SecureGridDBF测试方案模板v

1、SecureGrid DXG 产品测试方案-3-28目录1. 测试环境和准备工作 41.1. 测试拓扑41.2. 测试设备41.3. 网络环境准备41.4. 测试进度和人员安排 61.5. 测试原则和回退方案 72. 测试目标73. 测试项目103.1. 部署和管理10网络部署方式10数据库代理部署方式 10混合部署11数据库支持覆盖11集中管理11分权管理123.2. 数据库审计和报告 12审计规则12审计日志的完整性 13数据库响应内容的审计 14敏感表的定义14数据库存储过程的审计 15数据库绑定变量的审计 15加密数据库流量的审计 16应用用户审计16业务信息补全仃敏感数据掩码仃导入导

2、出命令的审计 18归档和自动清除 18审计日志加密19日志自动汇聚功能 19快速审计视图19报告功能203.3. 数据库扫描和评估 20数据库发现和敏感表扫描 20数据库安全评估 21虚拟补丁 21数据库用户权限汇总分析 223.4. 数据库安全和保护 22数据库漏洞特征22SQL协议安全检查22自定义数据库安全规则 23数据库使用模型生成 24数据库模型安全规则 24策略动作25数据库信息泄密规则 25安全警告信息263.5. 数据库代理相关功能 26本地数据库服务接口自动发现 26特权用户跟踪2736其他27网页应用和后台数据库关联分析 27扩展其他方案281. 测试环境和准备工作1.1.

3、 测试拓扑测试中，SG的系统需要两个设备：数据库安全网关和控制终端，控制终端就是普通的PC机。在试用部署中，在网关上进行实时数据库访问的安全分析，并进行告警和日志记录。前期采用旁路监听 模式，对正常业务没有任何影响，后期根据客户的需求可以变化做测试部署方式的改变，如改成在线部署的 方式，在线部署的情况下，检验对非法访问的实时阻断的能力。下图为SG测试环境中部署的示意图：12测试设备测试设备数量备注SecureGrid 网关(SG2500)一_-台（可将管理服务器也启动在 单台网关上）SG 7.5SecureGrid 管理服务器(SGM100可选，如需获得最佳性能， 或 测试多台集中管理需准备S

4、G 7.5真实环境的DB服务器若干台受保护的DB server笔记本终端一_-台13网络环境准备本次试用的主要目的在于考察SecureGrid的DB数据安全方案是否能够为DB服务器提供完整的数据库审计以及相关的安全保护和评估功能。为了保证测试可以顺畅进行，在测试开始之前，需要用户进行以下配 合工作:1. 提供DB服务器的大致流量和每秒的SQL交易的数量信息，以便选用合适的设备型号；2. 请告知要保护的 DB服务器的台数以及IP地址、服务端口信息；3. 如果要保护的 DB服务有SSL加密通讯，请提供Server的PEM格式的公钥和私钥， 或者PKCS12格式的证书；4. 如果需要进行DB数据库进

5、行安全漏洞扫描，需要提供DB数据库的操作系统和数据库管理员的账号和密码；5. 采用旁路监控部署方式，在连接DB服务器的交换机上做端口镜像（镜像的目的端口要是RJ45端口，如果是光口的，需要准备对应的设备接口），将DB服务器的进出流量通过端口镜像复制出来，接SecureGrid的DXG的监控端口。如果有负载均衡设备，可以在负载均衡设备之 前的交换机上面做镜像，把访问整个服务器组的流量镜像到SecureGrid的DXG上。镜像端口的流量需要双向流量。6. 采用在线部署方式，需要保证访问DB服务器的流量穿过 SG因此需要将SG串接在DB服务器前面，如果有负载均衡产品，可以选择串接在负载均衡产品之前或

6、者之后。SG提供自适应的100M/1000M的RJ45的接口，要注意和 SG连接的设备的接口应该和这个匹配。7. 请分配一个管理的IP地址给SG用于远程的管理，远程管理要用到8083（ S）和22（ SSH端口。该地址需要可以访问互联网权限，用于定期更新最新的特征代码信息。测试设备IP地址分配表:测试设备IP地址和掩码备注SecureGrid SG2500 网关管理地 址1IP : MASKGWDNSSecureGrid 管理服务器（MX100 管理地址：IP : MASK GW DNS如需测试分布式集中管理或者HA功能，则需要提供受保护的DB服务器信息表:测试设备IP地址和掩码备注受保护的D

7、B服务器1IP :Po比是否启用SSL受保护的DB服务器2IP :Po比是否启用SSL受保护的DB服务器3IP :Po比是否启用SSL如果上面分配的IP地址有访问限制，或网关的管理地址和管理服务器之间有防火墙，需要开放以下权限：防火墙规则：源地址目的地址协议/端口动作备注SG管理服务器地址Internet80允许允许SG网关定期更新 特征代码SG网关管理地址SG管理服务器地址8083允许允许网关和管理服务SG管理服务器地址SG网关管理地址443器之间正常通讯管理员SG管理服务器地址SG网关管理地址808322允许允许管理员通过 SSH 和s管理端口管理 SG 设备1.4.测试进度和人员安排时间

8、工作人员选定测试的系统，准备串接客户工程师准备测试的设备和软件SecureGrid认证工程师设备通过在线桥接方式上线SecureGrid 认证工程师，客户工程师设备配置调整，优化SecureGrid认证工程师设备收集信息，模型学习SecureGrid认证工程师告警信息收集和解释SecureGrid 认证工程师，客户 工程师Go through 测试条目SecureGrid 认证工程师，客户工程师测试总结SecureGrid 认证工程师，客户 工程师1.5.测试原则和回退方案测试将以不影响用户现有业务应用为第一原则。SecureGrid的网关将运行在旁路监听或者在线桥接模式上，这一操作对现有业务

9、没有任何影响，因为旁路监听仅将流量复制到监听端口上，完全不影响正常业务流量；而在线桥接，SecureGrid的设备是二层桥接设备，放到Web服务器的访问通路当中完全是透明的。如果出现任何异常网络问题或故障，我们可将SG设备快速故障短路（bypass）,再来分析故障具体原因，确保用户业务完全不受到测试影响。2. 测试目标本次试用的主要目的在于考察SecureGrid的数据库监控防护系统是否能够为数据库安全监控和管理提供有价值的技术手段，达到客户提出的要求，满足其功能性测试的包括：是否能提供实时、深入的数据库访问的监控，对违规和非法访问进行即时的告警；告警是否立即产生告警信息是否详细，包括：访问来

10、源IP，使用的工具，非法访问的指令，目标数据库/Schema/表，和告警的原因数据库用户的违规行为和非法访问行为包括：访问不允许访问的数据库访问不允许访问的表，或采用了不允许的操作访问不允许访问的敏感表，或采用了不允许的操作对允许的表操作，使用了不允许的指令对允许的敏感表操作，使用了不允许的指令对数据库进行不允许的高级操作使用了不允许的数据库用户进行访问对特定敏感表进行操作从未允许的地址进行访问使用未允许的软件的访问 在不允许的时间进行访问是否能提供详细的、完整的访问日志记录，和相应的分析能力；能否记录访问日志记录是否完整能否定义日志记录的条件（哪些访问操作需要记录），条件包括：数据库/Sch

11、ema，表，列，操作，访问源 IP，时间，响应的时间，响应记录的多少，发生频度, 告警类型，以及它们的任意组合。是否能屏蔽查询的参数信息记录项目包括：源/目的IP地址，被访问数据库/Schema日期时间抽取参数后的指令原始指令数据库用户名访问的工具/软件主机名高级操作响应时间存储过程异常事件信息Stream ID下行响应数据是否能进行查询和排序是否能对响应进行记录能否对审计结果提供相应的分析能力，通过审计视图展现用户感兴趣的内容是否能提供全面的数据库安全评估的能力；是否能对数据库的设置进行安全评估，包括：现有数据库的不合理配置 现有数据库平台的漏洞是否能提供提供使用行为评估的能力;是否能通过观

12、察数据库访问流量自动产生每个用户的访问行为模型模型能否自动收敛（具体参数，如指令组的状态由”学习”变为”保护”）对于已收敛的项目，是否能对非法访问产生告警；对行为模型的具体项目是否能进行调整，（如：在指令组中增加新的指令）是否对现有业务系统带来任何负面影响。设备的引入是否需要原有的数据库进行相关的调整，是否需要改变IP地址规划和路由策略当设备运行时是否产生业务的中断当设备关机时和关机后是否产生业务的中断是否能定期对相关安全策略的结果汇总分析，可以用户定制报表格式内容，并可生成使用 于塞班斯等审计机构要求的报表设备的是否有其报告功能模块能否对输出符合符合塞班斯等审计机构要求的报表设备性能是否足够

13、强大支持至少500Mbps数据库流量（SG2500）支持至少IGbps数据库流量（X4500）支持至少2Gbps数据库流量（X6500）注：此为理论值，实际值可能随用户的业务的不同而不同。丰富的数据库保护功能提供丰富的特征代码保护数据库，并且特征代码可以在线升级提供对SQL协议的保护功能3. 测试项目3.1. 部署和管理1.1.1网络部署方式测试项目网络部署方式测试说明验证产品部署方法，产品可提供旁路监听、透明桥接等多种网络部署方法。产品采用网络部署方式应该无需改动现有网络架构、无需修改在数据库服 务器安装任何插件或做任何配置变更。测试方法在测试环境中，验证各种网络部署方式，并验证是否有效，并

14、记录测试结果。预期结果系统提供旁路监听、透明桥接等多种网络部署方式系统网络部署无需改动现有网络架构、无需修改在数据库服务器安装 任何插件或做任何配置变更测试结果备注1.1.2数据库代理部署方式测试项目数据库代理部署方式测试说明系统亦提供数据库代理的部署方式。数据库代理部署可针对网络部署方式无法覆盖的本地数据库操作进行覆盖。对于需要进行审计和保护的远程分 支办事机构数据库也可以采用数据库代理的部署方式。测试方法在测试数据库服务器上安装数据库代理，并验证可成功数据库代理进行数据库审计和安全保护。预期结果系统提供各种通用平台的数据库代理程序，应包括AIX、HP Unix、Linux、Solaris、

15、Windows等主流操作系统对应的安装程序Age nt的安装无需重启服务器Age nt成功部署后，可以审计/保护所有的本地、网络数据库流量，包 括本地回环访问、IPC、Share Memory、BEQ等多种内部通讯机制的检 查测试结果备注1.1.3混合部署测试项目混合部署测试说明系统支持同时使用网络和本地代理的混合部署方式。测试方法在测试环境中，同时部署两种方式，并验证其有效性预期结果可以同时部署两种部署方式可以通过统一管理界面同时管理网关设备和数据库代理 测试结果备注1.1.4数据库支持覆盖测试项目数据库支持覆盖测试说明系统应该能尽量多的支持主流的数据库系统，保障企业的投资。测试方法通过产品

16、技术白皮书或产品界面验证是否支持足够多的数据库类型。也可以通过实际测试来验证。预期结果系统应该至少可以支持 Oracle、DB2、Informix、Sybase ASE、Sybase IQ、MS SQL Server、TeraData、MySQL、Netezza、Progress OpenEdge 等主流数 据库系统测试结果备注1.1.5集中管理测试项目集中管理测试说明系统可支持多个网关以及多个数据库代理程序的集中管理， 统一日志以及报告等功能；集中管理将有助于企业未来整个系统的扩展。统一策略设定、测试方法在测试环境中，准备集中管理服务器设备，并安装和部署多个安全网关或 数据库代理程序，在管理

17、界面中验证产品是否可集中管理多个网关设备或 代理程序。预期结果集中管理服务器可以同时管理多个网关设备或数据库代理数据库代理和网关设备的集中管理应该是在同一个管理界面，而不是各自独立的管理界面集中管理界面中可查看到所有网关设备和数据库代理程序的运行状 态、负载、当前应用的策略等信息1.1.6分权管理测试项目集分权管理测试说明系统提供分级分权的管理功能，这可以帮助企业有效的进行权责分离。安全管理员仅设定相关策略；审计管理员负责查看审计日志；业务部门负 责人仅能看到对应部门的相关配置和报告等等。测试方法在测试环境中，设置多个账号权限：1）安全管理员，仅能修改和配置策略2）审计管理员，仅能查看审计日志

18、和报告3 ）特定应用管理员，仅能管理和配置对应数据库组预期结果可以设置上述权限管理员认证可采用本地创建账号，也可以结合外部LDAP、证书、Radius等系统提供对应管理员操作的操作审计日志测试结果备注3.2. 数据库审计和报告1.1.7审计规则测试项目审计规则测试说明系统提供灵活的审计规则设定。审计规则可根据用户需求审计特定的数据库操作和访问，从而有效的记录 企业最关心的数据库操作信息，节省磁盘空间，提高了审计日志查找的效 率。测试方法在系统配置界面中，验证是否可以完成以下审计规则设定的任务：1）可自定义审计规则，或者基于现有审计策略模板生成2）审计规则可任意组合各种数据库相关条件3）审计规则

19、可灵活应用到指定的数据库保护对象上预期结果系统提供各种行业法规审计策略模板，应该包括SOX、PCI、HIPPA、ISO27001 等审计规则的条件应该至少包括数据库用户访问源操作系统主机名 访问源操作系统用户名 访问源应用软件 访问源的应用用户 源地址 目标数据库目标数据库的Schema 目标表Table 目标列-Column 数据库命令组存储过程数据库操作类型 响应的大小 影响的行数 响应的时间 敏感字典匹配 自定义字典匹配 访问的时间SQL出错信息匹配 发生的次数违规的类型测试结果备注1.1.8审计日志的完整性测试项目审计日志的完整性测试说明系统提供的审计日志必须是提供最详细和完整的数据库

20、操作相关信息。 系统审计日志的完整与否决定了审计日志的最终有效价值。测试方法在测试环境中，对目标数据库进行各种数据库的访问。访问完成后验证审 计日志的完整性和准确性。预期结果审计日志信息中应该至少包括 数据库用户访问源操作系统主机名 访问源操作系统用户名 访问源应用软件 访问源的应用用户 是否是敏感数据访问是否出现SQL执行错误 执行错误错误信息 解析到的SQL语句 响应的大小影响的行数 响应的时间 访问的时间StreamID绑定变量值Web Session ID （ BS 环境）Web源地址（BS环境）Web URL（ BS 环境）测试结果备注1.1.9数据库响应内容的审计测试项目数据库响应

21、内容的审计测试说明对于一些关键的业务表，我们不仅仅要对数据库的操作语句进行记录，同时还应该记录数据库响应的结果。测试方法在测试环境中，设置对目标数据库的目标对象进行数据库响应内容的审计,然后进行相应的数据库访问操作，观察系统是否记录了对应的数据库响应 内容。预期结果系统准确记录了数据库访问对应的响应内容数据库响应内容的记录可以指定仅记录特定的表、或列，或排除特定 的表或列。测试结果备注1.1.10敏感表的定义测试项目敏感表的定义测试说明企业数据中最需要进行审计和保护的是企业敏感数据，系统应该可以提供 敏感数据定义的方法，并可以根据数据是否敏感来设置审计策略、安全策 略以及生成报告。测试方法在测

22、试环境中，指定测试数据库上的某一个表为敏感表，并设置审计规则为对敏感表所有的访问均需要进行审计；可在报告或分析视图中，根据访 问数据是否敏感来进行统计预期结果系统可灵活的针对各个保护的数据库对象进行不同的敏感表定义系统可根据敏感表来作为匹配条件进行规则设定分析视图或报告系统中可根据敏感表访问条件进行统计和报告生成。1.1.11数据库存储过程的审计测试项目数据库存储过程的审计测试说明数据库的存储过程是存储在数据库本地的一系列数据库指令，如果仅仅只是审计存储过程的名称，则无法判断该存储过程是否访问了敏感的数据表 或其他有风险的操作。因此，我们需要系统能够自动的获取数据库上创建的各种存储过程的定义，

23、 从而实现存储过程和实际操作的对应。测试方法1）在测试数据库上创建一个新的自定义存储过程，该存储过程为删除特定的敏感数据表；2）设置安全规则为，任何删除敏感数据表的操作会生成安全告警；3）在测试系统上导入数据库中的存储过程信息，并确认已经关联到了保 护数据库对象上；4）使用该存储过程访问数据库，观察是否出发了安全规则。预期结果系统可以成功的自动导入指定的存储过程，并可设置自动计划任务；也可以支持手工定义。系统应该提供数据库缺省的存储过程定义，包括Oracle、DB2、MSSQL、Informix、Sybase等主流数据库系统准确的映射了存储过程中实际数据库表操作的行为测试结果备注1.1.12数

24、据库绑定变量的审计测试项目数据库绑定变量的审计测试说明目前，数据库绑定变量技术已经被广泛应用，这可以大大节省系统性能，提供数据库系统工作效率。但是，如果在进行数据库审计时，仅仅只审计 对应的数据库语句和变量名称，往往无法准确的判断该数据库操作的实际 操作内容。因此，我们在进行数据库审计时需要系统能够准确的审计数据 库绑定变量的变量值。测试方法对测试数据库进行具有数据库变量的访问，并查看审计结果是否准确的记 录了提交的语句和变量值。预期结果系统可以成功的审计绑定变量的变量值测试结果备注1.1.13加密数据库流量的审计测试项目加密数据库流量的审计测试说明对于采用SSL方式加密的Oracle数据库流

25、量我们也需要进行审计。测试方法构架SSL加密的Oracle访问环境，并将 SSL证书导入到审计系统中。采用SSL加密方式访问Oracle数据库，并观察是否成功的记录了对应的数 据库操作。预期结果系统可以成功导入 SSL证书系统可以成功的审计Oracle SSL加密请求测试结果备注1.1.14应用用户审计测试项目应用用户审计测试说明对于采用BS架构或者CS架构等3层架构的数据库访问，因为大多数都采用的是共享数据库账号的方式进行数据库访问，因此我们需要能够进一步 的审计应用用户信息。测试方法1）构架BS访问方式的三层数据库访问架构2）配置系统对网页应用用户、数据库访问的关联分析和审计3）进行Web

26、应用访问，并触发对应的数据库访问4）确认准确的记录了 Web应用用户，以及关联的数据库账号、数据库访 问等相关信息预期结果系统可以成功的实现 Web应用用户的追踪和关联数据库访问的审计系统应该还可以提供对CS架构的3层架构数据库访问的应用用户跟踪，例如SAP、EBS等等测试结果1.1.15业务信息补全测试项目业务信息补全测试说明在实际的数据库访问流量中，通常并不一定包含一些重要的业务相关信息，例如，应用用户所属的部门。如果希望能够在审计日志中完整的显示所有的相关业务信息，则应该提供 可扩展的接口导入企业现有 LDAP目录、文件、数据库中的相关业务信息。测试方法1）通过文件方式或者 LDAP方式

27、创建业务补全信息，例如，访问数据库源操作系统账号和对应的部门信息2）设置业务信息补全规则，例如，添加部门信息，部门信息来源于操作 系统账号对应的部门3）使用具有补全信息的操作系统账号身份访问数据库，并生成相应的审 计日志4）检查审计日志中是否包含补全的部门信息预期结果业务补全信息应该可以基于LDAP、CSV文件、SQL查询等多种方式业务补全信息规则可根据用户需求自定义添加各种业务字段，例如， 部门、工单、Manager等等测试结果备注1.1.16敏感数据掩码测试项目敏感数据掩码测试说明对于审计日志或告警中出现的敏感信息，我们应该进行敏感信息的掩码，避免通过审计日志泄密的情况出现。测试方法在测试

28、数据库服务器对象上，添加敏感数据掩码的设置，例如，添加对所有的Visa信用卡卡号进行掩码处理。在测试数据库服务器上创建一个包含有Visa信用卡信息的数据库表，然后对该表的访问进行查询响应的审计。在完成查询该表后，查看记录下的数据库响应内容中，信用卡信息是否被 成功掩码。预期结果系统准确的掩码了审计日志或告警中相关的敏感信息；系统掩码功能应该可以覆盖所有的查询信息、绑定变量、告警、数据库响应内容等；掩码功能可以指定对特定的表或者特定列进行掩码。测试结果1.1.17导入导出命令的审计测试项目导入导出命令的审计测试说明对于非SQL语句的数据库操作命令，系统也应该进行全面的审计。特别是 针对风险较高的

29、数据库导入导出命令。测试方法使用Oracle客户端的主机连接一台Oracle测试数据库服务器，使用下面的命令进行一个 Direct Export操作，并观察审计效果exp userid=<user name>/<password><database> file=<file namelog=<log- file> tables=<qualified-table-n ame> direct=yuser name -a privileged user n ame password -the password of that user

30、database -n ame of the TNS entry as appears in tnsn ames.ora file name -the data to export the file to log-file -a log file for the export operation tables -fully qualified table n ame: schema.table预期结果测试结果系统可以准确的审计 Direct Export命令；备注1.1.18归档和自动清除测试项目归档和自动清除测试说明由于审计日志量较大，而且需要长时间的保存，因此我们需要确保系统提供灵活的归档

31、方式，并可在成功归档到外部存储后自动清除测试方法设置自动归档的计划任务，观察系统是否能成功自动归档；设置自动删除的计划任务，观察系统是否能成功自动删除日志文件预期结果系统可以提供FTP、SCP、NFS等多种方式进行归档；可计划任务自动归档；可计划任务自动清除，并保留指定时间段的审计日志测试结果1.1.19审计日志加密测试项目审计日志加密测试说明考虑到审计日志的安全性，所有的归档日志文件均应该采用加密方式保存测试方法设置加密归档日志规则，并检查归档存储的日志文件是否被加密预期结果系统可加密审计日志测试结果备注1.1.20日志自动汇聚功能测试项目日志自动汇聚功能测试说明为了方便审计日志的查看，系统

32、应该将相同特性的数据库访问进行归并，提供日志汇聚查看的视图测试方法进行相同特性的数据库访问多次，并观察审计日志的展现预期结果相同数据库用户，源ip地址，源操作系统，源操作系统用户，访问使用的应用软件，被访问的表，访问的操作指令的操作被汇聚在同一记 录中可点击展开记录的所有内容1.1.21快速审计视图测试项目快速审计视图测试说明有别于表单方式的传统的审计日志查看，快速审计视图提供了即点即看的 审计日志分析视图。这些分析视图可以帮助企业通过分析审计日志，发现 潜在的数据库风险。测试方法选择对应的时间段，选择快速审计视图。查看系统的快速审计视图是否能立即展现各种分析图表预期结果快速分析视图可直接展现

33、各种分析图形图表，无需长时间的等待生成 报告快速分析视图应该包含服务器性能分析、访问源分析、数据库访问类 型分析、特权操作分析、数据库错误分析等多种常用的分析视图；分析视图可进一步点击查看详细的细节内容 分析视图可在任意截面导出为报告测试结果备注1.1.22报告功能测试项目报告功能测试说明系统应该提供丰富的报告模板供用户选择，并可定时定期生成，通过邮件发送。测试方法1）通过产品管理界面查看是否具备大量的报告模板。2）自定义一个报告，并选择计划任务生成，并以邮件发送。3）检查是否正确的生成了报告，并成功发送邮件预期结果系统提供大量法规遵从和企业应用报告模板，包括PCI、SOX、HIPAA、IS0

34、27001、SAP、EBS 等等报告内容可自定义修改 报告可以计划生成，并可邮件外发；测试结果备注3.3. 数据库扫描和评估1.1.23数据库发现和敏感表扫描测试项目数据库发现和敏感表扫描测试说明在一个较大规模的企业中，数据库数量较多，因此需要通过扫描工具发现数据库的分布；敏感表可通过手工定义，但是自动的敏感表扫描可以更加准确和快速的了 解敏感数据在数据库中的分布，更加准确的定义审计规则和安全规则 测试方法 1）数据库发现创建一个数据库发现的任务，针对测试网段的数据库进行扫描发现。 观察发现结果是否准确。2） 敏感表扫描创建一个敏感表扫描规则，针对目标测试数据库进行敏感表的扫描。 观察扫描结果

35、是否准确。预期结果系统具备各种数据库发现的能力，并可定期自动扫描并将新发现的数 据库对象添加为保护对象，应用缺省的安全规则。系统具备敏感表扫描的功能，并可定期自动扫描并将新发现的敏感表 对象添加到对应的数据库对象上。敏感表的扫描应该可以提供基于表名、列名、表内容等方式扫描 系统应该提供常用的敏感表定义的模板供用户参考和选择敏感表的扫描可设定范围，包含 /排除特定的数据库、特定的数据表、 列测试结果备注1.1.24数据库安全评估测试项目数据库安全评估测试说明对数据库进行主动性安全评估，找到涉及到数据库安全的配置问题和疏漏测试方法在具有数据库业务流量环境中，运行数据库安全评估测试，观察漏洞扫描的结

36、果预期结果系统可提供主动进行数据库漏洞的评估测试脚本，例如CVE漏洞等系统可提供提供常见数据库漏洞、安全配置检查脚本 系统可自定义操作系统以及数据库级检查脚本安全评估测试脚本可自动更新1.1.25虚拟补丁测试项目虚拟补丁测试说明对于已经发现的数据库漏洞可进行虚拟补丁，缩小补丁被真实应用的安全空窗期测试方法在已经发现的数据库漏洞上进行虚拟补丁的选项操作，观察系统是否自动生成虚拟补丁安全策略预期结果系统提供虚拟补丁的功能系统在应用虚拟补丁后，自动生成了对应的安全策略，并可针对该漏 洞进行实时防护测试结果备注1.1.26数据库用户权限汇总分析测试项目数据库用户权限汇总分析测试说明对于分别在多个数据库

37、上的众多数据库账号进行权限的定期核查是一件非常困难的事情，因此我们需要有一个可集中汇总所有的数据库账号进行统 一分析和审批的工具测试方法设置用户权限汇总任务，运行完成后，观察是准确汇总多台测试数据库上的数据库账号和权限信息，并提供相关分析报告预期结果可以成功汇总数据库的所有账号权限提供内嵌的审批流程 可结合数据库中这些账号被设置的权限以及实际被审计到访问数据库 的情况，提供各种账号权限分析视图测试结果备注34数据库安全和保护1.1.27数据库漏洞特征测试项目数据库漏洞特征测试说明检验是否能有特征代码保护方式防护针对系统漏洞的非法操作测试方法1）产生多种违反特征代码的访问流量，观察告警的产生2）

38、测试特征代码的在线升级预期结果系统提供多种数据库漏洞相关协议特征签名，并可准确识别和阻断这些系统漏洞的攻击行为系统提供自动升级特征代码，也可以支持手工上传测试结果备注1.1.28SQL协议安全检查测试项目SQL协议安全检查测试说明检验数据库流量是否符合标准SQL协议规定，对于出现不符合标准协议的请求应该进行警告或阻断SQL测试方法观察产品配置界面中是否包含SQL协议校验相关的安全策略预期结果系统提供SQL协议校验的相关安全规则系统可针对不符合协议规定的请求进行警告或阻断 测试结果备注1.1.29自定义数据库安全规则测试项目自定义数据库安全规则测试说明系统提供灵活的数据库安全规则设定。可根据业务

39、需要自定义各种场景的安全规则，对于违规的数据库访问可进 行实时警告和阻断。测试方法在系统配置界面中，验证是否可以完成以下安全规则设定的任务：1）可自定义安全规则，或者基于现有安全策略模板生成2）安全规则可任意组合各种数据库相关条件3）安全规则可灵活应用到指定的数据库保护对象上4）可实时警告和阻断违规的数据库操作预期结果系统提供各种行业法规安全策略模板，应该包括SOX、PCI、HIPPA、IS027001 等安全规则的条件应该至少包括数据库用户访问源操作系统主机名访问源操作系统用户名访问源应用软件访问源的应用用户源地址目标数据库目标数据库的Schema目标表Table目标列-Column数据库命

40、令组特权操作存储过程数据库操作类型响应的大小影响的行数响应的时间 敏感字典匹配 自定义字典匹配 访问的时间是否SQL语句出错SQL出错信息匹配是否是敏感表 发生的次数 违规的类型安全规则可应用到所有的数据库流量上，而不仅仅是被审计的数据库 流量测试结果备注1.1.30数据库使用模型生成测试项目数据库使用模型测试说明检验系统是否可以通过统计数据库实际访问流量分析和总结出每个数据库用户的访问行为模型测试方法在具有数据库业务流量环境中，运行设备，观察是否生成对应的数据库访问模型预期结果数据库访问模型是自动生成的数据库模型信息应该包括，数据库账号对应的源ip、源程序、os主机 名、OS用户、目标数据库

41、、目标表以及操作、查询、查询组等等 数据库访问模型还具备自动更新的能力用户可以手工调整测试结果备注1.1.31数据库模型安全规则测试项目数据库模型安全规则测试说明对于超出了正常业务模型的数据库访问我们可以视为可疑的数据库访问，我们应该可以针对这些可疑的数据库访问进行安全规则的设定。测试方法1）查看现有的数据库模型，确认对应的参数已经进入保护状态，或者手工调整为保护状态2）启用数据库模型安全规则3）模拟违反数据库模型的访问，并观察生成的告警信息是否准确预期结果可基于数据库使用模型设置数据库模型安全规则数据库模型规则应该至少包括：未授权的数据库用户未授权的主机未授权的OS用户未授权的源应用程序未授权的源地址未授权的数据库和 Schema访问了黑名单表工作时段的违规测试结果备注1.1.32策略动作测试项目策略动作测试说明检验是否能设置相应违规控制动作，例如阻挡、短期阻挡、长期阻挡、触发脚本、syslog、snmp等测试方法在安全策略中设置各种策略动作，并观察系统是否能正确的执行预期结果基本的安全控制动作应该包括，实时警告、阻断后续安全控制动作应该包括：短期阻断，可基于IP、用户、会话阻断一段较短的时间长期阻断，可基于IP、用户、会话阻断一段较短的时间发送syslog发送Email发送 SNMP Trap测试结果备注1.1.33数据库信息泄密规则测试项目数据库信息泄密规则测试说明检验