基于堡垒机的数据库防御机制

尹劲梅

摘要：数据库安全作为信息安全的重要组成部分，已经越来越广泛的引起重视。如何建立一个安全的数据保障体系以确保信息安全可控也是众多专业人士研究的方向。通过堡垒机对数据库进行安全防护是目前发展的一个主流方案。本文旨在探讨，如果通过堡垒机的运作从而建设一个相对安全稳定的数据库环境。

关键词：堡垒机；数据库；安全

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2015）22-0001-02

Abstract： Database security， as one of the most important component in information security， has caused a widely public attention.How to establish a safety data security system as to ensure the information security system is one of the direction of research by many professionals. The database security is maintained through bastion host，which is the mainstream solution nowadays. This paper mainly study how to creat a safety database security system by bastion host.

Key words： Access Gateway； Database； Safety

1什么是堡垒机

堡垒机，作为一种新型的网络安全防御机制。主要是在网络中通过以网络环境监控，数据流分析，入侵行为检测等手段建立的一个安全可控的环境。从而达到保障网络稳定和数据安全的目的。相对于传统的网络防火墙等设备，他具有更高级别的安全管控能力，对于未知的入侵攻击具有较好的防御效果。

2堡垒机的原理和功能

堡垒机的工作原理主要是阻断网络和服务器设备对数据库的直接访问。通过协议代理的方式，对所有的方案和操作行为进行分析和过滤，从而保证了可信的数据访问和操作被放行，不可信或被怀疑的攻击行为将被过滤和拦截。

堡垒机的主要功能包括两个大的方面，即：核心系统运维和安全审计管控。

核心系统运维即类似于防火墙的角色，所有的操作和访问将被堡垒机所监控和过滤，对不合法的命令进行阻断，对目标设备的非法访问将被过滤，同时对所有的操作和访问行为进行记录，以备故障发生后的行为追责。其主要功能包括：单点登录、账号管理、身份认证。

单点登录：当用户需要登录到一个大型的业务系统时，只要在一个门户系统中输入用户名和密码，即可无需验证的登录到别的与此系统相互信任的业务系统。而此功能在堡垒机中的体现即对于堡垒机的各个业务系统以及所有堡垒机管控的数据库系统，用户只要在单点登录系统中登录一次，就可以等同于登录全部系统的工作，而无需记录众多系统的登录密码，大大减轻了使用者的工作压力。

账号管理：基于单点登录功能，对所有使用者的账号在生命周期内进行统一监控。可以基于角色的设定每个使用者账号的功能和权限。

身份认证：基于单点登录功能，提供统一的身份认证功能接口。支持多重模式（动态口令，静态密钥，硬件密钥，生物特征识别等）的验证方式。并且可以通过接口与第三方认证设备进行对接，具有很高的安全性和可靠性。

安全审计管控主要是指所有对于数据库的操作需要登录堡垒机来进行。通过用户名密码等手段提升安全等级。通过后台对登录用户的行为记录从而保证风险可控以及事后溯源。其主要功能包括：资源授权、访问控制、操作审计等。

资源授权：是指对堡垒机所管辖的资源按照用户、目标设备、时间、协议类型、IP行为等要素实现精细化的操作授权，从而达到最大限度保护用户资源安全的目的。

访问控制：作为堡垒机的核心功能，能够按照资源授权的定义，对所有登录用户的操作进行控制。不同的用户按照设定只可以对获得授权的资源进行访问和操控。能够有效的杜绝非法访问，越权访问等事件的发生，从而最大限度的保护用户资源的安全性。

操作审计：即对堡垒机所管控设备的操作进行审计。通过对设备录像的方式将实施人员对操作系统，安全设备，网络设备，数据库等所做的操作进行记录，从而进行风险控制。并可通过对具体操作指令的搜索，完成记录的精准定位。

3为什么要部署堡垒机

随着信息化的不断发展，信息安全的威胁也在持续增长。根据统计：目前100%的企业存在数据安全的威胁。82%的企业存在数据泄露的风险。75%企业存在系统和应用程序的漏洞。众多的企业还未对数据访问行为进行审计监控，并且无法及时对于黑客的入侵行为做出应对措施。同时，系统的安全问题也越发的日益突出。而我们已有的安全防护体系包括（防火墙、IPS、IDS、WAF、防病毒、漏洞扫描等）都只能对已知的漏洞和一直存在的木马来进行防护。而攻击者仍然可以利用未知的或未广泛扩散的漏洞、Oday漏洞控制肉鸡进而窃取机密数据。

其中主要威胁和攻击方式包括：

“零日攻击”：又叫零时差攻击，即指在安全漏洞被发现后，立刻被用于攻击。因为安全漏洞在被公布的同时，攻击程序就同时出现。大多数的安全系统还未完成系统补丁或者升级，故而完全无法抵御此类的攻击，往往引起大规模的故障。

“APT攻击”：高级持续性威胁，即以窃取核心资料为目的，针对目标所发动的网络攻击和侵袭行为。这种攻击具有极高的针对性。通过长期而稳定的监控，分析被攻击网络的结构，寻找系统可能存在的漏洞。以窃取特定资料为目的的持续性的侵袭行为。此类攻击具有很高的隐蔽性，且会给被攻击者造成极为巨大的损失。

“SQL注入攻击”：一种常用的网络攻击方式，基于web层面没有对于用户输入数据的合法性做出判断，从而导致黑客可以通过漏洞直接入侵后台的数据库。此类攻击种类繁多，难以禁绝。

基于以上种类繁多且防不胜防的不安全因素，如何解决传统设备只能应对已知威胁的缺陷是我们急需解决的问题。通过堡垒机的部署我们可以做到对已知和未知危险准确、高效、及时的判断和阻断，以此解决数据库不同层面的网络安全问题，主要包括：

1）基于网络的数据库防护：通过对网络IP地址及协议端口的分析来控制阻断远程数据库所在的操作等行为，防止未授权的系统层面的直接入侵行为，解决了操作系统层面的数据泄露威胁。

2）基于行为的数据库防护：采用流会话技术对数据库协议进行协议全解析，能够高效、精准、及时的预警并阻断内部违规数据库操作行为。

3）基于准入的数据库防护：通白名单自动学习并进行访问准入规则的固化（通过自动学习到数据库访问行为的五个元素，管理者人为固化安全规则），未被固化的数据库接入行为都会被实时的预警和阻断会话（访问源地址异常，访问源主机名称异常，访问源用户名称异常，访问工具名称异常，登录账号名称异常），从根本上解决数据库恶意访问的 威胁。

4）基于业务的数据库防护：采用流会话技术对业务SQL设计的关键字、逻辑关系等特征自动采样学习，并结合高性能的SQL语义分析计算，构建对应的SQL语法树，完成模态数据建模。从而对未知威胁进行分析和处理，并追踪到攻击源，从根本上解决三层业务系统访问的安全威胁。

4如何部署堡垒机

堡垒机作为一种网络安全防护设备，必须直接串联部署在被防护设备的物理链路上，从而保证可以高效的对网络攻击进行阻断。但是，串联设备的物理特性决定了为了避免单点链路故障，堡垒机必须具备完整的无感知的ByPass功能（bypass，是指通过设定触发状态，让两个网络不通过故障设备而直接实现物理上的联通，当功能启动后，设备也就不会再对通过的数据包做处理）。从而保证在设备故障或负载超负荷时能够启动旁路，保证正常业务的运行。如图所示：

5综述

数据库作为现今信息社会的核心，正所谓“设备有价，数据无价”。如何在网络时代确保数据的安全性已经越发的引起专业人士的关注。堡垒机作为一种新型的网络安全防御机制，极大的解决了数据库应用层防护所面临的问题。通过对数据库操作持续性的跟踪和智能识别分析未授权的或者可疑的活动，并及时处理。从而避免数据库遭到攻击所可能带来的损失。同时，堡垒机可以被视作为一个数据库管家的存在。通过堡垒机将所有需要管理的数据库纳入统一的保护。按照不同用户管理权的区分，分别对不同的数据库以及每个数据库用户的权限的划分来进行操作授权。管理员只需要登录堡垒机就可以完成所管理的数据库群的安全配置工作，极大的减轻了管理员的工作量，提升了工作效率。堡垒机的部署增进了用户对数据库安全管理的便捷性，还能提升用户的风险管控和法规遵从能力，成为数据库的“保护伞”。

参考文献：

[1]杨祥.组合电磁攻击干扰下的入侵检测模型仿真分析[J].计算机仿真，2014（11）：310-314.

[2] 王彦文.数据库审计系统是客户信息保护的利器[J].无线互联科技，2014（6）.

[3] 冯剑蕾，蔡立晶，周期律.商业银行客户信息保护策略研究[J].金融科技时代，2014（6）.