數(shù)據加密|圖紙加密|信息加密|文檔加密-Wonder Tech-上海騰赫信息科技有限公司

互聯網時(shí)代，由數(shù)據庫引發的安全事件越來(lái)越多(duō)，數(shù)據庫防火(huǒ)牆作(zuò)為(wèi)保護數(shù)據庫安全必不可(kě)少(shǎo)的防禦工事，也越來(lái)越受到企業關注。

那(nà)麽數(shù)據庫防火(huǒ)牆究竟應具備哪些(xiē)能力，才能為(wèi)企業數(shù)據資産築起堅不可(kě)摧的安全防線?美創科技(jì)作(zuò)為(wèi)數(shù)據防火(huǒ)牆國标重要參與者，曾主導數(shù)據庫防火(huǒ)牆的标準制(zhì)定，将結合在該領域擁有(yǒu)雄厚的技(jì)術(shù)積累和(hé)産品經驗，總結一個(gè)成熟的數(shù)據庫防火(huǒ)牆産品應具備的一系列關鍵能力。

1. 數(shù)據庫防火(huǒ)牆的高(gāo)可(kě)用性和(hé)高(gāo)性能

數(shù)據庫在企業中承載着關鍵核心業務，其重要性不言而喻。由于數(shù)據庫防火(huǒ)牆是串聯到數(shù)據庫與應用服務器(qì)之間(jiān)的安全設備， 因此不能因為(wèi)安全設備的部署而影(yǐng)響業務系統正常使用，數(shù)據庫防火(huǒ)牆自身需要具備高(gāo)可(kě)用性和(hé)高(gāo)速率并發處理(lǐ)能力：

當安全設備因宕機、系統本身主程序不可(kě)用、內(nèi)存持續被占等問題導緻不可(kě)用時(shí)，自動切換到另外一台安全設備進行(xíng)運行(xíng)，從而能夠達到設備的高(gāo)可(kě)用，避免因日常維護操作(zuò)(計(jì)劃)和(hé)突發的系統崩潰(非計(jì)劃)所導緻的停機時(shí)間(jiān)，影(yǐng)響生(shēng)産業務，提升系統和(hé)應用的高(gāo)可(kě)用性。

因業務系統的高(gāo)并發訪問，數(shù)據庫需要對标直連訪問數(shù)據庫，1毫秒(miǎo)內(nèi)SQL處理(lǐ)速率要基本同直連訪問數(shù)據庫，避免因數(shù)據庫防火(huǒ)牆部署影(yǐng)響業務系統的正常使用。

2. 準入控制(zhì)

就跟人(rén)需要有(yǒu)身份證一樣，接入數(shù)據庫也需要根據不同的身份因子對人(rén)進行(xíng)多(duō)維度的識别，保證身份真實性和(hé)可(kě)靠性。

多(duō)因素身份：數(shù)據庫用戶名、應用系統用戶、IP地址、MAC地址、客戶端程序名、登錄時(shí)間(jiān)等因子的多(duō)因素組合準入。

應用防假冒：可(kě)對應用程序進行(xíng)特征識别，識别應用的真實性，避免應用被假冒，從而導緻應用被非法利用。

3. 入侵防護功能

數(shù)據庫防火(huǒ)牆每天都需要面對外部環境的各種攻擊，在識别真實人(rén)員的基礎上(shàng)，我們還(hái)需要對他們的訪問行(xíng)為(wèi)和(hé)特征進行(xíng)檢測，并對危險行(xíng)為(wèi)進行(xíng)防禦，主要防禦功能應有(yǒu)：

SQL注入安全防禦，構建SQL注入特征庫，實現對注入攻擊的SQL特征識别，結合SQL白名單機制(zhì)實現實時(shí)攻擊阻斷;

漏洞攻擊防禦，由于數(shù)據庫升級困難的前提存在，需要對數(shù)據庫漏洞進行(xíng)掃描識别漏洞，并對這些(xiē)漏洞進行(xíng)虛拟補丁，避免黑(hēi)客通(tōng)過這些(xiē)漏洞進行(xíng)攻擊;

敏感SQL防禦，即SQL所帶有(yǒu)敏感信息，對這些(xiē)SQL需要單獨管理(lǐ)，隻授權給可(kě)以訪問的身份，拒絕未經授權的身份進行(xíng)訪問。

4. 訪問控制(zhì)

很(hěn)多(duō)應用程序往往存在權限控制(zhì)漏洞，無法控制(zhì)某些(xiē)非法訪問、高(gāo)危操作(zuò)，比如統方、絕密資料的獲取等。這些(xiē)潛藏巨大(dà)風險的行(xíng)為(wèi)，需要進行(xíng)管理(lǐ)和(hé)控制(zhì)：

防撞庫，當密碼輸入次數(shù)達到預設阈值時(shí)，鎖定攻擊終端;

危險操作(zuò)阻斷，當應用在執行(xíng)全量删除、修改等高(gāo)危行(xíng)為(wèi)的時(shí)候，需要對這些(xiē)行(xíng)為(wèi)進行(xíng)阻斷;

敏感信息訪問脫敏，根據訪問者的權限，返回不同的數(shù)據，權限足夠時(shí)看到真實的數(shù)據，權限不足時(shí)返回經過脫敏的數(shù)據，避免敏感信息洩露;

訪問返回行(xíng)數(shù)控制(zhì)，可(kě)對訪問結果進行(xíng)管理(lǐ)，避免非法一次性導出大(dà)量數(shù)據庫，導緻數(shù)據的大(dà)量流失。

5. SQL白名單

SQL白名單，就是創建應用的SQL白名單庫，對于這些(xiē)安全SQL進行(xíng)放行(xíng)，對于危險SQL進行(xíng)阻斷;SQL白名單可(kě)以隻針對可(kě)信SQL做(zuò)特征識别、而不符合可(kě)信SQL特征的我們都可(kě)以認為(wèi)他是未知或高(gāo)危的SQL，并進行(xíng)阻斷或告警。

6. 風險監控

一般來(lái)說數(shù)據庫防火(huǒ)牆往往會(huì)管理(lǐ)多(duō)個(gè)數(shù)據庫，當數(shù)據庫達到一定數(shù)量時(shí)，通(tōng)過人(rén)工很(hěn)難監控數(shù)據庫的整體(tǐ)安全情況，因此需要監控平台進行(xíng)統一的安全監控：

監控數(shù)據庫防火(huǒ)牆的整體(tǐ)安全情況，當出現風險時(shí)可(kě)快速的定位當前被攻擊的數(shù)據庫及發起攻擊的客戶端等;

可(kě)視(shì)化展示，直觀、全局、清晰的把握數(shù)據庫安全情況。

7. 告警

對于任何不認識的新面孔和(hé)操作(zuò)進行(xíng)識别并實時(shí)告警，是數(shù)據庫安全防護必不可(kě)少(shǎo)的一環，包括：新發現的IP地址，應用程序，數(shù)據庫賬戶，應用賬戶，訪問對象，訪問操作(zuò)，SQL語句。

系統可(kě)通(tōng)過短(duǎn)信、郵件、動畫(huà)等多(duō)種告警手段來(lái)保證告警的實時(shí)性。

8. 風險分析與追蹤

業務人(rén)員在利益的誘惑下，往往通(tōng)過業務系統提供的功能完成對敏感信息的訪問，從而造成數(shù)據外洩的風險。因此提供對風險訪問的詳細記錄，便于風險分析和(hé)問題追溯至關重要。詳細的風險分析和(hé)追蹤，應包括以下基本要素：

Who?—真實的數(shù)據庫帳号、主機名稱、操作(zuò)系統帳号等真實身份;

What?—什麽對象數(shù)據被訪問了，執行(xíng)了什麽操作(zuò)，觸發了什麽安全策略;

When?—每個(gè)事件發生(shēng)的具體(tǐ)時(shí)間(jiān);

Where?—事件的來(lái)源和(hé)目的，包括IP地址、MAC地址等;

How?—通(tōng)過哪些(xiē)應用程序或第三方工具進行(xíng)的操作(zuò)。

企業反洩密軟件,企業防洩密軟件,企業數(shù)據防洩密軟件,數(shù)據防洩密軟件,防洩密軟件,企業數(shù)據安全加密軟件,企業數(shù)據防護軟件,企業數(shù)據加密軟件,數(shù)據加密軟件,企業級加密軟件,企業文檔加密軟件,設計(jì)圖紙加密軟件,CAD圖紙加密軟件,機械圖紙加密軟件,工程圖紙加密軟件,圖文檔加密軟件,企業級無線覆蓋,無線覆蓋,超融合