数据库安全审计系统解决方案

数据库审计系统

SUBJECT 解决方案 解决方案

DOCPROPERTY "Company" 中创软件商用中间件有限公司

2010年11月

PAGE I

STYLEREF 目录 目录

数据库安全 SUBJECT 解决方案

目录

TOC \o "1-3" \h \z \u 第1章 需求分析 1

1.1. 概述 1

1.2. 数据库安全面临几个主要的风险 1

1.3. 数据库安全审计需求概述 1

第2章 产品介绍 3

2.1. 概述 3

2.2. 设计理念 3

第3章 解决方案 4

3.1. 方案架构 5

3.2. 主要功能 6

3.3. 典型部署 19

第4章 附录 22

4.1. 公司简介 22

4.1.1. 中创软件 22

4.1.2. 中创中间件 22

PAGE 1

STYLEREF "标题 1" 需求分析

PAGE

需求分析

概述

数据是企业业务的根本，数据库是企业数据的载体，数据库系统是企业信息系统的心脏，在其上面存储了企业所关心的：人，财，物等重要数据。从信息安全角度看，数据库系统的安全是整个IT 系统安全的核心，引起了信息系统建设者的高度重视，在数据库的管理制度中，物理安全和网络安全方面做了完善的安全防护，例如采取了严格访问控制和容灾备份等安全措施。但是，从近年来发生的安全事件来看，数据库安全问题远远不止是物理层面安全和网络层面的安全，数据库系统面临着从安全管理到安全技术等各方面的安全隐患，这些风险将会给企业业务带来严重的影响，可能会造成巨大的经济损失，或引起法律的纠纷。而且这些事件难以追查和弥补。

数据库安全面临几个主要的风险

管理风险

系统管理员存在的误操作、违规操作、越权操作，损害业务系统安全运行；

多人公用一个帐号，责任难以分清；

第三方开发维护人员的误操作，恶意操作和篡改；

超级管理员权限过大，无法审计监控；

技术风险

数据库服务器操作系统漏洞攻击；

数据库系统漏洞攻击；

应用系统开发商后门或漏洞；

离职员工留下后门。

审计风险

审计日志不完整导致安全事件难以追查定位；

达不到国家等级保护（三级）明确要求（7.1.3.3）；

满足不了行业信息安全合规性文件要求；

数据库安全审计需求概述

为什么需要数据库审计

“谁动了我的数据库”是现在的技术及管理手段往往无法准确回答的问题，但它已经引起了IT 经理及领导层的重视。

数据库系统是一个复杂而又关键的系统，数据库存在各种管理和技术上的风险，如果这些风险变为事实，那么企业数据将遭受严重的经济损失和法律风险。数据库产生安全问题时，具有非常强的隐蔽性，非常难以追查和定位，因为无法查找问题发生的痕迹和证据。因此，数据库安全审计系统成为数据库安全的重要组成部分，它可以通过对数据库操作的痕迹进行详细记录和审计，使数据的所有者对数据库访问活动一目了然，有据可查，及时掌握数据库的使用情况，并可以对安全隐患进行调整和优化。

数据库自身审计的不足

虽然各数据库系统都拥有自身审计功能，但存在如下一些不足：

审计规则配置复杂，对管理员要求很高，不方便使用；

丧失了审计的中立性和独立性原则；

某些原因，决定了对某些数据库操作审计记录不完整，比如因为缺乏对select 操作的审计；

占用服务器资源，影响业务系统的运行；

审计记录容易被删除，记录安全性难以保证；

各种数据库系统的审计信息格式复杂，不统一，难以集中审计，影响审计效果；

需要什么样的数据库审计产品

第三方独立审计，维护审计中立性；

细致的数据库操作审计和用户审计，并有丰富的查询检索和报表功能；

对现有业务和系统没有影响；

能够支持主流数据库类型，完整分析数据信息；

可以通过审计数据进行数据库性能分析，得出数据库应用过程中性能分布特点，并据此进行性能优化；

维护简单、具备专业审计功能，节约人力，减少维护费用。

产品介绍

概述

DBAudit 数据库审计系统（ 以下简称：“DBAudit” ）是中创软件商用中间件股份有限公司对信息安全十余年研究积累基础上，在对数据库安全应用和管理进行深入研究后，投入巨资研发推出的应用安全产品，拥有自主知识产权的产品。

DBAudit 通过网络旁路审计方式，实现对数据库操作和用户行为进行审计，并提供多种查询和报表，供数据管理者取证、查询、分析、决策，具有维护简易，稳定运行的特点。

DBAudit 采用了优良的体系结构，支持超大容量的审计数据管理和分析能力，支持对ORACLE、SQL Server、Sybase 等数据库进行审计，适用于金融、证券、保险、电力、政务、卫生、教育等大中型组织数据库审计的安全需求。

设计理念

针对数据库审计的特点与特殊要求，DBAudit 基于如下理念而设计：

大容量

DBAudit 专为大容量审计数据而设计，支持审计数据量在10 亿级别。

细粒度

DBAudit 要求对审计内容进行深化，支持操作详细审计和基于会话的审计

（DBAudit 目前支持近30 个审计字段）。

免维护

DBAudit 免维护设计，使审计系统周而复始不间断运行。

深挖掘

DBAudit 可以对审计数据分析与挖掘，使审计结果简单易用。

分布式

DBAudit 要求支持大型分级部署，适合垂直系统部署模式。

解决方案

劳动和社会保障网作为担负着宣传国家政策法规、政务公开，是与社会大众交互、向社会大众提供服务的重要窗口。因此，数据库安全审计系统成为数据库安全的重要组成部分，它可以通过对数据库操作的痕迹进行详细记录和审计，使数据的所有者对数据库访问活动一目了然，有据可查，及时掌握数据库的使用情况，并可以对安全隐患进行调整和优化。

总的来讲，劳动和社会保障网对于数据库安全的关注点主要可以归纳为如下几点：

系统管理员存在的误操作、违规操作、越权操作，损害业务系统安全运行；

多人公用一个帐号，责任难以分清；

第三方开发维护人员的误操作，恶意操作和篡改；

审计日志不完整导致安全事件难以追查定位；

针对用户的需求和解决思路，结合中创公司的web内容方面的安全产品，可以为用户提供一个完善的解决方案。

方案架构

DBAudit包括：审计引擎(Agent,硬件)、审计数据中心、审计配置中心、审计展示中心四大组件构成。

DBAudit 的审计引擎（Agent）通过旁路监听的方式接入网络，通过在核心交换机上设置端口镜像模式或采用TAP 分流监听模式，使安全审计引擎能够监听到所有用户通过交换机与数据库进行通讯的所有操作。

DBAudit 的审计数据中心（DC）具有强大的数据分析和事件关联功能，可以对审计数据库进行关联分析，是整个系统的计算和处理中心。

DBAudit 的审计配置中心（CC）具有对审计系统进行集中配置与管理的功能。

DBAudit 的审计展示中心（VC）具有接受用户的查询与浏览指令，并对审计结果进行集中输出的功能。

主要功能

支持灵活多样的接入部署模式

DBAudit 基于旁路审计原理，系统采用旁路接入部署方式，只要在交换机上设置端口镜像或采用TAP 分流，不需要对现有的网络体系结构（包括：路由器、防火墙、应用层负载均衡设备、应用服务器等）进行调整，这样的审计原理有如下好处：一是接入成本很低；二是繁重的审计工作不影响原业务系统的运行与性能，接入风险低；三是使得审计系统本身相对独立，难以被发现受到攻击，审计系统自身安全性性高。

DBAudit 支持多路采集数据的接入模式，一个审计引擎可以同时采集多个数据源的审计数据，这样的好处：一是降低审计系统部署成本；二是适合更多的应用环境的审计需求，比如审计数据源又相对分散的环境（比如多个交换机镜像口）。

DBAudit支持审计引擎分布式部署，也就是一台审计中心可以同时对多个审计引擎进行统一管理与集中处理，适合需要大规模部署审计引擎的环境。

支持审计对象与审计深度

支持可扩展的审计架构

DBAudit 对业务系统的审计环境的支持范围，采用灵活的可扩展的插件式架构设计，也就是说所支持的环境类型可以通过统一接口进行扩展，目前全面支持对ORACLE、SQL Server、Sybase 等数据库环境的审计。该架构的优势利于在业务环境变化或者升级的时候进行灵活简单的适应性变更，降低成本。

支持细料度审计分析

DBAudit 支持对生产数据库的SQL 操作进行细粒度审计，可以审计到详细的所有客户端对生产数据库访问的记录，包括客户端的IP 地址、MAC 地址、计算机名、目的地址、客户端程序名、数据库名、表名、操作方式、操作内容、返回成功与否，执行时长等。通过细粒度的审计，可以实现对用户的登录过程以及权限变更记录进行审计，及时发现异常用户活动，可以对生产数据库用户角色权限的授予情况进行跟踪，特别是对DBA 权限的授予情况。也可以发现异常的客户端登录，找到隐患。对客户端可以审计到不同的层面（比如网络IP/MAC 等，到业务层面的数据库用户等）。可以发现重点表/存储过程的被访问情况（增、删、改、查等操作）。

支持数据库会话审计

DBAudit 支持数据库会话审计，能够完整的保存不同数据库客户端与数据库服务器的整个会话状态，并按照不同类型展示出来，允许用户通过多条件进行会话查询，以及该会话范围内的所有数据库语句，同时也为数据库服务器的性能优化有帮助。

支持绑定变量审计

DBAudit 支持对数据库会话的绑定变量的审计，不仅可以审计到调用绑定变量的数据库操作，同时也能够对该变量的实参也能够审计到，并进行关联分析，全面满足目前实际使用绑定变量的业务环境的审计需求。

支持 Telnet 审计

DBAudit 能够完整审计到通过telnet 客户端访问数据库的所有会话信息，并进行整个会话的回放，使得通过该方式进行的数据库行为无处遁形，按照经验，非法事件多通过此方式进行。

支持数据采集过滤

DBAudit 支持审计引擎在进行数据捕包时，接受用户自定义的采集过滤规则（其中，过滤的条件包括操作源IP、操作源MAC、计算机名、程序名、生产数据库名、生产数据库用户名、操作内容、表名等），从而只采集用户关心的数据，剔除垃圾数据，减少查询时没用信息的干扰。该功能对数据量非常大，但是所关注审计数据又清晰可定义的用户很有帮助。

支持审计预警

DBAudit 支持用户自定义预警策略，对自己所关注的敏感信息进行独立记录和邮件告警，可以及时挽回或降低损失。

这些预警出来的数据可以进一步进行查询获取关注数据。

支持灵活的审计结果展示

支持丰富的查询条件与方法

DBAudit 为用户提供了基于时间、地址、数据库类型、用户名、操作类型、数据库名、表名、字段名等等多种丰富的组合查询模式，用户可以按照自己的需要查找所关心的符合审计规则的数据库操作记录。DBAudit 查询功能还支持二次检索,模糊查询，快速链接查询，select 可选独立查询等功能以达到精确检索的目的。

DBAudit 还可以支持对审计数据中提取出来的表名、IP 地址、MAC 地址等进行中文备注说明，并在查询结果中进行备注替换显示，极大的提高数据库审计内容的易读性。

查询结果支持按照不同视角进行归并展示，适合不同用户和观测重点需要。

支持专业化报表输出

DBAudit 支持趋势报表，通过这些报表可以把审计结果，按照不同的内容和形式果直观地展现给用户：

支持年、月、周、日、时总访问量趋势报表；

支持年、月、周、日、时选定数据库用户趋势报表；

支持年、月、周、日、时选定数据表趋势报表；

支持年、月、周、日、时选定操作方式趋势报表；

支持年、月、周、日、时选定程序名趋势报表；

支持年、月、周、日、时选定访问源IP 趋势报表；

支持年、月、周、日、时选定存储过程趋势报表；

DBAudit 支持统计报表：

支持年、月、周、日、时数据库用户统计排名（topN）报表；

支持年、月、周、日、时数据表统计排名（topN）报表；

支持年、月、周、日、时操作方式统计排名（topN）报表；

支持年、月、周、日、时程序名统计排名（topN）报表；

支持年、月、周、日、时访问源IP 统计排名（topN）报表；

支持年、月、周、日、时存储过程统计排名（topN）报表；

支持实时审计功能

DBAudit 支持实时审计数据的展示，方便用户及时发现数据库操作或者用户行为异常。用户可以自定义实时显示的刷新频率和条数等参数。实时审计功能包含“实时预警”、“实时会话”和“实时数据”几种情况

支持灵活编码格式

DBAudit 支持灵活多样的编码格式策略配置，适合不同数据库业务环境。

支持高效的审计数据管理

该功能是为了阐述产品支持的审计数据的管理和存储策略。

支持数据高压缩率存储

对海量审计数据，长期保持原始日志，以便后期查询需要，同时尽量节约空间,高压缩率的存储是很重要的，DBAudit 拥有高达95%以上的高压缩率保存，而且所有的压缩解压过程都是按照预定策略自动实现的。

支持缓存安全机制

在DBAudit 的审计引擎上，有大容量的缓存安全机制，保证用户的审计数据在人为或者意外情况下，都可以最大限度的保证原始审计数据的安全。

支持历史数据自由回档与检索

对压缩保存好的历史审计数据，可以自由选择需要重新检索的数据范围，进行自动回档操作，并对回档出来的数据重新检索。

支持对数据库攻击检测

通过DBAudit，能够通过审计记录发现生产数据库一些潜在的安全威胁，比如SQL 注入，密码猜解，执行操作系统级的命令等，及时发现并阻止生产数据库安全威胁，保证生产数据库更加安全运行。

支持审计告警

DBAudit 有独立的告警配置功能模块，方便用户在设置不同的规则或者触发事件，按照不同的级别进行不同方式的告警方式。支持邮件告警，声音告警，短信告警等多种告警方式。

系统自身安全性机制

该功能是为了阐述产品支持自身安全性方面的策略。

用户权限

审计系统需要采取权限分离，以避免权限集中。DBAudit 具有非常严格用户角色和权限管理策略，对授权管理，审计展示进行分离，符合三权分立的安全原则。账户管理员：负责用户增、删、改，授权，账户启用与停用管理. 系统管理员：负责系统运行相关的所有配置.安全员:查看，检索所有的数据信息，配置预警规则、对象提取和定义的配置. 系统审计员,也称系统审核员，查看、管理自身审计信息.

自身审计记录

DBAudit 具有完善的自身审计日志，包括设备的启用、停止、异常的日志及登陆的用户、时间、操作等信息，还包括审计规则和审计记录的变动情况记载。

通讯加密与告警

DBAudit 支持审计系统各组件的通讯加密功能，防止自身通讯数据被非法嗅探，当出现通讯异常的时候，可以进行及时的声音告警提醒用户。

容灾机制免维护

鉴于审计系统的自身特点，其安全可靠的运行状态保证是基础，所以DBAudit 在系统所有关键组件上都设置了健康状态自检测模块，当发现异常的时候，及时自动按照预定于策略修复。

典型部署

业务系统是业务系统客户端与数据库客户端一对一对应，直接对数据库服务器进行访问，一台审计引擎部署在连接数据库的交换机上，监控所有对数据库的访问记录，一台审计中心服务器进行对审计记录的管理与分析。

分布式部署

数据库环境规模大，需要分布式部署多台审计引擎的情况，一台审计中心服务器对所有审计引擎进行统一管理。

多路部署

数据库环境规模较大，或者必须有多个审计数据采集点的情况，一台审计引擎多个监听口分别数路采集不同采集点的流量，集中分析处理，一台审计中心服务器对审计数据进行集中分析管理。

附录

公司简介

中创软件

中创软件创立于1991年，伴着国家改革开放大潮，伴着社会信息化进程一路走来，穿越18载风云绚烂，立足应用，执着创新，科学发展……

今天，中创软件已成为我国领先的解决方案提供商、软件产品供应商和IT服务提供商，是国家规划布局内重点软件企业、国家“863计划”成果产业化基地、中国软件欧美出口工程A级示范企业，2008年入选“中国软件研发竞争力十强企业”，荣获“改革开放三十周年”中国软件行业最佳技术创新企业奖。

中创软件市场领域已遍布全国三十多个省市区，以及北美、欧洲、澳洲和东南亚地区，拥有全国人大、中央党校、国家海事局、国税总局、中铁集装箱、建设银行总行、交通银行总行、民生银行总行、广东发展银行总行、国家开发银行总行、中国进出口银行总行、中信银行总行、中科智担保集团、山东高速公路、江西高速公路、广州高速公路、香港隧道、华为等典型客户，是全国交通领域、金融信贷风险管理领域第一信息化服务商，在政府与企业信息化领域居于国家第一梯队。

中创软件引入国际领先的开发管理工具，集成领先的中间件、构件技术，以及 CMMI、ISO9001、项目管理、RUP 等多方面的优势，建立了中国首个基于IBM Rational的跨区域协同开发平台，专注提供高品质、高速度、安全专业的外包服务。通过与IBM、INTEL、Thales、GRS、Raivent、UEL等国际合作伙伴以及中国华为等著名企业密切合作，在金融、电子商务、智能交通、电信、商业物流等领域承接软件开发服务、软件测试服务和IT运营服务等外包业务，成为中国软件欧美出口工程A级示范企业。

中创中间件

中创软件商用中间件股份有限公司（以下简称“中创软件中间件公司”），是领先的中间件产品与服务提供商，是国际OMG组织平台会员单位和国际开源中间件联盟OW2协会发起单位，拥有国家涉密甲级资质与国家武器装备科研生产许可。

?我们把握网络时代发展趋势，基于长期应用开发经验与知识积累，通过与国防科技大学、北京大学、北京航空航天大学、中科院软件所等深入开展产学研合作，遵循JEE、CORBA、SOA等国际标准，在国家发改委、国家科技部、国家工业和信息化部等各级政府部门的重点支持下，研发出具有国际先进水平的、自主知识产权的Infor系列中间件产品，产品提供对应用开发、运行、管理全生命周期的支持，帮助客户快速开发网络应用，全面提升集成能力，有力保障信息安全。

目前，Infor系列产品已广泛应用于政府、金融、交通、新闻出版、能源电力、科教、电信、军事等行业领域，拥有众多典型客户，包括世界500强、中国500强及众多国家部委，因此被中国软件行业协会评为“中国软件二十年最具应用价值的软件产品”、“改革开放30周年中国软件行业中间件信赖产品奖”。2008年，中创软件中间件公司再次入围中央国家机关计算机等产品政府集中采购协议供货项目，并成为入围产品最多的中国中间件厂商。

实践永无止境，创新永无止境。我们执着探索、积极实践、持续创新，以激情与智慧开创未来，成就梦想！

中创软件商用中间件股份有限公司，与您共同发展！