安华金和：数据库虚拟补丁技术说明

安华金和数据库保险箱（DBCofferfor Mysql）用户手册■文档编号MySQL_TDE_Cloud_20170907■密级完全公开■版本编号V 1.2■日期2017.09.07©2017安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

■适用性声明本模板用于撰写安华金和公司介绍、项目方案、商业计划书等目录安华金和数据库保险箱（DBCOFFER FOR MYSQL） (1)用户手册 (1)一.产品简介 (4)1.1概述 (4)1.2术语定义 (4)二.特别说明 (4)三.产品部署 (5)3.1W EB管理端配置 (5)3.2安全服务初始化 (8)3.3获取主机ID (9)3.4导入LICENSE (11)3.5启动安全服务 (12)3.6备份密钥库 (13)3.7添加M YSQL实例 (14)3.8DBC OFFER-MYSQL部署 (16)3.9数据表加解密 (17)3.9.1数据表加密 (17)3.9.2数据表解密 (21)3.10权限设置 (25)3.10.1客户端IP限定 (25)3.10.2权限设置 (27)3.10.3应用关联 (30)四.三权分立 (33)4.1系统管理员 (33)4.1.1网络管理 (33)4.1.2配置管理 (34)4.1.3用户管理 (36)4.2安全管理员 (38)4.3审计管理员 (39)五.加密数据文件离线还原工具 (40)一.产品简介1.1概述安华金和针对客户对MySQL数据库的高安全性需求，提供安华金和数据库保险箱（简称DBCoffer）产品。

安华金和数据库保险箱系统使用透明加密技术，在不影响MySQL原有功能的基础上，实现对高敏感及重要数据的加密保护。

能够主动保护内部的数据安全，对数据库系统进行有效的安全加固。

安华金和数据库脱敏系统白皮书目录安华金和数据库脱敏系统 (1)白皮书 (1)一. 产品简介 (3)二. 应用背景 (3)2.1数据库安全已经成为信息安全焦点 (3)2.2企业需要安全的使用隐私数据 (4)2.3越发复杂的敏感数据使用场景 (4)2.4数据安全相关政策与法律法规 (4)三. 客户价值 (5)3.1保护隐私数据，满足合规性 (5)3.2保证业务可靠运行 (5)3.3实时动态保护生产系统数据 (6)3.4敏感数据统一管理 (8)四. 功能特点 (8)4.1自动识别敏感数据 (8)4.2灵活的策略和方案管理 (8)4.3内置丰富脱敏算法 (9)4.4数据子集管理 (9)4.5脱敏任务管理 (9)4.6脱敏数据验证 (10)4.7动态数据脱敏 (10)五. 联系我们 ............................................................................................................. 错误！未定义书签。

一. 产品简介安华金和数据库脱敏系统（简称DBMasker）是一款高性能、高扩展性的数据屏蔽和脱敏产品，采用专门的脱敏算法对敏感数据进行变形、屏蔽、替换、随机化、加密，将敏感数据转化为虚构数据，隐藏了真正的隐私信息，为数据的安全使用提供了基础保障。

同时脱敏后的数据可以保留原有数据的特征和分布，无需改变相应的业务系统逻辑，实现了企业低成本、高效率、安全的使用生产的隐私数据。

安华金和数据库脱敏系统脱敏产品，实现了自动识别敏感数据和管理敏感数据，提供灵活的策略和脱敏方案配置，高效可并行的脱敏能力，帮助企业快速实施敏感数据脱敏处理，同时保证数据的有效性和可用性，使脱敏后的数据能够安全的应用于测试、开发、分析，和第三方使用环境中。

安华金和数据库脱敏系统脱敏产品提供了具有极高附加价值的数据动态脱敏功能，该功能在数据库通讯协议层面，通过SQL代理技术，实现了完全透明的、实时的敏感数据掩码能力；在不需要对生产数据库中的数据进行任何改变的情况下，依据用户的角色、职责和其他IT定义规则，动态的对生产数据库返回的数据进行专门的屏蔽、加密、隐藏和审计，确保业务用户、外包用户、兼职雇员、合作伙伴、数据分析、研发和测试团队及顾问能够恰如其分地访问生产环境的敏感数据。

安华金和数据库漏洞扫描系统(DBScan)一. 产品概述安华金和数据库漏洞扫描系统(简称DBScan)是一款帮助用户对当前的数据库系统进行自动化安全评估的专业软件，能有效暴露当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，帮助用户保持数据库的安全健康状态。

DBScan是国内首款：支持七种国际主流数据库和四种国产数据库漏洞扫描产品检测项达到4300个以上的数据库安全检测产品等保专用数据库风险等级评估检测工具二. 产品价值2.1 提升数据库使用安全系数主流数据库的自身漏洞逐步暴露，数量庞大；仅CVE公布的Oracle漏洞数已达1100多个；DBScan可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞。

对检测出的漏洞，提供漏洞产生的原因分析，有针对性地给出修复建议，以及修复漏洞所需的命令、脚本、执行步骤等。

2.2 降低数据库黑客攻击风险据了解，1/2以上的生产业务数据库中都存在默认用户名/默认口令；若干黑客典型攻击手段，仅使用了最常规的数据库安全漏洞。

这些攻击都可通过基本的安全配置增强完成防护。

DBScan可以检测出在数据库使用过程中，由于人为疏忽造成的诸多安全隐患：低安全配置、弱口令、高危程序代码、权限宽泛等。

2.3 满足行业安全检测规范支持能源、运营商等行业性数据库安全检测规范，可用于检测单位的行业检测、以及用户单位的自检。

等保工具箱集成产品，提供等级保护专业检测报告，实现数据库安全合规。

三. 产品优势3.1 丰富的漏洞库支持1300个以上安全漏洞库；国内普通安全厂商的漏洞检测数在300个左右；专业数据库漏洞工具的检测数600-700个。

3.2 全面检测能力DBScan提供最为全面的检测库，仅Oracle就达到3019个检测项。

不仅支持常规产品具备的DBMS漏洞、缺省配置、弱口令、补丁包等漏洞；还支持敏感数据发现、程序代码漏洞、宽泛权限检测。

3.3 等级保护专用检测工具针对我国等级保护1、2、3、4级对数据库的安全检测要求，建立数据库等级保护检测工具集，实现等级保护检测扫描，生成等级保护检测报告。

安华金和数据库安全银行行业解决方案一. 客户需求与挑战某商行信息化高速发展的时代背景下，各银行积累的客户数据、交易记录、管理数据等呈爆炸性增长，海量数据席卷而来，海量的业务数据不但成为金融业的命脉，也成为不法分子窥探的目标，因此也意味着面临了海量的风险。

目前国家和商行内部对数据的安全管控提出了以下要求：1) 随着客户的增加，数据库信息价值不断提升，使得数据库面对来自内部和外部的安全风险大大增加；2) 内部违规越权操作、外部恶意入侵等行为，事后却无法有效追溯和审计；3) 业务访问数据库过程过慢，SQL访问性能无法了解并改善；4) 国家等级保护相关标准中要求等保二级以上信息系统中的网络层面、主机层面和应用层面均要求进行安全审计、安全控制，同时也明确要求了审计和控制的范围、内容等，粒度要求到用户级、数据表、字段级。

5) 银监会19号文中也明确提出“控制所有生产系统的活动日志，以支持有效的审计、安全论证分析和预防欺诈”。

6) 国外信息安全方面的标准或最佳实践（如ISO13335、ISO27001、SP800）等也要求对用户行为、系统、数据操作行为进行控制和审计。

特别是2014年9月银监会39号文，《关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见》（简称意见），特别在操作系统、数据库等领域要加大探索和尝试力度；从2015年起，各银行业金融机构对安全可控信息技术的应用以不低于15％的比例逐年增加，直至2019年达到不低于75％的总体占比该指导意见的发布是我国进一步重视银行业数据安全的表现。

二. 解决方案概述及要点描述某商行核心数据库在全行范围内是负责银行数据存储和处理核心设施，经过评估一旦核心数据机密性、完整性、可用性遭受损失，将会给社会秩序甚至国家安全造成严重损害。

银行因此委托了专业的数据库安全厂商，提出了以下4点安全目标：1）向合法用户提供可靠信息服务；2）拒绝非法用户对数据库的访问；3）拒绝对数据库执行高危操作4）跟踪数据库使用记录，为合规性、安全责任审查提供证据。

安华金和数据库脱敏系统（DBMasker）一. 产品概述安华金和数据库脱敏系统（简称DBMasker）是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。

DBMasker可以满足测试、开发、培训和数据共享场景的敏感数据保护需求。

DBMasker符合金融、运营商、能源、政府等行业敏感数据防护的政策合规性需求。

二. 产品价值2.1 防止生产库中敏感数据泄露DBMasker通过对生产库中的身份、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，防止生产库中的敏感数据泄露；DBMasker通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。

2.2 提升测试、开发和培训数据质量DBMasker通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。

2.3 提高数据维护和数据共享安全性DBMasker通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度，控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。

通过对访问者的不同策略，满足细粒度的生产数据访问需求。

比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息。

2.4 实现隐私数据管理的政策合规性通过DBMasker脱敏产品，可以帮助组织满足国际标准、行业监管政策中，对测试和开发环节的敏感数据保护需求。

三. 产品优势3.1 漂白只是开始，完备脱敏解决方案DBMasker具备全面的数据漂白能力，同时DBMasker具备以下能力：1）数据间关系保持：实现表间关系、同表列间关系、数据分布关系保持；2）数据子集抽取：实现基于百分比、时间或其它条件的数据抽取；3）实时动态数据脱敏：不需要数据转换存储，实时数据掩码或访问控制。

安华金和数据库脱敏系统（DBMasker）一. 产品概述安华金和数据库脱敏系统（简称DBMasker）是一款面向生产数据进行数据抽取、数据漂白和动态掩码的专业数据脱敏产品。

DBMasker可以满足测试、开发、培训和数据共享场景的敏感数据保护需求。

DBMasker符合金融、运营商、能源、政府等行业敏感数据防护的政策合规性需求。

二. 产品价值2.1 防止生产库中敏感数据泄露DBMasker通过对生产库中的身份、地址、银行卡号、电话号码等敏感数据进行混淆、扰乱后再提供给第三方使用，防止生产库中的敏感数据泄露；DBMasker通过对生产或漂白后的数据进行局部数据抽取，实现非生产环境下数据集合最小化。

2.2 提升测试、开发和培训数据质量DBMasker通过内置策略和算法，保证脱敏数据有效性（保持原有数据类型和业务格式）、完整性（保证长度不变、数据内涵不丢失）、关系性（保持表间、表内数据关联关系），以提升在测试、开发和培训环节的真实有效性。

2.3 提高数据维护和数据共享安全性DBMasker通过对生产数据库访问者用户名、IP、工具类型、时间等多个身份维度，控制对生产数据访问结果的差异化；返回结果可以为真实数据或掩码数据，或进行阻断、返回行数限定。

通过对访问者的不同策略，满足细粒度的生产数据访问需求。

比如：DBA可维护，但看不到敏感数据；业务系统访问真实数据，BI系统看到扰乱后用户身份信息。

2.4 实现隐私数据管理的政策合规性通过DBMasker脱敏产品，可以帮助组织满足国际标准、行业监管政策中，对测试和开发环节的敏感数据保护需求。

三. 产品优势3.1 漂白只是开始，完备脱敏解决方案DBMasker具备全面的数据漂白能力，同时DBMasker具备以下能力：1）数据间关系保持：实现表间关系、同表列间关系、数据分布关系保持；2）数据子集抽取：实现基于百分比、时间或其它条件的数据抽取；3）实时动态数据脱敏：不需要数据转换存储，实时数据掩码或访问控制。

安华金和数据库防火墙系统（DBFirewall）一. 产品概述安华金和数据库防火墙系统（简称DBFirewall），是一款基于数据库协议分析与控制技术的数据库安全防护系统。

DBFirewall基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

二. 产品价值2.1 防止外部黑客攻击威胁：黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。

防护：通过虚拟补丁技术捕获和阻断漏洞攻击行为，通过SQL注入特征库捕获和阻断SQL 注入行为。

2.2 防止内部高危操作威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。

防护：通过限定更新和删除影响行、限定无Where的更新和删除操作、限定drop、truncate 等高危操作避免大规模损失。

2.3 防止敏感数据泄漏威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

防护：限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间。

2.4 审计追踪非法行为威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。

防护：提供对所有数据访问行为的记录，对风险行为进行Syslog、邮件、短信等方式的告警，提供事后追踪分析工具。

三. 产品优势3.1 全面的入侵防御技术提供业界最为全面的数据库攻击行为检测和阻断技术：虚拟补丁技术：针对CVE公布的漏洞库，提供漏洞特征检测技术。

高危访问控制技术：提供对数据库用户的登录、操作行为，提供根据地点、时间、用户、操作类型、对象等特征定义高危访问行为。

SQL注入禁止技术：提供SQL注入特征库。

返回行超标禁止技术：提供对敏感表的返回行数控制。

SQL黑名单技术：提供对非法SQL的语法抽象描述。

3.2 应用“零”误报技术对于IPS类产品最重要的是在保持“低漏报率”的同时维护“低误报率”；对于数据库而言这点更为关键，一点点“误报”可能就会造成重大业务影响。

朝阳市人社局数据库安全加固项目一. 项目背景辽宁省朝阳市人力资源和社会保障局（下称“朝阳市人社局”），职能覆盖人力资源调配、就业发展和社会保障事业发展。

下辖10余个科室，体系结构庞大，各科室业务复杂关系国计民生。

其社会保障体系覆盖朝阳全市人民的五险一金管理。

信息安全关系民生，而人力资源调配工作又涉及行政机关、事业单位人员综合管理，工资收入分配等功能；并且对全市就业、失业、社会保险基金预测预警和信息进行引导管理。

朝阳市人社局组织结构庞大，业务范畴覆盖面广泛，涉及全市人口社保信息。

人社业务关系民生，数据敏感度高，因此，朝阳市人社局对数据安全防护尤为重视，经过方案调研、产品选型，最终决定由安华金和进行数据库安全加固工作。

二. 客户需求朝阳市人社局数据库体系使用Oracle _RAC集群部署，经过评估，发现朝阳市人社局面临如下数据库安全问题：1)业务系统繁杂且业务覆盖面广泛，数据库运维人员除了银行内部人员，第三方外包人员同时使用内网专用机进行日常运维。

人员身份复杂，技术力量参差不齐，误操作、越权操作现象很难避免，可能导致个人社保数据意外丢失或泄露。

2)业务系统中包含医保业务，面向医院、药房等对接操作需要进行全面的记录，包含：访问医保业务的应用客户端IP和应用用户名等信息；需要对业务用户进行审计，实现应用关联审计要求。

3)除了用户内部运维人员违规操作、越权提取等风险，针对核心数据的外部恶意入侵行为时有发生。

包括：利用数据库漏洞进行的攻击以及SQL注入攻击等行为，实现刷库、拖库等操作进行批量信息的窃取。

因数据库安全体系存在缺失，导致事中无法有效防护，事后又无法追溯审计。

三. 解决方案部署数据库防火墙系统DBFirewall+数据库监控与审计系统DBAduit朝阳社保应用系统采用光纤形成万兆网络环境，数据库服务器前端采用双链路接入核心交换机，具备网络链路冗余机制。

同时采用RAC技术保障数据库服务器高可用性。

应对朝阳社保现场拓扑结构，安华金和数据库防火墙DBFirewall采用HA双机部署模式，并结合产品自身的Bypass容灾机制，帮助用户进行【双链路】数据库安全防护，并且及时响应用户需求，实现HA会话同步机制加固信息安全，真正意义上实现了数据库全面安全防护。

安华金和数据库加密系统系统白皮书目录安华金和数据库加密系统 (1)白皮书 (1)一. 安华金和数据库加密系统产品简介 (3)二. 安华金和数据库加密系统应用背景 (3)2.1数据库安全已经成为信息安全焦点 (3)2.2数据库层面的泄密事件频发 (4)2.3数据安全相关政策与法律法规 (5)三. 安华金和数据库加密系统客户价值 (5)3.2防止由于明文存储引起的泄密 (6)3.3防止外部非法入侵窃取敏感数据 (6)3.4防止内部高权限用户数据窃取 (6)3.5防止合法用户违规数据访问 (6)四. 安华金和数据库加密系统功能特点 (7)4.1透明数据加密 (7)4.2高效数据检索 (7)4.3身份鉴别增强 (7)4.4增强访问控制 (7)4.5真正应用安全 (8)4.6敏感数据审计 (8)4.7高可用性 (8)4.8可维护性 (9)一. 安华金和数据库加密系统产品简介安华金和数据库加密系统系统（简称DBCoffer）（以下称：安华金和数据库加密系统）是一款基于透明加密技术的数据库安全加固系统，该产品能够实现对数据库中对的加密存储、访问控制增强、应用访问安全、安全审计以及三权分立等功能。

安华金和数据库加密系统基于主动防御机制，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击、来自于内部高权限用户的数据窃取、防止绕开合法应用系统直接访问数据库，从根本上解决数据库敏感数据泄漏问题。

安华金和数据库加密系统利用数据库自身扩展机制，通过独创的、已获专利的三层视图技术和密文索引等核心技术，突破了传统数据库安全加固产品的技术瓶颈，真正实现了数据高度安全、应用完全透明、密文高效访问。

安华金和数据库加密系统当前支持Windows、AIX、Linux、Solaris等多个平台，提供基于加密硬件的企业版和纯软件的标准版，支持主、从、应急等自身高可用模式，可以满足用户的多种部署需求。

安华金和数据库加密系统兼容主流加密算法和国产加密设备，提供可扩展的加密设备和加密算法接口。

政务云数据库安全整体解决方案■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

©2019安华金和目录1.概述32.电子政务安全分析32.1.安全概述32.2.系统分析42.3.安全问题52.4.安全误区62.5.安全威胁63.防护思路分析113.1逐级防护113.2用户管理123.3权限控制133.4分类展示143.5数据保密153.6敏感混淆173.7兼容扩展183.8内容审计193.9政策合规204.数据库整体安全设计214.1.设计原则214.2.总体思路224.3.数据库分区分域设计244.4.数据库安全防护设计255.方案优势365.1周期防护构建纵深365.2主动防御减少威胁365.3权限控制解决拖库365.4透明部署零改应用365.5政策合规满足标准361.概述随着互联网的发展，电子政务信息化浪潮日益深刻，信息网络技术的应用正日益普及，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，典型的如业务部门服务系统、行政部门办公系统、机关部门涉密系统等。

随着电子政务网络的层次化、分组化以及宽带化发展，政府部门越来越多的统计决策业务、日常监督检查业务、OA等管理性业务以及面向多媒体的综合业务都开始向数字化、网络化转变，这符合当前信息网络融合发展的趋势。

电子政务在多网融合后各类信息系统的数据变得集中，数据是电子政务业务的根本，数据库承载了电子政务信息系统的运行，作为电子政务业务系统的信息载体，使之能方便的收集各单位、部门上传来的数据，海量的数据信息因为数据库的而变得更加容易管理和使用。

伴随信息化的普及，数据安全日益成为影响电子政务效能的重要问题，而电子政务所具有的公开性、便捷性和权威性，在增加应用自由度的同时，对安全提出了更高的要求。

安华金和数据库安全电子政务内网解决方案4安华金和数据库安电子政务内网解决方案一. 方案概述电子政府内网中的诸多数据均属机密数据，需要严格的保护，防止信息的泄漏和篡改，同时对数据的访问踪迹实现完全可追踪化。

由于历史的原因，信息中心的诸多核心系统主要使用的是Oracle和SQL Server为代表的国外数据库产品，同时由于数据库技术的复杂性，短期内难以替代。

斯诺登事件的发生，证明了我国的机密数据放在国外数据库中，若是不采用国产自主可控的数据库安全技术进行加固，数据库中的涉密信息将有很大的泄漏风险。

即使在实现了国产化数据库系统的涉密信息系统中，当前也存在数据库运维的三元分立、防止SQL注入、漏洞攻击和全部操作要审计等诸多数据库安全需求，因此，数据库安全加固方案具有普遍意义。

本方案对电子政务内网门户、内网办公和纵向内网业务三大类信息系统，后台的数据库系统面临的安全风险、核心安全需求进行认真分析，并提出了通过事前诊断、事中控制和事后审计实现全防护时机的数据库安全解决方案，以满足对国内外数据库的安全加固要求。

二.安全需求分析2.1业务驱动需求当前电子政务内网信息系统中的涉密数据在数据库集中存储，传统的信息安全解决方案主要是通过网络传输通道加密、PKI 或增强身份认证、防火墙、IPS、堡垒机等技术构成综合的信息安全应对策略，但这些方案在现实中变得弱不禁风，大量信息泄露事件频繁爆发。

（1）传统解决方案对应用访问和数据库访问协议没有任何控制能力，比如:SQL注入就是一个典型的数据库黑客攻击手段；（2）数据泄露常常发生在内部，大量的运维人员直接接触敏感数据，传统以防外为主的网络安全解决方案失去了用武之地；（3）由于数据库漏洞被攻击破坏将可能牵连多个部门的系统的数据库不能使用，导致被刷库后数据集中泄密；（4）缺乏数据库安全管控手段，需要实现精细控制，当前的技术手段下，信息中心无法控制和追踪数据库管理员对敏感数据的访问；（5）数据库的存储文件解析后为明文，主流的大型数据库数据文件的组织结构主动或被动公开化，只要得到这些数据文件，存储的数据其实就是透明的。

安华金和数据库安全防护系统(DPS)©2019安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录安华金和数据库安全防护系统(DPS) (1)目录 (2)一. 关于安华金和 (3)1.1发展历史 (3)1.2产品路标 (4)二. 数据库安全防护系统(DPS) (5)2.1产品概述 (5)2.2客户价值 (5)2.2.1 防止外部黑客攻击 (5)2.2.2 防止内部高危操作 (5)2.2.3 防止敏感数据泄露 (6)2.2.4 防止应用违规操作 (6)2.2.5 防止频次攻击 (6)2.3产品优势 (6)2.3.1 全面入侵检测 (6)2.3.2 高度应用兼容 (7)2.3.3 业务保持能力 (7)2.3.4 敏感数据防护 (7)2.3.5 应用关联防护能力 (7)2.3.6 学习期行为建模 (8)2.4适用场景 (8)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。

安华金和由长期致力于数据处理和信息安全的专业人士共同创造，作为中国“数据安全治理”体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流程制定及技术支撑全方位的整体数据安全思路与方案；同时，安华金和作为独立的第三方云数据安全服务商（CDSP），为国内外各大云平台用户提供专业的数据安全保障；安华金和也是中国最大的公有云平台——阿里云在数据安全领域的战略合作方。

安华金和总部位于北京，分设北京营销中心与天津研发中心，下设11大分支机构，业务覆盖华北、东北、华东、华中、华南、西南等全国省市地区。

在政府、军工、金融、能源、教育、医疗、企业等各大行业建立多个标杆案例，并取得了良好的信誉口碑。

安华金和数据库安电子政务外网解决方案中国软件测评中心(中国国家工业和信息化部下属单位)2014年12月3日发布《2014年中国政府网站绩效评估总报告》显示，今年评估的900余家政府网站当中，超过93%的网站存在着本级的安全漏洞，其中97%的区县网站被监测到有安全隐患，接受评估的网站包括部委网站、省级政府网站、副省级政府网站、地市政府网站及区县政府网站。

这个也给政府的形象带来了很不利的影响，甚至给政府工作的正常运行带来了严重的威胁。

由于人们对互联网的依赖性日益增强，互联网数据资产所蕴含的经济价值更加巨大。

以CSDN 600万用户信息泄露开始，中国互联网接连爆发的信息泄露为“互联网之殇”再添一笔。

近年来，因为互联网技术漏洞导致用户信息泄露的事件时有发生，2014年5月小米论坛疑似被“拖库”，该漏洞影响约有800万左右小米论坛用户，2014年3月，携程网也曾连续爆发安全漏洞，导致部分携程用户的银行卡信息被泄露并被利用，未来针对隐私信息的破解和攻击会愈演愈烈。

如何确保信息安全，加强信息保障工作，将是政务外网建设关注的重中之重。

一、政务外网敏感数据泄漏问题分析真正有效的解决网络信息的安全问题，首先就需要分析批量个人隐私信息数据泄密、篡改途径，包括来自于外部攻击者，第三方运维人员、开发人员等内部人员的各种可能性。

从系统安全体系的角度来分析，然后找出可行的技术手段，才能真正从全方位保证网络信息安全。

核心数据安全是针对核心敏感数据的保护，处于整个安全体系的核心位置！经过对诸多网络信息安全事件的分析，发现信息泄密及篡改的最大威胁来自于外部黑客、内部运维人员及数据库管理员DBA、以及第三方服务外包人员。

外部：黑客攻击者黑客攻击者一般有两种手段进行数据的窃取：一是入侵到网络后，能够直接访问数据库服务器，进行刷库直接拷贝数据文件，利用主流数据库明文存储的缺陷，直接进行异地的数据还原，即可获得所有数据。

二是利用数据库自身的一系列缺省端口号、缺省用户密码、权限提升等漏洞，轻松获取DBA身份的高权限用户，直接导出数据。

虚拟补丁的概念虚拟补丁是指在计算机系统中，通过软件技术手段模拟出的一种补丁，它的作用是在没有对应硬件还原的情况下，对系统进行修复、升级和安全保护。

虚拟补丁通常在虚拟机环境中运行，可以补充或替代实际物理硬件的功能。

下面将详细介绍虚拟补丁的概念、原理以及应用。

首先，虚拟补丁的概念是基于虚拟化技术的。

虚拟化技术是指对计算机硬件资源进行抽象，通过软件层面的模拟，使得多个虚拟机可以在同一台物理设备上运行。

虚拟补丁是在这个虚拟化环境中运行的一种补丁，它可以提供类似于实际硬件补丁的功能。

虚拟补丁的原理是通过虚拟机监视器（VMM）来实现的。

VMM负责管理和控制虚拟机的运行，它可以截获虚拟机的指令和数据，进行修改和处理后再传递给实际物理硬件或其他虚拟机。

虚拟补丁通过在指令传递的过程中进行拦截和修改，实现对系统的修复、升级和安全保护。

虚拟补丁通常有以下几种应用场景：1. 系统修复和升级：虚拟补丁可以在不影响实际硬件的情况下，修复和升级虚拟机中的操作系统和应用程序。

例如，当操作系统存在漏洞时，可以通过虚拟补丁来修复漏洞，而无需对实际硬件进行升级或更换。

2. 系统兼容性和平台迁移：虚拟补丁可以提供对不同操作系统和硬件平台的兼容性支持。

例如，将一个运行在Windows平台上的应用程序迁移到Linux平台时，可以使用虚拟补丁来模拟Windows系统的功能，以保证应用程序的正常运行。

3. 系统安全保护：虚拟补丁可以提供一种软件层面的安全保护机制，用于检测和防止系统中的安全威胁。

例如，当虚拟机中的操作系统受到病毒或恶意软件的攻击时，虚拟补丁可以拦截、分析和修复恶意代码，保护系统的安全。

虚拟补丁的实现需要一定的技术支持。

首先，需要有一个可靠的虚拟机监视器（VMM）来管理和控制虚拟机的运行。

VMM通常是通过硬件虚拟化技术实现的，如Intel的VT-x和AMD的AMD-V。

其次，还需要一些虚拟化扩展技术，如虚拟设备驱动程序、虚拟存储器和虚拟网络等，以实现对系统硬件的模拟和管理。

安华金和数据库保险箱系统(DBCoffer)一. 产品概述安华金和数据库保险箱(简称DBCoffer) 是一款基于透明加密技术的数据库防泄漏产品，该产品能够实现对数据库中的敏感数据加密存储、访问控制增强、应用访问安全、安全审计以及三权分立功能。

DBCoffer能够防止明文存储引起的数据泄密、防止突破边界防护的外部黑客攻击、防止内部高权限用户的数据窃取，从根源上防止敏感数据泄漏。

DBCoffer通过独创的、专利的三层透明视图技术、密文索引技术和应用绑定技术，突破传统数据库安全加固产品的技术瓶颈，真正实现数据高度安全、应用完全透明、密文高效访问。

二. 产品价值2.1 全方位主动预防数据泄密预防外部黑客窃取数据威胁：数据库权限提升是当前数据库漏洞中黑客使用率最高的攻击手段，通过该手段黑客直接获得DBA身份，任意访问敏感数据。

防护：DBCoffer的密文访问控制体系，可以保证即使数据库自身的权限被突破，非授权用户仍然无法访问密文数据。

防止开发人员绕过合法应用威胁：业务系统的数据库账户常被开发或运维人员掌握，通过该账户这些人员可以直接访问数据库。

防护：DBCoffer的应用身份鉴别，确保第三方人员无法绕开合法的业务系统，直接访问敏感数据。

预防存储层明文泄密威胁：硬件设备、备份磁盘丢失，数据文件、备份文件的拷贝，都将引起机密数据泄漏。

防护：通过DBCoffer，将关键信息进行加密，加密后的数据在存储层以密文形态存在，保证他人即使拿到数据文件，也“看不懂”。

防止数据库运维人员操作敏感数据威胁：数据库的运维人员，往往有最高范围权限，一般为DBA，可看到数据库中的所有敏感信息，不符合安全管理要求。

防护：DBCoffer通过独立的二次权限控制、三权分立，保证即使是高权限运维用户，在得不到特殊授权时也无法访问敏感数据，同时不会影响其日常运维工作。

2.2 符合信息安全政策需求等级保护：要求三级以上系统应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。

安华金和数据安全产品手册©2019安华金和■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属安华金和所有，受到有关产权及版权法保护。

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录安华金和数据安全产品手册 (1)目录 (2)一. 关于安华金和 (4)1.1发展历史 (4)1.2产品路标 (5)二. 数据库安全产品系列 (6)2.1数据库安全评估系统（DSAS） (6)2.1.1 产品概述 (6)2.1.2 客户价值 (6)2.1.3 产品优势 (7)2.1.4 适用场景 (8)2.2数据资产梳理系统(DACS) (8)2.2.1 产品概述 (8)2.2.2 客户价值 (9)2.2.3 产品优势 (10)2.2.4 适用场景 (10)2.3数据库安全审计系统(DAS) (11)2.3.1 产品概述 (11)2.3.2 客户价值 (11)2.3.3 产品优势 (12)2.3.4 适用场景 (13)2.4数据库安全防护系统(DPS) (14)2.4.1 产品概述 (14)2.4.2 客户价值 (14)2.4.3 产品优势 (15)2.4.4 适用场景 (17)2.5数据库运维管理系统(DOMS) (17)2.5.1 产品概述 (17)2.5.2 客户价值 (18)2.5.3 产品优势 (19)2.5.4 适用场景 (19)2.6数据脱敏系统(DMS) (20)2.6.1 产品概述 (20)2.6.2 客户价值 (20)2.6.3 产品优势 (21)2.6.4 适用场景 (22)2.7数据库加密系统(DES) (23)2.7.1 产品概述 (23)2.7.2 客户价值 (24)2.7.3 产品优势 (25)2.7.4 适用场景 (26)2.8数据水印系统(DWS) (26)2.8.1 产品概述 (26)2.8.2 客户价值 (27)2.8.3 产品优势 (27)2.8.4 适用场景 (28)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。