搜索
xxx信息中心数据库监控保护系统建议书第1页信息中心数据库监控保护系统Imperva技术建议书中国区总代理商：北京信诺瑞得信息技术有限公司胡传福13641669697@163.comxxx信息中心数据库监控保护系统建议书第2页目录1概述：数据库安全和审计的重要性............................................................................................32数据库安全审计系统应具备的功能............................................................................................53.xxx数据库保护系统建议方案..................................................................................................122.1背景介绍.......................................................................................................................................122.1配置原则.......................................................................................................................................132.2配置说明.......................................................................................................................................132.3针对xxx数据库安全保护解决方案的重要业务功能的实现...................................................173系统的管理…………………………………………………………………………………………….204产品和功能详解......................................................................................................................23xxx信息中心数据库监控保护系统建议书第3页1.概述：数据库安全和审计的重要性随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域，但随之而来产生了数据的安全问题。各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视。数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，关系到企业兴衰、成败。因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究的重要课题之一。由于计算机和网络的普及和广泛应用，越来越多的关键业务系统运行在数据库平台上。数据库中的数据作为企业的财富发挥着越来越重要的作用，同时也成为不安定因素的主要目标。如何保证数据库自身的安全，已成为现代数据库系统的主要评测指标之一。数据库是信息技术的核心和基础，广泛应用在电信、金融、政府、商业、企业等诸多领域，当我们说现代经济依赖于计算机时，我们真正的意思是说现代经济依赖于数据库系统。数据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、产品资料等极其重要和敏感的信息。尽管这些系统的数据完整性和安全性是相当重要的，但对数据库采取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。许多因素都可能破坏数据的完整性并导致非法访问，这些因素包括复杂程度、密码安全性较差、误配置、未被察觉的系统后门以及数据库安全策略的缺失等。任何公司的主要电子数字资产都存贮在现代的关系数据产品中。商业机构和政府组织都是利用这些数据库服务器得到人事信息，如员工的工资表，医疗记录等。因此他们有责任保护别人的隐私，并为他们保密。数据库服务器还存有以前的和将来的敏感的金融数据，包括贸易记录、商业合同及帐务数据等。象技术的所有权、工程数据，甚至市场企划等决策性的机密信息，必须对竟争者保密，并阻止非法访问，数据库服务器还包括详细的顾客信息，如财务帐目，信用卡号及商业伙伴的信用信息等。目前世界上七种主流的关系型数据库，诸如Oracle、Sybase、MicrosoftSQLServer、IBMDB2/Informix、MySQL、PostgreSQL服务器都具有以下特征：用户帐号及密码、校验系统、优先级模型和控制数据库的特别许可、内置命令（存储过程、触发器等）、唯一的脚本和编程语言（例如PL/SQL、Transaction-SQL）、中间件、网络协议、补丁和服务包、强有力的数据库管理实用程序和开发工具。xxx信息中心数据库监控保护系统建议书第4页数据库服务器的应用相当复杂，掌握起来非常困难。许多数据库管理员都忙于管理复杂的系统，所以很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。所以，正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员也通常没有把安全问题当作他们的首要任务。在安全领域中，类似网页被修改、电脑中病毒、木马、流氓软件、弹出窗口等所造成的经济损失微乎其微，而一旦数据库出现安全风险并被恶意利用所造成的后果几乎是灾难性的和不可挽回的。安全是多个环节层层防范、共同配合的结果。也就是说在安全领域不能够仅靠某一个环节完成所有的安全防范措施。一个安全的系统需要数据库的安全、操作系统的安全、网络的安全、应用系统自身的安全共同完成。数据库领域的安全措施通常包括：身份识别和身份验证、自主访问控制和强制访问控制、安全传输、系统审计、数据库存储加密等。只有通过综合有关安全的各个环节，才能确保高度安全的系统。拙劣的数据库安全保障设施不仅会危及数据库的安全，还会影响到服务器的操作系统和其它信用系统。还有一个不很明显的原因说明了保证数据库安全的重要性－数据库系统自身可能会提供危及整个网络体系的机制。例如，某个公司可能会用数据库服务器保存所有的技术手册、文档和白皮书的库存清单。数据库里的这些信息并不是特别重要的，所以它的安全优先级别不高。即使运行在安全状况良好的操作系统中，入侵者也可通过“扩展入驻程序”等强有力的内置数据库特征，利用对数据库的访问，获取对本地操作系统的访问权限。这些程序可以发出管理员级的命令，访问基本的操作系统及其全部的资源。如果这个特定的数据库系统与其它服务器有信用关系，那么入侵者就会危及整个网络域的安全。在电子商务、电子贸易的着眼点集中于WEB服务器、Java和其它新技术的同时，应该记住这些以用户为导向和企业对企业的系统都是以Web服务器后的关系数据库为基础的。它们的安全直接关系到系统的有效性、数据和交易的完整性、保密性。系统拖延效率欠佳，不仅影响商业活动，还会影响公司的信誉。不可避免地，这些系统受到入侵的可能性更大，但是并未对商业伙伴和客户敏感信息的保密性加以更有效的防范。此外，ERP和管理系统，如ASPR/3和PeopleSoft等，都是建立在相同标准的数据库系统中。无人管理的安全漏洞与时间拖延、系统完整性问题和客户信任等有直接的关系。由此可见，数据库安全实际上是信息安全的核心，在这种情况下，有必要采用专业的新型数据库安全产品，专门对数据库进行保护。xxx信息中心数据库监控保护系统建议书第5页2.数据库安全审计系统应具备的功能做为解决上述问题的数据库安全审计系统，应包含一下主要特性：数据库使用情况评估—检查真实的数据库网络流量以构建一个使用的基准模型，并自动创建数据库安全政策。管理员可以通过审查分析文件轻松掌握适当的数据库使用，非常灵活方便的制定数据库使用着的行为策略。数据库审计——SecureSphere采集许多审计数据，并且提供内置的报告功能，可以灵活地满足内部或外部规定要求。SecureSphere的数据库审计包括数据库活动审计、实时告警审计、用户基本信息审计。数据库保护——这是SecureSphere对数据库实时保护核心功能，包括：数据库应用保护客户化策略的实施数据库平台的保护识别复杂的攻击（通过多种手段的联动）具体到设备的功能，应该具有以下特点：支持各种主流数据库包括对各种版本和各种平台的Oracle、DB2、Informix、Sybase、MSSQLServer的支持。审计厂家必须和四大数据库厂家（Oracle，IBM,Sybase，MicroSoft）是官方认可的深层商业合作伙伴，从而能够保证审计结果的精确性和权威性设备的引入不应对正常业务和正常的数据库运行造成任何影响，同时应满足权限分离的要求，不容许被审计人员对审计功能元进行修改和操作。对数据库没有影响的功能非常有利于部署实施，设备的部署不需要对数据库进行变动，或者对数据中心结构的其它方面进行变动。审计产品应是一个基于网络的应用解决方案，不需要数据库服务器管理权限或者安装主机软件。其部署及运营可能由网络安全人员进行，而不会对数据库管理资源造成影响。这种方式通过保持安全功能的独立，从而遵守安全实践。xxx信息中心数据库监控保护系统建议书第6页审计设备可以审计所有针对数据库的访问，包括对数据库直接连接的访问，以及前台应用程序对数据库的访问；如果应用通过加密方式访问数据库，同样应该可以审计到。审计功能要求审计到尽可能详细的信息针对每一条数据库的访问，审计记录要细致到每一次事务/查询的原始信息记录，应该可以记录所有的关键信息，至少包括以下各个方面：数据库服务器源IP目的IP原始的查询指令去除具体参数的查询指令源应用软件数据库用户名访问源操作系统用户名访问源操作主机名高级权限操作存储过程目标数据库和SchemaStreamID操作回应内容操作返回的错误代码操作回应的时间操作回应的条目大小如果是前台用户通过Web利用应用服务器访问数据库（BS架构下），还应可以审计记录以下信息：前台应用程序的用户名前台程序的URLWebSessionIDWeb客户端IPxxx信息中心数据库监控保护系统建议书第7页对于通过OracleEBS或SAP等应用服务器访问数据库（CS架构下），应该可以记录最终前台用户的用户名为了有效地记录数据库访问操作，审计人员需要尽可能详细的审计记录信息，详细到准确的查询和响应属性这一级别。数据库审计记录必须将所审计数据库事务归于特定用户。例如，SOX合规审计机制要求必须记录对财务报告数据的每个更改及执行此更改的用户姓名。但是，当用户通过Web应用程序或SAP、OracleE-BusinessSuite等应用服务器访问数据库时，数据库审计系统必须可以记录最终的责任用户。支持BindVariable很多基于数据库的查询是通过BindVariable完成的。这就要求审计系统不光要记录查询中BindVariable的变量的名字，还要记录BindVariable的数值。举例来说：一个包含BindVariable的SQL是：select*fromaaawherename=:who,审计系统不光把这个SQL记录下来，同时要记录:who=jimmy,这样才是完整的包含BindVariable的审计结果。审计策略可以非常灵活的定义由于对于实际的生产系统，需要审计的数据库访问量非常大，这就要求有灵活的审计策略可以定义想要审计的数据库操作的内容。可以定义审计策略的条件应该包括以下各个关键字的条件组合：源IP目的IP原始的查询指令去除具体参数的查询指令源应用软件数据库用户名访问源操作系统用户名