DB Audit WP.docVIP

Imperva针对数据库审计的白皮书 法律法规日益要求正规企业扩大审计范围，将信息技术 (IT) 资源纳入其中。审计人员尤其关心数据库中与某些企业应用程序相关的管制数据，这些应用程序包括 SAP、Oracle E-Business Suite、PeopleSoft 以及其他 Web 应用程序。萨班斯－奥克斯利法案 (SOX)、健康保险流通与责任法案 (HIPAA)、支付卡行业 (PCI) 标准和其他法规条例均要求实施最佳控制措施来保护敏感数据。 在检验合规性中，审计人员会对数据库环境进行多方面检查，包括：用户管理、身份验证、责任划分、访问控制和审计记录。本文将集中讨论审计记录。审计记录必须符合特定条件，从而满足审计人员的要求。下面，我们将给出审计人员会提出的五个关键问题，这些问题是为了确定企业是否实施了最佳做法并合乎规章要求。 而Imperva公司的SecureSphere 数据库监视网关，正是为了符合审计人员对数据库的种种详尽而严格的要求而设计的。 SecureSphere 数据库监视网关是一系列数据库自动审计设备，适用于 MS-SQL、Oracle、DB2 、Informix和 Sybase 环境。SecureSphere 网关部署为非在线网络监控器，可为应用程序包（如 Oracle E-Business Suite、SAP、PeopleSoft 和自定义 Web 应用程序）建立独立而且详细的数据库活动记录。此外还提供有一个专用的主机代理，用于监视数据库管理员的本地（如控制台、telnet、ssh）活动。中心管理服务器可对多个分布式网关和代理进行统一管理。 数据库审计人员会提出什么问题？ 本文将提出五个关键问题，在数据库审计中，IT 专业人员必须对这些问题做出回答，以据此检查合规性。下面列出这五个问题。 审计过程与被审计的数据库系统是否相互独立？ 审计记录是否设立了用户责任？ 审计记录是否包含了适当的详细信息？ 审计记录是否识别异于活动基准的重大差异？ 审计记录的范围是否足够广泛？ 所采用的审计机制不同，对这些问题的答案也随之变化。遗憾的是，许多数据库审计机制在设计之初，并没有考虑要满足规章审计人员的要求，因此也就不能对这些问题做出圆满解答。本文将探讨不同审计机制在这些问题上的优缺点。其目的是要向读者提供一些必要的信息，使其在选择要部署的审计机制时，掌握充分的信息，从而满足合规性审计的要求。 1) 审计是独立的吗？ 为了确保审计的公正性，整个审计过程必须独立于被审计的数据库服务器和数据库管理员。由于数据库管理员和数据库服务器均在被审计的系统范围之内，因此不应让其对自身进行审计。例如，一个能够访问审计记录的恶意管理员可以轻易地篡改审计记录，从而掩盖自己的行为。同样，非管理员可以利用数据库漏洞，提升自己的权限并篡改审计记录。独立性对审计系统的设计提出了三个要求。 审计责任应与数据库管理相分离。数据库管理员可以参与审计以帮助解释事件，但这种参与应该是受到控制的。 审计数据的收集应独立于数据库软件自身功能。否则可能会出现前文所述的数据库管理员或非管理员篡改自管审计记录的情况。 外部审计方案可满足独立性，但更为重要的是要确保审计不依赖于任何数据库软件自身功能。某些外部方案会通过查询自身审计机制来收集审计数据。如上面第 2 项所述，自身审计功能可能存在篡改漏洞。 SecureSphere - 独立审计 SecureSphere 是一个基于网络的数据库审计设备。它为 MS-SQL、Oracle、DB2 和 Sybase 环境自动创建详细的审计记录。与数据库自身审计相比，SecureSphere 具有诸多优点：责任分开、提高数据库性能、操作自动化、异类数据库环境仍保持统一审计、Web 应用程序用户审计责任。 责任分开 对于管理责任和审计数据收集，SecureSphere 能够保持完全的审计独立性。SecureSphere 可由与数据库管理员完全隔离的审计人员管理。SecureSphere 的界面友好易懂，审计人员不需掌握很多数据库知识即可运用自如，采用基于角色的管理机制，还可以在需要时，让数据库管理员以只读权限参与审计过程。 基于网络的审计数据收集 SecureSphere 从进出数据库的网络通信中提取详细的审计信息。其运行在隐蔽模式（无 IP 地址等）下，可完全避开恶意分子的视线。所有网络活动均会被跟踪，不管是否存在数据库漏洞或恶意管理员，审计记录均不会遭到篡改。 基于主机的审计数据收集 SecureSphere DBA 监视安全代理跟踪数据库服务器上的所有本地数据库活动。监视范围包括操作数据库服务器控制台或者使用 ssh（安全 shell）或其他工具在数据库服务器上远程启动用户会话的数据库管理员。和 SecureSphere 网关一