真正具有使用價值的數(shù)據(jù)庫審計
讓您的數(shù)據(jù)資產(chǎn)看得見,說得清,管得住。
安華金和數(shù)據(jù)庫審計系統(tǒng)
數(shù)據(jù)庫訪問行為全記錄,性能狀態(tài)實時監(jiān)控，滿足等保合規(guī)
數(shù)據(jù)庫審計簡介
安華金和數(shù)據(jù)庫審計系統(tǒng)（簡稱：DAS），是安華金和科技有限公司經(jīng)過多年市場打磨，結(jié)合網(wǎng)安法要求自主研發(fā)的第二代數(shù)據(jù)庫安全審計類產(chǎn)品。
作為區(qū)別于傳統(tǒng)的網(wǎng)絡(luò)審計產(chǎn)品，安華金和數(shù)據(jù)庫審計采用更深層次的數(shù)據(jù)庫通訊協(xié)議解析技術(shù)，并具備 SQL 完全分析能力，保障數(shù)據(jù)庫審計內(nèi)容更全面、分析視角更多樣。產(chǎn)品面向數(shù)據(jù)庫運維人員和安全管理人員，針對數(shù)據(jù)庫風(fēng)險狀況、運行狀況、性能狀況和語句分布狀況提供實時監(jiān)控能力，是一款面向數(shù)據(jù)庫可提供安全、審計、監(jiān)控能力的一體化工具。
數(shù)據(jù)庫審計率先倡導(dǎo)【免實施、免維護、免培訓(xùn)】的產(chǎn)品易用性設(shè)計原則。在滿足合規(guī)性審計的同時，給用戶帶來愉悅的產(chǎn)品交互體驗。產(chǎn)品適用于實體機環(huán)境和虛擬化網(wǎng)絡(luò)，可基于流量識別自動發(fā)現(xiàn)并添加數(shù)據(jù)，并提供可視化的運行狀態(tài)監(jiān)控，針對網(wǎng)絡(luò)內(nèi)未知的數(shù)據(jù)庫信息進行有效梳理，以解決現(xiàn)場網(wǎng)絡(luò)環(huán)境復(fù)雜、數(shù)據(jù)庫資產(chǎn)不清晰等問題。產(chǎn)品設(shè)計基于“用戶視角”，秉承“一鉆到底”的界面交互原則。引導(dǎo)用戶從全局視角，向數(shù)據(jù)庫組、數(shù)據(jù)庫做“遞進式”分析；并提供 20多種查詢條件、層層篩選，幫助用戶快速聚焦風(fēng)險源，高效完成審計日志分析和風(fēng)險定位。
數(shù)據(jù)庫審計系統(tǒng)提供默認(rèn)風(fēng)險規(guī)則，例如：SQL 語句黑白名單規(guī)則、客戶端訪問規(guī)則、賬戶口令攻擊監(jiān)控、DML/DCL 操作類規(guī)則、批量數(shù)據(jù)導(dǎo)入/導(dǎo)出規(guī)則，可適用于運維的數(shù)據(jù)庫安全管控。
數(shù)據(jù)庫審計產(chǎn)品支持但不應(yīng)局限于數(shù)據(jù)庫運維側(cè)的安全監(jiān)控。面向外部應(yīng)用訪問，系統(tǒng)提供漏洞攻擊檢測、SQL 注入檢測能力，默認(rèn)提供 400 多種默認(rèn)規(guī)則；針對應(yīng)用系統(tǒng)訪問，可提供應(yīng)用關(guān)聯(lián)審計和應(yīng)用關(guān)聯(lián)規(guī)則，追溯應(yīng)用賬戶安全，實現(xiàn)應(yīng)用側(cè)數(shù)據(jù)庫安全加固。
信息系統(tǒng)的核心數(shù)據(jù)存在數(shù)據(jù)庫中的，數(shù)據(jù)庫是用戶核心數(shù)據(jù)資產(chǎn)載體。系統(tǒng)可審計的數(shù)據(jù)庫類型涵蓋國內(nèi)外 12 種主流數(shù)據(jù)庫。為適應(yīng)大數(shù)據(jù)分析的市場需求，針對Hbase、MongoDB 等分布式、非關(guān)系型數(shù)據(jù)庫，提供完善的審計與監(jiān)控能力。
主流數(shù)據(jù)庫支持Oracle、Microsoft SQL Server、MYSQL、MariaDB、Percona、OceanBase、IBM Db2、Informix、Sybase IQ、Sybase ASE；
專用數(shù)據(jù)庫支持Teradata、PostgreSQL、Greenplum、CacheDB、MongoDB、SAP HANA；
國產(chǎn)數(shù)據(jù)庫支持達夢DM、人大金倉Kingbase、南大通用Gbase、神通Oscar、華為GaussDB；
大數(shù)據(jù)組件支持Elasticsearch、Redis、Hbase、Hive、Impala、Spark SQL；
數(shù)據(jù)庫審計系統(tǒng)功能
【功能一：數(shù)據(jù)庫發(fā)現(xiàn)與管理】
系統(tǒng)可基于流量識別技術(shù)，自動發(fā)現(xiàn)、添加數(shù)據(jù)庫并快速進行審計。自動識別的數(shù)據(jù)庫信息包括：服務(wù)器 IP 地址、數(shù)據(jù)庫類型、數(shù)據(jù)庫版本、字符集等內(nèi)容。系統(tǒng)針對網(wǎng)絡(luò)內(nèi)未知的數(shù)據(jù)庫信息進行有效梳理，可以解決現(xiàn)場網(wǎng)絡(luò)環(huán)境復(fù)雜、數(shù)據(jù)庫資產(chǎn)不清晰等問題。
【功能二：探針式數(shù)據(jù)采集】
系統(tǒng)的部署方式多樣，除了常規(guī)的旁路審計部署之外，還可以基于“探針”方式捕獲數(shù)據(jù)庫流量，可適用于復(fù)雜的虛擬化網(wǎng)絡(luò)環(huán)境。產(chǎn)品在應(yīng)用端或數(shù)據(jù)庫服務(wù)器部署Rmagent 組件（產(chǎn)品提供），通過虛擬環(huán)境分配的審計管理網(wǎng)口進行數(shù)據(jù)傳輸，完成數(shù)據(jù)庫流量采集。系統(tǒng)支持多探針部署，并提供批量安裝和統(tǒng)一管理功能。Rmagent 具備良好的兼容性，可適用于 CentOS、RedHat、Solaris、AIX 等主流操作系統(tǒng)。
【功能三：加密協(xié)議解析】
系統(tǒng)審計基于數(shù)據(jù)庫通訊協(xié)議解析，例如 TNS、Telnet 等多種協(xié)議類型。市場上MySQL5.7、SQL Server 等數(shù)據(jù)庫有時會采用加密協(xié)議通訊，為審計解析帶來了困難。針對 SQL Server 默認(rèn)的數(shù)據(jù)庫用戶加密，系統(tǒng)無須插件可以通過“授權(quán)賬戶”方式獲取數(shù)據(jù)庫賬戶信息；針對更深層次的加密協(xié)議，系統(tǒng)可以通過“導(dǎo)入加密證書”的方式進行通訊協(xié)議解密。
【功能四：應(yīng)用關(guān)聯(lián)審計與監(jiān)控】
常規(guī)的數(shù)據(jù)庫通訊協(xié)議解析只能解析到客戶端一層的信息，包括：客戶端 IP、數(shù)據(jù)庫用戶、主機名、操作系統(tǒng)用戶名等。利用上述信息可以實現(xiàn)運維側(cè)的風(fēng)險追溯，但是無法對應(yīng)用側(cè)風(fēng)險行為進行追溯,因為在客戶端之前還有應(yīng)用系統(tǒng)信息，甚至業(yè)務(wù)中間件信息。
【功能五：數(shù)據(jù)庫入侵行為監(jiān)測】
系統(tǒng)提供針對數(shù)據(jù)庫漏洞攻擊的“檢測”功能：當(dāng)外部系統(tǒng)利用數(shù)據(jù)庫漏洞進行數(shù)據(jù)庫攻擊時，系統(tǒng)可以實時捕獲到對應(yīng)的 SQL 語句及相關(guān)會話信息并發(fā)送告警，幫助用戶實時監(jiān)控數(shù)據(jù)庫漏洞風(fēng)險并有效追溯風(fēng)險來源。
除了數(shù)據(jù)庫漏洞攻擊行為，系統(tǒng)還可以針對 SQL 注入和 XSS 攻擊行為進行審計和規(guī)則命中。基于精準(zhǔn)的 SQL 語法分析，系統(tǒng)可以準(zhǔn)確定位 SQL 語句中的操作謂詞及常量表達式，保障注入、攻擊行為監(jiān)測的準(zhǔn)確性。系統(tǒng)提供缺省的 SQL 注入特征庫，并支持用戶自定義規(guī)則。
【功能六：數(shù)據(jù)庫異常行為監(jiān)測】
數(shù)據(jù)庫審計產(chǎn)品的主體價值是幫助用戶高效的完成風(fēng)險行為的定責(zé)追溯。系統(tǒng)可針對數(shù)據(jù)庫通訊協(xié)議進行完全解析；可學(xué)習(xí)、歸類 SQL 語句模板，并結(jié)合會話信息、應(yīng)用關(guān)聯(lián)信息，實現(xiàn)數(shù)據(jù)庫行為建模?；诮ＵZ句波動情況，進行有效的分析和深入的挖掘。當(dāng)
數(shù)據(jù)庫訪問行為異常時，系統(tǒng)可提供實時的告警能力，降低數(shù)據(jù)泄露的損失。
【功能七：數(shù)據(jù)庫違規(guī)行為監(jiān)測】
系統(tǒng)提供豐富的規(guī)則類型，可以針對不同的數(shù)據(jù)庫訪問來源，提供對敏感表的訪問權(quán)限、操作權(quán)限和影響行數(shù)的有效監(jiān)控，并結(jié)合對 NO WHERE 語句風(fēng)險的判斷，避免大規(guī)模數(shù)據(jù)泄露和篡改。
系統(tǒng)利用審計到的數(shù)據(jù)庫賬號和客戶端 IP 信息,針對指定周期內(nèi)，同一 IP 或賬號的頻次性失敗登錄行為進行監(jiān)控并形成告警，并將關(guān)聯(lián)審計到的應(yīng)用 IP 和應(yīng)用賬號，納入數(shù)據(jù)庫訪問規(guī)則。
【功能八：多維度關(guān)聯(lián)分析】
系統(tǒng)在縱向維度，提供數(shù)據(jù)庫全局查詢、分組查詢和獨立查詢?nèi)N分析視角，用戶可以根據(jù)業(yè)務(wù)需求進行綜合分析。用戶可以從訪問源入手對多個數(shù)據(jù)庫進行全局查詢，快速定位風(fēng)險訪問來源；也可以針對某一數(shù)據(jù)庫進行深度鉆取分析，有效評定數(shù)據(jù)庫風(fēng)險。
系統(tǒng)在橫向維度，提供三種分析維度，包括風(fēng)險分析、語句分析、會話分析。
【功能九：豐富的報表展現(xiàn)】
系統(tǒng)將報表劃分為以下幾類，幫助安全管理人員更加便捷、深入的剖析數(shù)據(jù)庫運行風(fēng)險。
綜合報表：日報、周報、月報，基于系統(tǒng)級和單庫級別對審計信息做全量綜合分析；
合規(guī)性報表：根據(jù)法案構(gòu)成，包括 SOX、PCI、等保分析報表
專項報表：根據(jù)風(fēng)險、性能、客戶端、失敗信息等多個維度分別建立獨立分析報表；
自定義報表：用戶可基于報表模型，自定義生成符合自身業(yè)務(wù)關(guān)注點的報表;系統(tǒng)為提高報表的展現(xiàn)效率，提供報表預(yù)存和定時推送功能。
報表預(yù)存：用戶可以對關(guān)注的報表按照查詢周期生成預(yù)存文件。當(dāng)用戶按周期查詢報表時，系統(tǒng)調(diào)用預(yù)存文件可以快速生成報表。
定時推送：用戶可以對關(guān)注的報表設(shè)置定時推送功能，定時查詢周期內(nèi)報表并生成 Word、PDF、HTML 等文件格式，推送到指定的郵件或服務(wù)器，便于用戶查閱。
【功能十：數(shù)據(jù)庫性能分析】
系統(tǒng)的審計內(nèi)容全面，可以對數(shù)據(jù)庫的 SQL 吞吐量、會話并發(fā)量進行實時監(jiān)控，從而評估數(shù)據(jù)庫運行狀態(tài)和資源使用情況。
【功能十一：數(shù)據(jù)備份與恢復(fù)】
系統(tǒng)將存儲空間進行合理劃分，分別存儲“在線語句量”和“備份語句量”。系統(tǒng)提供在線語句量全文檢索分析能力；并支持對備份語句的自動壓縮、存儲。根據(jù)不同的業(yè)務(wù)場景，可以按“高壓縮比”存儲，有效利用存儲空間，或者按照“高性能”存儲，有效利用系統(tǒng)資源。
【功能十二：對外數(shù)據(jù)傳輸接口】
為便于第三方平臺接收日志進行二次分析，系統(tǒng)提供數(shù)據(jù)對外傳輸能力，并提供標(biāo)準(zhǔn)化接口。
【功能十三：集群管理】
系統(tǒng)提供多設(shè)備分布式部署能力，并支持?jǐn)?shù)據(jù)集中化管理和分析。在網(wǎng)絡(luò)內(nèi)已部署多個審計節(jié)點的前提下，建立獨立的集群管理中心。集群管理中心對各節(jié)點具備遠程登錄和系統(tǒng)管理，各節(jié)點通過上報、審批加入集群管理列表。
數(shù)據(jù)庫審計系統(tǒng)優(yōu)勢
【優(yōu)勢一： 數(shù)據(jù)庫支持的全面】
數(shù)據(jù)庫審計支持國內(nèi)外各大主流數(shù)據(jù)庫，包括：
1) 國際主流：Oracle、SQL Server、DB2、Sybase、Informix、PostgreSQL、CacheDB；
2) 國內(nèi)主流：Gbase（南大通用）、DM（達夢）、Kingbase（人大金倉）、Oscar（神舟）；
為適應(yīng)大數(shù)據(jù)分析的市場需求，針對 Hadoop 大數(shù)據(jù)和非關(guān)系型數(shù)據(jù)庫，提供完善的審計與監(jiān)控能力。沿用關(guān)系型數(shù)據(jù)庫的規(guī)則配置、業(yè)務(wù)分析流程，提高非關(guān)系型數(shù)據(jù)的分析能力。
一、 審計范圍全面
數(shù)據(jù)庫審計的業(yè)務(wù)范疇全面，審計數(shù)據(jù)來源包括：
1) 旁路鏡像審計；
2) 探針式數(shù)據(jù)采集；
3) 虛擬機 VDS 引流；
4) 遠程登錄行為審計；
5) 本地回環(huán)口流量采集；
6) telnet 行為記錄；
7) 加密協(xié)議解析；
二、 審計內(nèi)容全面
數(shù)據(jù)庫審計元素覆蓋數(shù)據(jù)庫整體交互過程，包括：
1) 應(yīng)用層信息：應(yīng)用賬戶、應(yīng)用 IP；
2) 客戶端信息：客戶端 IP、主機名稱、操作系統(tǒng)賬號、客戶端工具/應(yīng)用程序；
3) 數(shù)據(jù)庫信息：數(shù)據(jù)庫 IP 地址、用戶名、數(shù)據(jù)庫類型、版本、字符集；
4) 對象信息：實例、Schema、表、字段、包、存儲過程、函數(shù)、視圖；
5) 響應(yīng)信息：應(yīng)答錯誤碼、影響行數(shù)、返回結(jié)果集等；
6) 其他信息：登錄時間、操作時間、SQL 響應(yīng)時長等
三、 分析角度全面
產(chǎn)品可提供的規(guī)則視角全面，可基于如下幾個維度分析審計日志：
1) 全庫\數(shù)據(jù)庫組\單庫
2) 語句與會話的關(guān)聯(lián)審計
3) 區(qū)分?jǐn)?shù)據(jù)庫實例審計
4) 會話深度分析
5) 數(shù)據(jù)庫性能異常分析（TopSQL 等）
四、 策略配置全面
數(shù)據(jù)庫審計支持全局策略配置，根據(jù)【數(shù)據(jù)庫類型】和【業(yè)務(wù)類型】添加不同的規(guī)則組，可引用不同的數(shù)據(jù)庫開啟監(jiān)控策略，提供全面的數(shù)據(jù)庫攻擊行為監(jiān)控技術(shù)：
1) 漏洞攻擊檢測技術(shù)：針對 CVE 公布的漏洞庫，提供漏洞特征檢測技術(shù)；
2) SQL 注入監(jiān)控技術(shù)：提供 SQL 注入特征庫；
3) 口令攻擊監(jiān)控：針對指定周期內(nèi)風(fēng)險客戶端 IP 和用戶的頻次性登錄失敗行為監(jiān)控；
4) 高危訪問監(jiān)控技術(shù)：在指定時間周期內(nèi)，根據(jù)不同的訪問來源，如：客戶單 IP、數(shù)據(jù)庫用戶、MAC 地址、操作系統(tǒng)、主機名，以及應(yīng)用關(guān)聯(lián)的用戶、IP 等元素設(shè)置訪問策略；
5) 高危操作控制技術(shù)：針對不同訪問來源，提供對數(shù)據(jù)庫表、字段、函數(shù)、存儲過程等對象的高危操作行為監(jiān)控，并且根據(jù)關(guān)聯(lián)表個數(shù)、執(zhí)行時長、錯誤代碼、關(guān)鍵字等元素進行限制；
6) 返回行超標(biāo)監(jiān)控技術(shù)：提供對敏感表的返回行數(shù)監(jiān)控；
7) SQL 例外規(guī)則：根據(jù)不同的訪問來源，結(jié)合指定的非法 SQL 語句模板添加例外規(guī)則，以補充風(fēng)險規(guī)則的不足，形成完善的審計策略。
【優(yōu)勢二：快速的入庫檢索】
數(shù)據(jù)庫審計具備高效的日志檢索能力，實現(xiàn)審計記錄的快速查詢。當(dāng)設(shè)備旁路進入網(wǎng)絡(luò)，即可對添加的數(shù)據(jù)庫進行協(xié)議解析，并對解析內(nèi)容快速入庫建立索引文件，從而在審計分析時實現(xiàn)高效的查詢機制，大型審計記錄分析運算入庫時間小于 30s，億級別數(shù)據(jù)規(guī)模單條記錄查詢響應(yīng)時間小于 10s，達到業(yè)界領(lǐng)先水平。索引文件和數(shù)據(jù)表文件如果損壞，系統(tǒng)會啟用自動修復(fù)機制，以確保系統(tǒng)日志查詢時的有效性和準(zhǔn)確性。
【優(yōu)勢三：準(zhǔn)確的識別定位】
傳統(tǒng)數(shù)據(jù)庫審計產(chǎn)品，存在巨大缺陷：
1) 對于復(fù)雜應(yīng)用，無法有效關(guān)聯(lián)參數(shù)和語句，造成大量漏審；
2) 對于復(fù)雜 SQL 語句，無法有效解析，出現(xiàn)訪問對象誤報；
3) 基于三層關(guān)聯(lián)技術(shù)的數(shù)據(jù)庫審計產(chǎn)品，通過時間與參數(shù)實現(xiàn)模糊關(guān)聯(lián)匹配，在并發(fā)量較高的系統(tǒng)下存在 20%以上的失真率，造成業(yè)務(wù)用戶與SQL 語句的錯誤關(guān)聯(lián)；
數(shù)據(jù)庫審計基于精確協(xié)議分析、完全 SQL 解析、參數(shù)化匹配、長語句解析、多語句解析和100%應(yīng)用關(guān)聯(lián)技術(shù)，創(chuàng)造了業(yè)界準(zhǔn)確的數(shù)據(jù)庫審計產(chǎn)品，為可信審計追蹤提供了堅實的基礎(chǔ)。
數(shù)據(jù)庫審計提供數(shù)據(jù)庫行為建模能力和精確的應(yīng)用關(guān)聯(lián)分析功能。數(shù)據(jù)庫行為模型以 SQL語句為原點與應(yīng)用層的請求行為關(guān)聯(lián)，可以追溯到應(yīng)用層的原始訪問者和請求信息（如：操作發(fā)生的 URL、客戶端的 IP 等信息），從而實現(xiàn) URL 行為分析和應(yīng)用系統(tǒng)識別。
【優(yōu)勢四：節(jié)約合規(guī)成本】
數(shù)據(jù)庫審計提供 3 級存儲機制，包括在線存儲庫、歷史壓縮庫和遠程備份庫，使千億級數(shù)據(jù)存儲不再困難。通過在線存儲庫保證高效響應(yīng)，在歷史壓縮庫中提供 10 倍以上壓縮比，通過遠程備份庫完成第三方存儲設(shè)備利用，并通過專項接口與外部高效存儲陣列對接。
產(chǎn)品在硬件層面支持 RAID 0/1/5 硬盤存儲模型，并支持 SSD 固態(tài)硬盤提高 I/O 讀寫速率。系統(tǒng)在保障審計日志高效入庫的同時，在硬件層面實現(xiàn)冗余存儲。高端設(shè)備以可插拔硬盤方式實現(xiàn)存儲空間的動態(tài)擴容，可實現(xiàn) 60T 硬盤存儲。
