数据库监控保护系统SecureGridDBF解决方案.docx

《数据库监控保护系统SecureGridDBF解决方案.docx》由会员分享，可在线阅读，更多相关《数据库监控保护系统SecureGridDBF解决方案.docx（20页珍藏版）》请在第一文库网上搜索。

1、数据库监控保护系统SecureGrid技术方案1概述：数据库安全和审计的重要性22数据库安全审计系统应具备的功能43.数据库保护系统建议方案102.1 配置原则102.2 配置说明102.3 针对数据库安全保护解决方案的重要业务功能的实现113系统的Ws144产品和功能详解161概述：数据库安全和审计的重要性随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域，但随之而来产生了数据的安全问题。各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视。数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，关系到企业兴衰、成败。

2、因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究的重要课题之一。由于计算机和网络的普及和广泛应用，越来越多的关键业务系统运行在数据库平台上。数据库中的数据作为企业的财富发挥着越来越重要的作用，同时也成为不安定因素的主要目标。如何保证数据库自身的安全，已成为现代数据库系统的主要评测指标之一。数据库是信息技术的核心和基础，广泛应用在电信、金融、政府、商业、企业等诸多领域，当我们说现代经济依赖于计算机时，我们真正的意思是说现代经济依赖于数据库系统。数据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、产品资料等极其重要和敏感的信息。尽管这些系

3、统的数据完整性和安全性是相当重要的，但对数据库采取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。许多因素都可能破坏数据的完整性并导致非法访问，这些因素包括复杂程度、密码安全性较差、误配置、未被察觉的系统后门以及数据库安全策略的缺失等。任何公司的主要电子数字资产都存贮在现代的关系数据产品中。商业机构和政府组织都是利用这些数据库服务器得到人事信息，如员工的工资表，医疗记录等。因此他们有责任保护别人的隐私，并为他们保密。数据库服务器还存有以前的和将来的敏感的金融数据，包括贸易记录、商业合同及帐务数据等。象技术的所有权、工程数据，甚至市场企划等决策性的机密信息，必须对竞争者保密，并阻

4、止非法访问，数据库服务器还包括详细的顾客信息，如财务帐目，信用卡号及商业伙伴的信用信息等。目前世界上七种主流的关系型数据库，诸如OraCIe、Sybase.MicrosoftSQ1Server.IBMDB2InfbrmixMySQ1、POStgreSQ1服务器都具有以下特征：用户帐号及密码、校验系统、优先级模型和控制数据库的特别许可、内置命令（存储过程、触发器等）、唯一的脚本和编程语言（例如P1/SQ1、Transaction-SQ1）.中间件、网络协议、补丁和服务包、强有力的数据库管理实用程序和开发工具。数据库服务器的应用相当复杂，掌握起来非常困难。许多数据库管理员都忙于管理复杂的系统，所以

5、很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。所以，正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员也通常没有把安全问题当作他们的首要任务。在安全领域中，类似网页被修改、电脑中病毒、木马、流氓软件、弹出窗口等所造成的经济损失微乎其微，而一旦数据库出现安全风险并被恶意利用所造成的后果几乎是灾难性的和不可挽回的。安全是多个环节层层防范、共同配合的结果。也就是说在安全领域不能够仅靠某一个环节完成所有的安全防范措施。一个安全的系统需要数据库的安全、操作系统的安全、网络的安全、应用系统自身的安全共同完成。数据库领域的安全措施通常包括：身份识别和身份验证、自

6、主访问控制和强制访问控制、安全传输、系统审计、数据库存储加密等。只有通过综合有关安全的各个环节，才能确保高度安全的系统。拙劣的数据库安全保障设施不仅会危及数据库的安全，还会影响到服务器的操作系统和其它信用系统。还有一个不很明显的原因说明了保证数据库安全的重要性一数据库系统自身可能会提供危及整个网络体系的机制。例如，某个公司可能会用数据库服务器保存所有的技术手册、文档和白皮书的库存清单。数据库里的这些信息并不是特别重要的，所以它的安全优先级别不高。即使运行在安全状况良好的操作系统中，入侵者也可通过“扩展入驻程序”等强有力的内置数据库特征，利用对数据库的访问，获取对本地操作系统的访问权限。这些程序

7、可以发出管理员级的命令，访问基本的操作系统及其全部的资源。如果这个特定的数据库系统与其它服务器有信用关系，那么入侵者就会危及整个网络域的安全。在电子商务、电子贸易的着眼点集中于WEB服务器、JaVa和其它新技术的同时，应该记住这些以用户为导向和企业对企业的系统都是以Web服务器后的关系数据库为基础的。它们的安全直接关系到系统的有效性、数据和交易的完整性、保密性。系统拖延效率欠佳，不仅影响商业活动，还会影响公司的信誉。不可避免地，这些系统受到入侵的可能性更大，但是并未对商业伙伴和客户敏感信息的保密性加以更有效的防范。此外，ERP和管理系统，如ASPR/3和PCOP1eSOR等，都是建立在相同标准

8、的数据库系统中。无人管理的安全漏洞与时间拖延、系统完整性问题和客户信任等有直接的关系。由此可见，数据库安全实际上是信息安全的核心，在这种情况下，有必要采用专业的新型数据库安全产品，专门对数据库进行保护。2 .数据库安全审计系统应具备的功能做为解决上述问题的数据库安全审计系统，应包含一下主要特性：数据库使用情况评估一检查真实的数据库网络流量以构建一个使用的基准模型，并自动创建数据库安全政策。管理员可以通过审查分析文件轻松掌握适当的数据库使用，非常灵活方便的制定数据库使用着的行为策略。数据库审计一SeeUreGrid采集许多审计数据，并且提供内置的报告功能，可以灵活地满足内部或外部规定要求。SeC

9、1IreGrid的数据库审计包括数据库活动审计、实时告警审计、用户基本信息审计。数据库保护这是SecureGrid对数据库实时保护核心功能，包括：,数据库应用保护,客户化策略的实施,数据库平台的保护/识别复杂的攻击(通过多种手段的联动)具体到设备的功能，应该具有以下特点：支持各种主流数据库包括对各种版本和各种平台的OraCIe、DB2Informix%Sybase%MSSQ1SerVer的支持。审计厂家必须和四大数据库厂家(Orac1e,IBM,Sybase,MicroSoft)是官方认可的深层商业合作伙伴，从而能够保证审计结果的精确性和权威性设备的引入不应对正常业务和正常的数据库运行造成任何

10、影响，同时应满足权限分离的要求，不容许被审计人员对审计功能元进行修改和操作。对数据库没有影响的功能非常有利于部署实施，设备的部署不需要对数据库进行变动，或者对数据中心结构的其它方面进行变动。审计产品应是一个基于网络的应用解决方案，不需要数据库服务器管理权限或者安装主机软件。其部署及运营可能由网络安全人员进行，而不会对数据库管理资源造成影响。这种方式通过保持安全功能的独立，从而遵守安全实践。审计设备可以审计所有针对数据库的访问，包括对数据库直接连接的访问，以及前台应用程序对数据库的访问；如果应用通过加密方式访问数据库，同样应该可以审计到。审计功能要求审计到尽可能详细的信息针对每一条数据库的访问，

11、审计记录要细致到每一次事务/查询的原始信息记录，应该可以记录所有的关键信息，至少包括以下各个方面：数据库服务器源IP目的IP原始的查询指令去除具体参数的查询指令源应用软件数据库用户名访问源操作系统用户名访问源操作主机名高级权限操作存储过程目标数据库和SchemaStreamID操作回应内容操作返回的错误代码操作回应的时间操作回应的条目大小如果是前台用户通过Web利用应用服务器访问数据库（BS架构下），还应可以审计记录以下信息：前台应用程序的用户名前台程序的UR1WcbSessionIDWeb客户端IP对于通过OraCIeEBS或SAP等应用服务器访问数据库（CS架构下），应该可以记录最终前台用

12、户的用户名为了有效地记录数据库访问操作，审计人员需要尽可能详细的审计记录信息，详细到准确的查询和响应属性这级别。数据库审计记录必须将所审计数据库事务归于特定用户。例如，SOX合规审计机制要求必须记录对财务报告数据的每个更改及执行此更改的用户姓名。但是，当用户通过Web应用程序或SAP、Orac1eE-BusinessSuite等应用服务器访问数据库时，数据库审计系统必须可以记录最终的责任用户。支持BindVariab1e很多基于数据库的查询是通过BindVariab1e完成的。这就要求审计系统不光要记录查询中BindVariab1e的变量的名字，还要记录BindVariab1e的数值。举例来说

13、：个包含BindVariab1e的SQ1是：se1ect*fromaaawherename=:who,审计系统不光把这个SQ1记录下来，同时要记录:Who=jimmy,这样才是完整的包含BindVariab1C的审计结果。审计策略可以非常灵活的定义由于对于实际的生产系统，需要审计的数据库访问量非常大，这就要求有灵活的审计策略可以定义想要审计的数据库操作的内容。可以定义审计策略的条件应该包括以下各个关键字的条件组合：源IP目的IP原始的查询指令去除具体参数的查询指令源应用软件数据库用户名访问源操作系统用户名访问源操作主机名高级权限操作存储过程目标数据库和SchemaStreamID操作I可应内容

14、操作返回的错误代码操作回应的时间操作回应的条目大小同样如果是前台用户通过Wcb利用应用服务器访问数据库（BS架构下），或对于通过Orac1eEBS或SAP等应用服务器访问数据库（CS架构下），还应可以根据前台应用程序的用户名来定义审计记录的策略可以定义敏感数据表，保护核心机密数据可将机密数据定义敏感表，任何用户对敏感表的非法和违规访问可以产生特别的报警审计结果的归档灵活方便为了提高整个数据库审计系统的扩展性，审计信息可以通过FTP,SCP等传输协议灵活的归档到外部的存储设备上，归档出来的数据格式应该是通用格式（CSV）,归档可以选择手动及定时定期的自动方式。审计告警日志对外的接口审计结果告警日

15、志可以通过Sys1og或SNMP协议和外部的统一审计平台送出数据，进行互通。审计结果可以自动生成符合专业合规审计（SOX）要求的审计报告符合SOX合规性的审计解决方案为生成关键业务（如财务）报告时使用的数据库提供全面的数据审计和安全性，给审计人员带来了极大的便利性。数据库安全审计网关可以使用自动生成的专用的报告来证明对关键数据库实施控制,这些都是404条款的主要要求。通过专用的符合SoX的用户评估报告，合规性检查人员可以验证只有具有合法需求的用户才可以访问关键数据库。智能而自动的建立用户对数据库访问的行为模型审计设备设备应具有自动建立用户数据库访问行为模型的能力。自动智能建模功能可以自动学习、并且自动适应用户数据库及应用系统的各方面特点，自动建立“充分必要”的安全策略。同时，结合全面的、精细的手工定制和调优功能，在最大程度的降低管理工作量的同时，提供最佳的安全配置。所建立的用户的行为规则包括但不限于以下要点：访问源可为每个用户自动建立访问源信息模型，内容包括：源IP地址，源应用程序，源操作系统的主机名和用户名等。IP地址应用程序OS主机名OS用户名查询指令的策略为每个用户自动建立数据库访问操作指令的基线，内容是所有正常的、允许的SQ1操作指令。表的访问和操作权限为每个用户自动建立对数据库的表进行访问及相关操作的基线，内容是所有正常的、