1 / 21
文档名称:

数据库审计方案.doc

格式:doc   大小:1,305KB   页数:21页
下载后只包含 1 个 DOC 格式的文档,没有任何的图纸或源代码,查看文件列表

如果您已付费下载过本站文档,您可以点这里二次下载

分享

预览

数据库审计方案.doc

上传人:aluyuw1 2018/8/3 文件大小:1.27 MB

下载得到文件列表

数据库审计方案.doc

文档介绍

文档介绍:数据库审计与风险控制解决方案
1 概述
数据库面临的安全挑战
数据库是企业核心业务开展过程中最具有战略性的资产,通常都保存着重要的商业伙伴和客户信息,这些信息需要被保护起来,以防止竞争者和其他非法者获取。互联网的急速发展使得企业的数据库信息价值及可访问性得到了提升,同时,也致使数据库信息资产面临严峻的挑战,概括起来主要表现在以下三个层面:
管理层面:主要表现为人员的职责、流程有待完善,内部员工的日常操作有待规范,第三方维护人员的操作监控失效等等,致使安全事件发生时,无法追溯并定位真实的操作者。
技术层面:现有的数据库内部操作不明,无法通过外部的任何安全工具(比如:防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。
审计层面:现有的依赖于数据库日志文件的审计方法,存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险,难于体现审计信息的真实性。
伴随着数据库信息价值以及可访问性提升,使得数据库面对来自内部和外部的安全风险大大增加,如违规越权操作、恶意入侵导致机密信息窃取泄漏,但事后却无法有效追溯和审计。
数据库审计的客观需求
数据库审计与风险控制的目的概括来说主要是三个方面:一是确保数据的完整性;二是让管理者全面了解数据库实际发生的情况;三是在可疑行为发生时可以自动启动预先设置的告警流程,防范数据库风险的发生。因此,如何采取一种可信赖的综合途径,确保数据库活动记录的100%捕获是极为重要的,任何一种遗漏关键活动的行为,都会导致数据库安全上的错误判断,并且干扰数据库在运行时的性能。只有充分理解企业对数据库安全审计的客观需求,才能够给出行之有效的解决方案:
捕捉数据访问:不论在什么时间、以什么方式、只要数据被修改或查看了就需要自动对其进行追踪;
捕捉数据库配置变化:当“数据库表结构、控制数据访问的权限和数据库配置模式”等发生变化时,需要进行自动追踪;
自动防御:当探测到值得注意的情况时,需要自动启动事先设置的告警策略,以便数据库安全管理员及时采取有效应对措施,对于严重影响业务运行的高风险行为甚至可以立即阻断;
审计策略的灵活配置和管理:提供一种直截了当的方法来配置所有目标服务器的审计形式、具体说明关注的活动以及风险来临时采取的动作;
审计记录的管理:将从多个层面追踪到的信息自动整合到一个便于管理的,长期通用的数据存储中,且这些数据需要独立于被审计数据库本身;
灵活的报告生成:临时和周期性地以各种格式输出审计分析结果,用于显示、打印和传输;
现有的数据库审计解决方案的不足
传统的审计方案,或多或少存在一些缺陷,主要表现在以下几个方面:
传统网络安全方案:依靠传统的网络防火墙及入侵保护系统(IPS),在网络中检查并实施数据库访问控制策略。但是网络防火墙只能实现对IP地址、端口及协议的访问控制,无法识别特定用户的具体数据库活动(比如:某个用户使用数据库客户端删除某张数据库表);而IPS虽然可以依赖特征库有限阻止数据库软件已知漏洞的攻击,但他同样无法判别具体的数据库用户活动,更谈不上细粒度的审计。因此,无论是防火墙,还是IPS都不能解决数据库特权滥用等问题。
基于日志收集方案:需要数据库软件本身开启审计功能,通过采集数据库系统日志信息的方法形成审计报告,这样的审计方案受限于数据库的审计日志功能和访问控制功能,在审计深度、审计响应的实时性方面都难以获得很好的审计效果。同时,开启数据库审计功能,一方面会增加数据库服务器的资源消耗,严重影响数据库性能;另一方面审计信息的真实性、完整性也无法保证。
其他诸如应用程序修改、数据源触发器、统一认证系统授权等等方式,均只能记录有限的信息,更加无法提供细料度的数据库操作审计。
本方案解决的数据库安全问题
为了解决企业数据库安全领域的深层次、应用及业务逻辑层面的安全问题及审计需求,杭州安恒信息技术有限公司依靠其对入侵检测技术的深入研究及安全服务团队积累的数据库安全知识,研制并成功推出了全球领先的、面向企业核心数据库的、集“全方位的风险评估、多视角的访问控制、深层次的审计报告”于一体的数据库审计与风险控制设备,即明御数据库审计与风险控制系统,为企业核心数据库提供全方位安全防护。
在企业业务支撑网络中部署了明御数据库审计与风险控制系统,可以实现企业核心数据库的“系统运行可视化、日常操作可跟踪、安全事件可鉴定”目标,解决企业数据库所面临的管理层面、技术层面、审计层面的三大风险,以满足企业的不断增长的业务需要。明御数据库审计与风险控制系统对于企业数据库的安全防护功能,概括起来体现在以下三个方面:
首先:明御数据库审计与风险控制系统采用“网络抓包、本地操作审计

最近更新

云南省2018版保育员业务技能考试试题试卷及解.. 12页

2025年度委托员工企业财务管理培训合同 8页

2025年度夫妻自愿离婚后共同生活用品分配协议.. 9页

2025年度太阳能路灯照明工程设计与施工合同 9页

2025年度大蒜种植基地租赁合同 7页

2025年度大宗货物托运委托协议书 9页

2025年度大型活动临时保安劳务聘用协议 9页

2025年度夜场演出灯光音响技术支持合同 9页

2025年度外聘专家企业品牌形象设计与传播合同.. 9页

2025年度外墙排水管安装及新型材料研发合同 9页

2025年度外加工版合同:家居用品定制加工合作.. 9页

2025年度基础设施用地租赁合同范本 9页

2025年度城市综合体幕墙施工与售后保养合同 9页

2025年度城市景观照明工程款拨付及亮化效果协.. 8页

2025年度地铁隧道地坪施工与安全保障合同 8页

2025年度国际电子商务平台跨境销售合作合同 9页

2025年度国有建设用地使用权出让合同(智慧城.. 9页

2025年度围挡产品定制与销售合同 9页

2025年度商铺租赁合同及租赁双方违约责任明细.. 8页

2025年度商贸公司智能家居系统解决方案合作合.. 9页

2025年度商品陈列设计与供应链管理合作协议 9页

2025年度商业贷款中介服务费专项协议 8页

2025年度商业地产项目场地无偿使用合作协议 8页

2025年度品牌使用权及产品研发与技术支持协议.. 9页

2025年度员工生日及节假日福利补贴合同 7页

2025年度员工分红股份分红权收益权分配与调整.. 8页

2025年度同出资借款合同书(新能源技术研发).. 8页

2025年度合同评审流程图修订稿与合规性审核规.. 9页

2025年度合作社牛只健康管理与疫病防控合同 9页

2025年度合伙承包农业综合开发项目合作协议 9页