淺析數(shù)據(jù)庫審計(jì)在企業(yè)中的合理應(yīng)用

1、淺析數(shù)據(jù)庫審計(jì)在企業(yè)中的合理應(yīng)用淺析數(shù)據(jù)庫審計(jì)在企業(yè)中的合理應(yīng)用目前，絕大多數(shù)行業(yè)的用戶業(yè)務(wù)都是建立在信息系統(tǒng)根底之上。業(yè)務(wù)的信息化使企業(yè)效率提升和持續(xù)競爭力，任何的事情都存在兩面性，信息系統(tǒng)在給企業(yè)帶來利益的同時(shí)，存在著企業(yè)核心信息泄露、系統(tǒng)出現(xiàn)問題的風(fēng)險(xiǎn)，信息系統(tǒng)如假設(shè)出現(xiàn)任何變故，都可能會(huì)使相關(guān)業(yè)務(wù)流程完全失效，信息系統(tǒng)給我們帶來便捷和高效的優(yōu)越性的同時(shí)也給企業(yè)外部和企業(yè)內(nèi)部人員利用信息系統(tǒng)犯罪帶來了極大的容易性和隱蔽性。數(shù)據(jù)庫系統(tǒng)的出現(xiàn)使信息系統(tǒng)從以加工數(shù)據(jù)的程序?yàn)橹行霓D(zhuǎn)向圍繞共享的數(shù)據(jù)庫為中心，既便于數(shù)據(jù)的集中管理，又有利于應(yīng)用程序的研制和維護(hù)，進(jìn)步了數(shù)據(jù)的利用率和相容率，進(jìn)步了決策

2、的可靠性。數(shù)據(jù)庫系統(tǒng)更應(yīng)該作為信息系統(tǒng)平安性中最重要的重點(diǎn)予以保護(hù)。數(shù)據(jù)庫系統(tǒng)承載著企業(yè)單位、企業(yè)部門的各種人員信息、業(yè)務(wù)信息等數(shù)據(jù)，諸如業(yè)務(wù)報(bào)表數(shù)據(jù)、員工信息數(shù)據(jù)、銷售產(chǎn)品數(shù)據(jù)、產(chǎn)品類型數(shù)據(jù)等等，這些數(shù)據(jù)企業(yè)的核心數(shù)據(jù)，我們在信息時(shí)代最主要的就是要確保這些重要信息的完好性、真實(shí)性和平安性。信息平安管理體系ISS明確的組織體系，是平安管理的一個(gè)重要組成局部的根本平安措施。內(nèi)部的組織管理，職責(zé)別離是有效地減少意外或成心非法訪問、誤用和濫用的有效方法，但極少數(shù)的企業(yè)現(xiàn)實(shí)真正別離。信息化建立衍生的計(jì)算機(jī)操作員、數(shù)據(jù)錄入員、應(yīng)用程序員、系統(tǒng)程序員、系統(tǒng)分析員、平安管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員、系統(tǒng)

3、管理員等崗位的不斷開展，但企業(yè)的行列信息化建立和擴(kuò)張方案都難以涵蓋所有的位置，企業(yè)信息員身兼數(shù)職也司空見慣。為了防止沒有完全實(shí)現(xiàn)職責(zé)別離的企業(yè)信息系統(tǒng)帶來的潛在風(fēng)險(xiǎn)，信息審計(jì)作為補(bǔ)償責(zé)任分工已成為一個(gè)重要的根本措施，進(jìn)步本文由論文聯(lián)盟.Ll.搜集整理內(nèi)部控制和數(shù)據(jù)庫審計(jì)數(shù)據(jù)大大降低了現(xiàn)有的企業(yè)信息風(fēng)險(xiǎn)。1數(shù)據(jù)庫存在的風(fēng)險(xiǎn)企業(yè)最具有價(jià)值、最具有重要、最具有核心，同時(shí)也是最敏感的信息資源庫存數(shù)據(jù)庫，很容易受到攻擊者利用eb應(yīng)用程序?qū)崿F(xiàn)用更直接地訪問違規(guī)操作外部攻擊和內(nèi)部員工，從而直接或間接地導(dǎo)致了企業(yè)的核心業(yè)務(wù)、客戶資料、財(cái)務(wù)報(bào)表、人事檔案、以及消費(fèi)數(shù)據(jù)等有平安性有一定風(fēng)險(xiǎn)的。因此，對于操作風(fēng)險(xiǎn)和

4、數(shù)據(jù)平安管理已經(jīng)引起了政府、行業(yè)和企業(yè)高層管理人員的重視。在平安性方面的風(fēng)險(xiǎn)管理，與企業(yè)和政府信息化建立的不斷開展提示信息價(jià)值不斷提升。隨著業(yè)務(wù)與IT不斷交融和數(shù)據(jù)共享擴(kuò)展的需求，數(shù)據(jù)庫平安面臨著管理、技術(shù)、以及審計(jì)風(fēng)險(xiǎn)的許多方面。在考慮這些風(fēng)險(xiǎn)，企業(yè)需要一個(gè)數(shù)據(jù)可以刪除破綻、定位、確認(rèn)用戶訪問，監(jiān)控、平安數(shù)據(jù)庫活動(dòng)的策略，而且還可以減少在數(shù)據(jù)庫級別的風(fēng)險(xiǎn)。2企業(yè)合規(guī)性需求在中國，由于治理機(jī)構(gòu)明晰和到位，作為企業(yè)管理的根底提升公司治理已成為一個(gè)現(xiàn)實(shí)問題。在推進(jìn)企業(yè)管理、建立標(biāo)準(zhǔn)、高效的現(xiàn)代企業(yè)制度，使標(biāo)準(zhǔn)各個(gè)環(huán)節(jié)的企業(yè)經(jīng)營處于受控狀態(tài)，實(shí)現(xiàn)透明、控制和效率，從而實(shí)現(xiàn)中國國有企業(yè)改革和上市公司所

5、期望的方向開展。金融、證券及期貨事務(wù)監(jiān)察委員會(huì)、審計(jì)署、中國銀行業(yè)監(jiān)視管理委員會(huì)、保險(xiǎn)監(jiān)視管理委員會(huì)頒發(fā)五部委企業(yè)內(nèi)部控制根本標(biāo)準(zhǔn)等要求，以保證信息系統(tǒng)的審計(jì)工作，以確保信息系統(tǒng)的平安性控制、權(quán)限設(shè)置、可審計(jì)性、完好性、連接性、正確性和及時(shí)性等。信息系統(tǒng)中的網(wǎng)絡(luò)操作及業(yè)務(wù)系統(tǒng)操作通過數(shù)據(jù)庫審計(jì)實(shí)現(xiàn)審計(jì)記錄，便于及時(shí)發(fā)現(xiàn)違規(guī)操作及可疑行為，及時(shí)采取相應(yīng)的措施。通過數(shù)據(jù)庫平安審計(jì)，可以對發(fā)生的平安事件及時(shí)響應(yīng)，不斷跟蹤網(wǎng)絡(luò)操作和平安事件的變化，準(zhǔn)確理解信息系統(tǒng)的平安狀況，并根據(jù)根據(jù)變化進(jìn)展調(diào)整，確保保護(hù)重要業(yè)務(wù)數(shù)據(jù)的平安，滿足企事業(yè)單位的平安要求。3數(shù)據(jù)庫自身日志審計(jì)的缺陷及危害數(shù)據(jù)庫效勞器一般都

6、具有自身的日志審計(jì)功能，可以分為多種類型，如：SQL語句跟蹤，連接審計(jì)，2審計(jì)等，可以把修改配置項(xiàng)設(shè)置為啟動(dòng)或關(guān)閉的狀態(tài)，但是日志審計(jì)功能存在以下自身缺陷和危害：1非智能設(shè)計(jì)：日志審計(jì)功能只是簡單的日志記錄，而不能靈敏的配置，也不能幫助管理人員及時(shí)發(fā)現(xiàn)相關(guān)問題，進(jìn)展快速定位問題。2無法監(jiān)測報(bào)警：數(shù)據(jù)庫自身的日志審計(jì)，沒有并監(jiān)測報(bào)警的功能，故無法第一時(shí)間將異常信息報(bào)告給數(shù)據(jù)庫管理者，只用于問題查證。3刪除日志記錄：日志審計(jì)的記錄會(huì)存放在一個(gè)指定的文件或一個(gè)表內(nèi)，所以假如是成心攻擊者或著擁有相應(yīng)權(quán)限的用戶有權(quán)利刪除日志文件，從而將記錄消除。4影響數(shù)據(jù)庫效勞器的資源和性能：設(shè)置開啟的日志審計(jì)功能，出

7、現(xiàn)日志無法寫入的情況時(shí)，數(shù)據(jù)庫就會(huì)停頓；有一局部日志審計(jì)功能運(yùn)行的同時(shí)會(huì)記錄大量信息占用大量的硬盤空間，最終導(dǎo)致數(shù)據(jù)庫效勞的性能大大，甚至影響數(shù)據(jù)庫效勞的正常運(yùn)作。4針對數(shù)據(jù)庫的防護(hù)數(shù)據(jù)庫審計(jì)系統(tǒng)是集動(dòng)態(tài)基線保護(hù)技術(shù)、訪問與反應(yīng)結(jié)果的雙向?qū)徲?jì)技術(shù)、主流數(shù)據(jù)庫與國產(chǎn)數(shù)據(jù)庫的專用協(xié)議解析分析技術(shù)、非法操作阻斷技術(shù)、中間件關(guān)聯(lián)審計(jì)技術(shù)、多報(bào)警響應(yīng)方式的先進(jìn)數(shù)據(jù)庫審計(jì)產(chǎn)品。數(shù)據(jù)庫平安審計(jì)系統(tǒng)主要是對數(shù)據(jù)庫效勞器上的各種操作進(jìn)展旁路監(jiān)視和記錄，根據(jù)網(wǎng)絡(luò)數(shù)據(jù)的分析，完成智能地、實(shí)時(shí)地解析對數(shù)據(jù)庫效勞器的各種操作、成心攻擊事件信息記入數(shù)據(jù)庫審計(jì)中方便以后以便對時(shí)間的查詢與分析，進(jìn)而完成操作目的數(shù)據(jù)庫系統(tǒng)的監(jiān)

8、控和審計(jì)效果。提供全面的日志記錄、審核數(shù)據(jù)庫的SQL級別的操作、ftp，telnet等維護(hù)操作，恢復(fù)原來的SQL語句，并記錄各種相關(guān)的操作信息，如：數(shù)據(jù)庫效勞器名、IP地址、A地址、端口號、用戶名、操作的結(jié)果、數(shù)據(jù)庫操作的日期、時(shí)間、原來的SQL語句。而網(wǎng)絡(luò)上的其他系統(tǒng)設(shè)備可以發(fā)送到接收syslg和SNP日志信息和查詢，可以迅速幫助客戶理解網(wǎng)絡(luò)的運(yùn)行狀況給其它設(shè)備。數(shù)據(jù)庫審計(jì)系統(tǒng)提供雙向?qū)徲?jì)功能。雙向?qū)徲?jì)是對數(shù)據(jù)庫客戶端的訪問行為，以及數(shù)據(jù)庫的返回結(jié)果同時(shí)審計(jì)。相比單向?qū)徲?jì)，雙向?qū)徲?jì)功能更加全面，注重?cái)?shù)據(jù)庫返回結(jié)果的審計(jì)。5完畢語建立煙草企業(yè)數(shù)據(jù)庫審計(jì)體系是一個(gè)動(dòng)態(tài)的過程，要根據(jù)系統(tǒng)構(gòu)件和應(yīng)用的變化而循環(huán)遞進(jìn)的使用上述方法，完善系統(tǒng)平安，降低企業(yè)風(fēng)險(xiǎn)程度。數(shù)據(jù)庫是許多應(yīng)用的核心，人們在很早的時(shí)候就廣泛重視它的平安性。數(shù)據(jù)庫平安審計(jì)技術(shù)是數(shù)據(jù)庫平安防護(hù)的重要手段之一，在國外數(shù)據(jù)庫平安審計(jì)技術(shù)方面具有相當(dāng)完好的產(chǎn)品，對于國內(nèi)來說數(shù)據(jù)庫平安審計(jì)技