強化審計與風險控制應對數(shù)據(jù)庫安全挑戰(zhàn)

申請免費試用、咨詢電話：400-8352-114

互聯(lián)網的急速發(fā)展使得企業(yè)的數(shù)據(jù)庫信息價值及可訪問性得到了提升，同時，也致使數(shù)據(jù)庫信息資產面臨嚴峻的挑戰(zhàn)，概括起來主要表現(xiàn)在以下三個層面：

·管理層面：主要表現(xiàn)為人員的職責、流程有待完善，內部員工的日常操作有待規(guī)范，第三方維護人員的操作監(jiān)控失效等等，致使安全事件發(fā)生時，無法追溯并定位真實的操作者。

·技術層面：現(xiàn)有的數(shù)據(jù)庫內部操作不明，無法通過外部的任何安全工具(比如：防火墻、IDS、IPS等)來阻止內部用戶的惡意操作、濫用資源和泄露企業(yè)機密信息等行為。

·審計層面：現(xiàn)有的依賴于數(shù)據(jù)庫日志文件的審計方法，存在諸多的弊端,比如:數(shù)據(jù)庫審計功能的開啟會影響數(shù)據(jù)庫本身的性能、數(shù)據(jù)庫日志文件本身存在被篡改的風險，難于體現(xiàn)審計信息的真實性。

伴隨著數(shù)據(jù)庫信息價值以及可訪問性提升，使得數(shù)據(jù)庫面對來自內部和外部的安全風險大大增加，如違規(guī)越權操作、惡意入侵導致機密信息竊取泄漏，但事后卻無法有效追溯和審計。

數(shù)據(jù)庫審計的客觀需求

數(shù)據(jù)庫審計與風險控制的目的概括來說主要是三個方面：一是確保數(shù)據(jù)的完整性;二是讓管理者全面了解數(shù)據(jù)庫實際發(fā)生的情況;三是在可疑行為發(fā)生時可以自動啟動預先設置的告警流程，防范數(shù)據(jù)庫風險的發(fā)生。因此，如何采取一種可信賴的綜合途徑，確保數(shù)據(jù)庫活動記錄的100%捕獲是極為重要的，任何一種遺漏關鍵活動的行為，都會導致數(shù)據(jù)庫安全上的錯誤判斷，并且干擾數(shù)據(jù)庫在運行時的性能。只有充分理解企業(yè)對數(shù)據(jù)庫安全審計的客觀需求，才能夠給出行之有效的解決方案：

·捕捉數(shù)據(jù)訪問：不論在什么時間、以什么方式、只要數(shù)據(jù)被修改或查看了就需要自動對其進行追蹤;

·捕捉數(shù)據(jù)庫配置變化：當“數(shù)據(jù)庫表結構、控制數(shù)據(jù)訪問的權限和數(shù)據(jù)庫配置模式”等發(fā)生變化時，需要進行自動追蹤;

·自動防御：當探測到值得注意的情況時，需要自動啟動事先設置的告警策略，以便數(shù)據(jù)庫安全管理員及時采取有效應對措施，對于嚴重影響業(yè)務運行的高風險行為甚至可以立即阻斷;

·審計策略的靈活配置和管理：提供一種直截了當?shù)姆椒▉砼渲盟心繕朔掌鞯膶徲嬓问?、具體說明關注的活動以及風險來臨時采取的動作;

·審計記錄的管理：將從多個層面追蹤到的信息自動整合到一個便于管理的，長期通用的數(shù)據(jù)存儲中，且這些數(shù)據(jù)需要獨立于被審計數(shù)據(jù)庫本身;

·靈活的報告生成：臨時和周期性地以各種格式輸出審計分析結果，用于顯示、打印和傳輸;

現(xiàn)有的數(shù)據(jù)庫審計解決方案的不足

傳統(tǒng)的審計方案，或多或少存在一些缺陷，主要表現(xiàn)在以下幾個方面：

·傳統(tǒng)網絡安全方案：依靠傳統(tǒng)的網絡防火墻及入侵保護系統(tǒng)(IPS)，在網絡中檢查并實施數(shù)據(jù)庫訪問控制策略。但是網絡防火墻只能實現(xiàn)對IP地址、端口及協(xié)議的訪問控制，無法識別特定用戶的具體數(shù)據(jù)庫活動(比如：某個用戶使用數(shù)據(jù)庫客戶端刪除某張數(shù)據(jù)庫表);而IPS雖然可以依賴特征庫有限阻止數(shù)據(jù)庫軟件已知漏洞的攻擊，但他同樣無法判別具體的數(shù)據(jù)庫用戶活動，更談不上細粒度的審計。因此，無論是防火墻，還是IPS都不能解決數(shù)據(jù)庫特權濫用等問題。

·基于日志收集方案：需要數(shù)據(jù)庫軟件本身開啟審計功能，通過采集數(shù)據(jù)庫系統(tǒng)日志信息的方法形成審計報告，這樣的審計方案受限于數(shù)據(jù)庫的審計日志功能和訪問控制功能，在審計深度、審計響應的實時性方面都難以獲得很好的審計效果。同時，開啟數(shù)據(jù)庫審計功能，一方面會增加數(shù)據(jù)庫服務器的資源消耗，嚴重影響數(shù)據(jù)庫性能;另一方面審計信息的真實性、完整性也無法保證。

·其他諸如應用程序修改、數(shù)據(jù)源觸發(fā)器、統(tǒng)一認證系統(tǒng)授權等等方式，均只能記錄有限的信息，更加無法提供細料度的數(shù)據(jù)庫操作審計。（IT專家網）