搜索
UxsinoRSCDPS数据库安全审计系统技术白皮书北京优炫软件股份有限公司目录1.产品背景...................................................................................................................................11.1.概述...............................................................................................................................11.2.相关法规和标准...........................................................................................................21.3.风险分析.......................................................................................................................31.4.与传统防火墙的技术区别...........................................................................................32.产品概述...................................................................................................................................42.1.产品目标.......................................................................................................................42.2.功能模块概述...............................................................................................................42.3.产品架构.......................................................................................................................53.功能模块...................................................................................................................................63.1.数据库审计...................................................................................................................63.2.UxsinoRSCDPS数据库安全审计系统.....................................错误!未定义书签。3.3.数据库状态监控（可选组件）...................................................................................93.4.数据库风险扫描（可选组件）.................................................................................104.部署方案.................................................................................................................................115.产品特点.................................................................................................................................145.1.兼容性.........................................................................................................................145.2.产品特点.....................................................................................................................145.3.产品优势.....................................................................................................................156.客户收益.................................................................................................................................167.技术支持.................................................................................................................................1711.产品背景1.1.概述随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域，但随之而来产生了数据的安全问题以及数据库访问的安全问题。各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视。数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究的重要课题之一。越来越多的关键业务系统运行在数据库平台上。同时也成为不安定因素的主要目标。如何确保数据库自身的安全，已成为现代数据库系统的主要评测指标之一。数据库是信息技术的核心和基础，广泛应用在电信、金融、政府、商业、企业等诸多领域，当我们说现代经济依赖于计算机时，我们真正的意思是说现代经济依赖于数据库系统。数据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、产品资料等极其重要和敏感的信息。尽管这些系统的数据完整性和安全性是相当重要的，但对数据库采取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。许多因素都可能破坏数据的完整性并导致非法访问，这些因素包括复杂程度、密码安全性较差、误配置、未被察觉的系统后门以及数据库安全策略的缺失等。在攻击方式中，SQL注入攻击是黑客对数据库进行攻击的常用手段之一，而且表面看起来跟一般的Web页面访问没什么区别，所以市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。如何防御SQL注入攻击也是亟待解决的重点问题之一。任何政企单位的主要电子数字资产都存储在数据产品中。商业机构和政府组织都是利用这些数据库得到人事信息等，如医疗记录、人员工资等。因此他们有责任保护别人的隐私，并为他们保密。数据库还存有以前的和将来的敏感的金融数据，包括贸易记录、商业合同及帐务数据等。数据库的应用相当复杂，掌握起来非常困难。许多数据库管理员都忙于管理复杂的系统，所以很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员也通常没有把安全问题当作他们的首要任务。在安全领域中，类似网页被修改、电脑中2病毒、木马、流氓软件、弹出窗口等所造成的经济损失微乎其微，而一旦数据库出现安全风险并被恶意利用所造成的后果几乎是灾难性的和不可挽回的。由此可见，数据库安全实际上是信息系统信息安全的核心，在这种情况下，有必要采用专业的新型数据库安全产品，专门对信息系统的数据库进行保护。1.2.相关法规和标准早在20世纪80年代美国国防部就制定了《可信计算机系统安全评估标准》（TrustedComputerSystemEvaluationCriteria，简称TCSEC），以及该标准的可信数据库系统安全的解释（TrustedDatabaseInterpretation，简称TDI），从而形成了最早的信息安全及数据库安全评估体系。2001年我国颁布了最早的数据库安全标准《军用数据库安全评估准则》，2002年公安部发布了公安部行业标准GA/T389-2002：《计算机信息系统安全等级保护/数据库管理系统技术要求》。2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)，提出实行信息安全等级保护（等保），建立国家信息安全保障体系的明确要求。2008年颁发的《信息安全技术信息系统安全等级保护基本要求》对应用安全和数据安全等提出明确的监控、审计要求。在等保的指导下，各行业相继颁布了具体的实施办法。2004年，中保委下发《关于加强信息安全保障工作中保密管理的若干意见》(中保委发〔2004〕7号)，明确提出建立健全涉密信息系统分级保护制度（分保）。涉及国家秘密的信息系统要按照党和国家有关保密规定进行保护。我国的国家秘密分为秘密、机密、绝密三级，涉密信息系统也按照秘密、机密、绝密三级进行分级管理，其防护水平不低于国家信息安全等级保护三、四、五级的要求。涉密信息系统的等级由系统使用单位确定，按照“谁主管、谁负责”的原则进行管理。这就要求对业务系统进行全程的监控，以确保在安全事故发生时明确责任。31.3.风险分析当前数据库以及业务系统的安全形势严峻，主要面对如下5类风险，如下表所示：分类风险名称风险说明授权管理越权滥用账号授权不合理，特权用户越权查看、操作敏感数据权限盗用通过软件攻击和社会攻击盗取权限，访问敏感数据身份验证措施薄弱仅使用口令验证，未使用IP/MAC/证书等验证方法攻击类数据库漏洞并未对数据库软件系统自身漏洞加以弥补，如缓冲区溢出漏洞等SQL注入攻击通过SQL注入攻击，破坏数据库系统或者盗取敏感信息拒绝服务攻击大量连接、深度嵌套、频繁访问等方式，破坏数据库系统可用性通信协议漏洞基于通信协议的攻击，例如发送超长连接请求，破坏数据库握手协议操作系统漏洞并未对操作系统漏洞加以弥补，如系统用户权限审计类审计措施不力开启了数据库自身审计，但是其详细度，可信度不足加密类缺乏加密措施对于敏感数据依然采用明文存储，并未进行加密存储、备份类缺少安全备份措施采用简单复制的手段进行备份1.4.与传统防火墙的技术区别传统意义上的防火墙是限制内部网与外部网通信的设备，针对边界防护，对于内部网络访问数据库的行为或者来自外部绕过防火墙访问数据库的行为无法进行阻断、替换、报警、审计等操作，无法有效的保护数据库系统的安全。而北京优炫软件股份有限公司的UxsinoRSCDPS数据库安全审计系统（简称UxsinoRSCDPS）正是专门针对此种情况而设计的防火