數(shù)據(jù)庫(kù)安全審計(jì)Guardium介紹

企業(yè)數(shù)據(jù)庫(kù)的安全審計(jì)

IBM軟件部

胡穗聰

husuic@

監(jiān)控

vs審計(jì)時(shí)間每秒的請(qǐng)求頻率監(jiān)控突發(fā)審計(jì)持續(xù)審計(jì)通過(guò)使用過(guò)濾減少實(shí)際審計(jì)的流量審計(jì)意味著需要將信息記錄到磁盤(pán)監(jiān)控意味著觀察所有流量數(shù)據(jù)監(jiān)控:三大商業(yè)驅(qū)動(dòng)力外部威脅防止入侵內(nèi)部威脅識(shí)別未授權(quán)的變更防止數(shù)據(jù)泄漏合規(guī)性簡(jiǎn)化流程降低成本AuditRequirementsCOBIT(SOX)PCI-DSSISO27002DataPrivacy&ProtectionLawsNISTSP800-53(FISMA)1.AccesstoSensitiveData(Successful/FailedSELECTs)2.SchemaChanges(DDL)

(Create/Drop/AlterTables,etc.)3.DataChanges(DML)(Insert,Update,Delete)4.SecurityExceptions(Failedlogins,SQLerrors,etc.)5.Accounts,Roles&Permissions(DCL)(GRANT,REVOKE)法規(guī)中的合規(guī)性要求DDL=DataDefinitionLanguage(akaschemachanges)DML=DataManipulationLanguage(datavaluechanges)DCL=DataControlLanguage1Guardium簡(jiǎn)介建立確?？缭綌?shù)據(jù)庫(kù)和應(yīng)用基礎(chǔ)設(shè)施關(guān)鍵數(shù)據(jù)安全的企業(yè)級(jí)平臺(tái)。

愿景最為廣泛使用的數(shù)據(jù)庫(kù)行為監(jiān)控、安全和審計(jì)解決方案客戶(hù)認(rèn)可100%的可視性和信息，對(duì)性能沒(méi)有影響，無(wú)需改變基礎(chǔ)設(shè)施

13個(gè)正在審批中的專(zhuān)利適合擴(kuò)容的企業(yè)級(jí)架構(gòu)

OracleMicrosoftIBMDB2IBMInformixSybaseASE,IQMySQL,TeradataDBMS

SolarisHP-UXAIXz/OS-Linux-WindowsOS

OracleEBSPeopleSoft,JDESiebelSAPCustom&other

packagedappsApplications

LDAPKerberosRSASecurIDAuthentication全方位的支持

BMCIBMEMCNEON(mainframe)NetApp(encryption)Technologypartners“5-StarRatings:Easyinstallation,sophisticatedreporting,strongpolicy-basedsecurity.”

“Enterprise-classdatasecurityproductthatshouldbeoneveryorganization'sradar."第三方的認(rèn)可“Dominanceinthisspace”#1ScoresforCurrentOffering,Corporate&ProductStrategyStrategicInvestor

TCPIPCSHMNamedPipesOracleBEQ-TLIDBProtocols全球客戶(hù)2全球頂級(jí)公司的選擇全球排名前五的銀行Citi，JP-Morgan全球排名前三的零售商中的兩家全球排名前五的保險(xiǎn)商中的三家全球兩大飲料生產(chǎn)商Coca-cola，Pepsi最著名的PC廠(chǎng)商DELL政府機(jī)構(gòu)FBI全球15家電信公司三大企業(yè)制造商大型能源公司大型醫(yī)療公司媒體&娛樂(lè)品牌電信/基建公司MEDITELCONFIDENTIAL金融公司CONFIDENTIAL能源公司CONFIDENTIAL政府機(jī)構(gòu)CONFIDENTIAL金融公司，日處理百萬(wàn)條會(huì)話(huà)客戶(hù)：擁有7千5百萬(wàn)用戶(hù)的紐交所上市公司需求:增強(qiáng)

SOX合規(guī)性和數(shù)據(jù)監(jiān)管階段1:監(jiān)控所有特權(quán)用戶(hù)的活動(dòng)，特別是數(shù)據(jù)庫(kù)變化.階段2:

專(zhuān)注于數(shù)據(jù)隱私.Environment:全球四個(gè)數(shù)據(jù)中心100多臺(tái)服務(wù)器上的122個(gè)數(shù)據(jù)庫(kù)實(shí)例Oracle,IBMDB2,Sybase,SQLServeronAIX,HP-UX,Solaris,WindowsPeopleSoftplus75in-houseapplications可選方案:本地審計(jì)因?yàn)樾阅荛_(kāi)支不具操作性結(jié)果:目前每天審計(jì)百萬(wàn)條會(huì)話(huà)記錄(GRANTs,DDL,etc.)捕獲DBAs訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的記錄每日生成SOX的自動(dòng)報(bào)告使用ticketIDs自動(dòng)化變更管理調(diào)節(jié)通過(guò)兩項(xiàng)外部審計(jì)為Dell簡(jiǎn)化企業(yè)安防需求:為

SOX,PCI&SAS70提高數(shù)據(jù)安全性簡(jiǎn)化并自動(dòng)化合規(guī)性控制Guardium部署:階段1:在10個(gè)數(shù)據(jù)中心部署了300個(gè)數(shù)據(jù)庫(kù)服務(wù)器

(12周內(nèi))階段2:部署其他725個(gè)數(shù)據(jù)庫(kù)服務(wù)器環(huán)境

:Oracle&SQLServeronWindows,Linux;OracleRAC,SQLServerclustersOracleEBS,JDE,Hyperionplusin-houseapplications原先的解決方案:利用自開(kāi)發(fā)的腳本本地記錄

(MS)或?qū)徲?jì)

(Oracle)支持問(wèn)題;DBA時(shí)間需求;大數(shù)據(jù)量問(wèn)題;SOD問(wèn)題.結(jié)果:自動(dòng)化合規(guī)性報(bào)告;實(shí)時(shí)告警;集中化

PublishedcasestudyinDellPowerSolutionsGuardium解決方案3易損性評(píng)估配置評(píng)估行為評(píng)估基準(zhǔn)設(shè)置100%可視化基于策略的行為異常發(fā)現(xiàn)實(shí)時(shí)阻止細(xì)粒度的訪(fǎng)問(wèn)控制和其他應(yīng)用整合集中式監(jiān)管合規(guī)審計(jì)報(bào)告自動(dòng)升級(jí)安全審計(jì)池用以取證的數(shù)據(jù)挖掘長(zhǎng)期保存可發(fā)現(xiàn)所有應(yīng)用和客戶(hù)可發(fā)現(xiàn)和分類(lèi)敏感信息發(fā)現(xiàn)和分類(lèi)評(píng)估和鞏固監(jiān)控和執(zhí)行審計(jì)和報(bào)告Critical

DataInfrastructure全方位的安全和審計(jì)周期監(jiān)控方式17E-BusinessSuiteSwitchorTAPGuardiumS-TAPs用以訪(fǎng)問(wèn)監(jiān)控(sharedmemory,BEQ,namedpipes,etc.)Guardium網(wǎng)絡(luò)監(jiān)控應(yīng)用和審計(jì)庫(kù)用戶(hù)應(yīng)用無(wú)侵入性無(wú)需數(shù)據(jù)庫(kù)變化最小影響無(wú)需基于傳統(tǒng)數(shù)據(jù)庫(kù)的本地日志（DBA可輕易修改）細(xì)粒度的策略和監(jiān)控何人，何事，何時(shí)，如何實(shí)時(shí)告警監(jiān)控包括本地特權(quán)用戶(hù)訪(fǎng)問(wèn)在內(nèi)的所有活動(dòng)可伸縮的多層架構(gòu)S-TAPS-TAP網(wǎng)絡(luò)CollectorCentralManager&AggregationCollectorS-GATE遠(yuǎn)程人員和外包S-TAPz/OS財(cái)務(wù)HRCollectorOff-shoreZ-TAP功能舉例4異常類(lèi)型

1數(shù)據(jù)庫(kù)異常分析1：Exceptionbytype

2：ExceptionbyserverIP3：ExceptionbyclientIP4：ExceptionbySQLcmd出現(xiàn)異常的服務(wù)器鏈接數(shù)據(jù)庫(kù)產(chǎn)生異常的客戶(hù)端地址詳細(xì)的源程序，SQL命令假如我的客戶(hù)代表一小時(shí)內(nèi)查看了99條記錄？屬于正常嗎？他看了些什么?2提取敏感信息問(wèn)題:應(yīng)用服務(wù)器通過(guò)常用服務(wù)賬號(hào)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)–

并沒(méi)有識(shí)別是誰(shuí)發(fā)起交易(連接池)解決方案:跟蹤用戶(hù)訪(fǎng)問(wèn)應(yīng)用程序與特定的SQL命令支持主流的企業(yè)應(yīng)用(OracleEBS,PeopleSoft,SAP,Siebel,BusinessObjects,Cognos,etc.)附加自定義應(yīng)用(WebLogic,WebSphere,OracleAS,etc.)不改變應(yīng)用服務(wù)ApplicationServerDatabaseServerJoeMarcAppUser3識(shí)別來(lái)自應(yīng)用層上的欺詐S-GATEHoldSQLConnectionterminatedPolicyViolation:DropConnectionPrivilegedUsersIssueSQLCheckPolicyOnApplianceOracle,DB2,MySQL,Sybase,etc.“數(shù)據(jù)庫(kù)