2005年，游俠的老東家就在賣(mài)數(shù)據(jù)庫(kù)審計(jì)，到現(xiàn)在也算是八年抗戰(zhàn)了……說(shuō)一點(diǎn)點(diǎn)感想：

?

在不算久遠(yuǎn)的過(guò)去，那時(shí)候應(yīng)用基本都是C/S模式，數(shù)據(jù)庫(kù)審計(jì)非常簡(jiǎn)單

客戶(hù)端→數(shù)據(jù)庫(kù)服務(wù)器

只需要把流量鏡像過(guò)來(lái)就OK了

無(wú)非就是審計(jì)源和目的IP、源和目的MAC、登錄賬號(hào)、數(shù)據(jù)庫(kù)名、表名、語(yǔ)句、返回值

?

漸漸的，三層架構(gòu)的業(yè)務(wù)系統(tǒng)開(kāi)始增多，包括：

1、網(wǎng)站模式

2、中間件模式

或者說(shuō)，IIS、Apache、Nginx也算一種中間件，其實(shí)對(duì)數(shù)據(jù)庫(kù)審計(jì)而言，一樣

這個(gè)時(shí)候，數(shù)據(jù)庫(kù)如果在同一臺(tái)機(jī)器上，則幾乎沒(méi)辦法

當(dāng)然，可以裝客戶(hù)端的方式來(lái)解決，但是大型客戶(hù)一定不會(huì)同意

——以前有一家做軟件數(shù)據(jù)庫(kù)審計(jì)的，一家關(guān)門(mén)大吉了

?

那么，如果不在服務(wù)器上不輸任何客戶(hù)端，則通過(guò)旁路的方式，客戶(hù)最能接受

其實(shí)中間還有一個(gè)折中，就是管理員訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的時(shí)候，通過(guò)堡壘機(jī)的方式實(shí)現(xiàn)

這樣的方式，可以設(shè)定阻斷策略，對(duì)管理員的操作進(jìn)行數(shù)據(jù)庫(kù)操作阻斷

但是，多數(shù)客戶(hù)依然會(huì)選擇旁路的方案，因?yàn)樽詈?jiǎn)單，無(wú)風(fēng)險(xiǎn)

并且，我所遇到的客戶(hù)，全部都不想在中間件安裝客戶(hù)端

所以，只剩下了：

1、鏡像“瀏覽器客戶(hù)端→中間件或服務(wù)器”流量

2、鏡像“中間件或服務(wù)器→數(shù)據(jù)庫(kù)服務(wù)器”流量

然后，二者進(jìn)行關(guān)聯(lián)……

?

理所當(dāng)然的，如各位所考慮的，做不到百分之百的準(zhǔn)確

甚至，有一次測(cè)試，去了4家，其中3家都說(shuō)百分之五六十、六七十的準(zhǔn)確性

客戶(hù)放棄了！我們?nèi)サ谋容^晚，所以我也沒(méi)機(jī)會(huì)親自測(cè)試到底準(zhǔn)確性有多少

?

各類(lèi)語(yǔ)句，包括select、delete、insert、update等都沒(méi)問(wèn)題

登錄操作、退出操作等，也沒(méi)有問(wèn)題，這一點(diǎn)，無(wú)需多慮

性能上，如果單臺(tái)搞不定，通過(guò)“agent+host”的方式，部署多臺(tái)agent

在agent上對(duì)數(shù)據(jù)庫(kù)日志進(jìn)行壓縮、歸并，然后發(fā)送到host，這不是問(wèn)題

?

公司以前是純粹的做數(shù)據(jù)庫(kù)審計(jì)，后來(lái)推出了業(yè)務(wù)數(shù)據(jù)庫(kù)審計(jì)，比以前強(qiáng)很多

可以定義特定操作進(jìn)行報(bào)警，可以針對(duì)操作頻率報(bào)警，也可以阻斷非合規(guī)客戶(hù)端

不但像以前那樣可以審計(jì)到計(jì)算機(jī)（IP），也可以抓到多人一機(jī)的帳號(hào)

（三班倒的情況，多人共用一臺(tái)計(jì)算機(jī)，并且是B/S模式）

關(guān)于存儲(chǔ)，我們做到12TB了……并且可以直接存到存儲(chǔ)上去，這個(gè)不是大問(wèn)題

?

告警方式：郵件、snmp trap、短信、syslog，不建議短信，煩死

SQL語(yǔ)句翻譯，思福迪的業(yè)務(wù)數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)是做了，比看語(yǔ)句直觀(guān)的多！

?

游俠建議數(shù)據(jù)庫(kù)審計(jì)、網(wǎng)絡(luò)審計(jì)一起部署，網(wǎng)絡(luò)審計(jì)可以做數(shù)據(jù)庫(kù)審計(jì)的有益補(bǔ)充

同時(shí)，針對(duì)管理員的操作，部署堡壘機(jī)，基本算是比較完善的解決方案了

?

一直想寫(xiě)一篇數(shù)據(jù)庫(kù)審計(jì)的文章，稍微細(xì)致一些的，不過(guò)現(xiàn)在太懶了！

并且，因?yàn)樽约汗揪驮谧鰯?shù)據(jù)庫(kù)審計(jì)，所以……估計(jì)別人也不放心把資料給我。

?

文章部分圖片來(lái)自思福迪公司資料，部分來(lái)自思福迪審計(jì)產(chǎn)品。

?

作者：張百川（網(wǎng)路游俠）www.youxia.org 轉(zhuǎn)載請(qǐng)注明來(lái)源！謝謝

本文轉(zhuǎn)自網(wǎng)路游俠 51CTO博客，原文鏈接:http://blog.51cto.com/youxia/1086085

總結(jié)

以上是生活随笔為你收集整理的游侠随笔：关于业务型数据库审计 有图有真相的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。