數(shù)據(jù)庫審計工具的選擇

申請免費(fèi)試用、咨詢電話：400-8352-114

數(shù)據(jù)庫審計工具及其應(yīng)用程序

有四種基本平臺可以用于創(chuàng)建、收集和分析數(shù)據(jù)庫審計，它們是：本地數(shù)據(jù)庫平臺、系統(tǒng)信息/事件管理及其日志管理、數(shù)據(jù)庫活動監(jiān)控和數(shù)據(jù)庫審計平臺。

1. 本地審計：指的是使用本地數(shù)據(jù)庫來進(jìn)行數(shù)據(jù)獲取，但使用數(shù)據(jù)庫系統(tǒng)本身對事件進(jìn)行存儲、分類、過濾和報告。IBM、微軟、甲骨文和Sybase針對這種情況都提供各自不同的解決方案，但本質(zhì)上都是去獲取相同的信息。雖然數(shù)據(jù)通常存儲在數(shù)據(jù)庫中，但卻可以導(dǎo)出到純文本文件、或以XML數(shù)據(jù)形式提供給其它的應(yīng)用程序。本地功能的使用節(jié)省了與獲取、部署和管理專用審計工具相關(guān)的成本，但卻使得數(shù)據(jù)庫產(chǎn)生了額外的性能開銷，對基本的收集和存儲也只能進(jìn)行有限的管理，并且需要人為的進(jìn)行管理。本地審計發(fā)生在數(shù)據(jù)庫范圍內(nèi)，并且只適用于對安置在單個設(shè)施內(nèi)的數(shù)據(jù)庫進(jìn)行分析。

2. SIEM和日志管理：安全信息和事件管理（SIEM），以及與之類似的日志管理工具都具備了收集審計文件的能力，但卻比本地數(shù)據(jù)庫工具提供了更多的功能。請記住，這些工具不會像本地審計那樣會導(dǎo)致數(shù)據(jù)庫的開銷，從而減輕了數(shù)據(jù)庫的大部分負(fù)擔(dān)，但這需要一個專門的服務(wù)器對其進(jìn)行存儲和處理。除了數(shù)據(jù)庫審計日志，這些工具還從網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、防火墻和應(yīng)用程序中收集信息。SIEM 和日志管理可以提供綜合報告、數(shù)據(jù)收集、異構(gòu)數(shù)據(jù)庫支持，數(shù)據(jù)聚合和壓縮能力，這些都是本地數(shù)據(jù)庫審計所不具備的優(yōu)點(diǎn)。LogLogic和Splunk等公司推出的日志管理系統(tǒng)，專門設(shè)計成能夠容納大量數(shù)據(jù)的系統(tǒng)，并且更專注于管理和報告。而由ArcSight公司和EMC公司安全部門RSA等廠商所推出的SIEM，則被設(shè)計成更適用于接近實(shí)時的網(wǎng)絡(luò)安全設(shè)備監(jiān)視，從而更深入地分析事件之間的關(guān)聯(lián)和安全報警等信息。然而，SIEM和日志管理之間的區(qū)別可能會逐漸模糊起來，這是因?yàn)榇蠖鄶?shù)的廠商都能同時提供兩個平臺，盡管兩者沒有完全整合在一起。

3. DAM：數(shù)據(jù)庫活動監(jiān)控平臺被設(shè)計成用于監(jiān)控數(shù)據(jù)庫活動中的威脅，并執(zhí)行規(guī)則遵從控制。諸如Application Security、Fortinet、IBM、Netezza和甲骨文這樣的供應(yīng)商，提供了異構(gòu)數(shù)據(jù)庫中的事件獲取。大多數(shù)供應(yīng)商提供了多種方式來獲取信息，包括收集來自網(wǎng)絡(luò)、數(shù)據(jù)庫所在的操作系統(tǒng)和數(shù)據(jù)庫審計日志等多方查詢（queries）信息。DAM 工具被專門用于高速數(shù)據(jù)檢索和實(shí)時政策執(zhí)行。像SIEM工具一樣，DAM 工具可以收集來自異構(gòu)數(shù)據(jù)庫和多數(shù)據(jù)源的數(shù)據(jù)，并被設(shè)計成用于分析和報警。而與SIEM不同的是，DAM并不是專為數(shù)據(jù)庫而設(shè)計的，它更加專注于在應(yīng)用程序級進(jìn)行數(shù)據(jù)庫分析，而不是在網(wǎng)絡(luò)級或系統(tǒng)級上進(jìn)行。除了對數(shù)據(jù)庫的操作進(jìn)行取證（forensic）分析，DAM還提供了諸如活動阻塞、虛擬打補(bǔ)丁、過濾（filtering）和評估等高級功能。

4. 數(shù)據(jù)庫審計平臺：一些數(shù)據(jù)庫廠商提供了專門數(shù)據(jù)庫，這與日志管理服務(wù)器很相似。這些數(shù)據(jù)庫由一個專用的平臺組成，它存儲從本地數(shù)據(jù)庫審計中獲取的日志文件，并把多個數(shù)據(jù)庫的日志文件收集到一個中央位置上。其中一些平臺還提供了異構(gòu)數(shù)據(jù)庫日志文件收集器。報告、取證分析、把日志文件聚集為共同的格式，以及安全存儲，這都是此種平臺可以帶來的好處。雖然這些平臺不提供多數(shù)據(jù)來源、或像DAM那樣進(jìn)行細(xì)致的分析，不具備SIEM那樣的關(guān)聯(lián)和分析能力,也不像日志管理簡單易用，但對于那些專注于數(shù)據(jù)庫審計的IT運(yùn)營而言，這是一個性價比很高的方法，可以用來生成安全報告和存儲取證方面的安全數(shù)據(jù)。

數(shù)據(jù)庫審計的選擇過程

為了有助于進(jìn)行數(shù)據(jù)庫審計的選擇過程，你需要考慮以下各平臺類型的特點(diǎn)，以及每個供應(yīng)商的解決方案。按重要性排序如下：

數(shù)據(jù)來源：在本文中所描述的信息主要來源是數(shù)據(jù)庫的審計日志，這是由數(shù)據(jù)庫引擎創(chuàng)建的。然而，審計日志隨數(shù)據(jù)庫的不同而有所變化，在某些情況下有多種信息都可以歸在審計日志這一類。此外，一些平臺可以創(chuàng)建某個用戶對數(shù)據(jù)庫操作的活動日志。雖然這種日志并不如本地平臺所創(chuàng)建的那樣準(zhǔn)確，但它卻能包含所有SELECT語句，并具有更好的引導(dǎo)性能。你需要仔細(xì)檢查來自不同數(shù)據(jù)源的哪些數(shù)據(jù)可用，并看看信息是否足夠滿足你的安全、運(yùn)營和規(guī)則遵從的要求。

規(guī)則遵從：由于依照產(chǎn)業(yè)和政府的法規(guī)是采用數(shù)據(jù)庫審計解決方案的主要動力，你需要審查政策和供應(yīng)商提供的產(chǎn)品報告。這些報告能幫助你迅速滿足規(guī)則遵從的要求，并降低在定制方面的成本。

部署：用戶對所有解決方案描述最大的投訴是部署時需要面對很多難題。安裝、配置、政策管理、減少誤報、自定義報告或數(shù)據(jù)管理，這些也是用戶需要解決的問題。正是由于這個原因，你需要將資源集中從而進(jìn)行實(shí)地比較，以評估工具的優(yōu)劣。此外，針對一兩個數(shù)據(jù)庫的部署進(jìn)行測試是不夠的，你需要在多個數(shù)據(jù)庫之間制定計劃以進(jìn)行一些可擴(kuò)展性測試，從而模擬真實(shí)世界的情景。當(dāng)然，這增加了概念驗(yàn)證（proof-of-concept）過程的負(fù)擔(dān)，但從長遠(yuǎn)來看這是值得的，因?yàn)閺S商存在的UI問題、政策管理和體系結(jié)構(gòu)的不合理選擇，只會在實(shí)際測試中才會表現(xiàn)出來。

性能：它與供應(yīng)商平臺的關(guān)系不是很大，但和數(shù)據(jù)庫本身的數(shù)據(jù)審計選項(xiàng)聯(lián)系得更加緊密。目前存在著多個版本和選項(xiàng)，并且本地審計的性能變化也很快，因此你需要運(yùn)行一些測試。你可能還需要平衡你想收集的數(shù)據(jù)和你需要的數(shù)據(jù)，并尋找以制定最少的政策來滿足需求的途徑，因?yàn)檎咴蕉嘁馕吨谒邢到y(tǒng)上花的經(jīng)費(fèi)也更多。

整合：你需要對合作供應(yīng)商在工作流程、故障報告（trouble-ticketing）、系統(tǒng)與政策管理產(chǎn)品的整合方面進(jìn)行驗(yàn)證。

審計日志包含很多對審計人員、安全專家和數(shù)據(jù)庫管理員有幫助的信息，但是它們會影響到性能。對于數(shù)據(jù)庫審計可以的提供任何新奇事物，你都需要通過了解其可能增加的負(fù)擔(dān)。審計會引起一些性能上的損失，而根據(jù)你執(zhí)行的情況，損失可能會很嚴(yán)重。但是，這些問題是可以緩解的，并且對于一些商業(yè)問題而言，數(shù)據(jù)庫審計日記是規(guī)則遵從和安全分析必不可少的環(huán)節(jié)。

除了本地數(shù)據(jù)庫審計（位于數(shù)據(jù)庫資源上層），我們描述的所有工具都被部署為一個獨(dú)立的設(shè)備或軟件。所有數(shù)據(jù)庫審計都提供了中央政策（central policy）和數(shù)據(jù)管理、報告，并提供數(shù)據(jù)聚合（data aggregation）功能。SIEM（安全信息和事件管理）、日志管理和數(shù)據(jù)庫活動監(jiān)控供應(yīng)商為可擴(kuò)展性提供了一個層次部署模型，在該模型中多臺服務(wù)器或設(shè)備被分布在大型的IT組織中，以改善用戶對處理和存儲的需求。

聚合數(shù)據(jù)使得正被收集的巨大數(shù)據(jù)量的管理和報告變得容易。此外，信息收集被放在中央服務(wù)器中可以保護(hù)處理日記不被篡改。

究竟那種方法更適合你，這取決于你的需求、你需要解決的業(yè)務(wù)問題，以及你愿意為解決問題而投入多少時間和金錢。一個好消息是你可以有大量的選擇，比如讓自己的數(shù)據(jù)庫管理員去進(jìn)行數(shù)據(jù)庫本地審計從而獲得基礎(chǔ)的信息，或者對成千上萬的設(shè)備進(jìn)行數(shù)據(jù)聚合操作。