CN113032793A - 数据安全智能加固系统及方法 - Google Patents

Abstract

本发明公开了一种数据安全智能加固系统，包括敏感数据发现模块、数据库性能审计模块、数据库风险评估模块、数据库审计模块、数据库防火墙模块和数据透明加密模块。本发明的有益效果在于：多级安全防护，提供可选的数据库安全防护功能包括：敏感数据发现、性能监控、风险评估、粗粒度审计、细粒度审计、防火墙、敏感内容加密。这些模块的安全防护能力是逐步增强的，逐步实现了安全评估、数据活动可视化以及数据安全管理的可控性。高性能，本系统的连续SQL处理能力轻松达到10万每秒，每TB硬盘最低存储能力达到30亿，远高于国内外竞争产品。全面审计范围，本系统审计范围涵盖了所有可能访问数据的途径，不管是内部的还是外部的，是直接的还是间接的。

Description

数据安全智能加固系统及方法

技术领域

本发明涉及数据安全技术领域，尤其涉及一种数据安全智能加固系统及方法。

背景技术

近年来，互联网和移动互联网发展十分迅速，互联网和人们的生活结合日益紧密，社会逐步进入了智能时代和数据时代。大量的数据在各种网络上被存储和处理，其中包含大量有价值的敏感数据。随之而来的是，信息系统安全事件出现了新的特征。其中一个特征就是攻击不再以摧毁和破坏信息系统为主要目的，取而代之的是以获取敏感数据为主要目的。

攻击者为了获取敏感数据，相应的也产生了许多新型的攻击手段，比如SQL注入攻击，APT(高级持续攻击)等。这对新时代的数据安全管理提出了新的挑战。而信息安全也相应的进入了数据安全时代。

从以上的数据泄密事件可以看出，主要的泄密数据是结构化数据，而结构化数据主要通过数据库来保存和接受查询，其安全防护问题十分重要。据Verizon公布的数据侵犯调查报告显示，92％的泄漏记录来自于数据库泄密。所以数据库的安全问题成了数据安全管理的核心问题之一。

面对日益严重的数据泄漏问题，我国信息安全重要性被提升到前所未有的高度。

但是在信息安全产品门类众多的今天，数据泄漏问题仍然屡屡发生，其根本原因有：

原因一：数据库端防护被忽视。从用户终端到应用服务器部署的防护措施众多，但是部署在应用服务器以后的防护措施较少。而应用服务器后面的数据库服务器存储着敏感数据，且内部的管理人员、开发人员能够比较容易的接触到这些数据。这就容易导致数据在这一段被侵犯，比如丢失和篡改。据Verizon的统计，70％左右的数据泄漏事件，来自于这一段。

原因二：业务/数据层安全防护手段缺失。在TCP/IP网络通信协议的1-7层(应用层及以下)部署较多的安全防护措施，在应用层以上的业务和数据层(第8层)部署的安全防护措施不足。据OWASP发布的十大Web应用安全漏洞中，业务和数据层的XSS 攻击和SQL注入攻击排名前两位。而SQL注入攻击可以获取敏感数据，对系统的破坏性更直接更大。虽然WAF/NGFW可以在一定程度上阻止SQL注入行为的发生，但是SQL注入仍然可以绕过WAF/NGFW。最简单绕过方式的比如内部人员在WAF/NGFW后进行SQL注入，从而获取数据。

原因三：数据库自身安全性较低。国内市场上主流的商业数据库，尤其是进口数据库，大都是安全级别在C2级别的数据库，只具有最基本的防护能力，并且还存在较多的软件漏洞。这些特征导致数据库容易受到攻击。

发明内容

有鉴于此，本发明提供了一种数据安全智能加固系统及方法，完美解决了数据库信息安全防护问题。

为解决上述问题，本发明所采取的技术方案是：

一种数据安全智能加固系统，包括敏感数据发现模块、数据库性能审计模块、数据库风险评估模块、数据库审计模块、数据库防火墙模块和数据透明加密模块。

更进一步的技术方案是，所述敏感数据发现模块用于通过扫描IP发现服务器、通过扫描端口范围自动发现数据库服务和根据指定的敏感数据条件发现敏感数据，帮助企业了解数据库服务器、敏感数据的分布情况，将所发现的服务器、服务、数据自动分类，以可视化图形的形式进行展示，并导出为报表，所有发现和分类结果加入到后续模块的规则中。

更进一步的技术方案是，所述数据库性能审计模块用于实时监控数据库运行状态，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性，并将性能审计结果导出为报表，并可以设置告警条件，并记录告警事件。

更进一步的技术方案是，所述数据库性能审计模块审计内容包括：用户活动状况、数据库内存状态、文件系统状态、查询响应性能。

更进一步的技术方案是，所述数据库风险评估模块用于通过扫描的方式静态的评估数据库系统的风险。

更进一步的技术方案是，所述扫描内容包括：弱口令检测、系统漏洞、配置风险。

更进一步的技术方案是，所述数据库审计模块用于实时监控数据活动情况，自动学习并建立用户和系统对数据的访问行为模式，生成不同粒度的访问规则，进而根据设置的规则评估访问操作的风险等级，并根据风险等级产生告警，选择性的记录访问日志，并提供可视化的日志检索功能，生成可读性高的报表，达到提高数据库及业务系统的安全性的目的。

更进一步的技术方案是，所述数据库防火墙模块用于实时监控数据活动情况，并基于自动学习建立的数据访问模型，及时评估访问风险，发现并阻断非法访问和攻击。

更进一步的技术方案是，所述数据透明加密模块用于针对明文的SQL语句重写为针对密文的SQL语句，从而实现透明加密。

一种数据安全智能加固方法，包括以下步骤：

S1、敏感数据发现模块，通过对数据库中的数据采集与已知敏感信息知识库进行对比，对数据库中的敏感数据进行标记；

S2、数据库性能审计模块，通过对数据库本身运行监控，实时监测数据库运行性能风险，并及时告警；

S3、数据库风险评估模块，数据库安全风险监控，对数据库自身的安全风险进行评估，并结合数据库版本、运行情况进行有效的安全加固；

S4、数据库审计模块，对数据库运行过程的操作行为进行审计，结合机器学习技术对长久的操作行为进行离散归类，发现异样的高风险操作；

S5、数据库防火墙模块，针对数据库风险评估结果，建议数据安全防御体系，对入侵数据库的威胁操作进行全面阻止，并形成有效知识库，协议机器学习模块完善风险评估的安全基线；

S6、数据透明加密模块，对数据库中的数据进行特殊序列加密，保证数据库数据在存储过程中的动态安全。

本发明的有益效果在于：

(1)多级安全防护

提供可选的数据库安全防护功能包括：敏感数据发现、性能监控、风险评估、粗粒度审计、细粒度审计、防火墙、敏感内容加密。这些模块的安全防护能力是逐步增强的，逐步实现了安全评估、数据活动可视化以及数据安全管理的可控性。

(2)高性能

实际测试结果表明，本系统的连续SQL处理能力轻松达到10万每秒，每TB硬盘最低存储能力达到30亿，远高于国内外竞争产品。

(3)完善的报表

本系统提供丰富的审计查询条件和细致的统计分析条件，通过多样化的关联查询分析能力，保证数据展现的灵活多样。同时提供强大的报表模板以及可定制的客户化报表，满足用户不同的需要。

(4)全面审计范围

本系统审计范围涵盖了所有可能访问数据的途径，不管是内部的还是外部的，是直接的还是间接的。

附图说明

图1为本发明的原理框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，一种数据安全智能加固系统，包括敏感数据发现模块、数据库性能审计模块、数据库风险评估模块、数据库审计模块、数据库防火墙模块和数据透明加密模块。

所述敏感数据发现模块用于通过扫描IP发现服务器、通过扫描端口范围自动发现数据库服务和根据指定的敏感数据条件发现敏感数据，帮助企业了解数据库服务器、敏感数据的分布情况，将所发现的服务器、服务、数据自动分类，以可视化图形的形式进行展示，并导出为报表，所有发现和分类结果加入到后续模块的规则中。

所述数据库性能审计模块用于实时监控数据库运行状态，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性，并将性能审计结果导出为报表，并可以设置告警条件，并记录告警事件。所述数据库性能审计模块审计内容包括：用户活动状况、数据库内存状态、文件系统状态、查询响应性能。

所述数据库风险评估模块用于通过扫描的方式静态的评估数据库系统的风险。所述扫描内容包括：弱口令检测、系统漏洞、配置风险。所述弱口令检测的目的是测试数据库账号的口令的强度，确保不存在缺省口令和弱口令。选取不同的字典文件对缺省口令、生日数字口令、字母组合口令、姓名口令等进行检测。所述漏洞扫描的目的是检测软件相关漏洞，包括SQL注入漏洞。DBMS是个复杂的系统，发行时具有很多漏洞。这些漏洞需要厂家的后续补丁来进行修正。入侵者通过利用漏洞可以破坏系统，或者提升自身的系统权限，访问敏感数据，威胁系统的安全。所述配置风险扫描的目的是检测系统中各种配置参数的安全性。对每一个系统配置进行扫描前，可由用户为每一个系统配置设置参数，之后执行特定的检测脚本，根据返回结果判断风险是否存在。

所述数据库审计模块用于实时监控数据活动情况，自动学习并建立用户和系统对数据的访问行为模式，生成不同粒度的访问规则，进而根据设置的规则评估访问操作的风险等级，并根据风险等级产生告警，选择性的记录访问日志，并提供可视化的日志检索功能，生成可读性高的报表，达到提高数据库及业务系统的安全性的目的。

审计记录策略和响应策略包括：

动作：记录、告警、阻断；

记录方式：仅记录一次、总是记录、采样；

风险等级：正常、低风险、中风险、高风险、致命；

告警方式：邮件、短信、SYSLOG等。

数据库审计包括粗粒度审计、细粒度审计和攻击识别，其中粗粒度审计基于自动学习的结果，设置粗粒度的审计记录策略和响应策略。粗粒度的审计规则内容包括：

加固点名称、数据库实例、数据库类型；

数据库用户、操作系统用户、主机名；

数据库IP、客户端IP；

数据库MAC、客户端MAC；

客户端程序、客户端用户名、客户端端口；

请求发生时间、执行时长；

SQL内容关键字、SQL结果内容关键字。

细粒度审计基于自动学习的结果，设置语句粒度的审计记录策略和响应策略。语句级规则能够实现非常细粒度的审计能力，能够对应用对数据库的访问进行精确的建模。当模式固定以后，形成数据访问的基线，任何偏离基线的访问模式都可以看作是非正常的访问，可能是新的业务，也可能是攻击行为。

攻击识别能够实时检测出SQL注入和缓冲区溢出等攻击，同时详细的审计攻击操作发生的时间、来源IP、登录数据库的用户名、攻击代码等详细信息，并产生告警。

所述数据库防火墙模块用于实时监控数据活动情况，并基于自动学习建立的数据访问模型，及时评估访问风险，发现并阻断非法访问和攻击。所述发现并阻断非法访问和攻击是通过以下方式实现的。数据库防火墙模块与数据库审计模块共用自动学习结果，在审计的基础上，进一步提供阻断功能，从而提升防护能力。对访问的阻断可以是会话级的，也可以是语句级的。语句级阻断可以在不破坏业务持续性的情况下阻止攻击行为。数据库服务器直接对外暴露容易受到端口扫描以及各种攻击。数据库防火墙模块可以部署于数据库之前，提供端口映射功能，隐藏实际的数据库端口，攻击者难以根据端口扫描得到数据库信息。数据库的隐通道和其他端口也相应被屏蔽，避免被攻击者直接利用。商业数据库系统提供单因子的口令认证和低安全级别的自主访问控制模式，使得数据库容易受到假冒用户连接、权限提升、权限滥用等攻击。数据库防火墙模块实时的监控和评估对数据库的访问，实现增强的多因子认证和权限控制，过滤掉虚假连接和非法访问。数据库防火墙模块使用数据库用户、操作系统用户、主机名、IP、端口等因子对访问来源进行身份认证。同时通过更细粒度的、语句级别的授权来提升访问控制能力。而且由于这种访问控制是独立于数据库系统的，对于SQL注入攻击、权限提升滥用等具有很好的防护能力。针对数据库系统存在的未修补的补丁，数据库防火墙提供虚拟的补丁，防止漏洞被攻击者利用。

敏感数据加密作为数据库安全的最后一道防线，也是最高一级的防护，本产品采用加密技术，有选择的将敏感内容进行加密存储，并提供进一步增强的访问控制。所述数据透明加密模块用于针对明文的SQL语句重写为针对密文的SQL语句，从而实现透明加密。由于明文必须通过网关才可以查看，可以实现数据库访问的多因子认证，实现增强的访问控制，实现在线的数据脱敏和掩码，有效防止数据泄露和篡改。

一种数据安全智能加固方法，包括以下步骤：

S1、敏感数据发现模块，通过对数据库中的数据采集与已知敏感信息知识库进行对比，对数据库中的敏感数据进行标记；

S2、数据库性能审计模块，通过对数据库本身运行监控，实时监测数据库运行性能风险，并及时告警；

S3、数据库风险评估模块，数据库安全风险监控，对数据库自身的安全风险进行评估，并结合数据库版本、运行情况进行有效的安全加固；

S4、数据库审计模块，对数据库运行过程的操作行为进行审计，结合机器学习技术对长久的操作行为进行离散归类，发现异样的高风险操作；

S5、数据库防火墙模块，针对数据库风险评估结果，建议数据安全防御体系，对入侵数据库的威胁操作进行全面阻止，并形成有效知识库，协议机器学习模块完善风险评估的安全基线；

S6、数据透明加密模块，对数据库中的数据进行特殊序列加密，保证数据库数据在存储过程中的动态安全。

尽管这里参照本发明的多个解释性实施例对本发明进行了描述，但是，应该理解，本领域技术人员可以设计出很多其他的修改和实施方式，这些修改和实施方式将落在本申请公开的原则范围和精神之内。更具体地说，在本申请公开、附图和权利要求的范围内，可以对主题组合布局的组成部件和/或布局进行多种变型和改进。除了对组成部件和/或布局进行的变形和改进外，对于本领域技术人员来说，其他的用途也将是明显的。

Claims (10)

1.一种数据安全智能加固系统，其特征在于，包括敏感数据发现模块、数据库性能审计模块、数据库风险评估模块、数据库审计模块、数据库防火墙模块和数据透明加密模块。

2.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述敏感数据发现模块用于通过扫描IP发现服务器、通过扫描端口范围自动发现数据库服务和根据指定的敏感数据条件发现敏感数据，帮助企业了解数据库服务器、敏感数据的分布情况，将所发现的服务器、服务、数据自动分类，以可视化图形的形式进行展示，并导出为报表，所有发现和分类结果加入到后续模块的规则中。

3.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述数据库性能审计模块用于实时监控数据库运行状态，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性，并将性能审计结果导出为报表，并可以设置告警条件，并记录告警事件。

4.根据权利要求3所述的数据安全智能加固系统，其特征在于，所述数据库性能审计模块审计内容包括：用户活动状况、数据库内存状态、文件系统状态、查询响应性能。

5.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述数据库风险评估模块用于通过扫描的方式静态的评估数据库系统的风险。

6.根据权利要求5所述的数据安全智能加固系统，其特征在于，所述扫描内容包括：弱口令检测、系统漏洞、配置风险。

7.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述数据库审计模块用于实时监控数据活动情况，自动学习并建立用户和系统对数据的访问行为模式，生成不同粒度的访问规则，进而根据设置的规则评估访问操作的风险等级，并根据风险等级产生告警，选择性的记录访问日志，并提供可视化的日志检索功能，生成可读性高的报表，达到提高数据库及业务系统的安全性的目的。

8.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述数据库防火墙模块用于实时监控数据活动情况，并基于自动学习建立的数据访问模型，及时评估访问风险，发现并阻断非法访问和攻击。

9.根据权利要求1所述的数据安全智能加固系统，其特征在于，所述数据透明加密模块用于针对明文的SQL语句重写为针对密文的SQL语句，从而实现透明加密。

10.一种数据安全智能加固方法，其特征在于，包括以下步骤：

S1、敏感数据发现模块，通过对数据库中的数据采集与已知敏感信息知识库进行对比，对数据库中的敏感数据进行标记；

S2、数据库性能审计模块，通过对数据库本身运行监控，实时监测数据库运行性能风险，并及时告警；

S3、数据库风险评估模块，数据库安全风险监控，对数据库自身的安全风险进行评估，并结合数据库版本、运行情况进行有效的安全加固；

S4、数据库审计模块，对数据库运行过程的操作行为进行审计，结合机器学习技术对长久的操作行为进行离散归类，发现异样的高风险操作；

S5、数据库防火墙模块，针对数据库风险评估结果，建议数据安全防御体系，对入侵数据库的威胁操作进行全面阻止，并形成有效知识库，协议机器学习模块完善风险评估的安全基线；

S6、数据透明加密模块，对数据库中的数据进行特殊序列加密，保证数据库数据在存储过程中的动态安全。

Images