我们正疲于寻找帮助组织从黑客攻击中解困的新技术和新产品
有一项技术在过去几年中一直受到广泛好评
它就是数据库活动监控技术
数据库中存储的数据是一笔宝贵的财富
通过实施智能监控
及早发现对数据的威胁显得非常有意义
但什么是数据库活动监控
为什么应该关注这个技术呢?
数据库安全背景介绍
大多数规模较大的组织都会使用一个数据库存储它们的重要数据可能是联系资料客户名单产品数据或任何其它有价值的内容随着关系数据库的广泛使用SQL Server和Oracle部署到越来越多的组织中承担起重要的数据存储服务
虽然多年来这些产品在谈及安全时都有一段盛衰无常的历史我并不是要特指SQL Server管理密码默认为空的漏洞这些都已成为历史微软启动可信赖计算计划对所有微软开发人员进行了安全开发培训确保安全编码成为常态Oracle为了增强产品的安全性推出了软件安全保障过程(Software Security Assurance ProcessSSAP)其目标是确保Oracle工程师开发的产品从一开始就是安全的不必再事后发布大量的安全补丁
想要给DBA推一些新软件安装到他们的数据库服务器上是一件非常困难的事情在很多情况下几乎是不可能完成的任务因为服务器除了数据库和操作系统允许的操作外其它行为全部是被锁定的
谈到IT安全时许多厂商都愿意提供专用的硬件插入到网络进行安全保护这样就不用在服务器上安装软件这种非侵入式方式也深受管理员的喜爱他们可以随时插入或移除这种设备而纯软件是达不到这种效果的
IT安全的本质也在发生变化已经从单纯的讲外围安全进化成纵深防御的安全IT安全从业人员和DBA也意识到他们的数据面临的威胁越来越多不是遭受数据丢失就是数据被破坏无法使用并且越来越多的威胁是来自组织内部的心怀不满的员工能够快速下载一个数据库结果集到U盘当安全人员发现问题时他们可能已经将数据转移到公司外去了
数据库活动监控与数据库审计
过去几年我们看到数据库厂商也都改善了其产品的安全性其中值得一提的就是数据库活动监控工具如果我们以SQL Server 为例有很多原生审计工具非常有用但与一个全面的数据库活动监控工具相比还是逊色不少
SQL Server连接审计是一个监控登录失败或登录成功的子系统审计跟蹤可以提供谁在尝试连接服务器这种审计方式对数据库的性能影响很小因为它是数据库本身的功能之一
此外SQL Server提供了一个满足C安全评估标准的审核工具默认没有启用但它工作时将跟蹤每一个审核事件并写入到服务器上的一个文件中它的缺点是产生的审计数据量太大对磁盘空间的要求较高如果审核文件增长超出了磁盘空间允许的大小SQL Server将会停止运行此外攻击者可以很容易探测到审计文件的存在通过编辑可以轻松消除攻击痕迹
SQL Server Trace(跟蹤)是另一个审计工具但它经常用于跟蹤和调试慢速查询虽然可以将SQL Server Trace配置为高效的开箱即用的工具但它消耗的资源也较多如果你需要从安全的角度审计数据库它并不是理想的工具
数据库活动监控集所有安全技术与一体
数据库活动监控的目的是提供特殊的工具和技术将数据库安全和普通信息安全技术结合起来
数据库活动监控产品通常部署在客户端和关系数据库之间它分析所有由客户端发出的结构化查询语言(SQL)对有潜在危险的活动打上标记这是数据库活动监控和日志管理的关键区别数据库活动监控实际上监控的是SQL命令而日志管理工具管理的是数据库和系统可疑活动日志
那么成千上万的SQL语句该如何分析呢?恩这就是数据库活动监控设备智慧之处了
数据库活动监控工具使用专门设计的算法分析SQL语句凡是认为可能有问题的SQL语句它都会做上标记等待DBA采取行动
对企业来说财务用户通常选择长达个月的数据进行分析如果他们突然要求查看年的数据可能是想分析更多的历史数据但也可能是想窃取年的业务数据
