安华金和数据库产品调研.docxVIP

安华金和产品调研

数据库漏洞扫描

场景

暂无典型明确场景

产品功能特性

1.1.2检测能力

???漏洞检测能力

提供传统数据库漏扫产品所覆盖的DBMS漏洞项检测、弱安全配置检测、补丁检测、缺省用户名/口令检测，总计超过1300项。

DBScan还具备危险程序漏洞、敏感数据发现，以及渗透测试等高端检测能力。

???弱口令

DBScan基于各种主流数据库口令生成规则实现口令匹配扫描，规避基于数据库登录的用户锁定问题和检查效率问题。

提供基于字典库，基于规则，基于穷举等多种模式下的弱口令检测；提供200万弱口令字典库，兼容CSDN口令库。

???敏感数据发现

提供对存储密码的表、列等对象扫描；

提供对标识信息、信用卡帐户等个人敏感信息的表和列进行扫描；

支持对用户自定义敏感对象的关键字搜索。

???危险程序扫描

数据库中同样会存在恶意性代码，这比操作系统上的恶意代码更容易被人忽略。

???渗透测试

提供对数据库的渗透模拟攻击，以帮助用户进一步发现数据库的安全缺陷。渗透测试覆盖缓冲区溢出、提权漏洞、拒绝服务漏洞等。

1.1.3策略定义

???预定义安全策略

包含一系列预定义的扫描策略，帮助用户快速完成常规性扫描任务：

全面扫描：针对漏洞库中的所有检测项进行扫描。

基本扫描：针对数据库使用缺陷、DBMS系统缺陷进行扫描。

快速扫描：针对数据库使用缺陷和DBMS系统缺陷中的风险等级为高风险及中风险的检测项进行扫描。

CVE漏洞扫描：针对CVE公布的漏洞进行扫描。

CNNVD漏洞扫描：针对CNNVD公布的漏洞进行扫描。

配置缺陷扫描：针对配置缺陷、未更改的缺省口令进行扫描。

系统缺陷扫描：针对数据库自身的缺陷进行扫描。

敏感数据扫描：扫描数据库中存在的易于导致敏感数据暴露的数据库对象，以供安全管理员进行安全加固。

危险程序扫描：针对数据库中可编程对象和可调用对象进行扫描，确定其中是否包含危险代码及后门程序。

???自定义安全策略

用户可以根据自己的行业特征和关心的安全点，有针对性地建立检测项集合。

根据行业的安全标准定义检测规则，如密码的长度和复杂性，登录失败次数，敏感数据的关键词。

1.1.4报表支持

为用户提供不同详略程度，不同专题，不同角度的报告：

如综合报告、漏洞简明报告、漏洞详细报告、敏感数据报告、危险程序报告、用户和权限报告、弱口令报告、对比报告、趋势报告等。

客户

无具体客户

数据库漏洞验证工具

场景

产品功能特性

Oracle?9i??10g?11g

Mysql?5.0??5.1?5.5

Mssql?2000

漏洞检测能力

不同于传统数据库检测产品只是基于产品版本号对比CVE库导出漏洞的方式，而是采用实际脚本入侵数据库，直接验证数据库漏洞是否可被利用。

真实展现入侵结果，切实感受入侵危害。

客户

国家互联网应急中心

数据库防火墙

场景

朝阳市人社局内网采用数据库防火墙DBFirewall系统对数据库的通讯过程进行精确的解析和控制，同时人社局应用系统建立应用特征模型，建立应用系统正常访问语句的抽象表达，形成对数据库的操作黑白名单，防止有意或无意的危险操作和批量导出敏感信息等行为，事中主动防御。

用\o数据库防火墙数据库防火墙和\o数据库审计数据库审计系统构建起一套主动安全防御体系和实时监控审计机制。

产品优势特性

应用‘零’误报技术：提供强大的应用行为描述方法，以对合法应用行为放行，将误报率降低为“零”；

快速部署实施能力：预定义策略模版、预定义风险特征库，提供IPS、IDS运行模式，提供学习期、保护期两种运行周期；

全面的入侵防御技术：提供全面的数据库攻击行为检测和阻断技术；

审计追踪非法行为，提供对数据访问的记录，对高危风险操作进行实时告警；

虚拟补丁技术：针对CVE公布的漏洞库，提供漏洞特征检测技术；

返回行超标禁止技术：提供对敏感表的返回行数控制。

客户

辽宁朝阳市人社局、北京市人民政府

数据库加密

场景

天津移动公司，传统安全措施无法有效满足电信系统客户4700万用户、交易、卡管信息的保密需求。并且此运营商围绕着网络防护、主机防护和应用防护已经进行了一系列安全建设，具备相对安全的数据应用环境，但由于技术局限和有效的安全产品匮乏等原因，数据库自身安全的建设一直未能得到有效开展，当前多起数据泄露事件均与数据库安全措施缺乏有关。

当前，在CRM系统中至少存在以下重要数据库安全威胁，能够直接导致客户隐私信息泄密的发生：

1)系统维护人员权限过高

负责CRM数据库的维护管理，直接掌握数据库DBA用户的口令；

这些人员被他人利用，完全可以随时登陆数据库，任意进行客户信息的获取。

2)第三方人员直接接触用户敏感数据

负责业务系统的开发及实施，掌握业务系统中后台数据库用户的口令；

这些人员自身可