摘 要：目前，絕大多數(shù)企業(yè)的信息系統(tǒng)都只是采取了一些比較簡單的安全防護措施來保護數(shù)據(jù)庫信息的安全性，對于一些網(wǎng)絡(luò)病毒、電腦黑客來說這些防護很容易就會被攻破。然而我們要確定數(shù)據(jù)的安全性，應(yīng)當(dāng)在發(fā)生攻擊后，我們要了解系統(tǒng)是怎樣遭到攻擊的，更要有回復(fù)數(shù)據(jù)的能力；另外要了解我們的信息系統(tǒng)存在的漏洞在哪里；怎么能夠使系統(tǒng)受到攻擊就有所回應(yīng)，并將攻擊者的信息保存下來等。數(shù)據(jù)庫安全審計技術(shù)就是在這樣的需求下被提出的。本文首先闡述了數(shù)據(jù)庫存在的風(fēng)險，然后提出企業(yè)對合規(guī)性的要求，提出針對數(shù)據(jù)庫的防護手段。

關(guān)鍵詞：數(shù)據(jù)庫安全；數(shù)據(jù)庫安全審計技術(shù)；安全防護措施

中圖分類號：TP311.13

目前，絕大多數(shù)行業(yè)的用戶業(yè)務(wù)都是建立在信息系統(tǒng)基礎(chǔ)之上。業(yè)務(wù)的信息化使企業(yè)效率提升和持續(xù)競爭力，任何的事情都存在兩面性，信息系統(tǒng)在給企業(yè)帶來利益的同時，存在著企業(yè)核心信息泄露、系統(tǒng)出現(xiàn)問題的風(fēng)險，信息系統(tǒng)如若出現(xiàn)任何變故，都可能會使相關(guān)業(yè)務(wù)流程完全失效，信息系統(tǒng)給我們帶來便捷和高效的優(yōu)越性的同時也給企業(yè)外部和企業(yè)內(nèi)部人員利用信息系統(tǒng)犯罪帶來了極大的容易性和隱蔽性。

數(shù)據(jù)庫系統(tǒng)的出現(xiàn)使信息系統(tǒng)從以加工數(shù)據(jù)的程序為中心轉(zhuǎn)向圍繞共享的數(shù)據(jù)庫為中心，既便于數(shù)據(jù)的集中管理，又有利于應(yīng)用程序的研制和維護，提高了數(shù)據(jù)的利用率和相容率，提高了決策的可靠性。數(shù)據(jù)庫系統(tǒng)更應(yīng)該作為信息系統(tǒng)安全性中最重要的重點予以保護。數(shù)據(jù)庫系統(tǒng)承載著企業(yè)單位、企業(yè)部門的各種人員信息、業(yè)務(wù)信息等數(shù)據(jù)，諸如業(yè)務(wù)報表數(shù)據(jù)、員工信息數(shù)據(jù)、銷售產(chǎn)品數(shù)據(jù)、產(chǎn)品類型數(shù)據(jù)等等，這些數(shù)據(jù)企業(yè)的核心數(shù)據(jù)，我們在信息時代最主要的就是要確保這些重要信息的完整性、真實性和安全性。

信息安全管理體系ISMS明確的組織體系，是安全管理的一個重要組成部分的基本安全措施。內(nèi)部的組織管理，職責(zé)分離是有效地減少意外或故意非法訪問、誤用和濫用的有效方法，但極少數(shù)的企業(yè)現(xiàn)實真正分離。信息化建設(shè)衍生的計算機操作員、數(shù)據(jù)錄入員、應(yīng)用程序員、系統(tǒng)程序員、系統(tǒng)分析員、安全管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員、系統(tǒng)管理員等崗位的不斷發(fā)展，但企業(yè)的行列信息化建設(shè)和擴張計劃都難以涵蓋所有的位置，企業(yè)信息員身兼數(shù)職也司空見慣。

為了避免沒有完全實現(xiàn)職責(zé)分離的企業(yè)信息系統(tǒng)帶來的潛在風(fēng)險，信息審計作為補償責(zé)任分工已成為一個重要的基本措施，提高內(nèi)部控制和數(shù)據(jù)庫審計數(shù)據(jù)大大降低了現(xiàn)有的企業(yè)信息風(fēng)險。

1 數(shù)據(jù)庫存在的風(fēng)險

企業(yè)最具有價值、最具有重要、最具有核心，同時也是最敏感的信息資源庫存——數(shù)據(jù)庫，很容易受到攻擊者利用Web應(yīng)用程序?qū)崿F(xiàn)用更直接地訪問違規(guī)操作外部攻擊和內(nèi)部員工，從而直接或間接地導(dǎo)致了企業(yè)的核心業(yè)務(wù)、客戶資料、財務(wù)報表、人事檔案、以及生產(chǎn)數(shù)據(jù)等有安全性有一定風(fēng)險的。因此，對于操作風(fēng)險和數(shù)據(jù)安全管理已經(jīng)引起了政府、行業(yè)和企業(yè)高層管理人員的重視。

在安全性方面的風(fēng)險管理，與企業(yè)和政府信息化建設(shè)的不斷發(fā)展提示信息價值不斷提升。隨著業(yè)務(wù)與IT不斷融合和數(shù)據(jù)共享擴展的需求，數(shù)據(jù)庫安全面臨著管理、技術(shù)、以及審計風(fēng)險的許多方面。在考慮這些風(fēng)險，企業(yè)需要一個數(shù)據(jù)可以刪除漏洞、定位、確認(rèn)用戶訪問，監(jiān)控、安全數(shù)據(jù)庫活動的策略，而且還可以減少在數(shù)據(jù)庫級別的風(fēng)險。

2 企業(yè)合規(guī)性需求

在中國，由于治理機構(gòu)清晰和到位，作為企業(yè)管理的基礎(chǔ)提升公司治理已成為一個現(xiàn)實問題。在推進(jìn)企業(yè)管理、建立規(guī)范、高效的現(xiàn)代企業(yè)制度，使規(guī)范各個環(huán)節(jié)的企業(yè)經(jīng)營處于受控狀態(tài)，實現(xiàn)“透明、控制和效率”，從而實現(xiàn)中國國有企業(yè)改革和上市公司所期望的方向發(fā)展。

金融、證券及期貨事務(wù)監(jiān)察委員會、審計署、中國銀行業(yè)監(jiān)督管理委員會、保險監(jiān)督管理委員會頒發(fā)五部委“企業(yè)內(nèi)部控制基本規(guī)范”等要求，以保證信息系統(tǒng)的審計工作，以確保信息系統(tǒng)的安全性控制、權(quán)限設(shè)置、可審計性、完整性、連貫性、正確性和及時性等。

信息系統(tǒng)中的網(wǎng)絡(luò)操作及業(yè)務(wù)系統(tǒng)操作通過數(shù)據(jù)庫審計實現(xiàn)審計記錄，便于及時發(fā)現(xiàn)違規(guī)操作及可疑行為，及時采取相應(yīng)的措施。通過數(shù)據(jù)庫安全審計，能夠?qū)Πl(fā)生的安全事件及時響應(yīng)，不斷跟蹤網(wǎng)絡(luò)操作和安全事件的變化，準(zhǔn)確了解信息系統(tǒng)的安全狀況，并根據(jù)依據(jù)變化進(jìn)行調(diào)整，確保保護重要業(yè)務(wù)數(shù)據(jù)的安全，滿足企事業(yè)單位的安全要求。

3 數(shù)據(jù)庫自身日志審計的缺陷及危害

數(shù)據(jù)庫服務(wù)器一般都具有自身的日志審計功能，可以分為多種類型，如：SQL語句跟蹤，連接審計，C2審計等，可以把修改配置項設(shè)置為啟動或關(guān)閉的狀態(tài)，但是日志審計功能存在以下自身缺陷和危害：

（1）非智能設(shè)計：日志審計功能只是簡單的日志記錄，而不能靈活的配置，也不能幫助管理人員及時發(fā)現(xiàn)相關(guān)問題，進(jìn)行快速定位問題。

（2）無法監(jiān)測報警：數(shù)據(jù)庫自身的日志審計，沒有并監(jiān)測報警的功能，故無法第一時間將異常信息報告給數(shù)據(jù)庫管理者，只用于問題查證。

（3）刪除日志記錄：日志審計的記錄會存放在一個指定的文件或一個表內(nèi)，所以如果是故意攻擊者或著擁有相應(yīng)權(quán)限的用戶有權(quán)利刪除日志文件，從而將記錄消除。

（4）影響數(shù)據(jù)庫服務(wù)器的資源和性能：設(shè)置開啟的日志審計功能，出現(xiàn)日志無法寫入的情況時，數(shù)據(jù)庫就會停止；有一部分日志審計功能運行的同時會記錄大量信息占用大量的硬盤空間，最終導(dǎo)致數(shù)據(jù)庫服務(wù)的性能大大，甚至影響數(shù)據(jù)庫服務(wù)的正常運作。

4 針對數(shù)據(jù)庫的防護

數(shù)據(jù)庫審計系統(tǒng)是集動態(tài)基線保護技術(shù)、訪問與反饋結(jié)果的雙向?qū)徲嫾夹g(shù)、主流數(shù)據(jù)庫與國產(chǎn)數(shù)據(jù)庫的專用協(xié)議解析分析技術(shù)、非法操作阻斷技術(shù)、中間件關(guān)聯(lián)審計技術(shù)、多報警響應(yīng)方式的先進(jìn)數(shù)據(jù)庫審計產(chǎn)品。

數(shù)據(jù)庫安全審計系統(tǒng)主要是對數(shù)據(jù)庫服務(wù)器上的各種操作進(jìn)行旁路監(jiān)視和記錄，根據(jù)網(wǎng)絡(luò)數(shù)據(jù)的分析，完成智能地、實時地解析對數(shù)據(jù)庫服務(wù)器的各種操作、故意攻擊事件信息記入數(shù)據(jù)庫審計中方便以后以便對時間的查詢與分析，進(jìn)而完成操作目標(biāo)數(shù)據(jù)庫系統(tǒng)的監(jiān)控和審計效果。

提供全面的日志記錄、審核數(shù)據(jù)庫的SQL級別的操作、ftp，telnet等維護操作，恢復(fù)原來的SQL語句，并記錄各種相關(guān)的操作信息，如：數(shù)據(jù)庫服務(wù)器名、IP地址、MAC地址、端口號、用戶名、操作的結(jié)果、數(shù)據(jù)庫操作的日期、時間、原來的SQL語句。而網(wǎng)絡(luò)上的其他系統(tǒng)設(shè)備可以發(fā)送到接收syslog和SNMP日志信息和查詢，可以迅速幫助客戶了解網(wǎng)絡(luò)的運行狀況給其它設(shè)備。

數(shù)據(jù)庫審計系統(tǒng)提供雙向?qū)徲嫻δ堋ｋp向?qū)徲嬍菍?shù)據(jù)庫客戶端的訪問行為，以及數(shù)據(jù)庫的返回結(jié)果同時審計。相比單向?qū)徲?，雙向?qū)徲嫻δ芨尤?，注重?shù)據(jù)庫返回結(jié)果的審計。

5 結(jié)束語

建立煙草企業(yè)數(shù)據(jù)庫審計體系是一個動態(tài)的過程，要根據(jù)系統(tǒng)構(gòu)件和應(yīng)用的變化而循環(huán)遞進(jìn)的使用上述方法，完善系統(tǒng)安全，降低企業(yè)風(fēng)險水平。

數(shù)據(jù)庫是許多應(yīng)用的核心，人們在很早的時候就廣泛重視它的安全性。數(shù)據(jù)庫安全審計技術(shù)是數(shù)據(jù)庫安全防護的重要手段之一，在國外數(shù)據(jù)庫安全審計技術(shù)方面具有相當(dāng)完整的產(chǎn)品，對于國內(nèi)來說數(shù)據(jù)庫安全審計技術(shù)處于起步階段，相關(guān)技術(shù)人員在不斷的研究探索，也具有初步的也就成果。由于相關(guān)的論文文獻(xiàn)相當(dāng)少，也沒有針對數(shù)據(jù)庫安全審計技術(shù)進(jìn)行過深入研究，對于這方面知識的匱乏，使我們更有必要對數(shù)據(jù)庫安全審計技術(shù)進(jìn)行深入的開發(fā)與研究，從而為數(shù)據(jù)庫安全性提供保障，降低企事業(yè)的風(fēng)險性。

參考文獻(xiàn)：

[1]沈輝，張龍.基于WinPcap的網(wǎng)絡(luò)數(shù)據(jù)監(jiān)測及分析[J].計算機科學(xué)，2012（S2）.

[2]馬俊，高建瓴，孫斌.WinPcap網(wǎng)絡(luò)艙聽技術(shù)的研究與改進(jìn) 2007通信理論與技術(shù)新發(fā)展[A].第十二屆全國青年通信學(xué)術(shù)會議論文集（下冊）[C].北京郵電大學(xué)通信網(wǎng)絡(luò)綜合技術(shù)研究所，2007.

作者單位：河南中煙工業(yè)有限責(zé)任公司漯河卷煙廠，河南漯河 462000