数据库安网关用户使用手册.doc

数据库安全网关 用户使用手册 国家电网信息安全实验室 2009 年 12月 目 录 1. 1 1.1. 产品概述 1 1.2. 产品功能 1 2. 安装 2 2.1. 目标 2 2.1.1. 数据库安全加固系统配置 3 2.1.2. Oracle客户端配置 8 2.1.3. 使用数据库安全加固系统 8 3. 详细配置说明 11 3.1. ORACLE客户端配置 11 3.1.1. Oracle客户端通道的建立 11 3.2. 系统配置 12 3.2.1. 登录系统 12 3.2.2. 服务映射配置 12 3.2.3. 权限配置 13 3.2.4. 连接监控 15 3.2.5. 日志管理 15 3.3. 使用数据库安全加固系统 16 3.3.1. 启动服务程序 16 3.3.2. 应用程序访问数据库 17 3.3.3. 连接监控 17 3.3.4. 日志管理 18 3.3.5. 密码管理 19 3.4. 管理员日志审计 19 4. 附录A Oracle网络连接设置 20 简介 产品 图1-1 产品功能 1）数据库映射。通过映射，把真实数据库与应用程序隔离，用户只能访问映射的“映像数据库”； 2）连接控制。可以限制访问数据库的连接数，连接数范围是（1-50），支持多用户并发连接； 3）实体权限管理。通过配置各用户对数据库的访问权限（独立于数据库的权限控制，到表一级），严格限制“IP+用户名”对数据库的操作。避免攻击者以不同IP或不同用户名非法连接到数据库或者攻击者非法提升权限后进行“合法”的越权访问； 4）连接监控。实时监控当前所有到数据库的连接，监控信息包括连接建立时间、来源IP、登录用户名、上行流量、下行流量、非法操作（攻击）统计等。管理员可以随时中断指定的连接； 5）攻击保护。分析连接的指令流，自动识别出缓冲区溢出攻击和SQL注入攻击，并自动阻止攻击； 6）审计。对不同的数据库、用户、表，可配置不同的审计策略。审计事件包括建立连接、断开连接、非法操作、常规SQL操作、攻击等。可通过时间（精确到天）、IP、用户名、事件类型等条件进行审计结果查询，查询结果可以导出为XML、TXT等格式文件； 7）支持ODBC、JDBC、OCI多种编程接口； 安装启动硬件，通过终端访问硬件数据库安全加固系统，修改IP为需要的IP即可完成部署。 目标 假设现有一个数据库服务器，IP地址为，运行Oracle数据库，端口为默认的1521。应用服务器IP地址为，使用scott用户登录，业务处理中仅需要对模式scott下的dept表的访问操作。本例中应用程序为Oracle的客户端工具sqlplus， 数据库系统没有进行任何安全防护。 在本例中，希望通过部署数据库安全加固系统，达到如下目的： 屏蔽数据库原端口，而使用6000端口对外提供数据服务，避免缺省扫描。 仅允许上的scott用户登录，且只允许其对数据库scott下的dept表执行操作。 对于来自于其它IP的用户拒绝连接到数据库，对于来自于上的其它用户也拒绝连接到数据库 对于上的scott用户，不允许访问scott.dept以外的表（视图） 防止任意用户进行缓冲区溢出攻击和SQL注入攻击 数据库安全加固系统配置 启动设备，直接输入httpIP/srs_ora （IP为该硬件设备的IP）即可。输入默认密码：。如下图： 图-1 登录成功后，进入页面，如图所示。。 图-2 点击添加按钮，添加服务器映射。在如下输入框中输入：自定义映射名：map；IP地址：数据库服务器IP，输入，选择本地监听IP，如果本机只有一个IP，将不能选择，如果有多个IP，请指定需要绑定的IP，。 图-3 点击确定完成添加映射。最大连接数默认。 图-4 配置客户端：点击，如下图： 图-5 点击‘客户端白名单列表’下的‘添加’按钮，添加： 图-6 输入客户端， 配置： 图2-7 单击白名单列表上的‘添加’按钮，出现‘添加用户’面板，如图2-8： 图2-8 点击‘确定’按钮，那么表明客户端ClientA可以通过用户scott登录到map1映射的数据库上，其他用户比如system登录时，系统将会根据默认审计策略做出相应的动作。同样， 配置用户权限： 可以通过两种方式来配置用户权限 (1) 选中‘scott’节点， 点击‘数据库白名单’，在右侧点击‘添加’按钮添加数据库，如图2-9： 图2-9 如果选择‘无’子节点，表示数据库下所有的模式和表都采用越权审计策略。 如果选择‘有’节点，则点击数据库节点来添加模式，同样，点击模式节点可以添加字段。数据库黑名单的添加方法类似。 (2) 选中‘scott’节点，右侧面板将显示当前可用已经加入的组和未加入的组。 组是一个数据库权限和越权审计策略配置的集合，添加方法和(1)中的一样。在‘当前用户