数据库审计系统技术白皮书doc 28页.docx
《数据库审计系统技术白皮书doc 28页.docx》由会员分享，可在线阅读，更多相关《数据库审计系统技术白皮书doc 28页.docx（18页珍藏版）》请在冰豆网上搜索。
数据库审计系统技术白皮书doc28页
数据库审计系统技术白皮书（doc28页）
数据库审计系统
技术白皮书
1前言
今天，几乎所有行业的用户业务都是建立在信息系统基础之上的。
IT与业务的融合给用户带来了效率提升和持续竞争力，正如信息系统具有潜在的投资回报一样，信息系统同样具有潜在的风险，信息系统任何细微的变故，都有可能导致业务流程完全失效，信息系统在给电子政务、电子商务带来了高效和便捷的优越性同时，同样给外部和内部利用信息系统犯罪带来了容易性和隐蔽性。
政府、行业和企业几乎所有的业务活动都是以信息系统作为支撑平台的，而信息系统又是以数据库系统作为核心，业务核心数据的处理与存储都是由数据库系统管理的。
因此，数据库系统应作为信息系统安全性中最重要的重点加以保护，随着信息化技术的快速发展，数据库应用范围越来越广，数据库系统承载着本单位、本部门的各种业务数据，诸如财政账务数据、生产数据、人员档案数据等等，毫无疑问，如何保证这些重要数据信息的完整性和真实性已逐渐成为用户关注信息安全的主要内容之一。
信息安全管理体系ISMS明确了安全组织体系是基本安全管理措施中的重要一环。
内部组织管理中，职责分离是有效减少偶然或故意的未授权访问、误用和滥用的有效方法。
可现实中，企业真正完全实现职责分离的却屈指可数。
信息化建设的不断发展衍生了系统管理员、网络管理员、数据库管理员、安全管理员、系统分析员、系统程序员、应用程序员、数据录入员、计算机操作员等等岗位的职责分工。
可企业信息划建设队伍的壮大却很难覆盖所有的岗位，企业信息人员身兼数职也就司空见惯了。
为了避免未完全达到职责分离的现实情况给企业的信息系统带来的风险隐患，信息审计作为职责分工补偿成为了重要的完善企业内部控制的基本措施。
而数据库审计能大大降低企业信息数据所存在的风险。
2数据库审计的重要性
企业最核心、最重要、最有价值，同时也是最敏感的信息存储库——数据库，很容易受到外部攻击者利用Web应用程序实施的攻击以及内部员工利用更直接的权限进行的违规操作。
客户记录、财务报表以及患者数据都存在风险。
因此，对于数据的安全管理和操作风险已经引起政府、行业和企业高层管理者的高度重视。
在安全风险管理方面，企业和政府部门随着信息化建设的不断发展促使信息价值不断提升。
随着业务和IT融合不断地深入和数据共享需求的不断扩展，数据库安全面临着管理、技术和审计的多方面风险。
图1-1数据库安全风险
2.1满足合规性要求
目前,“公司治理”（CorporateGovernance）问题因上市公司频频“惊曝黑幕”而成为全球性的话题。
前几年在美国出现的安然、世通、施乐等粉饰业绩，导致企业崩溃的案件，英国出现的巴林银行违规交易导致破产的事件，日本出现的雪印食品公司舞弊案件，中国出现的蓝田股份和银广厦的利润神话破灭事件，特别是今年的美国次级房贷引发的华尔街金融危机，进而引发了百年老店雷曼兄弟公司的破产，充分暴露了金融监管和企业风险控制的失控，使公司治理成为企业高层议事日程中最重要和迫切的任务之一。
在信息环境下，作为“公司治理”最重要组成部分之一——IT治理，在企业中扮演着越来越重要的角色。
“如何通过IT审计对IT治理环境进行有效的控制，确保IT治理与企业战略目标相符”成为了企业及其监管部门最关心的问题之一。
“萨班斯法案”是2002年美国国会通过的《上市公司会计改革与投资者保护法案》。
其中最为严格的第404条款规定，在信息管理方面，萨班斯法案强调了三个核心内容：
即信息的完整性，信息的保密性和要求信息能够在适当的时间以适当的格式被访问；明确规定了包括对信息保护、信息准确跟踪、信息长期保存的要求。
萨班斯法案出台后，法国和日本也都先后出台了类似的新法规强化监管。
随着中国本土企业全球化扩张步伐的加快，国内公司遵循的许多规范正在逐步与国际接轨，如在美上市的中资企业需遵循SOX法案（上市公司会计改革与投资者保护法案）；同时随着国家等级化保护基本要求、以及行业风险管理和内控指引的出台，用户合规审计需求日益凸显，政府、电信、金融、大型企业等都纷纷制定相关的规范，成为安全审计发展的重要促进因素。
在中国，由于治理主体的明晰和到位，作为企业管理基础提升的企业治理已经成为现实问题。
推进企业治理,建立规范、高效的现代企业制度，使企业运行的每个环节都处于规范和可控制状态，达到“透明、控制和效率”的治理效果，正是中国国有企业改革和上市公司治理所要努力的方向。
此外，电子商务的风险对交易双方都构成威胁。
破坏者可以来自企业外部也可以来自内部。
所面临的风险包括数据的失窃、毁坏、截取、改动、延误或传输路径的改变以及伪造信息。
这些风险会破坏正常的交易秩序，给交易双方带来巨大的损失。
财政部、证监会、审计署、银监会、保监会五部委发布的《企业内部控制基本规范》等都要求对信息系统做好审计工作，保证信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。
国家对涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统实施信息系统安全等级保护制度，被赋予等级为2级以上的信息系统的网络系统、主机系统和数据库系统都必须具有安全审计。
通过数据库审计实现对信息系统中的网络操作及业务系统操作进行审计记录，以便及时发现可疑行为及违规操作，采取相应的措施。
通过数据库安全审计，可对发生的安全事件及时响应，不断跟踪网络操作和安全事件的变化，准确掌握信息系统的安全状态，并依据变化进行调整，确保满足企事业单位的安全要求，保护重要业务数据的安全。
2.2降低安全性风险
数据库存储着客户记录、财务数据以及患者数据等重要信息，很容易受到外部攻击者利用Web应用程序实施的攻击以及内部员工利用更直接的权限实施的攻击，存在着诸多安全性风险：
●利用信息系统的方便性，违反业务规范与流程操作
●在数据上弄虚作假，导致数据信息的不真实
●组织与机构的数据信息被泄露、窃取、篡改等问题
这些都会给单位、企业、机构、群体和个人造成政治影响、经济损失、信誉损害和隐私暴露。
因此，对于数据的安全管理和操作风险必须得到政府、企业高层管理者的高度重视。
2.2.1数据完整性安全
王某是某公司商务技术代表。
去年3月21日，他向公司发出离职邮件后自行离职。
此后不久，王某被原公司告上法院。
公司称进行服务器维护时，发现王某在离职前一天登录客户信息资料数据库，恶意更改了上百家客户的联系信息，因数据库更改后无法自行恢复，给公司造成了难以计算的经济损失。
2.2.2内部人员权限滥用
2007年富达国民信息服务公司（FidelityNationalInformationServices）旗下子公司CertegyCheckServices的一名高级数据库管理员利用权限访问，窃取了属于850余万个客户的记录。
随后，他把这些资料以50万美元的价格卖给了一经纪人，该经纪人转手卖给了直接营销商。
后来这名员工被判处四年以上徒刑，并处罚金320万美元。
2.2.3授权人员的非法操作
中国青年报报道，上海一电脑高手，方某今年25岁，学的是计算机专业，曾是某超市分店资讯组组长。
方某利用职务之便，设计非法软件程序，进入超市业务系统，即超市收银系统的数据库，通过修改超市收银系统的数据库数据信息，每天将超市的销售记录的20%营业款自动删除，并将收入转存入自己的账户。
从2004年6月至2005年8月期间，方某等人截留侵吞超市3家门店营业款共计397万余元之多。
2.2.4维护人员非法操作
2007年某工程师曾任华为技术有限公司工程师，负责西藏移动等公司的设备安装。
多次侵入北京移动公司的充值中心数据库，修改充值卡原始数据并窃取充值卡密码后销售，共获得380万元的利润。
2.2.5技术风险
美国东海岸连锁超市（EastCoast）的母公司HannafordBros.称，该超市的用户数据库系统遭到黑客入侵，造成400多万个银行卡帐户信息泄露，因此导致了1800起与银行卡有关的欺诈事件。
在持卡人认证过程中，有420万个单个的信用卡和借记卡信息泄露，成为迄今为止涉及用户规模最大的数据入侵事件之一。
除黑客攻击外，数据库存在的技术风险还包括：
●网络层系攻击
●操作系统漏洞
●数据库攻击
●应用系统后门
●数据共享需求膨胀
2.3监测可用性风险
许多事件都可能造成业务中断，从内部系统故障到用户操作错误。
因流程、人员或系统故障而使信息或应用程序无法访问，这些都可能造成信息资产损失，导致生产率下降、客户满意度降低、订单丢失、声誉品牌受损、公司收入和股价下降、面临法律诉讼风险使企业效率或价值大为降低。
2.4避免审计风险
随着企业信息化系统业务的不断发展，数据库应用范围越来越广，数据库系统承载着企业的账务数据、贸易记录、工程数据等重要信息。
然而企业数据库面临的安全威胁日渐增加，近年来不断发生的重要敏感数据被窃取、篡改问题，已经引起各方面的高度重视，成为迫切需要解决的问题。
国家在强制性推行信息系统的安全等级保护，实质上是要求政府、企业加强内控和IT管理，要求IT部门的管理者对信息系统产生的数据（财务和业务数据）结果作为可靠性和唯一性的保证并承担风险责任。
如果信息系统在日常运行过程中无审计机制，对于企业管理层来讲无法对建立和维护内部控制系统及相应控制程序做出充分有效的评价；同时也会导致安全事件难于追溯、安全事件难于定位、无法追溯事故责任人等问题。
系统故障
系统运行状态
为快速恢复提供线索
IT策略与
外部法规
确保全面控制
自动收集证据
2.5弥补传统安全技术的盲点
2.5.1传统安全设备的盲点
传统的安全设备，如：
IDS/IPS、防火墙，都是针对于边界防护，而且防护的方向对外而不是对内的。
根据资料窃盗资源中心（TheIdentityTheftResourceCenter，ITSC）所公布的报告，2008年数据外泄件数总计有656件，比2007年的446件增加了47%；其中一般企业的数据外泄情况更有愈来愈严重的倾向。
去年8月ITSC就曾发表相关数据，指出截至去年8月为止，资料外泄件数就已超越前年一整年的结果。
不过，此一资料外泄增加的案件比例与去年相仿，2007年的资料外泄件数亦比2006年增加4成。
ITSC主要观察五个产业的资料外泄情况，包括一般企业、教育、政府及军事单位、健康及医药产业及金融产业，发现一般企业的资料外泄有愈来愈严重的倾向，自2006年占21%增加到去年的36.6%，教育领域则是自28%减少到20%，政府及军事单位则是自30%大幅降低到16.8%，健康医疗产业从前年的13%到去年的14.8%，金融产业则是自8%增加到11.9%。
根据ITSC的报告，所有的资料外泄案件中，只有2.4%采用加密等重要保护方式，只有8.5%有密码保护，这代表非常多的外泄数据完全没有加密或密码保护。
至于资料外泄的途径，ITSC表示，虽然人为的疏失已有大幅改善，但仍占35.2%；而旅行中数据遗失则占20.7%，意外揭露占14.4%，黑客恶意攻击及内部窃贼的比例约占29.6%。
其中，内部窃贼的比例达15.7%，为前年的两倍，黑客则占13.9%。
电子型态的数据外泄也以82.3%远超过文件数据外泄的17.7%。
而有通报的外泄资料总计为3570万笔，但其中尚有41.9%的案例未通报，因此波及的数据笔数应该更多。
依此比例换算，2008年外泄的资料约达8520万笔。
对于传统安全设备防护的外部威胁只占外泄的13.9％，可见大量重要信息的泄露是由内部人员造成的，这基本上是传统安全设备的盲点。
2.5.2数据库自身日志审计的缺陷与危害
通常数据库服务器具有自身的日志审计功能，这样的日志功能也分为多种类型，如：
连接审计，C2审计，SQL语句跟踪等，可以通过对配置项的修改，设置为启动或关闭，然而这样的日志审计功能有着其自身的缺陷和危害：
●非智能设计：
日志审计功能并不能进行灵活的配置，仅仅是简单的日志记录，并不能帮助管理者及时发现问题，快速定位问题；
●不能进行监测报警：
数据库自身的日志审计，并不具有监测报警的功能，不能在第一时间将异常信息报告给数据库管理者，只能用于问题查证；
●日志记录可以被删除：
日志审计的记录会存在一个特定文件或是一个表，恶意攻击者或是具有权限的合法用户都可以删除这样的日志文件，从而将记录毁灭；
●对数据库服务器的资源和性能都会产生影响：
在开启某些日志审计功能后，有时候如果无法对日志文件进行写入时，就会导致数据库停止；还有一些日志审计功能一旦开启，记录量非常大，占用了大量的硬盘空间，同时大大降低数据库服务的性能，严重影响正常的应用的顺利进行。
3慧眼数据库审计系统简介
3.1慧眼数据库审计系统介绍
慧眼数据库审计系统是国都兴业信息审计系统技术（北京）有限公司为数据库服务器高效运维和数据安全管理，数据安全审计而推出的合规性审计产品。
3.2慧眼数据库审计系统技术原理
数据库安全审计系统主要通过旁路监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、，实现对目标数据库系统操作的监控和审计。
3.3慧眼数据库审计系统体系架构
慧眼数据库审计系统具有灵活的系统构架。
可以根据用户的网络环境、应用需求、网络规模进行灵活的裁剪和定制，同时也便于系统的扩充，增加新的安全审计类型。
采用了目前世界最先进的RIA（RichInternetApplication）开发技术，使得用户应用既具有Browser/Server操作使用的方便性，又具有Client/Server用户界面的丰富性。
系统三大构成：
网络引擎、策略管理中心、web控制台
慧眼数据库审计系统的部署方式如下：
1.根据不同的审计范围部署一到多台审计引擎；慧眼数据库审计引擎需要部署在交换机镜像口或接入旁路分流器，并进行适当配置。
2.依据监测数据库服务器的数量以及数据库审计系统需要处理交易数量级部署一台到多台审计服务系统；
3.根据不同的监控需求，通过浏览器登陆综合审计管理中心进行策略的制定和审计监测。
4产品主要功能
4.1多层次、全方面审计内容
慧眼数据库审计系统提供全面记录、审计数据库SQL级操作以及ftp、telnet等运维操作，还原出原始SQL语句，同时记录操作相关的各种信息，如：
数据库服务器名称、IP地址、MAC地址、端口号、用户名、操作执行结果、数据库操作发生详细日期、时间以及原始SQL语句。
同时系统能够对网络中其他设备发来的syslog和SNMP日志信息进行接收和查询，可快速的帮助客户了解网络中其它设备的运行状况。
4.2灵活的审计规则设置
慧眼数据库审计系统灵活地定义审计策略，更能通过个性化分析设定策略，实现更细粒度的审计，更容易满足不同数据库系统的不同审计需求。
如：
基于角色、基于SQL语句类型、基于SQL语句关键操作库表、基于时间等，满足对超级管理员的各类审计需求。
4.3快速日志检索、多样报警方式
慧眼数据库审计系统提供丰富的数据查询检索功能。
支持基于时间、IP地址、数据库服务器IP地址、用户名、数据库操作命令、数据库表名/字段名等多种丰富的查询检索条件。
系统提供多种实时报警方式：
界面颜色报警、气泡报警、电子邮件报警等。
4.42定制化合规报表
慧眼数据库审计系统提供符合性报表集，加快按照各种法规/最佳做法等框架（包括SOX、等级保护、分级保护等）进行的审计、安全和符合性检查工作。
用户可以手动、自动按照条件：
如数据库服务器IP、数据表、数据库访问操作或按分钟、小时、天、星期、月等生成相关统计，,统计结果以柱状图、饼图、折线图显示并支持HTML、Doc和Excel格式的导出。
4.5三权分立的用户授权、管理
系统通过设定系统管理员、用户管理员、系统审计员并赋予相应权限以达到完整的三权分立。
对系统自身的审计功能，保证了系统的安全运行。
4.6高可靠的自身安全性
系统采用安全、可靠、高效的硬件运行平台。
采用强加密的SSL加密传输告警日志与控制命令，保证数据传输的安全。
设备支持热插拔的冗余双电源，避免电源硬件故障时设备宕机，硬件资源、网络引擎实时自监控提高设备可用性。
5产品技术优势
5.1产品技术之“完整审计”
5.1.1“零拷贝”技术
通过独有的核心抓包技术，减少了系统切换和数据拷贝次数，大大提高了系统的数据采集性能;
5.1.2多层缓存机制
面对服务器区可能应对的运维操作和来自中间件应用行为所造成的海量数据包，系统将通过多级缓存机制将采集数据分解为元数据、解析数据、存储数据等有条不紊的进行数据预处理缓解海量数据对系统的冲击，并通过读写分离优化系统数据库运行。
5.1.3多维度审计视角
•数据库动态审计可以提供4W（who/when/where/what）审计数据。
通过实时监测并智能地分析、还原各种数据库操作，解析数据库的登录、注销、插入、删除、存储过程的执行等操作，还原SQL操作语句;
•针对运维操作ftp、telnet的过程审计;
•支持对数据库自身syslog日志的审;
5.1.4绑定变量审计
●绑定变量（BindVariable）：
系统支持对绑定变量的审计，不仅可以审计到调用绑定变量的数据库操作，同时也能够审计到对该变量真实的赋值过程，并进行关联分析。
5.2产品技术之“定位到人”
5.2.1会话关联，追中溯源
通过过对会话标识符分析，区分不同的会话过程，对每个会话过程记录状态，从登录包中取得用户名和数据库名，同时记入会话信息中。
相对应的后续会话过程，将会把已获取的用户名和数据库名填入审计记录中，通过对会话状态链接表的维护实现精确定位到具体操作用户。
5.2.2三层B/S架构全局关联，定位到人
通过关联应用层的访问和数据库层的访问操作请求，可以追溯到应用层的原始访问者及请求信息（如：
操作发生的URL、客户端的IP等信息），通过三层审计更精确地定位事件发生前后所有层面的访问及操作请求
5.3数据库安全检测
系统内嵌专业安全检测引擎，采用静态和行为检测机制，及时发现、预警危害数据库的行为。
1、系统内置数百种安全规则库，自动根据预设置策略针对诸如sql注入、已知数据库漏洞、口令猜解、缓冲区溢出等违规行为实时监测、预警。
2、系统提供权限预警机制，实时监控数据库的所有操作。
针对最高权限滥用、误操作、恶意操作等行为进行告警和定位。
6产品应用价值
6.1防止管理员权限滥用
数据库的操作管理通常是由多个具有不同权限的用户进行分权管理，其中权限最大是超级用户，由于这样的账户基本上对数据库的所有操作都是没有任何限制的，一旦超级用户的账户被盗用或是超级账户的使用者故意对数据资源进行毁害或是盗取，这样的行为对企业和组织产生的影响无疑是非常巨大的，由此而引发的损失就是无可估量的！
慧眼数据库审计系统提供全面记录审计数据库SQL级操作，还原出原始SQL语句，同时记录操作相关的各种信息，如：
数据库服务器名称、IP地址、MAC地址、端口号、数据库操作发生详细日期、时间以及原始SQL语句。
慧眼数据库审计系统提供多角度、全方位的报警策略制定与响应机制，如：
基于角色、基于SQL语句类型、基于SQL语句关键操作库表、基于时间等，满足对超级管理员的各类审计需求。
同时依据企业内部的数据访问策略，如：
最小权限原则、职责分离原则等，对数据分级、分权限类型保护，可以通过审计设备制定相应审计策略，如：
限制访问策略、特权访问等。
如果有人违反相应的策略就会触发报警机制，防止权限滥用带来的巨大风险。
6.2降低维护人员的安全隐患
数据库的维护人员有时需要在数据库中建立一些临时的账户用于数据库的日常维护，这样的临时帐户只会存在很短的时间，然而这样的账户很可能被不良用心者利用，由于使用时间较短，数据库管理员基本上很难发现数据资源被窃取过或是被恶意损毁，当发现时已经对企业产生了无法弥补的损失，而且没有丝毫的线索提供给相关单位进行取证。
慧眼数据库审计系统不但提供基于数据库原始SQL语句的审计，而且提供各类远处维护操作协议的审计，如：
FTP、Telnet等协议命令级的回放。
同时慧眼数据库审计系统详细分析记录详细分析记录数据库系统级操作，包括用户访问、特权访问以及数据库特有操作，保证审计的完整性与针对性。
从而保证对数据库帐户的建立、删除，数据库帐户权限的更改等进行细致的审计，并可依据帐户建立机制设定不同的报警策略，帮助企业数据库管理员更好的管理数据库的信息资源。
6.3保护重要数据安全
数据库服务器中保留了许多重要的数据资源，其中有些数据资源对企业来讲是举足轻重的，如果这些数据遭到破坏，可能会给组织带来毁灭性的影响。
企业应对数据库数据信息进行分类，重点监测所有敏感数据的操作，及时发现非法操作以及授权用户的违规操作。
慧眼数据库审计系统提供对于各种复杂的SQL语句（诸如超长SQL语句、多语句等）可以进行完整的分析、还原与记录，提供自动识别各类中文编码，保证完整还原原始SQL语句与存储过程。
同时不但能够记录查询中BindVariable的变量的名字，还能够记录BindVariable的数值。
制定针对于数据库的操作库、数据库操作表、数据库操作关键信息、数据库操作关键值等策略。
系统内嵌专业安全检测引擎，采用静态和行为检测机制实时检测针对数据库访问的恶意、攻击数据流，及时发现、预警危害数据库的行为。
6.4满足合规性要求，促进IT审计
“如何通过IT审计对IT治理环境进行有效的控制，确保IT治理与企业战略目标相符”成为了企业及其监管部门最关心的问题之一。
国内公司遵循的许多规范正在逐步与国际接轨，如在美上市的中资企业需遵循SOX法案（上市公司会计改革与投资者保护法案）；同时随着国家等级化保护基本要求、以及行业风险管理和内控指引的出台，用户合规审计需求日益凸显，政府、电信、金融、大型企业等都纷纷制定相关的规范，成为安全审计发展的重要促进因素。
慧眼提供了一系列独立的IT审计解决方案，有助于完善组织的IT内控与审计体系，从而满足各种合规性要求，并且使组织能够顺利通过IT审计。
6.5促进落实规章制度监督管理机制
企业不但要制定相应的规章制度，而且还要制定相应的管理监督机制，一方面不形成规章制度或者未成文的规则是很难实施的，同时如果员工违反了安全管理制度，若没有合理的监督审计机制也很难达到落实的效果。
慧眼数据库审计系统能够提供各类责任到人的访问记录，保证操作的可追溯性。
7产品典型应用环境
7.1单级部署应用
使用数据库审计引擎，根据用户需求采用分流或镜像接入网络。
通过IE浏览器对系统进行管理。
如下所示：
7.2多路负载均衡部署应用
使用数据库审计引擎，根据用户需求采用分流或镜像接入网络，采用网络分流器，将大流量根据设定的分流策略分流多个处理设备进行处理。
通过IE浏览器对系统进行管理。
如下所示:
7.3多个监测审计点应用方法
该方案适用于有多个监测审计点（诸如内部网络有多个出入口，或者骨干网的多个节点）的应用，可以选用一个监测审计中心、多个监测审计点的分布式结构，监测审计中心可以对各监测审计点下发相同或不同的监测审计和报警策略，并接收各监测审计点发回的监测报警和审计结果。
同时，各监测审计点又可以根据各自的审计要求，设定自己的监测审计和报警策略。
7.4多级分布式架构
多级模式可以由上级负责下发全局监测审计和报警策略和接收下级上报的监测报警和审计信息，本级可以同时执行上级的监测审计策略和本级自己设定的监测审计策略。
8典型用户
9产品资质
升级会员 