《实时数据库监控、审计白皮书》由会员分享，可在线阅读，更多相关《实时数据库监控、审计白皮书（5页珍藏版）》请在金锄头文库上搜索。
1、 白皮书 数据库防水墙 实时数据库监控、审计 以及入侵防御 白皮书 数据库防水墙 实时数据库监控、审计 以及入侵防御 2007 年 5 月 版权所有 Sentrigo Ltd. 2007，保留所有权 挑战：数据库保护 挑战：数据库保护 近几年,许多公司为保护自己的 IT 基础设施所做的大部分努力主要集中在外部，即如何保护公司免遭外部入侵、黑客以及恶意攻击。目前，公司网络已经在安全上获得了一定的改善，获得了更深层次的保护。但是，数据层仍是公司 IT 基础设施的软肋。 数据库中包含很多敏感且宝贵的数据：例如有关客户、事务、财务业绩以及人力资源的信息。尽管如此，数据库仍是公司受保护最少的领域之一。虽
2、然外部和网络安全措施对某些攻击类型起到了防御作用，但是仍有一些攻击类型能够利用数据库特有的漏洞进行攻击。 SQL 注入、 缓冲区溢出攻击以及其它瞬时攻击可以完全穿透 Web 防火墙， 应用程序防火墙以及入侵检测系统 (IDS)，为数据盗窃、擅自修改或破坏数据、侵犯隐私及个人身份信息创造机会。 由于数据库管理系统较为复杂 （其对硬件和运行平台的要求在不断增加） ， 因此随着功能的扩充，它会在安全性方面会出现缺口（即漏洞） ，这类漏洞会不断被用户、道德黑客，也可能不幸被非道德黑客发现。 这些漏洞将报告给 DBMS 供应商， 他们会尽力对漏洞进行修复，但是修复过程平均要花几个月，有时甚至几年，这段时
3、间为黑客利用漏洞破坏数据库提供了机会。 此外，越来越多的人正逐渐认识到“内部威胁”以及由特权访问用户造成的威胁是造成大量数据破坏的原因。CERT 进行的年度研究报告显示，高达 50%的数据破坏由内部用户造成。FBI/CSI 2006 年有关内部威胁的报告指出：三分之二被调查组织（商业和政府）的报告存在由内部破坏造成的数据损失这种情况，并且在一些组织，高达 80%的数据损失由内部破坏造成。报告还显示在数据遭受破坏时，有 57%的相关内部人员获权访问数据。因此，这证明了外部和网络安全措施不足以阻止此类破坏。 最终，许多立法和规范要求，如针对上市公司的 Sarbanes Oxley、医疗单位的 HI
4、PAA、金融服务的 GLBA 以及信用卡行业的 PCI DSS，都规定公司和组织必须采取一定措施来确保敏感数据的保密性、完整性和安全性。 针对目前存在的安全威胁的解决方案已经成形数据库需要进行细致入微地保护，采用既可以应对数据库特有威胁又可以应付内部威胁的解决方案。 Sentrigo Ltd. 2 现有的数据库安全工具 现有的数据库安全工具 目前正在使用的数据库保护技术有多种。 和 IT 安全的其它领域一样， 没有哪种工具可以提供针对所有威胁和滥用权限的可靠防御。通常推荐使用多种工具来获取充分的安全。 身份管理和访问控制 身份管理和访问控制 优点：优点：确立角色和权限（这是最基本的安全级别）
5、缺点：缺点：很难正确执行、访问权限过低、极易受到黑客攻击、授权用户可随意控制 能够指定角色、登录名和密码是数据库最基本的安全级别，几乎所有地方都在使用。不幸的是，以下现象在公司内部非常常见：使用组用户名和密码，而忘记撤销不再需要使用数据库员工的权限。这种机制也给黑客（如：可提升权限的 SQL 注入）提供了机会。 本地数据库审计工具 本地数据库审计工具 优点：优点： 提供有关数据库活动的详细审计跟踪以及论证 缺点：缺点： 严重影响数据库性能、只能事后论证、没有防御能力、没有责任分离、容易关闭 多数 DBMS 包含一系列功能并可对每个独立数据库活动进行详细审计。 但这些功能因对性能产生负面影响很少
6、使用。而且，由于它们是 DBMS 的组成部分，所以由 DBA 采用类似“馋猫看鱼”的方式对它们进行管理。 加密 加密 优点：优点： 保护敏感数据 缺点：缺点： 密钥管理成本、性能影响、难以管理 在数据库内进行列级加密和表级加密确保让对数据库拥有一般访问权限（如：通过 CRM应用程序访问）的用户无法查看敏感数据（如信用卡号） 。但是，只有加密是不够的，因为它通常会为了和应用程序进行通信而解密，而这提供了访问加密数据的机会。由于性能问题和密钥管理成本， 要加密所有数据也是不切实际的， 所以未加密的数据仍容易受到攻击。 利用网络设备进行监控 利用网络设备进行监控 优点：优点： 对网络访问数据库动作发
7、出警告（若使用在线方式则可以防止） 缺点：缺点： 不能防止内部有权限访问/本地访问、需要重新配置网络、in-line 使用会慢慢形成网络瓶颈、无法处理加密流、硬件昂贵 Sentrigo Ltd. 3 这是一类基于网络的设备，它能够监控网络流量、寻找 SQL 语句，并根据策略规则分析语句，从而对数据库非法访问和攻击发出警告。因为该设备只监控网络，它们无法监视本地数据库活动，因此让数据库容易受到拥有本地访问权限或可以避开该设备的聪明内部人员的攻击。 为了获得充分的监控，该设备必须在每个可以访问数据库的网络瓶颈上进行部署，对数据库进行全面保护。由于关键任务数据库常常连接到各种应用程序（ERP、CRM
8、、BI、billing等)中，因此这明显增加成本（前期投入非常高） 。 Hedgehog 实时数据库监控和入侵防御实时数据库监控和入侵防御 Sentrigo 的 Hedgehog 是一种优秀的数据库安全软件解决方案。 它是一个实时监控所有数据库活动的系统，它基于已定义的策略规则，对可疑活动进行报警，并在需要时阻止其发生。 Hedgehog 由一个小的 footprint 传感器构成， 这是在数据库主服务器上安装并监视所有活动的软件代理设备。Hedgehog 是非侵入式，易于安装并且只消耗少量的 CPU 资源（小于单个 CPU 的5%)。传感器和 Hedgehog 服务器通讯，根据已定义的规则发
9、出警告。 SIM/SEM 工具工具Hedgehog JavaEE 服务器（软件）服务器（软件）Hedgehog 控制台控制台警告基于网络的警告基于网络的 GUI网络网络传感器传感器数据 库数据 库传感器传感器传感器传感器数据 库数据 库数据 库数据 库策略规则应用到了 SQL 语句种类、数据库对象、一天的时间或一月的某天、以及所使用特定用户配置文件和应用程序。操作在满足规则的条件时进行，使得将事件写入日志、发送警告到 SIM/SEM 系统、通过 e-mail 或 SMS、或中止一个用户会话来阻止恶意活动变得非常简单。系统带有预定义规则，能够防御利用数据库漏洞的已知攻击。 一个单独的 Hedge
10、hog 服务器可以管理不同数据库上的传感器，并和它们进行通信。企业版很容易扩容。服务器也容易整合到 IT 基础设施中，方便进行集中管理和安全事件管理。 Sentrigo Ltd. 4 Sentrigo Ltd. 5 因为 Hedgehog 传感器安装在数据库机器上，因此不可能避开它。它具有自我防御机制，会对任何损害发出警告。系统的结构也保证了权责分离，这是 IT 安全中的一个重要需求。Hedgehog 管理员、 负责定义策略规则人员和接收警告的人员可以是组织中不同部门的不同人员（例如：分别为 IT 管理员、DBA 管理员和 CISO)。 Sentrigo 雇用了一支“红色团队” ，这个团队由道德黑客组成，他们的工作是寻找新的数据库漏洞。一旦发现了足够多的数据库漏洞，团队将立即制定保护规则，即一些虚拟补丁及时保护数据库，不用进行系统升级或停机，从而让数据库在供应商更新之前得到保护。 独特优势：独特优势： 唯一能监控所有数据库活动的解决方案 带有实时警告和防御功能，可以对数据库事务、查询、对象和存储过程进行详细监控 规则灵活且允许安全策略联合执行，将“误报”降到最低。 新发现的数据库漏洞虚拟补丁，不用 DBMS 停机也可以立即保护数据库 有着灵活的审计、报告能力 部署简单、升级方便 权责分离
