数据库全产品等保和分保的要求.doc

数据库全产品等级保护要求信息安全等级保护，是指对国家秘密信息、公民、法人和其他组织的专有信息、公开信息及存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中产生的信息安全事件分等级响应、处置。为了保证国家信息安全，国家相关部门颁布的GB 17859-1999 计算机信息系统安全保护等级划分准则、在2004年11月公安部、国家保密局 、国家密码管理委员会办公室、国务院信息化工作办公室四部委会签关于信息安全等级保护工作的实施意见（公通字200466号），规定了计算机信息系统安全保护能力从用户自主到访问验证的五个等级。政府机构、大型企业等不同机构可以根据国家的要求，遵循不同的等级保护准则。等级对象侵害客体侵害程度监管强度第一级一般系统合法权益损害自主保护第二级合法权益严重损害指导社会秩序和公共利益损害第三级重要系统社会秩序和公共利益严重损害监督检查国家安全损害第四级社会秩序和公共利益特别严重损害强制监督检查国家安全严重损害第五级极端重要系统国家安全特别严重损害专门监督检查依据关于开展全国重要信息系统安全等级保护定级工作的通知公信安【2007】861号文件要求，重要信息系统安全等级保护定级工作定级范围如下：l 电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。l 铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。 市（地）级以上党政机关的重要网站和办公信息系统。l 涉及国家秘密的信息系统信息安全技术 信息系统安全等级保护基本要求(GB/T 22239-2008)将息系统等级保护的安全基本要求分为技术要求和管理要求两大类。基本技术要求从物理安全、网络安全、主机系统安全、应用安全和数据安全几个层面提出安全要求；基本管理要求从安全管信理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理几个方面提出安全要求。n 解决方案n 等保二级要求及应答项目分类指标类考察项基本要求产品及实现第二级6.1.3 主机安全6.1.3.2 访问控制(S2)a)应启用访问控制功能，依据安全策略控制用户对资源的访问b)应实现操作系统和数据库系统特权用户的权限分立；产品：数据库防火墙、数据库监控扫描a)实现：通过数据库防火墙访问控制功能，可基于IP、SQL语句，操作时间、客户端、关键字等条件制定相应的访问控制策略b)实现：通过数据库监控扫描对权限配置不合理进行扫描，同时通过数据库防火墙进行二次的访问控制6.1.3.3 安全审计(G2)a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。d)应保护审计记录，避免受到未预期的删除、修改或覆盖等。产品：数据库审计a)、b、)c)实现：通过数据库审计或者数据库防火墙的审计功能，对服务器上的每个操作系统用户和数据库用户进行审计，可对发生时间、客户端IP地址、客户端MAC、终端程序、访问账号、访问数据库名、操作表名、SQL语句、数据库响应时间以及返回结果等关键信息进行审计d)实现：数据库审计或者数据库防火墙产品的具备独立的日志存储功能，且按照三权分立设置，审计记录可避免受到未预期的删除、修改或覆盖。6.1.4 应用安全6.1.4.1 访问控制a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作c)应由授权主体配置访问控制策略，并严格限制默认账户的访问权限d)应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成互相制约的关系产品：数据库防火墙、数据库监控扫描a)、b)实现：通过数据库防火墙访问控制功能，可基于IP、数据库表、SQL语句，操作时间、客户端、关键字等条件制定相应的访问控制策略c)实现：通过数据库监控扫描对默认账号及其权限进行扫描，发现存在的风险同时通过数据库防火墙对用户权限进行限制。d)实现：通过数据库监控扫描对数据库账号及其权限进行扫描分析，通过数据库防火墙对用户权限进行最小权限。6.1.4.3 安全审计(G2)a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计b)应保证无法删除、修改或覆盖审计记录c)审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。产品：数据库审计实现：通过数据库审计或者数据库防火墙的审计功能，对服务器上的每个操作系统用户和数据库用户进行审计，可对发生时间、客户端IP地址、客户端MAC、终端程序、访问账号、访问数据库名、操作表名、SQL语句、数据库响应时间以及返回结果等关键信息进行审计。同时数据库审计或者数据库防火墙产品的具备独立的日志存储功能，且按照三权分立设置，审计记录可避免受到未预期的删除、修改或覆盖。等保三级要求及应答项目分类指标类考察项基本要求产品及实现第三级7.1.3 主机安全7.1.3.2 访问控制（S3）a)应启用访问控制功能，依据安全策略控制用户对资源的访问b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；c)应实现操作系统和数据库系统特权用户的权限分离。产品：数据库防火墙、数据库监控扫描a)实现：通过数据库防火墙访问控制功能，可基于IP、SQL语句，操作时间、客户端、关键字等条件制定相应的访问控制策略b)实现：通过数据库监控扫描对数据库账号及其权限进行扫描分析，通过数据库防火墙对用户权限进行最小权限。c)实现：通过数据库监控扫描对权限配置不合理进行扫描，同时通过数据库防火墙进行二次的访问控制，对特权用户的权限进行分离。7.1.3.3. 安全审计（G3）a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。d)应能够根据记录数据进行分析，并生成审计报表。e)应保护审计进程，避免受到未预期的中断。f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。产品：数据库审计a)、b)、c)实现：通过数据库审计或者数据库防火墙的审计功能，对服务器上的每个操作系统用户和数据库用户进行审计，可对发生时间、客户端IP地址、客户端MAC、终端程序、访问账号、访问数据库名、操作表名、SQL语句、数据库响应时间以及返回结果等关键信息进行审计d)实现：通过数据库审计或数据库防火墙日志功能生成等级保护日志报表。e)实现：数据库审计或数据库防火墙产品的审计进程独立与数据库自身，不受数据库自身影响，同时具备双机部署等可可靠性技术。f)实现：数据库审计或者数据库防火墙产品的具备独立的日志存储功能，且按照三权分立设置，审计记录可避免受到未预期的删除、修改或覆盖。7.1.4 应用安全7.1.4.1 访问控制（S3）a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作c)应由授权主体配置访问控制策略，并严格限制默认账户的访问权限d)应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成互相制约的关系产品：据库防火墙、数据库监控扫描实现：通过数据库防火墙访问控制功能，可基于IP、数据库表、SQL语句，操作时间、客户端、关键字等条件制定相应的访问控制策略通过数据库监控扫描对默认账号及其权限进行扫描，发现存在的风险同时通过数据库防火墙对用户权限进行限制。7.1.4.3 安全审计(G3)a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录c)审计记录的内容至少应包含事件的日期、时间、发起者信息、类型、描述和结果等d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能产品：数据库审计实现：通过数据库审计或者数据库防火墙的审计功能，对服务器上的每个操作系统用户和数据库用户进行审计，可对发生时间、客户端IP地址、客户端MAC、终端程序、访问账号、访问数据库名、操作表名、SQL语句、数据库响应时间以及返回结果等关键信息进行审计。同时数据库审计或者数据库防火墙产品的具备独立的日志存储功能，且按照三权分立设置，审计记录可避免受到未预期的删除、修改或覆盖。通过数据库审计或数据库防火墙日志功能对审计记录数据进行统计、查询、分析，生成等保相关的审计报表。分保要求评测分类保护项级别评测要求符合度数据库审计与防护系统保护效果运行管理（共2分）三权分立（1分）机密级/增强级系统管理员、安全保密管理员和安全审计员的权限分离，能相互制约和监督增强级引入三权分立，增设安全管理员和审计管理员，与数据库管理员相互制约和监督。安全管理员负责数据的密文访问权限授予，可限制DBA的超级权限；审计管理员对安全管理员的权限授予和数据库用户的数据访问进行审计。身份鉴别（共8分）鉴别方式(2分)机密级使用智能卡或Ukey与口令结合的鉴别方式机密级实现动态口令牌、ukey+pin方式认证;应用级用户、数据库用户都需要经过双因素认证。增强级采用生理特征（指纹、虹膜等）方式进行鉴别访问控制（共10分）访问控制策略（3分）机密级重要信息采用分类分级的强制访问控制策略。增强级在数据加密存储的基础上，实现密文访问权限体系，对数据库用户进行强制访问控制；同时数据库用户和密文数据可进行分级管理，数据按照列、行记录可以分成不同的级别，不同级别用户只能访问相应级别的数据。增强级主体的访问控制精确到用户、客体精确到信息的级别或类别。安全审计（共4分）审计内容审计存储（2分）机密级审计内容：操作的主体、客体、内容结果等，用户的权限变更，安全管理员的行为；审计存储：有阈值设置、空间满时告警能力增强级可以对安全管理员、数据库用户进行审计。审计安全管理员的密文权限授予行为，记录用户权限变更事件；审计数据库用户对密文数据的增删改查操作行为。提供审计记录数阈值设置，自动告警，并支持审计记录归档、及按最早时间进行覆盖的策略。增强级审计内容：增加对涉密信息的访问事件审计。审