安华金和数据库安全中间件.pdf

1、 安华金和数据库 安全中间件 简介 北 京 安 华 金 和 科 技 有 限 公 司 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 1 1. 产品 简介 安华金和数据库安全中间件 (简称 DBCoffer) 是一款 基于透明加密技术的 数据 库安全加固系统，该产品能够实现对 数据库 的 数据 加密存储、 访问 控制 增强 、 应用 访问 安全 、 安全审计 以及三权分立 等 功能 。 DBCoffer 基于 主动防御 机制 ， 可以防止 明文存储 引起的数据泄密 、 突破边界防护 的外部 黑客 攻击、来自于内部 高权限用户的数据 窃取 、防止绕开合法应用系统直

2、接访问数据库 ，从根本上解决数据库敏感数据 泄 漏 问题 。 DBCoffer 利用 数据库 自身扩展机制， 通过独创的、已获 专利的 三 层视图技术和密文索引等核心技术，突破了传统 数据库 安全 加固 产品的技术瓶颈， 真正 实现 了 数据高度安全、应用完全透明、密文高效访问。 DBCoffer 当前支持 Windows、 AIX 、 Linux、 Solaris 等多个平台，提供基于 加密硬件的企业版 和纯软件的标准版， 支持主、从、应急等 自身 高可用 模式 ， 可以 满足用户的多种部署需求。 DBCoffer 兼容主流加密算法和国产加密设备，提供可扩展的加密设备和加密算法接口。 DBC

3、offer 产品 适用于 政府、 军队、军工、机要、 电信、 电力、 医疗 、 金融、 互联网 等各个领域 ， 同时针对 国家 等级保护、分级保护 、军队保密规定 均 具有很强的政策合规性 。 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 2 2. 应用背景 2.1. 数据库安全已经成为信息安全焦点 政府机关、企事业单位 的 核心信息的 80%是以结构化 形式存储在数据库中的 ，数据 库 作为核心资产 的载体 ， 一旦 发生泄密 将 会 造成 最为惨 痛 的 损失。 当前， 数据库的安全防护作为信息安全防护 任务 的“最后一公里”， 其重要性 已经被越来越多

4、的 部门 所 认 可 。 据 国际 权威机构 verizon 统计 报告 分析 ，当前 76%数据攻击行为是针对数据库进行的 ； 就 “ 核心数据是如何丢失的 ” 的 市场调查 表明 ， 75%的数据丢失情况 来自于数据库 ， 数据库 已经 成为入侵者最主要的攻击目标 和泄密源 。 经过多年的发展， 网络安全、主机安全等产品 线 不断丰富， 已非常成熟。 但 市场上的 专业的数据库 安全 防护产品 却很缺乏 ， 这也是 数据库安全 建设 面临的 一个重要问题。 2.2. 数据库层面的 泄密事件 频发 在过去的若干年里 ，围绕着 数据库 或 数据的计算机犯罪 已经形成 一个普遍现象 ，这些现象为

5、数据库安全敲响了警钟。 2005 年， 程序员程稚瀚四次侵入北京移动充值中心数据库盗取充值卡密码，获利达 300 多万元。 2005年 12月 25日 ,美国银行披露 ,2004年 12月下旬 ,丢失了包括 1200万信用卡信息的磁带备份 . -Gartner Research； 2006 年，日本住友生命保险公司，该公司约 8000 名客户及员工的资料数据通过安装到个人电脑上的软件被泄露到因特网上，包括联系人的姓名、所属分公司、地址和电话号码等。 2007 年，汇丰银行服务器丢失，致使 16 万客户信息遭受泄露。 2007 年， 世界最大职业中介网站 M 遭到 大规模攻击，黑客窃取 了 在网

6、站注册的数百万求职者个人信息，并进行勒索； 2009 年 6 月 9 日 , 工程师程某利用给深圳福彩中心系统 实施的工作之便，提前获安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 3 知数据库口令。通过植入木马程序，篡改中奖号码，非法获取 5 注一等奖，累 计金额 3600 多万元。 2010 年， 3.15 晚会曝光了移动、联通及原中国网通 三大电信运营商的 3 个 “ 内鬼 ”多次向 “私家侦探” 泄露 客户 信息 、通话记录、手机定位信息共获利 300 万元 。 2011 年，索尼公司遭遇“黑客门”，全球 7000 万游戏玩家的姓名、住址、生日等身份信

7、息，以及 1000 万用户的信用卡信息被窃。 据 51CTO.COM 2011 年 4 月 11 日报道，北京著名的 7 天连锁酒店后台数据库被“刷库”，多达 600 万 的 会员 详细信息 被黑客盗取并在网上 公开 兜售 。 2011 年 6 月 ， 上海天力管重庆客户中心数据库被黑 ， 网站数据库近 3 个月的客户资料被盗走 。 2.3. 数据安全 相关政策与法律法规 针对以上问题， 各国家和组织 迅速 制定 法案法规 ，要求加强数据的安全保护，以对政府信息、企业信息和个人 隐私 信息进行有效保护。美国相继出台了 Sarbanes-Oxley 法案、 HIPAA法案 、 GLBA 法案 等

8、，日本出台了个人信息保护法案， 支付卡产业安全标准委员会制定了 PCI数据安全标准、 欧盟出台了 隐私和电子通信指令 ，香港 特区 也出台了政府安全规定。在这些法规中都对数据的安全 ，从管理和技术上都进行了有效约束 ， 其中的关键就是 数据 加密。 而我国也从相继出台了信息系统安全等级保护基本要求和 信息安全等级保护管理办法要求政府部门和各个公共行业对信息系统进行等级划分，并对相应等级进行了管理和技术上的明确规定。其中数据 防泄漏 是 一重要组成部分 ，要求三级以上系统的 鉴别信息 和重要 业务数据存储要加密 。 对于涉密部门，国家分别出台了 BMB17、 BMB20、 BMB22、 BMB2

9、3 文件， 分别在技术、管理、测评、方案 设计 方面提出了 涉 及国家秘密的 信息系统 分级保护 规定，要求 机 密级以上 信息 系统 应 使用安全 数据库或进行安全 增强 。 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 4 3. 客户价值 通过 DBCoffer，可以有效防止由于明文存储引起的泄密、防止外部非法入侵窃取敏感数据、防止内部高权限用户数据窃取、防止合法用户违规数据访问 。 明 文 存 储引 起 的 泄 密外 部 入 侵非 法 破 解 、 提 升 权 限内 部 高 权 限 人 员数 据 泄 密合 法 用 户违 规 访 问 加 密 存 储 独 立

10、 权 限 控 制 三 权 分 立 应 用 绑 定？3.1. 防止 由于明文存储 引起的泄密 Oracle 的底层存储实际上是未经加密 处理 的， 数据文件、备份磁带的丢失 都存在重大的泄密风险， 目前 已 有 很多类似于 Dul、 MyDul 的 成熟免费 解析 软件，可对 Oracle 数据文件直接分析， 输出 清晰 的、 结构化 的 数据 。 DBCoffer 通过 数据 存储加密 功能，从根本上保证 数据 安全 ， 即使 反向解析 数据文件仍是 DBCoffer 加密过的 乱码。 3.2. 防止外部 非法 入侵 窃取敏感数据 Oracle 是一个复杂的数据库系统，其 累计报告的 安全漏洞

11、已达 1000 多种，且在持续暴露，一旦被 攻击者 利用，很容易窃取到敏感数据。 DBCoffer 通过增强的用户口令校验强度，独立的密文权控体系，即使 Oracle 权控体系被突破，也无法访问到敏感数据。 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 5 3.3. 防止 内部高权限 用户数据窃取 受 出口 政策 的限制， 在 C2 安全级别的 Oracle 数据库系统 中 ， 以 sys 和 system 为代表的 超级用户 天然具备数据访问、授权和审计的权限 ；在大型企业和政府机构中，除了系统管理员 ，以数据分析 员、程序员、 服务外包人员 为代表的 数

12、据库 用户，也可以访问到敏感数据 。这些 与业务无关的敏感数据访问权限， 都 成为 数据泄密的极大 隐患。 三权分立， 对特权用户进行有效权力拆分 。 DBCoffer 增设了安全管理员 (DSA)， 即使是DBA用户， 在未经 DSA授权时 照样无法访问到 密文 数据 ； DBCoffer同时增设审计管理员 (DAA)，可以 对 DSA 的授权 行为和 数据库用户 的 密文 数据 访问 行为 进行审计和 追踪 。 3.4. 防止合法用户违规数据访问 对于 应用系统使用的 合法 数据库 用户， 常 由于人为因素或管理不善，用户名及口令 很容易 泄露给第三 方 ， 第三方 则可以通过命令行或管理

13、工具直接访问密文数据 ，批量窃取数据 。 DBCoffer 具备真正应用安全能力，可以 将 合法用户与 应用系统绑定，同一用户只能通过指定的应用系统访问密文数据，使用命令行等其他方式则无法访问密文数据 。 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 6 4. 功能 特点 4.1. 透明 数据加密 DBCoffer 支持 我国 密码管理机构认定的加密算法 ， 也 支持 国际先进的密码算法 。对数据库 可以 指定列 、行 进行加密，保证敏感数据 以 密文 形式 存储，以实现存储层的安全加固。 透明的 数据加密 有两层含义 ： 一是对应用系统透明，即用 户或开发

14、商不需要对应用系统进行任何 改造 ；二是对有密 文访问权限的 用户 显示明文数据，并且加 、解 密 过程对用户完全透明。 4.2. 高效数据检索 DBCoffer 进行 数据加密 后，依然能够对 密文 数据 提供索引能力 ，从而保持 Oracle 数据库的高效访问能力。 DBCoffer 通过专利 的、高度安全的加密索引技术，突破了传统技术对 密文 列不能使用索引的限制；在保证索引数据的高度安全基础上，提供了对 密文 数据为检索条件的索引查询；在 密文 列上进行的等于、大于、小于和 Like 操作依然可以使用索引。 4.3. 身份鉴别增强 单一的静态口令认证方式，容易遭到他人窃取和冒名使用 。

15、 DBCoffer 可以 实现 安全管理员、审计管理员以及 数据库 用户 的 动态口令 和 双因素 (ukey+pin 码 )方式 的增强 认证 ，并提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出措施。 4.4. 增强访问 控制 DBCoffer 增设数据安全管理员（ Data Security Administrator， DSA）。 DBA 和 DSA 相互 独立，共同实现对敏感字段的强存取控制，实现真正的责权一致。 DBA 实现对 普通 字段的一般性 访问权限控制， DSA 实现对敏感字段的 增 、 脱 密处理 和密文访问权限控制 。 该功能 在数据加密存储的基础上，实

16、现密文访问权限体系，对数据库用 户进行强制访问安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 7 控制 ，有效防止特权用户对敏感数据的非法访问； 4.5. 数据分级管理 DBCoffer 数据库用户和密文数据可进行分级管理，数据按照列、行记录可以分成不同的级别，不同级别用户只能访问相应级别的数据。 4.6. 真正应用安全 DBCoffer 可以提供按角色、 IP 地址、时间范围的密文访问控制，并具备真正应用安全能力。 DBCoffer 可以 将合法用户与 应用系统绑定，同一用户只能通过指定的应用系统访问密文数据，使用命令行 、管理工具 等其他 任何 方式 均

17、无法访问密文数据 。 DBCoffer 通过对应用程序或系统进行摘要值和连接随机种 子的判定，保证应用身份 标识 不可伪造，合法的连接不可重放。 4.7. 敏感数据审计 DBCoffer 增设安全审计管理员（ Data Audit Administrator， DAA），提供对数据库中安全授权 行为 和 密文 字段访问行为的 审计能力 ，以便对 DSA 的 授权 行为和 数据库 用户 的敏感数据的访问进行 事后 追踪 。 传统的审计技术，由于审计的信息量大，审计功能的开启，将对性能造成极大的影响 ，基于网络的审计也会受到通讯加密的影响，造成审计 信息 不全 面 ；而 DBCoffer 在 数据

18、库内部 实现 审计， 并且 仅针对敏感数据审计 ， 从而 保障了 审计信息完整性 和 数据库 的 性能。 4.8. 高 可用性 DBCoffer 通过与 Oracle 的数据集成存储、 RAC 支持、双机热备、 应急模式、多进程冗余、透明 故障切换、数据 错误忽略、备份恢复 等技术，使 DBCoffer 提供与 Oracle 相当的高可用支持 和异常故障处理能力。 安华金和数据库保险箱 DBCoffer 产品简介 北京安华 金和 科技有限公司 8 4.9. 可维护性 DBCoffer 产品稳定可靠，产品化程度高，图形化管理界面，简单易用 。 系统 安装 、部署在半小时内可以完成 ，安全加固实施（数据加密防护）一般可在一天内完成 。 DBCoffer具备快速、准确地整体拆除能力，并且在线还原期间可以保正应用系统正常运行。