【文章內(nèi)容簡介】 全設置是否合理。 14．能防止數(shù)據(jù)庫廠商所公開的安全漏洞。 Imperva 數(shù)據(jù)庫審計建議方案 9 / 24 各個數(shù)據(jù)庫廠商的針對自己的數(shù)據(jù)庫漏洞的安全解決方案一般通過提供軟件升級、補丁包的方式，這些解決方法都需要中斷用戶業(yè)務和增加用戶數(shù)據(jù)庫本身的負載， 同時存在同系統(tǒng)的兼容性問題，大多數(shù)用戶為了避免對業(yè)務的影響和保證數(shù)據(jù)庫的穩(wěn)定性而不能大規(guī)模采用，因此普遍存在數(shù)據(jù)庫安全隱患：國外如 RBS(蘇格蘭皇家銀行 )， 國內(nèi)如清華大學， 都曾因為數(shù)據(jù)庫安全補丁無法及時造成數(shù)據(jù)庫安全事件。 Securegrid 核心技術(shù) 同 IBM/Oracle/Sybase/Microsoft 等大型數(shù)據(jù)庫廠 商具備合作關(guān)系，能夠及時獲得各廠商的數(shù)據(jù)庫安全漏洞的代碼， 能夠在不影響數(shù)據(jù)庫的情況下解決這一問題。 15．高性能。 s securegrid 數(shù)據(jù)庫審計設備可以提供雙向最低 500Mbps 的性能，毫微秒級延遲，支持的 SQL 交易數(shù)量高于 5 萬每秒。 16．高可用性。 securegrid 審計設備支持高可用性確保最大的正常運行時間及應用可用性。具有在設備故障下應該不影響實際業(yè)務能力，同時審計設備支持主備配置方式，在合理配置下，可以達到小于 1 秒甚至更低的主備切換時延。 17．支持集中管理，分部部署。 securegrid 產(chǎn)品提供全分布式的三級網(wǎng)管架構(gòu)，包括： 第一層 —— 業(yè)務探測和實施引擎，第二層 —— 網(wǎng)管服務器，第三層 —— 操作控制臺。這種結(jié)構(gòu)對于在數(shù)據(jù)庫保護這樣的大型網(wǎng)絡系統(tǒng)中部署統(tǒng)一的安全策略具有至關(guān)重要的意義。來自多個網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個視圖中，并存儲在單個管理服務器數(shù)據(jù)庫中。這樣可以增強管理的便利性，多網(wǎng)關(guān)的動態(tài)業(yè)務模型、 IPS 策略和系統(tǒng)參數(shù)集中存儲于管理服務器，策略更改在服務器上進行，通過簡單操作可將這些更改自動發(fā)布到多個網(wǎng)關(guān)中，立刻生效，方便快捷。 18．同 IBM 的合作以及 Z/OS 的開 發(fā)符合大型 客戶的發(fā)展需求。 Securegrid 的核心技術(shù) 正在和我們的合作伙伴 IBM 合作，在 IBM 的協(xié)助下向大型客戶 提供基于 IBM 私有協(xié)議的解決方案，如已經(jīng)支持 IBMZ/OS 解決方案， 后面還會有更多的方案陸續(xù)發(fā)布， 這些都是在 IBM 的支持下完成 。 綜上所述， securegrid 產(chǎn)品的具有上述的各項功能，作為全球數(shù)據(jù)庫安全Imperva 數(shù)據(jù)庫審計建議方案 10 / 24 審計的領(lǐng)導廠商， securegrid 解決方案的核心技術(shù) 還能跟世界幾大數(shù)據(jù)庫廠商建立了很好的聯(lián)盟關(guān)系，能更快的應對數(shù)據(jù)庫廠商對數(shù)據(jù)庫版本的升級后，推出新的版本，滿足用戶數(shù)據(jù)安全庫審計的需求 ，避免因數(shù)據(jù)庫版本升級所帶來的對新的變化不能識別與審計的麻煩，真正的考慮到方便客戶日后的使用與維護。 2. 技術(shù)優(yōu)勢 與同行業(yè)的其他產(chǎn)品比較， securegrid 數(shù)據(jù)庫審計產(chǎn)品在功能、便利性、可擴展性等各個方面，都具有無可比擬的優(yōu)勢。 從產(chǎn)品的架構(gòu)角度 1) 核心處理架構(gòu) securegrid 產(chǎn)品使用實時的 Kernel 方式來處理和分析 SQL 協(xié)議，盡可能少的讀寫硬盤，并且采用將審計信息寫入 CSV 文件（遠比寫關(guān)系型數(shù)據(jù)庫要快很多）的方式大大提高記錄審計信息的速度。所有的流量都會經(jīng)過檢測，而不用寫入到文件中。只有相應的安全時間和必要的審計信息才寫到硬盤上，這樣就極大的減少了處理時間并且盡可能使得產(chǎn)品在盡可能短的時間內(nèi)處理盡可能多的流量。 2) 基于網(wǎng)絡流量的設計思路 Securegrid 產(chǎn)品的純網(wǎng)絡設備解決方案完全提供了適合數(shù)據(jù)庫訪問的高性能和特性的網(wǎng)關(guān)，此網(wǎng)關(guān)捕獲、分析、審計實時的網(wǎng)絡流量，并且可以審計去以及返回的雙向流量，發(fā)現(xiàn)高級權(quán)限操作和非法行為，提供實時告警和實時阻攔（可選），而所有這些都不影響數(shù)據(jù) 庫服務器本身，這得益于其網(wǎng)關(guān)的高性能設計，從而盡可能對用戶的現(xiàn)有業(yè)務造成影響 .。 3) 設備的吞吐量 Securegrid 審計產(chǎn)品 結(jié)合 imperva（ 有世界權(quán)威評測機構(gòu) Tolly Group 的測試報告證明 ） 有以下的性能，這些性能指標對于數(shù)據(jù)庫審計設備而言，都是比較有優(yōu)勢的 : Securegrid 產(chǎn)品 : 500 Mbps (Tolly: 536 Mbps – Oracle) Imperva 產(chǎn)品 : 1 Gbps (Tolly: Gbps – Oracle) Imperva 數(shù)據(jù)庫審計建議方案 11 / 24 Imperva 產(chǎn)品 : 2 Gbps 4) 部署架構(gòu) securegrid 審計設備將接受到的 TCP 數(shù)據(jù)包立刻分析，然后將 SQL 語句寫到獨立檢索的 csv 文件中，需要很小的處理時間和對設備性能的極大節(jié)省，而并不需要集中的設備通過 batch job 來整合不同網(wǎng)關(guān)的信息，可以實時的看到做的所有的針對數(shù)據(jù)庫的操作。 從審計功能角度 1) 缺省審計信息的細化度 securegrid 審計產(chǎn)品缺省記錄所有的審計信息。 2) 審計策略制定的靈活性 securegrid 審計產(chǎn)品的審計策略設計思路非常靈活，可以給任意的數(shù)據(jù)庫設定任意的審計策略。 securegrid SecureSphere 提供很多任意顆粒度的細化而靈活的審計規(guī)則 ,包括 DDL, DML, SELECTs, DCL, stored procedures, security exceptions, all privileged user activities，而不用在要監(jiān)控的數(shù)據(jù)庫服務器上造成任何負擔 .。 3) 對返回信息的審計 securegrid 審計產(chǎn)品完全支持對返回信息的審計。 4) 對加密數(shù)據(jù)的審計 securegrid 產(chǎn)品通過網(wǎng)關(guān)設備完成，很方便設定。 5) 漏洞評估及更新 securegrid 產(chǎn)品經(jīng)常更新（ 兩周一次）的數(shù)據(jù)庫安全漏洞掃描和評估工具，由ADCteam（研發(fā)中心）通過大量的手工實際的滲透測試，以及收集廠家或者 Snort或者 CVE 的漏洞信息，作為漏洞掃描的原始測試基準。 從管理功能角度 1) 安全平臺 securegrid 產(chǎn)品本身的審計信息非常安全，只有 root 用戶才能更改審計的 csv文件，而 root 的權(quán)限完全是用戶可以控制的。對審計的 csv 文件可以進行加密Imperva 數(shù)據(jù)庫審計建議方案 12 / 24 處理。 2) 動態(tài)建立數(shù)據(jù)庫訪問的基線 securegrid 產(chǎn)品不斷的持續(xù)監(jiān)控數(shù)據(jù)庫的訪問行為，利用動態(tài)建模功能生成用戶訪問數(shù)據(jù)庫的基線行為。然后 SecureSphere 利用這個基線行為來創(chuàng)建和更新相應的安全策略。這一特性極大的減少了管理人員的管理負擔，因為基本不需要手工的調(diào)整，并且還可以保證這種基線行為是隨著應用的更新而更新的。 從數(shù)據(jù)庫安全角度 1) 數(shù)據(jù)庫安全和審計的關(guān)系 securegrid 產(chǎn)品的安全策略和審計策略是分開的，這樣的設計可以使得設備靈活的對流量進行安全檢測，同時進行靈活的審計記錄。出于安全考慮，可以檢測所有的流量不管是不是被審計的，同時可以讓客戶選擇需要記錄下來哪些數(shù)據(jù)庫的訪問做為審計信息，這兩個過程完全是獨立和并行進行的，這 樣就在保證了系統(tǒng)對數(shù)據(jù)庫進行全面的安全審查的同時，減少了需要審計和存儲的數(shù)據(jù)庫訪問信息。 2) 網(wǎng)絡防火墻 securegrid 內(nèi)置的網(wǎng)絡防火墻防止非法訪問除數(shù)據(jù)庫端口之外的其他開發(fā)端口（如 SNMP,FTP)。 3) TCP 流的驗證和保護 securegrid 產(chǎn)品在 TCP 流的層面驗證是否符合 TCP 標準定義，并且在流層面通過探測并分析特征字符的方式，判斷并阻止是否有非法訪問數(shù)據(jù)庫的其他端口（如 DNS,SNMP)等，并且會利用這些端口對數(shù)據(jù)庫造成非法損害和攻擊，如 MSSQL 蠕蟲病毒等。 4) SQL 協(xié)議層保護 securegrid 產(chǎn)品研究和驗證訪問數(shù)據(jù)庫的 SQL 協(xié)議是否在協(xié)議層面和標準的SQL 協(xié)議相符，從而可以覆蓋協(xié)議層面對數(shù)據(jù)庫的非法攻擊，提供針對數(shù)據(jù)庫的全面保護。 Imperva 數(shù)據(jù)庫審計建議方案