数据库全产品等保和分保的要求

数据库全产品等级保护要求数据库全产品等级保护要求 信息安全等级保护 是指对国家秘密信息 公民 法人和其他组织的专有信息 公开信息及存储 传输 处理这些信息的信息系统分等级实行安全保护 对信息系统中使用的信息安全产品实行按等级管理 对信息系 统中产生的信息安全事件分等级响应 处置 为了保证国家信息安全 国家相关部门颁布的 GB 17859 1999 计算机信息系统安全保护等级划分准则 在 2004 年 11 月公安部 国家保密局 国家密码管理委员会办公室 国务院信息化工作办公室四部委会签 关 于信息安全等级保护工作的实施意见 公通字 2004 66 号 规定了计算机信息系统安全保护能力从用户自主 到访问验证的五个等级 政府机构 大型企业等不同机构可以根据国家的要求 遵循不同的等级保护准则 依据 关于开展全国重要信息系统安全等级保护定级工作的通知 公信安 2007 861 号文件要求 重要 信息系统安全等级保护定级工作定级范围如下 电信 广电行业的公用通信网 广播电视传输网等基础信息网络 经营性公众互联网信息服务单位 互联 网接入服务单位 数据中心等单位的重要信息系统 铁路 银行 海关 税务 民航 电力 证券 保险 外交 科技 发展改革 国防科技 公安 人事劳 动和社会保障 财政 审计 商务 水利 国土资源 能源 交通 文化 教育 统计 工商行政管理 邮政等行业 部门的生产 调度 管理 办公等重要信息系统 市 地 级以上党政机关的重要网站和办 公信息系统 涉及国家秘密的信息系统 信息安全技术 信息系统安全等级保护基本要求 GB T 22239 2008 将息系统等级保护的安全基本要求 分为技术要求和管理要求两大类 基本技术要求从物理安全 网络安全 主机系统安全 应用安全和数据安全 几个层面提出安全要求 基本管理要求从安全管信理机构 安全管理制度 人员安全管理 系统建设管理和系 统运维管理几个方面提出安全要求 等级对象侵害客体侵害程度监管强度 第一级 合法权益 损害自主保护 合法权益严重损害 第二级 一般系统 社会秩序和公共利益损害 指导 社会秩序和公共利益严重损害 第三级 国家安全损害 监督检查 社会秩序和公共利益特别严重损害 第四级 重要系统 国家安全严重损害 强制监督检查 第五级极端重要系统国家安全特别严重损害专门监督检查 解决方案解决方案 等保二级要求及应答等保二级要求及应答 项目分项目分 类类 指标类指标类考察项考察项基本要求基本要求产品及实现产品及实现 6 1 3 2 访问控制 S2 a 应启用访问控制功能 依据安全策略 控制用户对资源的访问 b 应实现操作系统和数据库系统特权用 户的权限分立 产品 数据库防火墙 数据库监控扫描 a 实现 通过数据库防火墙访问控制功能 可基 于 IP SQL 语句 操作时间 客户端 关键字等 条件制定相应的访问控制策略 b 实现 通过数据库监控扫描对权限配置不合理 进行扫描 同时通过数据库防火墙进行二次的访 问控制 6 1 3 主 机安全 6 1 3 3 安全审计 G2 a 审计范围应覆盖到服务器上的每个操 作系统用户和数据库用户 b 审计内容应包括重要用户行为 系统 资源的异常使用和重要系统命令的使用 等系统内重要的安全相关事件 c 审计记录应包括事件的日期 时间 类型 主体标识 客体标识和结果等 d 应保护审计记录 避免受到未预期的 删除 修改或覆盖等 产品 数据库审计 a b c 实现 通过数据库审计或者数据库防 火墙的审计功能 对服务器上的每个操作系统用 户和数据库用户进行审计 可对发生时间 客户 端 IP 地址 客户端 MAC 终端程序 访问账号 访问数据库名 操作表名 SQL 语句 数据库响 应时间以及返回结果等关键信息进行审计 d 实现 数据库审计或者数据库防火墙产品的具 备独立的日志存储功能 且按照三权分立设置 审计记录可避免受到未预期的删除 修改或覆盖 6 1 4 1 访问控制 a 应提供访问控制功能 依据安全策略 控制用户对文件 数据库表等客体的访 问 b 访问控制的覆盖范围应包括与资源访 问相关的主体 客体及它们之间的操作 c 应由授权主体配置访问控制策略 并 严格限制默认账户的访问权限 d 应授予不同账户为完成各自承担任务 所需的最小权限 并在它们之间形成互 相制约的关系 产品 数据库防火墙 数据库监控扫描 a b 实现 通过数据库防火墙访问控制功能 可基于 IP 数据库表 SQL 语句 操作时间 客 户端 关键字等条件制定相应的访问控制策略 c 实现 通过数据库监控扫描对默认账号及其权 限进行扫描 发现存在的风险同时通过数据库防 火墙对用户权限进行限制 d 实现 通过数据库监控扫描对数据库账号及其 权限进行扫描分析 通过数据库防火墙对用户权 限进行最小权限 第二级 6 1 4 应 用安全 6 1 4 3 安全审计 G2 a 应提供覆盖到每个用户的安全审计功 能 对应用系统重要安全事件进行审计 b 应保证无法删除 修改或覆盖审计记 录 c 审计记录的内容至少应包括事件日期 时间 发起者信息 类型 描述和结果 等 产品 数据库审计 实现 通过数据库审计或者数据库防火墙的审计 功能 对服务器上的每个操作系统用户和数据库 用户进行审计 可对发生时间 客户端 IP 地址 客户端 MAC 终端程序 访问账号 访问数据库 名 操作表名 SQL 语句 数据库响应时间以及 返回结果等关键信息进行审计 同时数据库审计 或者数据库防火墙产品的具备独立的日志存储功 能 且按照三权分立设置 审计记录可避免受到 未预期的删除 修改或覆盖 等保三级要求及应答等保三级要求及应答 项目分项目分 类类 指标指标 类类 考察项考察项基本要求基本要求产品及实现产品及实现 7 1 3 2 访问控 制 S3 a 应启用访问控制功能 依据安全策略 控制用户对资源的访问 b 应根据管理用户的角色分配权限 实 现管理用户的权限分离 仅授予管理用 户所需的最小权限 c 应实现操作系统和数据库系统特权用 户的权限分离 产品 数据库防火墙 数据库监控扫描 a 实现 通过数据库防火墙访问控制功能 可基于 IP SQL 语句 操作时间 客户端 关键字等条件制 定相应的访问控制策略 b 实现 通过数据库监控扫描对数据库账号及其权限 进行扫描分析 通过数据库防火墙对用户权限进行最 小权限 c 实现 通过数据库监控扫描对权限配置不合理进行 扫描 同时通过数据库防火墙进行二次的访问控制 对特权用户的权限进行分离 7 1 3 主机 安全 7 1 3 3 安全 审计 G3 a 审计范围应覆盖到服务器和重要客户 端上的每个操作系统用户和数据库用户 b 审计内容应包括重要用户行为 系统 资源的异常使用和重要系统命令的使用 等系统内重要的安全相关事件 c 审计记录应包括事件的日期 时间 类型 主体标识 客体标识和结果等 d 应能够根据记录数据进行分析 并生 成审计报表 e 应保护审计进程 避免受到未预期的 中断 f 应保护审计记录 避免受到未预期的 删除 修改或覆盖等 产品 数据库审计 a b c 实现 通过数据库审计或者数据库防火墙 的审计功能 对服务器上的每个操作系统用户和数据 库用户进行审计 可对发生时间 客户端 IP 地址 客 户端 MAC 终端程序 访问账号 访问数据库名 操 作表名 SQL 语句 数据库响应时间以及返回结果等 关键信息进行审计 d 实现 通过数据库审计或数据库防火墙日志功能生 成等级保护日志报表 e 实现 数据库审计或数据库防火墙产品的审计进程 独立与数据库自身 不受数据库自身影响 同时具备 双机部署等可可靠性技术 f 实现 数据库审计或者数据库防火墙产品的具备独 立的日志存储功能 且按照三权分立设置 审计记录 可避免受到未预期的删除 修改或覆盖 7 1 4 1 访问控 制 S3 a 应提供访问控制功能 依据安全策略 控制用户对文件 数据库表等客体的访 问 b 访问控制的覆盖范围应包括与资源访 问相关的主体 客体及它们之间的操作 c 应由授权主体配置访问控制策略 并 严格限制默认账户的访问权限 d 应授予不同账户为完成各自承担任务 所需的最小权限 并在它们之间形成互 相制约的关系 产品 据库防火墙 数据库监控扫描 实现 通过数据库防火墙访问控制功能 可基于 IP 数据库表 SQL 语句 操作时间 客户端 关键字等 条件制定相应的访问控制策略 通过数据库监控扫描对默认账号及其权限进行扫描 发现存在的风险同时通过数据库防火墙对用户权限进 行限制 第三级 7 1 4 应用 安全 7 1 4 3 安全审 计 G3 a 应提供覆盖到每个用户的安全审计功 能 对应用系统重要安全事件进行审计 b 应保证无法单独中断审计进程 无法 删除 修改或覆盖审计记录 c 审计记录的内容至少应包含事件的日 期 时间 发起者信息 类型 描述和 结果等 d 应提供对审计记录数据进行统计 查 询 分析及生成审计报表的功能 产品 数据库审计 实现 通过数据库审计或者数据库防火墙的审计功能 对服务器上的每个操作系统用户和数据库用户进行审 计 可对发生时间 客户端 IP 地址 客户端 MAC 终 端程序 访问账号 访问数据库名 操作表名 SQL 语句 数据库响应时间以及返回结果等关键信息进行 审计 同时数据库审计或者数据库防火墙产品的具备 独立的日志存储功能 且按照三权分立设置 审计记 录可避免受到未预期的删除 修改或覆盖 通过数据库审计或数据库防火墙日志功能对审计记录 数据进行统计 查询 分析 生成等保相关的审计报 表 分保要求分保要求 评测分评测分 类类保护项保护项级别级别评测要求评测要求 符合度符合度 数据库审计与防护系统保护效果数据库审计与防护系统保护效果 运行管 理 共 2 分 三权分立 1 分 机密级 增强 级 系统管理员 安全保密管理 员和安全审计员的权限分离 能相 互制约和监督 增强级 引入三权分立 增设安全管理员和审计管理员 与数据库 管理员相互制约和监督 安全管理员负责数据的密文访问权限授予 可限制 DBA 的 超级权限 审计管理员对安全管理员的权限授予和数据库用户的 数据访问进行审计 机密级 使用智能卡或 Ukey 与口令结 合的鉴别方式 身份鉴 别 共 8 分 鉴别方式 2 分 增强级 采用生理特征 指纹 虹膜 等 方式进行鉴别 机密级 实现动态口令牌 ukey pin 方式认证 应用级用户 数据库用户都需要经过双因素认证 机密级 重要信息采用分类分级的强 制访问控制策略 访问控 制 共 10 分 访问控制 策略 3 分 增强级 主体的访问控制精确到用户 客体精确到信息的级别或类别 增强级 在数据加密存储的基础上 实现密文访问权限体系 对数 据库用户进行强制访问控制 同时数据库用户和密文数据可进行分级管理 数据按照列 行记录可以分成不同的级别 不同级别用户只能访问相应级别的 数据 机密级 审计内容 操作的主体 客 体 内容结果等 用户的权限变更 安全管理员的行为 审计存储 有阈值设置 空 间满时告警能力 安全审 计 共 4 分 审计内容 审计存储 2 分 增强级 审计内容 增加对涉密信息 的访问事件审计 审计存储 审计存储空间将 满时 可进行覆盖或转储 增强级 可以对安全管理员 数据库用户进行审计 审计安全管理员的密文权限授予行为 记录用户权限变更 事件 审计数据库用户对密文数据的增删改查操作行为 提供审计记录数阈值设置 自动告警 并支持