和完善。

3）自定義規(guī)則條件：支持客戶(hù)端工具、主機(jī)名、操作系統(tǒng)用戶(hù)名、表對(duì)象、操作類(lèi)型、SQL報(bào)文、執(zhí)行時(shí)長(zhǎng)、返回行數(shù)等規(guī)則。

4）支持審計(jì)過(guò)濾功能：對(duì)可信數(shù)據(jù)庫(kù)服務(wù)器之間的數(shù)據(jù)抽取訪(fǎng)問(wèn)行為不進(jìn)行審計(jì)。

5）實(shí)時(shí)預(yù)警通知：通過(guò)郵件、短信、syslog、ftp等方式實(shí)時(shí)外送告警日志，并對(duì)告警外送日志頻率有一定的控制，避免因?yàn)閻阂獾墓粜袨楦采w已有的審計(jì)日志信息。

7、建設(shè)數(shù)據(jù)庫(kù)審計(jì)事后追查能力

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)對(duì)所有應(yīng)用和維護(hù)人員的數(shù)據(jù)庫(kù)操作及結(jié)果記錄日志，日志保留周期6個(gè)月，確保6個(gè)月內(nèi)的日志可以快速取證追溯，審計(jì)取證性能不低于1億數(shù)據(jù)檢索時(shí)間不超過(guò)1分鐘，提供給安全審計(jì)員進(jìn)行合規(guī)分析。

1）流量解析還原處理及日志記錄保障。

（1）通過(guò)數(shù)據(jù)庫(kù)審計(jì)采集器對(duì)鏡像流量按照不同的數(shù)據(jù)庫(kù)協(xié)議解析引擎進(jìn)行還原，確保還原成標(biāo)準(zhǔn)的審計(jì)記錄事件，不丟失任何審計(jì)日志記錄

（2）對(duì)日志中源IP、用戶(hù)名、客戶(hù)端工具名、主機(jī)名、操作系統(tǒng)用戶(hù)名、SQL語(yǔ)句、操作類(lèi)型、表對(duì)象、錯(cuò)誤代碼、執(zhí)行時(shí)長(zhǎng)、返回結(jié)果集、返回行數(shù)的解析，對(duì)協(xié)議里的部分特性要保證無(wú)損還原，確保日志的完整可信；

（3）對(duì)返回結(jié)果集全部記錄及行解析，對(duì)返回結(jié)果集檢索。

2）審計(jì)對(duì)象自動(dòng)識(shí)別：自動(dòng)從鏡像流量識(shí)別目標(biāo)數(shù)據(jù)庫(kù)IP、端口、版本等信息，確保所有數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)自動(dòng)發(fā)現(xiàn)并記錄日志。

3）分布式部署、集中式管理：管理中心能對(duì)所有設(shè)備進(jìn)行統(tǒng)一的配置管理、策略下發(fā)、數(shù)據(jù)查詢(xún)、報(bào)表生成等。

4）針對(duì)間接訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)場(chǎng)景的審計(jì)支撐：實(shí)現(xiàn)以下間接訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)場(chǎng)景審計(jì)，直接追蹤到真實(shí)的源IP和客戶(hù)端賬號(hào)。

（1）客戶(hù)端通過(guò)應(yīng)用服務(wù)器對(duì)數(shù)據(jù)庫(kù)服務(wù)器的訪(fǎng)問(wèn)行為審計(jì)，需要通過(guò)應(yīng)用配合改造記錄源IP和客戶(hù)端賬號(hào)。

（2）客戶(hù)端通過(guò)堡壘機(jī)對(duì)數(shù)據(jù)庫(kù)服務(wù)器間接訪(fǎng)問(wèn)行為審計(jì)，需要關(guān)聯(lián)堡壘機(jī)日志。

（3）客戶(hù)端通過(guò)堡壘機(jī)再通過(guò)跳板機(jī)對(duì)數(shù)據(jù)庫(kù)間接訪(fǎng)問(wèn)進(jìn)行審計(jì)，需要關(guān)聯(lián)堡壘機(jī)日志。

5）日志關(guān)聯(lián)分析：對(duì)審計(jì)日志實(shí)時(shí)關(guān)聯(lián)處理，確保每條審計(jì)日志關(guān)聯(lián)到對(duì)應(yīng)的責(zé)任人姓名、部門(mén)，確保準(zhǔn)確可查；

6）日志存儲(chǔ)：審計(jì)日志保留周期不低于三個(gè)月，確保日志不可篡改不可刪除，系統(tǒng)支持自動(dòng)清理策略，確保系統(tǒng)的正常運(yùn)行；

7）數(shù)據(jù)統(tǒng)計(jì)報(bào)表：建立多維度統(tǒng)計(jì)報(bào)表，以多個(gè)審計(jì)維度，自動(dòng)導(dǎo)出word、pdf、excel、HTML等格式的報(bào)表。

8、審計(jì)日志外送

審計(jì)日志以多種方式全量定時(shí)自動(dòng)發(fā)送、支持C/S客戶(hù)端工具或WEB端查詢(xún)結(jié)果按需導(dǎo)出，導(dǎo)出excel、文本等格式的日志文件，導(dǎo)出日志包含審計(jì)的所有維度要素，同時(shí)可自定義數(shù)據(jù)外送維度，按需送出所需的審計(jì)數(shù)據(jù)。

9、數(shù)據(jù)統(tǒng)計(jì)報(bào)表

綜合性報(bào)表理念，以日?qǐng)?bào)、月報(bào)、周報(bào)、自定義報(bào)表等形式，基于系統(tǒng)性能、高危風(fēng)險(xiǎn)、會(huì)話(huà)語(yǔ)句等多個(gè)維度進(jìn)行系統(tǒng)性分析，建立多維度的審計(jì)數(shù)據(jù)分析報(bào)表，內(nèi)置數(shù)據(jù)分析模板，可以從不同維度展示數(shù)據(jù)庫(kù)的運(yùn)行訪(fǎng)問(wèn)狀態(tài)，導(dǎo)出word、pdf、excel等格式報(bào)表。

報(bào)表自定義條件支持全審計(jì)維度，同時(shí)支持自動(dòng)報(bào)表導(dǎo)出自動(dòng)郵件發(fā)送功能，支持按照日、周、月自動(dòng)發(fā)出。

報(bào)表結(jié)果如下圖所示：

支持默認(rèn)報(bào)表40個(gè)，支持自定義報(bào)表，支持SOX防統(tǒng)方報(bào)表等等。

五、功能部署結(jié)果

1、通過(guò)數(shù)據(jù)庫(kù)審計(jì)+防火墻的結(jié)合部署，能很好的實(shí)現(xiàn)可視、可控、合規(guī)的需求，能很好解決下圖所面臨的風(fēng)險(xiǎn)，回歸到風(fēng)險(xiǎn)圖中可以看到我們的具體解決思路是：

1) 數(shù)據(jù)庫(kù)相當(dāng)于一個(gè)黑盒子，我們無(wú)法可視化的了解數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)狀況，無(wú)法對(duì)風(fēng)險(xiǎn)進(jìn)行查看，無(wú)法對(duì)風(fēng)險(xiǎn)進(jìn)行報(bào)警 ，缺乏詳盡的審計(jì)

解決方法：通過(guò)部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，詳細(xì)記錄數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)行為，形成可視化的界面日志供查看，同時(shí)對(duì)數(shù)據(jù)庫(kù)進(jìn)行性能監(jiān)控和風(fēng)險(xiǎn)掃描，防止數(shù)據(jù)庫(kù)的宕機(jī)，并且欲知數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)，高風(fēng)險(xiǎn)行為進(jìn)行告警處理，并且形成可視化的報(bào)表供查看。

2) 在業(yè)務(wù)服務(wù)器區(qū)存在用于無(wú)法全部清理的系統(tǒng)漏洞、開(kāi)發(fā)人員留的后門(mén)及SQL注入漏洞等，那么客戶(hù)區(qū)，業(yè)務(wù)辦公區(qū)，運(yùn)維區(qū)都可能利用這種漏洞對(duì)數(shù)據(jù)庫(kù)進(jìn)行攻擊

解決方法：通過(guò)部署數(shù)據(jù)庫(kù)防火墻系統(tǒng)，進(jìn)行SQL注入、漏洞攻擊的防護(hù)。

具體防護(hù)措施為：

（1）啟用數(shù)據(jù)庫(kù)的SQL注入規(guī)則，該規(guī)則內(nèi)置大量注入模板，對(duì)匹配到的數(shù)據(jù)注入攻擊進(jìn)行阻斷操作。

（2）漏洞、后門(mén)等行為，體現(xiàn)到數(shù)據(jù)庫(kù)中，是一些違反常規(guī)的操作語(yǔ)句，可以通過(guò)手動(dòng)配置規(guī)則+自動(dòng)學(xué)習(xí)策略進(jìn)行規(guī)則匹配

3) 業(yè)務(wù)人員和內(nèi)部人員可以利用內(nèi)網(wǎng)進(jìn)行數(shù)據(jù)導(dǎo)出也存在很大風(fēng)險(xiǎn)

解決方法：通過(guò)數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，運(yùn)維審計(jì)功能，內(nèi)部人員對(duì)數(shù)據(jù)庫(kù)的exp，imp等行為進(jìn)行審計(jì)。通過(guò)部署數(shù)據(jù)庫(kù)防火墻系統(tǒng)，根據(jù)手動(dòng)配置規(guī)則，對(duì)exp，imp 等操作行為進(jìn)行阻斷，實(shí)現(xiàn)防范業(yè)務(wù)人員和內(nèi)部人員進(jìn)行數(shù)據(jù)導(dǎo)出。

4) 運(yùn)維人員的越權(quán)訪(fǎng)問(wèn)，或者權(quán)限過(guò)高，例如：DBA新建用戶(hù)時(shí)，沒(méi)有細(xì)化權(quán)限，導(dǎo)致本應(yīng)只有查詢(xún)權(quán)限的用戶(hù)，進(jìn)行數(shù)據(jù)刪除，或者更新操作，或者DBA利用管理權(quán)限進(jìn)行竊取數(shù)據(jù)

解決方法：通過(guò)數(shù)據(jù)庫(kù)防火墻系統(tǒng)，根據(jù)手動(dòng)策略設(shè)置實(shí)現(xiàn)用戶(hù)+操作的策略，在DBA權(quán)限的基礎(chǔ)上，進(jìn)行二次認(rèn)證，防止因?yàn)镈BA權(quán)限分配不細(xì)等出現(xiàn)的權(quán)限過(guò)高，權(quán)限濫用。

5) 內(nèi)部人員也有可能對(duì)數(shù)據(jù)庫(kù)做了誤操作的行為，導(dǎo)致生產(chǎn)事故

解決方法：通過(guò)數(shù)據(jù)庫(kù)防火墻系統(tǒng)，根據(jù)手動(dòng)策略設(shè)置實(shí)現(xiàn)默認(rèn)高風(fēng)險(xiǎn)阻斷的策略，例如：禁止DROP, TRUNCATE, ALTER等操作，防范惡意刪除，或者誤操作。 

六、功能優(yōu)勢(shì)

1、保護(hù)核心數(shù)據(jù)資產(chǎn)，防止內(nèi)部越權(quán)訪(fǎng)問(wèn)

2、防止內(nèi)部人員泄密、違規(guī)備份、權(quán)限濫用、誤操作等；

3、防止運(yùn)維人員和第三方人員違規(guī)訪(fǎng)問(wèn)敏感數(shù)據(jù)。

4、保護(hù)核心數(shù)據(jù)資產(chǎn)，防止外部攻擊

5、防止外部黑客攻擊，竊取數(shù)據(jù)；

6、防止SQL注入攻擊、緩沖區(qū)溢出以及權(quán)限盜用等。

7、對(duì)合法應(yīng)用和用戶(hù)透明

8、智能學(xué)習(xí)，自動(dòng)生成安全基線(xiàn)，無(wú)需手工配置復(fù)雜的規(guī)則；

9、高穩(wěn)定性與高性能，支持雙機(jī)熱備，保證業(yè)務(wù)連續(xù)不中斷；

10、不需要對(duì)當(dāng)前網(wǎng)絡(luò)環(huán)境、應(yīng)用配置做審核更改；

11、對(duì)授權(quán)用戶(hù)的訪(fǎng)問(wèn)與管理過(guò)程無(wú)影響。

方案價(jià)值

一、方案價(jià)值

1、通過(guò)上述解決方案，有效解決了政務(wù)云的數(shù)據(jù)安全所面臨的威脅：

1）使數(shù)據(jù)活動(dòng)可視。實(shí)時(shí)顯示政務(wù)云的敏感數(shù)據(jù)的分布情況、訪(fǎng)問(wèn)情況、風(fēng)險(xiǎn)狀況，及時(shí)發(fā)現(xiàn)數(shù)據(jù)的異?；顒?dòng)狀況和風(fēng)險(xiǎn)，實(shí)現(xiàn)數(shù)據(jù)庫(kù)安全最基本的要求。

2） 使數(shù)據(jù)安全可控。即通過(guò)控制對(duì)政務(wù)云的數(shù)據(jù)的活動(dòng)和訪(fǎng)問(wèn)，防止數(shù)據(jù)庫(kù)中的敏感信息部分或全部被偷窺、拖庫(kù)或者鏡像，防止數(shù)據(jù)庫(kù)中的敏感信息被非法修改或者刪除。

3.）滿(mǎn)足合規(guī)要求，快速通過(guò)評(píng)測(cè)。產(chǎn)品實(shí)現(xiàn)獨(dú)立的審計(jì)和訪(fǎng)問(wèn)控制，直接輸出合規(guī)的報(bào)表，滿(mǎn)足政務(wù)云的多個(gè)法規(guī)和標(biāo)準(zhǔn)的要求。能夠幫助政務(wù)云的快速通過(guò)各種安全保密檢查和評(píng)測(cè)，比如等保評(píng)測(cè)。

2、具體來(lái)說(shuō)，中安威士數(shù)據(jù)庫(kù)安全加固系統(tǒng)帶給客戶(hù)如下價(jià)值：

1）簡(jiǎn)化業(yè)務(wù)治理，提高數(shù)據(jù)安全管理能力

由于數(shù)據(jù)庫(kù)系統(tǒng)是一個(gè)復(fù)雜的軟件“黑盒子”，其可視化程度很低。數(shù)據(jù)庫(kù)管理員很難說(shuō)清在任意時(shí)刻數(shù)據(jù)被訪(fǎng)問(wèn)的情況。這對(duì)業(yè)務(wù)治理帶來(lái)了很大的困難。尤其在云環(huán)境中，這種不可視化程度更加嚴(yán)重。數(shù)據(jù)安全解決方案通過(guò)多種手段全面監(jiān)控?cái)?shù)據(jù)的訪(fǎng)問(wèn)情況，并提供豐富的預(yù)設(shè)統(tǒng)計(jì)報(bào)表，以圖形化的方式將數(shù)據(jù)的訪(fǎng)問(wèn)情況和風(fēng)險(xiǎn)情況可視化，極大的簡(jiǎn)化了業(yè)務(wù)治理，提高了數(shù)據(jù)安全管理能力。

2）減少核心數(shù)據(jù)資產(chǎn)被侵犯，保障業(yè)務(wù)連續(xù)性

數(shù)據(jù)是最有價(jià)值的資產(chǎn)，也是攻擊者想偷窺、篡改、甚至刪除的終極目標(biāo)。核心數(shù)據(jù)被侵犯，輕則導(dǎo)致業(yè)務(wù)中斷，重則導(dǎo)致信息泄密和篡改，嚴(yán)重威脅國(guó)家信息安全。應(yīng)用系統(tǒng)中管理權(quán)和所有權(quán)的分離也大大提升了數(shù)據(jù)被侵犯的風(fēng)險(xiǎn)。數(shù)據(jù)安全解決方案緊密貼合數(shù)據(jù)，實(shí)現(xiàn)數(shù)據(jù)安全的可視性和可控性，并最終減少核心數(shù)據(jù)資產(chǎn)被侵犯的可能性，保障正常的業(yè)務(wù)連續(xù)性。

3）完善縱深防御體系，提升整體安全防護(hù)能力

建立縱深的防御體系已是信息安全建設(shè)的共識(shí)。數(shù)據(jù)庫(kù)到應(yīng)用系統(tǒng)這一段，是信息安全的最后一公里，也是最后一道防線(xiàn)，涉及的是最直接的敏感數(shù)據(jù)安全管理，直接關(guān)系到敏感數(shù)據(jù)的安全。同時(shí)，在數(shù)據(jù)/業(yè)務(wù)層加強(qiáng)安全防護(hù)，也逐步成為信息安全的新方向。公司系統(tǒng)緊貼核心數(shù)據(jù)，針對(duì)信息安全的最后一公里以及數(shù)據(jù)/業(yè)務(wù)層提供豐富的防護(hù)手段，有利于政務(wù)云完善縱深防御體系，提升整體安全防護(hù)能力。通過(guò)數(shù)據(jù)庫(kù)審計(jì)+防火墻的結(jié)合可以對(duì)完美的解決數(shù)據(jù)庫(kù)所面臨的主要風(fēng)險(xiǎn)。

（1）越權(quán)權(quán)限的濫用：數(shù)據(jù)庫(kù)權(quán)限設(shè)置違反了“權(quán)限最小原則”在很多信息系統(tǒng)中比較普遍。如果這些超出的權(quán)限被濫用，則極易發(fā)生敏感數(shù)據(jù)泄漏事件；

（2）合法權(quán)限濫用：系統(tǒng)中總是有一部分用戶(hù)合法的擁有較大甚至是超級(jí)管理權(quán)限。如果這些權(quán)限被濫用，則極易發(fā)生嚴(yán)重后果；

（3）權(quán)限盜用：由于商用數(shù)據(jù)庫(kù)的用戶(hù)認(rèn)證方式主要為單一的口令方式，權(quán)限盜用容易發(fā)生，進(jìn)而極易導(dǎo)致嚴(yán)重的數(shù)據(jù)泄漏事件；

（4）數(shù)據(jù)庫(kù)平臺(tái)漏洞：數(shù)據(jù)庫(kù)管理系統(tǒng)是個(gè)復(fù)雜的軟件系統(tǒng)，從數(shù)據(jù)庫(kù)廠家發(fā)布的補(bǔ)丁情況來(lái)看，數(shù)據(jù)庫(kù)系統(tǒng)無(wú)一例外的具有嚴(yán)重的安全漏洞。如緩沖區(qū)注入漏洞或者認(rèn)證、權(quán)限管理漏洞。這些漏洞極易被攻擊者利用以竊取數(shù)據(jù)；

（5）SQL注入、緩沖區(qū)溢出風(fēng)險(xiǎn)：數(shù)據(jù)庫(kù)本身不具備SQL注入攻擊檢測(cè)能力。通過(guò)Web/APP插入惡意語(yǔ)句，或者利用連接工具發(fā)動(dòng)緩沖區(qū)溢出攻擊，攻擊者便有機(jī)會(huì)獲得整個(gè)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)權(quán)限；

（6）弱鑒權(quán)機(jī)制：商業(yè)數(shù)據(jù)庫(kù)系統(tǒng)提供的基本的管理機(jī)制，主要是自主訪(fǎng)問(wèn)控制（DAC）和基于角色的訪(fǎng)問(wèn)控制（RBAC）。并沒(méi)有采用強(qiáng)制訪(fǎng)問(wèn)控制的方式（MAC），基于用戶(hù)和數(shù)據(jù)的敏感級(jí)別來(lái)進(jìn)行權(quán)限的鑒別。這容易使得低密級(jí)用戶(hù)訪(fǎng)問(wèn)到高密級(jí)的數(shù)據(jù)；

（7）缺乏詳盡審計(jì)：審計(jì)是每個(gè)數(shù)據(jù)庫(kù)管理系統(tǒng)標(biāo)配的安全特性，用于記錄對(duì)數(shù)據(jù)的訪(fǎng)問(wèn)情況，從而形成對(duì)非法訪(fǎng)問(wèn)的威懾。而數(shù)據(jù)庫(kù)自身的審計(jì)功能在可視化、智能化、入侵檢測(cè)能力等方面能力較弱，通常無(wú)法滿(mǎn)足實(shí)際的安全需求。

4）滿(mǎn)足合規(guī)要求，快速通過(guò)評(píng)測(cè)

實(shí)現(xiàn)獨(dú)立的審計(jì)和訪(fǎng)問(wèn)控制，直接輸出合規(guī)的報(bào)表，滿(mǎn)足多個(gè)行業(yè)多個(gè)法規(guī)和標(biāo)準(zhǔn)的要求，能夠幫助企業(yè)快速通過(guò)各種安全保密檢查和評(píng)測(cè)。

上述內(nèi)容就是云數(shù)據(jù)安全解決方案是怎樣的，你們學(xué)到知識(shí)或技能了嗎？如果還想學(xué)到更多技能或者豐富自己的知識(shí)儲(chǔ)備，歡迎關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道。