數(shù)據(jù)庫(kù)安全整體解決方案

1、 數(shù)據(jù)庫(kù)安全整體解決方案檢測(cè)未授權(quán)的變更，協(xié)助修改存在的管理漏洞。第三章.數(shù)據(jù)庫(kù)安全整體方案中安星云數(shù)據(jù)庫(kù)安全產(chǎn)品基于PDCA理念，為滿足不同層次的安全需求，從網(wǎng)絡(luò)整體安全和客戶的角度出發(fā)提供了一套核心數(shù)據(jù)全程監(jiān)控的一體化數(shù)據(jù)庫(kù)安全解決方案：XXXXXXXXXX 第一章. 數(shù)據(jù)庫(kù)安全威脅及需求 1.1數(shù)據(jù)庫(kù)安全威脅 數(shù)據(jù)庫(kù)面臨的安全風(fēng)險(xiǎn)主要來(lái)自于外部威脅、內(nèi)部威脅和合作伙伴三個(gè)方面，對(duì)于外部的話主要指黑客；利用數(shù)據(jù)庫(kù)本身的安全漏洞對(duì)數(shù)據(jù)庫(kù)進(jìn)行攻擊，從而獲取經(jīng)濟(jì)利益。對(duì)于內(nèi)部來(lái)說(shuō)主要指企業(yè)的系統(tǒng)管理人員、內(nèi)部員工；利用數(shù)據(jù)庫(kù)的一些不合理配置，缺少監(jiān)控；管理流程漏洞。來(lái)竊取公司私密信息，從而獲取經(jīng)

2、濟(jì)利益。 1.1.1外部威脅 外部的風(fēng)險(xiǎn)主要是未授權(quán)用戶、ddos攻擊、未授權(quán)的數(shù)據(jù)訪問(wèn)、sql注入攻擊，數(shù)據(jù)庫(kù)通信協(xié)議漏洞，平臺(tái)漏洞，身份驗(yàn)證不足等以及其它黑客手段。 1.1.2內(nèi)部威脅 內(nèi)部威脅主要來(lái)自于數(shù)據(jù)竊取、無(wú)意的操作、數(shù)據(jù)和服務(wù)的損壞、外部的威脅挑戰(zhàn)。在授權(quán)用戶無(wú)意訪問(wèn)敏感數(shù)據(jù)并錯(cuò)誤地修改或刪除信息時(shí)或用戶為了備份或?qū)⒐ぷ鲙Щ丶叶髁朔鞘跈?quán)的備份時(shí)，就會(huì)發(fā)生威脅風(fēng)險(xiǎn)。 1.1.3合作伙伴 以合作伙伴系統(tǒng)為跳板，針對(duì)敏感數(shù)據(jù)的保護(hù)不足例如：濫用過(guò)高權(quán)限，濫用合法權(quán)，權(quán)限提升，身份驗(yàn)證不足等進(jìn)行安全威脅。 1.2數(shù)據(jù)庫(kù)安全的需求 在部署數(shù)據(jù)庫(kù)系統(tǒng)時(shí)，需要考慮一下網(wǎng)絡(luò)安全，系統(tǒng)和數(shù)據(jù)庫(kù)自

3、身安全。第二個(gè)方面考慮到什么樣的人能夠訪問(wèn)數(shù)據(jù)庫(kù)，第三方面考慮權(quán)限的問(wèn)題，這個(gè)用戶能不能刪除表、能不能查看整個(gè)表；第四個(gè)方面考慮針對(duì)敏感數(shù)據(jù)的保護(hù)，第五方面考慮對(duì)數(shù)據(jù)庫(kù)放訪問(wèn)行為的檢測(cè)和控制，第六方面需要考慮日志的留存，便于出現(xiàn)問(wèn)題進(jìn)行追溯。 1.2.1自身安全 當(dāng)數(shù)據(jù)在網(wǎng)絡(luò)上傳輸首先要考慮連接數(shù)據(jù)庫(kù)的網(wǎng)絡(luò)是否存在潛在安全威脅以及數(shù)據(jù)庫(kù)所在的底層操作系統(tǒng)是否安全。 1.2.2連接認(rèn)證 當(dāng)有人試圖訪問(wèn)數(shù)據(jù)庫(kù)時(shí)需要考慮到什么樣的人能夠訪問(wèn)數(shù)據(jù)庫(kù)，是否有訪問(wèn)的權(quán)限，確保認(rèn)證用戶才能訪問(wèn)數(shù)據(jù)庫(kù)，授權(quán)的人才能看到允許他訪問(wèn)的數(shù)據(jù)庫(kù)的內(nèi)容。 1.2.3授權(quán)和控制 當(dāng)用戶試圖對(duì)表里的數(shù)據(jù)進(jìn)行增,刪,改,查等

4、操作時(shí)，要對(duì)訪問(wèn)用戶進(jìn)行授權(quán)和控制，對(duì)特權(quán)用戶和系統(tǒng)用戶進(jìn)行控制，只有授權(quán)的人才能修改數(shù)據(jù)，執(zhí)行強(qiáng)制訪問(wèn)控制策略，防止通過(guò)網(wǎng)絡(luò)對(duì)數(shù)據(jù)進(jìn)行破壞、竊聽(tīng)、刪除。 1.2.4敏感數(shù)據(jù) 當(dāng)數(shù)據(jù)庫(kù)中存儲(chǔ)有敏感的數(shù)據(jù)，如個(gè)人身份信息、企業(yè)財(cái)務(wù)信息等數(shù)據(jù)，需要考慮如何保證敏感數(shù)據(jù)的安全，確保數(shù)據(jù)不會(huì)被非法竊取，確保無(wú)關(guān)的人員不能看到明文的數(shù)據(jù)，比如對(duì)dba人員查看敏感數(shù)據(jù)的控制。 1.2.5實(shí)時(shí)監(jiān)測(cè) 當(dāng)用戶通過(guò)網(wǎng)絡(luò)執(zhí)行了不合規(guī)的指令例如：異常風(fēng)險(xiǎn)的增刪改查數(shù)據(jù)庫(kù)，sql注入操作和漏洞攻擊等數(shù)據(jù)庫(kù)安全產(chǎn)品將會(huì)及時(shí)的發(fā)現(xiàn)和告警，同時(shí)對(duì)這些會(huì)話行為、sql行為、風(fēng)險(xiǎn)行為等進(jìn)行及時(shí)的記錄，通過(guò)分析結(jié)果及時(shí)調(diào)整相關(guān)安全

5、策略。 1.2.6安全審計(jì) 當(dāng)需要追溯誰(shuí)刪除了數(shù)據(jù)庫(kù)時(shí)，數(shù)據(jù)庫(kù)安全防護(hù)產(chǎn)品會(huì)提供語(yǔ)句、會(huì)話、ip、數(shù)據(jù)庫(kù)用戶、業(yè)務(wù)用戶、響應(yīng)時(shí)間、影響行等多種維度的的數(shù)據(jù)庫(kù)操作的記錄為用戶提供事后分析能力。 第二章.數(shù)據(jù)庫(kù)安全解決思路 針對(duì)目前數(shù)據(jù)庫(kù)安全防護(hù)方面面臨的各種問(wèn)題中安星云參考pdca思想以規(guī)劃預(yù)防、執(zhí)行監(jiān)測(cè)、分析改進(jìn)三個(gè)方面構(gòu)建數(shù)據(jù)庫(kù)安全防護(hù)體系。 2.1規(guī)劃預(yù)防的四個(gè)方面： 2.1.1用戶身份認(rèn)證 用戶身份認(rèn)證分為外部身份認(rèn)證和全局身份認(rèn)證。數(shù)據(jù)庫(kù)身份認(rèn)證比較好理解，就是數(shù)據(jù)庫(kù)用戶口令以加密的方式保存在數(shù)據(jù)庫(kù)內(nèi)部，當(dāng)用戶連接數(shù)據(jù)庫(kù)時(shí)必須輸入用戶名和密碼，通過(guò)數(shù)據(jù)庫(kù)認(rèn)證后才可以登錄到數(shù)據(jù)庫(kù)。數(shù)據(jù)庫(kù)

6、身份認(rèn)證有三種方式分別為：通過(guò)認(rèn)證系統(tǒng)去檢查數(shù)據(jù)庫(kù)用戶或者應(yīng)用用戶的身份，通過(guò)應(yīng)用的賬號(hào)進(jìn)行認(rèn)證，通過(guò)數(shù)據(jù)庫(kù)自身的賬號(hào)進(jìn)行認(rèn)證 2.1.2用戶權(quán)限控制 用戶權(quán)限控制主要是為了規(guī)劃和防范，權(quán)限分為系統(tǒng)權(quán)限和實(shí)體權(quán)限。系統(tǒng)權(quán)限：系統(tǒng)規(guī)定用戶使用數(shù)據(jù)庫(kù)的權(quán)限。實(shí)體權(quán)限：某種權(quán)限用戶對(duì)其它用戶的表或視圖的存取權(quán)限。權(quán)限管理的內(nèi)容包括：管理員和用戶權(quán)限分離，限制用戶訪問(wèn)數(shù)據(jù)，授予或撤銷用戶的權(quán)限或角色。 2.1.3敏感數(shù)據(jù)防護(hù) 敏感數(shù)據(jù)的保護(hù)包括通訊加密和數(shù)據(jù)庫(kù)透明加密兩種方式，通訊加密即對(duì)網(wǎng)絡(luò)連接進(jìn)行加密，對(duì)網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)加密，防止從網(wǎng)絡(luò)上竊取數(shù)據(jù)等支持多種機(jī)密算法。 數(shù)據(jù)庫(kù)透明加密為防止從數(shù)據(jù)庫(kù)文

7、件中獲取敏感數(shù)據(jù)，沒(méi)有秘鑰無(wú)法訪問(wèn)數(shù)據(jù)庫(kù)數(shù)據(jù)，確保在硬盤(pán)存儲(chǔ)的數(shù)據(jù)無(wú)風(fēng)險(xiǎn)等。 2.1.4漏洞攻擊防范 漏洞攻擊防范全面發(fā)現(xiàn)各種管理和系統(tǒng)的風(fēng)險(xiǎn)、幫助修復(fù)風(fēng)險(xiǎn)和漏洞，通過(guò)弱口令檢查，軟件漏洞掃描，操作系統(tǒng)風(fēng)險(xiǎn)，管理風(fēng)險(xiǎn)等幾個(gè)方面起到對(duì)數(shù)據(jù)庫(kù)漏洞攻擊防護(hù)，操作系統(tǒng)漏洞攻擊防護(hù)，管理漏洞防護(hù)，拒絕服務(wù)攻擊防護(hù)。 2.2監(jiān)測(cè)監(jiān)控的三個(gè)方面： 2.2.1活動(dòng)狀態(tài)監(jiān)控 活動(dòng)狀態(tài)監(jiān)控是為了實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫(kù)運(yùn)行狀態(tài)，在狀態(tài)異常時(shí)進(jìn)行預(yù)警，防止業(yè)務(wù)癱瘓，保障業(yè)務(wù)系統(tǒng)的可用性。其監(jiān)控的范圍包括：用戶活動(dòng)狀況，數(shù)據(jù)庫(kù)內(nèi)存狀態(tài)，文件系統(tǒng)狀態(tài)，查詢響應(yīng)性能等幾個(gè)方面。用戶活動(dòng)狀況包括：連接時(shí)間，用戶個(gè)數(shù)，連接信息等。數(shù)據(jù)

8、庫(kù)內(nèi)存狀態(tài)包括：共享內(nèi)存，命中率，回滾段，表內(nèi)存，緩沖區(qū)等幾個(gè)方面的監(jiān)測(cè)。文件系統(tǒng)狀態(tài)是主要包括：數(shù)據(jù)文件性能，磁盤(pán)訪問(wèn)。查詢響應(yīng)性能包括：索引效率，查詢統(tǒng)計(jì)，查詢緩沖命中率等信息。 2.2.2行為實(shí)時(shí)監(jiān)測(cè) 行為實(shí)時(shí)監(jiān)測(cè)即為數(shù)據(jù)庫(kù)實(shí)時(shí)會(huì)話監(jiān)測(cè)，通過(guò)數(shù)據(jù)庫(kù)防火墻可以監(jiān)控網(wǎng)絡(luò)流量阻斷未授權(quán)的訪問(wèn)，高精準(zhǔn)的sql語(yǔ)法解析，監(jiān)測(cè)和阻止sql注入攻擊，通過(guò)黑白名單限制數(shù)據(jù)庫(kù)的訪問(wèn)等方面監(jiān)測(cè)。 2.2.3統(tǒng)一審計(jì)及報(bào)告 審計(jì)是為安全事件追查提供語(yǔ)句、會(huì)話、ip、數(shù)據(jù)庫(kù)用戶、業(yè)務(wù)用戶、響應(yīng)時(shí)間、影響行等多種維度的的數(shù)據(jù)庫(kù)操作的記錄和事后分析能力。 報(bào)告是為會(huì)話行為、sql行為、風(fēng)險(xiǎn)行為、政策性報(bào)表等提供合規(guī)

9、性報(bào)表。 通過(guò)審計(jì)和報(bào)告可以滿足合規(guī)性要求，順利通過(guò)it審計(jì)，追蹤溯源，便于事后追查原因與界定責(zé)任，實(shí)現(xiàn)審計(jì)，完善it內(nèi)控機(jī)制，提供滿足要求的分析報(bào)表。 2.3分析改進(jìn)的三個(gè)方面： 2.3.1權(quán)限分析控制 權(quán)限分析控制是為了生成賬號(hào)和權(quán)限信息的報(bào)告，消除不合理的授權(quán)訪問(wèn)確保授權(quán)符合業(yè)務(wù)最小原則，降低業(yè)務(wù)數(shù)據(jù)風(fēng)險(xiǎn)等作用。 2.3.2敏感數(shù)據(jù)分析 敏感數(shù)據(jù)分析例如從個(gè)人信息，不符合規(guī)定的數(shù)據(jù)庫(kù)，社保信息，信用卡捆綁等數(shù)據(jù)源中發(fā)現(xiàn)數(shù)據(jù)庫(kù)分布和敏感數(shù)據(jù)分類生成賬號(hào)和權(quán)限信息的報(bào)告，協(xié)助撤銷不必要的權(quán)限設(shè)置，最小權(quán)限設(shè)置降低安全風(fēng)險(xiǎn)等。 2.3.3配置安全管理 配置管理通過(guò)自動(dòng)發(fā)現(xiàn)，掃描監(jiān)控，修復(fù)加固等

10、方面發(fā)現(xiàn)數(shù)據(jù)庫(kù)，自動(dòng)收集配置信息自動(dòng)掃描不合理的配置。檢測(cè)未授權(quán)的變更，協(xié)助修改存在的管理漏洞。 第三章.數(shù)據(jù)庫(kù)安全整體方案 中安星云數(shù)據(jù)庫(kù)安全產(chǎn)品基于pdca理念，為滿足不同層次的安全需求，從網(wǎng)絡(luò)整體安全和客戶的角度出發(fā)提供了一套核心數(shù)據(jù)全程監(jiān)控的一體化數(shù)據(jù)庫(kù)安全解決方案： 3.1自身安全 通過(guò)加密機(jī)制實(shí)現(xiàn)網(wǎng)絡(luò)通信的加密，通過(guò)防火墻、入侵防御、防ddos等安全設(shè)備，實(shí)現(xiàn)對(duì)攻擊的防護(hù)。通漏洞掃描產(chǎn)品發(fā)現(xiàn)數(shù)據(jù)庫(kù)以及系統(tǒng)自身的漏洞，并進(jìn)行修復(fù)架構(gòu)；針對(duì)數(shù)據(jù)庫(kù)系統(tǒng)可以使用中安星云數(shù)據(jù)庫(kù)監(jiān)控掃描產(chǎn)品進(jìn)行掃描、評(píng)估、加固。 數(shù)據(jù)庫(kù)監(jiān)控掃描產(chǎn)品能持續(xù)監(jiān)控和分析對(duì)數(shù)據(jù)庫(kù)服務(wù)器的所有請(qǐng)求，實(shí)時(shí)識(shí)別針對(duì)系統(tǒng)和敏

11、感數(shù)據(jù)的攻擊和危險(xiǎn)操作，實(shí)現(xiàn)實(shí)時(shí)的監(jiān)制、報(bào)警、和智能審計(jì)。 風(fēng)險(xiǎn)掃描能全面掃描數(shù)據(jù)庫(kù)與宿主操作系統(tǒng)的漏洞并告警，分析數(shù)據(jù)庫(kù)與宿主操作系統(tǒng)的配置風(fēng)險(xiǎn)并提出整改方案 漏洞掃描實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的系統(tǒng)漏洞、用戶弱口令、權(quán)限分配、宿主操作系統(tǒng)漏洞等內(nèi)容進(jìn)行定期掃描，發(fā)現(xiàn)漏洞風(fēng)險(xiǎn)及不合理的配置項(xiàng)，及時(shí)通知管理員。通過(guò)數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)掃描功能可以減少、弱化大多數(shù)人為與非人為造成的數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)，提高數(shù)據(jù)庫(kù)的安全性，減少數(shù)據(jù)庫(kù)被攻擊的風(fēng)險(xiǎn)。 狀態(tài)監(jiān)控能實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫(kù)運(yùn)行狀態(tài)，在狀態(tài)異常時(shí)進(jìn)行預(yù)警，防止業(yè)務(wù)癱瘓，保障業(yè)務(wù)系統(tǒng)的可用性。 3.2認(rèn)證 通過(guò)第三方認(rèn)證系統(tǒng)如ca、ad服務(wù)器等對(duì)授權(quán)用戶身份進(jìn)行認(rèn)證，確保用戶身份的合

12、法性。 3.3授權(quán)和訪問(wèn)控制 訪問(wèn)用戶通過(guò)采用授權(quán)規(guī)則，如賬戶、口令和權(quán)限控制等訪問(wèn)控制方法進(jìn)行安全防護(hù)。 數(shù)據(jù)庫(kù)防火墻提供訪問(wèn)控制、攻擊防護(hù)、狀態(tài)檢測(cè)等功能。能夠?qū)崟r(shí)檢測(cè)出用戶對(duì)數(shù)據(jù)庫(kù)進(jìn)行的sql注入和緩沖區(qū)溢出攻擊，替換或者阻斷高危sql語(yǔ)句并報(bào)警，同時(shí)可以詳細(xì)的審計(jì)攻擊操作發(fā)生的時(shí)間、來(lái)源ip、登錄數(shù)據(jù)庫(kù)的用戶名、攻擊代碼等詳細(xì)信息。 數(shù)據(jù)庫(kù)防火墻對(duì)具有關(guān)鍵字規(guī)則設(shè)置的關(guān)鍵字的sql語(yǔ)句，按照規(guī)則設(shè)置的相應(yīng)風(fēng)險(xiǎn)等級(jí)進(jìn)行審計(jì)，并根據(jù)規(guī)則，決定是否進(jìn)行阻斷，對(duì)有權(quán)限訪問(wèn)數(shù)據(jù)庫(kù)的賬戶進(jìn)行sql語(yǔ)句級(jí)別的訪問(wèn)控制，確保賬戶無(wú)法對(duì)數(shù)據(jù)庫(kù)實(shí)行超出其權(quán)限的風(fēng)險(xiǎn)操作。 數(shù)據(jù)庫(kù)防火墻還可以通過(guò)ip、mac

13、、時(shí)間段、賬戶名等參數(shù)對(duì)訪問(wèn)數(shù)據(jù)庫(kù)的行為進(jìn)行授權(quán)可對(duì)日志進(jìn)行細(xì)粒度解析，支持?jǐn)?shù)據(jù)庫(kù)操作(dm)、對(duì)象管理(dd)、控制(dc)等操作語(yǔ)句的解析，解析后的日志記錄至少包括訪問(wèn)發(fā)生時(shí)間、客戶端ip地址、客戶端mac、終端程序、訪問(wèn)賬號(hào)、訪問(wèn)數(shù)據(jù)庫(kù)名、操作表名、sql語(yǔ)句、數(shù)據(jù)庫(kù)響應(yīng)時(shí)間以及返回結(jié)果等信息。對(duì)于不符合安全策略的操作進(jìn)行阻斷告警。 3.4敏感數(shù)據(jù)保護(hù) 數(shù)據(jù)庫(kù)透明加密為防止從數(shù)據(jù)庫(kù)文件中獲取敏感數(shù)據(jù)，沒(méi)有秘鑰無(wú)法訪問(wèn)數(shù)據(jù)庫(kù)數(shù)據(jù)，確保在硬盤(pán)存儲(chǔ)的數(shù)據(jù)無(wú)風(fēng)險(xiǎn)。 針對(duì)核心數(shù)據(jù)，可通過(guò)數(shù)據(jù)庫(kù)透明加密功能，實(shí)現(xiàn)權(quán)限控制和加密存儲(chǔ)，無(wú)授權(quán)用戶無(wú)法看到加密字段，保證核心信息資產(chǎn)即使被泄露，也無(wú)法查看核

14、心數(shù)據(jù)的明文。 數(shù)據(jù)脫敏產(chǎn)品能過(guò)對(duì)某些敏感信息通過(guò)脫敏規(guī)則進(jìn)行數(shù)據(jù)的變形，實(shí)現(xiàn)敏感隱私數(shù)據(jù)的可靠保護(hù)。在涉及客戶安全數(shù)據(jù)或者一些商業(yè)性敏感數(shù)據(jù)的情況下，在不違反系統(tǒng)規(guī)則條件下，對(duì)真實(shí)數(shù)據(jù)進(jìn)行改造并提供測(cè)試使用，如身份證號(hào)、手機(jī)號(hào)、卡號(hào)、客戶號(hào)等個(gè)人信息都需要進(jìn)行數(shù)據(jù)脫敏，同時(shí)中安星云數(shù)據(jù)脫敏系統(tǒng)提供多數(shù)據(jù)源支持：oracle、sqlserver、sybase、mysql、informix、db2、南大通用、武漢達(dá)夢(mèng)、人大金倉(cāng)、神州通用、txt、excel、csv、soap、hadoop。 3.5實(shí)時(shí)監(jiān)測(cè) 通過(guò)數(shù)據(jù)庫(kù)防火墻可以監(jiān)控網(wǎng)絡(luò)流量阻斷未授權(quán)的訪問(wèn)，高精準(zhǔn)的sql語(yǔ)法解析，監(jiān)測(cè)和阻止sql注入攻擊，通過(guò)黑白名單限制數(shù)據(jù)庫(kù)的訪問(wèn)等方面監(jiān)測(cè)。 數(shù)據(jù)庫(kù)防火墻對(duì)訪問(wèn)數(shù)據(jù)庫(kù)的請(qǐng)求進(jìn)行過(guò)濾，持續(xù)保障訪問(wèn)的合規(guī)性