介绍

1、360数据库审计系统-产品介绍

 

360数据库审计系统是一款专业、实时监控数据库安全的审计产品，可用于审计关系型数据库、非关系型数据库以及大数据的数据存储。 审计系统通过监控数据库的多重状态和通信内容，不仅能够对数据库所面临的风险进行多方位的评估，还可以对数据库所有操作进行审计，提供事后追查机制。主要功能有：单/双向审计、三层审计、日志检索、风险告警、策略配置、审计集群、探针集管、策略同步、报表等。 360数据库审计系统可全方位满足国家政策法规要求，实现合规审计。系统提供多维度、多层级审计策略，实现全方位危险控制分析。系统针对数据库内外部的危险行为进行实时监控，对命中策略的访问行为进行分级、分类聚合统计实现实时告警。系统具备精准智能关联分析能力，准确定位终端用户信息，实现100%无漏审，零误报。

 

2、360数据库审计系统-设计目标

 

数据库安全审计系统通过监控数据库的多重状态和通信内容，准确评估数据库所面临的风险，并通过日志记录提供事后追查机制。数据库安全审计系统能可视化用户数据库资产分布和风险情况，提升用户数据安全治理的能力；在用户发生安全事件时，提供安全事件追溯，对事件进行回放、追踪、追责、定责；满足合规要求，帮助用户快速通过测评。广泛应用于政府、医疗、教育、金融等众多行业。通过可视化数据库资产分布和风险情况，提升数据安全治理的能力；当风险发生后进行安全事件追溯，对事件进行回放、追踪、追责、定责，并输出合规报表，满足合规要求，快速通过测评。

 

架构

产品架构总共分成五层，包括协议监听层、SQL分析层、审计策略层、日志管理层和终端展现层，如图所示：

 

 

 

（1）协议监听层主要对抓取的数据包进行网络协议解析，以及对数据库流量进行多级缓存。

 

（2）Sql分析层主要对已抓取的内容进行数据库协议解析以及智能化分析；

 

（3）审计策略层主要对解析出来的数据库交互信息进行策略匹配，然后根据命中策略进行告警；

 

（4）日志管理层主要对审计日志进行压缩、存储以及创建索引；存储审计日志和搜索索引。

 

（5）终端展现层主要进行日志检索、风险告警、报表统计分析以及安全监控等其他行为。

 

 

 

主要功能

1、引擎管理

 

引擎管理：可对ORACLE、MYSQL、MSSQL、SYBASE、DB2、达梦、人大金仓、神州通用、INFORMIX、PostgreSQL、Gbase、MongoDB、Redis、TeleData、Cache、HANA等数据库访问审计。

 

单双向审计：可对平台数据库操作语句及返回结果进行双向审计，通过直观化的方式显示返回结果内容，支持对返回结果进行模糊化处置，避免审计过程中敏感数据泄露的问题。

 

模糊化日志：实现对平台审计的结果进行模糊化，避免因审计过程中造成敏感数据泄露。

 

2、运维审计管理

 

支持对数据库服务器的其他运维行为进行审计，实现对数据库服务器的全面监控。运维审计支持的通信协议有：TELNET、SSH、FTP、POP3、SMTP、IMAP、VNC。

 

3、敏感发现管理

 

支持对纳管的数据库进行数据扫描，根据所设的敏感数据规则，及时发现目标数据资源中敏感数据情况。

 

4、漏洞扫描管理

 

支持Oracle、SQLServer、Sybase、DB2、达梦、Informix的数据漏洞进行扫描。支持从认证、系统、授权、CVE、弱口令等维度展示 被扫描数据库的安全情况并针对安全问题形成整改建议。

 

5、日志检索

 

具有多种日志检索方式，可按访问的时间查询；按访问源查询（访问客户端IP、客户端MAC、客户端操作系统主机名、客户端操作系统用户名、客户端连接工具名、数据库用户名）；按访问的目标查询（数据库IP、数据库MAC、数据库实例、表、列等）按操作类型查询；按SQL内容查询；按匹配的策略查询；按风险等级查询等。

 

针对查询后的日志内容能够详尽的显示访问行为发生的具体特征，具体信息包括：访问的时间、访问客户端IP、客户端MAC、客户端操作系统主机名、客户端操作系统用户名、客户端端口号、客户端连接工具名、数据库用户名、数据库IP、数据库MAC、数据库实例、表、列、操作类型、SQL内容、SQL结果内容、执行时间（毫秒）、响应状态、影响行数、查询返回行、匹配的策略、风险等级等。

 

6、用户行为轨迹分析

 

以曲线连接多点的形式展示用户的访问来源、目标、操作的轨迹，并支持轨迹定位到具体日志信息。

 

 

 

7、风险告警管理

 

为避免告警过多带来的难以处置的问题，平台对相同的规则进行告警日志汇总显示，可通过引擎的方式对进行告警日志汇总显示，并可以根据事件类型对告警日志进行查询。支持以命中策略相同维度进行告警聚合的方式对告警日志进行展示，支持对误报或指定的告警日志启用禁用，以及对告警信息进行详细查看，了解具体告警信息的日志详情。

 

8、实时告警

 

当有风险的行为触发后，可根据所配置的告警方式进行实施告警。平台支持SYSLOG、Email、FTP、SNMP多种告警方式。

 

9、策略配置

 

支持自定义策略、异常访问、SQL攻击、超级白名单、全局对象、智能翻译等策略设置，满足组织在不同场景下的策略配置。

 

10、报表管理

 

可通过设置检索条件对平台审计到的数据日志进行实时统计分析，可以从来源分析、执行时长分析、操作类型分析、特权操作、登录情况等维度展示数据库的访问情况。

 

产品优势

1、技术优势

 

● 基于硬件零拷贝网络数据包捕获技术→高性能的抓包能力；

 

● 采用多级缓存技术的协议解析和分析能力→高性能的协议分析能力；

 

● 基于BigTable和MapReduce的海量存储引擎→高性能的入库能力；

 

● 基于倒排索引的日志查询机制→高性能模糊检索能力；

 

2、高单机性能

 

● 峰值处理能力：2万~10万SQL/s；

 

● 峰值数据库流量：350Mbps~700Mbps；

 

●日志检索速度：1亿条记录，带通配符模糊检索速度<30秒；

 

● 日志存储能力：35亿条SQL/TB。

 

3、Agent探针部署

 

可将探针部署至数据节点和应用节点，适用云环境的数据库进行审计。实现统一配置、自动部署、集中管理。用户通过Agent管理平台能够实时监控探针的运行状态、资源占用等情况。

 

4、集群审计

 

可为企业、集团的大流量数据库集群提供审计服务，通过审计管理中心，对集群审计系统进行集中管理、统一配置、统一查询。

 

审计集群相比于传统审计，在性能方面有显著提升，主要体现在流量解析，日志存储，日志查询等方面，并且可以通过横向扩展，提高解析能力和存储能力。

 

部署

360数据库审计系统采用旁路的方式部署到用户的网络环境中，根据用户的数据库环境不同，提供：交换机镜像审计、Agent审计、集群审计三类部署场景供用户选择。

 

1、镜像部署

 

 

 

2、Agent探针部署

 

通过在目标数据库主机安装探针方式，实现对数据库所有操作行为的记录审计。该模式适用于云端、虚拟化及数据库较为分散的场景。

 

 

 

3、集群部署

 

     数据库审计系统集群部署，结合网络分流器，获取数据库上游交换机的镜像流量，实现访问操作行为审计。该模式适用于海量数据审计的需要。