军工行业数据防泄密解决方案
一、背景
经中国国家领导人习近平批准中央军委印发了《关于进一步加强军队信息安全工作的意见》，其中提到军队要加强信息安全的建设。2014年以来，中国政府加紧对军队信息安全的控制，加强网络信息安全监控。
计算机信息网络、信息系统在国防信息化建设中的广泛应用，给军队保密工作带来了许多新情况、新问题，也使军队保密工作面临着前所未有的机遇和挑战。军队等涉密单位是国家秘密非常集中的领域，一直是窃密与反窃密，渗透于反渗透的主战场。根据中央军委颁发《关于加强新形势下军队信息安全保障工作的意见，》和国家保密局颁发《涉及国家秘密的信息系统分级保护技术要求》等技术要求，大力发展系统保密技术，加强信息系统安全，提高与信息安全风险相抗衡的能力，堵塞泄密漏洞，已经成为国防信息化建设中越来越重要的一个环节。
二、数据库审计重要性
数据库是任何商业和公共安全中最具有战略性的资产，军队核心数据库通常都保存着军事情报、武器研发、体系作战等信息，这些信息一旦被泄露出去，对国家安全，社会稳定造成严重的危害，互联网的急速发展使得数据库信息的价值及可访问性得到了提升，也致使数据库信息资产面临严峻的挑战，目前行业内对数据库保护最直接，最有效的产品就是数据库审计系统。
1、核心数据库风险分析
解放军62159工程指挥部经过多年的信息化建设，该部已经在作战指挥和日常办公上基本实现了信息化，信息网络已经成为我军作战指挥系统正常运转的基础设施。该部主要依靠内外网隔离、电磁防泄密、防火墙等技术手段、视频监控系统、门禁系统、消防报警系统、查库巡检到位系统、钥匙柜管理系统、周界入侵报警系统相关制度条例以及安全意识来保障核心数据的安全。
通过对放军62159工程指挥部信息化系统的分析，数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：
管理层面：
主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者;
数据库维护人员对业务系统的误操作，恶意操作，权限滥用等行为无法做到全面的审计。
非法对数据库访问权限授权，对重要数据随意获取、更改，破坏。
技术层面：
现有的数据库内部操作不明，无法通过外部的任何安全工具(比如：防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露机密信息等行为。
黑客攻击，网络中总是存在各种安全漏洞，因此黑客的攻击行为是威胁数据安全的一大隐患。黑客攻击网络的目的通常是扰乱系统正常运行或者窃取重要的军事机密。
黑客惯常使用的攻击手段为：
◆ 窃听-即黑客通过截获通讯信道上的重要数据并破译来达到窃取用户机密的目的;
◆ 重发攻击-黑客为达到影响系统正常运行的目的，而将窃听得到的数据经过篡改之后重新发回服务器或者数据库用户;
◆ 迂回攻击-黑客掌握运营商数据库系统的安全漏洞之后，绕过数据库系统而直接访问机密数据;
◆ 假冒攻击-黑客先是采取发送大量无意义的报文而堵塞服务器和客户终端的通讯端口以后，再通过假冒该客户或者该服务器的方法来非法操作数据库系统;
◆ 越权攻击-黑客属于一个合法用户，但是其通过某种手段使自己去访问没有得到授权的数据。
审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。
伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。
军队泄密事件的集中爆发也印证传统的防护手段漏洞，根据解放军62159工程指挥部实际情况，一个完整的数据安全防护体系应该是：
数据库审计系统是最贴近数据，也是数据安全防护体系最后，且必不可少的一环。
通过数据库审计系统，一、让管理者实时全面了解数据库实际发生的操作情况;二、在可疑行为发生时可以自动启动预先设置的告警流程，尽可能防范数据库风险的发生;三、一旦发生非法操作，触发事先设置好的防御策略，实现主动防御，因此，如何采取一种可信赖的综合途径，确保数据库活动记录的100%捕获是极为重要的，任何一种遗漏关键活动的行为，都会导致数据库安全上的错误判断，同时便于事后追查原因与界定责任。
三、数据库审计方案介绍
1、概述
目前行业内数据库种类繁多，数据库审计系统支持对Oracle、MS-SQL、DB2、MYSQL、Sybase、CACHE等常见数据库的审计。军队信息化系统的核心数据库不管采用什么类型的数据库，数据库审计系统都可对其全面监控，将核心数据保护起来。
数据库审计系统是基于DPI+DFI技术的数据库审计系统，对来自应用系统客户端和DBA对数据库的访问行为进行全面审计，不仅针对SQL语句，还可以对FTP、TELETN等远程访问进行审计。审计系统能详细记录查询、删除、增加、修改等行为及操作结果，对危险操作还可以实时预警，从而达到保护数据库的良好效果。
2、系统架构
数据库审计系统包括两大平台：基础平台和业务平台。
基础平台是从系统底层来划分，分别为：系统硬件平台;安全的操作系统;深度报文检测机制等业务平台是从用户操作来划分，分别为：系统配置;规则策略配置;审计管理等。
系统架构图
3、部署方式
数据库审计系统旁路部署在指挥部信息中心，不需要再数据库服务器上安装插件，不影响现有网络和业务系统的结构，拓扑如下图：
网络部署方式图
4、数据库审计系统带来的价值
（1）响应中央军委和保密局的要求
响应中央军委颁发《关于加强新形势下军队信息安全保障工作的意见》和保密局《涉及国家秘密的信息系统分级保护技术要求》，完善组织的IT内控体系，从而满足各种合规性要求，并且使组织能够顺利通过IT审计。
（2）有效减少核心信息资产的破坏和泄露
通过使用数据库安全审计系统，能够加强对数据库的审计，快速发现风险并防范，从而有效地减少对核心信息资产的破坏和数据泄露。
（3）追踪溯源
便于事后追查原因与界定责任 负责运维的部门通常拥有数据库管理系统的最高权限(掌握DBA账号的口令)，因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。审计系统能够帮助进行事后追查原因与界定责任。
（4）直观掌握业务系统运行的安全状况
军队信息化系统的正常运行需要一个安全、稳定的网络环境。对管理部门来说，网络环境的安全状况事关重大。数据库审计系统提供业务流量监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况。
（5）实现独立审计
完善IT内控机制从内控的角度来看，系统的使用权、管理权与监督权必须三权分立。审计系统实现独立审计，帮助监督人员获得有效的技术手段，从而完善军队IT内控机制。
