启明星辰网络安全审计系统为金融行业提供精确溯源、合规性管理保障
发布时间:2011-09-20   作者:启明星辰

当前我国金融业信息安全建设在网络、系统、应用等方面取得很多成果,但合规性建设从开展以来,管理及技术角度还有待完善。随着以BASEL为代表的风险管理的实施,国内外金融行业从信息科技方面加强风险管理与监管,金融行业最先开始着手建立健全合规性管理体系。温家宝总理曾经在《政府工作报告》中指出,要切实加强和改进金融监管,健全监管协调机制,有效防范和化解金融风险,维护国家金融稳定和安全。然而,信息风险是动态变化的,完善信息科技内控体系,必然要求实现安全审计的全面性和实时性,因此建立一个行为不可抵赖、数据可靠,完整并且强有力的责任认定体系,是完善金融行业内部控制体系强有力的保障。北京启明星辰信息安全技术有限公司(以下简称“启明星辰”)网络安全审计系统(以下简称为“审计系统”)能够为金融行业客户对数据库访问行为进行精确溯源提供合规性管理保障。


数据库所面临的安全风险


随着计算机和网络技术的发展,金融行业信息系统的应用越来越广泛。数据库作为信息技术的核心和基础,承载着越来越多的关键业务系统,并渐渐成为商业和公共安全中最具有战略性的资产,而数据库的安全稳定运行也直接决定着业务系统能否正常使用,信息一旦被篡改或者泄露,轻则造成企业或者社会的经济损失,重则影响企业形象甚至社会安全。由此可见,数据库安全至关重要。


互联网的急速发展使得数据库信息的价值及可访问性得到了提升,同时,也使数据库信息资产面临严峻的挑战。数据库的安全威胁主要来自两个方面,一方面来自企业外部的非法入侵,黑客针对业务系统或者数据库漏洞,采取各种攻击手段,篡改或者盗取数据。这部分威胁可以通过在业务网络入口部署防火墙、入侵防御等产品得到有效预防。而另一方面的威胁来自企业内部,内部员工的恶意破坏、违规操作和越权访问,往往会带来数据的大量外泄和严重损坏,甚至导致数据库系统崩溃。而且,这些操作往往不具备攻击特征,很难被普通的信息安全防护系统识别出来,因此防范起来更加困难。FBI和CSI对484家公司进行的网络安全专项调查结果显示:超过70%的安全威胁来自公司内部,在损失金额上,由于内部人员泄密导致了6056.5万美元的损失,是黑客造成损失的16倍,是病毒造成损失的12倍。另据中国国家信息安全测评中心调查,信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪,而非病毒和外来黑客引起。


数据库审计产品的重点与难点


启明星辰与大量用户沟通后发现,数据库审计通常有三点是客户最关注的,也是数据库审计产品的重点与难点。


首先,数据库中存储着公司核心资产,要能够审计到对数据库的各种关键操作,并及时报警。

 

其次,审计产品要能根据公司业务现状定义重点监控的行为,并在事后检索的时候,能迅速的从海量审计日志中检索到有价值的信息。


最后,审计产品要能做到同一个自然人对于业务资源的不同访问阶段的关联。金融行业的业务系统多为B/S架构,一般情况下,虽然操作员在浏览器上的登录账号各不相同,但是业务服务器对数据库的访问均使用同一账号。如果仅记录业务服务器访问数据库的操作,或者仅记录浏览器对业务服务器的访问,在有多个操作员并发访问业务系统时,就无法明确数据库发生事故的责任人,只有将前后台的访问行为关联起来,才能准确定位是哪个操作员的访问导致了数据库事故。另外,对于通过其他协议跳转访问数据库,或者数据库的嵌套访问等行为,也需要通过审计产品进行准确定位。


启明星辰的数据库审计解决方案


启明星辰作为资深信息安全厂商,关注IT治理人员和DBA们关注的焦点,针对数据库审计的重点、难点,启明星辰的审计系统既能独立审计针对数据库的各种访问行为,又不影响数据库的高效稳定运行,能够服务于大量有不同权限的用户,支持高事务处理率,使数据库业务系统安全隐患得到有效解决,让数据库安全变得更简单。


启明星辰的数据库审计解决方案,将通过在客户的网银系统或保存重要数据的业务系统中部署审计系统,针对业务环境下的网络操作行为和数据库访问行为进行合规操作审计。

 


 图注 启明星辰金融行业网络安全审计系统解决方案部署示意图


解决方案说明:


1、 审计引擎的监听端口接在交换机的镜像端口上,对客户端访问应用服务器数据进行监听,对应用服务器访问数据库的服务器进行监听。


2、 在管理控制中心设置审计策略,分别设置对应用系统进行访问的策略、应用系统对数据库进行访问的策略,即可实现对应用层及数据层的审计。


3、 数据库层的审计:通过对应用系统访问数据库的数据包进行监听,就可以实现对数据库层的审计。审计系统能够提供细粒度的、操作级的策略定义,根据访问数据库的源程序名、登录数据库的账号、数据库命令、数据库名、数据库表名、数据库字段名、数据库字段值、数据库返回码等作为条件,对用户关心的违规行为进行响应,特别是针对重要表、重要字段的各种操作进行定义,还可以定制审计事件规则、对特定账号行为跟踪、命令及字段智能分析、添加业务黑白名单等方式,灵活策略配置功能,协助用户完成审计策略的精确定义,实现精确审计。


在这种解决方案中,审计系统通过旁路方式接入网络,不影响用户的网络结构;不影响用户的网络性能;不影响用户的应用业务。


通过部署网络安全审计系统,客户可获得五大收益:


提升声誉:满足合规性要求,顺利通过等级保护、分级保护、IT审计;


降低损失:有效响应、减少业务系统核心信息资产的破坏和泄露;


取证免责:有效控制运维操作风险,便于事后追查原因与界定责任;


把控全局:有效控制业务运行风险,直观掌握业务系统安全状况;


完善机制:实现独立审计与三权分立,完善IT内控机制。


从数据库审计解决方案中,也体现出启明星辰公司审计系统的核心价值,能够帮助客户完善业务系统的安全防范体系,满足组织机构内外部合规性要求,帮助管理者对业务系统信息资源进行全局把控和调度,帮助客户加强内外部网络行为监管、提供企业内部控制或者外部政策等合规性管理保障。

文章来源:启明星辰
  • 公司总部 | 分支机构 | 法律声明 | 投资者关系 | 400-624-3900 800-810-6038
  • © 启明星辰1996-2015 版权所有 京ICP备05032414号 京公网安备110108003435号