安恒信息电信7行业数据库安全审计解决方案.doc

电信行业数据库安全审计解决方案库临战 当今的电信企业在IT信息安全领域面临比以往更为复杂的局面，这既有来自于电信企业外部的层出不穷的入侵和攻击，也有来自 于电信企业内部的违规和泄漏。由于电信业务系统众多(如：OSS、BSS、MSS、销账、EIP、OCS、财务、营销支撑、计费结算等)，数据库用户较 多，涉及数据库管理员、内部员工、营业厅及合作方人员等，因此网络管理更加复杂，电信数据库面临的主要安全威胁与风险总结如下： 库账户滥用 库审计陷 库业务统联析 库问题 统运维隐患 同时中国电信《CTG-MBOSS 安全规范总册》、《企业内部控制规范----基本规范的内部审计机制》以及《电信网与互联网安全等级保护实施指南》、《移动通信网安全防护要求》的相关要求，安全审计是必不可少的一项。 案 安恒信息根据电信用户实际需求进行分析得出，从业务连续性及整体性的安全角度出发建设电信行业的数据库审计平台并结合专业的安全服务，能够为电信用户的数据库安全提供强有力的技术支撑和安全保障。平台部署如下图： 整个审计平台主要解决了以下几个方面内容： 态审计实现库隐审计 数据库静态审计的目的是代替繁琐的手工检查,预防安全事件的发生。依托其权威性的数据库安全规则库，自动完成对几百种不当的数据库不安全配置、潜在 弱点、数据库用户弱口令、数据库软件补丁、数据库潜藏木马等等静态审计，通过静态审计，可以为后续的动态防护与审计的安全策略设置提供有力的依据。 库实时审计库细审计 细审计对访问进监控 实现针对帐户对库访问监测审计 对库临时帐户审计监测审计 针对访问审计监测 详细库审计记录统计 实现库监测报警 补库统审计陷 过垒实现对远为监测 堡垒主机-基于网络、透明方式工作，不影响网络结构和业务系统，可以对操作进行回放和检索查询，并提供开放的数据和管理接口，帮助构建全面的审计平台，对所有远程操作维护实现了全面的审计。 统库进联，为溯 在三层或多层的应用架构中，用户通过WEB服务器实现对数据库的访问，传统的数据库审计系统只能审计到WEB 服务器的相关信息，无法识别是哪个原始访问者发出的请求。明御应用及数据库深度防御审计系统通过应用层访问和数据库操作请求进行多层业务关联审计，实现访 问者信息的完全追溯，包括：操作发生的URL、客户端的IP、请求报文等信息，通过多层业务关联审计更精确地定位事件发生前后所有层面的访问及操作请求， 使管理人员对用户的行为一目了然，真正做到数据库操作行为可监控,违规操作可追溯。 安全服务内容： 本着准确、深度、全面地专业精神，结合现场安全检查、远程漏洞扫描、配合渗透测试、黑白盒检测等多种安全评估手段，有效发现当前系统中存在的安全隐 患，并结合其丰富的安全经验和专业的安全服务技术，对所存在的安全问题进行了点对点的技术整改和安全加固。有效地解决了电信业务系统及数据库存在的安全漏 洞，有效防范了不法分子进行恶意攻击和入侵。 优势 过对电业务统库评检查，临隐，恶击。 过对库远审计电业临库隐； 过库业务审计，应库,实现户实时审计； 过专业术,实现对护,恶、误、恶； 过监,实现对统护； 专业(中国电CTG-MBOSS、级护、SOX、ISO、PCI)详、、规审计； 规，电业。 　　小故事3、老人与黑人小孩子 　　一天，几个白人小孩在公园里玩。这时，一位卖氢气球的老人推着货车进了公园。白人小孩一窝蜂地跑了上去，每人买了一个气球，兴高采烈地追逐着放飞的气球跑开了。白人小孩的身影消失后，一个黑人小孩怯生生地走到老人的货车旁，用略带恳求的语气问道：“您能卖给我一个气球吗?” 　　“当然可以，”老人慈祥地打量了他一下，温和地说，“你想要什么颜色的?” 　　他鼓起勇气说：“我要一个黑色的。” 　　脸上写满沧桑的老人惊诧地看了看这个黑人小孩，随即递给他一个黑色的气球。 　　他开心地接过气球，小手一松，气球在微风中冉冉升起。 　　老人一边看着上升的气球，一边用手轻轻地拍了拍他的后脑勺，说：“记住，气球能不能升起，不是因为它的颜色，而是因为气球内充满了氢气。” 　　大道理：成就与出身无关，与信心有关。这个世界是用自信心创造出来的。有自信，积极的面对自己所拥有的一切，这种积极和自信会帮助人登上成功的山顶。 　　小故事4、囚禁的章鱼 　　一只章鱼的体重可以达70磅。但是，如此庞大的家伙，身体却非常柔软，柔软到几乎可以将自己塞进任何想去的地方。 　　章鱼没有脊椎，这使它可以穿过一个银币大小的洞。它们最喜欢做的事情，就是将自己的身体塞进海螺壳里躲起来，等到鱼虾走近，就咬断它们的头部，注入毒液，使其麻痹而死，然后美餐一顿。对于海洋中的其他生物来说，它可以被称得上是最可怕的动物之一。 　　但是，人类却有办法制服它。渔民掌握了章鱼的天性，他们将小瓶子用绳子串在一起沉入海底。章鱼一看见小瓶子