数据库安全解决方案及产品介绍

让数据使用更安全数据库安全产品技术交流3数据库安全产品2数据库安全背景1安华金和公司介绍4相关案例北京安华金和科技有限公司（简称：安华金和）成立时间：2009年3月2日创始人：均出自国内专业数据库开发公司，从事数据库开发十余年主营业务：数据库安全产品公司优势：唯一掌握大型数据库的内核技术和架构原理的厂商公司机构：北京总部天津研发中心天津攻防实验室全国10个地方办事处A轮融资：绿盟科技B轮融资：阿里领投公司概况3数据库安全产品2数据库安全背景1安华金和公司介绍4相关案例风险1：传统防护方案具有局限性1.网络防火墙产品不对数据库通讯协议进行控制2.IPS/IDS/网络审计并不能防范那些看起来合法的数据访问3.WAF系统仅针对HTTP协议进行检测控制，绕过WAF有150多种方法4.核心数据库防护措施被忽略。•传统安全方案缺陷：数据库安全防护相对薄弱DBMS漏洞CVE上一共公布了2000多个数据库漏洞DBDBDBDBDB黑客DB漏洞风险2：数据库自身存在漏洞DBDBDBDBDB数据明文存储DB明文存储数据处于裸奔状态姓名身份证号电话号码贺辉43250319870622506313101752976吴燕梅36902019920424782813200532663蒲孝容51102319860813186118500185539陈双清43038119900310262313202927715敏感信息明文显示风险3：数据存储无任何保密措施缺乏有效的控制内部缺少管理手段录屏记录键盘操作无法控制SQL语句风险4：运维管控存在泄密途径3数据库安全产品2数据库安全背景1安华金和公司介绍4相关案例DBMS系统访问路径核心数据1234检查预警事后追查主动防御底线防守数据库纵深安全防护思路自动分析数据库弱点和漏洞提供数据库安全加固建议威胁分析安全建议数据库漏洞扫描DBScan第一道防线：事前检查预警•等保专用检查工具授权扫描渗透检测安全监控对比分析安全报告修复建议支持国际主流数据库国产数据库•敏感数据检测•权限宽泛•缺省配置•弱口令•高危程序数据库危险使用DBMS漏洞•系统注入漏洞•缓冲溢出漏洞•权限提升漏洞•补丁未升级XSecure-DBScan领先国内的数据库漏洞扫描，防患于未然，暴露数据库安全问题，提出修复建议，进行安全加固威胁分析-找出数据库安全弱点涵盖等保检测标准和行业要求支持1~4级等保检测要求；不同级别策略、阀值配置；符合等保规范的专用检测报告。自身安全性高管理员、操作员、审计员三权分立；使用只读权限账户即可扫描；检测报告中数据库连接信息、口令等加密存储。风险级别准遵循CVE、CNNVD标准的定级原则；自定义漏洞级别与国际主流专业工具一致。DBMS漏洞库全，1300个漏洞涵盖CVE和CNNVD公布的漏洞项；检查范围全面，4500多个检测项覆盖DBMS漏洞、管理员维护漏洞、程序代码漏洞和高危敏感数据检测。全面准确安全实用整体安全评估数据库漏扫DBScan-产品优势数据库防火墙数据库安全运维防止第三方泄漏生产数据防止核心敏感信息泄露第二道防线：主动防御XSecure-DBF是国内首款专业数据库防火墙产品XSecure-DBF是一款集数据库IPS、IDS和审计功能为一体的综合安全产品数据库应用数据库维护用户主动防御：数据库防火墙虚拟补丁•缓冲区溢出漏洞•权限提升漏洞•系统注入漏洞攻击防御访问控制虚拟补丁•黑白名单•业务语言建模•SQL注入攻击控制外部非法操作限制内部违规操作修复不易加固的漏洞•敏感表操作权限•限制访问行数、返回行数•限制nowhere查询及更新主动防御-防攻击、防漏洞操作的白名单库白名单通过学习期初步构建行为模型，管理员辅助完善行为模型的基本元素是SQL语法抽象描绘，符合语法为正常已知行为白名单是进过管理员确认的合法SQL模版库黑名单黑名单是通过SQL语法抽象描绘的未知访问行为学习模式DB应用攻击防御-建立合法SQL黑白名单开启SQL注入防护策略，防范SQL注入访问DBSQL注入特征库多种特征组合描述系统自带SQL注入特征库自定义SQL注入特征描述注入描述SQL特征库自定义高危SQL语句注释语句包含风险函数攻击防御-SQL注入防护可信访问主客体资源授权避免高权限账号对数据库进行违规操作控制谁、什么时间、什么地点（IP+MAC）是否允许登录哪个数据库控制谁、对什么对象、执行什么操作返回行数限制防止批量导出数据对select动作的返回行数进行限制影响行数限制避免update及delete两种行为造成大面积影响对update和delete的影响行数进行限制对是否携带where条件进行控制：deleteNowhere、UpdateNowhere123访问控制-人员权限控制虚拟补丁•是在数据库外创建了一个安全层，无需升级数据库补丁，即可防止通过已知漏洞对数据库的攻击，并能有效防止漏洞攻击。拦截漏洞攻击•及时更新漏洞库，避免为了修复漏洞而升级系统导致的问题•庞大的漏洞库，支持460个漏洞•全面的漏洞类型，22种漏洞类型，包括缓冲区溢出、权限提升等DB数据库防火墙虚拟补丁•让相关人员第一时间就能知道数据库访问风险的发生，从而有机会第一时间对数据库内机密信息的泄漏或者数据库遭到的攻击进行应对。应用阻断允许设定控制策略授权合法用户，合理操作非法用户，风险操作DBSNMPsyslog邮件短信设置策略匹配规则阻断告警丰富的及时告警方式数据库防火墙系统的部署支持串接、旁路两种方式。串联方式：物理上串联接入，确保非法行为无法绕开。旁路方式：学习建模期；有利用用户快速进入使用状态。在不改变物理拓扑的前提下，直接监控、审计所有数据库访问行为。阶段部署方式实现效果性能影响高可用场景学习期旁路审计，建立合法特征库SQL处理吞吐量影响2%以内支持HA高可用性，设置之间通过心跳线传输HA心跳包，形成主备部署结构。过渡期串接审计告警，不拦截使用期串接审计、告警、拦截风险数据库防火墙部署周期数据库防火墙产品部署主动防御：数据库安全运维系统工作流程数据库安全运维系统提交申请申请详情审批通过获得口令数据库安全运维系统任意客户端连接，使用口令注册，执行申请操作合法，放行任意客户端建立连接，无口令或执行未申请的操作，被拒绝申请人审批人申请方式提供精确完整SQL语句申请，审批通过后操作人如实操作即可SQL语句申请01充分授权的内部运维人员，可以按照对某些敏感表进行访问和操作授权用户申请03按照“时间+对象+操作”条件组合申请SQL操作申请02用户提请定时任务，系统在指定时间和周期自动执行数据库脚本自动执行申请04多种通知方式本系统提供了多形式的信息通知（告警和审批消息），包括手机短信、邮件、以及SYSLOG、SNMP等报表展现形式：•日报、周报、月报•PDF、Word、Html导出报表内容：•申请统计•执行语句、•风险分析、•告警报表统计图展现形式：•饼状图•柱形图•条形图•双轴折线图申请统计执行语句风险分析告警分析完善的报表展示产品功能特点数据库安全运维系统事中运维控制支持多数据库与SQL类型自主识别、风险提示多角色多权限管理可拓展接口丰富报表与技术报告产品功能特点不同用户在统一平台集中登录进行身份认证不同申请方式都要通过审批人审核通过后才可以执行SQL操作通过集中检索语句、会话、风险等重要数据集中分析对SQL进行风险提示，执行SQL触发风险有告警、阻断、拦截等管控手段集中认证集中审批集中分析集中管控产品价值安华DBController安全管控产品具备一套标准的审批流程，使运维人员访问行为得到事中管控。规范审批流程实时运维监控，自动根据预设置的风险控制策略，对数据特征检测及审计规则检测，任何尝试的攻击或违反规则的操作都会被检测到并实时阻断或告警完善管控手段DBController通过开放审批接口和报表接口，使数据库运维管控与当前的办公OA软件、运维管理平台无缝兼容。开放管理接口安全运维系统部署方式DBController支持两种串联模式：数据加密数据脱敏防止第三方泄漏生产数据防止核心敏感信息泄露第三道防线：底线防守XSecure-DBCoffer是一款基于加密技术的的数据库防泄漏产品能力，是国内唯一成熟的数据库加密产品底线防守-数据库保险箱DBCoffer明文存储引起泄密第3方员违规访问内部高权限人员数据泄密外部入侵非法破解独立的权控体系三权分立加密存储应用身份鉴别SQL级API对加密数据权限访问控制DBCoffer-泄密方式DatabaseIDNameDeptSalMgrPKEYSal加密前加密后存储加密•以列为单位有选择的进行加密•支持各种常用数据类型•每个加密列拥有唯一的密钥•支持随机盐进行密文扰乱•支持国家自主加密设备和加密算法产品特性-数据加密定义了谁、什么时间、什么地点、访问什么敏感数据用户权限时间限制(开发、维护人员)19:0023:59地点限制(领导、内网用户)数据库（表、列）增强访问控制-细粒度访问控制安全管理工具安全代理安全服务系统（主）安全服务系统（从）部署方式异地容灾DBC安全服务器（主）DBC安全服务器（从）同步信号数据库本地应急服务应用二级容灾三级容灾四级容灾一级容灾DBC安全服务(主)DBC安全服务(从)手动应急办法容灾部署透明安全高效可靠兼容充分满足等保、分保数据库安全要求；全方位主动预防敏感信息的泄露、篡改系统稳定运行具有完善的容错和容灾能力数据透明加解密技术应用系统不用改造数据库维护工作不受影响OracleSQLServer主流版本密文索引技术提高密文情况下检索效率保证密文数据可以快速查询数据库加密保险箱DBCoffer-产品优势数据库业务系统含有敏感数据的文件或数据流无敏感数据的文件或数据流不能使用敏感数据的设备、业务系统、和用户数据库脱敏XSecure-DBM是国内关联性保持最专业数据库脱敏产品XSecure-DBM是一款拥有自动发现、自动脱敏、算法丰富的脱敏工具数据分析测试环境开发环境底线防守-数据库脱敏产品DBMasker数据文件数据库数据发现数据抽取数据脱敏数据发放数据脱敏系统数据分析测试环境开发环境姓名身份证号手机号贺*432503********506313101****76吴*梅369020********782813200****63蒲*容511023********186118500****39陈*清430381********262313202****15姓名身份证号地址韩浩43250319650812726713101278126傅彤36902019781024532513200192263高翔51102319810630196X18500534718贾华43038119690508612913202725549DBMasker随机替换掩码处理部分替换姓名身份证号地址贺辉43250319870622506313101752976吴燕梅36902019920424782813200532663蒲孝容51102319860813186118500185539陈双清43038119900310262313202927715姓名身份证号手机号张霞51003119900325324113174324239李想11023019760521764X13884674356李宏宇43129819870912582218911238735陈梦23032919931123973413083237683数据脱敏-生产数据自动化脱敏姓名身份证号手机号任如平51052519860917598813001156715蒋燚51102319881222801113125716295贺辉43250319870622506318500621263手机号通话类型时长/流量18500621263语音100秒13125716295语音55秒13125716295短信1条18500621263GPRS200K13001156715语音180秒13001156715GPRS150K姓名身