华安星数据安全监管系统

华安星数据安全监管系统可基于鲲鹏云服务器进行部署。

1. 背景

随着信息化的发展，政府和企事业单位将大量的线下业务向线上转移，重要的核心资产正在由固定资产向数据资产转移，即数据资产化，数据已成为其业务稳定运营的关键。数据库做为核心数据的存储载体，数据库可以类比为所有业务系统的心脏，心脏的安全与稳定直接关系着前台业务的交付和体验。而目前对业务系统和数据库是单点运维与防护，运维与安全属于被动管理，缺乏全局监控与关联管控、主动防御的能力，形成信息孤岛。同时，云计算、大数据、移动互联网等产业呈现出爆发式的发展态势，技术所推动的企业和机构转型是不可逆的，云上的数据会越来越重且价值越来越高，并且面临越来越复杂的安全风险挑战，数据安全会成为企业的“命根子”。随着云计算、大数据等技术的发展与应用，数据的边界被打破，原有的边界安全逐渐失效，“无边界”安全将是新一代的安全挑战。同时对于每个单位和企业，需要运维的应用系统和数据库越来越多，因此如何实现对这些数据库的统一监控，统一分析和统一展示是当前困扰用户的难点。

业务数据库面临的问题：

内部用户可以很方便的利用内部网络通过各种通讯协议进行刺探，获取、删除或者篡改重要的数据和信息；
内部授权用户对于系统不熟悉而导致误操作也时常给业务系统造成难以恢复的损失；
外部非授权人员（如黑客）对数据库进行恶意入侵，获取或者删除数据库里的数据；
所有针对数据库的安全事件发生后，无法进行有效的追溯和审计；
管理员无法及时了解当前的数据库资产的动态变化，不清楚每个业务库每天被哪些人员访问， 存在多少个数据库账号和存储过程等信息，当前数据库是否存在漏洞，危害有多大，网络中是否存在对数据库的攻击行为。

2. 产品介绍

2.1 产品定义

华安星数据安全监管系统，是一款基于大数据、机器学习、 用户行为分析、 流量检测、 威胁情报等技术的企业级智能安全分析平台，它具有海量数据采集、集中存储、快速检索、实时分析及告警、威胁响应、可视化展现和安全报告等功能。为用户的数据库提供统一的监控、运维和威胁发现等服务。

华安星数据安全监管系统，提供对业务数据库整体安全态势的集中监管，实时监控业务数据库的运行状态，全面感知业务数据库安全威胁和隐患，实现业务数据库的集中安全审计和风险预警。

平台以业务驱动、风险驱动及合规性驱动三大理念为指导。在满足网络安全法、等级保护等合规性的要求下，贴近业务核心与数据，不再区分信任实体和非信任实体的边界，对核心业务数据流与异常行为进行监测。借助智能事件关联分析引擎与安全分析模型，，从海量日志中分析挖掘异常安全事件，实时不间断地对日志流进行安全事件关联分析。通过多角度分析视图、追根溯源，找到问题所在，并针对根源进行管控，全面掌控业务数据库安全态势并进行感知可视化展示。

最终，变防御为预警，精确预判威胁，发现威胁，管控风险。实现主动防御。

2.2 产品组成

华安星数据安全监管系统提供物理和虚拟化两种产品形态，为用户提供完全相同的产品功能。产品组件包括：

集中管理中心：提供整个平台的人机交互入口，负责对接平台中的其他所有组件，支持双机方式部署；
大数据中心——控制节点：负责大数据中心分布式存储、分布式计算和资源弹性伸缩的管理职能，支持双机方式部署；
大数据中心——计算节点：负责大数据的计算职能，支持随用户业务增减，不限数量的弹性伸缩；
数据采集前置机：负责接收各个数据探针的数据，进行数据的清洗、去重和范式化，再将处理结果写入到计算节点中，供大数据中心平台后续计算分析；
数据采集探针：需单独采购，包括数据库审计探针、数据库入侵检测探针、数据库漏洞扫描探针和数据库运维探针。

3. 主要功能

3.1 总体概述

华安星数据安全监管系统采用大数据分布式存储和计算架构。 平台从逻辑上分为四层：基础数据采集，数据分析和存储层、 平台功能层和业务应用层。平台功能模块包括： 资产管理模块、 资产自动发现、安全审计、 威胁情报分析、 可视化分析、 流量分析、 用户行为分析、 威胁检测与溯源、管理门户和合规报表 10 个功能模块。平台从安全业务层面为企业提供： 安全监测、 威胁预警、 安全态势感知、 追踪溯源、资产管理、和合规报告等 6方面的业务应用。

3.2 高性能分布式架构
平台基于MPP架构分布式并行数据库集群，具备高性能、高可用、高扩展特性， 可以为大规模数据管理提供高性价比的通用计算平台。平台具备以下优势：

低硬件成本： 完全使用 x86 架构的 PC Server，不需要昂贵的 Unix 服务器和磁盘阵列；
集群架构与部署：完全并行的 MPP + Shared Nothing 的分布式架构，采用 Non-Master 部署，节点对等的扁平结构；
海量数据分布压缩存储：可处理 PB 级别以上的结构化数据，采用 hash分布、 random 存储策略进行数据存储； 同时采用先进的压缩算法，减少存储数据所需的空间， 可以将所用空间减少 1~20 倍，并相应地提高 I/O 性能；
数据加载高效性： 基于策略的数据加载模式；
高扩展、 高可靠： 支持集群节点的扩容和缩容;
高可用、 易维护： 数据通过副本提供冗余保护，自动故障探测和管理，自动同步元数据和业务数据。
高并发： 读写不互斥， 支持数据的边加载边查询
行列混合存储：提供行列混合存储方案，从而提高了列存数据库特殊查询场景的查询响应耗时。

3.3 用户行为分析
平台提供了基于实际安全场景的多维度异常检测功能，通过机器学习和算法产生的各种数值结果翻译成用户能够理解的安全场景。通过多个维度对用户、行为和资产进行画像，并将三者有机的整合在一起，提供分析结果可视化界面，方便用户迅速掌握多维度的趋势变化，和用户、资产与基线的比对。 

3.4 实时运行监控
不仅对自身性能（CPU使用率、内存使用率和硬盘使用率）进行状态监控，还对信息系统数据库产生的安全事件进行24小时监控，并以统计图表的形式展示，让管理员一目了然。防止受到特权滥用、入侵攻击、人为失误等等的侵害。通过安全态势提供实时监控页面，显示不同风险级别的事件统计值、审计数据统计图、威胁事件数图、新增因子表、在线用户数图来展示状态。当用户与数据库进行交互时，系统会自动根据预设置的风险控制策略，结合对数据库活动的实时监控信息，进行特征检测及审计规则检测，任何尝试的攻击或违反审计规则的操作都会被检测到并实时告警。

3.5 多达27类的查询条件精准检索
对用户而言，一旦发生安全事件，需通过查询事件的前后过程数据，以便获取有效的信息来协助管理人员找到相应的操作过程。系统支持以地址、性能消耗、语句数量等27类条件在TB级海量数据中快速检索，且能实时以图形化方式统计、展示查询结果。

3.6 基于业务安全的监控
平台与用户实际业务结合，关注关键操作流程和敏感数据表，以卡片化的方式展示各个业务系统的当前状态，通过SQL行为和业务用户的准确关联分析，使数据库的访问行为有效定位到业务工作人员、基于风险、语句、会话、客户端、应用端、执行时长、返回结果等形成数据库的全量行为记录，进行有效的追溯和定责。

例如，是否存在资金归集、漏费、消单等等，一旦发现异常，立即将审计结果以用户业务视角加以展示告警。

3.7 提供丰富报表展示
报表功能是审计日志大数据系统化、可视化分析的具体表现。平台可提供根据安全经验和行业需求预定义的报表模板和审计报告，如审计设备自身健康状态分析报告、特权账号与异常时段分析报告、业务流量分析报告、塞班斯（SOX）法案数据库安全审计符合性报告等等。同时，为了提升报表的易用性，系统采用友好人性化的报表查看界面，包含报表缩略图展示、数据有效性的视觉展示以及报表内容支持自动建立快速访问。报表功能中的审计报告、周期报送功能，直观体现了审计日志和风险分析中数据库安全趋势，帮助安全管理人员更加便捷、深入的剖析数据库运行风险。

除了提供根据安全经验和行业需求预定义的报表模板和审计报告外，用户还可利用自定义报表功能定制报表。支持将生成的报表发送到指定邮箱，方便查阅。此外，报表支持导出以及打印功能。 

3.8 安全事件回查追溯
当发生安全事件时，安全管理员可对过去某一时段的事件进行回查追溯，真实展现当时的完整操作过程，便于分析和追溯安全事件。很多安全事件或者与之关联的事件在发生一段时间后才引发相应的人工处理，这时，作为独立审计的数据审计系统就发挥作用，由于有全审计功能，数据都保存在后台（包括相关的告警），可快速定位相关事件，缩小范围，使得追溯变得容易。同时，由于独立监控审计模式，使得相关的证据更具有公证性。

3.9 多样的预警机制
系统将审计事件划分为高风险、中风险、低风险三个级别。对告警信息，系统提供了多形式的预警（丰富的外部、内部接口），包括通过syslog告警、snmp告警、windows报警、发送邮件、网关联动、短信猫等方式。

3.10 高性能海量数据挖掘及数据建模分析
平台完整记录对数据库的所有操作，以便用户在未知的风险事件发生后，定位问题的发生过程。系统可实现在以亿为单位的数据中，多条件查询数据，在数秒内返回结果，同时对海量数据实现压缩比90%以上的高性能存储。系统提供多维度海量审计数据对比分析工具，从不同的空间、时间对各个维度进行同比和环比分析。