《中華人民共和國數(shù)據安全法》頒布施行，數(shù)據安全保護正式被國家提升到了重要高度。《數(shù)據安全法》從數(shù)據安全與發(fā)展、數(shù)據安全制度、數(shù)據安全保護義務、政務數(shù)據安全與開放多個方面對數(shù)據的保護與利用進行了總體布局和戰(zhàn)略規(guī)劃，從而有效規(guī)范數(shù)據處理活動，保障數(shù)據安全，維護國家主權、安全和發(fā)展利益。
某市財政局作為管理財政的職能機構，信息化建設已經逐步完善，目前已有前置數(shù)據庫、直達資金監(jiān)管系統(tǒng)、部標數(shù)據庫、集中財務系統(tǒng)、轉移支付系、電子決算系統(tǒng)、部標前置數(shù)據庫、OA達夢數(shù)據庫等。數(shù)據庫做為承載關鍵業(yè)務系統(tǒng)的核心和基礎，是最重要的數(shù)據資產。目前主要是通過傳統(tǒng)的網絡安安全防護手段構筑了一道安全防線，雖然在數(shù)據庫安全管控方面有堡壘機但對于數(shù)據安全保障而言仍有不足。
客戶需求分析
技術層面：通過堡壘機發(fā)起的數(shù)據庫運維操作，數(shù)據訪問追蹤信息出現(xiàn)斷層，無法定位到原始操作者的身份信息，造成取證不完整。
管理層面：現(xiàn)在維護人員的操作沒有做到細膩度監(jiān)控，數(shù)據庫的維護工作基本都是外包或者是應用系統(tǒng)廠自行負責，數(shù)據庫維護過程沒有受到監(jiān)管，一旦數(shù)據安全事件發(fā)生，無法追溯并定位真實的操作者；最高權限的濫用，讓數(shù)據安全變得更加脆弱，也讓責任劃分和威脅追蹤變得更加困難。
審計層面：現(xiàn)有的依賴于數(shù)據庫日志文件的審計方法，存在諸多的弊端。如：數(shù)據庫審計功能的開啟會影響數(shù)據庫本身的性能、數(shù)據庫日志文件本身存在被篡改的風險，難于體現(xiàn)審計信息的真實性，一旦有意外發(fā)生導致系統(tǒng)的崩潰，這些審計日志也隨之消失，管理人員無法得知系統(tǒng)到底發(fā)生了什么。
為貫徹落實國家法律法規(guī)要求，某市財政局積極開展數(shù)據安全防護提升工作，對財政局內部數(shù)據庫信息安全領域的深層次安全審計分析提出了需求，要針對數(shù)據庫進行安全審計專項建設。在此基礎上，某市財政局經過POC測試及溝通討論，最終與昂楷科技達成合作共識。
數(shù)據安全解決方案
本方案遵循“精準可視，安全可控”的設計思路，在市財政局部署一套數(shù)據庫審計系統(tǒng)，將數(shù)據庫安全審計貫穿在市財政局核心數(shù)據庫運行的全過程，彌補目前安全能力的短板，增強數(shù)據安全預警和溯源能力，使得管理人員可以對重要系統(tǒng)數(shù)據庫進行全方位的監(jiān)測和審計工作，幫助市財政局提升內部風險控制水平。
市財政局數(shù)據庫在傳統(tǒng)物理服務器和新架構云環(huán)境中，本方案兼顧全流量采集，確保審計能覆蓋關鍵數(shù)據庫，同時支持華為麒麟ARM架構服務器上的數(shù)據庫進行審計。
數(shù)據庫審計與財政局現(xiàn)有堡壘機安全聯(lián)防，追蹤到由堡壘機發(fā)起的數(shù)據庫運維的原始操作者身份信息定位到人，解決數(shù)據訪問追蹤信息出現(xiàn)斷層的問題。
部署拓撲
流量采集是數(shù)據庫審計系統(tǒng)的基礎，只有做到數(shù)據庫訪問流量的全采集，才能保證數(shù)據庫審計的可用性和價值，市財政局流量采集方式主要有兩種：
鏡像方式：采用旁路部署通過鏡像方式獲取傳統(tǒng)IT架構數(shù)據庫的所有訪問流量。
agent方式：私有云環(huán)境，基于“agent方式捕獲數(shù)據庫訪問流量。
旁路鏡像+agent方式混合部署，如下圖：
客戶價值
建立完整的詮釋責任認定體系，通過穩(wěn)定而成熟的審計技術，可以建立起一個行為不可抵賴、數(shù)據可靠，完整并且強有力的責任認定體系。
數(shù)據庫審計和堡壘機協(xié)同工作，相互補充，安全價值最大化。
兼容X86環(huán)境和信創(chuàng)環(huán)境數(shù)據庫的安全審計，避免重復采購。
滿足國家《網絡安全法》、《數(shù)據安全法》、《等保2.0》以及行業(yè)規(guī)定中對于數(shù)據庫審計的合規(guī)性需求，并可根據需求形成不同的審計報表。
從業(yè)務流程角度出發(fā)，為防止違規(guī)操作奠定了技術手段，實現(xiàn)“教育為先、制度為主、技術為輔”多管齊下的管理要求。
