強化審計與風險控制應對數據庫安全挑戰(zhàn)

申請免費試用、咨詢電話：400-8352-114

互聯網的急速發(fā)展使得企業(yè)的數據庫信息價值及可訪問性得到了提升，同時，也致使數據庫信息資產面臨嚴峻的挑戰(zhàn)，概括起來主要表現在以下三個層面：

·管理層面：主要表現為人員的職責、流程有待完善，內部員工的日常操作有待規(guī)范，第三方維護人員的操作監(jiān)控失效等等，致使安全事件發(fā)生時，無法追溯并定位真實的操作者。

·技術層面：現有的數據庫內部操作不明，無法通過外部的任何安全工具(比如：防火墻、IDS、IPS等)來阻止內部用戶的惡意操作、濫用資源和泄露企業(yè)機密信息等行為。

·審計層面：現有的依賴于數據庫日志文件的審計方法，存在諸多的弊端,比如:數據庫審計功能的開啟會影響數據庫本身的性能、數據庫日志文件本身存在被篡改的風險，難于體現審計信息的真實性。

伴隨著數據庫信息價值以及可訪問性提升，使得數據庫面對來自內部和外部的安全風險大大增加，如違規(guī)越權操作、惡意入侵導致機密信息竊取泄漏，但事后卻無法有效追溯和審計。

數據庫審計的客觀需求

數據庫審計與風險控制的目的概括來說主要是三個方面：一是確保數據的完整性;二是讓管理者全面了解數據庫實際發(fā)生的情況;三是在可疑行為發(fā)生時可以自動啟動預先設置的告警流程，防范數據庫風險的發(fā)生。因此，如何采取一種可信賴的綜合途徑，確保數據庫活動記錄的100%捕獲是極為重要的，任何一種遺漏關鍵活動的行為，都會導致數據庫安全上的錯誤判斷，并且干擾數據庫在運行時的性能。只有充分理解企業(yè)對數據庫安全審計的客觀需求，才能夠給出行之有效的解決方案：

·捕捉數據訪問：不論在什么時間、以什么方式、只要數據被修改或查看了就需要自動對其進行追蹤;

·捕捉數據庫配置變化：當“數據庫表結構、控制數據訪問的權限和數據庫配置模式”等發(fā)生變化時，需要進行自動追蹤;

·自動防御：當探測到值得注意的情況時，需要自動啟動事先設置的告警策略，以便數據庫安全管理員及時采取有效應對措施，對于嚴重影響業(yè)務運行的高風險行為甚至可以立即阻斷;

·審計策略的靈活配置和管理：提供一種直截了當的方法來配置所有目標服務器的審計形式、具體說明關注的活動以及風險來臨時采取的動作;

·審計記錄的管理：將從多個層面追蹤到的信息自動整合到一個便于管理的，長期通用的數據存儲中，且這些數據需要獨立于被審計數據庫本身;

·靈活的報告生成：臨時和周期性地以各種格式輸出審計分析結果，用于顯示、打印和傳輸;

現有的數據庫審計解決方案的不足

傳統(tǒng)的審計方案，或多或少存在一些缺陷，主要表現在以下幾個方面：

·傳統(tǒng)網絡安全方案：依靠傳統(tǒng)的網絡防火墻及入侵保護系統(tǒng)(IPS)，在網絡中檢查并實施數據庫訪問控制策略。但是網絡防火墻只能實現對IP地址、端口及協(xié)議的訪問控制，無法識別特定用戶的具體數據庫活動(比如：某個用戶使用數據庫客戶端刪除某張數據庫表);而IPS雖然可以依賴特征庫有限阻止數據庫軟件已知漏洞的攻擊，但他同樣無法判別具體的數據庫用戶活動，更談不上細粒度的審計。因此，無論是防火墻，還是IPS都不能解決數據庫特權濫用等問題。

·基于日志收集方案：需要數據庫軟件本身開啟審計功能，通過采集數據庫系統(tǒng)日志信息的方法形成審計報告，這樣的審計方案受限于數據庫的審計日志功能和訪問控制功能，在審計深度、審計響應的實時性方面都難以獲得很好的審計效果。同時，開啟數據庫審計功能，一方面會增加數據庫服務器的資源消耗，嚴重影響數據庫性能;另一方面審計信息的真實性、完整性也無法保證。

·其他諸如應用程序修改、數據源觸發(fā)器、統(tǒng)一認證系統(tǒng)授權等等方式，均只能記錄有限的信息，更加無法提供細料度的數據庫操作審計。（IT專家網）