數(shù)據(jù)庫顯然存放著最真實(shí)和最有價(jià)值的那部分資產(chǎn)：可能是知識產(chǎn)權(quán)(如可口可樂的配方)，也可能是價(jià)格和交易數(shù)據(jù)或者客戶信息。這些重要數(shù)據(jù)，一旦被人非法竊取篡改將帶來難以想象的嚴(yán)重后果。

    下面是近年發(fā)生在我國的一起典型通過非法篡改數(shù)據(jù)庫牟利的案例。張某于2000年進(jìn)入某電信運(yùn)營商分公司工作，擔(dān)任該公司綜合市場部計(jì)費(fèi)及維護(hù)員。張某作為公司計(jì)費(fèi)營帳系統(tǒng)的管理員，擁有該系統(tǒng)的工號和密碼，可以直接進(jìn)入該系統(tǒng)進(jìn)行查詢、調(diào)研和數(shù)據(jù)統(tǒng)計(jì)等工作。該計(jì)費(fèi)營帳系統(tǒng)與充值卡數(shù)據(jù)系統(tǒng)分屬于不同的系統(tǒng)，但共用同一數(shù)據(jù)庫。按照該分公司對計(jì)費(fèi)及維護(hù)員職責(zé)的規(guī)定，張某無權(quán)對公司計(jì)費(fèi)營帳系統(tǒng)內(nèi)的充值卡數(shù)據(jù)進(jìn)行新生成或修改。2004年期間，張某在辦公室的電腦上用自己掌握的密碼，進(jìn)入了該分公司的充值卡數(shù)據(jù)系統(tǒng)，通過運(yùn)行數(shù)據(jù)庫的操作語言修改了數(shù)據(jù)庫中的充值卡數(shù)據(jù)，將已充值使用過的每張面值為50元的7000張充值卡修改為未使用的狀態(tài)。其后，把充值卡的卡號、密碼等數(shù)據(jù)按面值七折的價(jià)格出售給他人，獲利20萬余元，造成該公司經(jīng)濟(jì)損失達(dá)29．25萬元。

    目前，國內(nèi)類似上述數(shù)據(jù)庫的重要數(shù)據(jù)被內(nèi)部員工非法篡改牟利問題已日益增多，數(shù)據(jù)庫信息安全面臨嚴(yán)峻挑戰(zhàn)，并已引起各單位高度重視，成為迫切需要解決的問題。其重要陛，不言而喻。

    1 威脅與風(fēng)險(xiǎn)并存

    由于單位數(shù)據(jù)庫系統(tǒng)用戶眾多，涉及數(shù)據(jù)庫管理員、內(nèi)部員工及合作方人員等，因此網(wǎng)絡(luò)管理更加復(fù)雜，單位數(shù)據(jù)庫面臨的主要安全威脅與風(fēng)險(xiǎn)總結(jié)如下：

    1．1數(shù)據(jù)庫賬戶和權(quán)限的濫用

    表現(xiàn)一：缺少針對數(shù)據(jù)庫管理員監(jiān)控機(jī)制。數(shù)據(jù)庫管理員擁有數(shù)據(jù)庫系統(tǒng)管理、賬號管理、權(quán)限分配等系統(tǒng)最高權(quán)限。如果數(shù)據(jù)庫管理員利用工作之便，竊取、篡改、毀壞重要業(yè)務(wù)數(shù)據(jù)，對單位數(shù)據(jù)庫安全的打擊將是巨大的。國內(nèi)某著名網(wǎng)絡(luò)游戲廠商高管王某非法修改游戲服務(wù)器數(shù)據(jù)牟利就是一個(gè)很典型的例子，王某利用職務(wù)便利，非法修改網(wǎng)游數(shù)據(jù)庫服務(wù)器的游戲裝備數(shù)據(jù)，然后通過網(wǎng)站私下交易出售給其他玩家，非法獲利200余萬，給單位造成難以挽回的重大經(jīng)濟(jì)損失。

    表現(xiàn)二：合法用戶權(quán)限濫用。數(shù)據(jù)庫系統(tǒng)的操作管理采用分權(quán)管理形式，包括多個(gè)賬號，如普通賬號、用于數(shù)據(jù)庫日常維護(hù)的臨時(shí)賬號；如果上述賬號權(quán)限被內(nèi)部人員或合作方人員用來竊取、惡意損毀數(shù)據(jù)庫的重要業(yè)務(wù)數(shù)據(jù)，在短時(shí)間內(nèi)管理者極難察覺發(fā)現(xiàn)數(shù)據(jù)被篡改或刪除，事后也難以追查取證，造成難以彌補(bǔ)的損失。

    1．2數(shù)據(jù)庫自身日志審計(jì)的缺陷

    表現(xiàn)一：難以實(shí)時(shí)監(jiān)測發(fā)現(xiàn)問題。數(shù)據(jù)庫系統(tǒng)自身的14志審計(jì)功能可以記錄各種數(shù)據(jù)庫系統(tǒng)修改、權(quán)限使用等日志信息，并不能幫助管理者及時(shí)發(fā)現(xiàn)定位問題；同時(shí)由于不能實(shí)時(shí)監(jiān)測報(bào)警，因此在數(shù)據(jù)庫異常安全事件發(fā)生時(shí)，無法第一時(shí)間報(bào)告給管理者，導(dǎo)致管理者不能及時(shí)采取有效措施。表現(xiàn)二：影響數(shù)據(jù)庫服務(wù)器運(yùn)行與性能。數(shù)據(jù)庫61身日志審計(jì)也會t與用了大量的硬盤空問，降低數(shù)據(jù)庫服務(wù)的性能，甚至可能影響正常應(yīng)用的順利進(jìn)行，同時(shí)面對成千上萬條日志記錄，很少有數(shù)據(jù)庫管理員為了尋找?guī)讞l有用的項(xiàng)目，去查看數(shù)千的審計(jì)日志條目，因此如何篩選出有用信息也是客觀存在的問題。

    2 安全需求緊迫

    根據(jù)對單位數(shù)據(jù)庫系統(tǒng)的威脅與風(fēng)險(xiǎn)分析，單位的數(shù)據(jù)庫安全需求主要集中在以下方面：

    一是，全面監(jiān)測數(shù)據(jù)庫超級賬戶、臨時(shí)賬戶等重要賬戶的數(shù)據(jù)庫操作。

    二是，實(shí)時(shí)監(jiān)測數(shù)據(jù)庫操作行為，發(fā)現(xiàn)非法違規(guī)操作能及時(shí)告警響應(yīng)。

    三是，詳細(xì)記錄數(shù)據(jù)庫操作信息，并提供豐富的審計(jì)信息查詢方式和報(bào)表，方便安全事件定位分析，事后追查取證。同時(shí)根據(jù)美國國防部TCSEC／TDI標(biāo)準(zhǔn)中關(guān)于安全策略的要求，數(shù)據(jù)庫審計(jì)是數(shù)據(jù)庫系統(tǒng)達(dá)到c2級以上安全級別必不可少的一項(xiàng)。

    因此需要單位網(wǎng)絡(luò)中部署專業(yè)的數(shù)據(jù)庫安全審計(jì)系統(tǒng)，可有效監(jiān)控?cái)?shù)據(jù)庫訪問行為，準(zhǔn)確掌握數(shù)據(jù)庫系統(tǒng)的安全狀態(tài)，及時(shí)發(fā)現(xiàn)違反數(shù)據(jù)庫安全策略的事件并實(shí)時(shí)告警、記錄，同時(shí)進(jìn)行安全事件定位分析，事后追查取證，保障單位數(shù)據(jù)庫安全。

3 數(shù)據(jù)庫安全審計(jì)系統(tǒng)介紹

    數(shù)據(jù)庫安全審計(jì)系統(tǒng)是通過對網(wǎng)絡(luò)數(shù)據(jù)的采集、分析、識別，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)中數(shù)據(jù)庫的所有訪問操作，發(fā)現(xiàn)各種違規(guī)數(shù)據(jù)庫操作行為，及時(shí)報(bào)警響應(yīng)操作還原，實(shí)現(xiàn)數(shù)據(jù)庫安全事件的準(zhǔn)確跟蹤定位，保障數(shù)據(jù)庫系統(tǒng)安全。

    數(shù)據(jù)庫安全審計(jì)系統(tǒng)模型包括兩個(gè)部分：一是審計(jì)數(shù)據(jù)采集器，用于采集審計(jì)數(shù)據(jù)，并存儲為審計(jì)日志；二是審計(jì)數(shù)據(jù)分析器，負(fù)責(zé)分析審計(jì)數(shù)據(jù)采集器發(fā)送的數(shù)據(jù)；審計(jì)數(shù)據(jù)字典則是數(shù)據(jù)庫審計(jì)規(guī)則庫。

    數(shù)據(jù)庫安全審計(jì)系統(tǒng)首先收集來自用戶的事件，當(dāng)用戶進(jìn)行數(shù)據(jù)庫訪問操作時(shí)，采集器根據(jù)審計(jì)數(shù)據(jù)字典，判斷其數(shù)據(jù)庫訪問行為是否為審計(jì)事件，當(dāng)數(shù)據(jù)庫訪問事件滿足審汁報(bào)警記錄條件時(shí)，分析器則向管理人員發(fā)送報(bào)警信息并把用戶對數(shù)據(jù)庫的所有操作自動記錄下來，存放在審計(jì)日志中。

    審計(jì)日志記錄的內(nèi)容一般包括：用戶名稱，操作時(shí)問，操作類型(如修改、查詢、刪除)，操作所涉及到相關(guān)數(shù)據(jù)(如表、視圖等)等。利用這些信息，可以進(jìn)一步找出非法存取修改數(shù)據(jù)庫的人員及其修改時(shí)問和修改內(nèi)容等。同時(shí)管理人員也可以通過手工查詢分析審計(jì)信息，并形成數(shù)據(jù)庫審計(jì)報(bào)告。審計(jì)報(bào)告通常包括用戶名稱、時(shí)問、具體數(shù)據(jù)庫操作(包括采用什么命令}方問哪些數(shù)據(jù)庫表、字段)等。

    當(dāng)發(fā)現(xiàn)新數(shù)據(jù)庫訪問具有潛在危害性，而審計(jì)數(shù)據(jù)字典未制定的對應(yīng)審計(jì)規(guī)則，管理人員可以在審計(jì)數(shù)據(jù)字典中更新審計(jì)規(guī)則。在安全審汁模型中，數(shù)據(jù)庫審計(jì)日志信息起著非常關(guān)鍵的作用，它記錄了各種類型的數(shù)據(jù)庫訪問事件，為管理人員提供了事后審汁的依據(jù)，同時(shí)幫助管理人員實(shí)時(shí)掌握數(shù)據(jù)庫操作事件的動態(tài)。

    4 基本標(biāo)準(zhǔn)評價(jià)

    是否能夠很好地幫助管理者完成對數(shù)據(jù)庫訪問行為的監(jiān)測是數(shù)據(jù)庫安全審計(jì)系統(tǒng)的基本標(biāo)準(zhǔn)。一個(gè)完善的數(shù)據(jù)庫安全審計(jì)系統(tǒng)應(yīng)該從幾個(gè)方面評價(jià)：

    一是，具有全面豐富的數(shù)據(jù)庫審計(jì)類型。

    二是，具有細(xì)粒度的數(shù)據(jù)庫操作內(nèi)容審計(jì)。

    三是，能準(zhǔn)確及時(shí)的違規(guī)操作告警響應(yīng)。

    四是，可以全面詳細(xì)的審計(jì)信息，豐富可定制的報(bào)表分析系統(tǒng)。

    五是，自身的安全性高，不易遭受攻擊。

    由此可見，能通過網(wǎng)絡(luò)數(shù)據(jù)的采集、分析、識別，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)中數(shù)據(jù)庫的所有訪問操作，同時(shí)支持自定義內(nèi)容關(guān)鍵字庫，實(shí)現(xiàn)數(shù)據(jù)庫操作的內(nèi)容監(jiān)測識別，發(fā)現(xiàn)各種違規(guī)數(shù)據(jù)庫操作行為，并及時(shí)報(bào)警響應(yīng)、全過程操作還原，從而實(shí)現(xiàn)安全事件的準(zhǔn)確全程跟蹤定位和全面保障數(shù)據(jù)庫系統(tǒng)安全的數(shù)據(jù)庫安全審計(jì)系統(tǒng)，才是一款合適的產(chǎn)品。

    5 數(shù)據(jù)庫安全審計(jì)特性分析

    5．1全面的審計(jì)類型

    系統(tǒng)應(yīng)覆蓋ORALCE、SQL SERVER、MY SQL、DB2、Sybase、Infomix等主流數(shù)據(jù)庫系統(tǒng)。

    5．2靈活的審計(jì)策略

    系統(tǒng)應(yīng)支持基于內(nèi)容關(guān)鍵字、IP地址、用戶／用戶組、時(shí)間、數(shù)據(jù)庫類型、數(shù)據(jù)庫操作類型、數(shù)據(jù)庫表名、字段名等多種組合數(shù)據(jù)庫審計(jì)策略，從而全面監(jiān)測發(fā)現(xiàn)各種非法操作及合法用戶的違規(guī)操作。

    5．3數(shù)據(jù)庫操作信息還原

    系統(tǒng)應(yīng)實(shí)時(shí)審計(jì)用戶對數(shù)據(jù)庫系統(tǒng)所有操作(如：插入、刪除、更新、用戶自定義操作等)，并完全還原SQL操作命令包括源IP地址、目的IP地址、訪問時(shí)間、用戶名、數(shù)據(jù)庫操作類型、數(shù)據(jù)庫表和字段名等，實(shí)現(xiàn)安全事件準(zhǔn)確全程跟蹤定位，為事后追查取證提供有力支持。

    5．4多種業(yè)務(wù)運(yùn)維操作審計(jì)

    系統(tǒng)需要支持對TELNET．FTP等操作的命令級審計(jì)和全過程記錄。

    5．4．1審計(jì)信息管理

    5．4．1．1系統(tǒng)需支持?jǐn)?shù)據(jù)庫審計(jì)事件信息的備份、恢復(fù)、清除、歸并等功能；日志信息應(yīng)能保存到SQL Server、Oracle等大型數(shù)據(jù)庫中。

    5．4．1．2系統(tǒng)需提供詳細(xì)的綜合分析報(bào)表、自定義等多種類型報(bào)表模板，支持生成：日、周、月、季度、年度綜合報(bào)表。報(bào)表應(yīng)支持MS Word、Html、JPG等格式導(dǎo)出。

    5．4．2豐富的管理能力

    5．4．2．1為不影響數(shù)據(jù)庫系統(tǒng)自身運(yùn)行與性能，系統(tǒng)需采用旁路監(jiān)聽部署模式。

    5．4．2．2系統(tǒng)需支持多種響應(yīng)方式，包括發(fā)送郵件、安全中心顯示、日志數(shù)據(jù)庫記錄、打印機(jī)輸出、運(yùn)行用戶自定義命令、TCPKiller等方式及時(shí)報(bào)警響應(yīng)。

    5．4．3高可靠的自身安全性

    系統(tǒng)需具有安全、可靠、高效的硬件運(yùn)行平臺；采用強(qiáng)加密的S SL加密傳輸告警日志與控制命令，避免可能存在的嗅探行為，保證數(shù)據(jù)傳輸?shù)陌踩?/div>