数据库安全审计系统2023年4月5日目 录1 需求背景 11.1 法规标准要求 11.1.1 等级保护制度 11.1.2 网络安全法 21.2 业务需求 31.2.1 行业发展需求 31.2.2 监测需求：可视和预警 32 解决方案 42.1 设计目标 42.2 设计原则 42.3 设计依据 52.4 系统架构 62.5 系统性能 72.6 系统功能 72.6.1 概要统计 72.6.2 多元审计 72.6.3 高效日志检索 82.6.4 风险告警 92.6.5 灵活策略配置 92.6.6 统计报表 103 方案优势 113.1.1 技术优势 113.1.2 全面的审计 113.1.3 完美的报表 11- I - 1 需求背景1.1 法规标准要求1.1.1 等级保护制度网络安全等级保护制度是我国信息安全行业的国家标准，为提高我国信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展，提供了技术指导和监管依据网络安全等级保护基本要求中，对安全审计的技术要求包含但不仅限于以下内容：7.1.3 安全区域边界7.1.3.5 安全审计本项要求包括：a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
7.1.4 安全计算环境7.1.4.3 安全审计本项要求包括：a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等任何企业的数字资产都是商业机密，一旦管理不善就会带来巨大的威胁，严重时甚至给国家或个人带来严重的泄密风险，例如众多企业都存在着如下一些问题：1) 内部人员违规操作：随着单位在信息化建设的不断深入，单位业务系统变得越来越复杂，防火墙等边界安全产品可以解决一部分安全问题，但对于内部人员的违规操作却无能为力，因内部人员违规操作导致的数据安全问题变得日益突出起来；2) 其他运维人员的威胁：单位在当前信息化建设中，一些设备需要外包给设备商或者其他专业代维公司来运维如何能够有效地降低这些运维人员违规操作带来的威胁，并进行严格详细的审计是单位面临的一个关键问题；3) 高权账号带来的风险：由于历史原因，单位部分系统的权限划分混乱，高权账号（比如DBA账号）共用等问题一直是管理员想解决却难解决的问题，高权账号往往会成为单位数据资产保护建设的达摩克利斯之剑，不经意的一个操作都可能导致数据的修改和泄露，最高权限的滥用，让数据安全变得更加脆弱，也让责任划分和威胁追踪变得更加困难；4) 数据库操作不可视：单位的各种规章制度缺少有效的技术手段来限制各类操作，最终规范只能成为一纸空文，事后日志反查只能起追责溯源的作用，因此企业对数据风险操作的及时告警也非常有必要；5) 不符合等保建设要求：国家规定的三级等保明确要求了数据库的安全保护，单位要建设三级等保，就需要一个完全满足国家等保要求的数据库审计产品来完善整体的等保建设。
1.1.2 网络安全法为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议表决通过了《中华人民共和国网络安全法》第二十一条：国家实行网络安全等级保护制度网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务1.2 业务需求如上所述，各单位的信息系统中，亟需部署数据安全审计系统，弥补现有的安全体系的不足而数据安全管理是通过对数据的存储管理系统，也就是数据库的安全审计实现的针对数据安全审计的需求主要包括如下：1.2.1 行业发展需求在行业各级信息中心的网络信息化建设中，较为注重接入层面和应用层面的安全保护，但忽略了数据资源安全保护，对存储的敏感数据缺乏有效的保护。
数据已成为重要的资产，一旦发生数据被盗事件，涉及国家敏感数据产生损失，监管部门承担着极高的风险，甚至影响国家利益同时，随着信息技术的发展，数据库审计技术已经十分成熟，能够较好地实现了对敏感数据的安全预警和事件溯源1.2.2 监测需求：可视和预警l 了解数据资产的分布需要自动发现数据库服务器、敏感数据的分布情况，并为后续安全加固明确目标l 实时显示企业敏感数据的访问情况和风险情况l 实时掌握数据库系统的可用性要求能对数据库运行状态进行实时监控，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性l 实时掌握数据库存在的风险状况要求能通过扫描的方式，静态的评估企业数据库系统的风险，扫描内容包括：弱口令检测、系统漏洞、配置风险等l 需要进行数据活动监控实时监控数据活动情况，记录数据访问行为，尤其是对敏感数据的访问行为要求能实现对数据库的直接访问和通过Web和应用对数据库的间接访问进行全面监控2 解决方案2.1 设计目标通过设计数据安全审计系统，通过安全审计产品和功能定制，可以有效监控数据库访问行为，准确掌握数据库系统的安全状态，及时发现违反数据库安全策略的事件，实时记录，并且实现安全事件的定位分析，事后追查取证。
2.2 设计原则1）遵循“可靠性”原则软件系统规模越做越大越复杂，其可靠性越来越难保证应用本身对系统运行的可靠性要求越来越高，软件系统的可靠性也直接关系到设计自身的声誉和生存发展竞争能力软件可靠性意味着该软件在测试运行过程中避免可能发生故障的能力，且一旦发生故障后，具有解脱和排除故障的能力软件可靠性和硬件可靠性本质区别在于：后者为物理机理的衰变和老化所致，而前者是由于设计和实现的错误所致故软件的可靠性必须在设计阶段就确定，在生产和测试阶段再考虑就困难了2）遵循健壮性原则健壮性又称鲁棒性，是指软件对于规范要求以外的输入能够判断出这个输入不符合规范要求，并能有合理的处理方式软件健壮性是一个比较模糊的概念，但是却是非常重要的软件外部量度标准软件设计的健壮与否直接反应了分析设计和编码人员的水平3）遵循可修改性原则要求以科学的方法设计软件，使之有良好的结构和完备的文档，系统性能易于调整4）遵循容易理解原则软件的可理解性是其可靠性和可修改性的前提它并不仅仅是文档清晰可读的问题，更要求软件本身具有简单明了的结构这在很大程度上取决于设计者的洞察力和创造性，以及对设计对象掌握得透彻程度，当然它还依赖于设计工具和方法的适当运用。
5）遵循可测试性原则可测试性就是设计一个适当的数据集合，用来测试所建立的系统，并保证系统得到全面的检验6）遵循效率性原则软件的效率性一般用程序的执行时间和所占用的内存容量来度量在达到原理要求功能指标的前提下，程序运行所需时间愈短和占用存储容量愈小，则效率愈高7）遵循标准化原则在结构上实现开放，基于业界开放式标准，符合国家和信息产业部的规范8）遵循先进性原则满足客户需求，系统性能可靠，易于维护9）遵循可扩展性原则软件设计完要留有升级接口和升级空间对扩展开放，对修改关闭2.3 设计依据我公司本次投标提供的技术方案及产品符合一下规范及标准：l 公安部等级保护：1) 《信息安全技术 网络安全等级保护基本要求》2) 《数据库管理系统安全技术要求》l 保密局分级保护：1) 《涉及国家秘密的信息系统分级保护技术要求》 2) 《涉及国家秘密的信息系统分级保护管理规范》l 行业法律法规标准1) 《中国人民解放军计算机信息系统安全保密规定》2) 《塞班斯法案(SOX)》3) 《信用卡标准 (PCI)》4) 《HIPAA》5) 《电力SG168》6) 《互联网金融安全基本法》7) 《央企商业机密保护条例》l 网络安全法2.4 系统架构系统架构总过分成四层，分别是协议监听层，SQL分析层，审计策略层及终端展现层。
协议监听层主要抓取的数据库协议，及日志进行多级缓存SQL分析层主要对抓取的协议进行解析及智能化分析审计策略层主要是甚至对应的策略 ，然后进行精准化的策略匹配最后再终端展现层进行对应的管理及日志记录和呈现，对有风险的行为进行报警，形成报表进行呈现图 2.1 产品架构2.5 系统性能l 连续处理能力：1万~5万SQL/S；l 日志检索速度：<1min，1亿记录，带通配符模糊检索；l 日志存储能力：20亿-60亿条SQL/TB2.6 系统功能2.6.1 概要统计包括全部审计日志的概要统计，CPU、内存、系统硬盘和日志盘资源的系统监控，审计曲线、行为轨迹、最近告警列表、数据库自动发现等功能图 2.2 概要统计2.6.2 多元审计2.6.2.1 常规审计规则对于数据库需要全面的访问行为监控，数据库安全审计系统提供常规的审计规则，主要有：l 引擎名称、数据库实例、数据库类型；l 数据库用户、操作系统用户、主机；l 数据库IP、客户端IP；l 数据库MAC、客户端MAC；l 客户端程序、客户端端口；l 请求发生时间、执行时长、响应状态；l SQL内容关键字、执行结果；……2.6.2.2 高级审计规则对于数据库需要精确的访问行为监控，数据库安全审计系统提供高级的审计规则，主要有：l 多关键字匹配：基于自主的高速多关键字匹配算法，当多个关键字同时出现时，触发该规则。
如一个语句中同时出现“delete”、“table1”和“江小白”；l 正则表达式：可以使用正则表达式定义复杂审计规则，如身份证号码、邮件地址等；l 语句级规则：SQL语句代表的句型的规则，如select t1.f1 from t1 where f1 = 52.6.2.3 单双向审计系统可以实现对数据库的访问及返回结果进行双向审计，既能记录数据库的访问语句，也能审计数据库对访问者的返回内容，对数据库来往信息进行全审计2.6.2.4 三层审计追溯到终端用户名/IP地址，提供完整的审计记录图 2.3 三层审计 2.6.3 高效日志检索日志检索可对审计日志进行综合查询、精确检索和实时查询，并可对数据进行用户行为轨迹分析、实时业务流量监控历史数据的检索可以按照策略、风险等级、时间以及源IP、数据库用户等26种条件类型进行精确检索检索到的结果进行分页显示，用户可以自定义每页的日志条数、检索结果的日志总数、检索结果显示的列等并能够对检索结果进行导出，会话回放。