1 前言
1.1. 数据库管理员行为审计的必要性
数据库是任何商业和公共安全中最具有战略性的资产，通常都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其他非法者获取。互联网的急速发展使得企业数据库信息的价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：
管理层面：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。
技术层面：现有的数据库内部操作不明，无法通过外部的任何安全工具(比如：防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。
审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。
伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。
针对数据库环境中普遍遇到的与安全、管理相关的问题，如何设计一套集约化管理，且行之有效的数据库运维管控平台，既能满足运维人员日常的高效率运维工作，也能符合银行的合规制度及高安全性要求，逐渐成为了IT管理者关注的议题。
1.2. 基于虚拟化的数据库管理员行为审计运维平台的优势
基于虚拟化的数据库管理员行为审计运维平台具有以下各方面的优势：

1) 运维客户端零数据驻留

2) 运维客户端程序统一集中部署

3) 安全性

4) 操作审计、行为追溯、行为分析

5) 灵活高效

综上所述，采用基于基于虚拟化的数据库运维平台能够大大减轻IT人员的运维难度及压力，加快新运维工具环境的部署速度，提高信息安全、审计水平，是提高运维团队工作效率，降低运维成本的利器。

 
2 基于虚拟化的安全运维平台架构
我们建议数据库安全运维平台采用基于虚拟机的虚拟桌面和虚拟应用的部署方案。网络环境划分成三个部分：用户接入区、虚拟化平台和业务网络，各部分之间使用防火墙严格隔离，只开放访问必须的端口。将用户终端隔离后可以对运维的应用服务器系统起到很好的保护作用，运维人员所有的个人桌面、应用和文档被集中控制在虚拟化平台，即数据中心。所有平台的访问者包括：管理人员和运维人员的所有操作可以进行全方位的安全审计管控。
访问流程简单地描述为：运维人员使用各种终端设备登录虚拟化门户（Web Interface），通过活动目录域控制器（AD）验证身份，在基础架构服务器集群的调控下，访问分配给他的虚拟桌面及虚拟应用，进行安全的运维工作。从服务器网段到终端网段所有的通讯都被安全接入网关设备封装在加密通道中。这样的架构既保证了网络层的传输安全，又保护了运维环境的数据安全。
3 基于虚拟化的数据库运维平台审计功能
3.1. 强大的审计能力
实时的记录用户的各种人机操作，管理员可以实时的查看。
根据管理员设定的配置策略，实现各种不同的审计规则。如只对重要业务系统进行录像。对于员工个人软件不进行录像，保护了员工的隐私的同时，也保证了业务系统的安全。
3.2. 可灵活配置的审计规则
系统提供细粒度的规则配置条件。用户可以根据自己的数据库系统特点，对用户名、进程名、服务器名、设备名、应用程序名等以关键字进行设置，产生审计策略。用户也可以根据内部用户的不同性质，确定监控范围，对特定主机和特定网段进行监控，从而保证用户能够按照自己的需要实施监控。
3.3. 可自定义敏感行为规则、非法程序访问阻止
从以下四个方向自定义敏感行为或违规行为规则，自动生成敏感操作行为报表：
• B/S程序中敏感行为，进行规则定义审计
• DBA管理员敏感操作，进行规则定义审计
• IT运维人员的敏感操作，进行规则定义审计
• 敏感C/S程序或单机版程序，进行特定操作规则定义审计
管理员可自定义针对特定程序用户访问阻止功能，被定义的程序用户无法打开使用。
3.4. 强大的搜索引擎、细颗粒度检索
系统提供功能强大的搜索引擎，为用户实现了时间，，用户名，操作类型，应用名，程序名，设备名等等多种丰富的查询条件，用户可以按照自己的需要查找所关心的符合审计规则的操作记录。
对于业务应用的操作:  可以按照用户、服务器、文件名、目录名、Windows窗口信息、动作行为进行细颗粒度审计，
对已运维命令的精确检索（SecureCRT，Putty，SSH）
对于DBA（数据库管理员）的数据库操作可以精确检索（Toad, SQL Plus）
对于基于浏览器的B/S程序可以审计到具体的网址
3.5. 应用禁止
管理员可自定义针对特定程序用户访问阻止功能，用户无法打开非授权使用的程序。
3.6. 应用测量
可以分析不同的业务软件被使用的情况。帮助用户分析每个业务软件的使用率、有效操作次数、有效在线时长等指标，展现软件使用效率，为软件采购提供科学依据。可按人员、按部门分析应用综合情况。
3.7. 工作测量
可以分析每个人员在不同应用软件上花费的时间和工作量，从而实现工作状态和工作效率量化和可视化管理，提高工作效率。可以对不同岗位员工进行工作应用、非工作应用自定义，并进行工作量统计。分析个人、团队工作状态和效率。
3.8. 文件操作追溯
可以详细记录资源管理器中文件被操作的信息，并对文件操作记录搜索；可以进行文档操作统计。
3.9. 丰富的审计报表、行为分析
系统提供丰富的报表类型，报表从用户操作到时间，进程及具体操作等多个方面进行统计，并通过柱图，饼图，表格等形式将统计结果直观展现给用户。
分析用户在不用业务系统上花费的时间和工作量，分析不同业务软件的使用情况。
3.10. 自身安全性保护
账号权限管理：作为安全系统，AuditSys对自身的安全认证进行了完善的设计和考虑，具体包括：采用自主运维的用户帐户管理体系来作为认证平台。最大的限制提高了安全等级。同时也支持与用户现有的LDAP或活动目录进行集成。确保只有经过了认证的用户才能够查看被审计的录像记录。
系统采用多级用户体系，包括系统管理员，普通管理员，普通用户三种权限用户，不同级别的用户之间彼此制衡，保证系统自身安全。
控制台操作日志：提供完善的系统日志，对于用户在控制台中的各种行为进行记录，保障系统在出现问题时能够回溯跟踪。
强身份认证：同时对于企业中普遍存在的administrator帐户多人使用的情况，AuditSys也进行了独等的设计，在保留原有的登录习惯和机制的情况下，再增加一套认证机制。保证了系统的双重安全。
端点Agent防卸载：审计客户端防卸载功能保证了审计的完整性，防治非授权的卸载。
3.11. 高可用、负载均衡和可扩展能力
整体系统在运维过中注重高可用和可扩展性及系统的负载均衡。在审计系统不足支持当前系统的审计能力时，可以方便地对审计系统进行平滑扩展，并能对连接审计代理数据连接进行动态负载，以满足不断增加的业务审计需求。