安华金和数据安全产品手册

来源：五一七教育网

安华金和数据安全产品手册

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

安华金和数据安全产品手册 ................................................................................................................. 1 目录 ....................................................................................................................................................... 2 一. 关于安华金和 ................................................................................................................................. 4 1.1 发展历史 ..................................................................................................................................... 4 1.2 产品路标 ..................................................................................................................................... 5 二. 数据库安全产品系列 ...................................................................................................................... 6 2.1 数据库安全评估系统（DSAS） .................................................................................................. 6 2.1.1 产品概述 .............................................................................................................................. 6 2.1.2 客户价值 .............................................................................................................................. 6 2.1.3 产品优势 .............................................................................................................................. 7 2.1.4 适用场景 .............................................................................................................................. 8 2.2 数据资产梳理系统(DACS) ........................................................................................................... 8 2.2.1 产品概述 .............................................................................................................................. 8 2.2.2 客户价值 .............................................................................................................................. 9 2.2.3 产品优势 ............................................................................................................................ 10 2.2.4 适用场景 ............................................................................................................................ 10 2.3 数据库安全审计系统(DAS) ....................................................................................................... 11 2.3.1 产品概述 ............................................................................................................................ 11 2.3.2 客户价值 ............................................................................................................................ 11 2.3.3 产品优势 ............................................................................................................................ 12 2.3.4 适用场景 ............................................................................................................................ 13 2.4 数据库安全防护系统(DPS) ........................................................................................................ 14 2.4.1 产品概述 ............................................................................................................................ 14 2.4.2 客户价值 ............................................................................................................................ 14 2.4.3 产品优势 ............................................................................................................................ 15 2.4.4 适用场景 ............................................................................................................................ 17 2.5 数据库运维管理系统(DOMS) .................................................................................................... 17 2.5.1 产品概述 ............................................................................................................................ 17 2.5.2 客户价值 ............................................................................................................................ 18 2.5.3 产品优势 ............................................................................................................................ 19 2.5.4 适用场景 ............................................................................................................................ 19 2.6 数据脱敏系统(DMS) .................................................................................................................. 20 2.6.1 产品概述 ............................................................................................................................ 20 2.6.2 客户价值 ............................................................................................................................ 20 2.6.3 产品优势 ............................................................................................................................ 21 2.6.4 适用场景 ............................................................................................................................ 22 2.7 数据库加密系统(DES) ............................................................................................................... 23

2.7.1 产品概述 ............................................................................................................................ 23 2.7.2 客户价值 ............................................................................................................................ 24 2.7.3 产品优势 ............................................................................................................................ 25 2.7.4 适用场景 ............................................................................................................................ 26 2.8 数据水印系统(DWS) .................................................................................................................. 26 2.8.1 产品概述 ............................................................................................................................ 26 2.8.2 客户价值 ............................................................................................................................ 27 2.8.3 产品优势 ............................................................................................................................ 27 2.8.4 适用场景 ............................................................................................................................ 28

一. 关于安华金和

1.1 发展历史

北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。安华金和由长期致力于数据处理和信息安全的专业人士共同创造，作为中国“数据安全治理”体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流程制定及技术支撑全方位的整体数据安全思路与方案；同时，安华金和作为的第三方云数据安全服务商（CDSP），为国内外各大云平台用户提供专业的数据安全保障；安华金和也是中国最大的公有云平台——阿里云在数据安全领域的战略合作方。

安华金和总部位于北京，分设北京营销中心与天津研发中心，下设11大分支机构，业务覆盖华北、东北、华东、华中、华南、西南等全国省市地区。在、军工、金融、能源、教育、医疗、企业等各大行业建立多个标杆案例，并取得了良好的信誉口碑。

安华金和以“让数据使用更安全”为最高使命，立志成为世界级数据安全厂商。围绕该愿景，安华金和主营业务方向分为三大部分：

1、围绕数据库的安全，安华金和推出全线数据库安全产品及解决方案；

2、以整体数据库安全产线为技术支撑，安华金和推出数据安全治理解决方案，面向重点行业推广与实践；

3、基于公有云和私有云环境特征，安华金和推出公有云数据安全服务和私有云数据安全解决方案。

1.2 产品路标

二. 数据库安全产品系列

2.1 数据库安全评估系统（DSAS）

2.1.1 产品概述

安华金和数据库安全评估系统(简称DSAS)，可以帮助用户实现对国际、国内主流数据库的安全检查，发现数据库中弱安全配置、风险代码、弱口令，并对已知漏洞进行分析和模拟渗透攻击，能有效暴露当前数据库系统的安全问题，并对数据库的安全状况进行持续化监控，完成数据库安全风险评估，提供数据库安全状况检测评估报告，帮助用户提供数据库安全加固建议，从而显著提高数据库的安全状况。

2.1.2 客户价值

2.1.2.1 满足合规安全检测

支持等保、、运营商等行业性数据库安全检测规范，有等保二三级检查策略，可用于检测单位的行业检测以及用户单位的自检。

2.1.2.2 发现数据库自身漏洞

主流数据库的自身漏洞逐步暴露，数量庞大，仅CVE公布的Oracle漏洞数已达1200多个。DSAS可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞。

2.1.2.3 发现使用中安全隐患

据调研，1/2以上的生产业务数据库中都存在默认用户名/默认口令；若干黑客典型攻击手段，仅使用了最常规的数据库安全漏洞，这些攻击都可通过增强基本的安全配置完成防护。 DSAS可以检测出在数据库使用过程中，由于人为疏忽造成的诸多安全隐患：低安全配置、弱口令、高危程序代码、权限宽泛等。

2.1.2.4 数据库安全状态监控

大多用户会在安全事件发生后，才追查分析具体原因，然而作为复杂的数据库，参数、用户权限等管理信息数量巨大，手工追查、分析的工作复杂繁琐。DSAS提供对数据库安全状况的持续监控能力，可以建立安全基线，实现安全状况实时报告。

2.1.3 产品优势

2.1.3.1 风险级别准确

遵循CVE、CNNVD标准的定级原则：自定义漏洞级别与国际主流专业工具一致。

2.1.3.2 数据库安全检查范围全面

DSAS支持1900个以上安全漏洞库，共5327个安全检测点；国内普通安全厂商的漏洞检测数在300个左右，专业数据库漏洞工具的检测数600-700个。

数据库类型支持全面，支持七种国际主流数据库和三种国产数据库的安全检测。

2.1.3.3 数据库安全检查技术先进

DSAS支持多种数据库自动化检查技术和网络数据库发现技术，不仅提供数据库服务器发现，还提供数据库实例发现，实现多种DBMS的密码生成技术，提供1万多个口令爆破库，实现快速的的弱口令检测方法。

2.1.3.4 独特的数据库安全状况监控

突破传统的漏扫产品仅作为数据库漏洞检查工具的，实现对数据库运维安全状况的监控，包括相关安全配置、连接状况、用户变更状况、权限变更状况、代码变更状况等全方面的安全状况评估；建立安全基线，实现安全变化状况报告与分析。

2.1.3.5 自身安全性高

管理员、操作员、审计员三权分立；使用只读权限账户即可扫描；检测报告中数据库连接信息、口令等加密存储。

2.1.4 适用场景

 上级单位检查之前，若有一款高效安全的检查产品能大大减轻您的工作量，并能做到对

各种类型数据库的安全检查，不知能否解决您目前的问题？

 您是否了解贵单位的数据库安全状况？定期检查数据库安全配置情况？  您是否担心由于数据库的安全问题，导致数据库的敏感信息泄露？  在等保测评工作中，是否遇到数据库类型多、版本多，无法检测的情况？  对外测评检查时，检查对象的国产数据库查不查、怎么查？

 数据库中的弱口令、安全配置参数、过期的运维账户是否会定期检查？  贵单位有多少个数据库？这些数据库是否有安全管理员定期检查安全漏洞？

 如果上级测评单位使用安华DSAS进行安全检查的话，您会考虑也采购一台DSAS用于

日常数据库安全自查么？

2.2 数据资产梳理系统(DACS)

2.2.1 产品概述

安华金和数据资产梳理系统(简称DACS)，是一款通过扫描嗅探、流量及日志分析技术，协助用户摸清敏感数据分布、理顺敏感数据使用情况，并辅助进行敏感数据分类分级的数据安全产品。

DACS能帮助用户发现网内数据库和其中的敏感数据，对数据资产进行不同类别和密级的划分，以便实现对敏感数据有差别和针对性的防护。

DACS可实现静态梳理：对当前网络环境中的数据库进行定位，DACS提供定期自动化搜索网内数据库，为数据库安全管理提供准确的依据。

DACS可实现动态梳理：提供数据库访问热度分析，动态监听应用与运维侧敏感数据使用情况，辨别数据滥用行为，为核心数据安全管控提供依据。

DACS同时提供数据权限梳理能力，可将数据库中全部用户及对应权限信息梳理后向安全人员呈现，用户可根据梳理结果及时调整权限宽泛，僵尸账户等风险隐患，更好的满足信息安全中最小授权原则。

2.2.2 客户价值

2.2.2.1 满足安全检测标准

《网络安全法》及各项行业数据安全法规中，明确规定了需要对敏感数据采取安全防护手段，但是在客户复杂的实际环境中，数据资产往往规模庞大，分散而不集中，若不能梳理清晰并合理分类分级，则安全建设无从谈起。

DACS采用静态梳理敏感数据权限及分布、动态梳理敏感数据使用、辅助建设数据分类分级体系等手段，为用户进行信息安全合规建设做出基石性工作。

2.2.2.2 自动定位数据资产分布

在内网环境中，往往存在着数据库数量不清，数据库中敏感数据分布不明，敏感数据访问权限不详等情况。

DACS通过技术手段，协助用户理顺数据资产。

 基于网络嗅探技术，可自动寻找发现网络环境中存在的数据库。  基于特征匹配的敏感数据探测技术，可自动梳理数据库中敏感数据分布。  基于数据库扫描技术，可自动发现数据库中账户权限分布情况。

2.2.2.3 动态梳理敏感数据使用

诸多用户在敏感数据泄露事件发生后，才追查分析具体原因，DACS提供对数据库敏感数据使用情况的持续监控能力，可以为用户动态梳理敏感数据被哪些人，哪些业务系统，通过何种途径，在什么时间所访问，并能够汇总动态梳理结果，形成敏感数据流向图。

2.2.2.4 辅助数据分级分类建设

DACS可以结合人工对敏感数据进行分类和等级划分，便于用户根据不同需求对数据资产进行重点防护，从隐私安全与保护成本的角度出发，具体等级定义可分为以下三种：敏感数据：通过该类数据可直接识别特定用户，是与用户生活紧密相关的数据；

重要数据：通过该类数据可以得知产品商业价值等，是需谨慎使用的用户相关数据、产品核心数据；

一般数据：支撑业务逻辑及运行的数据，通过统计、分级、加工不会对用户或公司利益产生影响。

2.2.3 产品优势

2.2.3.1 先进的数据库自动嗅探与识别技术

支持多种数据库自动发现，主动嗅探网内数据库，可以指定IP段和端口的范围进行搜索，也可以基于访问流量解析自动发现与识别数据库。

2.2.3.2 快速发现敏感数据保护核心数据资产

一般应用的后台数据库都有成千上万张表，要保护核心数据资产，首先要了解核心数据资产在什么地方，DACS能够从海量数据中快速发现敏感数据，定位敏感数据存储与分布，统计敏感数据量级，可以通过敏感数据发现功能对个人敏感信息、信用卡账户信息、企业敏感信息等的表和列进行扫描定位，也支持用户自定义敏感对象搜索关键字功能。

2.2.3.3 数据使用监测与分析技术

针对应用系统运行、开发测试、对外数据传输和前后台操作等使用环节，对数据的流转、存储与使用进行监控，对应用侧、内部运维侧及开发测试的访问敏感数据的频次进行热度分析。

2.2.3.4 定期检查数据库权限满足最小授权原则

对于信息安全要求严格的单位，DACS可采用持续的数据库权限状况监控功能，突破传统产品仅作为数据库安全检查工具的，能有效体现用户变更情况，权限变更情况等安全状况，建立安全基线，实现安全变化状况报告与分析和定性与定量结合的评估模型。

2.2.4 适用场景

 数据安全建设仅考虑上硬件产品，没有与安全管理结合，信息安全效果如何落地？  贵单位是否考虑使用专门的数据资产梳理系统对现有数据资产进行定位呢？  不清楚有哪些数据库和数据库中有哪些敏感信息，如何做有针对性的安全防护？  核心数据都被哪些应用和运维使用，怎么使用的，如何有效监测？

 虽然数据库运维包给第三方公司，但是作为责任主体，贵单位有什么办法明确数据资产

的位置？

 贵单位重要业务系统的后台数据库如何满足最小授权原则？

 国标信息安全管理体系要求中的风险评估首先是数据安全梳理，对这项工作您是怎么考

虑的？

 您是否担心由于数据资产定位不清，导致真实生产数据的敏感信息泄露？

 贵单位是否有相应的技术手段清楚的掌握有哪些数据库，由哪些人员在负责管理和使

用？

2.3 数据库安全审计系统(DAS)

2.3.1 产品概述

安华金和数据库安全审计系统(简称DAS)，是一款基于数据库通讯协议分析和SQL解析技术的数据库安全审计系统。DAS具备全面、高效的数据库监控告警和审计追溯能力。在行为分析基础上，DAS通过强大的风险行为描述语言，实现对数据库风险和攻击行为的有效描述；对于违反安全策略的访问行为进行及时告警，保证数据库操作满足合规性要求；通过系统自带数据库风险特征库，迅速实现数据库风险检测和告警。

2.3.2 客户价值

2.3.2.1 满足合规需求

一般组织机构需要面临的法律遵从的要求，对数据库安全管理及审计的相关法规要求如下：  计算机信息系统安全等级保护要求

 商业银行内部控制指引——计算机信息系统的内部控制  支付卡行业数据安全标准——要求和安全评估程序（2008）  电子银行安全评估指引（2007）  新网络安全法

2.3.2.2 面临安全挑战

数据库安全事件频频发生，与数据库管理面临的安全挑战密切相关。概括起来数据库面临的安全挑战可以分为以下三个方面：

审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端，比如：数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难以体现审计信息的真实性。

技术层面：数据库内部操作不明晰，无法通过传统的外部安全工具（比如：防火墙、IDS、IPS等）来阻止内部用户的恶意操作、资源滥用和敏感信息泄露等违规行为。

管理层面：主要表现为人员职责定位不清晰、流程有待完善、内部员工日常数据库操作有待规范，第三方维护人员操作缺乏有效监控等等，致使安全事件发生时，无法追责到人。

2.3.3 产品优势

2.3.3.1 全面审计记录

DAS基于数据库协议解析和专业的SQL语法、词法分析，具备全面的数据库访问审计能力，具体表现在以下几个方面：  记录的日志信息全

DAS可审计到4W1H的信息，这是较传统数据库审计产品的明显优势 Who（谁干的）—数据库用户名、操作系统用户名、应用用户名 Where（在什么地方）—数据库客户端IP+MAC、应用客户端IP

What（干了些什么）—操作对象是谁、操作是什么、是否成功、影响行数 When（什么时间）—发生时间、耗时时长 HOW（怎么干的）—SQL语句、参数  审计范围全面

DAS支持的数据来源包括：旁路镜像审计、探针式数据采集、虚拟机VDS引流、远程登录行为审计、telnet行为记录、本地回环流量采集。  支持的数据库类型全

支持国际主流数据库：Oracle、SQL Server、DB2、Sybase ASE、Informix、PostgreSQL、CacheDB、Hadoop、Mysql。

支持国内主流数据库：Gbase（南大通用）、DM（达梦）、Kingbase（金仓）、Oscar（神舟）。

支持大数据：为适应大数据分析的市场需求，针对Hadoop大数据和非关系型数据库，提供对应的审计与监控能力。

2.3.3.2 数据库行为建模

DAS针对数据库通讯协议进行完全解析，可建立学习期，归类SQL语句模板，并结合会话信息、应用关联信息，实现数据库行为建模。基于建模语句的波动情况，进行有效的分析和

深入的挖掘，当隐藏在应用软件中的后门程序启动时，基于建模分析提供实时告警能力，降低数据库信息泄露的风险。

2.3.3.3 对象统计

DAS系统实现对象统计，统计元素包括：对象+操作类型；访问源信息+对象+操作类型；对象+操作类型+影响行数；访问源信息+对象+操作类型+影响行数。通过对象统计从而能实时监测对表的操作以及访问情况，并可标记敏感表，实现对敏感表的操作统计和深度追踪，从而对敏感数据进行实时监控。

2.3.3.4 应用关联审计

DAS系统应用层数据审计，获取应用会话中的应用用户信息、URL信息，并能将审计下来的应用层数据与数据库层数据，以及应用层操作与数据库层操作综合起来进行关联分析、审计追踪和统计，除此之外，还可以对应用层相关数据操作设置规则策略，这样当安全事件发生时，可根据发送的告警信息，以及下钻追踪的审计记录日志信息，快速定位到网络中的用户端设备，进而分析出相关责任人。

2.3.4 适用场景

 一般组织存在重要业务系统后台数据库交给第三方公司运维的情况，但组织仍然要对数

据安全负有主责，是否考虑对第三方运维和DBA的操作全面审计？是否发生过数据外泄的事件？是否出现过内部人员对于数据库的违规操作?

 贵单位内网环境下是采用的三层架构吗？是否有相关的技术手段来关联前端的应用用户

和后端的数据库访问行为，以便准确定位访问数据库的用户？

 贵单位是否要符合的等保要求，或者是行业的合规要求？是否会影响监管机构的

考核？是否影响企业的上市？

 如何在出现数据库漏洞攻击行为和恶意访问行为的时候快速告警？您希望是短信、邮

件，还是其他方式？

2.4 数据库安全防护系统(DPS)

2.4.1 产品概述

安华金和数据库安全防护系统(简称DPS)，是一款基于网络和数据库协议分析与控制技术的数据库安全防护系统。DPS基于主动防御机制，可实现对数据库的访问行为权限控制、恶意及危险操作阻断式防范、可疑行为的审计。DPS通过SQL协议分析，根据预定的白名单、黑名单策略决定让合法的SQL操作通过执行，让可疑的非法违规操作禁止，从而形成一个数据库的外围防御圈，真正做到SQL危险操作的主动预防、实时审计。DPS面对来自于外部的入侵行为，提供防SQL注入和数据库虚拟补丁包功能；通过虚拟补丁包，数据库系统不用升级、打补丁，即可完成对主要数据库漏洞的防护。

2.4.2 客户价值

2.4.2.1 防止外部黑客攻击

威胁：黑客利用应用系统漏洞，进行SQL注入攻击；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和入侵。

防护：通过数据库漏洞攻击防护能力，捕获和阻断漏洞攻击行为；并提供SQL注入特征库和XSS攻击防护能力，保障数据库应用侧的安全。

2.4.2.2 防止内部高危操作

威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据库造成破坏。

防护：通过系统表和敏感对象的访问权限，限定SQL更新和删除操作的影响行、限定No Where语句更新和删除操作，限定Drop、Tuncate等高危操作，以避免大规模数据损失。

2.4.2.3 防止敏感数据泄露

威胁：黑客、开发人员通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

防护：基于字段级的“与或”关系设置，建立敏感数据组，限定敏感数据的访问时间、来源IP地址和账户信息，并针对高危操作执行会话阻断或语句拦截。

2.4.2.4 防止应用违规操作

威胁：业务操作人员和系统维护人员，通过应用系统非法登录数据库，并执行违规操作篡改或盗取敏感数据。

防护：通过应用关联审计，捕获应用账号、应用登录IP和应用URL等信息，结合风险行为管控机制，实现应用关联防护，阻断非法的应用登录和操作行为。

2.4.2.5 防止频次攻击

威胁：黑客、开发人员通过应用对敏感数据做轻量级、高频词操作，非法篡改和盗取敏感数据信息。

防护：通过学习期行为建模，针对敏感数据的频次操作，进行趋势分析和风险行为管控。

2.4.3 产品优势

2.4.3.1 全面入侵检测

提供全面的数据库攻击行为检测和防御技术：

 口令攻击规则：限定不同客户端和数据库账户的失败登录频次；

 访问规则：针对应用端信息、客户端信息、时间等条件限定非法账户登录行为；  操作规则：针对高危语句操作、批量数据篡改和大规模数据泄露等风险行为防护；  注入攻击防护：提供SQL注入防护和XSS攻击防护规则；

 频次操作规则：针对高频次执行的语句行为，提供灵活的规则配置，实现频次行为管

控；

 漏洞攻击防护技术：针对CVE、CNNVD公布的数据库漏洞库，提供漏洞特征检测、防

御技术。

2.4.3.2 高度应用兼容

对于数据库安全防护系统最重要的是在保持“低漏报率”的同时维护“低误报率”；对于数据库而言这点更为关键，一点点“误报”可能就会造成重大业务影响。

2.4.3.3 业务保持能力

DPS支持多种网络部署模式，并不断完善“高可用容灾”机制，以增强数据库业务连续性保持能力，并在金融、互联网和物流等大型应用场景得到验证。  多层bypass能力

支持硬件断电bypass和软件异常bypass能力。  网络三通

提供三通模式，保障在流量异常情况下，实现业务系统流量放行，以保障异常高压力下的业务连续性。  双机部署模式

产品主备、双活模式继承网络拓扑结构，并通过网络协议或HA跳线进行主备间探测与切换；采用绘话同步、策略同步机制，保障多设备间的一致性。

2.4.3.4 敏感数据防护

可针对数据库字段设置规则，并基于“与/或”关系的灵活排列组合，建立敏感数据组。针对不同种类的数据库结构，完善敏感对象的操作规则。例如Oracle、SQLServer、Mysql数据库，可针对数据库名称、数据库实例、Schema等不同层级，进行深入解析和防护规则设置。

2.4.3.5 应用关联防护能力

系统通过在应用端部署轻量级插件，可捕获应用账户、应用登录IP、URL等业务信息。系统将这些业务信息和数据库的操作行为进行有效关联，可以有效追溯到应用系统的原始访问者和请求信息，实现精准的业务匹配。系统可自定义操作规则，并引用应用账户和应用登录IP等信息，建立并完善应用关联防护体系。

2.4.3.6 学习期行为建模

产品可自定义“学习周期”，并基于学习期建立语句、风险、会话的行为模型，用于构建数据库安全防护体系。

学习期可采集应用账户、应用登录IP地址、URL模块、客户端IP、数据库用户、访问工具、SQL操作、影响对象、执行时长、应答信息等多种审计要素，建立唯一且关联的数据库行为模型，从而预定义数据库风险规则。相关功能如下：

1）系统通过SQL语法分析，抽象描述SQL语句并形成“语句模板”。系统可基于语句模板和对应的会话信息建立黑白名单规则，阻断非法的语句模板并对合法的语句模板放行。 2）学习期会根据默认规则自动识别数据库风险，学习期结束后会自动生成【学习期规则组】，引用学习期未命中过风险的规则；并提供【违规行为查询】功能。

3）系统可勾选源IP地址、DB账户等信息在学习期完成会话建模分析，并提供【行为分析】进行相关查询。

2.4.4 适用场景

 国际应用防御中心界定十大数据库安全威胁，您是否需要一个综合性解决方案解决70%

以上的威胁？

 在等保测评工作中，遇到测评人员提出对数据库漏洞攻击进行防护，您有什么应对措

施？

 上级单位使用数据库安全评估系统检查数据库，每个月都能报几十个高中危数据库漏

洞，您是否考虑使用数据库安全防护系统进行防护？

 您是否担心由于应用程序对SQL注入校验存在缺陷，导致数据库大量敏感信息泄露？  单位已使用了国产数据库，是否有相应的安全防护手段实现对数据库的防护?  对于数据库批量导出数据、误操作、恶意操作，您有什么安全防护手段？  贵单位有多个不同类型的数据库，是否有整体的安全防护措施？

 分级保护中要求主动防御SQL注入、数据库管理员越权、漏洞攻击，您是否有相应的

数据库安全防护产品来应对？

2.5 数据库运维管理系统(DOMS)

2.5.1 产品概述

安华金和数据库运维管理系统(简称DOMS)，通过建立系统的运维行为流程化管理，对数据库运维行为提供事前审批、事中控制、事后审计、定期报表等功能，将审批、控制和追责有效结合，避免内部运维人员的恶意操作和误操作行为，确保高效审批及准确执行。 DOMS对于系统的日常运维管理工作，能够有效提升精细度及安全性。

2.5.2 客户价值

2.5.2.1 规范审批流程，有效实现事中管控

DOMS能够对内部运维人员的数据库操作请求进行智能分析，判断请求合理性及安全性，辅助决策。取代传统的“OA或纸质申请”的审批模式，不仅提高工作效率，更能确保实际操作与原申请的一致性。审批通过后配发唯一口令码，确保操作执行人为信任用户，同时不改变用户原有操作习惯。

2.5.2.2 实时运维监控，提供完善管控手段

DOMS不仅为审批者提供对操作申请的风险评估，更能实时对申请与审批进行细粒度管控。通过语句特征及审计规则检测，对于疑似SQL注入、漏洞攻击等高危操作，即使审批通过，依然进行实时阻断；对于违反安全策略的风险操作提供告警。同时，通过对操作申请与审批行为的实时监控，为安全管理人员同步提供可视化分析，辅助判断运维操作是否合理、安全。

2.5.2.3 实现办公流程的深度整合

通过部署DOMS系统，构建完善统一的数据库运维管理平台。提供审批管理功能之外，同时满足数据库运维侧的其他日常办公需求，如数据库管理、系统用户管理、统一策略配置等日常运维工作，让运维人员从多平台、多模式的工作方式中解脱，通过深度整合办公流程，实现统一，有效的数据库安全运维管理。

2.5.2.4 实现数据库操作管理的合规性

通过部署DOMS系统，可以满足国家相关中，对内部人员、第三方人员进行数据库操作的管理标注。同时，满足行业监管中对于数据库高权限账户的审批、监控等安全管理需求。

2.5.3 产品优势

2.5.3.1 开放管理接口，完美融入管理流程

DOMS开放审批接口和报表接口，实现与当前办公OA软件、运维管理平台的无缝兼容。通过开放的审批接口，运维平台中通过审批的数据库操作语句或权限可以同步至DOMS，完成事中控制；DOMS可以生成报表，发送至OA系统，从申请、执行者、审批者、数据库、敏感业务表等多个维度呈现运维过程。

2.5.3.2 提供高易用性的管理体验

DOMS提供更人性化的图形界面，以及高易用性的交互体验，将复杂的运维审批流程简单化，实现快速申请/审批，显著提高工作效率。

2.5.3.3 基于数据库协议精准解析

DOMS基于数据库协议解析能力与语句模板匹配技术，将实际执行操作与申请操作行为对比分析，匹配失败即启动拦截，有效降低恶意操作及误操作的概率。

2.5.3.4 多种身份认证途径

DOMS可以通过web登录身份认证、审批码身份认证、扩展第三方令牌和Ukey工具身份认证等多种途径，将运维行为精确到自然人，避免传统运维环境中多人共用数据库账户导致的权限不清，追责不明等隐患。

2.5.3.5 敏感数掩码遮蔽

DOMS可对于运维人员访问敏感数据的行为做出有效防护手段，可对未授权访问数据库的运维人员查询敏感数据的结果进行遮蔽，按照“张**”，“138xxxxxx29”等方式返回数据，既不影响运维人员的日常运维行为，又有效的避免了高权限用户接触敏感数据导致的泄密或滥用风险。

2.5.4 适用场景

 贵单位数据库运维方面是否有相应的自动化管理手段，能确保安全管理要求可落地？

 贵单位是否考虑使用专门的数据库运维管理系统呢？

 贵单位是否有堡垒机，在使用堡垒机过程中如何解决数据库运维的口令、误操作和恶意

操作问题？

2.6 数据脱敏系统(DMS)

2.6.1 产品概述

安华金和数据脱敏系统(简称DMS)，是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。

DMS可以满足测试、开发、培训、数据分析和数据共享场景的脱敏需求。

DMS符合金融、保险、能源、、医疗、教育等行业敏感数据防护的合规性需求。

2.6.2 客户价值

2.6.2.1 实现隐私数据管理的合规

通过DMS产品，可以帮助组织满足国际标准、行业监管中对测试和开发环节的敏感数据保护的需求:

 欧盟GDPR《一般数据保案》  银行业“十二五”信息科技指导意见  银监会信息科技风险现场检查指南  计算机信息系统安全等级保护要求

 《国家卫生计生委关于印发医院信息平台应用功能指引的通知》（国卫办规划函

〔2016〕1110号文）

2.6.2.2 防止生产库中敏感数据泄露

DMS通过对生产库中的身份证号、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，从而有效防止生产库中的敏感数据泄露；DMS通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。

2.6.2.3 提高数据维护和共享安全性

DMS通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。

DMS通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度的鉴别，从而控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。

DMS通过对访问者的不同策略，满足细粒度的生产数据访问需求。比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息等。

2.6.3 产品优势

2.6.3.1 静态脱敏技术实用全面

DMS提供了丰富的内置脱敏算法和灵活的、流程化的策略和方案能力，支持对多种数据源进行脱敏处理，帮助企业在不改变业务流程的前提下快速部署实施，有效的降低脱敏的复杂度和风险，控制脱敏成本。

 智能性： DMS具有很好的识别敏感数据的能力，能够不依赖源数据中对表和字段的定

义，而是根据数据特征自动的识别敏感数据并进行有效脱敏。

 数据有效性：保证脱敏后的数据能够准确反映原始数据的业务属性和数据分布特征；对

于原始数据中的姓名、地址、病症、企业名称等信息需要在脱敏后仍然具有可读性；脱敏后的数据满足业务系统的数据规则，能够正确的通过业务系统的数据有效性验证，如身份证号、银行卡号的校验码，生日数据的区间，有效的发卡行信息，年龄与出生日期的匹配等。

 数据完整性：对于DMS脱敏后的数据需要保证是完整的，可提供不改变原始数据尺

寸，不包含无效信息的能力，防止脱敏数据不符合目标数据的定义，造成无法顺利入库的情况。

 数据关联性：DMS脱敏后的数据应能满足业务系统的数据关系特征，严格保留原有的

数据关系；例如身份证号在多个表中出现，需要保证这些数据经过脱敏后也是一样的。另外，对于具有时间序列关系的数据，需要保证每个日期脱敏后仍然能够保持原有的时间序列。

 可逆性：随着数据分析的流行和普及，第三方机构和内部分析团队需要将在脱敏后数据

基础上分析的结果还原为业务数据，以形成真实的分析结果。DMS可提供对脱敏后数据的可逆还原能力。

 可重复和不可重复性：数据脱敏需要提供能够重复脱敏相同数据的能力。DMS在不同

轮次的脱敏中，保证数据在增量环境下被有效的关联。有时出于安全考虑，DMS需要提供不可重复的脱敏能力，保证不同轮次的脱敏产生的数据不同，从而防止逆向工程还原数据。

 丰富的数据源：DMS支持国际主流数据库和国产数据库脱敏，支持Hive大数据脱敏，

支持txt、csv等结构化文件脱敏，支持excel、html、xml等非结构化文件脱敏；支持dump文件脱敏，支持基金行业标准协议文件脱敏。

 大规模数据脱敏：企业各项业务的快速发展，业务生产系统产生并积累了大量的敏感信

息和数据，大规模数据脱敏已经是众多企业的应用场景。DMS经过不断的产品优化的测试，支持TB级别的数据在保证脱敏质量情况下能够高效完成脱敏任务。

2.6.3.2 动态脱敏技术实时保护

DMS脱敏产品提供了具有高可靠性的动态掩码能力，采用串联部署方式，通过在数据库协议层的处理，实时的根据用户角色和规则进行筛选，屏蔽敏感数据（脱敏）。如果用场景来展示典型的动态脱敏效果，可以设想左侧为业务经理，获得了授权可以访问真实数据，中间为兼职的系统管理员，仅能查看经过屏蔽的敏感数据，但不影响其完成系统管理任务；右侧为开发、测试或分析人员，需要访问特定的数据，而不依赖数据的真实性。

2.6.4 适用场景

 贵单位测试和分析环节敏感数据脱敏管理上能否做到自动化、标准化、流程化？  贵单位是否考虑使用专门的数据脱敏系统呢？

 贵单位是否收到过门信息安全等保保护中关键数据安全方面的要求？是否收到过

监管机构或上级单位对安全的合规要求？

 作为保险和银行的业务分析人员，如何既能做到快速得到分析结果，又能做到避免敏感

数据信息泄露？

 贵单位重要业务系统存储大量敏感信息，哪些字段要脱敏？脱敏到什么程度是符合信息

安全要求了？

 贵单位敏感数据脱敏单靠人工编写的数据库脚本能做到符合标准吗？是否能处理大规模

数据量的脱敏？

 企业内部数据库中敏感信息使用随意，您是否担心由于测试系统使用真实的生产数据会

导致敏感信息泄露？

 如何将信息泄露风险扼杀在摇篮中？

 贵单位是否有相应的技术手段保证经过脱敏变形处理的数据保持原有数据类型和业务格

式？

2.7 数据库加密系统(DES)

2.7.1 产品概述

安华金和数据库加密系统(简称DES)，是一款基于透明加密技术的数据库安全产品，该产品能够实现对数据库中敏感数据的加密存储、访问控制增强、应用访问安全及三权分立等功能。

DES基于底层加密存储与权限控制两大核心机制，可以防止明文存储引起的数据泄密，防止外部非法入侵窃取敏感数据，防止来自内部高权限用户的数据滥用，防止绕开合法应用系统直接解密读取数据，在数据安全“最后一公里”处解决敏感数据泄露问题。

DES可根据用户不同场景及不同安全需求，提供列加密、表加密、表空间加密等多种手段，结合已获专利的透明加解密及密文索引等核心技术，具有良好的适应性与实用性，实现了数据高度安全、应用完全透明、密文高效访问。

DES当前支持Windows、AIX、Linux、Solaris等多个平台，支持Oracle、SQL Server、Mysql等多种国际主流数据库以及达梦等国产数据库。产品支持主、从、应急等自身高可用模式，可以满足用户的多种部署需求。DES提供符合国密标准的加解密算法，同时兼容多种国际商用算法，提供可扩展的加密设备和加密算法接口，可与多种加密卡及加密机对接。 DES产品适用于、教育、军工、机要、电力等各个领域，同时针对国家等级保护、分级保护、保密规定均具有很强的适应性。

2.7.2 客户价值

2.7.2.1 防止由于明文存储引起的泄密

数据库底层存储的未经加密处理的数据文件、日志文件、备份文件丢失都存在重大的泄密风险。以Oracle为例，目前已有很多类似于Aul、MyDul的成熟免费解析软件可对明文存储的数据文件直接分析，输出清晰的、结构化的数据。

DES通过存储加密功能，从根本上保证数据安全，即使反向解析文件仍是乱码形式。

2.7.2.2 防止外部非法入侵窃取敏感数据

数据库是一个复杂的大型系统，以Oracle为例，其累计报告的安全漏洞已达1000多种，且在持续暴露，一旦被攻击者利用，很容易窃取敏感数据。

DES通过增强用户口令校验强度，的密钥管理与密文权控体系，即使数据库权控体系被突破，也无法访问到敏感数据。

2.7.2.3 防止内部高权限用户数据窃取

受出口的，在C2安全级别的数据库系统中，以sys、sysdba、sa为代表的超级用户天然具备数据访问、授权的权限；在大型企业和机构中，除了系统管理员，以数据分析员、程序员、服务外包人员为代表的数据库用户，也可以访问到敏感数据。这些与业务无关的敏感数据访问权限，都成为数据泄密的极大隐患。数据库源生加解密技术，均无法从根本上解决高权限用户访问敏感数据的权限问题。

DES提供三权分立机制，对用户进行有效权力拆分。产品增设了安全管理员(DSA),即使是DBA用户，在未经DSA授权时照样无法访问到密文数据；DES同时增设审计管理员(DAA),可以对DSA的授权行为进行审计和追踪。

2.7.2.4 防止合法用户违规访问数据

对于应用系统使用的合法数据库用户，常由于人为因素或管理不善，用户名及口令很容易泄露给第三方，第三方则可以通过命令行或管理工具直接访问敏感数据，批量窃取数据。 DES具备应用安全能力，可以将合法数据库用户与应用系统绑定，同一用户只能通过指定的应用系统访问密文，使用命令行等其他方式则无法访问密文数据。

2.7.3 产品优势

2.7.3.1 透明数据加密

DES支持我国密码管理机构认定的加密算法，也支持国际主流加密算法。对数据库可以按照列、表、表空间三种粒度提供加密配置，保证敏感数据以密文形式存储。DES不仅对数据文件进行存储加密，对日志文件，索引文件均进行加密，以实现存储层的安全加固。透明数据加密有两层含义：一是对应用系统及运维工具透明，即用户或开发商不需要对应用系统进行任何改造，用户原有的备份、恢复等运维行为不需改变；二是对有密文访问权限的用户显示明文数据，并且加、解密过程对用户完全透明。

2.7.3.2 高效数据检索

DES进行数据加密后，依然能够对密文数据提供索引能力，从而保持数据库的高效访问能力。

DES通过密文索引技术，突破了应用改造加密及网络设备加密在密文索引查询方面的；在保证索引数据的高度安全基础上，提供了对密文数据为检索条件的索引查询；在密文列上进行的等于、大于、小于和Like操作依然可以使用索引。

2.7.3.3 增强访问控制

DES增设数据安全管理员(Data Security Administrator, DSA)。DSA与数据库管理员DBA相互，共同实现对敏感字段的强存取控制，实现真正的责权一致。DBA实现对普通字段的一般性访问权限控制，DSA实现对敏感字段的增、脱密处理和密文访问权限控制。该功能在加密存储的基础上，通过的密钥管理体系和权控机制，对数据库用户进行强制访问控制，有效防止用户对敏感数据的非法访问，即使是sys、sysdba、sa等用户，也无法在未经DES授权的情况下访问加密数据。

2.7.3.4 应用身份安全

DES可提供按角色、IP地址、时间范围的密文访问控制，并具备应用身份识别能力。DES可以将合法用户与应用系统绑定，同一用户只能通过指定的应用系统访问密文数据，使用命令行、管理工具等其他任何方式均无法访问密文数据。

DES通过对应用程序或系统进行摘要值和连接随机种子的判定，保证应用身份标识不可伪造，合法的连接不可重放。

2.7.3.5 高可用易维护

DES通过与数据库的数据集成存储、RAC支持、双机热备、应急模式、多进程冗余、透明故障切换、数据错误忽略、备份恢复等技术，使DES提供与数据库相当的高可用支持和异常故障处理能力。

DES产品稳定可靠，产品化程度高，图形化管理界面，简单易用。系统安装部署在半小时内即可完成，安全加固实施(数据加密防护)一般可在一天内完成。DES具备快速、准确地整体拆除能力，解密后可确保应用系统仍然正常运行。

2.7.4 适用场景

 贵单位最近一次分保检查是什么时候？测评人员是否提出过数据库中敏感信息明文存储

存在安全隐患？

 贵单位数据库运维人员在日常数据库操作过程中，对敏感数据访问是否遵循分保中的三

权分立的安全管理要求？

 受出口的要求，国外数据库Oracle、SQL Server的安全等级评定是C2级，斯

诺登事件证明国外数据库有后门漏洞存在，您如何保护数据库中存储的敏感信息？  等保三级以上业务系统在数据安全中要求对数据库中的敏感信息加密存储，您有什么安

全防护措施？

 网安法对敏感数据提出了较高的安全防护要求，除了常规的网络手段外，是否希望从根

本上解决存储数据丢失引发的泄密问题？

 数据库管理员具有最高权限，您有什么技术手段保证他们在正常的数据库运维中不导出

或非法篡改重要数据？

 当数据库中的敏感信息加密存储了，能否保证前台应用程序不改造即可兼容，同时查询

性能不下降？

2.8 数据水印系统(DWS)

2.8.1 产品概述

安华金和数据水印系统(简称DWS)，是一款将水印标记嵌入到原始数据中，能够实现数据分发后进行溯源的产品，具有高隐蔽性、高易用性、高管理融合性等特点。数据水印系统解决了数据泄露后无法对泄露源头追溯的难题，提高了数据传递的安全性和可追溯能力。

2.8.2 客户价值

2.8.2.1 解决数据分发中的数据所有权问题

数据分发中，经过水印处理的数据带有分发单位的唯一水印标记，可作为数据所有者的识别依据，对含有重要信息的大型数据库进行版权保护，防止不法分子从中获利。

2.8.2.2 实现数据分发中的溯源追责

数据分发到其他单位后，如果出现数据泄露可通过泄露数据样本进行溯源，追溯数据源单位、分发对象、分发时间等信息。实现数据泄露后的溯源追责，降低数据使用安全隐患。

2.8.2.3 实现数据分发中的流程管理

可结合用户的数据分发管理流程，实施流程管控，提高数据分发过程中的安全性。

2.8.3 产品优势

2.8.3.1 数据水印系统四大特性

安全性：数据水印不会因为数据改动而导致水印信息丢失，保障被准确鉴别。透明性：在原始数据中嵌入水印标记信息且不易被察觉，不影响原数据使用。溯源成功率高：可以从数据片段中提取水印信息，进行数据溯源，溯源成功率高。低错误率：水印提取规则的精确设计最大限度降低数据溯源的错误概率。

2.8.3.2 数据准确溯源追责

数据开放是大势所趋，但数据敏感性也更高，数据分发流程中一旦发生数据泄露，没有标记和依据无法实现溯源追责，数据水印系统可以解决泄露追责问题。

2.8.3.3 数据分发管理安全

非授权用户实施数据水印任务前需要经过审批，授权用户可以直接下发水印任务无需审批。为了保证水印处理过程中的安全性，数据水印系统采用密钥技术，保证了数据分发业务的安全管理。

2.8.3.4 数据溯源报告详尽

水印系统具备数据溯源报告功能，能够提供给用户丰富的数据支撑，如分发数据工单、数据溯源详情记录等供数据分析使用。可自动生成报告，支持多种格式文件导出。

2.8.3.5 对外提供标准API接口

可向OA系统或运维平台提供水印数据处理接口和日志管理接口，可将数据分发日志和数据溯源日志统计发送到OA系统或运维管理系统。

2.8.4 适用场景

2.8.4.1 数据版权保护

随着数据库技术的不断发展，企业和组织需要对含有重要商业信息的数据库进行版权保护，以防止不法分子从中获利。同时，业务需要的数据共享和分发，需要严格的数据库版权保护措施才可进行。数据水印产品解决数据版权保护的问题。

2.8.4.2 合规性

《中华人民共和国网络安全法》、《商业银行信息科技风险管理指引》等法规和中，对敏感数据的保密性、安全性等明确提出要求。数据水印系统能够帮助企业和组织满足相关合规要求。

因篇幅问题不能全部显示，请点此查看更多更全内容

查看全文