优炫数据库安全审计系统-技术白皮书

在攻击方式中，SQL 注入攻击是黑客对数据库进行攻击的常用手段之一，而且表面 看起来跟一般的 Web 页面访问没什么区别，所以市面的防火墙都不会对 SQL 注入发出警 报，如果管理员没查看 IIS 日志的习惯，可能被入侵很长时间都不会发觉。如何防御 SQL 注入攻击也是亟待解决的重点问题之一。
任何政企单位的主要电子数字资产都存储在数据产品中。商业机构和政府组织都是 利用这些数据库得到人事信息等，如医疗记录、人员工资等。因此他们有责任保护别人 的隐私，并为他们保密。数据库还存有以前的和将来的敏感的金融数据，包括贸易记录、 商业合同及帐务数据等。
数据库的应用相当复杂，掌握起来非常困难。许多数据库管理员都忙于管理复杂的 系统， 所以很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。 正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员 也通常没有把安全问题当作他们的首要任务。在安全领域中，类似网页被修改、电脑中
Uxsino RS CDPS 数据库安全审计系统
技 术 白 皮 书
北京优炫软件股份有限公司
目录
1. 产品背景...................................................................................................................................1 1.1. 概述...............................................................................................................................1 1.2. 相关法规和标准...........................................................................................................2 1.3. 风险分析.......................................................................................................................3 1.4. 与传统防火墙的技术区别...........................................................................................3
数据库漏洞
并未对数据库软件系统自身漏洞加以弥补，如缓冲区 溢出漏洞等
SQL 注入攻击
通过 SQL 注入攻击，破坏数据库系统或者盗取敏感信 息
攻击类
拒绝服务攻击
大量连接、深度嵌套、频繁访问等方式，破坏数据库 系统可用性
通信协议漏洞
基于通信协议的攻击，例如发送超长连接请求，破坏 数据库握手协议
操作系统漏洞
2001 年我国颁布了最早的数据库安全标准《军用数据库安全评估准则》，2002 年公 安部发布了公安部行业标准 GA/T389-2002：《计算机信息系统安全等级保护/数据库管理 系统技术要求》。
2003 年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意 见》(中办发〔2003〕27 号)，提出实行信息安全等级保护（等保），建立国家信息安全 保障体系的明确要求。2008 年颁发的《信息安全技术信息系统安全等级保护基本要求》 对应用安全和数据安全等提出明确的监控、审计要求。在等保的指导下，各行业相继颁 布了具体的实施办法。
3. 功能模块...................................................................................................................................6 3.1. 数据库审计...................................................................................................................6 3.2. Uxsino RS CDPS 数据库安全审计系统..................................... 错误!未定义书签。 3.3. 数据库状态监控（可选组件）...................................................................................9 3.4. 数据库风险扫描（可选组件）.................................................................................10
4. 部署方案.................................................................................................................................11 5. 产品特点.................................................................................................................................14
早在 20 世纪 80 年代美国国防部就制定了《可信计算机系统安全评估标准》（Trusted ComputerSystemEvaluationCriteria，简称 TCSEC），以及该标准的可信数据库系统安全的 解释（TrustedDatabaseInterpretation，简称 TDI），从而形成了最早的信息安全及数据库 安全评估体系。
2
1.3. 风险分析
当前数据库以及业务系统的安全形势严峻，主要面风险说明
越权滥用
账号授权不合理，特权用户越权查看、操作敏感数据
授权管理
权限盗用
通过软件攻击和社会攻击盗取权限，访问敏感数据
身份验证措施薄弱 仅使用口令验证，未使用 IP/MAC/证书等验证方法
越来越多的关键业务系统运行在数据库平台上。同时也成为不安定因素的主要目 标。如何确保数据库自身的安全，已成为现代数据库系统的主要评测指标之一。数据库 是信息技术的核心和基础，广泛应用在电信、金融、政府、商业、企业等诸多领域，当 我们说现代经济依赖于计算机时，我们真正的意思是说现代经济依赖于数据库系统。数 据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、产品资料等极其 重要和敏感的信息。尽管这些系统的数据完整性和安全性是相当重要的，但对数据库采 取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。许多因素都 可能破坏数据的完整性并导致非法访问，这些因素包括复杂程度、密码安全性较差、误 配置、未被察觉的系统后门以及数据库安全策略的缺失等。
2004 年，中保委下发《关于加强信息安全保障工作中保密管理的若干意见》(中保 委发〔2004〕7 号)，明确提出建立健全涉密信息系统分级保护制度（分保）。涉及国家 秘密的信息系统要按照党和国家有关保密规定进行保护。我国的国家秘密分为秘密、机 密、绝密三级，涉密信息系统也按照秘密、机密、绝密三级进行分级管理，其防护水平 不低于国家信息安全等级保护三、四、五级的要求。涉密信息系统的等级由系统使用单 位确定，按照“谁主管、谁负责”的原则进行管理。这就要求对业务系统进行全程的监 控，以确保在安全事故发生时明确责任。
5.1. 兼容性.........................................................................................................................14 5.2. 产品特点.....................................................................................................................14 5.3. 产品优势.....................................................................................................................15 6. 客户收益.................................................................................................................................16 7. 技术支持.................................................................................................................................17
1
病毒、木马、流氓软件、弹出窗口等所造成的经济损失微乎其微，而一旦数据库出现安 全风险并被恶意利用所造成的后果几乎是灾难性的和不可挽回的。
由此可见，数据库安全实际上是信息系统信息安全的核心，在这种情况下，有必要 采用专业的新型数据库安全产品，专门对信息系统的数据库进行保护。
1.2. 相关法规和标准
2. 产品概述...................................................................................................................................4 2.1. 产品目标.......................................................................................................................4 2.2. 功能模块概述...............................................................................................................4 2.3. 产品架构.......................................................................................................................5