数据库审计系统是客户信息保护的利器.docVIP

数据库审计系统是客户信息保护的利器 数据库审计系统是客户信息保护的利器 安全监控中国移动历来重视客户信息保护工作，从2009年开始发布规范，建设4A系统，对系统操作进行控制和记录。经过4年4A管理平台的建设，实现了帐号、认证、授权和审计的统一管理。应用、系统管理人员已经能够通过4A管理平台对支撑系统的用户和各种资源进行集中管理、集中权限分配、统一认证和集中审计，从技术上保证了安全策略的实施，提升了业务支撑网的整体安全水平。 　　1系统建设背景 　　核心数据库在审计方面还存在一些问题和风险： 　　1.1 终端采用未知协议和端口或使用未知客户端直接访问数据库 　　如果终端使用了未知协议和端口或使用未知客户端对数据库进行访问，将无法在技术上强制要求通过4A系统和堡垒机操作，也就无法记录操作日志，对这类操作无法进行审计及危险操作的实时告警和阻断。 　　1.2 利用应用系统的未知漏洞直接访问数据库无法记录完整操作日志 　　个别应用系统在上线后可能存在未知的风险漏洞，破坏分子可能利用这些漏洞直接访问和使用数据库，但应用系统操作日志均通过对界面点击按钮的解析完成记录，通过漏洞对数据库操作将无法记录操作日志。 　　1.3 外围系统直接对数据库的访问 　　围了业务发展，部分外围系统需要通过接口使用中国移动的客户信息和消费数据，但外围系统对数据的操作无法记录和审计。 　　1.4 个别应用系统未作审计或审计功能不完善 　　个别老旧系统由于日志记录对系统性能重大影响的原因，或在建设时未考虑日志记录的安全设计，导致操作日志记。 　　2客户信息保护的目标 　　为了防范用户通过合法本文由论文联盟http://www.LWlm.cOM收集整理或者非法的方式登录数据库主机之后，在本地执行违规的数据库操作，增强客户信息保护能力，实现监控的规范化，审计分析的可靠化。提出建设目标： 　　2.1 防护不再有遗漏 　　能够对数据库访问的行为进行全面监控，对使用原手段未进行记录的敏感操作进行日志记录。 　　2.2 安全分析及时高效 　　能监控数据库里面的各类访问和操作，用户在数据库中做什么操作，对于数据库可用性和数据安全产生何种风险。 　　2.3 违规操作及时阻断 　　对于数据库的违规访问、操作和导出（下载）行为进行控制，阻止伪用户的登录，防止用户恶意的破坏和导出（下载），防止用户误操作。 　　2.4 定位准确，解决思路明确 　　发生了数据安全和泄漏问题后，能够协助定位原因和用户，及时制定解决方案。 　　3客户信息保护原则 　　为了完善客户信息保护能力的需要，确定数据库操作的事前事中事后原则。 　　3.1 事前规范 　　具备业务行为发生前的行为规范策略制定功能。 　　能够对业务行为中各步骤的动作作出定义，能够对业务行为中步骤、分枝和流向作出定义。从而形成完整的规范的业务行为策略。 　　针对标准的业务行为提供开箱即用的动作规范处理，针对非标准的业务行为在提供最佳实践定义，针对特殊业务行为允许用户自定义规范。通过这些规范定义，能够为业务的正常执行提供防护。 　　3.2 事中记录、阻断 　　具备对各业务行为的操作主体、操作动作以及操作客体进行记录的功能。 　　能够实时对业务行为进行合法性判定并在发现有不符合行为规范策略的动作发生时，阻断行为动作，并发出告警。 　　针对恶意用户对数据库的违规操作，能够采用强制手段直接断开会话，并产生完整的审计记录。 　　3.3 事后回顾 　　具备对业务行为进行统计、分析并以报表形式展现的功能。发生了数据安全和泄漏问题后，能够协助定位原因和用户，及时制定解决方案。 　　4实施方法 　　通过技术手段建设，实现客户信息保护的目的。 　　4.1业务行为定义 　　定义规范的业务行为，其中包括业务行为动作定义、业务行为分枝定义、业务行为合法流向定义和业务行为操作客体定义。 　　4.2业务行为授权 　　将规范的业务行为授权给合法的主体，例如，授权给某些应用系统用户名或数据库帐户。该类主体除可以采用用户名和/或帐户外，还可以采用其它属性（例如IP地址/MAC地址/IP地址段等参数）作为识别条件。 　　4.3 业务行为采集 　　对主体正在进行中的业务行为实现采集，采集的数据有行为主体、操作动作、操作客体。 　　包括：源IP，源MAC,源端口，目标IP,目标MAC,目标端口，用户账号，用户名，连接数据库名，数据库对象，操作表名，操作时间，操作SQL语句及详细内容（存储过程需要解析开）。考虑不同的SQL语句种类。 　　4.4 违规行为阻断 　　对试图进行不符合业务行为定义的操作动作实现阻断，提示操作者操作不合法。 　　4.5 违规行为告警 　　对试图进行不符合业务行为定义的操作动