Sinoregal dbAudit应用

一、dbAudit主要功能包括：

(1)记录用户对数据库进行的访问活动与访问的数据。

(2)记录Web应用系统进行的数据访问活动。

(3)提供数据库访问活动与web应用系统活动的完整分析信息，清楚呈现活动事件的人、 事、时、地、物。

(4)藉由人性化操作界面与钻取式(Drill-Down)查询，审计人员可轻松地进行数据分析。

(5)支持各种信息安全与审计法规。

(6)通过主动审计管理机制定义数据库访问审计策略与告警机制。

(7)7x24实时监控、随时掌握访问状况，并提早主动告警异常行为。

下面就来介绍下实现这些主要功能涉及到的一些关键技术以及相关逻辑应用：

二、dbAudit关键技术

1.稽核政策与告警机制系统：

拥有审计策略管理权限的用户可根据dbAudit提供的各项政策功能进行配置，可根据这些政策配置告警事件，并配置具体接收该告警消息的用户。当事件发生时，系统会发送告警消息给该用户，并在相对应的安全策略中记录告警数据、发送信息和发送的内容。

拥有符合各式法规之稽核报表：dbAudit提供的法规清单如下：BASEL II、SOX、COBIT、GLBA、HIPAA、ISO17799、ISO27001、ISO27011、DCI-DSS。这些法规对应的法条中，除了配置符合法条的常用缺省报表外，也配置了违反法条的常用缺省告警，拥有审计策略管理权限的用户可使用缺省规则进行配置，或可自行定义新的规则与报表、告警。

2.监控及审计所有数据库活动：

dbAudit具备监控目标数据库的所有活动，包括执行DCL、DDL、DML等活动，并将监控到的数据存入dbAudit内部数据库，提供网页界面进行审计数据的查找等操作。

监控各用户对审计数据之所有操作：

dbAudit本地机器不开放任何帐号直接对dbAudit内部数据库进行操作，仅能透过网页对审计数据进行查阅及各项政策的配置，透过网页执行的所有操作皆会进行记录

3.7x24小时方式

dbAudit为一款24小时全天候的数据库行为安全审计系统，以7x24小时方式，随时监控与审计Web应用系统与数据库服务器，以预防合法授权者的非法或可疑访问活动，与藉由Web应用系统进行的外部数据窃取，主要技术特点实践如下：

审计数据保护机制：为了确保审计数据的安全性、完整性与不可否定性，dbAudit在审计数据传输、保存与使用时，进行加密和电子签章，形成相应的保护机制，以防止审计数据遭到窃取、窜改或删除。自身审计记录保护机制：为了确保监控系统使用用户的合法性操作，能够进行记录

4.审计数据保护机制

(1)数据传输保护机制：

dbAudit内部模块SecuEyes和SecuCenter之间的数据传输，是采用SSL加密通信通道来进行数据传输，以确保传输数据的安全与完整。

(2)数据存储的本地计算机保护机制：

在dbAudit本地计算机仅提供CLI（Command Line Interface）模式让系统默认的特定帐号登录进行系统管理。在dbAudit本地计算机上不允许用户执行CLI以外 的程序或命令,也不接受任何CLI以外的命令。CLI清单上并不提供任何涉及变更和查阅审计数据的命令。CLI清单提供密码变更命令，让系统管理员可以变更 系统默认特定帐号的默认密码。

(3)备份数据的保护机制：

对于dbAudit系统经由备份程序生成的备份文件，则是经过密码金钥加密与数位签名处理后，才传送到备份存储介质上保存，以确保数据的完整与不可否定性。

5.审计数据保护机制

用户只能够通过使用SSL传输协议的dbAudit网页界面来管理dbAudit系统和查看审计记录。dbAudit网页界面也仅提供用户查阅审计记录的功能，没有提供用户对审计记录进行手动添加、修改或删除的功能，同时对显示的机密性数据进行掩码处理。透过dbAudit系统提供的系统管理员、安控管理员、审计人员、报表查阅人员这四类用户角色，可以限制用户在网页界面上可操作的功能与动作；而用户帐户的审计权限配置则限制了用户可查阅的审计数据范围

6.自身审计记录保护机制

(1)自身审计记录生成：

对dbAudit进行操作的尝试，如关闭审计功能或子系统，会产生审计记录。

所有用户的登录及退出，包含系统管理员，都会产生审计记录。

所有用户的操作，包含读取审计数据、对安全策略进行更改、对用户管理等操作，都会 产生审计数据。

存在与不存在之用户因鉴别失败，会产生审计记录，并于超过限定次数时，产生系统告 警通知系统管理员。

(2)自身审计记录独立存放：

dbAudit采取将自身安全审计记录与被审计的目标信息系统的审计记录分别保存在同一个数据库但不同表中，除了方便查阅和分析外，也能依照不同审计策略将表保存不同天数.

7.安全保密功能

(1)用户管理：

用户身份鉴别：dbAudit仅限定许可用户登录系统，不存在或已被删除之帐户则不被允许登录本产品。

用户帐号：在配置新用户时，不允许配置登入名称相同之帐号，以确保用户性。

用户密码管理：在配置新用户时，会根据用户的密码复杂度进行强度提示。新用户取得 帐号时，登录需要强制变更密码，以确保帐号安全。

用户身份根据权限划分：不同的用户可配置不同的角色，不同角色代表着拥有对不同模 块的操作功能，如：系统管理员仅能对系统管理之功能进行配置，但并无权限查阅审计 数据.

(2)用户操作管理：

用户登录：用户登录成功与失败皆会进行记录，并于用户连续登录失败超过系统参数配置次数时，在限定时间内封锁该帐号，并在记录上会有特殊标识，以提示管理人员对该帐号进行关注。不存在或已被删除之帐号尝试登录也都会进行记录。

用户操作记录：用户对审计记录相关的操作，及对各个模块的添加、删除、修改、查找 等各种异动皆会进行记录，此项记录独立存放，与审计记录分别存储在不同的表中.

(3)审计数据管理：

审计数据传输可信路径：审计数据在进行内部传输时，皆透过加密通道进行数据传输。

审计数据完整性：当审计系统发生异常时，系统确保审计数据能被保留，待系统恢复正常运作时，再透过暂存的传输机制进行数据上载。

审计数据查阅权限划分：dbAudit对审计数据的管控是透过应用系统的配置，在授权该应用系统于具体用户外，其余用户无权对该应用系统下的审计记录进行查阅。

审计数据不可更动：审计数据本身及与所有审计记录相关操作生成的记录，都没有管道 进行修改或破坏。

敏感数据掩码：在dbAudit网页界面上进行数据查阅，敏感数据会根据系统参数进行掩码处理，以避免敏感数据以其它形式外泄。

本地计算机封存系统高权限用户（ROOT）：dbAudit安装在专用机器上，不允许dbsecure 账号以外的其它帐号登录操作。

本地计算机有限指令查询：在透过允许的dbsecure账号登录后，仅能透过产品提供的CLI界面使用其提供的指令进行网络等基本配置，亦无权更改存储的审计数据。