解决方案昂楷数据库审计v13a01dec.docx

解决方案昂楷数据库审计v13a01dec.docx

《解决方案昂楷数据库审计v13a01dec.docx》由会员分享，可在线阅读，更多相关《解决方案昂楷数据库审计v13a01dec.docx（31页珍藏版）》请在冰豆网上搜索。

解决方案昂楷数据库审计v13a01dec

昂楷数据库审计解决方案

深圳昂楷科技有限公司

二〇一六年五月

第一章需求分析

1.1概述

随着信息化的快速发展，信息化建设已经渗透到日常工作的各个方面，信息技术的应用，对XXX行业的建设起了重大的推动作用。

然而，公共服务领域，收集和储存了大量的公民个人信息。

在当前对行业提供的网络安全技术解决方案中，仍以防火墙（FW）防病毒（AV）为主流选择，这些传统的安全技术手段只能阻挡部分从外部到内部的攻击，并且对来自内部的信息窃取完全无能为力，这就导致了“泄密门”事件一次次发生，引发重要数据的丢失、破坏，不仅严重影响到医院网络的正常运行，还直接威胁到患者的隐私和生命安全。

同时为建设信息化数据安全，《信息安全等级保护管理办法》要求组织对信息系统分等级实行安全防护，其中明确要求计算机信息系统创建和维护受保护客体的访问审计跟踪记录（政府机关、医院的信息系统属于三级，属于公安机关强制性信息安全防护要求等级）。

1.2现状及风险分析

1.2.1信息系统安全现状

信息系统（InformationSystem，IS）是重要的信息基础设施。

它的特殊性决定了安全性的极高，重点要考虑二方面的安全风险：

一是来自外部安全风险，利用弱口令设置、数据库系统漏洞，非授权进入信息系统访问、拷贝和修改数据内容，甚至可以采用SQL注入，攻击数据库系统;另一个是内部安全风险，以合法授权身份进入信息系统对数据的访问和操作的合规性，对信息系统误操作、越权操作等。

以上安全风险会引发系统瘫痪、各种内部数据信息被泄露和篡改、涉密数据信息被窃取和失泄等信息安全事件发生。

如：

深圳就发生了一次全市的孕妇信息库泄露事件，不法分子将孕妇的资料制成了“泄密光盘”，4万条包括孕妇姓名、出生日期（婴儿）、户口性质（流动、暂住、常住）、家庭住址、联系电话、以及就诊医院及预产期的信息以每条0.3元的价格进行销售，更令人咂舌的是这些信息每月还“滚动更新”，累计达到了10万条。

很多乳品厂商也通过固定的渠道从医院套取孕妇的个人信息来达到赚钱的目的。

甚至，某些医院的个别工作人员已经和一些个人医疗信息的“收购贩子”形成了秘密而固定的“销售渠道”，乳品企业的一名销售经理向记者出示了一打儿厚厚的，记录了产妇及其丈夫个人信息的表格。

随后，记者按照这位销售经理提供的号码拨打了某医院产科护士长的电话，表示要购买个人信息，对方很严肃地说：

“不行，我们这里的个人信息是严格保密的，绝对不可以出售。

”而当那位销售经理亲自给那家医院的产科护士长打电话时，对方却让他过去取资料。

事实上，信息系统安全的问题已经相当普遍。

信息安全的重要性，恐怕只有IT部门知道，而当今大多数的IT部门，在充其量还只是扮演‘保姆’的角色。

国内信息化普遍起步晚、投入少，基本的IT软硬件环境尚且捉襟见肘，更无法顾及信息安全系统建设。

通常在IT投资上也可谓“保守”，在近20年的信息化过程中，信息装备投入十分有限，仅仅在近几年，才投入几百万元对全院的网络进行升级。

而更严重的是，目前IT部门普遍处于很低的地位，信息安全在领导观念中就更为淡漠，这造成了IT投资优先考虑的是业务的需求，而非保障信息安全。

这给信息系统埋下了巨大的安全隐患。

1.2.2信息系统所面临的问题

随着是互联网的普及应用，尤其是“云计算”、“物联网”、“三网融合”、“大数据”等新技术、新概念不断涌现，信息系统的建设，系统应用日趋复杂化，从而也给数据安全性带来了更高要求。

数据库是信息化安全系统核心业务开展过程中最具有战略性的资产，通常都保存着重要信息，这些信息需要被保护起来，以防止核心信息被泄露。

互联网的急速发展使得医院的数据库信息价值及可访问性得到了提升，同时，在利益的驱使下也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：

●管理层面：

主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。

●技术层面：

●为保护数据库信息的安全性，制定了相应的管理制度，但没有相应的技术手段进行控制。

●数据库安装部署及业务系统开发时，使用数据库默认配置、缺省口令、默认权限等现象普遍存在。

●现有的数据库内部操作不明，无法通过外部的任何安全工具（比如：

防火墙、IDS、IPS等）来阻止内部用户的恶意操作、滥用资源和泄露医院机密信息等行为。

●医院核心业务系统采用方正众邦的HIS，中间层采用COM+组件封装。

●审计层面：

针对于目前的建设状况，特别是对数据库的安全管理和审计，还存在着以下的一些问题：

•无法有效分析数据来源，做到快速定位；

•对关键数据的访问无记录，出现事故无法追踪；

•对于黑客攻击，无法做到有效防范和攻击留痕；

•非授权进入业务系统或误操作、越权操作，导致数据泄漏或被修改；

•一旦数据库日志被清除，无法发现事故，无法做到事故定位；

•没有数据库的完整审计记录，无法满足相关审计方面的要求。

现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:

数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性，同时数据文件较多，很难从中及时找出敏感数据。

1.2.3核心数据库风险分析

数据安全的具体含义为：

保证核心数据库信息的保密性、完整性、一致性、可用性和抗否认性。

◆保密性：

指保护数据库中的数据不被泄露和XX的获取；

◆完整性：

指保护数据库中的数据不被破坏和删除；

◆一致性：

确保数据库中的数据满足实体完整性、参照完整性和用户定义完整性要求；

◆可用性：

确保数据库中的数据不因人为或自然原因对授权用户不再可用；

◆抗否认性：

保证用户事后无法否认对数据库进行的一系列访问、修改、查询等操作，便于事后分析调查。

目前信息化系统中，最核心、最重要、最有价值，同时也是最敏感的信息存储库——数据库，目前来看，并未有完善的防护措施保护数据库系统的安全性，。

伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，很容易受到外部攻击者利用Web应用程序实施的攻击以及内部员工利用更直接的权限实施的攻击，种种违规越权操作、恶意入侵导致机密信息窃取泄漏行为不胜枚举，但事后却无法有效追溯和审计。

我们可以从数据安全的五个方向和系统框架来探讨核心数据库存在的风险，主要有以下几点：

1敏感信息被泄露，如用户姓名，电话，用户地址等重要信息被泄露。

2操作人员非法更改数据信息，例如日常业务或交易信息，这些对信息化系统的运作以及客户隐私有重大影响。

3非法对数据库访问权限授权，某些人没有数据库的写权限，通过非法授权，他就可以对重要数据随意获取、更改，破坏。

4数据库维护人员对业务系统的误操作，恶意操作，权限滥用等行为无法做到全面的审计。

5黑客攻击，黑客惯常使用的攻击手段包括窃听、重发攻击、迂回攻击、假冒攻击、越权攻击等等，网络中总是存在各种安全漏洞，因此黑客的攻击行为是威胁核心数据安全的一大隐患。

黑客攻击网络的目的通常是扰乱系统正常运行或者窃取重要的商业机密。

1.3安全审计需求

1.3.1合法权限滥用的监控需求

医疗行业数据库的安全审计对医院工作站在班外时间段，由于业务操作引发的数据库访问，应用模块在非设定的工作站上发生了相关操作引发的数据库访问，出现业务系统之外的仿冒应用程序对业务数据库进行访问以及数据库管理人员在业务窗口进行远程数据库访问等进行实时监控。

1.3.2存储过程的管理的需求

存储过程调用在网络上传输的是参数，没有具体的SQL语句，审计系统很难根据SQL语句的特征进行监控，对其监控主要是设置白名单，并对名单设置审计规则。

出现业务系统约定以外的存储过程调用、合法存储过程调用时出现参数异常或者调用场所异常等进行实时监控。

1.3.3历史操作的重现

重点监控工作站（医生工作站、医院前置机等）发生异常时，可以根据审计系统中记录的数据重现错误发生过程的场景，有利于异常原因的跟踪。

1.3.4人为高危操作访问数据库的监控

删除数据库表、无条件批量删除或修改数据等数据库操作的监控审计。

1.3.5敏感数据库表的操作访问的监控

对进行客户信息数据中的患者姓名、电话、余额等，财务信息数据中的科目余额等，药品使用情况等敏感数据的修改、删除、查询、统计等操作的监控。

1.3.6应用系统级监控的定制

根据应用需求实现重复预约挂号登记表、转检记录、医疗咨询申请等系统经常发生又缺乏有效监控的异常操作进行应用级监控。

1.3.7应用系统调优的应用

对数据库应用的来源、类型、流量、压力、性能、效率等方面的分析，可对应用系统的数据操作层进行详细的诊断，反作用于应用系统设计合理性的验证。

所以从数据安全的角度考虑，选择的数据库审计设备需要能够满足客户端通过HIS应用系统对数据库的访问审计，同时还要能够满足各种专业的数据库客户端工具直接对数据库的访问审计。

因此要求数据库审计设备能够审计数据库的类型必须是丰富的、全面的。

1.4国家等保要求

《信息安全等级保护管理办法》 要求组织对信息系统分等级实行安全保护，其中明确要求计算机信息系统创建和维护受保护客体的访问审计跟踪记录（政府机关、医院的信息系统属于三级，属于公安机关强制性信息安全防护要求等级）。

等级保护三级基本要求

Ø应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；

Ø应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

Ø审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；

Ø应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

等保三级测评要求

Ø应设置安全审计员，询问应用系统是否有安全审计功能，对事件进行审计的选择要求和策略是什么，对审计日志的保护措施有哪些；

Ø应检查主要应用系统，查看其当前审计范围是否覆盖到每个用户；

Ø应检查主要应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；

Ø应检查主要应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；

Ø应检查主要应用系统，查看其是否为授权用户浏览和分析审计数据提供专门的审计分析功能，并能根据需要生成审计报表；

Ø应检查主要应用系统，查看其是否能够对特定事件指定实时报警方式；

Ø应测试主要应用系统，可通过非法终止审计功能或修改其配置，验证审计进程是否受到保护；

Ø应测试主要应用系统，在应用系统上试图产生一些重要的安全相关事件，查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况和记录情况与要求是否一致；

Ø应测试主要应用系统，试图非授权删除、修改或覆盖审计记录，验证安全审计的保护情况与要求是否一致

第二章数据库审计解决方案

2.1方案目标

各行各业的核心业务系统积累和掌握了大量的敏感信息，这些数据涉及到各企事业单位甚至政府的自身发展、公民隐私、国家政策等众多方面，然而诸多信息安全事件背后，隐藏着在信息安全防护方面存在管理制度缺失、系统管理不规范、技术防控手段支撑不到位等诸多信息安全问题和风险，同时也严重损害了相关主体的利益，破坏了声誉，更有甚者危害到国家利益。

因此，对于数据的安全管理和操作风险已经必须上升到高层管理者的高度重视。

在安全风险管理方面，随着信息化建设的不断发展促使信息价值不断提升。

随着业务和IT融合不断地深入和数据共享需求的不断扩展，数据库安全面临着管理、技术和审计的多方面风险。

图1-1数据库安全风险

1

2

3

2.1.1满足合规性要求

国家对涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统实施信息系统安全等级保护制度，被赋予等级为3级以上的信息系统的网络系统、主机系统和数据库系统都必须具有安全审计。

通过数据库审计实现对信息系统中的网络操作及业务系统操作进行审计记录，以便及时发现可疑行为及违规操作，采取相应的措施。

通过数据库安全审计，可对发生的安全事件及时响应，不断跟踪网络操作和安全事件的变化，准确掌握信息系统的安全状态，并依据变化进行调整，确保满足企事业单位的安全要求，保护重要业务数据的安全。

2.1.2降低安全性风险

数据库存储着客户记录、财务数据等重要信息，很容易受到外部攻击者利用Web应用程序实施的攻击以及内部员工利用更直接的权限实施的攻击，存在着诸多安全性风险：

●利用信息系统的方便性，违反业务规范与流程操作

●在数据上做弄虚作假，导致数据信息的不真实

●组织与机构的数据信息被泄露、窃取、篡改等问题

这些都会给单位、企业、机构、群体和个人造成政治影响、经济损失、信誉损害和隐私暴露。

因此，对于数据的安全管理和操作风险必须得到政府、企业高层管理者的高度重视。

2.1.3监测可用性风险

许多事件都可能造成业务中断，从内部系统故障到用户操作错误。

因流程、人员或系统故障而使信息或应用程序无法访问，这些都可能造成机构的信息资产损失，导致生产率下降、客户满意度降低、声誉受损、面临法律诉讼等风险。

2.1.4避免审计风险

随着信息化系统业务的不断发展，数据库应用范围越来越广，数据库系统承载着机构的账务数据、贸易记录、工程数据等重要信息。

然而数据库面临的安全威胁日渐增加，近年来不断发生的重要敏感数据被窃取、篡改问题，已经引起各方面的高度重视，成为迫切需要解决的问题。

国家在强制性推行信息系统的安全等级保护，实质上是要求政府、企业加强内控和IT管理，要求IT部门的管理者对信息系统产生的数据（财务和业务数据）结果作为可靠性和唯一性的保证并承担风险责任。

如果信息系统在日常运行过程中无审计机制，对于机构管理层来讲无法对建立和维护内部控制系统及相应控制程序做出充分有效的评价；同时也会导致安全事件难于追溯、安全事件难于定位、无法追溯事故责任人等问题。

2.1.5弥补传统安全技术的盲点

2.1.5.1传统安全设备的盲点

传统的安全设备，如：

防火墙、IPS等都是针对于边界防护，而且防护的方向对外而不是对内的，而大量重要信息的泄露是由内部人员造成的，这基本上是传统安全设备的盲点。

2.1.5.2数据库自身日志审计的缺陷与危害

通常数据库服务器具有自身的日志审计功能，这样的日志功能也分为多种类型，如：

连接审计，C2审计，SQL语句跟踪等，可以通过对配置项的修改，设置为启动或关闭，然而这样的日志审计功能有着其自身的缺陷和危害：

●非智能设计：

日志审计功能并不能进行灵活的配置，仅仅是简单的日志记录，并不能帮助管理者及时发现问题，快速定位问题；

●不能进行监测报警：

数据库自身的日志审计，并不具有监测报警的功能，不能在第一时间将异常信息报告给数据库管理者，只能用于问题查证；

●日志记录可以被删除：

日志审计的记录会存在一个特定文件或是一个表，恶意攻击者或是具有权限的合法用户都可以删除这样的日志文件，从而将记录毁灭；

●对数据库服务器的资源和性能都会产生巨大的影响：

在开启某些日志审计功能后，有时候如果无法对日志文件进行写入时，就会导致数据库停止；还有一些日志审计功能一旦开启，记录量非常大，占用了大量的硬盘空间，同时大大降低数据库服务的性能，严重影响正常的业务。

2.2方案思路

2.2.1不影响业务系统的正常使用

审计系统需采取旁路部署方式，对原有网络不造成影响，系统故障不影响业务的正常运行；无需在数据库服务器上安装任何软件代理或插件，无需提供数据库服务器的任何管理账号和密码；在运行中审计系统无需重启被审计系统及服务，无需访问数据库，不中断业务、不影响性能、不做危害动作。

2.2.2审计效果可视、审计过程可控。

审计系统应能够记录每个访问者每一次对数据库的操作访问信息，数据访问操作表示为4个要素信息，即：

操作者、操作对象、操作时间和操作行为。

当数据访问操作发生时，记录何人、何时、何地、对何数据进行了何种操作，并且与预先设置好的审计规则相匹配，如果命中规则审计系统将对操作者、操作时间、操作对象和操作行为信息自动记录、预警及统计，并提供操作过程回放，支持分析取证。

2.2.3可兼容、可扩展，无须更换数据库，避免重复建设

审计系统需同时支持对Oracle、MS-SQL、DB2、MYSQL、Sybase、POSTGRESQL、Caché等主流数据库提供自动化评估、审计和保护功能，并可同时支持对多个系统、多个不同类型的数据库审计，以满足信息化发展需要。

2.2.4适度先进的系统技术及体系理念

由于系统需要兼容多种数据库的审计并且不影响业务，所以后关系型数据库的安全审计问题，应该是基于关系型数据库的安全审计技术基础之上，其最核心的技术就是要识别后关系型数据库的各种访问方式，并能够智能识别出威胁，实时做出响应，这些新技术的引入，需要考虑与原有体系的兼容性，所以应采取先进成熟、稳定可靠的技术架构。

2.2.5系统需通俗易懂，便于非技术人员独立使用

作为审计系统，不可避免地涉及到非技术人员的应用，故系统应能将审计结果中抽象的操作语句、访问终端信息等技术语言翻译成通俗易懂的业务语言，而操作终端可定位到访问者的具体员工身份，方便纪检监察人员及非专业人员独立使用该系统。

2.2.6与其他安全管理系统的联动

网络安全的短板效应决定了安全体系的应用效果。

安全体系需作为一个整体的防护体系而综合考虑，而不能以一个个独立的系统或技术存着，这就要求审计系统可以与相关的安全平台进行联动，以达成安全管理的成效。

这些安全平台包括统一短信告警平台、运维安全审计平台、网管平台等。

2.2.7支持技术演进，满足新技术及业务应用要求。

系统可支持虚拟化云计算平台、三层架构等各种复杂应用环境的审计，还可支持未来的大数据分析及挖掘。

2.3昂楷数据库审计系统介绍

目前行业内数据库种类繁多，昂楷数据库审计系统支持对Oracle、MS-SQL、DB2、MYSQL、Sybase、CACHÉ等常见数据库的审计。

信息化系统的核心数据库不管采用什么类型的数据库，昂楷数据库审计系统都可对其全面监控，将核心数据保护起来。

昂楷数据库审计系统是基于DPI+DFI技术的数据库审计系统，对来自应用系统客户端和DBA对数据库的访问行为进行全面审计，不仅针对SQL语句，还可以对FTP、TELETN等远程访问进行审计。

审计系统能详细记录查询、删除、增加、修改等行为及操作结果，对危险操作还可以实时预警，从而达到保护数据库的良好效果。

通过昂楷数据库审计系统可以解决核心数据库存在的风险。

2.3.1方案设计

昂楷数据库审计系统是基于DPI+DFI技术的数据库审计系统，对来自应用系统客户端和DBA对数据库的访问行为进行全面审计，不仅针对SQL语句，还可以对FTP、TELETN等远程访问进行审计。

审计系统能详细记录查询、删除、增加、修改等行为及操作结果，对危险操作还可以实时预警、及时阻止，从而达到保护数据库的良好效果。

2.3.2系统架构

昂楷数据库审计系统由基础层、引擎层、业务层和接口管理层组成。

其中，基础层和引擎层共同构成了昂楷领先于同行产品的后台架构，该架构可概括为“一库”“二机制”、“三平台”、“四引擎”，这也是昂楷数据库审计系统具备电信级扩展能力的根本保障。

系统架构图

2.3.3部署方式

数据库审计系统旁路部署方式，拓扑如下图：

网络部署方式图

2.3.4产品基本功能

功能模块

功能介绍

（1）全独立审计模式

昂楷AAS审计数据通过网络完全独立地采集，这使得数据库维护或开发小组，安全审计小组的工作进行适当的分离。

而且，审计工作不影响数据库的性能、稳定性或日常管理流程。

审计结果独立存储于昂楷AAS自带的存储空间中，避免了数据库特权用户或恶意入侵数据库服务器用户，干扰审计信息的公正性。

（2）全跟踪细腻度审计

全面性：

针对业务层、应用层、数据库等各个层面的操作进行跟踪定位，包括数据库SQL执行情况、数据库返回值等

细粒度：

精确到表、对象、记录内容的细粒度审计策略，实现对敏感信息的精细监控；

独立性：

基于独立监控审计的工作模式，实现了数据库管理与审计的分离，保证了审计结果的真实性、完整性、公正性。

（3）数据别名

对表和字段进行别名设置，可以直观显示审计结果内容，方便非专业技术人员的查看

（4）隐秘数据

对审计结果中敏感数据隐秘，非授权的用户不能正常查看隐秘数据;防止重要数据在数据库审计设备中导致的二次泄密问题。

（5）权限分离

昂楷AAS设置了权限角色分离，如系统管理员负责设备的运行设置；审计员负责查看相关审计记录及规则违反情况；日志员负责查看整体设备的操作日志及规则的修改情况等。

（6）事件准确定位

传统的数据库审计定位往往局限于IP地址和MAC地址，很多时候不具备可信性。

昂楷AAS可以对IP、MAC、用户名、服务端等一系列进行关联分析，从而追踪到具体人。

（7）独特报表功能

合规性报表

昂楷AAS报表和根据合规性要求，输出不同类型的报表。

例如，可根据等级保护三级要求，输出符合等保相关项目满足的度的报表。

策略定制化报表

根据审计人员关系的主要稳定，定制符合需求的策略规则输出报告，使审计人员能够迅速的得到自己需要去审计信息。

（8）完备的自身安全

昂楷AAS全方位确保设备本身的高可用性，主要包括：

硬件级安全冗余、系统级防攻击策略、告警措施等。

2.3.5产品特点

2.3.5.1全独立审计模式

昂楷AAS审计数据通过网络完全独立地采集，这使得数据库维护或开发小组，安全审计小组的工作进行适当的分离。

而且，审计工作不影响数据库的性能、稳定性或日常管理流程。

审计结果独立存储于昂楷AAS自带的存储空间中，避免了数据库特权用户或恶意入侵数据库服务器用户，干扰审计信息的公正性。

2.3.5.2全跟踪细腻度审计

全面性：

针对业务层、应用层、数据库等各个层面的操作进行跟踪定位，包括数据库SQL执行情况、数据库返回值等。

细粒度：

精确到表、对象、记录内容的细粒度审计策略，实现对敏感信息的精细监控；

独立性：

基于独立监控审计的工作模式，实现了数据库管理与审计的分离，保证了审计结果的真实性、完整性、公正性。

2.3.5.3数据别名

对表和字段进行别名设置，可以直观显示审计结果内容，方便非专业技术人员的查看。

2.3.5.4隐秘数据

对审计结果中敏感数据隐秘，非授权的用户不能正常查看隐秘数据;防止重要数据在数据库审计设备中导致的二次泄密问题。

2.3.5.5权限分离

昂楷AAS设置了权限角色分离，如系统管理员负责设备的运行设置；审计员负责查看相关审计记录及规则违反情况；日志员负责查看整体设备的操作日志及规则的修改情况等。

2.3.5.6事件准确定位

传统的数据库审计定位往往局限于IP地址和MAC地址，很多时候不具备可信性。

昂楷AAS可以对IP、MAC、用户名、服务端等一系列进行关联分析，从而追踪到具体人。

2.3.5.7数据库工具监控

昂楷AAS自动扫描连接数据库的访问工具。

从访问数据库的源头进行分析，应用系统和客户端工具根据不同的数据库类型可通过ODBC、JDBC、直连等方式连接数据库，直接连接工具如Winsql，Plsql及CS架构的客户端工具等。

如发现审计记录中出现未知的数据库连接工具或出现规定之外的连接工具，审计员可根据工具监控记录分析出使用过该工具的IP及关联的操作记录，进而取证使用该工具的源头及操作的合法性。

2.3.5.8丰富的策略库

昂楷AAS根据不同的行业应用提供了不同的策略库，如在医疗行业，根据不同HIS厂家的表和字段结构信息制定了符合不同HIS厂家的数据库审计策略库。

如根据d