雲資料庫安全解決方案

一、專案背景

是指大力推進商務、生產、生活等領域的資訊化,促進資訊產業、資訊科技、資訊資源和資訊環境全面發展，建成全球重要的資訊產業研發製造基地、亞洲重要的電子商務中心、全國網路民生民主先行示範區、網路創業創新集聚地，成為面向全世界、服務全國的資訊區域中心。

值得注意的是，在資訊化數字平臺的建設中，人們往往較重視伺服器的可用性和安全性，而忽視了資料安全保護。實際上，資料才是各類應用的中樞所在，災難發生時，伺服器、路由器、儲存裝置等硬體資源容易快速恢復或重新配置，但是若是資料損壞或丟失，資訊系統依然不能正常對外提供服務。同時，隨著大資料時代的來臨，資料成為最有價值的核心資產。大資料平臺系統為各行業、部門的精確化管理與業務最佳化，提供戰略的規劃與決策，同時提供了及時、準確、有力的資料支撐。與此同時，各類涉及商業秘密和敏感資料資訊在處理、共享和使用過程中也面臨被違規越權使用或被用於非法用途等資料資訊洩漏的安全風險。因此，資料資訊已經成為資訊化平臺建設中的核心資產，尤其敏感資料資訊洩露事件的頻繁發生，嚴重的影響著國家和人民的利益。

二、專案分析

1、資料安全政策分析

隨著資訊化平臺的深入建設，雲平臺內部的各種業務和資訊支撐系統不斷增加，網路規模也迅速擴大。資料庫做為資訊科技的核心和基礎，承載著越來越多的關鍵業務系統，漸漸成為資訊保安中最具有重要性的資產，資料庫的安全穩定執行也直接決定著專案能否創造出應有的價值。綜上所述，資料安全也成為開展需要考慮的重大問題。另外，國家、保密委、國家等級保護體系中都對資料庫安全情況做出了明確的要求，其中：

2016年11月7日，《中華人民共和國網路安全法》(以下簡稱“《網路安全法》”)正式透過，2017年6月1日起施行。《網路安全法》共包括七章，七十九條，對網路安全等級保護制度、關鍵資訊基礎設施保護和使用者個人資訊保護制度等從法律層面上進行了規定。網路安全法特別強調了資料的安全問題，明確指出需要對資料的採集、使用、傳輸、儲存等環節進行保護，具體條款如下：

1）第二十一條：國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求【誰主管誰負責】 ，履行下列安全保護義務保障網路免受干擾、破壞或者未經授權的訪問，防止網路資料洩露或者被竊取、篡改；

（1）制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；

（2）採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施；

（3）採取監測、記錄網路執行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月；

（4）採取資料分類、重要資料備份和加密等措施；

（5）法律、行政法規規定的其他義務。

解讀如下：

（1）本條明確網路安全等級保護制度（也就是常說的”等保”）是資訊保安建設的基本要求；

（2）明確資料安全的內容：保護網路資料不被洩露或者被竊取、篡改。

（3）在以前的等保中，資料安全常常是可選項，而且常常是不被選擇的專案。透過本法本條，可以認為資料安全不再是“可選項”，而是必選項。這將極大的改變等保的實施內容。

（4）當前的網路攻擊、網路侵入很多是以竊取資料為目的的，需要採取防止資料竊取的技術措施。對網路安全事件的日誌留存時間不少於六個月。這對資料訪問記錄的日誌留存時間做出了明確要求，要高於6個月。

（5）要對資料根據敏感性進行分級和分類，從而對資料進行細粒度的訪問控制。

（6）明確要求對重要資料進行備份和加密。

2）第四十二條：網路運營者不得洩露、篡改、毀損其收集的個人資訊；未經被收集者同意，不得向他人提供個人資訊。但是，經過處理無法識別特定個人且不能復原的除外。

解讀如下：

（1）本條要求，對他人提供所收集到的個人資訊，必須是“經過處理的無法識別且不能復原的”。在技術上，這即是指要求對敏感資料進行脫敏處理。

（2）本條明確要求網路運營者採取技術措施防止資料的洩露、毀損、丟失。

（3）本條要求發生資料安全事件時，網路運營者應該主動上報並採取補救措施。但是現實情況是很多資料洩露事件和資料篡改事件發生過很久以後，網路運營者才知道。所以在主動發現資料安全事件方面，還需要更多的技術投入。而且在補救方面，如何找到攻擊路徑，也是一大難題。合格的資料庫審計產品能夠在一定程度上主動發現資料安全事件，並能在資料安全事件溯源方面提供幫助。

3）公安部 《資訊系統安全等級保護基本要求》

網路安全要求：

（1）應對網路系統中的網路裝置執行狀況、網路流量、使用者行為等進行日誌記錄

（2）審計記錄應包括：事件的日期和時間、使用者、事件型別、事件是否成功及其他與審計相關的資訊

（3）應能夠根據記錄資料進行分析，並生成審計報表

（4）應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等

主機安全要求：

（1）審計範圍應覆蓋到伺服器和重要客戶端上的每個作業系統使用者和資料庫使用者

（2）審計內容應包括重要使用者行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件

（3）審計記錄應包括事件的日期、時間、型別、主體標識、客體標識和結果等

（4）應能夠根據記錄資料進行分析，並生成審計報表

（5）應保護審計程式，避免受到未預期的中斷

（6）保護審計記錄，避免受到未預期的刪除、修改或覆蓋等

（7）應能夠根據資訊系統的統一安全策略，實現集中審計

資料安全要求：

（1）應採用加密或其他有效措施實現系統管理資料、鑑別資訊和重要業務資料傳輸保密性。

另外一些行業性的法規和標準也陸續被推出和執行，例如：《計算機資訊系統安全保護等級劃分準則》、《資料庫管理系統安全技術要求》、《涉及國家秘密的資訊系統分級保護技術要求》、《涉及國家秘密的資訊系統分級保護管理規範》、《中國人民解放軍計算機資訊系統安全保密規定》、《中國塞班斯法案(SOX)》、《信用卡標準 (PCI)》，以及電力SG168、衛生部防統方、網際網路金融安全基本法、央企商業機密保護條例……

這些法規和標準中，對結構化資料和資料庫的保護提出了明確的要求和相應實踐的標準。

2、風險分析

下圖是一個典型的資訊系統和安全防範情況示意圖，描述了當前資訊保安的情況。從圖中可以看出，從使用者終端瀏覽器或APP使用者到Web/APP伺服器這一段的防護手段是比較多的。但是，在Web/APP伺服器之後，防護手段就相當有限。在這種情況下，資料庫和其中的資料，極易遭受來自於外部和內部的形式多樣的攻擊。外部攻擊者可以繞過前端防護系統或者穿透應用程式直接訪問資料庫。而內部人員的蓄意越權訪問、誤操作、或是介質竊取等，都是資料洩露的通常途徑。雖然被報導的資料洩密事件主要是來自於外部攻擊，但是據多個調查結果顯示，來自於內部的資料洩漏事件佔70%以上。

據Verizon2017年釋出的資料洩露調查分析報告和對發生的資訊保安事件技術分析，排名在前4的攻擊模式（各種失誤、犯罪軟體、內部人員/許可權濫用、物理偷竊/丟失）涵蓋了90%的資料洩密事件，而這4種型別中有3種型別是人為的因素導致的資料洩露。資料洩露也常常發生在內部，大量的運維人員直接接觸敏感資料，傳統以防外為主的網路安全解決方案失去了用武之地。

中安威士在多年的專案實踐過程中，對網路環境下的資料安全管理和資料庫安全問題進行了調研，總結了資料庫及其管理的資料所面臨的主要洩密風險如下圖所示，在一個具體的網路環境示意圖中，我們可以看到：

1)   資料庫相當於一個黑盒子，我們無法視覺化的瞭解資料庫的訪問狀況，無法對風險進行檢視，無法對風險進行報警 ，缺乏詳盡的審計

2)   在業務伺服器區存在用於無法全部清理的系統漏洞、開發人員留的後門及SQL隱碼攻擊漏洞等，那麼客戶區，業務辦公區，運維區都可能利用這種漏洞對資料庫進行攻擊

3)   業務人員和內部人員可以利用內網進行資料匯出也存在很大風險

4)   運維人員的越權訪問，或者許可權過高，例如：DBA新建使用者時，沒有細化許可權，導致本應只有查詢許可權的使用者，進行資料刪除，或者更新操作，或者DBA利用管理許可權進行竊取資料

5)   內部人員也有可能對資料庫做了誤操作的行為，導致生產事故

透過對上圖場景的分析，中安威士根據多年資料安全的專案經驗，總結出資料庫面臨的主要風險:

1)   越權許可權的濫用：資料庫許可權設定違反了“許可權最小原則”在很多資訊系統中比較普遍。如果這些超出的許可權被濫用，則極易發生敏感資料洩漏事件；

2)   合法許可權濫用：系統中總是有一部分使用者合法的擁有較大甚至是超級管理許可權。如果這些許可權被濫用，則極易發生嚴重後果；

3)   許可權盜用：由於商用資料庫的使用者認證方式主要為單一的口令方式，許可權盜用容易發生，進而極易導致嚴重的資料洩漏事件；

4)   資料庫平臺漏洞：資料庫管理系統是個複雜的軟體系統，從資料庫廠家釋出的補丁情況來看，資料庫系統無一例外的具有嚴重的安全漏洞。如緩衝區注入漏洞或者認證、許可權管理漏洞。這些漏洞極易被攻擊者利用以竊取資料；

5)   SQL隱碼攻擊、緩衝區溢位風險：資料庫本身不具備SQL隱碼攻擊檢測能力。透過Web/APP插入惡意語句，或者利用連線工具發動緩衝區溢位攻擊，攻擊者便有機會獲得整個資料庫的訪問許可權；

6)   弱鑑權機制：商業資料庫系統提供的基本的管理機制，主要是自主訪問控制（DAC）和基於角色的訪問控制（RBAC）。並沒有採用強制訪問控制的方式（MAC），基於使用者和資料的敏感級別來進行許可權的鑑別。這容易使得低密級使用者訪問到高密級的資料；

7)   缺乏詳盡審計：審計是每個資料庫管理系統標配的安全特性，用於記錄對資料的訪問情況，從而形成對非法訪問的威懾。而資料庫自身的審計功能在視覺化、智慧化、入侵檢測能力等方面能力較弱，通常無法滿足實際的安全需求。

3、需求分析

在資訊資產上存在大量的政務資料及公民資訊，有大量包括姓名、身份證號、地址、銀行卡號、合同號等個人隱私資訊。而這些資料，在政務的很多工作場景中都會使用，例如業務分析、開發測試、審計監管，甚至是一些外包業務等，使用的都是真實的業務資料和資訊。一旦資訊洩露，無論對公司還是管理人員都會造成嚴重影響。敏感資訊保護是緊迫性高、影響程度大的風險管理工作，直接影響到建設聲譽和業務開展。

透過對資料庫存在的風險分析，和相關的法規標準要求，中安威士將資料庫安全的真實需求概括為三點：

1）資料安全風險視覺化

瞭解資料資產的分佈。需要自動發現資料庫伺服器、敏感資料的分佈情況，為後續安全加固明確目標；

實時掌握資料庫系統的可用性。要求能對資料庫執行狀態進行實時監控，在狀態異常時進行預警，提前防止業務癱瘓，保障業務系統的連續可用性；

實時掌握資料庫存在的風險狀況。要求能透過掃描的方式，靜態的評估企業資料庫系統的風險，掃描內容包括：弱口令檢測、系統漏洞、配置風險等；

需要進行資料活動監控。實時監控資料活動情況，記錄資料訪問行為，尤其是對敏感資料的訪問行為。要求能實現對資料庫的直接訪問和透過Web和應用對資料庫的間接訪問進行全面監控。

對高危風險進行報警。透過策略配置識別網路中的資料庫操作語句，是否存在風險，對風險級別進行管理並告警處理。

2）資料的可控性

在日常資料庫使用中針對合法許可權濫用、被盜用等造成的資料洩露、資料損毀、資料被篡改等採取技術手段降低風險；

需要進行資料庫攻擊檢測和保護。由於資料庫系統本身可能存在的通訊協議漏洞、資料庫平臺漏洞等造成系統被SQL隱碼攻擊、緩衝區溢位攻擊等來自資料庫日常使用邊界之外的惡意攻擊風造成的資料洩露、損毀風險。

3）資料合規性

資訊系統需要透過各種安全檢查和測評。比如等保、分保測評，或者行業法規標準的檢查。

一、方案概述

針對的資料庫安全安全需求，為加強業務系統敏感資訊的訪問安全審計監控，防止資料庫的高危操作，防止SQL攻擊。中安威士給出基於資料庫審計，資料庫防火牆的綜合資料安全解決方案，實現“可視”、“可控”、“合規”的需求，如下圖，擬對儲存敏感資訊的資料庫進行重點審計，核心資料庫進行防火牆高危阻斷。確保資料庫訪問合法合規，重點實現“資料庫操作事後追溯取證”、“資料庫違規訪問行為實時預警”、“核心資料資產的防洩露，防篡改，防攻擊”。

 

1、該方案概括來講，就是把資料關進籠子，讓資料的訪問在陽光下進行，為兩個遞進層次：

 

1）把資料關進籠子

透過 數 據庫防火牆 產品，基於自動學習和規則配置，生成細粒度的訪問控制規則，阻斷異常的查詢和訪問，防止敏感資料洩漏。阻斷異常的和違規的資料修改和刪除操作，防止敏感資料被非法篡改。

2）讓資料的訪問在陽光下進行

透過資料庫審計產品，對資料的分佈、效能、訪問和活動情況進行全方位的監控和記錄，做到哪個使用者、在什麼時間、訪問了哪些資料庫中的什麼語句，便於事後審計和追查。及時發現資料的異常活動情況和風險，產生報警。輸出視覺化的報表，便於分析。

二、建設原則

為實現的建設目標，中安威士在資源整合及未來擴充套件方面進行全面考慮，並遵循以下幾項原則進行專案建設建議及產品選型：

1、技術先進性

在設計過程中，應採用國際先進的技術、成熟的產品和設計規範，保證系統的穩定、高效執行，選用符合國際標準的技術和產品，保證系統的一致性，並保證在以後的發展過程中能適應資訊科技的發展趨勢，採用的技術和產品能夠提供清晰地發展路線，很好的保證專案建設總體投資回報率。

2、實用性與成熟性

根據系統實際應用需求進行方案的設計，採用高效能的技術成熟的標準，選用價效比高的裝置，建設好的資料庫審計、資料庫防護牆系統，應該既能夠滿足業務系統的資料庫審計防護需求，又能適應將來應用需求的擴充套件，使系統能夠方便地升級，充分地保護原有的架構。

3、開放性與標準化

我公司主要關注使用者的投資保護以及良好的升級路徑，採用標準化和開放的標準能夠使在選擇硬體、軟體和服務產品是具有靈活選擇能力，以便獲得更高價效比的產品和服務。

4、結構的合理性

採用合理高效的系統結構，設計的資料庫審計、防火牆系統結構應能合理安排冗餘和負載，能夠避免投資浪費，保證總擁有成本。

5、高可靠性

資料庫審計 、防火牆系統設計特別是關鍵節點的設計中，選用高可靠性產品，並有合理的冗餘和可靠的系統備份升級改造設計策略，保證系統具有故障自愈的能力，確保系統可靠執行，也是保障系統正常執行的關鍵。

6、高效能

構建高質量的資料庫審計服務平臺，為關鍵業務提供高可靠的資料庫審計平臺，業務的特點（高峰和低谷）期間滿足核心系統及資料庫應用系統的資料庫審計訪問的需要，並保證有較快的響應速度。

7、安全性

設計的資料庫審計、防火牆系統具有足夠的安全性，能夠防止來自系統內部的惡意破壞及來自系統外部的惡意攻擊；能有效地防止因人為誤操作帶來的影響，提供有效的容災、容錯等風險保障機制，對人為誤操作等不可預知的問題應有良好的預防和恢復措施。

8、可擴充套件性

採用的裝置、技術和其它產品必須標準化，系統結構及裝置應易於擴充套件，技術和產品發展具有良好的可持續性、可擴充性，方案設計能夠保證方便平滑地對原有系統進行升級和更新，最大限度地保證業務的連續性、可擴充套件性、資料的高安全性。

三、整合方式

針對現有網路結構，我們透過實際調研，選擇最佳部署方式，部署方式原則本著“最大限度不改變拓撲結構”、“最大限度減少對業務影響”、“最大限度減少效能影響”的原則。為客戶提供最適宜的方式實現資料安全的防護工作。

1、資料庫審計

1）分別在網際網路雲資源區、雲資源區，以及運維管理區部署高效能的資料庫審計系統，對所有資料庫部署資料庫審計，有效監控資料庫訪問行為，準確掌握資料庫系統的安全狀態，及時發現違反資料庫安全策略的事件，實時記錄，並且實現安全事件的定位分析，事後追查取證。

2）在兩臺相同功能的交換機做冗餘部署的情況下，部署一臺高效能的審計系統，將兩臺交換機的資料庫流量埠都做映象，統一傳送到審計裝置，審計裝置針對兩個流量口部署相應的資料庫引擎，進行資料審計。

2、資料庫防火牆

1）針對資料庫的防護，需結合交換機策略路由的方式部署資料庫防火牆，分別在網際網路資源區以及政務外網區域部署資料庫防火牆系統，下面以政務外網資源區為例，對兩臺交換機分別做策略路由，將訪問資料庫的資源傳送到資料庫防火牆，防火牆系統接收到資料後，進行策略的匹配，對高危操作進行阻斷，對無危險的行為透過防火牆的路由功能或者交換機進行回注，回注到帶路由的交換機，然後透過路由策略，傳送到資料庫進行業務互動。

2）資料庫防火牆以純透明方式部署，可透過軟體bypass和硬體bypass來保障鏈路的高可用性不影響原吞吐量。

 

四、功能部署建議

1、對所有資料庫進行審計，對敏感資料庫部署防火牆

專案的資料庫主要部署在政務外網雲資源區，和網際網路雲資源區，根據資料安全原則，就需要對這裡的所有資料庫進行訪問行為的審計，做到訪問留痕與事後追查，而在整個系統中，需要梳理出認為比較重要的資料庫，這裡存在的資料被認為是敏感資料，那麼就需要透過部署資料庫防火牆，實現敏感資料的保護。

2、資料庫的效能監控

透過資料庫審計的效能監控功能，實時監控資料的執行狀態，設定執行的閾值限制，當超出閾值範圍內，我們就認為資料庫的健康狀態有一定的危險，該功能可以對超出閾值的行為進行報警，起到提前預防當機的可能。

具體監控內容如下：

1）支援監控裝置自身的CPU、記憶體、硬碟、網路等狀態，保證系統的穩定執行

2）支援對資料庫系統進行全面的狀態監控，實時監測資料庫系統的執行引數，包括監視器資訊、連線時間、使用者活動、表空間狀態、SGA狀態、資料檔案效能、回滾段、緩衝區、鎖統計、cache資訊、執行緒資訊等引數，保證資料庫系統執行穩定

3）資料庫狀態監控所有指標，支援報警

 

3、資料庫的風險評估

透過審計產品的輔助功能，資料庫風險掃描，可以對指定的資料庫進行掃描，透過掃描給出風險報告，協助資料庫管理員，更好的最佳化資料庫的漏洞。風險掃描的具體設定如下：

1）透過弱口令檢測，保證口令的強壯度

2）透過對資料庫系統使用者許可權分配的風險掃描，發現許可權分配是否合理

3）對資料庫、作業系統的安全配置進行檢測，檢測範圍包括：系統類、授權類、認證類，此專案可根據實際情況進行自定義

4）掃描完成生成掃描報告，對掃描結果進行分析，報告，報告中提供修復建議， 掃描結果例如下圖所示：

 

4、資料庫審計策略支撐
      綜合運用資料庫審計的基本審計規則，預設高風險審計規則，SQL隱碼攻擊規則，白名單規則，訪問行為基線規則，透過了解業務系統的特性，進行針對化的策略配置，在策略執行的同時，定期進行修正，使策略達到最佳狀態。

 

自定義規則可從如下角度進行配置：

 

透過資料庫審計提供靈活的審計策略配置，以保證安全審計員可定義精準的分級審計策略。審計策略可定義條件包括但不限於：策略生效時間週期、源目的IP、目的埠、被審計服務、客戶端程式、操作規則集、響應方式、響應時間、影響行數等。

可從安全風險等角度分類提供預設操作規則集合，安全審計員也可自定義操作規則集。操作規則定義範圍需包括：資料庫、表、操作型別（命令）、SQL等，需要支援等於、包含等非正規表示式方式。

對上述資料庫協議解析還原準確、完整不丟失，不產生亂碼截斷等問題。解析細粒度必須涵蓋源目IP、目的埠、使用者名稱、客戶端工具名、主機名、作業系統使用者名稱、SQL語句、操作型別、表物件、錯誤程式碼、執行時長、返回結果集、返回行數、繫結變數等，對協議裡的部分特性要保證無損還原，確

日誌的完整可信；支援對返回結果集全部記錄及行解析、列值解析，支援返回結果集檢索。

對審計儲存過程的建立、執行等命令，同時還能夠自動學習到儲存過程的具體內容，防止有人使用儲存過程執行一些敏感操作躲避審計系統監控；生成符合審計要求的結構化和半結構化日誌記錄。

中安威士根據豐富的專案經驗，總結了一套預設的風險行為處理規則，這套規則可以讓客戶實現快速的部署並應用。如下圖所示：

 

5、資料庫防護牆高危阻斷支撐

透過資料庫審計一定時間的審計結果，總結出資料庫面臨的風險行為。

 

根據風險行為，在資料庫防火牆中根據對應的策略設定，將風險行為進行阻斷。

資料庫防火牆的策略配置方式，與審計的配置方式基本一致。

6、加強資料庫違規操作實時預警

主要是針對內外部人員及業務系統對資料庫系統訪問存在的違規行為透過預設規則實時預警，實時透過郵件、簡訊、syslog方式及時通知安全審計員，確保第一時間瞭解資料庫違規行為狀態。

1）內建漏洞識別攻擊策略：內建常見的資料庫漏洞攻擊策略，包含SQL隱碼攻擊、緩衝區溢位等規則，可發現駭客攻擊行為併產生告警。

2）自定義規則：支援自定義安全審計規則，並支援黑白名單系統，保證黑白名單能從整體上做為自定義規則的一個補充和完善。

3）自定義規則條件：支援客戶端工具、主機名、作業系統使用者名稱、表物件、操作型別、SQL報文、執行時長、返回行數等規則。

4）支援審計過濾功能：對可信資料庫伺服器之間的資料抽取訪問行為不進行審計。

5）實時預警通知：透過郵件、簡訊、syslog、ftp等方式實時外送告警日誌，並對告警外送日誌頻率有一定的控制，避免因為惡意的攻擊行為覆蓋已有的審計日誌資訊。

7、建設資料庫審計事後追查能力

資料庫審計系統對所有應用和維護人員的資料庫操作及結果記錄日誌，日誌保留週期6個月，確保6個月內的日誌可以快速取證追溯，審計取證效能不低於1億資料檢索時間不超過1分鐘，提供給安全審計員進行合規分析。

1）流量解析還原處理及日誌記錄保障。

（1）透過資料庫審計採集器對映象流量按照不同的資料庫協議解析引擎進行還原，確保還原成標準的審計記錄事件，不丟失任何審計日誌記錄

（2）對日誌中源IP、使用者名稱、客戶端工具名、主機名、作業系統使用者名稱、SQL語句、操作型別、表物件、錯誤程式碼、執行時長、返回結果集、返回行數的解析，對協議裡的部分特性要保證無損還原，確保日誌的完整可信；

（3）對返回結果集全部記錄及行解析，對返回結果集檢索。

2）審計物件自動識別：自動從映象流量識別目標資料庫IP、埠、版本等資訊，確保所有資料庫訪問自動發現並記錄日誌。

3）分散式部署、集中式管理：管理中心能對所有裝置進行統一的配置管理、策略下發、資料查詢、報表生成等。

4）針對間接訪問資料庫場景的審計支撐：實現以下間接訪問資料庫場景審計，直接追蹤到真實的源IP和客戶端賬號。

（1）客戶端透過應用伺服器對資料庫伺服器的訪問行為審計，需要透過應用配合改造記錄源IP和客戶端賬號。

（2）客戶端透過堡壘機對資料庫伺服器間接訪問行為審計，需要關聯堡壘機日誌。

（3）客戶端透過堡壘機再透過跳板機對資料庫間接訪問進行審計，需要關聯堡壘機日誌。

5）日誌關聯分析：對審計日誌實時關聯處理，確保每條審計日誌關聯到對應的責任人姓名、部門，確保準確可查；

6）日誌儲存：審計日誌保留週期不低於三個月，確保日誌不可篡改不可刪除，系統支援自動清理策略，確保系統的正常執行；

7）資料統計報表：建立多維度統計報表，以多個審計維度，自動匯出word、pdf、excel、HTML等格式的報表。

8、審計日誌外送

審計日誌以多種方式全量定時自動傳送、支援C/S客戶端工具或WEB端查詢結果按需匯出，匯出excel、文字等格式的日誌檔案，匯出日誌包含審計的所有維度要素，同時可自定義資料外送維度，按需送出所需的審計資料。

9、資料統計報表

綜合性報表理念，以日報、月報、週報、自定義報表等形式，基於系統效能、高危風險、會話語句等多個維度進行系統性分析，建立多維度的審計資料分析報表，內建資料分析模板，可以從不同維度展示資料庫的執行訪問狀態，匯出word、pdf、excel等格式報表。

報表自定義條件支援全審計維度，同時支援自動報表匯出自動郵件傳送功能，支援按照日、周、月自動發出。

報表結果如下圖所示：

支援預設報表40個，支援自定義報表，支援SOX防統方報表等等。

 

五、 功能部署結果

1、透過資料庫審計+防火牆的結合部署，能很好的實現可視、可控、合規的需求，能很好解決下圖所面臨的風險，迴歸到風險圖中可以看到我們的具體解決思路是：

 

1) 資料庫相當於一個黑盒子，我們無法視覺化的瞭解資料庫的訪問狀況，無法對風險進行檢視，無法對風險進行報警 ，缺乏詳盡的審計

解決方法：透過部署資料庫審計系統，詳細記錄資料庫的訪問行為，形成視覺化的介面日誌供檢視，同時對資料庫進行效能監控和風險掃描，防止資料庫的當機，並且欲知資料庫風險，高風險行為進行告警處理，並且形成視覺化的報表供檢視。

2) 在業務伺服器區存在用於無法全部清理的系統漏洞、開發人員留的後門及SQL隱碼攻擊漏洞等，那麼客戶區，業務辦公區，運維區都可能利用這種漏洞對資料庫進行攻擊

解決方法：透過部署資料庫防火牆系統，進行SQL隱碼攻擊、漏洞攻擊的防護。

具體防護措施為：

（1）啟用資料庫的SQL隱碼攻擊規則，該規則內建大量注入模板，對匹配到的資料注入攻擊進行阻斷操作。

（2）漏洞、後門等行為，體現到資料庫中，是一些違反常規的操作語句，可以透過手動配置規則+自動學習策略進行規則匹配

3) 業務人員和內部人員可以利用內網進行資料匯出也存在很大風險

解決方法：透過資料庫審計系統，運維審計功能，內部人員對資料庫的exp，imp等行為進行審計。透過部署資料庫防火牆系統，根據手動配置規則，對exp，imp 等操作行為進行阻斷，實現防範業務人員和內部人員進行資料匯出。

4) 運維人員的越權訪問，或者許可權過高，例如：DBA新建使用者時，沒有細化許可權，導致本應只有查詢許可權的使用者，進行資料刪除，或者更新操作，或者DBA利用管理許可權進行竊取資料

解決方法：透過資料庫防火牆系統，根據手動策略設定實現使用者+操作的策略，在DBA許可權的基礎上，進行二次認證，防止因為DBA許可權分配不細等出現的許可權過高，許可權濫用。

5) 內部人員也有可能對資料庫做了誤操作的行為，導致生產事故

解決方法：透過資料庫防火牆系統，根據手動策略設定實現預設高風險阻斷的策略，例如：禁止DROP, TRUNCATE, ALTER等操作，防範惡意刪除，或者誤操作。 

六、功能優勢

1、保護核心資料資產，防止內部越權訪問

2、防止內部人員洩密、違規備份、許可權濫用、誤操作等；

3、防止運維人員和第三方人員違規訪問敏感資料。

4、保護核心資料資產，防止外部攻擊

5、防止外部駭客攻擊，竊取資料；

6、防止SQL隱碼攻擊、緩衝區溢位以及許可權盜用等。

7、對合法應用和使用者透明

8、智慧學習，自動生成安全基線，無需手工配置複雜的規則；

9、高穩定性與高效能，支援雙機熱備，保證業務連續不中斷；

10、不需要對當前網路環境、應用配置做稽核更改；

11、對授權使用者的訪問與管理過程無影響。

一、方案價值

1、透過上述解決方案，有效解決了政務雲的資料安全所面臨的威脅：

1）使資料活動可視。實時顯示政務雲的敏感資料的分佈情況、訪問情況、風險狀況，及時發現資料的異常活動狀況和風險，實現資料庫安全最基本的要求。

2） 使資料安全可控。即透過控制對政務雲的資料的活動和訪問，防止資料庫中的敏感資訊部分或全部被偷窺、拖庫或者映象，防止資料庫中的敏感資訊被非法修改或者刪除。

3.）滿足合規要求，快速透過評測。產品實現獨立的審計和訪問控制，直接輸出合規的報表，滿足政務雲的多個法規和標準的要求。能夠幫助政務雲的快速透過各種安全保密檢查和評測，比如等保評測。

 

2、具體來說，中安威士資料庫安全加固系統帶給客戶如下價值：

1）簡化業務治理，提高資料安全管理能力

由於資料庫系統是一個複雜的軟體“黑盒子”，其視覺化程度很低。資料庫管理員很難說清在任意時刻資料被訪問的情況。這對業務治理帶來了很大的困難。尤其在雲環境中，這種不視覺化程度更加嚴重。資料安全解決方案透過多種手段全面監控資料的訪問情況，並提供豐富的預設統計報表，以圖形化的方式將資料的訪問情況和風險情況視覺化，極大的簡化了業務治理，提高了資料安全管理能力。

2）減少核心資料資產被侵犯，保障業務連續性

資料是最有價值的資產，也是攻擊者想偷窺、篡改、甚至刪除的終極目標。核心資料被侵犯，輕則導致業務中斷，重則導致資訊洩密和篡改，嚴重威脅國家資訊保安。應用系統中管理權和所有權的分離也大大提升了資料被侵犯的風險。資料安全解決方案緊密貼合資料，實現資料安全的可視性和可控性，並最終減少核心資料資產被侵犯的可能性，保障正常的業務連續性。

3）完善縱深防禦體系，提升整體安全防護能力

建立縱深的防禦體系已是資訊保安建設的共識。資料庫到應用系統這一段，是資訊保安的最後一公里，也是最後一道防線，涉及的是最直接的敏感資料安全管理，直接關係到敏感資料的安全。同時，在資料/業務層加強安全防護，也逐步成為資訊保安的新方向。公司系統緊貼核心資料，針對資訊保安的最後一公里以及資料/業務層提供豐富的防護手段，有利於政務雲完善縱深防禦體系，提升整體安全防護能力。透過資料庫審計+防火牆的結合可以對完美的解決資料庫所面臨的主要風險。

（1）越權許可權的濫用：資料庫許可權設定違反了“許可權最小原則”在很多資訊系統中比較普遍。如果這些超出的許可權被濫用，則極易發生敏感資料洩漏事件；

（2）合法許可權濫用：系統中總是有一部分使用者合法的擁有較大甚至是超級管理許可權。如果這些許可權被濫用，則極易發生嚴重後果；

（3）許可權盜用：由於商用資料庫的使用者認證方式主要為單一的口令方式，許可權盜用容易發生，進而極易導致嚴重的資料洩漏事件；

（4）資料庫平臺漏洞：資料庫管理系統是個複雜的軟體系統，從資料庫廠家釋出的補丁情況來看，資料庫系統無一例外的具有嚴重的安全漏洞。如緩衝區注入漏洞或者認證、許可權管理漏洞。這些漏洞極易被攻擊者利用以竊取資料；

（5）SQL隱碼攻擊、緩衝區溢位風險：資料庫本身不具備SQL隱碼攻擊檢測能力。透過Web/APP插入惡意語句，或者利用連線工具發動緩衝區溢位攻擊，攻擊者便有機會獲得整個資料庫的訪問許可權；

（6）弱鑑權機制：商業資料庫系統提供的基本的管理機制，主要是自主訪問控制（DAC）和基於角色的訪問控制（RBAC）。並沒有採用強制訪問控制的方式（MAC），基於使用者和資料的敏感級別來進行許可權的鑑別。這容易使得低密級使用者訪問到高密級的資料；

（7）缺乏詳盡審計：審計是每個資料庫管理系統標配的安全特性，用於記錄對資料的訪問情況，從而形成對非法訪問的威懾。而資料庫自身的審計功能在視覺化、智慧化、入侵檢測能力等方面能力較弱，通常無法滿足實際的安全需求。

4）滿足合規要求，快速透過評測

實現獨立的審計和訪問控制，直接輸出合規的報表，滿足多個行業多個法規和標準的要求，能夠幫助企業快速透過各種安全保密檢查和評測。

綜上所述，中安威士資料保護產品，對政務雲資料提供了全方位，全天候的保護，為政務雲帶來嶄新的資料保護體驗。