选购数据库安全审计产品的5大要素

2013-10-22 10:28:47 eNet硅谷动力　点击量：评论 (0)

近年来，有关数据库的安全事故可谓层出不穷，诸如银行内部数据信息泄露造成的账户资金失密、信用卡信息被盗用导致的信用卡伪造、企业内部机密数据泄露引起的竞争力下降……，这些情况无不说明了实施数据库安

近年来，有关数据库的安全事故可谓层出不穷，诸如银行内部数据信息泄露造成的账户资金失密、信用卡信息被盗用导致的信用卡伪造、企业内部机密数据泄露引起的竞争力下降……，这些情况无不说明了实施数据库安全审计的必要。

　　那么，首先让我们来了解一下部署数据库安全审计产品能给用户带来的益处：

　　1. 满足合规性要求，顺利通过IT审计

　　目前，越来越多的单位面临一种或者几种合规性要求。比如，在美上市的中国移动集团公司及其下属分子公司就面临SOX法案的合规性要求；而商业银行则面临Basel协议的合规性要求；政府的行政事业单位或者国有企业则有遵循等级保护、分级保护的合规性要求。

　　数据库审计系统为用户核心系统提供了独立的审计解决方案，有助于完善组织的IT内控体系，从而满足各种合规性要求，并且使组织能够顺利通过IT审计。

　　2.有效减少核心信息资产的破坏和泄漏

　　对单位的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统上（如数据库服务器、应用服务器等），通过使用数据库安全审计产品，能够加强对这些关键系统的审计，从而有效地减少对核心信息资产的破坏和数据泄漏。

　　3.追踪溯源，便于事后追查原因与界定责任

　　一个单位里负责运维的部门通常拥有数据库管理系统的最高权限（掌握DBA帐号的口令），因而也承担着很高的风险（误操作或者是个别人员的恶意破坏）。审计系统能够帮助企业进行事后追查原因与界定责任。

　　4.直观掌握业务系统运行的安全状况

　　业务系统的正常运行需要一个安全、稳定的网络环境。对管理部门来说，网络环境的安全状况事关重大。审计系统提供业务流量监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况。

　　5.实现独立审计，完善IT内控机制

　　从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。审计系统实现独立审计，帮助监督人员获得有效的技术手段，从而完善企业IT内控机制。

　　沿着安全审计的发展轨迹了解数据库安全审计的由来

　　无庸质疑，数据库安全审计已经成为现如今很多企事业单位的必需技术及产品，那么，接下来就让我们从历史轨迹的角度，了解一下数据库安全审计技术的由来。

　　安全审计技术源于1980年4月James P. Anderson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视）的技术报告，他提出了一种对计算机系统风险和威胁的分类方法，并将威胁分为外部渗透、内部渗透和不法行为三种，还提出了利用审计跟踪数据监视威胁活动的思想。

　　1990年加州大学戴维斯分校的L. T. Heberlein等人开发出了NSM（Network Security Monitor）。该系统第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异种主机。由此，衍生出了网络监听审计技术，该技术通过将对数据库系统的访问流镜像到交换机某一个端口，然后通过专用硬件设备对该端口流量进行分析和还原，从而实现对数据库访问的审计。

总的来讲，网络监听审计技术在数据库审计的应用发展上经历了三个主要阶段，分别如下：

　　第一阶段：流量行为审计，该阶段实现了对OSI七层模型中的网络层到会话层的覆盖，主要对数据库访问行为进行分析和统计，如IP、端口、连接次数等，一些产品甚至还提供了原始IP报文分析的手段；用户可以利用该技术实现对数据库访问流量进行分析和统计，能够让用户及时了解各应用消耗的网络资源和TOP N流量来源，帮助用户在网络规划、监控、优化、故障诊断等方面做出决策。

　　第二阶段：内容审计，该阶段实现了对OSI七层模型中的表示层到应用层的覆盖，利用关键字对SQL整个语句的进行模糊匹配，主要对数据库访问行为实现内容记录，如数据库登陆账号、SQL语句等；用户可以利用该技术实现对SQL操作进行记录、分析和统计，该阶段能够满足对数据库审计的基本需求，但是在响应和分析的精度上存在较大误差，难以满足大中型用户对数据库审计的需求；

第三阶段：语法解析阶段，该阶段集中在应用层，实现对SQL语句的语义分析，尽可能的将操作数据库的SQL语句进行细粒度解析，比如账号名、数