數據庫安全審計Guardium介紹

企業數據庫的安全審計

IBM軟件部

胡穗聰

husuic@

監控

vs審計時間每秒的請求頻率監控突發審計持續審計通過使用過濾減少實際審計的流量審計意味著需要將信息記錄到磁盤監控意味著觀察所有流量數據監控:三大商業驅動力外部威脅防止入侵內部威脅識別未授權的變更防止數據泄漏合規性簡化流程降低成本AuditRequirementsCOBIT(SOX)PCI-DSSISO27002DataPrivacy&ProtectionLawsNISTSP800-53(FISMA)1.AccesstoSensitiveData(Successful/FailedSELECTs)2.SchemaChanges(DDL)

(Create/Drop/AlterTables,etc.)3.DataChanges(DML)(Insert,Update,Delete)4.SecurityExceptions(Failedlogins,SQLerrors,etc.)5.Accounts,Roles&Permissions(DCL)(GRANT,REVOKE)法規中的合規性要求DDL=DataDefinitionLanguage(akaschemachanges)DML=DataManipulationLanguage(datavaluechanges)DCL=DataControlLanguage1Guardium簡介建立確保跨越數據庫和應用基礎設施關鍵數據安全的企業級平臺。

愿景最為廣泛使用的數據庫行為監控、安全和審計解決方案客戶認可100%的可視性和信息，對性能沒有影響，無需改變基礎設施

13個正在審批中的專利適合擴容的企業級架構

OracleMicrosoftIBMDB2IBMInformixSybaseASE,IQMySQL,TeradataDBMS

SolarisHP-UXAIXz/OS-Linux-WindowsOS

OracleEBSPeopleSoft,JDESiebelSAPCustom&other

packagedappsApplications

LDAPKerberosRSASecurIDAuthentication全方位的支持

BMCIBMEMCNEON(mainframe)NetApp(encryption)Technologypartners“5-StarRatings:Easyinstallation,sophisticatedreporting,strongpolicy-basedsecurity.”

“Enterprise-classdatasecurityproductthatshouldbeoneveryorganization'sradar."第三方的認可“Dominanceinthisspace”#1ScoresforCurrentOffering,Corporate&ProductStrategyStrategicInvestor

TCPIPCSHMNamedPipesOracleBEQ-TLIDBProtocols全球客戶2全球頂級公司的選擇全球排名前五的銀行Citi，JP-Morgan全球排名前三的零售商中的兩家全球排名前五的保險商中的三家全球兩大飲料生產商Coca-cola，Pepsi最著名的PC廠商DELL政府機構FBI全球15家電信公司三大企業制造商大型能源公司大型醫療公司媒體&娛樂品牌電信/基建公司MEDITELCONFIDENTIAL金融公司CONFIDENTIAL能源公司CONFIDENTIAL政府機構CONFIDENTIAL金融公司，日處理百萬條會話客戶：擁有7千5百萬用戶的紐交所上市公司需求:增強

SOX合規性和數據監管階段1:監控所有特權用戶的活動，特別是數據庫變化.階段2:

專注于數據隱私.Environment:全球四個數據中心100多臺服務器上的122個數據庫實例Oracle,IBMDB2,Sybase,SQLServeronAIX,HP-UX,Solaris,WindowsPeopleSoftplus75in-houseapplications可選方案:本地審計因為性能開支不具操作性結果:目前每天審計百萬條會話記錄(GRANTs,DDL,etc.)捕獲DBAs訪問數據庫的記錄每日生成SOX的自動報告使用ticketIDs自動化變更管理調節通過兩項外部審計為Dell簡化企業安防需求:為

SOX,PCI&SAS70提高數據安全性簡化并自動化合規性控制Guardium部署:階段1:在10個數據中心部署了300個數據庫服務器

(12周內)階段2:部署其他725個數據庫服務器環境

:Oracle&SQLServeronWindows,Linux;OracleRAC,SQLServerclustersOracleEBS,JDE,Hyperionplusin-houseapplications原先的解決方案:利用自開發的腳本本地記錄

(MS)或審計

(Oracle)支持問題;DBA時間需求;大數據量問題;SOD問題.結果:自動化合規性報告;實時告警;集中化

PublishedcasestudyinDellPowerSolutionsGuardium解決方案3易損性評估配置評估行為評估基準設置100%可視化基于策略的行為異常發現實時阻止細粒度的訪問控制和其他應用整合集中式監管合規審計報告自動升級安全審計池用以取證的數據挖掘長期保存可發現所有應用和客戶可發現和分類敏感信息發現和分類評估和鞏固監控和執行審計和報告Critical

DataInfrastructure全方位的安全和審計周期監控方式17E-BusinessSuiteSwitchorTAPGuardiumS-TAPs用以訪問監控(sharedmemory,BEQ,namedpipes,etc.)Guardium網絡監控應用和審計庫用戶應用無侵入性無需數據庫變化最小影響無需基于傳統數據庫的本地日志（DBA可輕易修改）細粒度的策略和監控何人，何事，何時，如何實時告警監控包括本地特權用戶訪問在內的所有活動可伸縮的多層架構S-TAPS-TAP網絡CollectorCentralManager&AggregationCollectorS-GATE遠程人員和外包S-TAPz/OS財務HRCollectorOff-shoreZ-TAP功能舉例4異常類型

1數據庫異常分析1：Exceptionbytype

2：ExceptionbyserverIP3：ExceptionbyclientIP4：ExceptionbySQLcmd出現異常的服務器鏈接數據庫產生異常的客戶端地址詳細的源程序，SQL命令假如我的客戶代表一小時內查看了99條記錄？屬于正常嗎？他看了些什么?2提取敏感信息問題:應用服務器通過常用服務賬號訪問數據庫–

并沒有識別是誰發起交易(連接池)解決方案:跟蹤用戶訪問應用程序與特定的SQL命令支持主流的企業應用(OracleEBS,PeopleSoft,SAP,Siebel,BusinessObjects,Cognos,etc.)附加自定義應用(WebLogic,WebSphere,OracleAS,etc.)不改變應用服務ApplicationServerDatabaseServerJoeMarcAppUser3識別來自應用層上的欺詐S-GATEHoldSQLConnectionterminatedPolicyViolation:DropConnectionPrivilegedUsersIssueSQLCheckPolicyOnApplianceOracle,DB2,MySQL,Sybase,etc.“數據庫