下一代数据库安全审计新要求

      一、概述
　　随着数据库技术的迅猛发展，数据库的应用十分广泛，深入到各个领域。数据库中作为信息的聚集体，存储着大多数现代机构依赖的信息，从基础数据到商业伙伴和客户的信息、核心机密、敏感数据都存储在数据库中，是任何商业和公共安全中最具有战略性的资产。也正是由于数据库的重要性和其拥有的价值，对攻击者具有很大的吸引力，因此其受到蓄意攻击的可能性增加。

　　同时，数据库系统本身的弱点也使其成为易受攻击的目标，由于数据库的数据经常需要更新以及其它众多的操作活动，再加上为了适应更新的需要，许多数据库提供的优化接口，都可能受到攻击者的利用。

　　而另一方面，网络化也使数据库面临着日趋严重的安全形势。网络化使数据库的使用不受时空的限制，延伸了受到攻击的时间和空间。内部员工对数据库数据的越权访问、篡改甚至恶意破坏，竞争对手或其他非法者对数据的窃取，都将对公司带来经济损失甚至毁灭性的破坏。

　　因此，各行各业逐渐意识到了数据库安全审计的重要性，其安全挑战已经引起了全社会的高度重视，防止非法用户的越权使用、窃取、更改或破坏，并防止数据的泄露和丢失，追溯事故源操作者成为迫切需要解决的问题。

      二、数据库面临的安全挑战
　　互联网的急速发展使得企业数据库信息的价值及可访问性得到了提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵、漏洞攻击导致机密信息窃取泄漏，特别是当前B/S网络架构下的数据库访问形式，使得安全事件发生后却无法有效追溯和审计。概括起来，数据库信息资产面临严峻的挑战，主要表现在以下几个方面：

　　管理不善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，而当前数据库系统的访问形式大部分是基于B/S架构的，致使安全事件发生时，无法追溯并定位真实的操作者。

　　现有的数据库内部操作不明，虽然网络层面有部署了传统的边界安全防护工具（如：防火墙、IDS等），但仍未能来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。

　　数据库自身的脆弱性（如授权绕过、缓冲区溢出等）是数据库系统受到攻击的主要原因。美国Verizon就“核心数据是如何丢失的”做过一次全面的市场调查，结果发现，75%的数据丢失情况是由于数据库漏洞造成的，这说明数据库的安全非常重要。

　　数据库自身的审计功能和性能比较差，而且数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。
　　
　　综合分析，除了网络安全和系统安全的防护建设外，应该高筑数据库防护方面的安全体系，以保证数据库系统的安全，实现数据的保密性、完整性和有效性，能实时发现数据库的脆弱性漏洞，并能对数据库的操作行为进行有效地审计，万一发生安生事件，亦能寻得到事故根源，找得事故责任人。

　　三、应对措施
　　为了解决数据库信息安全领域的深层次、应用及业务逻辑层面的安全问题及审计需求，蓝盾股份在多年数据库安全的理论和实践经验积累的基础上，有足够的能力和技术功底为业界、政府、企业的核心数据库提供全面的安全防护产品，重点实现细粒度审计、精准化行为回溯、漏洞发现、全方位风险控制，为您的核心数据库提供全方位、细粒度的保护功能。

　　下面，就当前数据库的热门安全问题和基于B/S的数据库访问架构，谈谈应该如何进一步加强对数据库的保护。

　　三层关联审计组件，追溯原始操作者
　　对于B/S架构的应用系统而言，用户通过WEB服务器实现对数据库的访问，即是基于“浏览器－－Web中间件――数据库”的三层架构访问模式。虽然用户采用不同的账号访问Web中间件，但是中间件对数据库的操作行为却是以某一内置的固定账号进行的，而传统的数据库审计系统只能审计到WEB 服务器的相关信息，无法识别是哪个原始访问者发出的请求。蓝盾独有的三层关联审计组件通过关联应用层的访问和数据库层的访问操作请求，可以追溯到应用层的原始访问者及请求信息（如：用户名、操作发生的URL、客户端的IP、对应的SQL等信息）。三层关联审计组件实时抓取、解析业务用户到WEB 服务器的的访问数据，同时抓取、解析WEB 服务器到数据库的访问数据，并根据时间片、关键字、双向内容匹配、自学习等要素进行信息筛选和并联分析，并将三者对应的关联关系及关键参数存储到特定的日志库，以确定符合数据库操作请求的WEB访问，通过三层关联审计更精确地定位事件发生前后所有层面的访问及操作请求。

　　Ukey认证，结合账号管理，实现身份的不可抵赖
　　对于一些大型企业或政府单位，自然必须搭建大量的数据库服务器。若各个系统独自管理数据库系统内的账号、口令或数字证书，并以孤立的日志形式审计操作者对服务器的操作行为，难以满足安全的发展需求，亟待从安全技术手段上对用户身份进行唯一性管理。

　　ＵKey本身作为密钥存储器，自身硬件结构决定了用户只能通过厂商编程接口访问数据，这就保证了保存在ＵKey中的数字证书无法被复制，并且每一个ＵKey都带有PIN码保护，这样ＵKey的硬件与PIN码就构成了使用ＵKey进行身份认证的双因子。

　　通过含有用户数字证书的ＵKey进行身份的高级验证，并绑定数据库服务器的账号，可以实现将数据库服务器主机账号与具体用户真实身份相关联，实现用户身份的唯一性管理。通过这种关联，只有持有合法ＵKey的用户才能登录访问，确保不同主机、系统间行为审计的一致性，对用户的登录和访问实现细粒度的控制，从而准确定位事故责任人。
　　具体的系统流程如下图所示。


      用户通过含有个人数字证书的Ukey进行登录，账号集中管理认证组件读取Ｕkey中的用户数字证书等可验证用户真实身份的信息并进行验证，对能确认真实身份的用户进行数字证书与数据库服务器账号的捆绑，捆绑后的用户，按账号集中管理认证功能组件的权限分配，允许用户对指定数据库服务器主机的访问，实现了系统账号的集中认证与唯一身份识别，方便对用户的操作行为进行不可抵赖审计和回放。

      数据库的脆弱性扫描，及时安全加固
　　除一些网络安全漏洞、操作系统漏洞外，数据库自身的脆弱性（如授权绕过、缓冲区溢出等）也是受到攻击和数据泄漏的根本原因。数据库安全漏洞从来源上，大致可以分为四类：缺省安装漏洞、人为使用上的漏洞、数据库设计缺陷、数据库产品的bug。

　　蓝盾的数据库安全扫描组件，通过对数据库服务器的漏洞及潜在的风险进行测试，能准确对数据库系统的各项设置、数据库系统软件本身已知漏洞、数据库系统完整性进行检查和对数据库系统的整体安全性做出评估，可以检测出Windows、Unix、Linux操作系统下的Oracle、SQL Server、My SQL、DB2、Sybase、Informix等主流数据库的漏洞，并提供相应的解决方案和修复建议，如提醒管理员及时更新新版和下载补丁等，从而防止黑客非法使用数据库造成数据泄露、更改或破坏。

　　另外，蓝盾的数据库安全防护系列产品还能提供数据库实时审计、均衡的双向审计、实时监控与风险控制、细粒度审计规则、精准的行为检索、安全事件回放、预警等数据库安全机制，在不影响数据库系统自身性能的前提下，实现对数据库的在线监控、保护和脆弱性评估，及时地发现网络上针对数据库的违规操作行为并进行记录、报警和实时阻断，有效地弥补现有应用业务系统在数据库安全使用上的不足，集认证、授权、扫描、安全响应和安全审计为一体，真正实现数据库运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯，为数据库系统的安全运行提供了有力保障。（文/周宋明）