數(shù)據(jù)庫(kù)安全審計(jì)技術(shù)及應(yīng)用探討

王彥

摘要：隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)信息系統(tǒng)的應(yīng)用越來(lái)越廣泛。數(shù)據(jù)庫(kù)作為業(yè)務(wù)平臺(tái)信息技術(shù)的核心和基礎(chǔ)，承載著越來(lái)越多的關(guān)鍵數(shù)據(jù)，其安全性也越來(lái)越重要。因此對(duì)于數(shù)據(jù)庫(kù)安全技術(shù)的研究及應(yīng)用也受到我們的高度重視，本文主要闡述數(shù)據(jù)庫(kù)安全審計(jì)技術(shù)的研究應(yīng)用情況。

關(guān)鍵詞：數(shù)據(jù)庫(kù);安全;審計(jì)

中圖分類號(hào)：TP181 ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2020）28-0044-02

1 概述

隨著政府部門、金融機(jī)構(gòu)、企事業(yè)單位、商業(yè)組織等對(duì)重要數(shù)據(jù)庫(kù)業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)依賴程度的日益增強(qiáng)，數(shù)據(jù)庫(kù)安全及數(shù)據(jù)安全的問(wèn)題受到普遍關(guān)注。

數(shù)據(jù)庫(kù)是存儲(chǔ)很多重要數(shù)據(jù)和一些敏感數(shù)據(jù)的系統(tǒng)，且會(huì)對(duì)很多用戶開(kāi)放增刪改查等權(quán)限。由于訪問(wèn)者眾多，所以泄露的路徑也會(huì)變多，且泄露后無(wú)法溯源泄露路徑，重要數(shù)據(jù)和敏感數(shù)據(jù)的泄露會(huì)給企事業(yè)單位造成重大損失，所以必須采取適當(dāng)?shù)拇胧┻M(jìn)行數(shù)據(jù)庫(kù)內(nèi)數(shù)據(jù)的防護(hù)。

同時(shí)由于信息化建設(shè)、業(yè)務(wù)增長(zhǎng)、系統(tǒng)上云等因素，在各系統(tǒng)中的數(shù)據(jù)庫(kù)服務(wù)器也不斷增加，對(duì)數(shù)據(jù)庫(kù)的管理的方式和通道也日趨復(fù)雜多樣，數(shù)據(jù)安全問(wèn)題日益突出，引發(fā)了諸如濫用特權(quán)賬號(hào)、濫用合法權(quán)限、身份驗(yàn)證不規(guī)范、敏感數(shù)據(jù)泄露、安全防護(hù)措施不足等各類安全問(wèn)題，并加大了安全管理的難度。

以威瑞森電信公司（Verizon）發(fā)布的《2019年數(shù)據(jù)泄露調(diào)查報(bào)告》統(tǒng)計(jì)：

受害者范圍：16%的受害者是公共部門實(shí)體;15%為醫(yī)療行業(yè)單位;10%是金融行業(yè);43%是小企業(yè)受害者。

在違規(guī)行為的使用策略方面：28%涉及惡意軟件;15%的安全事件與被授權(quán)用戶濫用有關(guān);21%的違規(guī)行為是觸發(fā)式的;4%的違規(guī)行為中存在肢體動(dòng)作。33%的安全事件包括社交攻擊;52%的漏洞以黑客攻擊為特點(diǎn)。

在幕后黑客方面：69%的安全事件是外部人員所為;34%的安全事件是內(nèi)部參與者違規(guī)操作所為;39%的違法行為是有組織的犯罪集團(tuán)所為;23%的違規(guī)行為被確定為民族國(guó)家或國(guó)有企業(yè)的角色參與。2%的安全事件是合作伙伴所為;5%為多方當(dāng)事人。

在其他共同點(diǎn)方面：71%的數(shù)據(jù)泄露事件是出于經(jīng)濟(jì)動(dòng)機(jī);25%的數(shù)據(jù)泄露事件是間諜活動(dòng)，為了獲得戰(zhàn)略優(yōu)勢(shì)。32%的數(shù)據(jù)泄露事件涉及釣魚網(wǎng)絡(luò);29%的數(shù)據(jù)泄露事件涉及賬號(hào)信息被盜;56%的數(shù)據(jù)泄露事件需要數(shù)月或更長(zhǎng)時(shí)間才能發(fā)現(xiàn)。

數(shù)據(jù)安全任重道遠(yuǎn)，如何在互聯(lián)網(wǎng)發(fā)展的大潮下同時(shí)確保信息安全，已經(jīng)成為全世界各行業(yè)普遍關(guān)注的焦點(diǎn)問(wèn)題。目前市場(chǎng)上有很多的網(wǎng)絡(luò)安全產(chǎn)品，也可以對(duì)通過(guò)網(wǎng)絡(luò)泄露數(shù)據(jù)起到一些防護(hù)作用，但是由于這些技術(shù)只能對(duì)網(wǎng)絡(luò)進(jìn)行安全防護(hù)，距離數(shù)據(jù)庫(kù)較遠(yuǎn)，無(wú)法從根本上防止這些數(shù)據(jù)庫(kù)泄密風(fēng)險(xiǎn)。只有在現(xiàn)有的安全防護(hù)體系中，補(bǔ)充對(duì)數(shù)據(jù)庫(kù)的防護(hù)這一環(huán)節(jié)，部署“術(shù)業(yè)有專攻”的數(shù)據(jù)安全管理系統(tǒng)，才能從根本上解決數(shù)據(jù)安全問(wèn)題。

2 數(shù)據(jù)庫(kù)安全的功能需求

1）了解數(shù)據(jù)資產(chǎn)的分布。需要通過(guò)技術(shù)手段對(duì)數(shù)據(jù)的資產(chǎn)進(jìn)行分類分級(jí)，定位出敏感數(shù)據(jù)并標(biāo)識(shí)。

2）數(shù)據(jù)庫(kù)狀態(tài)監(jiān)控。需要能對(duì)數(shù)據(jù)庫(kù)的運(yùn)行狀態(tài)進(jìn)行實(shí)時(shí)的監(jiān)控，了解數(shù)據(jù)庫(kù)的并發(fā)量等狀態(tài)，在狀態(tài)不正常時(shí)進(jìn)行提前預(yù)警，防止業(yè)務(wù)癱瘓，保障業(yè)務(wù)系統(tǒng)的連續(xù)可用性。

3）數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)監(jiān)控。需要能通過(guò)系統(tǒng)漏洞、配置風(fēng)險(xiǎn)等掃描的方式，評(píng)估出數(shù)據(jù)庫(kù)系統(tǒng)的風(fēng)險(xiǎn)。

4）數(shù)據(jù)活動(dòng)情況監(jiān)控。需要實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)的活動(dòng)情況，記錄數(shù)據(jù)的增、刪、改、查等行為，能實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的直接訪問(wèn)和通過(guò)Web和應(yīng)用對(duì)數(shù)據(jù)庫(kù)的間接訪問(wèn)對(duì)敏感數(shù)據(jù)進(jìn)行全面監(jiān)控。

3 數(shù)據(jù)庫(kù)安全審計(jì)技術(shù)的總體設(shè)計(jì)與功能實(shí)現(xiàn)

3.1 總體設(shè)計(jì)

數(shù)據(jù)庫(kù)審計(jì)以旁路方式部署于網(wǎng)絡(luò)中靠近數(shù)據(jù)庫(kù)服務(wù)器的位置，根據(jù)5W原則—— Who、Where、When、How、What，實(shí)時(shí)監(jiān)控業(yè)務(wù)系統(tǒng)及管理員等用戶對(duì)數(shù)據(jù)庫(kù)的所有操作行為，根據(jù)多種安全策略判定訪問(wèn)操作的風(fēng)險(xiǎn)等級(jí)，并根據(jù)風(fēng)險(xiǎn)等級(jí)選擇性的告警，實(shí)現(xiàn)完全獨(dú)立于數(shù)據(jù)庫(kù)的審計(jì)與追溯功能，便于事后查因定責(zé)，為數(shù)據(jù)安全筑起最后一道防線。功能實(shí)現(xiàn)示意圖如下：

3.2 功能實(shí)現(xiàn)

3.2.1 技術(shù)概述

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)以旁路部署偵聽(tīng)的工作模式，能對(duì)主流數(shù)據(jù)庫(kù)進(jìn)行深度解析與審計(jì)分析，可以提升數(shù)據(jù)庫(kù)運(yùn)行監(jiān)控的透明度，真正實(shí)現(xiàn)數(shù)據(jù)庫(kù)全業(yè)務(wù)運(yùn)行狀態(tài)的可視化、各種數(shù)據(jù)庫(kù)日常操作可監(jiān)控、對(duì)于高風(fēng)險(xiǎn)操作實(shí)時(shí)阻斷、安全事件事后可追溯。

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)基于五“W”理念，即：什么人在什么時(shí)間在數(shù)據(jù)庫(kù)的什么地方做了什么操作是如何操作的。設(shè)計(jì)出針對(duì)數(shù)據(jù)庫(kù)安全的專業(yè)解決能力，可以解決以下問(wèn)題：識(shí)別越權(quán)使用、權(quán)限濫用，管理數(shù)據(jù)庫(kù)帳號(hào)權(quán)限;自動(dòng)跟蹤敏感數(shù)據(jù)訪問(wèn)行為，及時(shí)發(fā)現(xiàn)敏感數(shù)據(jù)泄漏;自動(dòng)檢測(cè)數(shù)據(jù)庫(kù)系統(tǒng)運(yùn)行弱點(diǎn)、發(fā)現(xiàn)SQL注入等漏洞;自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)業(yè)務(wù)模型、及時(shí)發(fā)現(xiàn)異常SQL;實(shí)時(shí)監(jiān)測(cè)SQL交互量、TCP會(huì)話、風(fēng)險(xiǎn)行為等態(tài)勢(shì);為數(shù)據(jù)庫(kù)管理與優(yōu)化提供決策依據(jù)滿足法律、法規(guī)要求，提供符合性報(bào)告;低成本且有效推行IT管理制度。

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)還提供靈活的告警策略、細(xì)粒度的審計(jì)日志和合規(guī)性的報(bào)表，解決數(shù)據(jù)庫(kù)面臨的“越權(quán)操作、權(quán)限盜用、權(quán)限濫用”等數(shù)據(jù)泄露安全事件的威脅。

3.2.2 ?數(shù)據(jù)庫(kù)采用技術(shù)

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)采用了SQL語(yǔ)法分析技術(shù)，分析、過(guò)濾發(fā)往數(shù)據(jù)庫(kù)的SQL語(yǔ)句。根據(jù)預(yù)先制定的策略決定是否對(duì)某SQL語(yǔ)句或訪問(wèn)行為進(jìn)行記錄，這種審計(jì)方式可以避免記錄大量無(wú)用的、無(wú)風(fēng)險(xiǎn)的日志，減少占用空間并提高發(fā)現(xiàn)問(wèn)題的準(zhǔn)確度。預(yù)先制定的策略包括：

白名單規(guī)則，即遇到該名單認(rèn)可的SQL語(yǔ)句時(shí)，防火墻就將其看作正常語(yǔ)句，不做記錄。

黑名單規(guī)則，即專門記錄該名單未授權(quán)的SQL語(yǔ)句。

例外規(guī)則，即可以靈活地讓適用的安全策略無(wú)效。

屬性規(guī)則，即通過(guò)主客體的屬性記錄訪問(wèn)行為，如一天中的時(shí)間、IP地址、用戶和SQL類等屬性。

3.2.3 數(shù)據(jù)庫(kù)狀態(tài)監(jiān)控

數(shù)據(jù)庫(kù)狀態(tài)監(jiān)控的目的是保證數(shù)據(jù)庫(kù)系統(tǒng)一直處于健康、穩(wěn)定的運(yùn)行狀態(tài)。通過(guò)監(jiān)控?cái)?shù)據(jù)庫(kù)系統(tǒng)的內(nèi)存使用狀況、緩沖區(qū)管理統(tǒng)計(jì)、連接統(tǒng)計(jì)、Cache信息、鎖信息、SQL統(tǒng)計(jì)信息、數(shù)據(jù)庫(kù)信息、計(jì)劃任務(wù)、線程信息、鍵效率、緩沖區(qū)命中率等信息來(lái)判斷數(shù)據(jù)庫(kù)系統(tǒng)運(yùn)行是否出現(xiàn)異常，出現(xiàn)任何異常會(huì)立刻告警通知管理員，防止數(shù)據(jù)庫(kù)系統(tǒng)崩潰。

3.2.4 數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)掃描

數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)掃描中將數(shù)據(jù)庫(kù)中潛在的風(fēng)險(xiǎn)或漏洞，進(jìn)行全面的掃描，以減少數(shù)據(jù)庫(kù)被攻擊或數(shù)據(jù)泄露的風(fēng)險(xiǎn)。功能包括：

弱口令檢測(cè)，即保證數(shù)據(jù)庫(kù)賬號(hào)的口令強(qiáng)度和更換周期，確保不存在缺省口令、弱口令和長(zhǎng)期口令。

軟件漏洞掃描，即檢測(cè)數(shù)據(jù)庫(kù)系統(tǒng)存在的各種軟件漏洞，如緩沖區(qū)溢出漏洞。

權(quán)限分配風(fēng)險(xiǎn)，即對(duì)各個(gè)數(shù)據(jù)庫(kù)賬號(hào)的權(quán)限進(jìn)行分析，及時(shí)發(fā)現(xiàn)權(quán)限分配不合理的情況。

數(shù)據(jù)庫(kù)配置風(fēng)險(xiǎn)，即根據(jù)安全策略檢測(cè)數(shù)據(jù)庫(kù)系統(tǒng)中各種配置參數(shù)的安全性。

操作系統(tǒng)相關(guān)風(fēng)險(xiǎn)，即根據(jù)安全策略檢測(cè)操作系統(tǒng)中各種配置參數(shù)（與數(shù)據(jù)庫(kù)相關(guān)配置）的安全性。

通過(guò)數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)掃描功能可以減少、弱化大多數(shù)人為與非人為造成的數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)，提高數(shù)據(jù)庫(kù)的安全性。

4 數(shù)據(jù)庫(kù)安全審計(jì)技術(shù)的應(yīng)用

1）實(shí)時(shí)會(huì)話展現(xiàn)。不僅可以實(shí)時(shí)展現(xiàn)實(shí)時(shí)在線的會(huì)話，而且可以實(shí)時(shí)展現(xiàn)會(huì)話中的風(fēng)險(xiǎn)級(jí)別數(shù)據(jù)，讓數(shù)據(jù)庫(kù)的訪問(wèn)和數(shù)據(jù)庫(kù)的風(fēng)險(xiǎn)“一目了然”。

2）細(xì)粒度的SQL審計(jì)日志。通過(guò)5“W”的設(shè)計(jì)理念，最終實(shí)現(xiàn)能審計(jì)詳細(xì)的SQL日志信息，包括但不限于支持對(duì)執(zhí)行時(shí)間、數(shù)據(jù)庫(kù)賬號(hào)、來(lái)源IP、來(lái)源端口、來(lái)源MAC、客戶端工具、目標(biāo)IP、目標(biāo)端口、目標(biāo)MAC、數(shù)據(jù)庫(kù)實(shí)例名、SQL語(yǔ)句、執(zhí)行時(shí)長(zhǎng)、SQL類型、SQL命令、操作對(duì)象、二級(jí)操作對(duì)象、SQL行數(shù)、SQL狀態(tài)等至少25個(gè)條件進(jìn)行審計(jì)。

3）多條件的全文檢索機(jī)制。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)不僅可以做細(xì)粒度的審計(jì)，而且提供了豐富的檢索條件，包括但不限于：來(lái)源信息、目標(biāo)信息、操作類型、操作內(nèi)容、關(guān)鍵字、響應(yīng)時(shí)間、返回行數(shù)、風(fēng)險(xiǎn)級(jí)別等。

4）智能的數(shù)據(jù)分析技術(shù)。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)利用secsmart審計(jì)引擎，內(nèi)置了智能的自動(dòng)建模機(jī)制，最終實(shí)現(xiàn)正常與異常的數(shù)據(jù)分析能力;不僅幫助客戶梳理常態(tài)化的數(shù)據(jù)類型，而且可以有效快速地發(fā)現(xiàn)異常訪問(wèn);一旦發(fā)現(xiàn)異常則及時(shí)告警并通知管理員。

5）數(shù)據(jù)自發(fā)現(xiàn)、自告警功能。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)中內(nèi)置了豐富多樣的威脅特征庫(kù)和風(fēng)險(xiǎn)規(guī)則庫(kù)，可以有效地對(duì)SQL注入、緩沖區(qū)溢出、暴力破解數(shù)據(jù)庫(kù)等行為進(jìn)行及時(shí)告警，為管理層提供風(fēng)險(xiǎn)分析依據(jù)。

5 數(shù)據(jù)庫(kù)安全審計(jì)技術(shù)的價(jià)值意義

通過(guò)上述解決方案，將有效解決用戶所面臨的數(shù)據(jù)安全治理的需求：使數(shù)據(jù)安全可視、使數(shù)據(jù)安全合規(guī)?？梢詭?lái)如下價(jià)值：

1）實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的全面監(jiān)控。用戶通過(guò)部署審計(jì)系統(tǒng)可以了解數(shù)據(jù)資產(chǎn)的分布情況，對(duì)數(shù)據(jù)系統(tǒng)的可用性、風(fēng)險(xiǎn)性以及對(duì)數(shù)據(jù)的操作都一目了然;并結(jié)合企業(yè)對(duì)于數(shù)據(jù)安全的管理要求加以監(jiān)督，從而達(dá)到提高員工安全意識(shí)，強(qiáng)化員工操作規(guī)范目的。

2）滿足法律法規(guī)的要求。隨著競(jìng)爭(zhēng)壓力的不斷提高以及客戶的法律意識(shí)不斷加強(qiáng)，各監(jiān)管機(jī)構(gòu)也出臺(tái)了與信息安全特別是敏感數(shù)據(jù)保護(hù)相關(guān)的各種合規(guī)要求，因此需要通過(guò)相應(yīng)的技術(shù)手段合規(guī)落地。

3）便于責(zé)任認(rèn)定。對(duì)于出現(xiàn)的違規(guī)事件可以完整記錄，并在必要時(shí)加以追溯，同時(shí)記錄的事件可確保其完整性、防篡改性及不可否認(rèn)性，以滿足審計(jì)部門的要求。

4）提升數(shù)據(jù)安全管理能力。簡(jiǎn)化業(yè)務(wù)治理，提高數(shù)據(jù)安全管理能力。完善縱深防御體系，提升整體安全防護(hù)能力。減少核心數(shù)據(jù)泄漏，保障業(yè)務(wù)連續(xù)性。

參考文獻(xiàn)：

[1] 賀桂英，周杰，王旅.數(shù)據(jù)庫(kù)安全技術(shù)[M].北京：人民郵電出版社，2018.

[2] 黃水萍，馬振超.數(shù)據(jù)庫(kù)安全技術(shù)[M].北京：機(jī)械工業(yè)出版社，2019.

[3] 劉昉.數(shù)據(jù)庫(kù)應(yīng)用與安全管理[M].北京：機(jī)械工業(yè)出版社，2020.

[4] 楊茹.計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全管理技術(shù)探討[J].內(nèi)蒙古科技與經(jīng)濟(jì)，2019（23）：57.

[5] 洪亞蘭.計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全管理技術(shù)分析[J].電腦編程技巧與維護(hù)，2019（11）：84-86.

[6] 陶然，張?zhí)K炯.大數(shù)據(jù)技術(shù)下安全審計(jì)系統(tǒng)的研究分析[J].中國(guó)信息化，2020（4）：90-91.

【通聯(lián)編輯：唐一東】