安全審計打造固若金湯的數(shù)據(jù)堡壘(四)
之前我們已經(jīng)了解安全審計打造固若金湯的數(shù)據(jù)堡壘系列文章（一），（二），（三）的部分了。第四本分我們還將繼續(xù)為您介紹安全審計方面的內(nèi)容，包括審計特權(quán)、用戶、登錄定義和其它安全特性的變更等內(nèi)容。
審計特權(quán)、用戶、登錄定義和其它安全特性的變更
這類審計對于數(shù)據(jù)庫的審計來說是必須的；你必須對數(shù)據(jù)庫安全和特權(quán)的任何變更維持一套完整的審計記錄。數(shù)據(jù)庫管理著安全、許可、變更的復(fù)雜規(guī)劃，在安全問題中的首要規(guī)則是，必須審計安全形勢的任何變更。考慮審計下面的這些變更：
1、增加和刪除用戶、登錄、角色等
2、登錄和用戶(角色)之間的映射關(guān)系發(fā)生變更
3、特權(quán)變更（無論是由用戶還是由角色引起的）
4、口令變更
5、在服務(wù)器、數(shù)據(jù)庫、語句或?qū)ο笏缴蠈Π踩珜傩缘淖兏?/p>
由于數(shù)據(jù)庫內(nèi)的安全模式是一個入口，所以必須審計對特權(quán)和許可的任何變更。攻擊者會經(jīng)常提升其特權(quán)水平，而且在管理員提供了錯誤的許可、授權(quán)后也經(jīng)常出現(xiàn)錯誤。因而，對可能影響數(shù)據(jù)庫安全狀況的所有變更都進行完整的審計，就如同將監(jiān)視攝像機放置在大樓的入口處一樣，必須審計登錄憑證是否發(fā)生變化。
安全許可的變更對數(shù)據(jù)庫極其重要，僅依賴于每天的比較是不夠的，應(yīng)該選擇實時變更通知,即實時審計那些沒有在生產(chǎn)環(huán)境中提前規(guī)劃的變更。這意味著你應(yīng)當使用一種外部的數(shù)據(jù)庫安全和審計系統(tǒng)，或者使用內(nèi)置的數(shù)據(jù)庫機制所生成的審計線索來構(gòu)建實時的警告。
如果你打算自己實施這種系統(tǒng)，就需要捕獲相關(guān)事件，然后構(gòu)建警告框架。例如，下表顯示了可用于SQL Server的相關(guān)事件。
在DB2中，SECMAINT是六類審計之一，在授權(quán)和撤消對象或數(shù)據(jù)庫特權(quán)時，或者在許可和撤消DBADM權(quán)限時，會生成記錄。在修改數(shù)據(jù)庫管理員的安全配置參數(shù)（SYSADM_GROUP、SYSCTRL_GROUP、 SYSMAINT_GROUP）時，也會生成記錄。下表列示了一些可能的SECMAINT的特權(quán)或授權(quán)：
在這種情況下，你可以建立一組希望用于跟蹤的命令。如下圖所示。
然后將規(guī)則（相關(guān)規(guī)則顯示在下圖中）添加到策略中，在使用這種命令時向安全管理人員發(fā)出警告。策略中的規(guī)則確保了安全管理人員能收到關(guān)于這種命令的警告，但即使沒有規(guī)則，你仍能獲得完整的審計線索，這種線索包括用戶組中發(fā)生的任何命令。
審計數(shù)據(jù)庫鏈接以及數(shù)據(jù)庫副本的創(chuàng)建、變更、利用
與前面幾種審計不同，對鏈接、同義詞或昵稱的審計以及對創(chuàng)建副本過程的審計都表明，定期析出和比較數(shù)據(jù)已經(jīng)足夠了。雖然你有三個選擇：比較快照，使用數(shù)據(jù)庫的內(nèi)部審計機制，使用外部審計和安全系統(tǒng)。但實際上，使用diff這個小工具就足以應(yīng)對。這種情形下，你只需一段能夠查詢這些定義的腳本，并將這些定義放在一個可用于與未來的某天進行比較的文件中。
如果你喜歡使用內(nèi)部的數(shù)據(jù)庫審計機制或使用外部的審計系統(tǒng)，就得將這些審計線索建立在對象和命令上。在多數(shù)數(shù)據(jù)庫環(huán)境中，沒有專門的副本和鏈接的審計功能。不過，你仍有許多特定的審計對象和命令。例如，你可以使用與副本有關(guān)的SQL Server對象。
【編輯推薦】
