安华金和：数据库虚拟补丁技术说明
安华金和数据库保险箱（DBCoffer for Mysql）用户手册说明书
安华金和数据库保险箱（DBCofferfor Mysql）用户手册■文档编号MySQL_TDE_Cloud_20170907■密级完全公开■版本编号V 1.2■日期2017.09.07©2017安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
■适用性声明本模板用于撰写安华金和公司介绍、项目方案、商业计划书等目录安华金和数据库保险箱（DBCOFFER FOR MYSQL） (1)用户手册 (1)一.产品简介 (4)1.1概述 (4)1.2术语定义 (4)二.特别说明 (4)三.产品部署 (5)3.1W EB管理端配置 (5)3.2安全服务初始化 (8)3.3获取主机ID (9)3.4导入LICENSE (11)3.5启动安全服务 (12)3.6备份密钥库 (13)3.7添加M YSQL实例 (14)3.8DBC OFFER-MYSQL部署 (16)3.9数据表加解密 (17)3.9.1数据表加密 (17)3.9.2数据表解密 (21)3.10权限设置 (25)3.10.1客户端IP限定 (25)3.10.2权限设置 (27)3.10.3应用关联 (30)四.三权分立 (33)4.1系统管理员 (33)4.1.1网络管理 (33)4.1.2配置管理 (34)4.1.3用户管理 (36)4.2安全管理员 (38)4.3审计管理员 (39)五.加密数据文件离线还原工具 (40)一.产品简介1.1概述安华金和针对客户对MySQL数据库的高安全性需求，提供安华金和数据库保险箱（简称DBCoffer）产品。
安华金和数据库保险箱系统使用透明加密技术，在不影响MySQL原有功能的基础上，实现对高敏感及重要数据的加密保护。
能够主动保护内部的数据安全，对数据库系统进行有效的安全加固。
安华金和数据库脱敏系统白皮书
安华金和数据库脱敏系统白皮书目录安华金和数据库脱敏系统 (1)白皮书 (1)一. 产品简介 (3)二. 应用背景 (3)2.1数据库安全已经成为信息安全焦点 (3)2.2企业需要安全的使用隐私数据 (4)2.3越发复杂的敏感数据使用场景 (4)2.4数据安全相关政策与法律法规 (4)三. 客户价值 (5)3.1保护隐私数据，满足合规性 (5)3.2保证业务可靠运行 (5)3.3实时动态保护生产系统数据 (6)3.4敏感数据统一管理 (8)四. 功能特点 (8)4.1自动识别敏感数据 (8)4.2灵活的策略和方案管理 (8)4.3内置丰富脱敏算法 (9)4.4数据子集管理 (9)4.5脱敏任务管理 (9)4.6脱敏数据验证 (10)4.7动态数据脱敏 (10)五. 联系我们 ............................................................................................................. 错误！未定义书签。
一. 产品简介安华金和数据库脱敏系统（简称DBMasker）是一款高性能、高扩展性的数据屏蔽和脱敏产品，采用专门的脱敏算法对敏感数据进行变形、屏蔽、替换、随机化、加密，将敏感数据转化为虚构数据，隐藏了真正的隐私信息，为数据的安全使用提供了基础保障。
同时脱敏后的数据可以保留原有数据的特征和分布，无需改变相应的业务系统逻辑，实现了企业低成本、高效率、安全的使用生产的隐私数据。
安华金和数据库脱敏系统脱敏产品，实现了自动识别敏感数据和管理敏感数据，提供灵活的策略和脱敏方案配置，高效可并行的脱敏能力，帮助企业快速实施敏感数据脱敏处理，同时保证数据的有效性和可用性，使脱敏后的数据能够安全的应用于测试、开发、分析，和第三方使用环境中。
安华金和数据库脱敏系统脱敏产品提供了具有极高附加价值的数据动态脱敏功能，该功能在数据库通讯协议层面，通过SQL代理技术，实现了完全透明的、实时的敏感数据掩码能力；在不需要对生产数据库中的数据进行任何改变的情况下，依据用户的角色、职责和其他IT定义规则，动态的对生产数据库返回的数据进行专门的屏蔽、加密、隐藏和审计，确保业务用户、外包用户、兼职雇员、合作伙伴、数据分析、研发和测试团队及顾问能够恰如其分地访问生产环境的敏感数据。
安华金和数据库漏洞扫描系统(DBScan)
安华金和数据库漏洞扫描系统(DBScan)一. 产品概述安华金和数据库漏洞扫描系统(简称DBScan)是一款帮助用户对当前的数据库系统进行自动化安全评估的专业软件，能有效暴露当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，帮助用户保持数据库的安全健康状态。
DBScan是国内首款：支持七种国际主流数据库和四种国产数据库漏洞扫描产品检测项达到4300个以上的数据库安全检测产品等保专用数据库风险等级评估检测工具二. 产品价值2.1 提升数据库使用安全系数主流数据库的自身漏洞逐步暴露，数量庞大；仅CVE公布的Oracle漏洞数已达1100多个；DBScan可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞。
对检测出的漏洞，提供漏洞产生的原因分析，有针对性地给出修复建议，以及修复漏洞所需的命令、脚本、执行步骤等。
2.2 降低数据库黑客攻击风险据了解，1/2以上的生产业务数据库中都存在默认用户名/默认口令；若干黑客典型攻击手段，仅使用了最常规的数据库安全漏洞。
这些攻击都可通过基本的安全配置增强完成防护。
DBScan可以检测出在数据库使用过程中，由于人为疏忽造成的诸多安全隐患：低安全配置、弱口令、高危程序代码、权限宽泛等。
2.3 满足行业安全检测规范支持能源、运营商等行业性数据库安全检测规范，可用于检测单位的行业检测、以及用户单位的自检。
等保工具箱集成产品，提供等级保护专业检测报告，实现数据库安全合规。
三. 产品优势3.1 丰富的漏洞库支持1300个以上安全漏洞库；国内普通安全厂商的漏洞检测数在300个左右；专业数据库漏洞工具的检测数600-700个。
3.2 全面检测能力DBScan提供最为全面的检测库，仅Oracle就达到3019个检测项。
不仅支持常规产品具备的DBMS漏洞、缺省配置、弱口令、补丁包等漏洞；还支持敏感数据发现、程序代码漏洞、宽泛权限检测。
3.3 等级保护专用检测工具针对我国等级保护1、2、3、4级对数据库的安全检测要求，建立数据库等级保护检测工具集，实现等级保护检测扫描，生成等级保护检测报告。
安华金和数据库安全银行行业解决方案
安华金和数据库安全银行行业解决方案一. 客户需求与挑战某商行信息化高速发展的时代背景下，各银行积累的客户数据、交易记录、管理数据等呈爆炸性增长，海量数据席卷而来，海量的业务数据不但成为金融业的命脉，也成为不法分子窥探的目标，因此也意味着面临了海量的风险。
目前国家和商行内部对数据的安全管控提出了以下要求：1) 随着客户的增加，数据库信息价值不断提升，使得数据库面对来自内部和外部的安全风险大大增加；2) 内部违规越权操作、外部恶意入侵等行为，事后却无法有效追溯和审计；3) 业务访问数据库过程过慢，SQL访问性能无法了解并改善；4) 国家等级保护相关标准中要求等保二级以上信息系统中的网络层面、主机层面和应用层面均要求进行安全审计、安全控制，同时也明确要求了审计和控制的范围、内容等，粒度要求到用户级、数据表、字段级。
5) 银监会19号文中也明确提出“控制所有生产系统的活动日志，以支持有效的审计、安全论证分析和预防欺诈”。
6) 国外信息安全方面的标准或最佳实践（如ISO13335、ISO27001、SP800）等也要求对用户行为、系统、数据操作行为进行控制和审计。
特别是2014年9月银监会39号文，《关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见》（简称意见），特别在操作系统、数据库等领域要加大探索和尝试力度；从2015年起，各银行业金融机构对安全可控信息技术的应用以不低于15％的比例逐年增加，直至2019年达到不低于75％的总体占比该指导意见的发布是我国进一步重视银行业数据安全的表现。
二. 解决方案概述及要点描述某商行核心数据库在全行范围内是负责银行数据存储和处理核心设施，经过评估一旦核心数据机密性、完整性、可用性遭受损失，将会给社会秩序甚至国家安全造成严重损害。
银行因此委托了专业的数据库安全厂商，提出了以下4点安全目标：1）向合法用户提供可靠信息服务；2）拒绝非法用户对数据库的访问；3）拒绝对数据库执行高危操作4）跟踪数据库使用记录，为合规性、安全责任审查提供证据。
安华金和数据库脱敏系统(DBMasker)
安华金和数据库脱敏系统（DBMasker）一. 产品概述安华金和数据库脱敏系统（简称DBMasker）是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。
DBMasker可以满足测试、开发、培训和数据共享场景的敏感数据保护需求。
DBMasker符合金融、运营商、能源、政府等行业敏感数据防护的政策合规性需求。
二. 产品价值2.1 防止生产库中敏感数据泄露DBMasker通过对生产库中的身份、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，防止生产库中的敏感数据泄露；DBMasker通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。
2.2 提升测试、开发和培训数据质量DBMasker通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。
2.3 提高数据维护和数据共享安全性DBMasker通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度，控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。
通过对访问者的不同策略，满足细粒度的生产数据访问需求。
比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息。
2.4 实现隐私数据管理的政策合规性通过DBMasker脱敏产品，可以帮助组织满足国际标准、行业监管政策中，对测试和开发环节的敏感数据保护需求。
三. 产品优势3.1 漂白只是开始，完备脱敏解决方案DBMasker具备全面的数据漂白能力，同时DBMasker具备以下能力：1）数据间关系保持：实现表间关系、同表列间关系、数据分布关系保持；2）数据子集抽取：实现基于百分比、时间或其它条件的数据抽取；3）实时动态数据脱敏：不需要数据转换存储，实时数据掩码或访问控制。
安华金和数据库脱敏系统(DBMasker)
安华金和数据库脱敏系统（DBMasker）一. 产品概述安华金和数据库脱敏系统（简称DBMasker）是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。
DBMasker可以满足测试、开发、培训和数据共享场景的敏感数据保护需求。
DBMasker符合金融、运营商、能源、政府等行业敏感数据防护的政策合规性需求。
二. 产品价值2.1 防止生产库中敏感数据泄露DBMasker通过对生产库中的身份、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，防止生产库中的敏感数据泄露；DBMasker通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。
2.2 提升测试、开发和培训数据质量DBMasker通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。
2.3 提高数据维护和数据共享安全性DBMasker通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度，控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。
通过对访问者的不同策略，满足细粒度的生产数据访问需求。
比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息。
2.4 实现隐私数据管理的政策合规性通过DBMasker脱敏产品，可以帮助组织满足国际标准、行业监管政策中，对测试和开发环节的敏感数据保护需求。
三. 产品优势3.1 漂白只是开始，完备脱敏解决方案DBMasker具备全面的数据漂白能力，同时DBMasker具备以下能力：1）数据间关系保持：实现表间关系、同表列间关系、数据分布关系保持；2）数据子集抽取：实现基于百分比、时间或其它条件的数据抽取；3）实时动态数据脱敏：不需要数据转换存储，实时数据掩码或访问控制。
DBCoffer产品技术白皮书_标准版
2.5. DBCoffer 产品性能优势................................................................................................. 11
2.5.1.
测试结论.......................................................................................................... 11
安华金和数据库保险箱系统— DBCoffer 技术白皮书
北 京 安 华 金 和 科 技 有 限 公 司.
版权所有(©2010)
北京公司：北京市海淀区百花科技苑 A 座 201 电 话：010-88571665 传 真：010-88571665 邮 编：100081
安华金和数据库保险箱系统—DBCoffer 技术白皮书
1.2.4.
系统安全............................................................................................................ 4
1.2.5.
维护管理功能.................................................................................................... 4
2.1. Oracle 加密产品基本状况............................................................................................... 6
安华金和数据库防火墙(DBFirewall)
安华金和数据库防火墙系统（DBFirewall）一. 产品概述安华金和数据库防火墙系统（简称DBFirewall），是一款基于数据库协议分析与控制技术的数据库安全防护系统。
DBFirewall基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。
二. 产品价值2.1 防止外部黑客攻击威胁：黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。
防护：通过虚拟补丁技术捕获和阻断漏洞攻击行为，通过SQL注入特征库捕获和阻断SQL 注入行为。
2.2 防止内部高危操作威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。
防护：通过限定更新和删除影响行、限定无Where的更新和删除操作、限定drop、truncate 等高危操作避免大规模损失。
2.3 防止敏感数据泄漏威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。
防护：限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间。
2.4 审计追踪非法行为威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。
防护：提供对所有数据访问行为的记录，对风险行为进行Syslog、邮件、短信等方式的告警，提供事后追踪分析工具。
三. 产品优势3.1 全面的入侵防御技术提供业界最为全面的数据库攻击行为检测和阻断技术：虚拟补丁技术：针对CVE公布的漏洞库，提供漏洞特征检测技术。
高危访问控制技术：提供对数据库用户的登录、操作行为，提供根据地点、时间、用户、操作类型、对象等特征定义高危访问行为。
SQL注入禁止技术：提供SQL注入特征库。
返回行超标禁止技术：提供对敏感表的返回行数控制。
SQL黑名单技术：提供对非法SQL的语法抽象描述。
3.2 应用“零”误报技术对于IPS类产品最重要的是在保持“低漏报率”的同时维护“低误报率”；对于数据库而言这点更为关键，一点点“误报”可能就会造成重大业务影响。
安华金和典型案例丨朝阳市人社局数据库安全加固项目
朝阳市人社局数据库安全加固项目一. 项目背景辽宁省朝阳市人力资源和社会保障局（下称“朝阳市人社局”），职能覆盖人力资源调配、就业发展和社会保障事业发展。
下辖10余个科室，体系结构庞大，各科室业务复杂关系国计民生。
其社会保障体系覆盖朝阳全市人民的五险一金管理。
信息安全关系民生，而人力资源调配工作又涉及行政机关、事业单位人员综合管理，工资收入分配等功能；并且对全市就业、失业、社会保险基金预测预警和信息进行引导管理。
朝阳市人社局组织结构庞大，业务范畴覆盖面广泛，涉及全市人口社保信息。
人社业务关系民生，数据敏感度高，因此，朝阳市人社局对数据安全防护尤为重视，经过方案调研、产品选型，最终决定由安华金和进行数据库安全加固工作。
二. 客户需求朝阳市人社局数据库体系使用Oracle _RAC集群部署，经过评估，发现朝阳市人社局面临如下数据库安全问题：1)业务系统繁杂且业务覆盖面广泛，数据库运维人员除了银行内部人员，第三方外包人员同时使用内网专用机进行日常运维。
人员身份复杂，技术力量参差不齐，误操作、越权操作现象很难避免，可能导致个人社保数据意外丢失或泄露。
2)业务系统中包含医保业务，面向医院、药房等对接操作需要进行全面的记录，包含：访问医保业务的应用客户端IP和应用用户名等信息；需要对业务用户进行审计，实现应用关联审计要求。
3)除了用户内部运维人员违规操作、越权提取等风险，针对核心数据的外部恶意入侵行为时有发生。
包括：利用数据库漏洞进行的攻击以及SQL注入攻击等行为，实现刷库、拖库等操作进行批量信息的窃取。
因数据库安全体系存在缺失，导致事中无法有效防护，事后又无法追溯审计。
三. 解决方案部署数据库防火墙系统DBFirewall+数据库监控与审计系统DBAduit朝阳社保应用系统采用光纤形成万兆网络环境，数据库服务器前端采用双链路接入核心交换机，具备网络链路冗余机制。
同时采用RAC技术保障数据库服务器高可用性。
应对朝阳社保现场拓扑结构，安华金和数据库防火墙DBFirewall采用HA双机部署模式，并结合产品自身的Bypass容灾机制，帮助用户进行【双链路】数据库安全防护，并且及时响应用户需求，实现HA会话同步机制加固信息安全，真正意义上实现了数据库全面安全防护。
安华金和数据库加密系统技术白皮书
安华金和数据库加密系统系统白皮书目录安华金和数据库加密系统 (1)白皮书 (1)一. 安华金和数据库加密系统产品简介 (3)二. 安华金和数据库加密系统应用背景 (3)2.1数据库安全已经成为信息安全焦点 (3)2.2数据库层面的泄密事件频发 (4)2.3数据安全相关政策与法律法规 (5)三. 安华金和数据库加密系统客户价值 (5)3.2防止由于明文存储引起的泄密 (6)3.3防止外部非法入侵窃取敏感数据 (6)3.4防止内部高权限用户数据窃取 (6)3.5防止合法用户违规数据访问 (6)四. 安华金和数据库加密系统功能特点 (7)4.1透明数据加密 (7)4.2高效数据检索 (7)4.3身份鉴别增强 (7)4.4增强访问控制 (7)4.5真正应用安全 (8)4.6敏感数据审计 (8)4.7高可用性 (8)4.8可维护性 (9)一. 安华金和数据库加密系统产品简介安华金和数据库加密系统系统（简称DBCoffer）（以下称：安华金和数据库加密系统）是一款基于透明加密技术的数据库安全加固系统，该产品能够实现对数据库中对的加密存储、访问控制增强、应用访问安全、安全审计以及三权分立等功能。
安华金和数据库加密系统基于主动防御机制，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击、来自于内部高权限用户的数据窃取、防止绕开合法应用系统直接访问数据库，从根本上解决数据库敏感数据泄漏问题。
安华金和数据库加密系统利用数据库自身扩展机制，通过独创的、已获专利的三层视图技术和密文索引等核心技术，突破了传统数据库安全加固产品的技术瓶颈，真正实现了数据高度安全、应用完全透明、密文高效访问。
安华金和数据库加密系统当前支持Windows、AIX、Linux、Solaris等多个平台，提供基于加密硬件的企业版和纯软件的标准版，支持主、从、应急等自身高可用模式，可以满足用户的多种部署需求。
安华金和数据库加密系统兼容主流加密算法和国产加密设备，提供可扩展的加密设备和加密算法接口。
安华金和：数据库Security运维
B/S客户端
信息中心 维护厂商 业务处室 维护人员 厂商 信息中心
插播三：数据库自身的安全问题分析
访
数据无返回数量控制
SQL注入语句控制
问
控
SQL特征控制
高危SQL控制
制
超级用户不受限
缺
陷
D
系统注入漏洞
权限提升漏洞
B
拒绝服务漏洞
缓冲区溢出
M
S
CVE上一共公布了2000多个数据库漏洞 漏 洞
明
数据文件明文存储
部门和业务部门同时在场完成 访问审计，作到事后追踪可查
行业云
某行业云的DB Security需求
某行业云，是针对企业用户的云管理系统。
目标：将企业参保用户的管理和部分业务从原来的“私有”环境转移到“行业云” 环境下。 需求和挑战：数据被移到行业云后，面临的直接问题就是数据安全。
1. 企业用户需要确认数据在云上是安全的，云环境的维护者无法看到这些数据 ，即使进入数据库也无法看到敏感的真实数据，只有掌握密钥的应用系统或 企业用户才能得到真实数据。
B207 3FD64CFE= 27
2. 系统中的敏感数据的保护需要按照企业用户来区分，钥匙需要掌握在企业用 户的手中，不能是一个公共的钥匙。
3. 安全要“衔接线下”，将“秘钥”做O2O包装，一定要能够以线下Key、证 卡等实物形式来体现，这样能够大幅改善Online完全不受控的感受，让用户 能够心里踏实。
某行业云的DB Security解身决份信息方案
2019：黑客入侵p2p金融
插播一、一个黑客从外网入侵过程的解析（Sony)
插播二、数据库Security在现代信息架构的挑战
• 数据库应用环境复杂
安华金和电子政务数据库安全整体方案
政务云数据库安全整体解决方案■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
©2019安华金和目录1.概述32.电子政务安全分析32.1.安全概述32.2.系统分析42.3.安全问题52.4.安全误区62.5.安全威胁63.防护思路分析113.1逐级防护113.2用户管理123.3权限控制133.4分类展示143.5数据保密153.6敏感混淆173.7兼容扩展183.8内容审计193.9政策合规204.数据库整体安全设计214.1.设计原则214.2.总体思路224.3.数据库分区分域设计244.4.数据库安全防护设计255.方案优势365.1周期防护构建纵深365.2主动防御减少威胁365.3权限控制解决拖库365.4透明部署零改应用365.5政策合规满足标准361.概述随着互联网的发展，电子政务信息化浪潮日益深刻，信息网络技术的应用正日益普及，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，典型的如业务部门服务系统、行政部门办公系统、机关部门涉密系统等。
随着电子政务网络的层次化、分组化以及宽带化发展，政府部门越来越多的统计决策业务、日常监督检查业务、OA等管理性业务以及面向多媒体的综合业务都开始向数字化、网络化转变，这符合当前信息网络融合发展的趋势。
电子政务在多网融合后各类信息系统的数据变得集中，数据是电子政务业务的根本，数据库承载了电子政务信息系统的运行，作为电子政务业务系统的信息载体，使之能方便的收集各单位、部门上传来的数据，海量的数据信息因为数据库的而变得更加容易管理和使用。
伴随信息化的普及，数据安全日益成为影响电子政务效能的重要问题，而电子政务所具有的公开性、便捷性和权威性，在增加应用自由度的同时，对安全提出了更高的要求。
安华金和数据库安全电子政务内网解决方案4.doc
安华金和数据库安全电子政务内网解决方案4安华金和数据库安电子政务内网解决方案一. 方案概述电子政府内网中的诸多数据均属机密数据，需要严格的保护，防止信息的泄漏和篡改，同时对数据的访问踪迹实现完全可追踪化。
由于历史的原因，信息中心的诸多核心系统主要使用的是Oracle和SQL Server为代表的国外数据库产品，同时由于数据库技术的复杂性，短期内难以替代。
斯诺登事件的发生，证明了我国的机密数据放在国外数据库中，若是不采用国产自主可控的数据库安全技术进行加固，数据库中的涉密信息将有很大的泄漏风险。
即使在实现了国产化数据库系统的涉密信息系统中，当前也存在数据库运维的三元分立、防止SQL注入、漏洞攻击和全部操作要审计等诸多数据库安全需求，因此，数据库安全加固方案具有普遍意义。
本方案对电子政务内网门户、内网办公和纵向内网业务三大类信息系统，后台的数据库系统面临的安全风险、核心安全需求进行认真分析，并提出了通过事前诊断、事中控制和事后审计实现全防护时机的数据库安全解决方案，以满足对国内外数据库的安全加固要求。
二.安全需求分析2.1业务驱动需求当前电子政务内网信息系统中的涉密数据在数据库集中存储，传统的信息安全解决方案主要是通过网络传输通道加密、PKI 或增强身份认证、防火墙、IPS、堡垒机等技术构成综合的信息安全应对策略，但这些方案在现实中变得弱不禁风，大量信息泄露事件频繁爆发。
（1）传统解决方案对应用访问和数据库访问协议没有任何控制能力，比如:SQL注入就是一个典型的数据库黑客攻击手段；（2）数据泄露常常发生在内部，大量的运维人员直接接触敏感数据，传统以防外为主的网络安全解决方案失去了用武之地；（3）由于数据库漏洞被攻击破坏将可能牵连多个部门的系统的数据库不能使用，导致被刷库后数据集中泄密；（4）缺乏数据库安全管控手段，需要实现精细控制，当前的技术手段下，信息中心无法控制和追踪数据库管理员对敏感数据的访问；（5）数据库的存储文件解析后为明文，主流的大型数据库数据文件的组织结构主动或被动公开化，只要得到这些数据文件，存储的数据其实就是透明的。
安华金和数据库安全防护系统(DPS)
安华金和数据库安全防护系统(DPS)©2019安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录安华金和数据库安全防护系统(DPS) (1)目录 (2)一. 关于安华金和 (3)1.1发展历史 (3)1.2产品路标 (4)二. 数据库安全防护系统(DPS) (5)2.1产品概述 (5)2.2客户价值 (5)2.2.1 防止外部黑客攻击 (5)2.2.2 防止内部高危操作 (5)2.2.3 防止敏感数据泄露 (6)2.2.4 防止应用违规操作 (6)2.2.5 防止频次攻击 (6)2.3产品优势 (6)2.3.1 全面入侵检测 (6)2.3.2 高度应用兼容 (7)2.3.3 业务保持能力 (7)2.3.4 敏感数据防护 (7)2.3.5 应用关联防护能力 (7)2.3.6 学习期行为建模 (8)2.4适用场景 (8)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。
安华金和由长期致力于数据处理和信息安全的专业人士共同创造，作为中国“数据安全治理”体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流程制定及技术支撑全方位的整体数据安全思路与方案；同时，安华金和作为独立的第三方云数据安全服务商（CDSP），为国内外各大云平台用户提供专业的数据安全保障；安华金和也是中国最大的公有云平台——阿里云在数据安全领域的战略合作方。
安华金和总部位于北京，分设北京营销中心与天津研发中心，下设11大分支机构，业务覆盖华北、东北、华东、华中、华南、西南等全国省市地区。
在政府、军工、金融、能源、教育、医疗、企业等各大行业建立多个标杆案例，并取得了良好的信誉口碑。
安华金和数据库安全电子政务外网解决方案
安华金和数据库安电子政务外网解决方案中国软件测评中心(中国国家工业和信息化部下属单位)2014年12月3日发布《2014年中国政府网站绩效评估总报告》显示，今年评估的900余家政府网站当中，超过93%的网站存在着本级的安全漏洞，其中97%的区县网站被监测到有安全隐患，接受评估的网站包括部委网站、省级政府网站、副省级政府网站、地市政府网站及区县政府网站。
这个也给政府的形象带来了很不利的影响，甚至给政府工作的正常运行带来了严重的威胁。
由于人们对互联网的依赖性日益增强，互联网数据资产所蕴含的经济价值更加巨大。
以CSDN 600万用户信息泄露开始，中国互联网接连爆发的信息泄露为“互联网之殇”再添一笔。
近年来，因为互联网技术漏洞导致用户信息泄露的事件时有发生，2014年5月小米论坛疑似被“拖库”，该漏洞影响约有800万左右小米论坛用户，2014年3月，携程网也曾连续爆发安全漏洞，导致部分携程用户的银行卡信息被泄露并被利用，未来针对隐私信息的破解和攻击会愈演愈烈。
如何确保信息安全，加强信息保障工作，将是政务外网建设关注的重中之重。
一、政务外网敏感数据泄漏问题分析真正有效的解决网络信息的安全问题，首先就需要分析批量个人隐私信息数据泄密、篡改途径，包括来自于外部攻击者，第三方运维人员、开发人员等内部人员的各种可能性。
从系统安全体系的角度来分析，然后找出可行的技术手段，才能真正从全方位保证网络信息安全。
核心数据安全是针对核心敏感数据的保护，处于整个安全体系的核心位置！经过对诸多网络信息安全事件的分析，发现信息泄密及篡改的最大威胁来自于外部黑客、内部运维人员及数据库管理员DBA、以及第三方服务外包人员。
外部：黑客攻击者黑客攻击者一般有两种手段进行数据的窃取：一是入侵到网络后，能够直接访问数据库服务器，进行刷库直接拷贝数据文件，利用主流数据库明文存储的缺陷，直接进行异地的数据还原，即可获得所有数据。
二是利用数据库自身的一系列缺省端口号、缺省用户密码、权限提升等漏洞，轻松获取DBA身份的高权限用户，直接导出数据。
虚拟补丁的概念
虚拟补丁的概念虚拟补丁是指在计算机系统中，通过软件技术手段模拟出的一种补丁，它的作用是在没有对应硬件还原的情况下，对系统进行修复、升级和安全保护。
虚拟补丁通常在虚拟机环境中运行，可以补充或替代实际物理硬件的功能。
下面将详细介绍虚拟补丁的概念、原理以及应用。
首先，虚拟补丁的概念是基于虚拟化技术的。
虚拟化技术是指对计算机硬件资源进行抽象，通过软件层面的模拟，使得多个虚拟机可以在同一台物理设备上运行。
虚拟补丁是在这个虚拟化环境中运行的一种补丁，它可以提供类似于实际硬件补丁的功能。
虚拟补丁的原理是通过虚拟机监视器（VMM）来实现的。
VMM负责管理和控制虚拟机的运行，它可以截获虚拟机的指令和数据，进行修改和处理后再传递给实际物理硬件或其他虚拟机。
虚拟补丁通过在指令传递的过程中进行拦截和修改，实现对系统的修复、升级和安全保护。
虚拟补丁通常有以下几种应用场景：1. 系统修复和升级：虚拟补丁可以在不影响实际硬件的情况下，修复和升级虚拟机中的操作系统和应用程序。
例如，当操作系统存在漏洞时，可以通过虚拟补丁来修复漏洞，而无需对实际硬件进行升级或更换。
2. 系统兼容性和平台迁移：虚拟补丁可以提供对不同操作系统和硬件平台的兼容性支持。
例如，将一个运行在Windows平台上的应用程序迁移到Linux平台时，可以使用虚拟补丁来模拟Windows系统的功能，以保证应用程序的正常运行。
3. 系统安全保护：虚拟补丁可以提供一种软件层面的安全保护机制，用于检测和防止系统中的安全威胁。
例如，当虚拟机中的操作系统受到病毒或恶意软件的攻击时，虚拟补丁可以拦截、分析和修复恶意代码，保护系统的安全。
虚拟补丁的实现需要一定的技术支持。
首先，需要有一个可靠的虚拟机监视器（VMM）来管理和控制虚拟机的运行。
VMM通常是通过硬件虚拟化技术实现的，如Intel的VT-x和AMD的AMD-V。
其次，还需要一些虚拟化扩展技术，如虚拟设备驱动程序、虚拟存储器和虚拟网络等，以实现对系统硬件的模拟和管理。
安华金和数据库保险箱(DBCoffer)
安华金和数据库保险箱系统(DBCoffer)一. 产品概述安华金和数据库保险箱(简称DBCoffer) 是一款基于透明加密技术的数据库防泄漏产品，该产品能够实现对数据库中的敏感数据加密存储、访问控制增强、应用访问安全、安全审计以及三权分立功能。
DBCoffer能够防止明文存储引起的数据泄密、防止突破边界防护的外部黑客攻击、防止内部高权限用户的数据窃取，从根源上防止敏感数据泄漏。
DBCoffer通过独创的、专利的三层透明视图技术、密文索引技术和应用绑定技术，突破传统数据库安全加固产品的技术瓶颈，真正实现数据高度安全、应用完全透明、密文高效访问。
二. 产品价值2.1 全方位主动预防数据泄密预防外部黑客窃取数据威胁：数据库权限提升是当前数据库漏洞中黑客使用率最高的攻击手段，通过该手段黑客直接获得DBA身份，任意访问敏感数据。
防护：DBCoffer的密文访问控制体系，可以保证即使数据库自身的权限被突破，非授权用户仍然无法访问密文数据。
防止开发人员绕过合法应用威胁：业务系统的数据库账户常被开发或运维人员掌握，通过该账户这些人员可以直接访问数据库。
防护：DBCoffer的应用身份鉴别，确保第三方人员无法绕开合法的业务系统，直接访问敏感数据。
预防存储层明文泄密威胁：硬件设备、备份磁盘丢失，数据文件、备份文件的拷贝，都将引起机密数据泄漏。
防护：通过DBCoffer，将关键信息进行加密，加密后的数据在存储层以密文形态存在，保证他人即使拿到数据文件，也“看不懂”。
防止数据库运维人员操作敏感数据威胁：数据库的运维人员，往往有最高范围权限，一般为DBA，可看到数据库中的所有敏感信息，不符合安全管理要求。
防护：DBCoffer通过独立的二次权限控制、三权分立，保证即使是高权限运维用户，在得不到特殊授权时也无法访问敏感数据，同时不会影响其日常运维工作。
2.2 符合信息安全政策需求等级保护：要求三级以上系统应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。
安华金和数据安全产品手册
安华金和数据安全产品手册©2019安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。
任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录安华金和数据安全产品手册 (1)目录 (2)一. 关于安华金和 (4)1.1发展历史 (4)1.2产品路标 (5)二. 数据库安全产品系列 (6)2.1数据库安全评估系统（DSAS） (6)2.1.1 产品概述 (6)2.1.2 客户价值 (6)2.1.3 产品优势 (7)2.1.4 适用场景 (8)2.2数据资产梳理系统(DACS) (8)2.2.1 产品概述 (8)2.2.2 客户价值 (9)2.2.3 产品优势 (10)2.2.4 适用场景 (10)2.3数据库安全审计系统(DAS) (11)2.3.1 产品概述 (11)2.3.2 客户价值 (11)2.3.3 产品优势 (12)2.3.4 适用场景 (13)2.4数据库安全防护系统(DPS) (14)2.4.1 产品概述 (14)2.4.2 客户价值 (14)2.4.3 产品优势 (15)2.4.4 适用场景 (17)2.5数据库运维管理系统(DOMS) (17)2.5.1 产品概述 (17)2.5.2 客户价值 (18)2.5.3 产品优势 (19)2.5.4 适用场景 (19)2.6数据脱敏系统(DMS) (20)2.6.1 产品概述 (20)2.6.2 客户价值 (20)2.6.3 产品优势 (21)2.6.4 适用场景 (22)2.7数据库加密系统(DES) (23)2.7.1 产品概述 (23)2.7.2 客户价值 (24)2.7.3 产品优势 (25)2.7.4 适用场景 (26)2.8数据水印系统(DWS) (26)2.8.1 产品概述 (26)2.8.2 客户价值 (27)2.8.3 产品优势 (27)2.8.4 适用场景 (28)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
库存在数据泄露的真空期。 数据库利用补丁进行修补的过程中存在兼容性隐患，为数据库造成新的危害。 数据库补丁修补过程中具有一定风险，并且会消耗用户大量资源。
); END;
防护的规则和手段可以为： （1）解析出会话的用户名：证明不是 sys 用户，可能会是一种越权行为。 （2）对语句进行进一步验证：证明语句中包含有常被用来的攻击的字段名： dbms_metadata，并且含有函数 get_ddl。 （3）满足上述条件，可以猜测为攻击行为。 （4）最后验证语句并非查询类型 select ....，排除正常行为。 至此，认为该语句是个攻击语句，存在风险。
© 2015 安华金和
-1-
密级：内部公开
二. 数据库虚拟补丁产生的原因
2.1 数据库漏洞分析
美国 Verizon 就“核心数据是如何丢失的”做过一次全面的市场调查，结果发现，75%的 数据丢失情况是由于数据库漏洞造成的。据 CVE 的数据安全漏洞统计，Oracle、SQL Server、 MySQL 等主流数据库的漏洞逐年上升。
入侵方法分为：
代码注入 代码注入攻击多在支持多条 SQL 语句执行的数据中存在。它是通过黑客在正常语句中加入恶 意 EXECUTE 命令完成攻击的。 函数调用注入 函数调用注入是代码注入的变体，但确实整个 SQL 注入的核心。它利用数据库存在漏洞将恶 意语句注入其中。具体手法分为： 注入 select /delete/insert/update 语句 注入函数 注入匿名 pl/sql 块 游标注入 利用触发器 lateral 提权技术
© 2015 安华金和
-2-
密级：内部公开
利用操作系统环境变量访问文件系统 （4）危害数据库所在网络上的其他平台。
2.1.3 数据库漏洞的归类划分
根据 CVE 最新发布的漏洞统计结果，统计公布的各类数据库漏洞分布如下：
423
203
175
74
92
28
38
8
图 2.2 各类数据库漏洞分布
下图为 CVE 统计的一类 oracle 数据库漏洞，证用户可以通过未知向量影响系统的可用性（属 缓冲区溢出类）。
（2）缓冲区溢出 源缓冲区的数据向小于自身位数的缓冲区复制数据时，超越目标缓冲区的位数边界，并且数 据库未对存入数据进行边界判断，最终导致目标缓冲区爆满。目标缓冲区内存改变程序控制 流、夺取操作系统、禁止访问等多种结果。缓冲区溢出主要可以分成四种：静态数据溢出、 栈溢出、堆溢出和格式化串。
© 2015 安华金和
-7-
密级：内部公开
在正常的 sql 语句中通过嵌入、注释、转义符等手段加入针对数据库漏洞或数据库设置缺
陷的畸形字符串或其他畸形输入。通过单次或多次这种畸形输入逐步获取数据库中更高权限，
最终获取数据库中敏感信息或直接夺取数据库 DBA 权限。进而可能对数据库所在的网络环境
和本地服务器造成危害。
上述虚拟补丁防护方式方法不但提高了执行效率，更有效的降低了误报的频率，虚拟补 丁对数据库漏洞的防护方式大致如此。
安华金和的虚拟补丁技术，基于数据库防护考虑，将数据库漏洞分为了 22 类。本文只列 举下述部分数据库漏洞做分类说明，有利于对虚拟补丁防护方式的理解。 （1）DBMS SQL 注入
这里指的是 DBMS 系统的函数、存储过程中注入漏洞，而不是我们常规说的应用系统的 SQL 注入漏洞，这些漏洞的 SQL 语句完成语句注入。
简单的说，虚拟补丁通过控制受影响的应用程序的输入或输出，来改变或消除漏洞，是 在数据库的前端进行控制或告警的一种技术。它是一种透明的对数据库进行保护的方法，不 需要重启数据库或进行大范围应用系统的回归测试。
3.2 虚拟补丁的防护原理
虚拟补丁技术防护的基本原理就是攻击规则的匹配。根据攻击的方式，我们可以分为两 种：一种是对网络通讯中直接的攻击的防护，比如对 Oracle TNS 协议中的缓冲区溢出漏洞； 一种是对通过 SQL 语句中的攻击行为的防护，比如数据库系统的提权漏洞、注入漏洞。
数据库虚拟补丁技术说明
一. 综述
虚拟补丁技术是通过控制所保护系统的输入输出，防止对系统的漏洞攻击行为的技术。 随着网络黑客的攻击活动方式越来越多，速度越来越快，针对信息系统的漏洞研究和系 统安全漏洞的修补，成为了攻与防永恒的主题。但系统漏洞的修补永远晚于漏洞的发现，系 统设计的缺陷导致漏洞难以修补，现实稳定运行的信息系统难以接受系统的升级等等，这些 原因都造成了现实世界中诸多被暴露了漏洞的系统仍然在持续‘裸奔’中。这如同已经被曝 了安全隐患的汽车，无法召回，人们只能祈祷‘厄运’不要降临在自己身上。 虚拟补丁技术是对已有系统通过外围的方式，针对漏洞攻击的特征进行攻击行为发现和 拦截的安全防御手段。它使针对漏洞防御的实施更为轻量，更为及时。当然这并不是一种彻 底的方式，更彻底的方式依然是系统自身的修复；但它不失为一种简易的解决方法，为彻底 修复赢得了时间；也使在某些特殊情况下无法进行的修复，有了轻便的解决方案。即使不彻 底但简单而有效。这就如同是有了炎症，要吃退烧和消炎药，但体质的增强还需要长久的锻 炼、起居、饮食和精神的调整。 虚拟补丁技术较早的使用是在 web 应用系统上，较早提出这个概念的是趋势科技，近来 绿盟也加入了这个领域，也是在 web 上。数据库的虚拟补丁是近几年的防御技术，较早提出 的是 Mcaffee，国内数据库安全厂商安华金和也是这方面的佼佼者。 虚拟补丁技术较早地应用于 web 应用系统和数据库的原因是，由于这两种系统与应用关 联的很紧密，一旦上线都需要稳定的运行，由于实施补丁升级引起的工程量和系统的下线成 本与代价都很高。同时的协议标准性很差、复杂性很高，传统的防火墙、IPS/IDS、UTM 等都 对此无能为力。 数据库虚拟补丁技术一般是集成在数据库防火墙产品中（一种新的、有效针对数据库进 行主动安全防御的产品）。这种技术，一经面世，就受到了国内外用户的广泛欢迎；除了防 御能力外，国内用户欢迎的一个重要原因还在于，在以极光为代表的网络漏扫工具，每年都 会对数据库主机报告数十个高中危漏洞，被检测单位亟待解决这些数据库漏洞问题，而虚拟 补丁技术，无疑也对这种现实的需求提供了有效的解决方案。 在本文，我们将对数据库的漏洞，以及数据库虚拟补丁技术进行深度的介绍。
数据库漏洞特指数据库软件在设计及开发阶段，因技术性缺陷而产生的不可预期，高隐 秘性的数据库安全漏洞。外部攻击利用这些安全漏洞，对数据库及其存储的大量数据资产可 造成恶意危害。数据库漏洞的种类繁多并且所造成的危害性严重，所以数据库漏洞目前已成 为数据库信息安全领域针对数据库防护的主要研究对象。
图 2.1 数据库漏洞入侵方式
以安华金和数据库防火墙产品（DBF）为例的虚拟补丁技术的防护原理是对数据库和客 户端之间的通信进行通信协议解析，获取到会话信息（包括：数据库用户，操作系统用户等） 和用户实际执行的语句，对会话信息和语句中的攻击特征字符串进行综合分析，判断该语句 是否有攻击意图。
其中语句分析拆取需要的语句信息，如：SQL 语句操作类型，常出现在攻击语句中的关 键词（如用来攻击的包、函数名等）。当语句中包含这些关键词，则判定为是一种漏洞攻击
© 2015 安华金和
-5-
密级：内部公开
三. 虚拟补丁对数据库的防护
3.1 虚拟补丁的产品优势
虚拟补丁的优势所在，就是可以在无需修补 DBMS 内核的情况下保护数据库。虚拟补丁 在数据库外创建了一个安全层，从而无需根据数据库厂商提供的补丁做数据库修复，也不需 要停止服务和回归测试。
虚拟补丁的防护机制，旨在通过监控所有数据库活动，获取通讯信息。利用监控数据与 保护规则相比较，从而发现攻击企图。当比较结果与规则匹配时，就发出告警警报，并根据 防护策略及时的终止可疑会话、操作程序或隔离用户，直到这个可疑的活动被审查通过。
© 2015 安华金和
-6-
密级：内部公开
行为。最后对特征字符串进行进一步验证，结合关键词所在的上下文，甄别语句的行为，排 除正常行为所产生的语句。
例如：攻击语句
图 3.1 防护示例
DECLARE a clob; BEGIN
a := sys.dbms_metadata.get_ddl ( '''|| scott.get_dba() ||''', 'DBMS_METADATA'
2.3 数据库虚拟补丁技术
通过数据库漏洞的高危害性分析和漏洞补丁包的低可用性说明。我们可知，市场亟需一 种数据库漏洞防护方式，在无需对数据库做深度操作的前提下，进行漏洞的修补与防护，以 期达到数据库的安全标准要求。
常规的数据库虚拟补丁技术主要分 2 种： 方案一. 修改数据库程序的运行时代码。如果发现攻击涉及到某些存储敏感信息的数据表，会 创造一个输出补丁，从而改变数据库返回的结果集输出的方向，向某特定地址传输该数据包。 方案二. 在数据库的前端设置某种类型代理，以控制数据库的输入和输出，从而阻止或消除攻 击行为。可以检测对漏洞的尝试利用，并终止可疑的会话。 当前市场上的数据库防护工具，如果具备数据库漏洞防护能力，通常采用第二种虚拟补丁防 护方式，避免对数据库做代码层级的改动。
© 2015 安华金和
-3-
密级：内部公开
数据库漏洞成因，主要分为以下几种： （1）输入验证错误 （2）边界条件错误 （3）缓冲区溢出错误 （4）访问验证错误 （5）意外条件错误 （6）其他错误 通过研究数据库漏洞分类，有助于人们对漏洞的深入理解并加以预防和避免。
2.2 数据库补丁包的缺陷
由于数据库漏洞的不可预期性和高隐蔽性，数据库开发商只能通过事后，周期性，有针 对性的对已发现的数据库漏洞进行安全性处理，并以数据库补丁包的形式进行针对性的漏洞 修复。所以，对数据库打补丁和扩容存储已经成为 DBA 的常规性必处理业务。