資料庫保護解決方案停看聽 企業如何選擇？

資料庫安全的重要性我想無需贅言，企業最重要且最大量的資料都儲存在資料庫中，時有耳聞的大量資料外洩事件，其外洩標的也多為資料庫。目前針對資料庫保護的資安解決方案可說是百家爭鳴，從幾年前市場上曾經活躍一段時間的資料庫加密到這兩年較為熱門的資料庫存取稽核乃至資料遮罩(Masking)，企業如何在這麼多的廠牌、這麼多的解決方案中找出最適合自己的產品，相信是許多資訊經理人一直不斷思考的問題。

Gartner：資安料庫安全三大措施

首先來看知名IT研究單位Gartner對資料庫安全的建議策略（以下部份內容引用Gartner “Establishing a Strategy for Database Security Is No Longer Optional”報告），Gartner將資料庫安全相關的措施分為三大部份，每個部分又再細分為三種解決方案。

第一、 管理性措施
1、 資料庫安裝、設定及變更管理：
預設的資料庫安裝設定程序或工具在設計時，主要注重的是方便性而不是安全性，即使有些安全上的設定，安裝時也可能因為一時貪圖方便而略過，遵循DB供應商提供的安全指南(security guidelines)於安裝後調整DB的初始設定，是資料庫安全的第一步，之後持續地進行設定及變更管理則更為重要，因為系統會因任務或營運需求調整而更動了原本安全的配置。

2、 資料庫資料發現與分類分級：
對資料庫安全來說，資料庫的資料量、增加速度、不一致的欄位命名方式、正規化…等因素，意謂著無法明確的定義出防護重點在哪，因此資料庫資料的定位與分類是資料庫安全的重要先決條件。

3、 資料庫弱點掃瞄與評估：
弱點掃瞄工具是DB威脅及脆弱性管理的一環，甚至可將其視為整個DB安全性的稽核機制，而前述的DB安裝、設定及變更管理，若單靠作業規範或人員的安全意識做支撐，感覺略顯不足，配合弱點掃瞄評估工具可找出設定上的漏洞，協助組織落實DB安全作業規範。

第二、 預防性措施
1、資料庫加密：
資料庫加密是強力的控制手段，許多法規也都認可這樣的防護機制，但考量加密工具時需考量其對DB效能的影響，另外加密金鑰管理也是另一個考量的重點，良好的金鑰管理機制可以充分滿足安全性及災難復原的需求，最後是清楚定義資料庫帳號角色，有助於發揮加密的控制功能，按照角色進行存取控制是最直覺也最貼近組織運作邏輯的方法。

2、機敏資料遮罩：
資料遮罩(Masking)有助於將敏感資料去識別化，舉例來說身份證字號F123456789經遮罩處理後可變成F12*****89，如此即使這筆資料外洩也不會造成損害，這樣的保護方式，對遵循個資防護要求較高的法規來說是有意義的，如PCI、HIPPA、個資法…等。

傳統遮罩產品使用「靜態資料遮罩」技術，資料庫資料是實際的被遮蔽起來，因此只能用於測試環境，近年來發展出「動態資料遮罩」技術，透過Proxy或閘道的方式在用戶讀取資料庫資料時，才將查詢結果進行遮罩處理（資料庫資料仍維持原始狀態），因此可應用於正式環境，但這需要用戶端架構或作業習慣的配合，另一方面這對資料庫的特權使用者（例如：DBA/OP/AP開發人員甚至廠商）是個很好的管控（也可說是保護）機制。

3、 資料庫存取權限控制：
存取控制一直是資安防禦中最基本的措施，終級目標或者說最不容易實現的目標就是「僅開放最小權限」，現今企業在做資料庫存取控制時容易出現以下盲點：
(1) 允許直接存取而非透過AP或受控制的方法存取，比較常見的狀況是DB特權使用者（DBA/OP/AP開發人員…等）及帳號可不受限制的存取DB；
(2) 未限制存取DB的工具及途徑，如可直接使用DB管理工具連接DB；
(3) 使用DBA權限執行日常作業。

以下提供4個存取控制的參考原則：
(1) 簡化存取控制層，例如只有AP可直接存取DB；
(2) 建立正面表列ACL以避免非授權存取；
(3) 建置代理式存取架構，並限制存取DB的工具，如只予許TOAD 或特定工具經proxy存取DB；
(4) 配合網路Firewall或DAM的ACL功能，不要只依賴DB本身及AP設計的存取控制。

 

第三、 偵測性措施：

有了上述安全措施還不夠，當資料庫資料被使用者取得時，就會有外洩風險，因此需要額外的安全措施，確保資料在資料庫之外時其安全性風險得以控制。
1、 資料庫存取監控(DAM)：
DAM一般為獨立於資料庫之外的監控系統，以補強DB本身不足並避免球員兼裁判的狀況，其功用在於監控資料庫活動，及非法、偽冒或不適當的存取行為，一般DAM有兩種應用方向：
(1) 特權用戶監控：高權限使用者如DBA/OP/AP開發人員…等活動的監控及報告，當然稽核也是其重要目的，但特權使用者因權限較高且存取方式較多樣化，如何將其活動過程完整納入監控，除DAM功能外，亦需在作業規範上做些許調整；
(2) 一般使用者監控：一般使用者主要透過AP來存取資料，因此從使用者到AP到DB的整個交易活動將是監控重點，當然禁止一般使用者直接存取DB也可以由DAM做限制。

上述兩種應用對於DAM配置及功能要求不盡相同，在後面將加以說明。

2、安全事件管理(SIEM; Security Information Event Management)：
SIEM收集各種資安訊息及日誌並提供兩個主要功能，一是日誌管理，包括日誌收集、查詢、報表和分析…等；二是安全事件管理，分析由資安設備、網路、系統、AP等訊息，再提供安全監控、事件關聯及反應建議等；

3、資料外洩防護(DLP)：
現今防制機敏資料外洩解決方案的主流，可以補足資料庫資料移轉至用戶端後的安全控管。

以上概略說明資料庫保護的一些綱領，但實際上該如何選擇解決方案？是否需一次買齊？是否有較易量化且可分階段實施的評估模型？接下來將以資料庫安全等級評量模型(DQC-S; Database Quality Certification–Security Model)來說明資料庫安全的評估思維。

由於本篇主題為如何找出適合的資料庫安全解決方案，因此先排除前述所提於現有機制上強化安全防護效果的措施，另外屬於整體性安全管理的SIEM及較外圍的DLP因與本次主題不同，故亦不納入。

DQC-S模型：資料庫安全解決方案的4個等級

DQC-S將資料庫安全解決方案分成4個等級，等級越前面的建議優先考量，當然這不是絕對標準，仍需依實施狀況及需求調整，四個等級分述如下：

等級一：資料庫稽核與保護：包含DAM、DB Firewall、敏感資料遮罩等相關產品或功能，追蹤所有DB存取並阻止非法使用。
等級二：資料庫加密，可加密機敏資料如個資。
等級三：資料庫作業流程管理(Work flow)：包含於DAM產品中，亦可由組織內現在Work flow系統客製化達成（專案風險較高，且若與資料庫運作整合，因起始設計大多不是為資安所建立的系統，容易產生額外安全風險），以作業流程阻擋惡意或不當的DB操作。
等級四：資料庫弱點評估：建設需要有弱點掃瞄、滲透測試、設定稽核及修復建議等功能，找出資料庫安全漏洞防範可能攻擊。

圖1將資料庫安全威脅、資安三要素(CIA)、資料庫安全防護技術及DQC-S做個對應，從圖中及前述說明可以發現建立DAM系統可能會是覆蓋率較高的選擇，可以一次涵蓋資料庫稽核、保護及Work flow，至於加密及弱點評估相對較為獨立，可依實際狀況評估導入的時機或是否需要導入。