告別數(shù)據(jù)裸奔 擁抱數(shù)據(jù)安全
--------深信服數(shù)據(jù)庫安全審計
產(chǎn)品概述
深信服數(shù)據(jù)庫安全審計系統(tǒng)DAS（ Database security Audit System ）是深信服對用戶數(shù)據(jù)安全新方向的不斷探索，創(chuàng)新地將數(shù)據(jù)安全防護(hù)與大數(shù)據(jù)分析相結(jié)合，它能為用戶提供完整的數(shù)據(jù)庫審計分析、軌跡分析、數(shù)據(jù)庫訪問關(guān)系可視、數(shù)據(jù)庫攻擊威脅分析。
Part1數(shù)據(jù)資產(chǎn)目前面臨著什么樣的挑戰(zhàn)？
?內(nèi)部人員缺乏關(guān)注
1、針對內(nèi)部危險行為無法做到面面俱到的跟蹤分析
2、數(shù)據(jù)安全的意識薄弱存在缺少對數(shù)據(jù)中心的加固
3、各種途徑缺少從源頭上做到有效的管制
?數(shù)據(jù)的流動不可視
1、內(nèi)部業(yè)務(wù)間的交互可能將數(shù)據(jù)庫暴露在互聯(lián)網(wǎng)出口
2、內(nèi)部數(shù)據(jù)流動不可視讓內(nèi)部員工變得有機(jī)可乘
3、內(nèi)部數(shù)據(jù)流動不可視讓的潛伏變得更具隱秘性
?數(shù)據(jù)難以發(fā)現(xiàn)
1、獨立工作的安全組件容易忽略整個網(wǎng)絡(luò)的通路
2、缺乏深度分析的工具無法迅速定位風(fēng)險和軌跡
3、人工難以對數(shù)據(jù)竊取操作進(jìn)行精準(zhǔn)定位和實時預(yù)警
?賬戶權(quán)限管控缺失
1、內(nèi)部人員擁有高權(quán)限數(shù)據(jù)庫賬戶有潛在的風(fēng)險
2、通過違規(guī)提權(quán)有潛在的嫌疑訪問和刪除重要的資料
Part2威脅不僅僅只潛伏在數(shù)據(jù)中心
通過國家數(shù)據(jù)統(tǒng)計，大部分的數(shù)據(jù)竊取威脅都來自于互聯(lián)網(wǎng)的攻擊，鞏固防火墻及互聯(lián)網(wǎng)出口并不能阻止的入侵，由此可見數(shù)據(jù)庫威脅是遍布于整個網(wǎng)絡(luò)的。
目前大部分網(wǎng)絡(luò)安全設(shè)施都是以單個安全組件的形式部署在整個網(wǎng)絡(luò)中，它們都是獨立的工作，但是獨立工作的安全組件無法兼顧于整個網(wǎng)絡(luò)的威脅。
Part3深信服如何克服這些挑戰(zhàn)和威脅？
整體方案：
訪問可視
傳統(tǒng)的數(shù)據(jù)庫安全審計系統(tǒng)不能有效直觀的看到整個網(wǎng)絡(luò)中除了正常的數(shù)據(jù)庫訪問之外還潛伏著的異常數(shù)據(jù)庫訪問，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與深信服行為感知平臺BA（Behavior Awareness System）聯(lián)動可以幫助用戶直觀的展示內(nèi)網(wǎng)數(shù)據(jù)的流動、風(fēng)險以及數(shù)據(jù)庫訪問關(guān)系。
外發(fā)
從已發(fā)的用戶事件來分析，內(nèi)部員工通過互聯(lián)網(wǎng)工具也是目前的主流原因之一，傳統(tǒng)的數(shù)據(jù)庫安全審計系統(tǒng)大部分都是通過部署在數(shù)據(jù)中心的審計設(shè)備單方面做事后追溯分析及策略管控，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與上網(wǎng)行為管理(AC)和行為感知平臺(BA)聯(lián)動實現(xiàn)攔截以及還原真實的軌跡，幫助用戶進(jìn)行精準(zhǔn)定位和實時攔截。
數(shù)據(jù)竊取
大部分攻擊都是通過弱特征方式繞過互聯(lián)網(wǎng)出口邊界設(shè)備并且在網(wǎng)絡(luò)中搭建一個數(shù)據(jù)通路的紐帶來入侵并潛伏于內(nèi)網(wǎng)服務(wù)器實現(xiàn)數(shù)據(jù)竊取，深信服數(shù)據(jù)庫安全審計系統(tǒng)通過與深信服下一代防火墻聯(lián)動，可以分別從防火墻（NGAF）和數(shù)據(jù)庫審計系統(tǒng)（DAS）同時捕獲到同樣弱特征的Webshell竊取行為，通過捕獲單邊的弱特征分析轉(zhuǎn)為強(qiáng)特征方式從源頭上聯(lián)動Webshell攻擊。
方案價值：
一、審計、合規(guī)需求
簡易化部署
單機(jī)部署
深信服DAS設(shè)備在網(wǎng)絡(luò)中以旁路方式部署，一體化提供策略配置、日志采集、查詢報表等功能；適用于僅需要在一個采集點上進(jìn)行數(shù)據(jù)采集的場景。
多機(jī)部署
深信服采集器和管理器均以旁路部署，適用于將多個采集點數(shù)據(jù)匯聚到一個管理器的場景
采集器：以旁路的方式部署在各個業(yè)務(wù)主機(jī)（或業(yè)務(wù)系統(tǒng)）的核心交換機(jī)上，主要負(fù)責(zé)日志采集并上報到管理器。
管理器：與多臺采集器并行通訊，提供策略統(tǒng)一管理并下發(fā)的采集器；同時匯總采集器上
報的日志并提供查詢、報表統(tǒng)計功能。
不漏審保障
DPDK技術(shù)框架
1）應(yīng)用層接管內(nèi)核技術(shù)保障宕機(jī)
2）專用CPU機(jī)制保障收發(fā)數(shù)據(jù)不丟包
SQL模式串抽取
1）SQL串模式抽取保障磁盤IO性能
2）分離式存儲保障數(shù)據(jù)審計速度快
可靠性及災(zāi)備：
1）支持各種IT基礎(chǔ)設(shè)備，如：大型集群
2）支持同步數(shù)據(jù)到外部，如：外部備份
3）支持?jǐn)?shù)據(jù)外部存儲 ， 如： 磁盤柜
4）支持原始數(shù)據(jù)災(zāi)備保障， 如： 事物重做
完整、精細(xì)化審計
5W1H審計標(biāo)準(zhǔn)
支持業(yè)務(wù)系統(tǒng)和web服務(wù)器以及DB的要素全面審計， 如：
Who——應(yīng)用用戶、數(shù)據(jù)庫用戶、主機(jī)名稱、操作系統(tǒng)帳號等；
What——訪問了什么對象數(shù)據(jù)，執(zhí)行了什么操作；
When——每個事件發(fā)生的具體時間；
Where——事件的來源和目的，包括IP地址、MAC地址等；
How——通過哪些應(yīng)用程序或第三方工具進(jìn)行的操作；
Range——該操作執(zhí)行的影響范圍，如查詢、修改或刪除的記錄行數(shù)；
ResultSet——返回結(jié)果集，如查詢操作的返回內(nèi)容，這將是審計人員進(jìn)行線索追蹤分析的有力取證材料。
語義語法全面解析：
1）支持長度大于5M的SQL語句審計
2）支持針對SQL語句的變量綁定
3）支持參數(shù)化并自動生成SQL模板
多種DB的同時審計：
1）支持mysql oracle、SQL server、DB2、Informix、postgresql 、sysbase、達(dá)夢、人大金
倉同時審計
2）支持自適配數(shù)據(jù)庫格式編碼保障DB的兼容性
IT基礎(chǔ)設(shè)施全適配：
1）全面支持：物理網(wǎng)絡(luò) 、虛擬化、公有云、私有云、混合云、agent部署。
數(shù)據(jù)庫雙向?qū)徲嫞?/p>
1）支持業(yè)務(wù)系統(tǒng)以及web服務(wù)器、DB系統(tǒng)的雙向?qū)徲嫞纾簲?shù)據(jù)庫與業(yè)務(wù)系統(tǒng)的會話交互response、request。
審計全面、易使用
日志秒級查詢
自主研發(fā)的查詢引擎、存儲數(shù)據(jù)庫Iterate DB基于業(yè)務(wù)的列式存儲，查詢性能大幅度提升。達(dá)到秒級出結(jié)果，保證用戶查詢的核心述求。
審計條件面
支持細(xì)粒度的條件查詢，例如：源IP客戶端程序、操作類型、數(shù)據(jù)庫名稱、表名、響應(yīng)時間、返回行數(shù)、影響行數(shù)、響應(yīng)內(nèi)容、觸發(fā)時間。
多維度分析統(tǒng)計
支持審計結(jié)果多維度分析，包括SQL吞吐量
操作類型吞吐、數(shù)據(jù)庫業(yè)務(wù)、業(yè)務(wù)主機(jī)、SQL響應(yīng)性能等并提供針對SQL模板的下鉆分析
web三層關(guān)聯(lián)
通過同時開啟DB審計和web審計、同時鏡像DB流量和web端流量實現(xiàn)還原SQL操作真實的訪問者。
自定義拖拽報表
支持可拖拽式的報表訂閱功能，用戶可以靈活選擇組裝需要的報表進(jìn)行訂閱，靈活的條件、自由的拖拽，讓用戶擁有個性化的訂閱報表。
多種告警方式
支持Syslog、SNMP trap、郵件，短信多種方式告警。且提供靈活的配置告警對象，可根據(jù)不同的告警需求選擇合適的告警對象。
二、數(shù)據(jù)庫威脅分析
風(fēng)險監(jiān)測
動態(tài)呈現(xiàn)內(nèi)部數(shù)據(jù)庫存在的風(fēng)險情況，幫助用戶及時發(fā)現(xiàn)內(nèi)網(wǎng)數(shù)據(jù)安全隱患。
安全組件聯(lián)動分析
通過定時全面的關(guān)聯(lián)分析受攻擊業(yè)務(wù)系統(tǒng)防止木馬以及webshell入侵，支持與下一代防火墻、上網(wǎng)行為管理強(qiáng)強(qiáng)聯(lián)合，及時發(fā)現(xiàn)外部或內(nèi)部用戶竊取數(shù)據(jù)。
靈活的管控策略
可以提供針對SQL語句、操作數(shù)據(jù)量、數(shù)據(jù)表等的靈活策略，滿足各類安全需求。
三、數(shù)據(jù)庫訪問可視
全面的可視化機(jī)制
完整呈現(xiàn)各類角色對數(shù)據(jù)庫的訪問和使用，高亮顯示業(yè)務(wù)系統(tǒng)、運(yùn)維人員、客戶端高危和惡意操作。
通路完整回溯
通過采集數(shù)據(jù)的流動，回溯事件的整體過程，圖形化呈現(xiàn)通路幫助事后快速追溯。
數(shù)據(jù)破壞及時感知
及時發(fā)現(xiàn)潛在的木馬或人工蓄意破壞內(nèi)部數(shù)據(jù)機(jī)密造成數(shù)據(jù)丟失或帶來直接利益的損失。
四、數(shù)據(jù)庫特權(quán)管控
命令級SQL語句管控
深部署工作模式，數(shù)據(jù)庫審計產(chǎn)品可以旁路鏡像模式部署，不影響數(shù)據(jù)庫性能和網(wǎng)絡(luò)架構(gòu)；同時支持集中管理，可集中管理多臺審計設(shè)備審計事件的存儲、分析，實現(xiàn)統(tǒng)一配置、統(tǒng)一報表、統(tǒng)一查詢。
功能級權(quán)限管控策略
1）監(jiān)控用戶的數(shù)據(jù)庫權(quán)限違規(guī)記錄并報警高危操作(用戶提權(quán)、惡意刪除)
2）支持自學(xué)習(xí)防爆庫規(guī)則幫助鞏固內(nèi)網(wǎng)數(shù)據(jù)庫賬號安全，防止通過爆庫、撞庫破解賬戶
應(yīng)用場景：
精細(xì)化報表滿足行業(yè)合規(guī)性 (行業(yè)化審計)
深信服數(shù)據(jù)庫安全審計系統(tǒng)內(nèi)置大量的分析報表，支持國內(nèi)外主流的數(shù)據(jù)庫審計系統(tǒng)，可以幫助用戶滿足等保合規(guī)建設(shè)。
清晰呈現(xiàn)數(shù)據(jù)庫訪問關(guān)系（數(shù)據(jù)中心內(nèi)網(wǎng)分析）
深信服數(shù)據(jù)庫安全審計系統(tǒng)通過交互式分析視圖可以直觀的展示網(wǎng)絡(luò)中正常和異常的訪問，幫助用戶及時察覺數(shù)據(jù)庫暴露在互聯(lián)網(wǎng)的風(fēng)險和威脅。
監(jiān)測數(shù)據(jù)庫威脅分析（數(shù)據(jù)中心攻擊分析）
深信服數(shù)據(jù)庫安全審計系統(tǒng)可以捕獲和收集特征的方式實現(xiàn)數(shù)據(jù)庫威脅監(jiān)測，通過深度分析實時定位網(wǎng)絡(luò)中存在的風(fēng)險，聯(lián)動互聯(lián)網(wǎng)出口邊界設(shè)備從源頭上阻斷威脅。
細(xì)粒度數(shù)據(jù)庫權(quán)限管控策略 (旁路部署支持阻斷)
深信服數(shù)據(jù)庫安全審計系統(tǒng)具備有效規(guī)劃、分配、管理用戶對數(shù)據(jù)庫賬戶的使用，通過內(nèi)置靈活的數(shù)據(jù)庫規(guī)則輕松實現(xiàn)旁路發(fā)rest包方式阻斷越權(quán)、篡改和高危操作、數(shù)據(jù)庫訪問控制。
Part4豎立在數(shù)據(jù)庫審計行業(yè)的深信服
?教育行業(yè)客戶
●福建省醫(yī)科大學(xué)
●青海省交通學(xué)校
●桂林電子科技大學(xué)
?政府行業(yè)客戶
●合肥市人民政府政務(wù)服務(wù)中心
●河北省交通管理局
●珠海
?醫(yī)療行業(yè)客戶
●四川省成都市青白江區(qū)衛(wèi)生和計劃生育局
●濟(jì)南市第二人民醫(yī)院
●上海市徐匯區(qū)中心醫(yī)院
?大客戶客戶
?福建農(nóng)商行
?福建省聯(lián)通
會員1.png)
