市面上出現(xiàn)的兩類數(shù)據(jù)庫(kù)審計(jì)技術(shù)路線對(duì)比

在日漸火熱的數(shù)據(jù)庫(kù)安全領(lǐng)域，數(shù)據(jù)庫(kù)審計(jì)應(yīng)該是應(yīng)用最為廣泛，用戶接受度最高的產(chǎn)品了，沒有之一。本文將對(duì)目前數(shù)據(jù)庫(kù)審計(jì)市場(chǎng)上的兩類技術(shù)路線進(jìn)行分析，從使用效果出發(fā)，淺析兩者在各維度的審計(jì)效果上存在哪些差異，呈現(xiàn)產(chǎn)品真正能實(shí)現(xiàn)的功能和價(jià)值。希望能為廣大用戶在數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品的選型上提供參考依據(jù)。

概括來講，兩類數(shù)據(jù)庫(kù)審計(jì)的技術(shù)路線區(qū)別，根本來自于兩者的部署方式、獲取數(shù)據(jù)庫(kù)訪問記錄的途徑不同以及SQL解析方式不同，審計(jì)效果自然不同：

旁路式VS植入式

從5個(gè)衡量維度看技術(shù)路線的差異

衡量?jī)煞N技術(shù)路線的差異，可以從兩類產(chǎn)品在真實(shí)測(cè)試中的功能表現(xiàn)上能夠更直觀的呈現(xiàn)。下面從5個(gè)主要的衡量維度來看基于兩類技術(shù)路線的審計(jì)效果表現(xiàn)，這幾個(gè)維度也是業(yè)內(nèi)對(duì)專業(yè)數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品評(píng)判中普遍遵循的主要衡量指標(biāo)。

審計(jì)結(jié)果全面性的表現(xiàn)

旁路式：通過鏡像流量或探針的方式進(jìn)行全流量采集，基于全量數(shù)據(jù)庫(kù)流量進(jìn)行語句和會(huì)話分析，再通過對(duì)sql語句的協(xié)議解析，能夠?qū)徲?jì)到客戶端信息，返回結(jié)果集。這種采集方式首先對(duì)數(shù)據(jù)庫(kù)類型不挑剔，均可支持，并且能夠?qū)徲?jì)到普通用戶和超級(jí)用戶的訪問行為。

植入式：屬于注冊(cè)代理程序的“侵入式”審計(jì)，利用數(shù)據(jù)庫(kù)的自審計(jì)插件（如Oracle的FGAC插件），讀取數(shù)據(jù)庫(kù)自審計(jì)日志，依賴的是數(shù)據(jù)庫(kù)自身審計(jì)能力，這里有一個(gè)很大的問題，如果數(shù)據(jù)庫(kù)自身不具備審計(jì)能力，那么這類數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品就無法支持對(duì)此類型數(shù)據(jù)庫(kù)的審計(jì)；并且，數(shù)據(jù)庫(kù)自審計(jì)功能一般只提供增、刪、改、查語句和部分?jǐn)?shù)據(jù)定義語句，無法提供全操作類型的審計(jì)，也無法完整審計(jì)結(jié)果集。不過從另一個(gè)角度來看，植入方式也有其亮點(diǎn)——本地操作的審計(jì)，這些不通過網(wǎng)絡(luò)的流量，傳統(tǒng)的流量鏡像方式捕獲不到，不過旁路式的審計(jì)，也可以通過增加rmagent，實(shí)現(xiàn)這項(xiàng)功能。

審計(jì)結(jié)果準(zhǔn)確性的表現(xiàn)：

前面提到，兩者對(duì)數(shù)據(jù)庫(kù)訪問的采集方式不同，這決定了兩者在審計(jì)結(jié)果準(zhǔn)確性上的差異表現(xiàn)。

旁路式：由于是基于全流量的審計(jì)，如果能配合sql語句的協(xié)議解析和特征捕獲等技術(shù)，可以準(zhǔn)確關(guān)聯(lián)語句和會(huì)話，進(jìn)行精確的審計(jì)結(jié)果查詢分析能力；準(zhǔn)確關(guān)聯(lián)應(yīng)用用戶與SQL語句，這樣可以實(shí)現(xiàn)對(duì)業(yè)務(wù)行為的審計(jì)。在此基礎(chǔ)上形成的規(guī)則庫(kù)，也能夠更準(zhǔn)確的識(shí)別風(fēng)險(xiǎn)訪問及漏洞攻擊行為。

植入式

由于是基于正則表達(dá)式完成SQL語句規(guī)則，無法基于通訊協(xié)議解析命中語句規(guī)則，在實(shí)際工作中，會(huì)導(dǎo)致語句和會(huì)話無法關(guān)聯(lián)，不能按照會(huì)話進(jìn)行語句梳理匯總，那么會(huì)缺乏連貫分析能力；并且，由于不是基于流量和協(xié)議的SQL語句解析，對(duì)于目前用戶普遍要求的應(yīng)用關(guān)聯(lián)審計(jì)，也無法實(shí)現(xiàn)。

檢索及入庫(kù)速度的表現(xiàn)

基于SQL語句的獲取方式不同，兩者在檢索及入庫(kù)速度方面也會(huì)存在差異表現(xiàn)。

植入式：由于原始審計(jì)信息是記錄在數(shù)據(jù)庫(kù)中的，需要定期獲取到審計(jì)設(shè)備上，這其中可能產(chǎn)生較大的延遲。另一方面，開啟數(shù)據(jù)庫(kù)自審計(jì)功能本身會(huì)占用大量?jī)?nèi)存，如果遇到高壓力并發(fā)的情況，會(huì)拖慢數(shù)據(jù)處理能力，連累正常業(yè)務(wù)訪問。

旁路式：旁路鏡像流量的方式對(duì)應(yīng)用到數(shù)據(jù)庫(kù)的訪問完全透明，不會(huì)產(chǎn)生影響，這也是目前市面上大多數(shù)審計(jì)廠商如安華金和等，選擇旁路鏡像方式，配合精確SQL解析技術(shù)來實(shí)現(xiàn)審計(jì)高可用性的主要原因之一。

關(guān)于存儲(chǔ)空間的占用表現(xiàn)

旁路式：由于是鏡像方式獲取流量，對(duì)于審計(jì)產(chǎn)品本身的存儲(chǔ)優(yōu)化能力有一定要求，但不會(huì)影響數(shù)據(jù)庫(kù)服務(wù)器本身的存儲(chǔ)空間，需要考量對(duì)比的是產(chǎn)品本身能否提供歸一化技術(shù)和壓縮存儲(chǔ)技術(shù)，以節(jié)約存儲(chǔ)空間。

植入式：由于需要開啟自審計(jì)功能，需要占用大量數(shù)據(jù)庫(kù)本身的存儲(chǔ)空間，如果同時(shí)缺乏SQL歸一技術(shù)，那么在大數(shù)據(jù)處理情況下，數(shù)據(jù)庫(kù)本身的硬盤空間就會(huì)非常緊張。

產(chǎn)品易用性方面的表現(xiàn)

兩者在配置和操作的易用性方面也存在較大差異：

植入式：數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品在注冊(cè)實(shí)例的時(shí)候，需要手工輸入IP端口數(shù)據(jù)庫(kù)實(shí)例，還需要sys用戶及口令，向數(shù)據(jù)庫(kù)中注冊(cè)用戶及程序。另一方面，如果是基于正則式的規(guī)則配置，需要數(shù)據(jù)庫(kù)管理人員具備一定的技術(shù)能力，深度參與規(guī)則和策略的配置定義。

旁路式：由于是基于數(shù)據(jù)庫(kù)流量的語句語法解析，可以自動(dòng)識(shí)別并添加審計(jì)數(shù)據(jù)庫(kù)；更專業(yè)的產(chǎn)品應(yīng)能夠基于解析結(jié)果，從風(fēng)險(xiǎn)、語句、會(huì)話三個(gè)維度進(jìn)行深度解析，維度之間相互關(guān)聯(lián)、多重鉆取分析，這樣用戶可以對(duì)數(shù)據(jù)庫(kù)的整體安全狀態(tài)有更直觀的判斷。

目前，市場(chǎng)上的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品多以旁路鏡像方式為主，但也出現(xiàn)了采用植入式技術(shù)路線的產(chǎn)品，從表面來看都能夠?qū)崿F(xiàn)數(shù)據(jù)庫(kù)訪問行為的審計(jì)，但在審計(jì)效果及用戶體驗(yàn)上存在顯著的差異，用戶需要在產(chǎn)品選型時(shí)更多關(guān)注產(chǎn)品的核心技術(shù)路線。

安華金和最初進(jìn)行審計(jì)產(chǎn)品研發(fā)時(shí)，即排除了類似植入式的技術(shù)路線，并將數(shù)據(jù)庫(kù)防火墻產(chǎn)品研發(fā)中積累的SQL語句解析能力及細(xì)粒度規(guī)則管控等能力融入審計(jì)產(chǎn)品中，在與用戶交互中不斷提高產(chǎn)品性能和易用性，就是為了交付用戶可以免實(shí)施、免維護(hù)、免培訓(xùn)的成熟產(chǎn)品。讓安全成為業(yè)務(wù)的附加值，而不會(huì)抵消企業(yè)信息化帶來的紅利。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。