数据库安全审计建设立项申请报告

2023年8月1日发(作者：)

数据库安全审计建设立项申请报告

1数据库系统安全隐患分析

我单位的信息系统中关键数据库服务器群中的数据服务器存储着大量涉密、

重要数据信息。用户数据服务器通过数据库管理系统实现对信息资源的存储管

理。我单位信息系统网络系统用户数量众多，用户相互差别较大，对数据库涉密

信息、重要业务信息的访问频繁。用户对数据库的任何恶意修改或误操作，都关

系我单位信息系统业务数据信息的可用性、完整性与机密性，目前数据库安全隐

患集中在：

•信息存储加密：数据的安全性；

•系统认证：口令强度不够，过期账号，登录攻击等；

•系统授权：账号权限，登录时间超时等；

•系统完整性：特洛伊木马，审核配置，补丁和修正程序等；

2建立数据库安全审计体系的必要性

2.1数据安全保护形势严峻

随着信息技术的不断发展，数字信息逐渐成为一种重要资产，尤其是在过去

的20多年里，作为信息的主要载体一一数据库，其相关应用在数量和重要性方

面都取得了巨大的增长。几乎每一种组织都使用它来存储、操纵和检索数据。随

着人们对数据的依赖性越来越高，各种数据信息都成为了关系组织生存的重要资

产。网络化时代的到来、互联网技术的普及更加深了数据保护的矛盾，网络技术

使得数字信息的泄漏和篡改变得更加容易，而防范则更加困难。

更为严重的是，所有信息泄漏事件中，源自内部人员所为的占了绝大部分。

根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过85%的安

全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了 6056.5万美元 的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息

安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员

犯罪，而非病毒和外来黑客引起。

因此，近两年来，大多数企事业单位和政府机关纷纷把关注的目光投向信息

系统数据的安全问题，尤其是内部网络的管理和防护。

2.2现有数据安全防护体系存在不足

现在较为普遍的做法是在原有网络安全防护（防火墙、IDS、UTM等传统安全

设备）的基础上，采用上网行为管理类、终端管理类等具备较强防止内部信息外

泄功能的产品，筑起了一道由内向外的安全防线，典型的安全防护体系如下图所

示：

图：数据库安全防线的缺失

从这幅典型的网络拓扑图中，我们不难看出，安全防护体系中缺失的正是对

服务器区的防护，对数据库的防护,对内部PC访问业务系统的防护！

尽管可能使用的数据库系统是Oracal、MS SQL是国际大品牌的产品，其本

身有非常强的安全性，但依然可能存在诸多隐患：

1）对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾 问经常能够在没有太多限制的情况下访问敏感信息。另外，人员流 动和外包也可以让数据库活动很难锁定。

2）对于拥有数据库合法权限的内部使用者，数据库的安全机制对于他们形 同虚设，一旦他们之中有人违背职业道德，那么后果不堪想象！

因此，数据库审计系统应运而生。该系统采用旁路侦听的方式对通过网络方

式连接到数据库系统的数据流进行采集、分析和识别，实时监视用户访问数据库

系统的状态，记录各种访问行为，发现并及时制止用户的误操作、违规访问或者

可疑行为。

该系统通过审计核心业务系统的网络访问行为，能够加强对关键信息系统的

访问控制与审计，尤其是针对信息系统后台的数据库的内控与审计，确保核心业

务的正常运行，防范内部违规行为和误操作。

该系统还应提供业务流量实时监控与审计事件统计分析功能，能够直观地反

映网络环境的安全状况，特别是访问量、业务流量、业务访问分布、业务拓扑、

行为分析等重要信息，使得管理者可以直观的实时了解业务系统安全状况。

数据库审计系统能够及时发现一些内部授权用户由于对系统不熟悉而导致 的误操作，或内部用户、运维人员、外包工程师有意进行的数据篡改和窃取，有

效保护主要数据的安全。而且通过各种访问信息的记录，能够完整地回放事故当

时操作场景，定位事故真正责任人，便于事后追查原因与界定责任。

另一方面，用户可利用数据库审计系统，按照单位的有关规章制度、国家行

业要求，设定审计策略、告警规则，从而协助本单位更好完善IT内控与审计体 系。

3数据库安全体系建设的主要内容

首先，需要加强对数据库的访问控制，明确数据库管理和使用职责分工，最

小化数据库帐号使用权限，防止权利滥用。同时，要加强口令管理，使用高强度

口令，删除系统默认帐号口令等。

其次，要对数据库及其核心业务系统进行安全加固，保护在系统边界部署防

火墙、IDS/IPS、防病毒系统等，并及时地进行系统补丁检测、安全加固。

最后，要对数据库系统及其所在主机进行实时安全监控、事后操作审计，部

署一套数据库审计系统。这一点尤为重要。

4数据库审计产品的作用和意义

通过部署专用的数据库审计产品，用户可以对重要的数据库系统达到以下安

全保护目标：

1） 进行数据操作实监控：对所有外部或是内部用户访问数据库和主机的各

种操作行为、内容，进行实时监控；

2） 对高危操作实时地阻断，干扰攻击或违规行为的执行；

3） 进行安全预警：对入侵和违规行为进行预警和告警，并能够指导管理员

进行应急响应处理；

4）进行事后调查取证：对于所有行为能够进行事后查询、取证、调查分析，

出具各种审计报表报告。

5） 协助责任认定、事态评估：我们的系统不光能够记录和定位谁、在什么

时候、通过什么方式对数据库进行了什么操作，还能记录操作的结果以及评估可

能的危害程度。 5数据库审计产品选型

5.1衡量指标

在选择此类产品时，应注意以下几个方面：

1） 安装部署的难以程度。推荐选择侦听、存储一体化的硬件产品，B/S结

构，可直接通过浏览器进行管理，不用装任何插件。这样就不用另配

服务器或存储设备，上架即可使用；

2） 旁路镜像的方式，不会影响原有的网络结构，或业务访问模式。这点非

常重要，使用此类产品的目的是保护数据库，保护业务系统，千万不

要因它而起反作用；

3） 根据自身所用的数据库类型选择产品。建议选择能够支持 windows.

linux、unix等各种操作系统下的各类主流数据库（例如SQL Server.

Oracle、DB2、Sybase等）全都可以支持的产品，这样即使后期扩展

也不怕；

4） 审计的粒度要够细致，否则只是鸡肋。要能识别出增、删、改、查等全

部SQL操作，审计的内容不光包括网络中的原始数据，还要对这些原

始数据进行了细致化的字段的解析，包括时间、IP、MAC、库、表、

记录、用户、函数、参数等重要信息字段，同时要知道这些SQL操作

执行的结果是成功还是失败；

5） 不要单纯的只是数据库审计。对于用户而言，要保护核心数据，仅仅依

靠对数据库的审计是不够的。内部人员违规操作的途径有很多，有的

是直接违规访问数据库，有的是登录到数据库所在的主机服务器上，

有的是透过FTP去下载数据库所在主机的重要数据文件，还有的是透

过其他程序或者中间件系统访问数据库。所以，必须对数据库、主机、

HTTP协议、TELNET、FTP协议，网络流量、中间件系统都进行审计，

才能更加全面的发现违规、防止信息泄漏。 5・2选型建议

经过对市场上主流的数据库审计产品的对比分析，我们建议选购数据库审计

产品。

数据库审计系统采用旁路侦听的方式对通过网络方式连接到数据库系统的

数据流进行采集、分析和识别，实时监视用户访问数据库系统的状态，记录各种

访问行为，发现并及时制止用户的误操作、违规访问或者可疑行为。产品部署简

便，不需要修改任何网络结构和应用配置，不会影响用户的业务运行。

能够对复杂网络环境下的各种数据库操作行为进行细粒度审计。产品能够对

运行在各种操作系统上的各种品牌数据库的操作进行记录并回放，审计的行为包

括DDL、DML、DCL，以及其它操作等行为；审计的内容可以细化到库、表、记 录、用户、存储过程、函数、调用参数，等等；不仅能够审计请求信息，也能够 审计返回结果，还支持操作内容回放。

操作行为 内容和描述

用户行为 数据库用户的登录、注销

数据定义语言（DDL）操作

CREATE，ALTER，DROP等创建、修改或者删除数据库对象数据操作语言（DML）操作

其它操作

（表、 索引、视图、存储过程、触发器、域，等等）的SQLSELECT，DELETE，UPDATE，INSERT等用于检索或者修改数据

的SQL指令

包括EXECUTE、COMMIT、ROLLBACK等事务操作指令

数据控制语言（DCL）操作 GRANT，REVOKE等定义数据库用户的权限的SQL指令

产品支持操作回放，真正实现了对“谁、什么时间段内、对什么（数据）、

进行了哪些操作、结果如何”的全程审计。

独有面向业务的安全审计技术，通过业务网络拓扑记录客户业务网络中各种

数据库、主机、web应用系统相互的关联性，审计人员可以根据业务网络的变化

快速查看业务网络中各个设备和整个业务网络的事件和告警信息。

能够自动地或者在管理员人工干预的情况下对审计告警进行各种响应，并与

包括各种类型的交换机、路由器、防火墙、IDS、主机系统等在内的众多第三方

设备和系统进行预定义的策略联动，并能够实时阻断可疑的网络通讯，实现安全

审计的管理闭环。

为客户提供了丰富的报表，使得管理人员能够从各个角度对业务系统的安全

状况进行审计，并自动、定期地产生报表。

2023年8月1日发(作者：)

数据库安全审计建设立项申请报告

1数据库系统安全隐患分析

我单位的信息系统中关键数据库服务器群中的数据服务器存储着大量涉密、

重要数据信息。用户数据服务器通过数据库管理系统实现对信息资源的存储管

理。我单位信息系统网络系统用户数量众多，用户相互差别较大，对数据库涉密

信息、重要业务信息的访问频繁。用户对数据库的任何恶意修改或误操作，都关

系我单位信息系统业务数据信息的可用性、完整性与机密性，目前数据库安全隐

患集中在：

•信息存储加密：数据的安全性；

•系统认证：口令强度不够，过期账号，登录攻击等；

•系统授权：账号权限，登录时间超时等；

•系统完整性：特洛伊木马，审核配置，补丁和修正程序等；

2建立数据库安全审计体系的必要性

2.1数据安全保护形势严峻

随着信息技术的不断发展，数字信息逐渐成为一种重要资产，尤其是在过去

的20多年里，作为信息的主要载体一一数据库，其相关应用在数量和重要性方

面都取得了巨大的增长。几乎每一种组织都使用它来存储、操纵和检索数据。随

着人们对数据的依赖性越来越高，各种数据信息都成为了关系组织生存的重要资

产。网络化时代的到来、互联网技术的普及更加深了数据保护的矛盾，网络技术

使得数字信息的泄漏和篡改变得更加容易，而防范则更加困难。

更为严重的是，所有信息泄漏事件中，源自内部人员所为的占了绝大部分。

根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过85%的安

全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了 6056.5万美元 的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息

安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员

犯罪，而非病毒和外来黑客引起。

因此，近两年来，大多数企事业单位和政府机关纷纷把关注的目光投向信息

系统数据的安全问题，尤其是内部网络的管理和防护。

2.2现有数据安全防护体系存在不足

现在较为普遍的做法是在原有网络安全防护（防火墙、IDS、UTM等传统安全

设备）的基础上，采用上网行为管理类、终端管理类等具备较强防止内部信息外

泄功能的产品，筑起了一道由内向外的安全防线，典型的安全防护体系如下图所

示：

图：数据库安全防线的缺失

从这幅典型的网络拓扑图中，我们不难看出，安全防护体系中缺失的正是对

服务器区的防护，对数据库的防护,对内部PC访问业务系统的防护！

尽管可能使用的数据库系统是Oracal、MS SQL是国际大品牌的产品，其本

身有非常强的安全性，但依然可能存在诸多隐患：

1）对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾 问经常能够在没有太多限制的情况下访问敏感信息。另外，人员流 动和外包也可以让数据库活动很难锁定。

2）对于拥有数据库合法权限的内部使用者，数据库的安全机制对于他们形 同虚设，一旦他们之中有人违背职业道德，那么后果不堪想象！

因此，数据库审计系统应运而生。该系统采用旁路侦听的方式对通过网络方

式连接到数据库系统的数据流进行采集、分析和识别，实时监视用户访问数据库

系统的状态，记录各种访问行为，发现并及时制止用户的误操作、违规访问或者

可疑行为。

该系统通过审计核心业务系统的网络访问行为，能够加强对关键信息系统的

访问控制与审计，尤其是针对信息系统后台的数据库的内控与审计，确保核心业

务的正常运行，防范内部违规行为和误操作。

该系统还应提供业务流量实时监控与审计事件统计分析功能，能够直观地反

映网络环境的安全状况，特别是访问量、业务流量、业务访问分布、业务拓扑、

行为分析等重要信息，使得管理者可以直观的实时了解业务系统安全状况。

数据库审计系统能够及时发现一些内部授权用户由于对系统不熟悉而导致 的误操作，或内部用户、运维人员、外包工程师有意进行的数据篡改和窃取，有

效保护主要数据的安全。而且通过各种访问信息的记录，能够完整地回放事故当

时操作场景，定位事故真正责任人，便于事后追查原因与界定责任。

另一方面，用户可利用数据库审计系统，按照单位的有关规章制度、国家行

业要求，设定审计策略、告警规则，从而协助本单位更好完善IT内控与审计体 系。

3数据库安全体系建设的主要内容

首先，需要加强对数据库的访问控制，明确数据库管理和使用职责分工，最

小化数据库帐号使用权限，防止权利滥用。同时，要加强口令管理，使用高强度

口令，删除系统默认帐号口令等。

其次，要对数据库及其核心业务系统进行安全加固，保护在系统边界部署防

火墙、IDS/IPS、防病毒系统等，并及时地进行系统补丁检测、安全加固。

最后，要对数据库系统及其所在主机进行实时安全监控、事后操作审计，部

署一套数据库审计系统。这一点尤为重要。

4数据库审计产品的作用和意义

通过部署专用的数据库审计产品，用户可以对重要的数据库系统达到以下安

全保护目标：

1） 进行数据操作实监控：对所有外部或是内部用户访问数据库和主机的各

种操作行为、内容，进行实时监控；

2） 对高危操作实时地阻断，干扰攻击或违规行为的执行；

3） 进行安全预警：对入侵和违规行为进行预警和告警，并能够指导管理员

进行应急响应处理；

4）进行事后调查取证：对于所有行为能够进行事后查询、取证、调查分析，

出具各种审计报表报告。

5） 协助责任认定、事态评估：我们的系统不光能够记录和定位谁、在什么

时候、通过什么方式对数据库进行了什么操作，还能记录操作的结果以及评估可

能的危害程度。 5数据库审计产品选型

5.1衡量指标

在选择此类产品时，应注意以下几个方面：

1） 安装部署的难以程度。推荐选择侦听、存储一体化的硬件产品，B/S结

构，可直接通过浏览器进行管理，不用装任何插件。这样就不用另配

服务器或存储设备，上架即可使用；

2） 旁路镜像的方式，不会影响原有的网络结构，或业务访问模式。这点非

常重要，使用此类产品的目的是保护数据库，保护业务系统，千万不

要因它而起反作用；

3） 根据自身所用的数据库类型选择产品。建议选择能够支持 windows.

linux、unix等各种操作系统下的各类主流数据库（例如SQL Server.

Oracle、DB2、Sybase等）全都可以支持的产品，这样即使后期扩展

也不怕；

4） 审计的粒度要够细致，否则只是鸡肋。要能识别出增、删、改、查等全

部SQL操作，审计的内容不光包括网络中的原始数据，还要对这些原

始数据进行了细致化的字段的解析，包括时间、IP、MAC、库、表、

记录、用户、函数、参数等重要信息字段，同时要知道这些SQL操作

执行的结果是成功还是失败；

5） 不要单纯的只是数据库审计。对于用户而言，要保护核心数据，仅仅依

靠对数据库的审计是不够的。内部人员违规操作的途径有很多，有的

是直接违规访问数据库，有的是登录到数据库所在的主机服务器上，

有的是透过FTP去下载数据库所在主机的重要数据文件，还有的是透

过其他程序或者中间件系统访问数据库。所以，必须对数据库、主机、

HTTP协议、TELNET、FTP协议，网络流量、中间件系统都进行审计，

才能更加全面的发现违规、防止信息泄漏。 5・2选型建议

经过对市场上主流的数据库审计产品的对比分析，我们建议选购数据库审计

产品。

数据库审计系统采用旁路侦听的方式对通过网络方式连接到数据库系统的

数据流进行采集、分析和识别，实时监视用户访问数据库系统的状态，记录各种

访问行为，发现并及时制止用户的误操作、违规访问或者可疑行为。产品部署简

便，不需要修改任何网络结构和应用配置，不会影响用户的业务运行。

能够对复杂网络环境下的各种数据库操作行为进行细粒度审计。产品能够对

运行在各种操作系统上的各种品牌数据库的操作进行记录并回放，审计的行为包

括DDL、DML、DCL，以及其它操作等行为；审计的内容可以细化到库、表、记 录、用户、存储过程、函数、调用参数，等等；不仅能够审计请求信息，也能够 审计返回结果，还支持操作内容回放。

操作行为 内容和描述

用户行为 数据库用户的登录、注销

数据定义语言（DDL）操作

CREATE，ALTER，DROP等创建、修改或者删除数据库对象数据操作语言（DML）操作

其它操作

（表、 索引、视图、存储过程、触发器、域，等等）的SQLSELECT，DELETE，UPDATE，INSERT等用于检索或者修改数据

的SQL指令

包括EXECUTE、COMMIT、ROLLBACK等事务操作指令

数据控制语言（DCL）操作 GRANT，REVOKE等定义数据库用户的权限的SQL指令

产品支持操作回放，真正实现了对“谁、什么时间段内、对什么（数据）、

进行了哪些操作、结果如何”的全程审计。

独有面向业务的安全审计技术，通过业务网络拓扑记录客户业务网络中各种

数据库、主机、web应用系统相互的关联性，审计人员可以根据业务网络的变化

快速查看业务网络中各个设备和整个业务网络的事件和告警信息。

能够自动地或者在管理员人工干预的情况下对审计告警进行各种响应，并与

包括各种类型的交换机、路由器、防火墙、IDS、主机系统等在内的众多第三方

设备和系统进行预定义的策略联动，并能够实时阻断可疑的网络通讯，实现安全

审计的管理闭环。

为客户提供了丰富的报表，使得管理人员能够从各个角度对业务系统的安全

状况进行审计，并自动、定期地产生报表。