点击图片查看原图
1. 产品概述
随着信息化建设的不断发展，IT安全建设的重点已经从传统的网络安全、系统安全、应用安全等领域，转向了如何加强IT系统核心的数据库安全防范，传统的基于端口进行应用识别和访问控制的防火墙，以及基于特征匹配技术的IPS/IDS产品无法满足数据库安全的需求。
中安星云数据库防火墙是针对数据库安全需求应运而生的一种数据库安全主动防御产品，数据库防火墙部署于应用服务器和数据库之间。用户必须通过该系统才能对数据库进行访问或管理。数据库防火墙所采用的主动防御技术能够主动实时监控、识别、告警、阻挡绕过企业网络边界（FireWall、IDS/IPS等）防护的外部数据攻击、来自于内部的高权限用户（DBA、开发人员、第三方外包服务提供商）的数据窃取、破坏、损坏等，从数据库SQL语句精细化控制的技术层面，提供一种主动安全防御措施，并且，结合独立于数据库的安全访问控制规则，帮助用户应对来自内部和外部的数据安全威胁。
2. 产品优势
l 高性能的硬件平台
采用国际领先的、最适合数据库防火墙产品特性的硬件平台，借助多路并行总线技术可提供国内最高的处理能力，通过端口高速转发技术实现毫秒级的延迟。
l 全面的安全防护
提供访问控制、攻击防护、状态检测等功能。能够实时检测出用户对数据库进行的SQL注入和缓冲区溢出攻击，替换或者阻断高危SQL语句并报警，同时可以详细的审计攻击操作发生的时间、来源IP、登录数据库的用户名、攻击代码等详细信息。
l 细粒度权限控制
具备细粒度的权限控制功能，可通过IP、SQL语句，操作时间、客户端、关键字等条件制定相应的黑白名单规则，对于匹配黑名单策略的访问操作进行阻断，报警，对于匹配白名单的访问予以放行，从而保障数据库安全稳定的运行。
l 智能的安全基线
具备智能学习的功能，可以自动学习数据库访问行为，评估访问风险。并可将用户的各种使用活动比对安全基线（模型）信息，从而在发现未授权的使用行为或者异常的访问活动时实时发出警告并阻断，从而减轻了管理人员定义策略的负担，增加了防御攻击的准确性。
l 系统可靠性保障
数据库防火墙产品关键部件均采用冗余设计，支持双机热备，软硬件bypass等可靠性技术，确保系统在各种未知的突发情况发生时，能够快速切换至正常状态，保证整个网络的稳定安全。
l 强大的网络适应性
数据库防火墙产品具备强大的扩展能力可支持千兆、万兆接口扩展。产品采取透明串联部署的方式直接部署于数据库的前端，部署简单，且无需改变原先的IP规划。
l 方便安全的远程管理
采用B/S架构，内建HTTP服务器，提供中英文WEB管理界面，管理员可通过HTTPS方式进行管理，同时系统采取三权分立的账户管理模式，实现安全管理员，系统管理员与安全审计员权限分离，满足相关法案法规要求。
3. 主要功能
|
技术优势 |
功能价值 |
|
部署灵活 |
支持透明、旁路等部署模式 |
|
扩展能力 |
可支持千兆、万兆接口扩展，支持丰富的功能扩展 |
|
数据库类型 |
支持Oracle、MSSQL、DB2、Sybase、Informix、MYSQL、人大金仓、神通、达梦等主流数据库 |
|
细粒度权限控制 |
可对日志进行细粒度解析，支持数据库操作(DM)、对象管理(DD)、控制(DC)等操作语句的解析，解析后的日志记录至少包括访问发生时间、客户端IP地址、客户端MAC、终端程序、访问账号、访问数据库名、操作表名、SQL语句、数据库响应时间以及返回结果等信息。对于不符合安全策略的操作进行阻断告警 |
|
安全管理 |
支持基于WEB方式的远程管理方式，采用HTTPS进行安全加密的配置管理，提供管理员权限设置和分权管理，提供三权分立功能，具有自身安全审计功能 |
|
白名单 |
在白名单中的账户、IP、SQL语句等访问数据库完全放行 |
|
黑名单 |
在黑名单中的账户、IP、SQL语句等无法访问数据库 |
|
例外规则 |
指定某个特定账户、IP、SQL语句等不执行黑名单或者白名单策略 |
|
正则表达式规则 |
对符合正则表达式规则的SQL语句，按照规则设置的相应风险等级进行审计，并根据规则，决定是否进行阻断 |
|
关键字规则 |
对具有关键字规则设置的关键字的SQL语句，按照规则设置的相应风险等级进行审计，并根据规则，决定是否进行阻断 |
|
智能学习 |
学习数据库访问行为，自动建立访问模型 |
|
阻断攻击 |
对有权限访问数据库的账户进行SQL语句级别的访问控制，确保账户无法对数据库实行超出其权限的风险操作 |
|
访问控制 |
通过IP、MAC、时间段、账户名等参数对访问数据库的行为进行授权 |
|
邮件报警 |
对于风险语句以及磁盘容量达到阀值，可通过电子邮件的方式及时通知管理员，进行报警 |
|
日志报表 |
系统内置大量合规报表，并支持自定义报表，支持通过IP地址、用户名、操作类型、关键词、时间等基本条件查询事件 |
|
状态监控 |
系统监控主界面可以显示系统磁盘空间、内存使用率、CPU使用率信息，可以看到网卡工作状态 |
|
可靠性 |
关键部件采用冗余设计、支持双机热备等可靠性技术 |
4. 应用场景
在线透明部署：
通过在线透明的部署方式串接在数据库前，对数据库进行访问控制；并具有软硬件Bypass功能，保障网络的高可用性。