安华金和数据库安全等保行业解决方案

安华金和数据库安全等保行业解决方案一.方案概述在等级保护中，数据库安全建设的总体目标，一是要保证核心数据库自身的安全性，确保数据库不会受到攻击造成业务系统的瘫痪；二是要求保证数据的保密性和完整性，对核心数据库中的敏感数据进行有效的安全防护，确保关键数据不泄密，不被违规篡改；三是在数据库使用过程中及时发现安全问题，防患于未然，按修复建议进行安全加固。信息系统的核心数据存在数据库中的，数据库作为核心数据资产载体，一旦发生无意识危险操作、信息泄露、恶意篡改，都将造成最为惨痛的损失。据Verizon2012数据泄露调查报告，数据库服务器占泄露记录总数的96%，成为头号可能的泄露数据源。随着当前业务系统及数据库的部署规模、访问人员和密集度的不断增加，来自于外部攻击者、第三方运维和开发人员、内部维护人员的威胁访问，给企业数据安全带来了严峻的挑战。安华金和等保数据库安全解决方案对应等保安全要求的数据库防护思路如下表：功能备选产品保护效果身份鉴别数据库漏扫检测数据库的弱口令、连续登录失败锁定的次数等。访问控制数据库漏扫检查数据库系统的缺省账户，多余、过期的共享账户。数据库防火墙提供细粒度的访问控制、提供行数限制的阀值控制等。数据库加密防止特权用户敏感数据访问；对重要信息形成敏感标记。安全审计数据库审计每个用户的行为、各种可疑操作并进行告警通知，能对操作记录进行全面的分析，提供自身审计进程的监控，审计记录防止恶意删除，同时具备自动归档能力。入侵防范数据库漏扫可以检测出数据库漏洞、补丁未升级；数据库防火墙虚拟补丁技术能阻止针对补丁未升级的恶意攻击行为。恶意代码防范数据库漏扫能检测存储过程、函数中存在的恶意代码数据库防火墙SQL注入等漏洞特征库、通过虚拟补丁防范恶意攻击。资源控制数据库防火墙提供每个用户对敏感数据的最大连接数限制等。数据保密性数据库加密对数据库中敏感信息按列进行加密保存。1.1安全威胁分析外部威胁目前已知的来自外部黑客常见的攻击手段和漏洞包括：SQL注入、缓冲区溢出、拒绝服务、提权等，也有利用未及时安装补丁、缺省安装漏洞、程序后门和危险代码破坏权限体系，导致数据库服务终止和敏感数据泄密；内部运维人员和DBA明文存储的安全威胁，使得数据文件、备份文件被拷贝后，可以轻易恢复。DBA等高权限用户可以随时任意地访问门能干数据；弱口令的存在，使得容易被人暴力破解或尝试成功，访问敏感数据导致泄密和篡改；第三方运维和开发人员知道数据库管理员账号，主要威胁在于假冒正常应用账户、合法DB用户绕过应用程序使用命令行工具访问数据库、通过数据库客户端批量导出敏感信息导致泄密。管理内部人员、第三方维护人员的误操作、维护操作、越权操作和恶意操作，多人共用一个账号，责任难以分清，超级管理员操作难以监管和审计。1.2等级保护对数据库安全的要求在等级保护《基本要求》中的位置数据库安全是主机安全的一个部分，数据库的测评指标是从“主机安全”和“数据安全及备份恢复”中根据数据库的特点映射得到的。对三级及以上系统中的关键敏感数据安全防护，提出了严格要求。数据保密性。要求“实现系统管理数据、鉴别信息和重要业务数据的存储保密性”。访问控制强调了最小授权原则，使得用户的权限最小化，同时要求对重要信息资源设置敏感标记。安全审计要求“对用户行为、安全事件等进行记录”。具体等保要求参见附件1《等保三级对应项》表中的功能和基本项。1.3等保数据库安全整体规划本方案通过对安全威胁的分析，进行整体设计与规划，系列安全产品相互之间分工协作，共同形成整体的防护体系，覆盖了数据库安全防护的事前诊断、事中控制和事后分析。事前诊断：通过数据库漏扫产品，有效检测数据库已知漏洞，并有效修复。定期进行数据库安全检查，防患于未然，对数据库安全风险进行综合评估，使用专门的数据库漏洞扫描系统，对生产域中数据库的安全现状进行全面检测。安全漏洞项包括：弱口令、缺省口令、弱安全策略、权限宽泛、敏感数据发现、权限提升漏洞、补丁升级等，评估是否存在安全漏洞并提供修复建议，为系统的安全配置提升提供有效的参考。事中控制：通过数据库防火墙和数据库加密解决。数据库防火墙-从访问源头来保护数据，监测数据库的访问，防止未授权的访问、SQLInjection、权限或角色的非法提升以及对敏感数据的非法访问。高度精准的基于SQL语法的分析，避免误判；基于黑、白名单的灵活的SQL级策略设置；支持Bypass和Proxy及混合部署模式，支持高可用，最大限度的适应企业需求；虚拟补丁技术避免数据库因为不能进行补丁升级而造成的恶意访问。在数据库中加密存储敏感信息防止被解析为明文，通过独立于数据库的权控体系和引入安全管理员、审计管理员实现三权分立的安全管理手段，防止DBA、第三方外包人员和程序开发人员越权访问敏感信息，结合动态口令卡和SQL级API与应用系统进行绑定解决绕过应用程序非法访问数据库的问题。事后分析：通过数据库审计技术解决。网络旁路审计通过在核心路由设备上设置端口镜像或采用分流监听，使安全审计能够监听到所有用户通过路由设备与数据库进行通讯的操作，并把数据库操作进行协议还原和分析，细致的数据库操作审计和用户审计，并有丰富的查询检索和报表功能，维护简单、具备专业审计功能，节约人力，减少维护费用。具体解决手段参见附件1《等保三级对应项》表中的防护的备选产品和保护效果。二.数据库安全整体保护措施1.1.数据库安全事前检测本方案规划使用专门的数据库漏洞扫描系统，对当前系统中重要数据库进行全面的安全漏洞检测，有效暴露当前数据库系统的安全问题，同时提出漏洞修复的建议，进行整体安全加固。从而提升数据库系统整体的安全性。数据库漏洞扫描系统的价值在于:1.分析内部不安全配置，防止越权访问：通过只读账户，实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置安全评估；避免内外部的非授权访问。2.发现外部黑客攻击漏洞，防止外部攻击：实现非授权的从外到内的检测；模拟黑客使用的漏洞发现技术，在没有授权的情况下，对目标数据库的安全性作深入的探测分析；收集外部人员可以利用的数据库漏洞的详细信息。3.监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况发生的变化进行报告和分析。1.2.数据库安全加固本方案规划使用数据库加密产品，实现对数据库中重要敏感信息的安全保护，从存储层、数据库访问控制层、应用安全层面实现全方位防止敏感信息泄密。数据库加密系统的价值在于:存储加密数据库安全加固系统能够实现敏感数据的存储加密，防止数据从数据库存储文件和备份文件中泄漏；实现涉密信息的存储保密性。三权分立通过提供安全管理员、审计管理员角色，使得数据库安全从管理上能实现DBA和安全管理员、审计管理员三者权限分离，相互制约和监督。独立的权限控制可对重要敏感信息采用强制访问控制策略。主体精确到数据库用户、客体精确到信息的列级。能够防止DBA等高权限、超级用户对敏感数据信息的违规访问；细粒度访问控制能够通过指定IP地址和时间，尽量缩小敏感数据访问的范围。安全审计能够对敏感数据的访问行为，实现详细审计，记录访问的时间、地点，访问的内容等，进行事后分析追踪。1.3.数据库安全防护及分析本方案规划使用数据库防火墙产品，通过防SQL注入、防高危操作来阻止外部黑客攻击者入侵行为，实时的告警，同时采用防火墙产品中的审计能力，进行事后分析。数据库安全防护系统的价值在于:防控功能数据库安全分析可以智能的识别SQL类型，从而灵活的构建行为模型，且能够快速、准确的配置和定位策略。此外，通过智能的SQL识别，采用启发式风险评估，能够及时发现SQL的潜在风险，并进行控制（包括告警、拦截等），从而能够将攻击行为阻止。审计功能数据库安全分析提供了全面详细的TraceLog（详细审计记录），和丰富的告警、跟踪事件记录，并在此基础上实现了内容丰富的、动态可跟踪的实时审计分析和追踪。细粒度权限管理对于数据库用户提供比DBMS系统更详细的虚拟权限控制。控制策略包括：用户+操作+对象+时间。在控制操作中增加了updateNowhere、deleteNowhere等高危操作；控制规则中增加返回行数和影响行数控制。全面的审计规则数据库安全分析提供了可配置的审计规则，可以根据系统的需要，确定不同的审计策略，包括：TraceLog审计的内容：SQL语句、SQL语句参数、执行结果（成功、失败和详细的失败原因）、被影响的记录、详细的查询结果集、事务状态、会话登录和登出信息等。2.产品推荐2.1.数据库安全检测产品推荐产品：安华金和数据库漏洞扫描系统DBScan。2.1.1.产品部署系统形态为软件。系统部署在Windows平台的桌面终端即可。2.1.2.功能特性（1）支持的检测内容：DBMS脆弱点：已知数据库系统自身存在的漏洞，这些漏洞会引发数据泄漏、权限提升或拒绝服务攻击问题。弱口令：口令的安全强度不符合安全性要求，比如使用了111111这样的口令，很容易被猜到，或暴力破解。缺省口令：使用数据库系统安装的缺省口令，由于这样的口令是被公众掌握的，安全隐患很大。配置缺陷：由于数据库或系统的配置造成的安全缺陷或风险点。补丁：数据库的版本或相应功能版本已经不再被支持了，需要进行升级来实现更好的安全性。易受攻击代码：在数据库的系统表或存储程序中存在可能会被利用来进行攻击的代码，或存在已经发现的存在漏洞的存储程序。程序后门：存储在数据库中的可执行程序，如存储过程、函数，由于不安全的程序造成在某种条件下会触发安全缺陷。敏感数据：对数据库中需要敏感防护的数据项进行扫描，形成敏感数据报告，帮助管理人员检查安全措施是否得当。（2）数据库安全加固建议针对系统检查出的数据库安全漏洞，系统在数据库漏洞详细报告中提供了详细的漏洞修复建议，保证每条建议有效可靠，从而帮助用户更加快速、有效地进行漏洞修复。（3）数据库无害模拟渗透攻击在数据库的漏洞类型中，属SQL注入、缓冲区溢出和拒绝服务攻击这几种类型对数据库系统造成的危害最大，为了让用户更清醒的认识到数据库的安全隐患。产品可以模拟黑客对数据库进行渗透攻击，如口令攻击、SQL注入和缓冲区溢出等。（4）数据库自动扫描与发现：系统提供自动搜索网内数据库的功能，也可以指定IP段和端口的范围进行搜索。能够自动发现数据库的基本信息包括：端口号、数据库类型、版本号、数据库服务器IP地址、数据库实例名称等。（5）多种扫描方式：本系统提供两种扫描检测方式：授权检测、非授权检测，用户可以根据不同的需要选择扫描方式、扫描策略，进行数据库的漏洞扫描。（6）任务管理：每个任务中包含一个或多个目标数据库，用户可以自定义扫描的各项参数、扫描策略、任务名称和描述，便于随时启动对目标数据库的扫描或渗透模拟。（7）报告管理：系统提供文档、表格、图表等多种方式的评估报告：统计报告、详细报告、趋势分析报告、对比分析报告以及评估报告等，详细报告提供了漏洞的来源、漏洞的风险级别、漏洞类型、漏洞描述、修复方法等多项内容，使用户对其数据库安全状况一目了然。还可以将报告导出成多种格式的文件以供打印和存档。2.1.3.策略配置（1）扫描账户配置使用一个具有只读权限的账户，具备查看所有系统表、参数、存储过程、函数的权限即可完成扫描。（2）扫描策略配置使用完全扫描策略，对所有典型的数据库安全漏洞策略进行检测，包括DBMS漏洞、缺省配置漏洞、危险代码、程序后门等。（3）扫描方式使用自动发现功能，对生产域内所有数据库进行自动发现，并进行全面扫描。使用授权扫描方式完成漏洞扫描，使用弱口令方式进行所有数据库的弱口令扫描。（4）报告策略每个数据库检测的结果，生成综合检测报告、详细漏洞项分析报告、弱口令报告。对报告中涉及到弱口令内容、IP、端口号的敏感信息，使用混淆策略进行保密。2.2.数据库安全加固产品推荐产品：安华金和数据库保险箱DBCoffer。安华金和数据库保险箱(简称DBCoffer)是一款基于透明加密技术的Oracle数据库安全加固系统，该产品能够实现对数据库的数据加密存储、访