【正文】 端口的接入方式，將一個(gè)采集口連接到交換機(jī)的鏡像端口，交換機(jī)鏡像端口的具體配置視不同廠家和型號(hào)的交換機(jī)會(huì)有所不同，具體配置方法參見相應(yīng)廠家和型號(hào)的交換機(jī)配置手冊(cè)。電口TAP接入示意圖：光接口TAP接入示意圖：冗余電源：（以2U服務(wù)器為例）如圖所示：為2U設(shè)備的冗余電源；要求上下兩個(gè)電源都要接入220V交流電源；任何一個(gè)未接入，即會(huì)報(bào)警；若不想使用兩個(gè)電源供電，可任意拔出一個(gè)電源，就不會(huì)產(chǎn)生報(bào)警（如下兩圖）；拔電源時(shí)，按住電源上面的按鈕，向右側(cè)按，同時(shí)拉電源后面的把手，即可將單個(gè)電源拉出；復(fù)原時(shí)，直接推電源到底，同時(shí)聽到“卡“一聲時(shí)，表示電源推到位并鎖住。將管理計(jì)算機(jī)通過交換機(jī)和通信口相連即可對(duì)設(shè)備進(jìn)行管理。 修改通信口的ip設(shè)置將慧眼數(shù)據(jù)庫安全審計(jì)系統(tǒng)的默認(rèn)IP修改修改為用戶管理環(huán)境要求的IP，通過備用通信口（ETH1）進(jìn)入到慧眼數(shù)據(jù)庫安全審計(jì)系統(tǒng)中，修改通信口ETH0（審計(jì)中心IP）地址，只能通過網(wǎng)線直連，不支持將備用通信口連到交換機(jī)。用戶登錄后臺(tái)系統(tǒng)后可以看到如下界面：用戶可以依次輸入help，network，如下圖所示：依次按照提示修改IP、子網(wǎng)掩碼以及網(wǎng)關(guān)。 登錄系統(tǒng)使用IE瀏覽器(要求用IE7或以上版本，IE6不能完全支持)，在地址欄中輸入：://審計(jì)中心IP （此處的審計(jì)中心IP指審計(jì)中心通信口的IP） 如： 按照以下步驟進(jìn)行即可登錄系統(tǒng)。amp。1) 輸入用戶名和密碼，即可登錄系統(tǒng)。3) 用戶首次登錄系統(tǒng)的時(shí)候需要更改當(dāng)前的密碼，且密碼必須符合以下規(guī)范：1. 字母、數(shù)字、特殊字符的組合2. 長度大于8位3. 不能與原密碼相同 注意：當(dāng)用戶連續(xù)5次輸入錯(cuò)誤的密碼進(jìn)行登錄，系統(tǒng)將彈出提示，如下圖所示：此時(shí)需要等待5分鐘后再刷新界面進(jìn)行登錄。如下圖所示。系統(tǒng)初裝無審計(jì)服務(wù)器時(shí)顯示如下：點(diǎn)擊“添加”即可跳轉(zhuǎn)到“審計(jì)數(shù)據(jù)庫服務(wù)器”界面。鼠標(biāo)移到折線整點(diǎn)處，可看到當(dāng)時(shí)時(shí)間段的數(shù)據(jù)統(tǒng)計(jì)數(shù)：事件類型排名：單點(diǎn)顯示過去的12小時(shí)內(nèi)數(shù)據(jù)庫服務(wù)器發(fā)生的相應(yīng)事件類型的審計(jì)記錄總數(shù)，總體顯示總數(shù)前5名的事件類型，如上圖所示單點(diǎn)為過去的12小時(shí)發(fā)生名為“SQLSERVER”事件的記錄數(shù)為1411條；延時(shí)趨勢(shì)：單點(diǎn)顯示當(dāng)時(shí)的1小時(shí)內(nèi)數(shù)據(jù)庫服務(wù)器操作的平均延時(shí)時(shí)間（以毫秒為單位），總體顯示過 去的12個(gè)小時(shí)的延時(shí)趨勢(shì)；攻擊事件趨勢(shì)：單點(diǎn)顯示當(dāng)時(shí)的1小時(shí)內(nèi)數(shù)據(jù)庫服務(wù)器遭受攻擊的總數(shù)，總體顯示過去12小時(shí)的攻擊事件趨勢(shì)，如下圖所示單點(diǎn)為11：00至12：00的數(shù)據(jù)庫服務(wù)器遭受攻擊的總數(shù)為12。如下圖所示： 門戶框架以系統(tǒng)管理員sysadmin登錄系統(tǒng)后，在界面的右上角可以看到如下圖所示的門戶菜單欄：從左依次為：個(gè)人設(shè)置、實(shí)時(shí)監(jiān)控、系統(tǒng)消息提示、時(shí)間設(shè)置、注銷。全名：輸入系統(tǒng)用戶的名稱，默認(rèn)的全名是sysadmin。當(dāng)輸入“全名”后，“保存”和“重置”兩個(gè)按鈕變?yōu)榭捎脿顟B(tài)。同上，當(dāng)輸入“電子郵箱”后，“保存”和“重置”兩個(gè)按鈕變?yōu)榭捎脿顟B(tài)。密碼：是否修改密碼。例如：abc1234。輸入新密碼后，“保存”和“重置”兩個(gè)按鈕變?yōu)榭捎?，點(diǎn)擊“保存”按鈕，保存新密碼，再次登錄系統(tǒng)時(shí)，要使用新設(shè)定的“密碼”進(jìn)行登錄；點(diǎn)擊“重置”按鈕，不保存。 實(shí)時(shí)監(jiān)控如上圖所示，報(bào)警信息以紅、黃、綠三個(gè)顏色圓圈代表審計(jì)數(shù)據(jù)庫服務(wù)器監(jiān)控到的數(shù)據(jù)風(fēng)險(xiǎn)級(jí)別為高、中、低。注：提示數(shù)據(jù)個(gè)數(shù)范圍為09999條。1） 點(diǎn)擊三個(gè)風(fēng)險(xiǎn)級(jí)別的顏色圓圈，分別會(huì)彈出當(dāng)前風(fēng)險(xiǎn)級(jí)別的審計(jì)記錄頁面。同時(shí)，數(shù)據(jù)列表按照風(fēng)險(xiǎn)級(jí)別（包括高、中、低、無）的不同顯示顏色也不同，與門戶菜單的風(fēng)險(xiǎn)級(jí)別圓圈相對(duì)應(yīng)，即“高”對(duì)應(yīng)紅色，“中”對(duì)應(yīng)黃色，“低”對(duì)應(yīng)綠色，“無”對(duì)應(yīng)無色。每5秒鐘刷新一次進(jìn)行數(shù)據(jù)更新，最新監(jiān)控到的數(shù)據(jù)將顯示在列表的最下方。數(shù)據(jù)列表區(qū)域的顏色與門戶菜單代表風(fēng)險(xiǎn)級(jí)別的圓圈顏色相同，如上圖，風(fēng)險(xiǎn)級(jí)別為“中”，門戶菜單中以黃色圓圈表示，那么數(shù)據(jù)列表的區(qū)域顯示為黃色。同理，也可按風(fēng)險(xiǎn)級(jí)別、審計(jì)數(shù)據(jù)庫服務(wù)器、事件類型、操作來源、操作時(shí)間中的任意一項(xiàng)進(jìn)行排序。點(diǎn)擊，可配置來源、操作類型及風(fēng)險(xiǎn)級(jí)別的過濾條件，過濾條件創(chuàng)建后，對(duì)界面上已展示數(shù)據(jù)進(jìn)行過濾。系統(tǒng)默認(rèn)有6條消息提示。若增加配置或完成某個(gè)配置，那么系統(tǒng)會(huì)實(shí)時(shí)監(jiān)測，數(shù)字會(huì)相應(yīng)增加或減小，配置過的消息提示將不再進(jìn)行提示。當(dāng)有授權(quán)告警時(shí)，會(huì)在此增加提示，如下圖所示：當(dāng)有磁盤預(yù)警時(shí)，會(huì)在此增加提示，如下圖所示：另外，還有“同步”提示，當(dāng)系統(tǒng)修改某一信息或者配置后，需要點(diǎn)擊氣泡，進(jìn)行同步。 若有些配置已經(jīng)完成了，那么會(huì)對(duì)其他配置進(jìn)行提示，消息提示數(shù)目是實(shí)時(shí)更新顯示的。 注：每增加一個(gè)消息提示，都會(huì)顯示在消息提示的首頁。 注銷在任意時(shí)刻，點(diǎn)擊門戶菜單的按鈕，彈出如下對(duì)話框：若點(diǎn)擊“確定”按鈕，跳轉(zhuǎn)到初始登錄界面；若點(diǎn)擊“取消”，關(guān)閉此對(duì)話框。通過審計(jì)中心，可以對(duì)系統(tǒng)已審計(jì)到的數(shù)據(jù)進(jìn)行查看，通過設(shè)置時(shí)間等查詢條件對(duì)審計(jì)到的數(shù)據(jù)進(jìn)行更精確的查詢。數(shù)據(jù)庫審計(jì)是對(duì)系統(tǒng)記錄的對(duì)數(shù)據(jù)庫的操作行為進(jìn)行的審計(jì)。選擇查看日期： 通過點(diǎn)擊下方的日期選擇需要查看的日期的審計(jì)記錄，點(diǎn)擊和分別向左和向滑動(dòng)日期， 點(diǎn)擊滑到日期列表的最左邊，點(diǎn)擊滑到日期列表的最右邊。導(dǎo)出：在查詢結(jié)果區(qū)域的“導(dǎo)出”按鈕可批量導(dǎo)出前1萬條記錄。SQL回放：點(diǎn)擊一條數(shù)據(jù)，在右邊列表頁面的詳細(xì)信息中點(diǎn)擊“SQL回放”,可對(duì)同一會(huì)話中的SQL語句進(jìn)行回放。播放時(shí)可進(jìn)行暫停、查看第一條和查看最后的操作。下圖是點(diǎn)擊操作來源IP“”右側(cè)的“用戶關(guān)聯(lián)”頁面以后，查到的關(guān)聯(lián)結(jié)果示例：排序： 可以通過點(diǎn)擊查詢結(jié)果中的列名進(jìn)行升、倒序排列。通過設(shè)置查詢條件，可以更精確的查詢到審計(jì)記錄。其它審計(jì)中包含了：運(yùn)維，WEB中間件，WEB中間件關(guān)聯(lián)，SYSLOG日志，SNMP日志。比如，點(diǎn)擊運(yùn)維單選框，運(yùn)維審計(jì)頁面被打開。進(jìn)入運(yùn)維審計(jì)頁面以后，默認(rèn)的查詢條件是今天，點(diǎn)擊查詢，可以查看今天已審計(jì)到的對(duì)數(shù)據(jù)庫服務(wù)器訪問的記錄。詳細(xì)信息： 點(diǎn)擊一條數(shù)據(jù)，在右邊列表頁面可以查看到選中數(shù)據(jù)的詳細(xì)信息。點(diǎn)擊每條記錄右側(cè)詳細(xì)信息處可以導(dǎo)出當(dāng)前對(duì)應(yīng)的一條數(shù)據(jù)。排序： 可以通過點(diǎn)擊查詢結(jié)果中的列名進(jìn)行升、倒序排列。通過設(shè)置查詢條件，可以更精確的查詢到審計(jì)記錄。進(jìn)入WEB中間件審計(jì)頁面以后，默認(rèn)的查詢條件是今天，點(diǎn)擊查詢，可以查看今天已審計(jì)到的對(duì)WEB中間件訪問情況的記錄。詳細(xì)信息： 點(diǎn)擊一條數(shù)據(jù)，在右邊列表頁面可以查看到選中數(shù)據(jù)的詳細(xì)信息。點(diǎn)擊每條記錄右側(cè)詳細(xì)信息處可以導(dǎo)出當(dāng)前對(duì)應(yīng)的一條數(shù)據(jù)。點(diǎn)擊“查詢”按鈕的下拉箭頭，進(jìn)入到查詢?cè)O(shè)置頁面，如下圖：當(dāng)鼠標(biāo)移動(dòng)到查詢條件上時(shí)，下方的說明框里是對(duì)查詢條件的詳細(xì)說明。 WEB中間件關(guān)聯(lián)WEB中間件關(guān)聯(lián)是對(duì)通過訪問WEB中間件來訪問數(shù)據(jù)庫服務(wù)器的行為進(jìn)行關(guān)聯(lián)的結(jié)果的審計(jì)。選擇查看日期： 通過點(diǎn)擊下方的日期選擇需要查看的日期的審計(jì)記錄，點(diǎn)擊和分別向左和向滑動(dòng)日期， 點(diǎn)擊滑到日期列表的最左邊，點(diǎn)擊滑到日期列表的最右邊。導(dǎo)出：在查詢結(jié)果區(qū)域的“導(dǎo)出”按鈕可批量導(dǎo)出前1萬條記錄。排序： 可以通過點(diǎn)擊查詢結(jié)果中的列名進(jìn)行升、倒序排列。通過設(shè)置查詢條件，可以更精確的查詢到審計(jì)記錄。進(jìn)入SYSLOG日志審計(jì)頁面以后，默認(rèn)的查詢條件是今天，點(diǎn)擊查詢，可以查看今天已審計(jì)到的數(shù)據(jù)庫所在主機(jī)的SYSLOG日志審計(jì)記錄。詳細(xì)信息： 點(diǎn)擊一條數(shù)據(jù)，在右邊列表頁面可以查看到選中數(shù)據(jù)的詳細(xì)信息。點(diǎn)擊每條記錄右側(cè)詳細(xì)信息處可以導(dǎo)出當(dāng)前對(duì)應(yīng)的一條數(shù)據(jù)。點(diǎn)擊“查詢”按鈕的下拉箭頭，進(jìn)入到查詢?cè)O(shè)置頁面當(dāng)鼠標(biāo)移動(dòng)到查詢條件上時(shí)，下方的說明框里是對(duì)查詢條件的詳細(xì)說明。 SNMP日志SNMP日志是對(duì)審計(jì)數(shù)據(jù)庫所在主機(jī)的SNMP日志的審計(jì)。選擇查看日期： 通過點(diǎn)擊下方的日期選擇需要查看的日期的審計(jì)記錄，點(diǎn)擊和分別向左和向滑動(dòng)日期， 點(diǎn)擊滑到日期列表的最左邊，點(diǎn)擊滑到日期列表的最右邊。導(dǎo)出：在查詢結(jié)果區(qū)域的“導(dǎo)出”按鈕可批量導(dǎo)出前1萬條記錄。排序： 可以通過點(diǎn)擊查詢結(jié)果中的列名進(jìn)行升、倒序排列。當(dāng)鼠標(biāo)移動(dòng)到查詢條件上時(shí)，下方的說明框里是對(duì)查詢條件的詳細(xì)說明。 實(shí)名審計(jì)以系統(tǒng)管理員sysadmin登錄系統(tǒng)， 鼠標(biāo)點(diǎn)擊左側(cè)導(dǎo)航欄“審計(jì)中心實(shí)名審計(jì)”，即可進(jìn)入實(shí)名審計(jì)界面。該功能默認(rèn)為關(guān)閉狀態(tài)，默認(rèn)用戶需要首先進(jìn)行SMP配置：在“查詢”按鈕下方點(diǎn)擊“SMP配置”，彈出對(duì)話框，如下圖所示：狀態(tài)：用戶可點(diǎn)擊選擇是否開啟SMP審計(jì)功能，默認(rèn)為“關(guān)”即不審計(jì)；IP、端口：指定SMP關(guān)聯(lián)系統(tǒng)服務(wù)器的IP和端口；保存后即可生效。查詢條件可以以單一條件進(jìn)行查詢也可以以組合條件進(jìn)行查詢（默認(rèn)的查詢條件是今天）。例如：設(shè)置的開始時(shí)間和結(jié)束時(shí)間分別是：20110317 00:00:00和20110318 23:59:59。排序： 點(diǎn)擊查詢結(jié)果中的列名，可對(duì)選擇列進(jìn)行升、倒序排列。DOMINO審計(jì)是針對(duì)DOMINO文檔型數(shù)據(jù)庫產(chǎn)品而進(jìn)行的數(shù)據(jù)庫審計(jì)。DOMINO審計(jì)支持的查詢條件包括：時(shí)間范圍、DOMINO服務(wù)器名、用戶名以及數(shù)據(jù)庫名。而對(duì)于用戶名和數(shù)據(jù)庫名信息，需要用戶手動(dòng)輸入關(guān)鍵字，其中支持關(guān)鍵字的模糊查詢。DOMINO審計(jì)查詢界面包括兩部分，查詢結(jié)果和詳細(xì)信息。查詢結(jié)果每次返回100條記錄，可以拖動(dòng)鼠標(biāo)至底部進(jìn)行再次查詢，直至返回所有符合條件的記錄。詳細(xì)信息包括數(shù)據(jù)庫和其他相關(guān)信息，用戶也可以點(diǎn)擊導(dǎo)出標(biāo)志，對(duì)單條審計(jì)記錄進(jìn)行導(dǎo)出，導(dǎo)出文件以txt格式保存。首頁就可以展現(xiàn)基于該DOMINO服務(wù)器的統(tǒng)計(jì)信息，其中包括：會(huì)話趨勢(shì)、流量趨勢(shì)以及事務(wù)趨勢(shì)。本地審計(jì)是通過數(shù)據(jù)庫賬號(hào)、密碼（實(shí)例名）連接到數(shù)據(jù)庫服務(wù)器，查詢數(shù)據(jù)庫本身提供的審計(jì)功能審計(jì)到的數(shù)據(jù)。第一次進(jìn)入審計(jì)界面后，系統(tǒng)默認(rèn)從數(shù)據(jù)庫服務(wù)器列表中選擇一個(gè)數(shù)據(jù)庫服務(wù)器，并提示需要配置訪問連接所需要的數(shù)據(jù)庫賬號(hào)、密碼等（最好使用系統(tǒng)管理員賬號(hào)，本地審計(jì)系統(tǒng)不會(huì)記錄此賬號(hào)相關(guān)信息），如下圖： 輸入數(shù)據(jù)庫賬號(hào)、密碼、實(shí)例名（ORACLE數(shù)據(jù)庫需要提供實(shí)例名）后，點(diǎn)擊“保存并審計(jì)”后，系統(tǒng)可連接到選中的數(shù)據(jù)庫服務(wù)器，并查詢出該數(shù)據(jù)庫服務(wù)器自身審計(jì)的結(jié)果。用戶可以開啟或關(guān)閉該監(jiān)測，并且可以進(jìn)行監(jiān)測引擎配置，也可以設(shè)置條件對(duì)各種監(jiān)測結(jié)果進(jìn)行查詢。如圖所示：在系統(tǒng)安裝初始狀態(tài)下，該監(jiān)測事件處于開啟狀態(tài)。 攻擊事件查詢以系統(tǒng)管理員sysadmin登錄系統(tǒng)，鼠標(biāo)左鍵點(diǎn)擊左側(cè)導(dǎo)航欄中的“攻擊監(jiān)測攻擊事件查詢”，進(jìn)入“攻擊事件查詢”界面。如下圖所示：時(shí)間范圍的查詢條件有：最近5分鐘、最近10分鐘、最近30分鐘、最近1小時(shí)、最近3小時(shí)、最近12小時(shí)、最近24小時(shí)、最近7天、本日、本周、本月和自定義。1）查詢結(jié)果列表在查詢結(jié)果中，默認(rèn)的展示列為：時(shí)間日期：數(shù)據(jù)庫攻擊事件發(fā)生的日期和時(shí)間；源IP：發(fā)生數(shù)據(jù)庫攻擊事件的源IP地址；目的IP：發(fā)生數(shù)據(jù)庫攻擊事件的目的IP地址；源端口：發(fā)生數(shù)據(jù)庫攻擊事件的源IP端口目的端口：發(fā)生數(shù)據(jù)庫攻擊事件的目的端口；協(xié)議：數(shù)據(jù)庫攻擊事件的網(wǎng)絡(luò)應(yīng)用協(xié)議；級(jí)別：數(shù)據(jù)庫攻擊事件的報(bào)警級(jí)別；特征規(guī)則：數(shù)據(jù)庫攻擊事件匹配的安全特征規(guī)則；攻擊事件描述：數(shù)據(jù)庫攻擊事件的簡單文字描述。當(dāng)前被查看的日期以灰色顯示。如果沒有符合查詢條件的數(shù)據(jù)，會(huì)在查詢結(jié)果中間顯示：“沒有找到符合條件的結(jié)果”。 如何將監(jiān)測事件導(dǎo)出在查詢結(jié)果區(qū)域的“導(dǎo)出”按鈕可批量導(dǎo)出前1萬條記錄。導(dǎo)出文件可用Excel工具打開，內(nèi)容如下圖所示： 如何設(shè)置詳細(xì)查詢條件在“攻擊事件查詢”界面，點(diǎn)擊按鈕右側(cè)的下拉三角按鈕，即可在下方彈出詳細(xì)查詢條件。其中攻擊事件源IP和攻擊事件目的IP條件需要按照IP地址的標(biāo)準(zhǔn)格式輸入，攻擊事件源端口和攻擊事件目的端口條件的端口范圍在0~65535之間，其中0表示無相應(yīng)的端口。點(diǎn)擊左下角的“重置所有條件”按鈕，將清空所有的查詢條件，包括將“時(shí)間范圍”條件重新置為默認(rèn)條件“本日”。 監(jiān)測引擎配置監(jiān)測引擎配置是系統(tǒng)內(nèi)置的安全攻擊事件匹配的配置，用戶可以自定義修改報(bào)警級(jí)別、啟用或者停用該配置。其中數(shù)據(jù)庫類型主要是對(duì)數(shù)據(jù)庫服務(wù)器的攻擊特征規(guī)則，操作系統(tǒng)類型主要是對(duì)操作系統(tǒng)級(jí)別的攻擊特征規(guī)則，網(wǎng)絡(luò)應(yīng)用主要是對(duì)運(yùn)維服務(wù)的攻擊特征規(guī)則；如下圖所示：類型：攻擊事件的安全類型，如緩沖區(qū)溢出、權(quán)限提升、漏洞利用、口令猜測等；級(jí)別：攻擊事件的檢測報(bào)警級(jí)別，分為高、中高、中、中低、低五種；描述：攻擊特征規(guī)則的簡單文字描述。用戶可以自定義修改特征規(guī)則的報(bào)警級(jí)別，或者通過勾選某條規(guī)則設(shè)置啟用或著停用該規(guī)則。 性能分析“性能分析”主要是基于現(xiàn)有的數(shù)據(jù)記錄的分析，通過查看各數(shù)據(jù)庫服務(wù)器的響應(yīng)延時(shí)協(xié)助用戶分析定位服務(wù)器的性能。如下圖所示：時(shí)間范圍的查詢條件有：最近5分鐘、最近10分鐘、最近30分鐘、最近1小時(shí)、最近3小時(shí)、最近12小時(shí)、最近24小時(shí)、最近7天、本日、本周、本月。當(dāng)前被查看的日期以灰色顯示。如果沒有符合查詢條件的數(shù)據(jù)，會(huì)在查詢結(jié)果中間顯示：“沒有找到符合條件的結(jié)果”。如果要重新選擇全部條件，可以點(diǎn)擊“重置條件”按鈕進(jìn)行全部條件的重新設(shè)置。 SQL操作類型統(tǒng)計(jì)SQL操作類型統(tǒng)計(jì)主要是對(duì)各個(gè)審計(jì)服務(wù)器審計(jì)到的數(shù)據(jù)，按照SQL的操作類型進(jìn)行分類統(tǒng)計(jì)。以系統(tǒng)管理員sysadmin登錄系統(tǒng)，鼠標(biāo)點(diǎn)擊左側(cè)導(dǎo)航欄中的“統(tǒng)計(jì)分析SQL操作類型統(tǒng)計(jì)”菜單，進(jìn)入SQL操作類型統(tǒng)計(jì)界面（默認(rèn)為全部服務(wù)器的“今天”的所有操作類型的統(tǒng)計(jì)）。如下圖所示：系統(tǒng)默認(rèn)的時(shí)間范圍查詢條件為：今天，點(diǎn)擊下拉按鈕可打開并選擇其余時(shí)間查詢條件。用戶可以通過單擊按鈕更改日期和時(shí)間，如下圖所示： 如何查看分析結(jié)果設(shè)置好查詢條件后，點(diǎn)擊按鈕，統(tǒng)計(jì)結(jié)果即顯示在下方。 SQL操作類型統(tǒng)計(jì)分析趨勢(shì)圖用來展示所選條件的SQL操作類型按時(shí)間的統(tǒng)計(jì)趨勢(shì)，當(dāng)