数据库风险分析与安全监控审计系统DbXpert解决方案.doc

华为数据库风险分析与安全监控审计系统
（DbXpert）

技术提议书

、

华为技术有限企业
2024年10月

目录
1.产品简介 3
1.1客户需求 3
1.2产品概述 5
1.3功能简介 6
2.系统架构 6
2.1系统构成 6
2.2系统布署 7
3.产品功能 8
3.1功能简介 8
3.2功能特点 9
3.2.1完整会话与“细粒度”数据库审计： 9
3.2.2国内领先超长SQL语句、绑定变量解析技术： 12
3.2.3灵活数据库访问方略： 12
3.2.4全面完整数据库审计与操作回溯： 15
3.2.5全职分离： 16
4.产品应用 17
4.1数据库服务器应用优化 17
4.2数据库服务器运维正常运行 18
4.3敏感数据信息泄密防护 18
4.4法律责任规避 18
5.产品服务与技术支持 18

1.产品简介
1.1客户需求
伴随计算机技术飞速发展，数据库应用十分广泛，深入到各个领域，但随之而来产生了数据安全问题以及数据库访问安全问题。多种应用系统数据库中大量数据安全问题、敏感数据防窃取和防篡改问题，越来越引起人们高度重视。数据库系统作为信息汇集体，是计算机信息系统关键部件，其安全性至关重要，关系到企业兴衰、成败。因此，怎样有效地保证数据库系统安全，实现数据保密性、完整性和有效性，已经成为业界人士探索研究重要课题之一。
由于计算机和网络普及和广泛应用，越来越多关键业务系统运行在数据库平台上。数据库中数据作为企业财富发挥着越来越重要作用，同步也成为不安定原因重要目。怎样保证数据库自身安全，已成为现代数据库系统重要评测指标之一。数据库是信息技术关键和基础，广泛应用在电信、金融、政府、商业、企业等诸多领域，当我们说现代经济依赖于计算机时， 我们真正意思是说现代经济依赖于数据库系统。数据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、 产品资料等极其重要和敏感信息。尽管这些系统数据完整性和安全性是相称重要，但对数据库采用安全检查措施级别 还比不上操作系统和网络安全检查措施级别。许多原因都也许破坏数据完整性并导致非法访问，这些原因包括复杂程度、 密码安全性较差、误配置、未被察觉系统后门以及数据库安全方略缺失等。
任何政企单位重要电子数字资产都存贮在现代关系数据产品中。商业机构和政府组织都是运用这些数据库数据库得到人事信息等，如医疗记录、人员工资等。因此他们有责任保护他人隐私，并为他们保密。数据库数据库还存有此前和未来敏感金融数据，包括贸易记录、商业协议及帐务数据等。像技术所有权、工程数据，甚至市场企划等决策性机密信息，必须对竟争者保密，并制止非法访问，数据库数据库还包括详细顾客信息，如财务帐目，信用卡号及商业伙伴信用信息等。目前世界上主流关系型数据库，诸如Oracle、Sybase、Microsoft SQL Server、IBM DB2/Informix等数据库数据库都具有如下特性：顾客帐号及密码、校验系统、优先级模型和控制数据库尤其许可、内置命令（存储过程、触发器等）、唯一脚本和编程语言（例如PL/SQL、Transaction-SQL、OEMC等）、中间件、网络协议、强有力数据库管理实用程序和开发工具。
数据库数据库应用相称复杂，掌握起来非常困难。许多数据库管理员都忙于管理复杂系统， 因此很也许没有检查出严重安全隐患和不妥配置，甚至主线没有进行检测。 正是由于老式安全体系在很大程度上忽视了数据库安全这一主题，使数据库专业人员也一般没有把安全问题当作他们首要任务。 在安全领域中，类似网页被修改、电脑中病毒、木马、流氓软件、弹出窗口等所导致经济损失微乎其微， 而一旦数据库出现安全风险并被恶意运用所导致后果几乎是劫难性和不可挽回。
安全是多种环节层层防备、共同配合成果。也就是说在安全领域不可以仅靠某一种环节完毕所有安全防备措施。一种安全系统需要数据库安全、操作系统安全、网络安全、应用系统自身安全共同完毕。数据库领域安全措施一般包括：身份识别和身份验证、自主访问控制和强制访问控制、安全传播、系统审计、数据库存储加密等。只有通过综合有关安全各个环节，才能保证高度安全系统。
不完善数据库安全保障设施不仅会危及数据库安全，还会影响到数据库操作系统和其他信用系统。尚有一种不很明显原因阐明了保证数据库安全重要性－数据库系统自身也许会提供危及整个网络体系机制。例如，某个企业也许会用数据库数据库保留所有技术手册、文档和白皮书库存清单。数据库里这些信息并不是尤其重要，因此它安全优先级别不高。虽然运行在安全状况良好操作系统中，入侵者也可通过“扩展入驻程序”等强有力内置数据库特性，运用对数据库访问，获取对当地操作系统访问权限。这些程序可以发出管理员级命令，访问基本操作系统及其所有资源。假如这个特定数据库系统与其他数据库有信用关系，那么入侵者就会危及整个网络域安全。
20世纪90年代开始，各个企业展开了以计算机技术替代手工业务研究。到了90年代中后期，伴随信息技术和互联网应用发展，我国计算机行业已经完毕了以业务核算为关键信息化发展历程，开始向管理信息化方向转型，为此后数据信息化奠定了良好基础。数据信息化目是实现数据信息充足共享。假如数据库中数据遭到篡改或泄漏，或者被人非法运用，将导致不可估计损失。
由此可见，数据库安全实际上是信息系统信息安全关键，在这种状况下，有必要采用专业新型数据库安全产品，专门对信息系统数据库进行保护。

1.2产品概述
面对以上种种安全隐患和市场需求，华为技术有限企业推出了新型审计系统，用以处理数据库安全问题。
华为数据库风险分析与安全监控审计系统V1.0（简称“DbXpert V1.0”）是华为技术有限企业自行研制开发新一代数据库安全审计系统。DbXpert通过旁路侦听方式对访问数据库数据流进行采集、分析和识别。实时监视数据库运行状态，记录多种访问数据库行为，发现对数据库异常访问，并对访问数据库有关行为、发送和接受有关内容进行存储、分析、排名和查询。
伴随数据库使用越来越普及，给我们带来许多以便同步，也给数据库也带来了许多风险和挑战，例如：非法访问数据库、运用合法访问数据库身份对数据库进行非法操作、正常访问数据库对数据库进行误操作、上传下载数据、泄露企业敏感和机密信息。这些威胁和挑战事件多数是来自于内部合法访问者“合法”操作，仅靠某些安全产品如防火墙等日志和控制功能并不能很好满足对这些网络安全事件（尤其是基于应用程序）行为审计规定，DbXpert正是在这样需求下产生。华为凭借在安全审计领域数年技术积累和研发经验，推出合用于多种网络环境新一代数据库安全审计系统。它通过专门细致网络数据获取协议分析技术、数据存储技术、数据查询技术并配合完善管理规则，协助访问者应对来自网络中风险和挑战。

1.3功能简介
作为DbXpert重要用于网络中对数据库访问行为、内容进行审计、报警、过滤和分析，多种数据库访问，如：oracle、informix、DB2、SQL server、sybase等。DbXpert布署于网络到数据库关键互换机连接处。

2.系统架构
2.1系统构成
DbXpert重要由如下3个部分构成：
① DbXpert侦听搜集引擎；
② DbXpert数据存储中心；
③ DbXpert控制管理中心；
DbXpert侦听搜集引擎、DbXpert数据存储中心、DbXpert控制管理中心在物理上布署在同一台专用服务器上。
DbXpert侦听搜集引擎全面监听网络连接到数据库数据流，根据配置方略，实时监视所有数据包进行分析记录，并将审计成果保留在DbXpert数据存储中心对应数据库里；同步DbXpert侦听搜集引擎接受并执行DbXpert控制管理中心多种方略。
DbXpert数据存储中心重要用于多种数据保留，并提供多种数据查询。
DbXpert控制管理中心重要用于提供审计、管理等方略设置接口，如配置数据库服务器管理；程序升级等接口；DbXpert控制管理中心采用B/S架构，通过提供浏览器服务端，使管理人员很以便通过网页浏览器对DbXpert控制管理中心进行操作管理。

2.2系统布署
面对XXX顾客网络构造图（如下图1），我们采用是将DbXpert布署在内网关键互换机上。

图1：XXX顾客网络拓扑图

DbXpert在网络中布署方式（如图2）。由于DbXpert支持多镜像端口布署方式，在内网中关键互换机采用了负载均衡方式对接，这样话，数据流就会随意走2台关键互换机，我们只需在2台关键互换机上各配置一种镜像端口，连接到DbXpert即可。

图2：DbXpert在网络中布署方式

3.产品功能
3.1功能简介
审计对象：DbXpert所指审计对象是指DbXpert逻辑上可以审计数据库服务器；DbXpert可以采用多级布署方式管理审计对象；并且在DbXpert内部可以按照多种方式来表达审计对象：如客户端登录IP、登录顾客名、登录主机名、登录程序、来源端口等；服务端数据库类型、数据库端口、数据库账号；会话详情SQL语句、消息长度、数据库服务器返回信息、绑定变量解析等。
DbXpert重要功能包括：系统管理、方略管理、日志审计、记录报表、实时监控和系统监测。

系统管理是对DbXpert自身配置，以便对系统访问、授权与管理等功能。其中包括：接口配置、顾客管理、输出配置与授权许可。
方略管理是对目数据库服务器资产添加、授权、方略制定、告警设置等配置功能。其中包括：资产、白名单、对象、方略、动作与管理。
日志审计是以数据库服务器资产为审计对象，从而记录运维人员对数据库服务器操作与访问行为；便对数据库运行状况实时查看、故障分析以及告警级别确实定。其中包括：会话审计、方略告警、异常告警与系统事件。
系统监测是顾客通过DbXpert审计数据信息显示；以便顾客全面、统一、及时对数据库服务器运行状况进行分析与排错。其中包括：最新方略告警、最新违规操作、最新系统事件。

3.2功能特点
3.2.1完整会话与“细粒度”数据库审计：
深度解码数据库网络数据流传播协议，完整、细粒度分析并再现顾客数据库操作活动会话过程。完整记录顾客数据库会话细节，包括顾客数据库登录行为、登出行为、SQL操作顾客名称、SQL操作源程序名称、SQL操作源终端名称、SQL操作源终端登录顾客名称、SQL会话参数设置、SQL操作语句、SQL操作返回状态、SQL操作波及表组、字段、视图、索引、过程 、函数、SQL DML操作影响行数、SQL语句执行时间、原始数据库记录包、超长SQL语句、绑定变量解析等。此功能国内唯一。

完整解析、记录、关联SQL操作语句参数，可自动回溯重构完整SQL操作语句。

实时监控来自各个层面所有数据库活动，包括网络流量、数据包、突发连接、并发连接、SQL语句实时数量，并且提供实时视图窗口查看数据库运行状态。它可以协助DBA更好管理数据库。

提供灵活数据库访问行为来源限制，可选择忽视审计特定网络和主机产生数据库SQL操作；亦可限制仅对特定“嫌疑”对象进行细粒度、全方位审计，包括记录整个数据库操作会话过程所有网络数据包。

覆盖主流商用数据库，包括：Oracle 8/9/10/11等、Sybase所有版本、SQL Server /、Informix所有版本、DB2所有版本。

3.2.2国内领先超长SQL语句、绑定变量解析技术：
DbXpert是基于流和会话技术，进行全状态、全协议解码，能完整、细粒度解析超长SQL语句、绑定变量。目前五大商用数据库客户端与服务端之间是基于数据库查询是通过Bind Variable完毕，这就规定审计系统不光要记录查询中Bind Variable变量名字，还要记录Bind Variable数值。该功能国内唯一。
Bind Variable解析：

超长SQL语句解析：

3.2.3灵活数据库访问方略：
提供来源（客户端）登录IP异常探测、数据库登录顾客名称异常探测、数据库操作源终端异常探测、数据库操作源程序名称异常探测、数据库操作源终端顾客名称异常探测。

提供数据库SQL语句执行时间、数据库操作闲置时间方略报警，提供数据库DML、DDL等操作影响行数方略报警，提供数据库SELECT SQL操作语句返回行数方略报警。

提供全方位方略规则匹配，方略因子包括：数据库操作来源IP地址、数据库服务器IP/端口、数据库类型、数据库名称、数据库登录顾客名称、数据库操作源程序名称、数据库操作源终端名称、数据库操作源终端顾客名称、SQL操作语句（DDL、DML、DCL）、数据库表组（表、列）、数据库SCHEMA等。

多形式实时告警：当检测到可疑操作或违反审计规则操作时，系统可以通过WEB告警、邮件告警等方式告知数据库管理员。

根据设定数据库方略，可选择对关键资源操作行为进行数据包录像、深度分析解析开关。

审计记录记录原始数据网络流量包，可下载至当地：

3.2.4全面完整数据库审计与操作回溯：
记录数据库会话详细细节，当发生数据库安全事件时，顾客可根据数据库地址、源客户端地址、事件时间、SQL语句关键词、数据库账号、数据库地址等，迅速检索定位操作会话。

会话审计记录细致到每一次事务/查询原始信息，记录所有关键信息，至少包括如下各个方面：数据库服务器名称、数据库操作源IP地址、目IP地址、原始查询指令、关联参数绑定后数据库SQL操作语句、源应用程序名称、数据库顾客名称、访问源操作系统顾客名称、访问源操作主机名称、高级权限操作、目数据库、SCHEMA、操作回应内容、操作返回错误代码、操作回应时间、操作回应条目大小等。

提供完善违规实时告警，包括异常告警、违反方略告警等。告警信息可根据数据库地址、数据库名称、访问源IP地址、顾客名称、源程序名称、源终端名称等排序、记录和报表。可灵活定制报表格式和规范，可根据规定生成顾客环境自定义报表。

3.2.5全职分离：
《计算机信息系统安全等级保护数据库管理技术规定》、《企业内部控制规范》、SOX法案或PCI中明确提出对工作人员进行职责分离，系统设置权限角色分离。

提供超级管理员、资产管理员和审计管理员权限分离；资产管理员可以添加数据库审计服务器、审计方略制定、审计记录查看等。审计管理员可以查看和审计数据库会话详细信息、记录分析报表、安全操作日志、维护日志。并支持角色按模块灵活授权。

4.产品应用
DbXpert应用，可以让客户对产品应用体现出其真正价值所在，其产品优势有：数据库服务器应用优化、数据库服务器运维正常运行、敏感数据信息泄密防护和法律责任规避。
4.1数据库服务器应用优化
DbXpert布署，管理员可以通过管理平台多种流量排名工具，来发现网络中异常访问网络服务器行为、从而优化数据库服务器对外应用。

4.2数据库服务器运维正常运行
DbXpert布署，运维人员以及管理人员可以通过DbXpert详细审计信息、访问者操作数据库指令等，用于当数据库由于外部操作出现异常、错误以及报警时，来判断错误原因和协助恢复服务器正常运行。

4.3敏感数据信息泄密防护
DbXpert布署，运维人员以及管理员可以通过DbXpert中数据库审计信息，来发现数据库中内部敏感资料外泄企图和事实。

4.4法律责任规避
DbXpert布署，可以审计数据库多种不符合目前法律所容许内容，满足有关部门对使用数据库设备立案审计规定。

5.产品服务与技术支持