发布者：售前小赖 | 本文章发表于：2022-09-07 阅读数：3194
随着国家信息安全等级保护制度的全面实施，各行业在经营上云后都面临着等保合规的不同需求。所以，随着日渐火热的数据库安全领域，数据库审计作为等保合规性中必不可少的重要环节，也是应用最为广泛，用户接受度最高的产品。面对市面上各色各类的数据库审计企业该如何选购？
本文将对目前数据库审计市场上的两类技术路线进行分析，从使用效果出发，浅析两者在各维度的审计效果上存在哪些差异，呈现产品真正能实现的功能和价值。希望能为广大用户在数据库审计产品的选型上提供参考依据。
概括来讲，两类数据库审计的技术路线区别，
根本来自于两者的部署方式、获取数据库访问记录的途径不同以及SQL解析方式不同，审计效果自然不同：
从五个衡量维度看技术路线的差异
审计结果全面性的表现
旁路式：
通过镜像流量或探针的方式进行全流量采集，基于全量数据库流量进行语句和会话分析，再通过对sql语句的协议解析，能够审计到客户端信息，返回结果集。这种采集方式首先对数据库类型不挑剔，均可支持，并且能够审计到普通用户和超级用户的访问行为。
植入式：
属于注册代理程序的“侵入式”审计，利用数据库的自审计插件（如Oracle的FGAC插件），读取数据库自审计日志，依赖的是数据库自身审计能力，这里有一个很大的问题，如果数据库自身不具备审计能力，那么这类数据库审计产品就无法支持对此类型数据库的审计；并且，数据库自审计功能一般只提供增、删、改、查语句和部分数据定义语句，无法提供全操作类型的审计，也无法完整审计结果集。不过从另一个角度来看，植入方式也有其亮点——本地操作的审计，这些不通过网络的流量，传统的流量镜像方式捕获不到，不过旁路式的审计，也可以通过增加rmagent，实现这项功能。
审计结果准确性的表现
前面提到，两者对数据库访问的采集方式不同，这决定了两者在审计结果准确性上的差异表现。
旁路式：
由于是基于全流量的审计，如果能配合sql语句的协议解析和特征捕获等技术，可以准确关联语句和会话，进行精确的审计结果查询分析能力；准确关联应用用户与SQL语句，这样可以实现对业务行为的审计。在此基础上形成的规则库，也能够更准确的识别风险访问及漏洞攻击行为。
植入式：
由于是基于正则表达式完成SQL语句规则，无法基于通讯协议解析命中语句规则，在实际工作中，会导致语句和会话无法关联，不能按照会话进行语句梳理汇总，那么会缺乏连贯分析能力；并且，由于不是基于流量和协议的SQL语句解析，对于目前用户普遍要求的应用关联审计，也无法实现。
检索及入库速度的表现
基于SQL语句的获取方式不同，两者在检索及入库速度方面也会存在差异表现。
植入式：
由于原始审计信息是记录在数据库中的，需要定期获取到审计设备上，这其中可能产生较大的延迟。另一方面，开启数据库自审计功能本身会占用大量内存，如果遇到高压力并发的情况，会拖慢数据处理能力，连累正常业务访问。
旁路式：
旁路镜像流量的方式对应用到数据库的访问完全透明，不会产生影响，这也是目前市面上大多数审计厂商如安华金和等，选择旁路镜像方式，配合精确SQL解析技术来实现审计高可用性的主要原因之一。
关于存储空间的占用表现
旁路式：
由于是镜像方式获取流量，对于审计产品本身的存储优化能力有一定要求，但不会影响数据库服务器本身的存储空间，需要考量对比的是产品本身能否提供归一化技术和压缩存储技术，以节约存储空间。
植入式：
由于需要开启自审计功能，需要占用大量数据库本身的存储空间，如果同时缺乏SQL归一技术，那么在大数据处理情况下，数据库本身的硬盘空间就会非常紧张。
产品易用性方面的表现
两者在配置和操作的易用性方面也存在较大差异：
植入式：
数据库审计产品在注册实例的时候，需要手工输入IP端口数据库实例，还需要sys用户及口令，向数据库中注册用户及程序。另一方面，如果是基于正则式的规则配置，需要数据库管理人员具备一定的技术能力，深度参与规则和策略的配置定义。
旁路式：
由于是基于数据库流量的语句语法解析，可以自动识别并添加审计数据库；更专业的产品应能够基于解析结果，从风险、语句、会话三个维度进行深度解析，维度之间相互关联、多重钻取分析，这样用户可以对数据库的整体安全状态有更直观的判断。
目前，市场上的数据库审计产品多以旁路镜像方式为主，但也出现了采用植入式技术路线的产品，从表面来看都能够实现数据库访问行为的审计，但在审计效果及用户体验上存在显著的差异，用户需要在产品选型时更多关注产品的核心技术路线。
高防安全专家快快网络！快快网络客服小赖 Q537013907--------智能云安全管理服务商-----------------快快i9，就是最好i9！快快i9，才是真正i9！
等保等级怎么划分？
等保，全称信息安全等级保护，是对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。 根据系统重要程度和被破坏后的危害程度，等保划分为五个等级： 第一级（自主保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级（指导保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级（监督保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级（强制保护级）：等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级（专控保护级）：等级保护对象受到破坏后，会对国家安全造成特别严重损害。 请注意，目前我们接触最多的是等保二级和三级。这两个等级的等保的主要区别在于适用范围和测评周期。等保二级适用于对社会没影响，比如只影响自己公司内部的系统，一般两年进行一次测评；等保三级适用于对社会有一定影响但是对国家网络安全没影响的系统，应当每年至少进行一次等级测评。
什么是渗透测试
渗透测试并没有一个标准的定义，一般通用的说法是，渗透测试指模拟攻击者入侵来评估计算机系统安全的行为，是一种授权的行为。 或者说是为了证明网络防御按照预期计划正常运行而提供的一种机制。再换句话说，渗透测试就是给你的系统安了一双眼睛。 一般渗透测试都由专业人士在不同位置利用各种手段对某个特定网络进行测试，以期发现和挖掘系统中存在的漏洞，然后输出渗透测试报告，并提交给网络的所有者。同上，渗透测试也没有严格的分类方式，但根据实际应用，普遍认同的集中分类方法如下： 1、黑箱测试 黑箱测试又被称为所谓的“Zero-Knowledge Testing”，渗透者完全处于对系统一无所知的状态，通常这类型测试，最初的信息获取来自于DNS、Web、Email及各种公开对外的服务器。 2、白盒测试 白盒测试与黑箱测试恰恰相反，测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其它程序的代码片段，也能够与单位的其它员工（销售、程序员、管理者……）进行面对面的沟通。这类测试的目的是模拟企业内部雇员的越权操作。 3、隐秘测试 隐秘测试是对被测单位而言的，通常情况下，接受渗透测试的单位网络管理部门会收到通知：在某些时段进行测试。因此能够监测网络中出现的变化。但隐秘测试则被测单位也仅有极少数人知晓测试的存在，因此能够有效地检验单位中的信息安全事件监控、响应、恢复做得是否到位。
快快小志与你一同了解等保复测相关注意事项
很多朋友在做完等保之后到期了忘记复测，那么复测需要准备哪些，有什么注意事项？复测与首测有哪些区别，我们一起来看看。 等级保护测评有测评周期，二级系统每两年至少测一次，三级系统每年至少测一次，四级系统每半年至少测一次，也就是大家常说的复测。 那么，等级保护测评有周期，每隔一段时间就要做一次，那定级备案呢？是不是每次测评之前，都需要又做一次等保定级备案才可以？答：并不是。 根据等保标准规定，如果在信息系统需要复测的时候，信息系统没有变化，那么等保备案证明是可以沿用的。也就是说，可以无需重新定级，按照此前的等保定级备案结果来做测评就可以。 但是，如果信息系统发生了变化，就需要重新定级备案，然后再进行测评。根据等保定级指南，信息系统运行过程中，当系统状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害对象和受侵害程度有较大的变化时，应根据具体情况重新定级，并变更安全保护等级。详情咨询24小时专属售前小志QQ537013909！！！
阅读数：24892 | 2022-12-01 16:14:12
阅读数：13197 | 2023-03-10 00:00:00
阅读数：8257 | 2023-03-11 00:00:00
阅读数：7656 | 2021-12-10 10:56:45
阅读数：6881 | 2023-03-19 00:00:00
阅读数：6551 | 2023-04-10 22:17:02
阅读数：5727 | 2022-06-10 14:16:02
阅读数：5683 | 2023-03-18 00:00:00
阅读数：24892 | 2022-12-01 16:14:12
阅读数：13197 | 2023-03-10 00:00:00
阅读数：8257 | 2023-03-11 00:00:00
阅读数：7656 | 2021-12-10 10:56:45
阅读数：6881 | 2023-03-19 00:00:00
阅读数：6551 | 2023-04-10 22:17:02
阅读数：5727 | 2022-06-10 14:16:02
阅读数：5683 | 2023-03-18 00:00:00
发布者：售前小赖 | 本文章发表于：2022-09-07
随着国家信息安全等级保护制度的全面实施，各行业在经营上云后都面临着等保合规的不同需求。所以，随着日渐火热的数据库安全领域，数据库审计作为等保合规性中必不可少的重要环节，也是应用最为广泛，用户接受度最高的产品。面对市面上各色各类的数据库审计企业该如何选购？
本文将对目前数据库审计市场上的两类技术路线进行分析，从使用效果出发，浅析两者在各维度的审计效果上存在哪些差异，呈现产品真正能实现的功能和价值。希望能为广大用户在数据库审计产品的选型上提供参考依据。
概括来讲，两类数据库审计的技术路线区别，
根本来自于两者的部署方式、获取数据库访问记录的途径不同以及SQL解析方式不同，审计效果自然不同：
从五个衡量维度看技术路线的差异
审计结果全面性的表现
旁路式：
通过镜像流量或探针的方式进行全流量采集，基于全量数据库流量进行语句和会话分析，再通过对sql语句的协议解析，能够审计到客户端信息，返回结果集。这种采集方式首先对数据库类型不挑剔，均可支持，并且能够审计到普通用户和超级用户的访问行为。
植入式：
属于注册代理程序的“侵入式”审计，利用数据库的自审计插件（如Oracle的FGAC插件），读取数据库自审计日志，依赖的是数据库自身审计能力，这里有一个很大的问题，如果数据库自身不具备审计能力，那么这类数据库审计产品就无法支持对此类型数据库的审计；并且，数据库自审计功能一般只提供增、删、改、查语句和部分数据定义语句，无法提供全操作类型的审计，也无法完整审计结果集。不过从另一个角度来看，植入方式也有其亮点——本地操作的审计，这些不通过网络的流量，传统的流量镜像方式捕获不到，不过旁路式的审计，也可以通过增加rmagent，实现这项功能。
审计结果准确性的表现
前面提到，两者对数据库访问的采集方式不同，这决定了两者在审计结果准确性上的差异表现。
旁路式：
由于是基于全流量的审计，如果能配合sql语句的协议解析和特征捕获等技术，可以准确关联语句和会话，进行精确的审计结果查询分析能力；准确关联应用用户与SQL语句，这样可以实现对业务行为的审计。在此基础上形成的规则库，也能够更准确的识别风险访问及漏洞攻击行为。
植入式：
由于是基于正则表达式完成SQL语句规则，无法基于通讯协议解析命中语句规则，在实际工作中，会导致语句和会话无法关联，不能按照会话进行语句梳理汇总，那么会缺乏连贯分析能力；并且，由于不是基于流量和协议的SQL语句解析，对于目前用户普遍要求的应用关联审计，也无法实现。
检索及入库速度的表现
基于SQL语句的获取方式不同，两者在检索及入库速度方面也会存在差异表现。
植入式：
由于原始审计信息是记录在数据库中的，需要定期获取到审计设备上，这其中可能产生较大的延迟。另一方面，开启数据库自审计功能本身会占用大量内存，如果遇到高压力并发的情况，会拖慢数据处理能力，连累正常业务访问。
旁路式：
旁路镜像流量的方式对应用到数据库的访问完全透明，不会产生影响，这也是目前市面上大多数审计厂商如安华金和等，选择旁路镜像方式，配合精确SQL解析技术来实现审计高可用性的主要原因之一。
关于存储空间的占用表现
旁路式：
由于是镜像方式获取流量，对于审计产品本身的存储优化能力有一定要求，但不会影响数据库服务器本身的存储空间，需要考量对比的是产品本身能否提供归一化技术和压缩存储技术，以节约存储空间。
植入式：
由于需要开启自审计功能，需要占用大量数据库本身的存储空间，如果同时缺乏SQL归一技术，那么在大数据处理情况下，数据库本身的硬盘空间就会非常紧张。
产品易用性方面的表现
两者在配置和操作的易用性方面也存在较大差异：
植入式：
数据库审计产品在注册实例的时候，需要手工输入IP端口数据库实例，还需要sys用户及口令，向数据库中注册用户及程序。另一方面，如果是基于正则式的规则配置，需要数据库管理人员具备一定的技术能力，深度参与规则和策略的配置定义。
旁路式：
由于是基于数据库流量的语句语法解析，可以自动识别并添加审计数据库；更专业的产品应能够基于解析结果，从风险、语句、会话三个维度进行深度解析，维度之间相互关联、多重钻取分析，这样用户可以对数据库的整体安全状态有更直观的判断。
目前，市场上的数据库审计产品多以旁路镜像方式为主，但也出现了采用植入式技术路线的产品，从表面来看都能够实现数据库访问行为的审计，但在审计效果及用户体验上存在显著的差异，用户需要在产品选型时更多关注产品的核心技术路线。
高防安全专家快快网络！快快网络客服小赖 Q537013907--------智能云安全管理服务商-----------------快快i9，就是最好i9！快快i9，才是真正i9！
等保等级怎么划分？
等保，全称信息安全等级保护，是对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。 根据系统重要程度和被破坏后的危害程度，等保划分为五个等级： 第一级（自主保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级（指导保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级（监督保护级）：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级（强制保护级）：等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级（专控保护级）：等级保护对象受到破坏后，会对国家安全造成特别严重损害。 请注意，目前我们接触最多的是等保二级和三级。这两个等级的等保的主要区别在于适用范围和测评周期。等保二级适用于对社会没影响，比如只影响自己公司内部的系统，一般两年进行一次测评；等保三级适用于对社会有一定影响但是对国家网络安全没影响的系统，应当每年至少进行一次等级测评。
什么是渗透测试
渗透测试并没有一个标准的定义，一般通用的说法是，渗透测试指模拟攻击者入侵来评估计算机系统安全的行为，是一种授权的行为。 或者说是为了证明网络防御按照预期计划正常运行而提供的一种机制。再换句话说，渗透测试就是给你的系统安了一双眼睛。 一般渗透测试都由专业人士在不同位置利用各种手段对某个特定网络进行测试，以期发现和挖掘系统中存在的漏洞，然后输出渗透测试报告，并提交给网络的所有者。同上，渗透测试也没有严格的分类方式，但根据实际应用，普遍认同的集中分类方法如下： 1、黑箱测试 黑箱测试又被称为所谓的“Zero-Knowledge Testing”，渗透者完全处于对系统一无所知的状态，通常这类型测试，最初的信息获取来自于DNS、Web、Email及各种公开对外的服务器。 2、白盒测试 白盒测试与黑箱测试恰恰相反，测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其它程序的代码片段，也能够与单位的其它员工（销售、程序员、管理者……）进行面对面的沟通。这类测试的目的是模拟企业内部雇员的越权操作。 3、隐秘测试 隐秘测试是对被测单位而言的，通常情况下，接受渗透测试的单位网络管理部门会收到通知：在某些时段进行测试。因此能够监测网络中出现的变化。但隐秘测试则被测单位也仅有极少数人知晓测试的存在，因此能够有效地检验单位中的信息安全事件监控、响应、恢复做得是否到位。
快快小志与你一同了解等保复测相关注意事项
很多朋友在做完等保之后到期了忘记复测，那么复测需要准备哪些，有什么注意事项？复测与首测有哪些区别，我们一起来看看。 等级保护测评有测评周期，二级系统每两年至少测一次，三级系统每年至少测一次，四级系统每半年至少测一次，也就是大家常说的复测。 那么，等级保护测评有周期，每隔一段时间就要做一次，那定级备案呢？是不是每次测评之前，都需要又做一次等保定级备案才可以？答：并不是。 根据等保标准规定，如果在信息系统需要复测的时候，信息系统没有变化，那么等保备案证明是可以沿用的。也就是说，可以无需重新定级，按照此前的等保定级备案结果来做测评就可以。 但是，如果信息系统发生了变化，就需要重新定级备案，然后再进行测评。根据等保定级指南，信息系统运行过程中，当系统状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害对象和受侵害程度有较大的变化时，应根据具体情况重新定级，并变更安全保护等级。详情咨询24小时专属售前小志QQ537013909！！！
查看更多文章 >
最新活动
闽公网安备 35020302000839号
公安机关联网备案号 35020301000110
云安全相关活动
