尹勁梅

摘要：數(shù)據(jù)庫安全作為信息安全的重要組成部分，已經(jīng)越來越廣泛的引起重視。如何建立一個安全的數(shù)據(jù)保障體系以確保信息安全可控也是眾多專業(yè)人士研究的方向。通過堡壘機對數(shù)據(jù)庫進行安全防護是目前發(fā)展的一個主流方案。本文旨在探討，如果通過堡壘機的運作從而建設(shè)一個相對安全穩(wěn)定的數(shù)據(jù)庫環(huán)境。

關(guān)鍵詞：堡壘機；數(shù)據(jù)庫；安全

中圖分類號：TP311 文獻標(biāo)識碼：A 文章編號：1009-3044（2015）22-0001-02

Abstract： Database security， as one of the most important component in information security， has caused a widely public attention.How to establish a safety data security system as to ensure the information security system is one of the direction of research by many professionals. The database security is maintained through bastion host，which is the mainstream solution nowadays. This paper mainly study how to creat a safety database security system by bastion host.

Key words： Access Gateway； Database； Safety

1什么是堡壘機

堡壘機，作為一種新型的網(wǎng)絡(luò)安全防御機制。主要是在網(wǎng)絡(luò)中通過以網(wǎng)絡(luò)環(huán)境監(jiān)控，數(shù)據(jù)流分析，入侵行為檢測等手段建立的一個安全可控的環(huán)境。從而達到保障網(wǎng)絡(luò)穩(wěn)定和數(shù)據(jù)安全的目的。相對于傳統(tǒng)的網(wǎng)絡(luò)防火墻等設(shè)備，他具有更高級別的安全管控能力，對于未知的入侵攻擊具有較好的防御效果。

2堡壘機的原理和功能

堡壘機的工作原理主要是阻斷網(wǎng)絡(luò)和服務(wù)器設(shè)備對數(shù)據(jù)庫的直接訪問。通過協(xié)議代理的方式，對所有的方案和操作行為進行分析和過濾，從而保證了可信的數(shù)據(jù)訪問和操作被放行，不可信或被懷疑的攻擊行為將被過濾和攔截。

堡壘機的主要功能包括兩個大的方面，即：核心系統(tǒng)運維和安全審計管控。

核心系統(tǒng)運維即類似于防火墻的角色，所有的操作和訪問將被堡壘機所監(jiān)控和過濾，對不合法的命令進行阻斷，對目標(biāo)設(shè)備的非法訪問將被過濾，同時對所有的操作和訪問行為進行記錄，以備故障發(fā)生后的行為追責(zé)。其主要功能包括：單點登錄、賬號管理、身份認證。

單點登錄：當(dāng)用戶需要登錄到一個大型的業(yè)務(wù)系統(tǒng)時，只要在一個門戶系統(tǒng)中輸入用戶名和密碼，即可無需驗證的登錄到別的與此系統(tǒng)相互信任的業(yè)務(wù)系統(tǒng)。而此功能在堡壘機中的體現(xiàn)即對于堡壘機的各個業(yè)務(wù)系統(tǒng)以及所有堡壘機管控的數(shù)據(jù)庫系統(tǒng)，用戶只要在單點登錄系統(tǒng)中登錄一次，就可以等同于登錄全部系統(tǒng)的工作，而無需記錄眾多系統(tǒng)的登錄密碼，大大減輕了使用者的工作壓力。

賬號管理：基于單點登錄功能，對所有使用者的賬號在生命周期內(nèi)進行統(tǒng)一監(jiān)控?？梢曰诮巧脑O(shè)定每個使用者賬號的功能和權(quán)限。

身份認證：基于單點登錄功能，提供統(tǒng)一的身份認證功能接口。支持多重模式（動態(tài)口令，靜態(tài)密鑰，硬件密鑰，生物特征識別等）的驗證方式。并且可以通過接口與第三方認證設(shè)備進行對接，具有很高的安全性和可靠性。

安全審計管控主要是指所有對于數(shù)據(jù)庫的操作需要登錄堡壘機來進行。通過用戶名密碼等手段提升安全等級。通過后臺對登錄用戶的行為記錄從而保證風(fēng)險可控以及事后溯源。其主要功能包括：資源授權(quán)、訪問控制、操作審計等。

資源授權(quán)：是指對堡壘機所管轄的資源按照用戶、目標(biāo)設(shè)備、時間、協(xié)議類型、IP行為等要素實現(xiàn)精細化的操作授權(quán)，從而達到最大限度保護用戶資源安全的目的。

訪問控制：作為堡壘機的核心功能，能夠按照資源授權(quán)的定義，對所有登錄用戶的操作進行控制。不同的用戶按照設(shè)定只可以對獲得授權(quán)的資源進行訪問和操控。能夠有效的杜絕非法訪問，越權(quán)訪問等事件的發(fā)生，從而最大限度的保護用戶資源的安全性。

操作審計：即對堡壘機所管控設(shè)備的操作進行審計。通過對設(shè)備錄像的方式將實施人員對操作系統(tǒng)，安全設(shè)備，網(wǎng)絡(luò)設(shè)備，數(shù)據(jù)庫等所做的操作進行記錄，從而進行風(fēng)險控制。并可通過對具體操作指令的搜索，完成記錄的精準(zhǔn)定位。

3為什么要部署堡壘機

隨著信息化的不斷發(fā)展，信息安全的威脅也在持續(xù)增長。根據(jù)統(tǒng)計：目前100%的企業(yè)存在數(shù)據(jù)安全的威脅。82%的企業(yè)存在數(shù)據(jù)泄露的風(fēng)險。75%企業(yè)存在系統(tǒng)和應(yīng)用程序的漏洞。眾多的企業(yè)還未對數(shù)據(jù)訪問行為進行審計監(jiān)控，并且無法及時對于黑客的入侵行為做出應(yīng)對措施。同時，系統(tǒng)的安全問題也越發(fā)的日益突出。而我們已有的安全防護體系包括（防火墻、IPS、IDS、WAF、防病毒、漏洞掃描等）都只能對已知的漏洞和一直存在的木馬來進行防護。而攻擊者仍然可以利用未知的或未廣泛擴散的漏洞、Oday漏洞控制肉雞進而竊取機密數(shù)據(jù)。

其中主要威脅和攻擊方式包括：

“零日攻擊”：又叫零時差攻擊，即指在安全漏洞被發(fā)現(xiàn)后，立刻被用于攻擊。因為安全漏洞在被公布的同時，攻擊程序就同時出現(xiàn)。大多數(shù)的安全系統(tǒng)還未完成系統(tǒng)補丁或者升級，故而完全無法抵御此類的攻擊，往往引起大規(guī)模的故障。

“APT攻擊”：高級持續(xù)性威脅，即以竊取核心資料為目的，針對目標(biāo)所發(fā)動的網(wǎng)絡(luò)攻擊和侵襲行為。這種攻擊具有極高的針對性。通過長期而穩(wěn)定的監(jiān)控，分析被攻擊網(wǎng)絡(luò)的結(jié)構(gòu)，尋找系統(tǒng)可能存在的漏洞。以竊取特定資料為目的的持續(xù)性的侵襲行為。此類攻擊具有很高的隱蔽性，且會給被攻擊者造成極為巨大的損失。

“SQL注入攻擊”：一種常用的網(wǎng)絡(luò)攻擊方式，基于web層面沒有對于用戶輸入數(shù)據(jù)的合法性做出判斷，從而導(dǎo)致黑客可以通過漏洞直接入侵后臺的數(shù)據(jù)庫。此類攻擊種類繁多，難以禁絕。

基于以上種類繁多且防不勝防的不安全因素，如何解決傳統(tǒng)設(shè)備只能應(yīng)對已知威脅的缺陷是我們急需解決的問題。通過堡壘機的部署我們可以做到對已知和未知危險準(zhǔn)確、高效、及時的判斷和阻斷，以此解決數(shù)據(jù)庫不同層面的網(wǎng)絡(luò)安全問題，主要包括：

1）基于網(wǎng)絡(luò)的數(shù)據(jù)庫防護：通過對網(wǎng)絡(luò)IP地址及協(xié)議端口的分析來控制阻斷遠程數(shù)據(jù)庫所在的操作等行為，防止未授權(quán)的系統(tǒng)層面的直接入侵行為，解決了操作系統(tǒng)層面的數(shù)據(jù)泄露威脅。

2）基于行為的數(shù)據(jù)庫防護：采用流會話技術(shù)對數(shù)據(jù)庫協(xié)議進行協(xié)議全解析，能夠高效、精準(zhǔn)、及時的預(yù)警并阻斷內(nèi)部違規(guī)數(shù)據(jù)庫操作行為。

3）基于準(zhǔn)入的數(shù)據(jù)庫防護：通白名單自動學(xué)習(xí)并進行訪問準(zhǔn)入規(guī)則的固化（通過自動學(xué)習(xí)到數(shù)據(jù)庫訪問行為的五個元素，管理者人為固化安全規(guī)則），未被固化的數(shù)據(jù)庫接入行為都會被實時的預(yù)警和阻斷會話（訪問源地址異常，訪問源主機名稱異常，訪問源用戶名稱異常，訪問工具名稱異常，登錄賬號名稱異常），從根本上解決數(shù)據(jù)庫惡意訪問的 威脅。

4）基于業(yè)務(wù)的數(shù)據(jù)庫防護：采用流會話技術(shù)對業(yè)務(wù)SQL設(shè)計的關(guān)鍵字、邏輯關(guān)系等特征自動采樣學(xué)習(xí)，并結(jié)合高性能的SQL語義分析計算，構(gòu)建對應(yīng)的SQL語法樹，完成模態(tài)數(shù)據(jù)建模。從而對未知威脅進行分析和處理，并追蹤到攻擊源，從根本上解決三層業(yè)務(wù)系統(tǒng)訪問的安全威脅。

4如何部署堡壘機

堡壘機作為一種網(wǎng)絡(luò)安全防護設(shè)備，必須直接串聯(lián)部署在被防護設(shè)備的物理鏈路上，從而保證可以高效的對網(wǎng)絡(luò)攻擊進行阻斷。但是，串聯(lián)設(shè)備的物理特性決定了為了避免單點鏈路故障，堡壘機必須具備完整的無感知的ByPass功能（bypass，是指通過設(shè)定觸發(fā)狀態(tài)，讓兩個網(wǎng)絡(luò)不通過故障設(shè)備而直接實現(xiàn)物理上的聯(lián)通，當(dāng)功能啟動后，設(shè)備也就不會再對通過的數(shù)據(jù)包做處理）。從而保證在設(shè)備故障或負載超負荷時能夠啟動旁路，保證正常業(yè)務(wù)的運行。如圖所示：

5綜述

數(shù)據(jù)庫作為現(xiàn)今信息社會的核心，正所謂“設(shè)備有價，數(shù)據(jù)無價”。如何在網(wǎng)絡(luò)時代確保數(shù)據(jù)的安全性已經(jīng)越發(fā)的引起專業(yè)人士的關(guān)注。堡壘機作為一種新型的網(wǎng)絡(luò)安全防御機制，極大的解決了數(shù)據(jù)庫應(yīng)用層防護所面臨的問題。通過對數(shù)據(jù)庫操作持續(xù)性的跟蹤和智能識別分析未授權(quán)的或者可疑的活動，并及時處理。從而避免數(shù)據(jù)庫遭到攻擊所可能帶來的損失。同時，堡壘機可以被視作為一個數(shù)據(jù)庫管家的存在。通過堡壘機將所有需要管理的數(shù)據(jù)庫納入統(tǒng)一的保護。按照不同用戶管理權(quán)的區(qū)分，分別對不同的數(shù)據(jù)庫以及每個數(shù)據(jù)庫用戶的權(quán)限的劃分來進行操作授權(quán)。管理員只需要登錄堡壘機就可以完成所管理的數(shù)據(jù)庫群的安全配置工作，極大的減輕了管理員的工作量，提升了工作效率。堡壘機的部署增進了用戶對數(shù)據(jù)庫安全管理的便捷性，還能提升用戶的風(fēng)險管控和法規(guī)遵從能力，成為數(shù)據(jù)庫的“保護傘”。

參考文獻：

[1]楊祥.組合電磁攻擊干擾下的入侵檢測模型仿真分析[J].計算機仿真，2014（11）：310-314.

[2] 王彥文.數(shù)據(jù)庫審計系統(tǒng)是客戶信息保護的利器[J].無線互聯(lián)科技，2014（6）.

[3] 馮劍蕾，蔡立晶，周期律.商業(yè)銀行客戶信息保護策略研究[J].金融科技時代，2014（6）.