數(shù)據(jù)庫審計作為目前用戶接受度最高，使用最為廣泛的數(shù)據(jù)安全產(chǎn)品，如果只是單純的具有日志記錄和審計功能已經(jīng)不能完全滿足用戶的需求，其功能必須得到進一步的擴展：

一. 加密協(xié)議解析

數(shù)據(jù)庫有時會采用加密協(xié)議通訊，為審計解析帶來了困難，但這也是數(shù)據(jù)庫審計產(chǎn)品必須解決的問題，否則將無法實現(xiàn)數(shù)據(jù)庫訪問完全審計的任務(wù)。例如針對SQL Server默認的數(shù)據(jù)庫用戶加密或者更深層次的加密協(xié)議，都需要數(shù)據(jù)庫審計產(chǎn)品提供相應(yīng)的解決辦法。

二. 復(fù)雜環(huán)境的數(shù)據(jù)采集

數(shù)據(jù)庫審計產(chǎn)品除了常規(guī)的旁路部署通過交換機鏡像數(shù)據(jù)庫訪問流量的審計方法外，還應(yīng)具備適用于復(fù)雜網(wǎng)絡(luò)的數(shù)據(jù)采集方式，例如在復(fù)雜的虛擬化網(wǎng)絡(luò)環(huán)境下，通過“探針”方式捕獲數(shù)據(jù)庫流量。但是無論哪種部署方式，都需要在不影響數(shù)據(jù)庫原有性能，無需應(yīng)用、網(wǎng)絡(luò)環(huán)境改造的前提下，提供可靠的數(shù)據(jù)庫審計服務(wù)。

三. 應(yīng)用關(guān)聯(lián)審計與監(jiān)控

數(shù)據(jù)庫審計產(chǎn)品除了具備常規(guī)的客戶端一層的審計信息：客戶端IP、數(shù)據(jù)庫用戶、主機名、操作系統(tǒng)、用戶名等，還應(yīng)具備應(yīng)用側(cè)風(fēng)險行為審計與監(jiān)控的能力，例如對應(yīng)用賬戶、應(yīng)用IP等關(guān)聯(lián)審計信息。

四. 數(shù)據(jù)庫入侵行為監(jiān)測

數(shù)據(jù)庫暴露于內(nèi)外網(wǎng)絡(luò)，且數(shù)據(jù)庫各版本都有安全漏洞問題，因此數(shù)據(jù)庫審計產(chǎn)品應(yīng)提供針對數(shù)據(jù)庫漏洞攻擊的“檢測”功能，并對這些漏洞攻擊實時監(jiān)控、有效記錄，發(fā)現(xiàn)風(fēng)險后及時告警，且能夠有效追溯風(fēng)險來源。

五. 數(shù)據(jù)庫異常行為監(jiān)測

數(shù)據(jù)庫審計產(chǎn)品的主體價值是幫助用戶高效的完成風(fēng)險行為的定責(zé)追溯，這需要數(shù)據(jù)庫審計產(chǎn)品針對數(shù)據(jù)庫通訊協(xié)議進行完全解析；并具備針對SQL語句的學(xué)習(xí)、歸類形成模板的能力；最終結(jié)合會話信息、應(yīng)用關(guān)聯(lián)信息，實現(xiàn)數(shù)據(jù)庫行為建模?；谠L問模型，當(dāng)數(shù)據(jù)庫訪問行為異常時，系統(tǒng)可提供實時的告警能力，降低數(shù)據(jù)泄露的損失。

六. 數(shù)據(jù)庫違規(guī)行為監(jiān)測

數(shù)據(jù)庫審計產(chǎn)品還應(yīng)具備針對數(shù)據(jù)庫的違規(guī)訪問、登錄等行為檢測告警的能力。例如利用審計到的數(shù)據(jù)庫賬號和客戶端IP信息，針對指定周期內(nèi)，同一IP或賬號的頻次性失敗登錄行為進行監(jiān)控并形成告警。

七. 報表展現(xiàn)

數(shù)據(jù)庫審計產(chǎn)品應(yīng)具備將審計日志進行數(shù)據(jù)化分析并以個性化報表展示的能力，以便幫助安全管理人員更加便捷、深入的剖析數(shù)據(jù)庫運行風(fēng)險。例如：綜合報表、合規(guī)性報表、專項報表、自定義報表等。

安華金和數(shù)據(jù)庫審計產(chǎn)品不但完全具備以上7種能力，還具備更多的且具有用戶價值的擴展功能，筆者也將在下一篇內(nèi)容中分享給大家。