基于數據庫安全審計的研究

2014-11-08 22:07:26 大云網　點擊量：評論 (0)

Willie Sutton是十九世紀二十年代聞名一時的銀行大盜，當他被問為什么搶劫銀行時曾說過一句經典的話：因為那是放錢的地方。在當今世界，所謂的錢就是信息，而一個公司最有價值的資產就存放在其數據庫中。因此，

Willie Sutton是十九世紀二十年代聞名一時的銀行大盜，當他被問為什么搶劫銀行時曾說過一句經典的話：“因為那是放錢的地方”。在當今世界，所謂的“錢”就是信息，而一個公司最有價值的資產就存放在其數據庫中。因此，如果WillieSutton是一個黑客的話，他一定會把目標瞄準數據庫，因為那就是公司存放“錢”的地方。

數據庫顯然存放著最真實和最有價值的那部分資產：可能是知識產權(如可口可樂的配方)，也可能是價格和交易數據或者客戶信息。這些重要數據，一旦被人非法竊取篡改將帶來難以想象的嚴重后果。

下面是近年發生在我國的一起典型通過非法篡改數據庫牟利的案例。張某于2000年進入某電信運營商分公司工作，擔任該公司綜合市場部計費及維護員。張某作為公司計費營帳系統的管理員，擁有該系統的工號和密碼，可以直接進入該系統進行查詢、調研和數據統計等工作。該計費營帳系統與充值卡數據系統分屬于不同的系統，但共用同一數據庫。按照該分公司對計費及維護員職責的規定，張某無權對公司計費營帳系統內的充值卡數據進行新生成或修改。2004年期間，張某在辦公室的電腦上用自己掌握的密碼，進入了該分公司的充值卡數據系統，通過運行數據庫的操作語言修改了數據庫中的充值卡數據，將已充值使用過的每張面值為50元的7000張充值卡修改為未使用的狀態。其后，把充值卡的卡號、密碼等數據按面值七折的價格出售給他人，獲利20萬余元，造成該公司經濟損失達29．25萬元。

目前，國內類似上述數據庫的重要數據被內部員工非法篡改牟利問題已日益增多，數據庫信息安全面臨嚴峻挑戰，并已引起各單位高度重視，成為迫切需要解決的問題。其重要陛，不言而喻。

1 威脅與風險并存

由于單位數據庫系統用戶眾多，涉及數據庫管理員、內部員工及合作方人員等，因此網絡管理更加復雜，單位數據庫面臨的主要安全威脅與風險總結如下：

1．1數據庫賬戶和權限的濫用

表現一：缺少針對數據庫管理員監控機制。數據庫管理員擁有數據庫系統管理、賬號管理、權限分配等系統最高權限。如果數據庫管理員利用工作之便，竊取、篡改、毀壞重要業務數據，對單位數據庫安全的打擊將是巨大的。國內某著名網絡游戲廠商高管王某非法修改游戲服務器數據牟利就是一個很典型的例子，王某利用職務便利，非法修改網游數據庫服務器的游戲裝備數據，然后通過網站私下交易出售給其他玩家，非法獲利200余萬，給單位造成難以挽回的重大經濟損失。

表現二：合法用戶權限濫用。數據庫系統的操作管理采用分權管理形式，包括多個賬號，如普通賬號、用于數據庫日常維護的臨時賬號；如果上述賬號權限被內部人員或合作方人員用來竊取、惡意損毀數據庫的重要業務數據，在短時間內管理者極難察覺發現數據被篡改或刪除，事后也難以追查取證，造成難以彌補的損失。

1．2數據庫自身日志審計的缺陷

表現一：難以實時監測發現問題。數據庫系統自身的14志審計功能可以記錄各種數據庫系統修改、權限使用等日志信息，并不能幫助管理者及時發現定位問題；同時由于不能實時監測報警，因此在數據庫異常安全事件發生時，無法第一時間報告給管理者，導致管理者不能及時采取有效措施。表現二：影響數據庫服務器運行與性能。數據庫61身日志審計也會t與用了大量的硬盤空問，降低數據庫服務的性能，甚至可能影響正常應用的順利進行，同時面對成千上萬條日志記錄，很少有數據庫管理員為了尋找幾條有用的項目，去查看數千的審計日志條目，因此如何篩選出有用信息也是客觀存在的問題。

2 安全需求緊迫

根據對單位數據庫系統的威脅與風險分析，單位的數據庫安全需求主要集中在以下方面：

一是，全面監測數據庫超級賬戶、臨時賬戶等重要賬戶的數據庫操作。

二是，實時監測數據庫操作行為，發現非法違規操作能及時告警響應。

三是，詳細記錄數據庫操作信息，并提供豐富的審計信息查詢方式和報表，方便安全事件定位分析，事后追查取證。同時根據美國國防部TCSEC／TDI標準中關于安全策略的要求，數據庫審計是數據庫系統達到c2級以上安全級別必不可少的一項。

因此需要單位網絡中部署專業的數據庫安全審計系統，可有效監控數據庫訪問行為，準確掌握數據庫系統的安全狀態，及時發現違反數據庫安全策略的事件并實時告警、記錄，同時進行安全事件定位分析，事后追查取證，保障單位數據庫安全。

3 數據庫安全審計系統介紹

數據庫安全審計系統是通過對網絡數據的采集、分析、識別，實時監控網絡中數據庫的所有訪問操作，發現各種違規數據庫操作行為，及時報警響應操作還原，實現數據庫安全事件的準確跟蹤定位，保障數據庫系統安全。

數據庫安全審計系統模型包括兩個部分：一是審計數據采集器，用于采集審計數據，并存儲為審計日志；二是審計數據分析器，負責分析審計數據采集器發送的數據；審計數據字典則是數據庫審計規則庫。

數據庫安全審計系統首先收集來自用戶的事件，當用戶進行數據庫訪問操作時，采集器根據審計數據字典，判斷其數據庫訪問行為是否為審計事件，當數據庫訪問事件滿足審汁報警記錄條件時，分析器則向管理人員發送報警信息并把用戶對數據庫的所有操作自動記錄下來，存放在審計日志中。

審計日志記錄的內容一般包括：用戶名稱，操作時問，操作類型(如修改、查詢、刪除)，操作所涉及到相關數據(如表、視圖等)等。利用這些信息，可以進一步找出非法存取修改數據庫的人員及其修改時問和修改內容等。同時管理人員也可以通過手工查詢分析審計信息，并形成數據庫審計報告。審計報告通常包括用戶名稱、時問、具體數據庫操作(包括采用什么命令}方問哪些數據庫表、字段)等。

當發現新數據庫訪問具有潛在危害性，而審計數據字典未制定的對應審計規則，管理人員可以在審計數據字典中更新審計規則。在安全審汁模型中，數據庫審計日志信息起著非常關鍵的作用，它記錄了各種類型的數據庫訪問事件，為管理人員提供了事后審汁的依據，同時幫助管理人員實時掌握數據庫操作事件的動態。

4 基本標準評價

是否能夠很好地幫助管理者完成對數據庫訪問行為的監測是數據庫安全審計系統的基本標準。一個完善的數據庫安全審計系統應該從幾個方面評價：

一是，具有全面豐富的數據庫審計類型。

二是，具有細粒度的數據庫操作內容審計。

三是，能準確及時的違規操作告警響應。

四是，可以全面詳細的審計信息，豐富可定制的報表分析系統。

五是，自身的安全性高，不易遭受攻擊。

由此可見，能通過網絡數據的采集、分析、識別，實時監控網絡中數據庫的所有訪問操作，同時支持自定義內容關鍵字庫，實現數據庫操作的內容監測識別，發現各種違規數據庫操作行為，并及時報警響應、全過程操作還原，從而實現安全事件的準確全程跟蹤定位和全面保障數據庫系統安全的數據庫安全審計系統，才是一款合適的產品。

5 數據庫安全審計特性分析

5．1全面的審計類型

系統應覆蓋ORALCE、SQL SERVER、MY SQL、DB2、Sybase、Infomix等主流數據庫系統。