1、會計學1數據庫安全解決方案介紹數據庫安全解決方案介紹第1頁/共52頁3第2頁/共52頁“Imperva is helping us protect the security and privacy of customer data, and gain unprecedented visibility into who is accessing this critical operational system.”第3頁/共52頁Imperva exceeds IDCs viability assessment for strategic direction, growth and market

2、potential. (Feb 2010)Some DAM vendors take an enterprise wide view of all data structured and unstructured that exists in the core of the typical enterprise and addresses the protection of that data throughout its life, including identification, risk assessment, access controls and controls enforcem

3、ent across all data storage platforms. This approach is best characterized by Impervas offering, which considers DAM as a component of a data protection and risk management function.” Jeff Wheatman, June 2010“The product set makes a strong case for itself as a leading contender in this market space.

4、” (April 2010) “Imperva is the leader in the stand alone WAF market.”(Feb 2010)第4頁/共52頁6Imperva Imperva SecureSphereSecureSphereData Security SuiteData Security Suite訪問審計訪問控制權限管理攻擊保護名譽機制控制虛擬補丁HackersInsiders第5頁/共52頁7第6頁/共52頁8第7頁/共52頁9第8頁/共52頁- CONFIDENTIAL -10設定策略和控制 自動和快速的設定策略 靈活的根據應用變化而變化 根據實際情況進行

5、配置策略和控制監控和執行 保證權限分離 保證最終用戶的行為可被記錄 記錄所有的訪問細節 提供各個層面的安全保護 實時的告警/阻塞衡量報告 內置的合規性報告 方便的數據查找 安全事件的詳細分析現狀評估 根據標準和最佳實踐測試數據庫是否合理配置 評估固有的安全隱患 發現誰在使用數據庫、他們在 干什么IMPERVA提供數據安全提供數據安全整個生命周期整個生命周期的完整解決方案的完整解決方案第9頁/共52頁11現狀評估第10頁/共52頁12自動發現服務器和關系數據庫系統(RDBMS）:是否有沒有授權的服務器被臨時被架設在個人電腦上有復制的數據庫系統沒有授權的服務 (Web, SOA)自動發現敏感數據個

6、人信息(email, SSN)財務數據(CC numbers) 其他信息(system userid, password.)分類和校驗敏感數據:例如: 并不是所有的9 位數字 都是敏感的內容:Zip+4SSNAccount number.現狀評估：服務器, 數據庫和數據的發現第11頁/共52頁13第12頁/共52頁14Regulations ( Few )Databases ( Tens )Applications ( Hundreds)Users ( Hundreds To Thousands )TablesObjects ( Thousands )Constant Changes !一個精

7、確的使用模型必須研究成千上成千上萬個動態元素萬個動態元素 用戶元素源應用，工作計劃，IP地址行為方式SQL查詢，SQL表，存儲過程，等等如果是手工來建模太復雜了太復雜了一個基于行為模型的解決方案必須可一個基于行為模型的解決方案必須可以以 持續的創建和更新持續的創建和更新 用戶的行為模型用戶的行為模型，而無需人工干預，而無需人工干預!動態建模Dynamic Profiling第13頁/共52頁15基于用戶的使用模型基于每一個DB用戶或者DB用戶組來生成DB & schemas 的訪問情況對象的查詢標亮敏感數據和黑名單對象的訪問DML 操作情況用戶模型將完整的反應用戶的使用習慣源IP地址和用戶使用

8、的應用程序操作系統的系統賬號Web usage profile第14頁/共52頁16設定策略和控制Scope第15頁/共52頁17 策略類型OS Level Protection 防火墻規則 網絡協議簽名RDBMS Level Protection RDBMS 系統管理 操作 (DDL, DCL) 審計特權賬號活動Data Level Protection 應用簽名 關聯規則 動態建模 規則 用戶活動審計 (DML)設定策略和控制第16頁/共52頁18提供豐富的預定義安全策略和審計策略列表自定義策略，完全可滿足用戶的各種自定義需求 第17頁/共52頁19Regulations ( Few )D

9、atabases ( Tens )Applications ( Hundreds)Users ( Hundreds To Thousands )TablesObjects ( Thousands )Constant Changes !動態建模Dynamic Profiling設定策略和控制：持續更新的策略 Dynamic Profiling 策略環境持續變化提供精準的用戶模型策略精準的用戶模型策略 監控每一種元素的變化: 網絡、應用、schemas、對象、用戶等等無需人工創建無需人工創建動態建模動態建模Dynamic Profiling 持續持續 創建創建和更新，和更新，無需人工干預無需人工干

10、預!第18頁/共52頁20設定策略和控制動態建模 Dynamic Profiling自動跟蹤各種變更 為用戶將部署策略時間從幾個月縮短到幾天減輕了持續維護的負擔每周5-15個變更意味著 5-30 人小時的維護工作DEPLOYMENT DAYSPROFILE CHANGES學習應用和數據的使用適應應用的持續變化第19頁/共52頁21監控和執行ScopeTamper-Proof Audit TrailReal-Time ProtectionMonitor第20頁/共52頁22QA監控和執行：SecureSphere 數據庫監控方法 通過檢查 網絡上的實時數據流量網絡上的實時數據流量 通過網關或者a

11、gents 捕獲捕獲 所有到達數據庫的網絡流量 (每個網關最大可分析 2GBps 流量!) 可分析網絡協議，獲取 SQL 命令命令:DML, DDL, TCL, DCL 命令, 存儲過程調用, 綁定參數等等. 也可以通過分析TCP數據包，發現針對 OS 和和 RDBMS 操作的攻擊s: 蠕蟲, DoS 攻擊，等等.第21頁/共52頁23No real user KWEnd-to-end real userKLimited real user KWSELECT WHERE ID = Shared & dedicated DB user connectionsEnd-to-end real use

12、rKSELECT WHERE ID = 第22頁/共52頁24第23頁/共52頁25第24頁/共52頁26What are the complete details?第25頁/共52頁When?Where?Who?完整的審計記錄完整的審計記錄What?How?第26頁/共52頁Alex通過通過Web表當獲取用戶信息表當獲取用戶信息Alex通過企業應用獲取用戶信息通過企業應用獲取用戶信息(from SQL Stream)ID = AlexAlexROOT捕獲共享賬號后的真實用戶信息捕獲共享賬號后的真實用戶信息第27頁/共52頁29MarkMarkMarkMark數據庫相應內容數據庫相應內容第28

13、頁/共52頁30MarkMarkMarkMarkOrder in responseResponse Data第29頁/共52頁31第30頁/共52頁32衡量報告第31頁/共52頁33衡量報告：內建報告模板More examples第32頁/共52頁34提供實時審計數據的全面分析功能提供了最終審計數據的分布和趨勢情況分析視圖幫助用戶分析審計結果系統管理視圖和統計信息第33頁/共52頁35第34頁/共52頁36More detailsSecureSphere可集成多種第三方安全解決方案，構成更為有效的安全生態環境第35頁/共52頁- CONFIDENTIAL -37設定策略和控制 自動和快速的設定

14、策略 靈活的根據應用變化而變化 根據實際情況進行配置策略和控制監控和執行 保證權限分離 保證最終用戶的行為可被記錄 記錄所有的訪問細節 提供各個層面的安全保護 實時的告警/阻塞衡量報告 內置的合規性報告 方便的數據查找 安全事件的詳細分析現狀評估 根據標準和最佳實踐測試數據庫是否合理配置 評估固有的安全隱患 發現誰在使用數據庫、他們在 干什么IMPERVA提供數據安全提供數據安全整個生命周期整個生命周期的完整解決方案的完整解決方案第36頁/共52頁第37頁/共52頁39Light host-based agentsSwitchSecureSphereData CenterSecureSpher

15、eINTERNETInline deploymentSniffing mode deploymentWAF deployment第38頁/共52頁E-Business Suite第39頁/共52頁產品型號產品型號X2500X4500X6500吞吐量500Mb/Sec1Gb/Sec2Gb/Sec硬盤2*500MB2*1TB2*1TB尺寸2U2U2U部署模式旁路，橋接旁路，橋接旁路，橋接最大偵聽接口數599最大橋接網段數244管理接口111高可靠性故障短接(Fail Open), IMPVHA, VRRP故障短接(Fail Open), IMPVHA, VRRP故障短接(Fail Open), I

16、MPVHA, VRRP集成管理模塊有有無硬件冗余可選可選有第40頁/共52頁42第41頁/共52頁43SQL Server Magazine Editors Best Award“SecureSphere gives you complete visibility and control over your database applications”Techworld 2008 Network Application Product of the Year“SecureSphere has been named winner for Network Application Product o

17、f the Year”Editors Choice: Database Extrusion Prevention“Right from the start, Imperva impressed us with its plethora of features”Imperva Wins eWEEK Excellence Award“Imperva SecureSpheres in-line protection for both Web applications and communications with back-end databases is simply unmatched.”Imp

18、erva Wins WAF Shoot-Out“Imperva is the closest thing to a silver bullet for application security”Editors Choice Web Application Firewalls“From beginning to end, Imperva SecureSphere is our kind of WAF”Rolling Review: Well-Rounded Data Protection“SecureSphere is a solid product. It is quick to learn user behavior, and it handily blocks known attacks”Security Magazine Readers Choice Award“SecureSphere scored well in every criteria: granularity of access controls scalability and management.