告別數(shù)據(jù)裸奔 擁抱數(shù)據(jù)安全
--------深信服數(shù)據(jù)庫安全審計
產(chǎn)品概述
深信服數(shù)據(jù)庫安全審計系統(tǒng)DAS（ Database security Audit System ）是深信服對用戶數(shù)據(jù)安全新方向的不斷探索，創(chuàng)新地將數(shù)據(jù)安全防護與大數(shù)據(jù)分析相結合，它能為用戶提供完整的數(shù)據(jù)庫審計分析、軌跡分析、數(shù)據(jù)庫訪問關系可視、數(shù)據(jù)庫攻擊威脅分析。
Part1數(shù)據(jù)資產(chǎn)目前面臨著什么樣的挑戰(zhàn)？
?內(nèi)部人員缺乏關注
1、針對內(nèi)部危險行為無法做到面面俱到的跟蹤分析
2、數(shù)據(jù)安全的意識薄弱存在缺少對數(shù)據(jù)中心的加固
3、各種途徑缺少從源頭上做到有效的管制
?數(shù)據(jù)的流動不可視
1、內(nèi)部業(yè)務間的交互可能將數(shù)據(jù)庫暴露在互聯(lián)網(wǎng)出口
2、內(nèi)部數(shù)據(jù)流動不可視讓內(nèi)部員工變得有機可乘
3、內(nèi)部數(shù)據(jù)流動不可視讓的潛伏變得更具隱秘性
?數(shù)據(jù)難以發(fā)現(xiàn)
1、獨立工作的安全組件容易忽略整個網(wǎng)絡的通路
2、缺乏深度分析的工具無法迅速定位風險和軌跡
3、人工難以對數(shù)據(jù)竊取操作進行精準定位和實時預警
?賬戶權限管控缺失
1、內(nèi)部人員擁有高權限數(shù)據(jù)庫賬戶有潛在的風險
2、通過違規(guī)提權有潛在的嫌疑訪問和刪除重要的資料
Part2威脅不僅僅只潛伏在數(shù)據(jù)中心
通過國家數(shù)據(jù)統(tǒng)計，大部分的數(shù)據(jù)竊取威脅都來自于互聯(lián)網(wǎng)的攻擊，鞏固防火墻及互聯(lián)網(wǎng)出口并不能阻止的入侵，由此可見數(shù)據(jù)庫威脅是遍布于整個網(wǎng)絡的。
目前大部分網(wǎng)絡安全設施都是以單個安全組件的形式部署在整個網(wǎng)絡中，它們都是獨立的工作，但是獨立工作的安全組件無法兼顧于整個網(wǎng)絡的威脅。
Part3深信服如何克服這些挑戰(zhàn)和威脅？
整體方案：
訪問可視
傳統(tǒng)的數(shù)據(jù)庫安全審計系統(tǒng)不能有效直觀的看到整個網(wǎng)絡中除了正常的數(shù)據(jù)庫訪問之外還潛伏著的異常數(shù)據(jù)庫訪問，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與深信服行為感知平臺BA（Behavior Awareness System）聯(lián)動可以幫助用戶直觀的展示內(nèi)網(wǎng)數(shù)據(jù)的流動、風險以及數(shù)據(jù)庫訪問關系。
外發(fā)
從已發(fā)的用戶事件來分析，內(nèi)部員工通過互聯(lián)網(wǎng)工具也是目前的主流原因之一，傳統(tǒng)的數(shù)據(jù)庫安全審計系統(tǒng)大部分都是通過部署在數(shù)據(jù)中心的審計設備單方面做事后追溯分析及策略管控，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與上網(wǎng)行為管理(AC)和行為感知平臺(BA)聯(lián)動實現(xiàn)攔截以及還原真實的軌跡，幫助用戶進行精準定位和實時攔截。
數(shù)據(jù)竊取
大部分攻擊都是通過弱特征方式繞過互聯(lián)網(wǎng)出口邊界設備并且在網(wǎng)絡中搭建一個數(shù)據(jù)通路的紐帶來入侵并潛伏于內(nèi)網(wǎng)服務器實現(xiàn)數(shù)據(jù)竊取，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與深信服下一代防火墻聯(lián)動，可以分別從防火墻（NGAF）和數(shù)據(jù)庫審計系統(tǒng)（DAS）同時捕獲到同樣弱特征的Webshell竊取行為，通過捕獲單邊的弱特征分析轉為強特征方式從源頭上聯(lián)動Webshell攻擊。
方案價值：
一、審計、合規(guī)需求
簡易化部署
單機部署
深信服DAS設備在網(wǎng)絡中以旁路方式部署，一體化提供策略配置、日志采集、查詢報表等功能；適用于僅需要在一個采集點上進行數(shù)據(jù)采集的場景。
多機部署
深信服采集器和管理器均以旁路部署，適用于將多個采集點數(shù)據(jù)匯聚到一個管理器的場景
采集器：以旁路的方式部署在各個業(yè)務主機（或業(yè)務系統(tǒng)）的核心交換機上，主要負責日志采集并上報到管理器。
管理器：與多臺采集器并行通訊，提供策略統(tǒng)一管理并下發(fā)的采集器；同時匯總采集器上
報的日志并提供查詢、報表統(tǒng)計功能。
不漏審保障
DPDK技術框架
1）應用層接管內(nèi)核技術保障宕機
2）專用CPU機制保障收發(fā)數(shù)據(jù)不丟包
SQL模式串抽取
1）SQL串模式抽取保障磁盤IO性能
2）分離式存儲保障數(shù)據(jù)審計速度快
可靠性及災備：
1）支持各種IT基礎設備，如：大型集群
2）支持同步數(shù)據(jù)到外部，如：外部備份
3）支持數(shù)據(jù)外部存儲 ， 如： 磁盤柜
4）支持原始數(shù)據(jù)災備保障， 如： 事物重做
完整、精細化審計
5W1H審計標準
支持業(yè)務系統(tǒng)和web服務器以及DB的要素全面審計， 如：
Who——應用用戶、數(shù)據(jù)庫用戶、主機名稱、操作系統(tǒng)帳號等；
What——訪問了什么對象數(shù)據(jù)，執(zhí)行了什么操作；
When——每個事件發(fā)生的具體時間；
Where——事件的來源和目的，包括IP地址、MAC地址等；
How——通過哪些應用程序或第三方工具進行的操作；
Range——該操作執(zhí)行的影響范圍，如查詢、修改或刪除的記錄行數(shù)；
ResultSet——返回結果集，如查詢操作的返回內(nèi)容，這將是審計人員進行線索追蹤分析的有力取證材料。
語義語法全面解析：
1）支持長度大于5M的SQL語句審計
2）支持針對SQL語句的變量綁定
3）支持參數(shù)化并自動生成SQL模板
多種DB的同時審計：
1）支持mysql oracle、SQL server、DB2、Informix、postgresql 、sysbase、達夢、人大金
倉同時審計
2）支持自適配數(shù)據(jù)庫格式編碼保障DB的兼容性
IT基礎設施全適配：
1）全面支持：物理網(wǎng)絡 、虛擬化、公有云、私有云、混合云、agent部署。
數(shù)據(jù)庫雙向審計：
1）支持業(yè)務系統(tǒng)以及web服務器、DB系統(tǒng)的雙向審計，如：數(shù)據(jù)庫與業(yè)務系統(tǒng)的會話交互response、request。
審計全面、易使用
日志秒級查詢
自主研發(fā)的查詢引擎、存儲數(shù)據(jù)庫Iterate DB基于業(yè)務的列式存儲，查詢性能大幅度提升。達到秒級出結果，保證用戶查詢的核心述求。
審計條件面
支持細粒度的條件查詢，例如：源IP客戶端程序、操作類型、數(shù)據(jù)庫名稱、表名、響應時間、返回行數(shù)、影響行數(shù)、響應內(nèi)容、觸發(fā)時間。
多維度分析統(tǒng)計
支持審計結果多維度分析，包括SQL吞吐量
操作類型吞吐、數(shù)據(jù)庫業(yè)務、業(yè)務主機、SQL響應性能等并提供針對SQL模板的下鉆分析
web三層關聯(lián)
通過同時開啟DB審計和web審計、同時鏡像DB流量和web端流量實現(xiàn)還原SQL操作真實的訪問者。
自定義拖拽報表
支持可拖拽式的報表訂閱功能，用戶可以靈活選擇組裝需要的報表進行訂閱，靈活的條件、自由的拖拽，讓用戶擁有個性化的訂閱報表。
多種告警方式
支持Syslog、SNMP trap、郵件，短信多種方式告警。且提供靈活的配置告警對象，可根據(jù)不同的告警需求選擇合適的告警對象。
二、數(shù)據(jù)庫威脅分析
風險監(jiān)測
動態(tài)呈現(xiàn)內(nèi)部數(shù)據(jù)庫存在的風險情況，幫助用戶及時發(fā)現(xiàn)內(nèi)網(wǎng)數(shù)據(jù)安全隱患。
安全組件聯(lián)動分析
通過定時全面的關聯(lián)分析受攻擊業(yè)務系統(tǒng)防止木馬以及webshell入侵，支持與下一代防火墻、上網(wǎng)行為管理強強聯(lián)合，及時發(fā)現(xiàn)外部或內(nèi)部用戶竊取數(shù)據(jù)。
靈活的管控策略
可以提供針對SQL語句、操作數(shù)據(jù)量、數(shù)據(jù)表等的靈活策略，滿足各類安全需求。
三、數(shù)據(jù)庫訪問可視
全面的可視化機制
完整呈現(xiàn)各類角色對數(shù)據(jù)庫的訪問和使用，高亮顯示業(yè)務系統(tǒng)、運維人員、客戶端高危和惡意操作。
通路完整回溯
通過采集數(shù)據(jù)的流動，回溯事件的整體過程，圖形化呈現(xiàn)通路幫助事后快速追溯。
數(shù)據(jù)破壞及時感知
及時發(fā)現(xiàn)潛在的木馬或人工蓄意破壞內(nèi)部數(shù)據(jù)機密造成數(shù)據(jù)丟失或帶來直接利益的損失。
四、數(shù)據(jù)庫特權管控
命令級SQL語句管控
深部署工作模式，數(shù)據(jù)庫審計產(chǎn)品可以旁路鏡像模式部署，不影響數(shù)據(jù)庫性能和網(wǎng)絡架構；同時支持集中管理，可集中管理多臺審計設備審計事件的存儲、分析，實現(xiàn)統(tǒng)一配置、統(tǒng)一報表、統(tǒng)一查詢。
功能級權限管控策略
1）監(jiān)控用戶的數(shù)據(jù)庫權限違規(guī)記錄并報警高危操作(用戶提權、惡意刪除)
2）支持自學習防爆庫規(guī)則幫助鞏固內(nèi)網(wǎng)數(shù)據(jù)庫賬號安全，防止通過爆庫、撞庫破解賬戶
應用場景：
精細化報表滿足行業(yè)合規(guī)性 (行業(yè)化審計)
深信服數(shù)據(jù)庫安全審計系統(tǒng)內(nèi)置大量的分析報表，支持國內(nèi)外主流的數(shù)據(jù)庫審計系統(tǒng)，可以幫助用戶滿足等保合規(guī)建設。
清晰呈現(xiàn)數(shù)據(jù)庫訪問關系（數(shù)據(jù)中心內(nèi)網(wǎng)分析）
深信服數(shù)據(jù)庫安全審計系統(tǒng)通過交互式分析視圖可以直觀的展示網(wǎng)絡中正常和異常的訪問，幫助用戶及時察覺數(shù)據(jù)庫暴露在互聯(lián)網(wǎng)的風險和威脅。
監(jiān)測數(shù)據(jù)庫威脅分析（數(shù)據(jù)中心攻擊分析）
深信服數(shù)據(jù)庫安全審計系統(tǒng)可以捕獲和收集特征的方式實現(xiàn)數(shù)據(jù)庫威脅監(jiān)測，通過深度分析實時定位網(wǎng)絡中存在的風險，聯(lián)動互聯(lián)網(wǎng)出口邊界設備從源頭上阻斷威脅。
細粒度數(shù)據(jù)庫權限管控策略 (旁路部署支持阻斷)
深信服數(shù)據(jù)庫安全審計系統(tǒng)具備有效規(guī)劃、分配、管理用戶對數(shù)據(jù)庫賬戶的使用，通過內(nèi)置靈活的數(shù)據(jù)庫規(guī)則輕松實現(xiàn)旁路發(fā)rest包方式阻斷越權、篡改和高危操作、數(shù)據(jù)庫訪問控制。
Part4豎立在數(shù)據(jù)庫審計行業(yè)的深信服
?教育行業(yè)客戶
●福建省醫(yī)科大學
●青海省交通學校
●桂林電子科技大學
?政府行業(yè)客戶
●合肥市人民政府政務服務中心
●河北省交通管理局
●珠海
?醫(yī)療行業(yè)客戶
●四川省成都市青白江區(qū)衛(wèi)生和計劃生育局
●濟南市第二人民醫(yī)院
●上海市徐匯區(qū)中心醫(yī)院
?大客戶客戶
?福建農(nóng)商行
?福建省聯(lián)通
