LanSecS数据库安全防护系统解决方案.docx
- 文档编号:30016992
- 上传时间:2023-08-04
- 格式:DOCX
- 页数:11
- 大小:197.66KB
LanSecS数据库安全防护系统解决方案.docx
《LanSecS数据库安全防护系统解决方案.docx》由会员分享,可在线阅读,更多相关《LanSecS数据库安全防护系统解决方案.docx(11页珍藏版)》请在冰豆网上搜索。
LanSecS数据库安全防护系统解决方案
Information
LanSecS数据库安全防护系统解决方案
LanSecS
LanSecS数据库安全防护系统
解决方案
北京圣博润高新技术股份有限公司
2014年3月
1产品背景
1.1概述
随着计算机技术的飞速发展,数据库的应用十分广泛,深入到各个领域,但随之而来产生了数据的安全问题以及数据库访问的安全问题。
各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题,越来越引起人们的高度重视。
数据库系统作为信息的聚集体,是计算机信息系统的核心部件,其安全性至关重要,因此,如何有效地保证数据库系统的安全,实现数据的保密性、完整性和有效性,已经成为业界人士探索研究的重要课题之一。
越来越多的关键业务系统运行在数据库平台上。
同时也成为不安定因素的主要目标。
如何确保数据库自身的安全,已成为现代数据库系统的主要评测指标之一。
数据库是信息技术的核心和基础,广泛应用在电信、金融、政府、商业、企业等诸多领域,当我们说现代经济依赖于计算机时,我们真正的意思是说现代经济依赖于数据库系统。
数据库中储存着诸如银行账户、医疗保险、电话记录、生产或交易明细、产品资料等极其重要和敏感的信息。
尽管这些系统的数据完整性和安全性是相当重要的,但对数据库采取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。
许多因素都可能破坏数据的完整性并导致非法访问,这些因素包括复杂程度、密码安全性较差、误配置、未被察觉的系统后门以及数据库安全策略的缺失等。
在攻击方式中,SQL注入攻击是黑客对数据库进行攻击的常用手段之一,而且表面看起
来跟一般的Web页面访问没什么区别,所以市面上的通用防火墙都不会对SQL注入发出警
报,如果管理员没查看IIS日志的习惯,可能被入侵很长时间都不会发觉。
如何防御SQL注
入攻击也是亟待解决的重点问题之一。
数据库的应用相当复杂,掌握起来非常困难。
许多数据库管理员都忙于管理复杂的系统,
所以很可能没有检查出严重的安全隐患和不当的配置,甚至根本没有进行检测。
正是由于
传统的安全体系在很大程度上忽略了数据库安全这一主题,使数据库专业人员也通常没有把安全问题当作他们的首要任务。
在安全领域中,类似网页被修改、电脑中病毒、木马、流氓软件、弹出窗口等所造成的经济损失微乎其微,而一旦数据库出现安全风险并被恶意利用所造成的后果几乎是灾难性的和不可挽回的。
由此可见,数据库安全实际上是信息系统信息安全的核心,在这种情况下,有必要采用专业的新型数据库安全产品,专门对信息系统的数据库进行保护。
H
|SMlnformation
LanSecS数据库安全防护系统解决方案
1.2数据库风险分析
凤险名称
风险说明
越权潘用
账号授权不合理*特权用户越权査看、操惟敏感数振
授权管理
权限盗用
逋过玫击手毀锻取权限.访區紀感幻抿
身份验证措施薄弱
只便弔口令腔证•夫使克等脸i正方法
数据屋漏洞
井未对数据庫歉件系统自身躍淞加以弥补•如缓冲区
溢出漏洞等
注入攻击
aitSQL注入攻击,破坏数据库系统或靑盗取敏感信
意
攻击类
拒维服务攻击
大莹隆接、孫度嵌蠶、频帑游问等方式.谴坏Sr搏擁
漿统可用性
违信协讼漏汨
基于通佰协仪的攻击・例如发送超长连接请求.破坏
数据庠握手协议
操作系统漏胡
井未对操乍系统诵拥站以弥补、幻系统甲户权凰
审计类
审计措施不力
开启了数据库自身甫计.但是其详细度.可信麼不足
对于敏感数揺依然采用明文存储.并未逬行期密
存储*m
粉类
缺少安全毎份措施
采用简单复制的手段进行备价
2产品概述
LanSecS数据库安全防护系统,是一款基于数据库协议分析与控制技术的数据库安全防
护系统。
LanSecS数据库安全防护系统基于主动防御机制,实现数据库的访问行为控制、危
险操作阻断、可疑行为审计。
LanSecS数据库安全防护系统是一款集数据库IPS、IDS和审计
功能为一体的综合安全产品。
LanSecS数据库安全防护系统通过SQL协议分析,根据预定义的禁止和许可策略让合法的SQL操作通过,阻断非法违规操作,形成数据库的外围防御圈,实现SQL危险操作的主动
预防、实时审计。
Information
佃必取伍昭则l嗣LanSecS数据库安全防护系统解决方案第3页
LanSecS数据库安全防护系统面对来自于外部的入侵行为,提供防SQL注入禁止和数据—
库虚拟补订包功能;通过虚拟补丁包,数据库系统不用升级、打补丁,即可完成对主要数据库漏洞的防控。
LanSecS数据库安全防护系统支持Oracle、MSSQLServer、DB2MySQLSybase等多种国际主流数据库产品。
能够在不影响数据库原有性能、无需应用进行改造的前提下,提供可靠数据库安全保护服务。
3功能特性
【虚拟补丁】
CVE上公布了2000多个数据库安全漏洞,这些漏洞给入侵者敞开了大门。
数据库厂商会定期推出数据库漏洞补丁,由于数据库打补丁工作的复杂性和对应用稳定性的考虑,大多数企业无法及时更新补丁。
LanSecS数据库安全防护系统提供了虚拟补丁功能,在数据库外的网络层创建了一个安
全层,在用户在无需补丁情况下,完成数据库漏洞防护。
LanSecS数据库安全防护系统
支持22类,460个以上虚拟补丁。
【黑白名单支持】
LanSecS数据库安全防护系统通过学习模式以及SQL语法分析构建动态模型,形成SQL
白名单和SQL黑名单,对符合SQL白名单语句放行,对符合SQL黑名单特征语句阻断。
【细粒度权限管理】
LanSecS数据库安全防护系统对于数据库用户提供比DBMS系统更详细的虚拟权限控制。
控制策略包括:
用户+操作+对象+时间。
在控制操作中增加了UpdateNowhere、deleteNowhere等高危操作;控制规则中增加返回行数和影响行数控制。
【SQL注入禁止】
LanSecS数据库安全防护系统通过对SQL语句进行注入特征描述,完成对SQL注入行为
的检测和阻断。
系统提供缺省SQL注入特征库;系统提供定制化的扩展接口。
【阻断和审计】
阻断动作包括:
中断会话和拦截语句。
审计行为分为:
普通审计和告警审计。
告警通知包括:
syslog、snmp、邮件和短信。
【行为监控与分析】
H
|9RInformation
LanSecS数据库安全防护系统解决方案第4页
LanSecS数据库安全防护系统提供全面详细审计记录,告警审计和会话事件记录,并在此基础上实现了内容丰富的审计浏览、访问分析和问题追踪,提供实时访问仪表盘。
LanSecS数据库安全防护系统通过对捕获的SQL语句进行精细SQL语法分析,并根据SQL
行为
特征和关键词特征进行自动分类,系统访问SQL语句有效“归类”到几百个类别范围内,
完成审计结果的高精确和高可用分析。
4产品价值
4.1完备数据库安全防护
LanSecS数据库安全防护系统提供四大产品核心价值,包括防止外部黑客攻击、防止内部高危操作、防止敏感数据泄漏、审计追踪非法行为。
・通泣煌拟i卜丁耳杭捕疾和爼计闭洞玖+苻为.通过SQL注入特征除捕荻和殂斯SQL注入忏为.
•通过限运更新和删除罷响行、限定无Where的更新和8H除操作,限定drop,trvnw恰爭高危犠作姐免乂灿慎插丈*
防止外部黑客攻击
威胁:
黑客利用Web应用漏洞,进行SQL注入;或以Web应用服务器为跳板,利用数据
库自身漏洞攻击和侵入。
防护:
通过虚拟补丁技术捕获和阻断漏洞攻击行为,通过SQL注入特征库捕获和阻断
SQL注入行为。
防止内部高危操作
H
|$UInformation
圻也曲刊裤时LanSecS数据库安全防护系统解决方案第5页
威胁:
系统维护人员、外包人员、开发人员等,拥有直接访问数据库的权限,有意无意
的高危操作对数据造成破坏。
防护:
通过限定更新和删除影响行、限定无Where的更新和删除操作、限定
drop、truncate等高危操作避免大规模损失。
防止敏感数据泄漏
威胁:
黑客、开发人员可以通过应用批量下载敏感数据,内部维护人员远程或本地批量
导出敏感数据。
防护:
限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间。
审计追踪非法行为
威胁:
业务人员在第三方利益诱惑下,通过业务系统提供的功能完成对敏感信息的访问,
进行信息的售卖和数据篡改。
防护:
提供对所有数据访问行为的记录,对风险行为进行SysLog、邮件、短信等方式的
告警,提供事后追踪分析工具
4.2多种应用模式
数据库审计产品:
提供全面数据库审计能力,符合等保三级需求
数据库入侵防御产品:
接入在应用服务器和数据库服务器之间,防止外部黑客入侵
数据库运维管控产品:
内部数据库运维接口,防止运维人员高危操作和泄漏敏感巴数据
5产品优势
5.1全面入侵阻断
提供业界最为全面的数据库攻击行为检测和阻断技术:
虚拟补丁技术:
针对CVE公布的漏洞库,提供漏洞特征检测技术。
高危访问控制技术:
提供对数据库用户的登录、操作行为,提供根据地点、时间、
用户、操作类型、对象等特征定义高危访问行为。
SQL注入禁止技术:
提供SQL注入特征库。
返回行超标禁止技术:
提供对敏感表的返回行数控制。
SQL黑名单技术:
提供对非法SQL的语法抽象描述。
5.2高度应用兼容
对于ips类产品最重要的是在保持“低漏报率”的同时维护“低误报率”;对于数据库而言这点更为关键,一点点“误报”可能就会造成重大业务影响。
LanSecS数据库安全防护系统提供强大的应用行为描述方法,以对合法应用行为放
行,将误报率降低为“零”。
LanSecS数据库安全防护系统通过语法抽象描述不同类型的SQL语句,规避参数带
来的多样化;通过应用学习捕获所有合法SQL的语法抽象,建立应用SQL白名单库。
5.3快速部署实施
预定义策略模版:
LanSecS数据库安全防护系统提供应用场景、维护场景、混合场
景多种策略模版帮助用户快速建立安全策略。
预定义风险特征库:
通过预定义风险特征库快速建立风险阻断规则。
多种运行模式:
LanSecS数据库安全防护系统提供IPS、IDS运行模式,提供学习
期、学习完善期、保护期三种运行周期,以帮助用户在防火墙建设的不同阶段平滑过渡。
5.4丰富产品系列
产品共分为2大系列,满足不同生产环境和访问压力级别的应用需求。
6典型部署
6.1串联模式
LanSecS数据库安全防护系统支持两种串联模式:
透明网桥模式:
在网络上物理串联接入LanSecS数据库安全防护系统设备,所有用户访问的网络流量都串联流经设备;通过透明网桥技术,客户端看到的数据库地址不变。
代理接入模式:
网络上并联接入LanSecS数据库安全防护系统设备,客户端逻辑连接防火墙设备地址,防火墙设备转发流量到数据库服务器;通过代理接入模式,网络拓扑结构不变。
6.2旁路部署模式
LanSecS数据库安全防护系统设备不直接接入网络,而是通过TAP、SPAN等技术将
网络流量映射到防火墙设备;通过旁路部署模式既不改变网络拓扑,也不在应用链路上增加新的设备点。
6.3混合部署模式
LanSecS数据库安全防护系统支持在一台设备上同时进行串联和旁路两种接入模式,对不同的数据库实例支持IPS和IDS两种运行模式。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- LanSecS 数据库 安全 防护 系统 解决方案
![提示](https://static.bdocx.com/images/bang_tan.gif)