从网络安全法谈数据库安全

福建星瑞格软件有限公司

01 网络安全法实施

02 网络安全法关键要点之一

维护网络数据的完整性、保密性和可用性……

防止网络数据泄露或者被窃取、篡改……

采取数据分类、重要数据备份和加密等措施……

国家对一旦遭到破坏、丧失功能或者数据泄露……实行重点保护。

对重要系统和数据库进行容灾备份……

重要数据和境内搜集的个人信息在境内存储……

……

第 10 条

网络 安 全 法

第 31 条

第 37条

第 21 条

网络运行安全重点环节- 网络数据安全管理网络数据指通过网络搜集、存储、传输、处理和产生的各种电子数据

第 21(4) 条

第 34(3) 条

第 21 条

数据加密

数据完整性

访问行为审计

数据传输

数据存储

数据备份

网络数据安全管理

03 网络安全法关键要点之二个人信息保护

第 49 条

网络 安 全 法

预防损害原则 第 41 条

第 41 条

第41、42、44条

第41、42条

第 42 条

第 42 条

第 43 条

第 40 条

对应关系

告知原则

搜集限制原则

个人资料使用原则

当事人自主选择原则

APEC 隐私保护九大原则

“个人信息，是指以电子或者其他方式记录的能够单独或 者与其他信息结合识别自然人个人身份的各种信息，包括但 不限于自然人的姓名、出生日期、身份证件号码、个人生物 识别信息、住址、电话号码等。.” ----网络安全法 附录

本次网络安全法与国际最佳实践、 其他国家在个人信息保护的法律法 规保持了相当高的一致性。

个人资料完整性原则

安全管理原则

访问及更正原则

责任原则

04 网络安全法关键要点之二

1. 预防损害原则（第四十九条）网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信 息安全的投诉与举报

2. 告知原则（第四十一条）网络运营者收集、使用个人信息，应公开搜集、使用规则、明示搜集、使用信息的目的、方式和范围并经被搜集者同意

3. 搜集限制原则（第四十一条）网络运营者收集、使用个人信息， 应当遵循合法、正当、必要原则；不得搜集与其服务提供无关的个人信息

4. 个人资料使用原则（第四十二条）未经被搜集者同意，不得向他人提供个人信息，但是经过处理无法识别特定个人且不 能复原的除外；（第四十 四条）不得非法出售或非法向他人提供个人信息

5. 当事人自主选择原则（第四十一条）网络运营者收集、使用个人信息，应经被搜集者同意；（第四十二条）未经被搜集者同意，不得向他人提供个人信息

6. 完整性原则（第四十二条）网络运营者不得泄露、篡改、毁损其搜集的个人信息

7. 安全管理原则（第四十二条）网络运营者不得泄露、篡改、毁损其搜集的个人信息

8. 访问及更正原则（第四十三条）个人发现网络运营者违反法律、行政法规的规定或双方约定收集、使用个人信息的，有权要求删除其个人信息，发现有错误的有权要求网络运营中更正。

9. 责任原则（第四十条）网络运营者对其搜集的用户信息严格保密，建立健全用户信息保护制度

个人信息保护

绝大多数的重要敏感数据储存于企业数据库

• 90%以上的敏感信息泄露源于数据库

• 根据2016年Verizon Business资料外泄调查报告

80%的数据泄露来自外部；

75%的数据泄露出于经济目的；

个人信息泄露占比明显增大；

• 外泄资料主要为 Passwords, usernames, emails, credit/debit card, financial account information and Social Security Numbers.

05

1. 最直觉的事前数据库安全方案

2. 防笨黑客

3. 防无授权的使用者

4. 防君子型的数据库管理者

5. 无法留存数据库访问日志

6. 影响数据库性能

19

数据库加密 vs 数据外泄06

08 福建星瑞格软件有限公司背景介绍

07

20 事件案例

某电商公司遭指控泄漏会员个人信息，因许多会员陆续接到诈骗电话并报案，经协助搜寻审计轨迹纪录，发现有一内部员工异常查询会员与订单数据，并发现该账号登入Web Client IP地址来自香港。

有人泄漏机敏资料，如何找出疑犯与罪证

08

09 星瑞格眼中数据库安全的主要挑战

• 缺乏对违规访问、删除、修改提出及时有效审计告警手段

• 缺乏完善的审计信息

– 不能追踪审计真实用户／IP行为

– 不能追踪审计完整访问行为及返回数据

– 不能追踪审计开发商／第三方维护人员行为

– 不能审计特权账户访问操作行为

• 完善审计对生产系统产生相当的性能影响

• 新型攻击日新月异，如SQL注入未及时审计发现并及时告警

10 星瑞格解决方案

事前/事中/事后的全程数据安全防护

星瑞格产品

产品名称 产品功能 产品形态

防护阶段

dbAudit 数据库安全审计系统

对数据全程审计，提供预警和预测功能

独立硬件+软件

事中/事后审计和警告

sysGuard 服务器访问控制及权限管理系统

从操作系统层管控敏感数据的访问权限管理和命令执行权限管理

独立硬件+软件

事前/事中阻断

星瑞格对数据的保护可以从两方面着手，一个是从数据库审计的角度，监控与记录数据库的访问，另一个是从操作系统层管控敏感数据的访问权限，对敏感数据做到审计加上保护，不仅可以防堵黑客窃取敏感信息，也可以阻止内部人员盗卖信息。敏感数据的保护可以使用星瑞格数据库安全审计产品-dbAudit加上服务器访问控制及权限管理系统产品-sysGuard来完成。

灵活的高可用性方案

•SQL注入•账号泄露•违规行为

•特权用户•账号滥用•数据库漏洞

全程审计记录，精准定位风险源头，精准识别操作对象，精准关联风险线索

WebUser + DBUser + OSUser + IP + Application + …. +Return Data 双向审计, 逆向追踪

DB Server

login.jsp?xxxdopost.aspx?xxsubmit.php?xx

DB Server

Select * from xxxAlter table xxxxInsert xxxxx

Web to DB

Client to DB

识别真实用户

•360度解析

辨识真实用户

共用帐号

连接池

SQL访问记录

11

多层审计,Web User Matching

13

Select * from …Insert …

Update …Delete …

http://xx.com.cn/abc.asp?use=fred@pqa.com Web/ApplicationServer

Database Server

Exec Time Web User SQL

2014-01-03 fred Select * from …

2014-01-03 fred Insert …

DBAUDIT

12

全程审计记录，精准定位风险源头，精准识别操作对象，精准关联风险线索

n 用户隐藏身分时，执行记录应可分辨真实原始用户

n 执行记录应可分辨是否为自动程序(cron job)或是人为执行

n 执行命令信息应完整记录(程序名称与OS指令)

特权用户追踪审计

14

用户(Arthur) root

数据库管理员(Oracle/DB owner)

su su SQL

数据库

数据库

用户(John/root)

SSH/Telnet cron job

13

可纪录SQL命令执行后，数据库返回结果与字词查找逆向追踪

双向审计，逆向追踪

输入查找字词

找出当时执行SQL语句信息

找到用户曾经查询该数据的纪录,奌击鼠标右键向下钻取

14

黑客输入特殊SQL语句片段，窃取系统/用户帐号密码或数据信息

SQL Injection 注入攻击15

16 数据库全程监测与审计-dbAudit

在传统数据库审计的基础上，独创Web User Matching技术，确保安全事件精准溯源和数据库审计无死角

• Web User Matching技术

独有专利技术成熟可靠的Web User Matching技术，自动学习分析访问行为与Web来源，无需任何应用架构与代码调整

• 安全预警&安全预测

丰富的告警方式和灵活的内置策略，实现安全的预警能力通过数据访问异常分析，实现企业数据环境的安全预测

• 溯源取证

通过数据库行为轨迹分析，实现可疑访问回放溯源，透过中间环节，精准定位真实操作用户

• 全程监测

通过特有专利技术实现Web多层架构的完整审计，丰富组件精准过滤特权用户的隐藏操作

17 功能特点- dbAudit

DBAudit

端到端全程审计

多层审计支持

专利的Web user matching技术 数字签名加密，数据不可破坏

智能学习策略，精准溯源 操作简单、友好中文化支持

弹性架构，部署灵活

双向审计，屏蔽敏感参数

预置丰富审计策略

违规行为自动预警

18 最佳解决方案-Sinoregal dbAudit

• 提供全中文化操作界面• 可依据网络架构及主机环境, 弹性搭配Sniffer或Agent模式的监控模式, 将对数据库效

能影响降到最低• 可同时监控 Sinoregal、Oracle、Informix、Sybase 、DB2 、MS-SQL 、MySQL、

MariaDB、PostgreSQL、Teradata、AS400、人大金仓，达梦，Greenplum…等多种数据库环境

• 完整记录数据库存取行为, 包含DML、DDL、DCL及其返回结果(Return Data)• 真实用户辨识不需修改应用程序及系统架构, 即可辨识Connection Pool或Common

Account等共享账号用户信息及主机端的特权用户信息• 提供5W1H审计机制制定与异常行为监控告警• 提供纪录数据库返回结果与字词查找双向审计功能• 提供SQL注入攻击自动监控告警功能• 提供审计基准策略与自定审计报表功能• 提供安全审计仪表板与审计图表统计功能

19 数据库服务器访问控制及权限管理系统-sysGuard

• 程序管理功能

指令限制和文件异动检测

• 日志管理

系统操作记录与告警，记录不可被篡改

• 文件保护功能 – 网页保护

系统内更多障碍让黑客无法自由行动，触发障碍而被发现，无法植入后门程序。解决恶意篡改,偷窃与破坏

• 文件防护功能 – 权限管理

限制特权账号，只要特权账号被限制,文件则无法存取。解决恶意篡改,偷窃与破坏以及粗心毁损

20 最佳服务器访问控制及权限管理系统-sysGuard

• 中文化简易操作接口• 可应用于网页防篡改解决方案• 基于操作系统层面保护敏感文件，避免非授权用户(含特权用户

root, administrator)，不当存取、泄漏敏感文件• 高危指令限制保护操作系统，避免系统遭受破坏、停止服务与

数据丢失• 作为黑客防御; 可配置各种障碍，指令限制，让黑客无法为所欲

为并发现黑客行为轨迹• 应用于数据库配置文件及备份文件保护，避免数据丢失与破坏

21 案例分享 电网数据库审计

背景某电网公司核心数据库面临“越权使用、权限滥用、权限盗用”等安全威胁，以及满足各类法法规对数据库审计的要求。因此部署数据库审计系统帮助某电网公司解决以下问题：• 识别越权使用、权限滥用，管理数据库帐号权限• 跟踪敏感数据访问行为，及时发现敏感数据泄漏• 检测数据库配置弱点、发现SQL注入等漏洞、提供解决建议• 为数据库管理与优化提供决策依据• 满足法律、法规要求，提供符合性报告• 低成本且有效推行IT管理制度

解决方案 使用sinoregal dbAudit数据库审计软件，通过网络旁路镜像模式部署，在不影响数据库性能和 网络架构情况下，可以实现关键表、关键字段的敏感信息的审计监控，依据选用合适的审计报

表，完整记录人、事、时、地、物存取痕迹记录。

价值体现 1.追踪终端用户真实身份：通过专利的Web Matching专利技术，在 Web-N-Tier 架构下辨识

真 实的使用者身份。2.追踪特权使用者身份：用户隐藏身份时，dbAudit 执行记录可分辨真实原始用户。3.辨别程序执行者：dbAudit 可辨别与记录自动程序(cron job)或是人为执行 。4.审计数据库管理员直接登录数据库服务器进行数据库运维等工作。5.协助客户发现运行时间较长的SQL语句，然后根据情况进行语句性能优化。

用户

WEB应用服务器

管理数据库 生产数据库

JAVA组件服务器SecuCenter

SecuEyes

旁路镜像

网络交换机 A10负载均衡器

SecuLog

SQL Agent