在日漸火熱的數(shù)據(jù)庫安全領域，數(shù)據(jù)庫審計應用相對廣泛。

本文將對目前數(shù)據(jù)庫審計市場上的兩類技水路線進行分分析。從使用效果出發(fā)淺析兩者在各維度的審汁效果上存在哪些差異呈現(xiàn)產(chǎn)品真正能實現(xiàn)的功能和價值。希望能為廣大用戶在數(shù)據(jù)庫審計產(chǎn)品的選型上提供參考依據(jù)。
 
概括來講，兩類數(shù)據(jù)庫審計的技術路線區(qū)別，根本來自于兩者的部署方式、獲取數(shù)據(jù)訪問記錄的途徑不同以及 SQL解析方式不同，審計效果自然不同從5個衡量維度看技術路線的差異衡量兩種技術路線的差異，可以從兩類產(chǎn)品在真實測試中的功能表現(xiàn)上能夠更直觀的呈現(xiàn)。下面從5個主要的衡量維度來看基于兩類技術路線的審計效果表現(xiàn)，這也是業(yè)內(nèi)對專業(yè)數(shù)據(jù)庫審計產(chǎn)品評判中普遍遵循的主要衡量指標、

1，審計結果全而性的表現(xiàn)

旁路式：通過鏡像流量和探針的方式進行全流量采集，基于全量數(shù)據(jù)庫流量進行語句和會話分析，再通過對 sql語句的細致解析，能夠審計到客戶端信息，返回結果集。這種采集方式首先對數(shù)據(jù)庫類取不挑剔,均可支持,并能夠夠審計到普通用戶和超級用戶的訪問行為。

植入式：屬于注冊代理程序的“ 入侵式”審計，利用數(shù)據(jù)庫的自審計插件(如 Oracle 的 FGAC 插件），讀取數(shù)據(jù)庫自審計日志，依賴的是數(shù)據(jù)庫自身審計能力，這有一個很大的問題，如果數(shù)據(jù)庫自身不具備審計能力，那么這類數(shù)據(jù)庫審計產(chǎn)品就無法支持對此類型數(shù)據(jù)庫的審計；并且，數(shù)據(jù)庫自審計功能一般只提供增、刪、改、查語句和部分數(shù)據(jù)庫定義語句，無法提供全操作類型審計，也無法完整地審計結果集。不過從另一個角度來看，植入式方式也有其亮點——本地操作得審計，這些不通過網(wǎng)絡的流量，傳統(tǒng)的審計方式不活不到，不過旁路式的審計，也可以通過增加rmagent，實現(xiàn)這項功能。
 
2.審計結果準確性的表現(xiàn)

前面提到，兩者對數(shù)據(jù)庫訪問的采集方式不同，這決定了兩者在審計結果準確性上的差異表現(xiàn)旁路式:由于是基于全流量的審計，如果能配合sql語句的歇息解析和特征捕獲等技術，可以準確關聯(lián)語句和會話，進行精確的審計結果查詢分析能力，準確關聯(lián)應用用戶與sql語句，這樣可以實現(xiàn)對業(yè)務行為的審計。在此基礎上形成了規(guī)則庫，也能夠更準確地識別風險訪問及漏洞攻擊行為。

植入式：由于是基于正則表達式完成sql語句規(guī)則，無法基于通訊協(xié)議解析命中語句規(guī)則，在實際工作中，會導致語句和會話無法關眹，不能按照會話進行語句梳理匯總，那么會缺乏連貫分析能力;由于不是基于流量和協(xié)議的 SQL 語句解析，對于目前用戶普遍要求的應用關眹審計，也無法實現(xiàn)。
 

3， 檢索及入庫速度的表現(xiàn)

基于 SQL 語句的獲取方式不同，兩者在檢索及人庫速度方面也會存在差異表現(xiàn)。

植入式:由于原始審計信息是記錄在數(shù)據(jù)庫中的，需要定期獲取到審計設備上，這其中可能產(chǎn)生較大的延遲。另一方面，開啟數(shù)據(jù)庫自審計計功能本身會占用大大量內(nèi)存，如果遇到高壓并發(fā)的情況,會拖慢數(shù)據(jù)處理能力，連累正常業(yè)務訪問。
 
旁路式：旁路鏡像流量的方式對應用到數(shù)據(jù)庫的訪問完全透明，不會產(chǎn)生影響，這也是目前市面上大多數(shù)審計廠商選擇旁路鏡像方式，配合精確sql解析技術來實現(xiàn)審計高可用性的主要原因之一。
 
4. 關于存儲空間的占用表現(xiàn)
 
旁路式：由于是鏡像方式獲取流量，對于審計 產(chǎn)品本身的春村優(yōu)化能力有一定要求，但不會影響數(shù)據(jù)庫服務器本身的存儲空間，需要考量對比的是產(chǎn)品本身能否提供歸一化技術和壓縮存儲技術，以節(jié)約存儲空間。

植入式：由于需要開啟自升級功能，需要占用大量的數(shù)據(jù)庫本身的存儲空間，如果同時缺乏sql歸一技術，那么在大數(shù)據(jù)處理情況下，數(shù)據(jù)庫本身的硬盤空間就會非常緊張。

5. 產(chǎn)品易用性方面的表現(xiàn)
 
植入式：數(shù)據(jù)庫審計產(chǎn)品在注冊實例的時候，需要手工輸入IP端口數(shù)據(jù)庫實例，還需要sys用戶及口令。向數(shù)據(jù)庫中注冊用戶及程序。另一方面，如果是基于正則式的規(guī)則配置，需要數(shù)據(jù)庫管理人員具備一定的技術能力，深度參與規(guī)則和策略的配置定義。
 
旁路式：由于是基于數(shù)據(jù)庫流量的語句語法解析，可以自動識別并添加審計數(shù)據(jù)庫：更專業(yè)的產(chǎn)品應能夠基于解析結果，從風險，語句，會話三個維度進行深度解析，維度之間相互管理，多從鉆取分析，這樣用戶可以對數(shù)據(jù)庫的整體安全狀態(tài)有更直觀的判斷。
 
目前，市場上的數(shù)據(jù)庫審計產(chǎn)品多以旁路鏡像方式為主，但也出現(xiàn)了采用植入式技術路線的產(chǎn)品。從表面來看都能夠實現(xiàn)數(shù)據(jù)庫訪問行為的審計。但在審計效果及用戶體驗上存在顯著的差異，用戶需要在產(chǎn)品選型時更多關注產(chǎn)品的核心技術路線，以避免在實施部署后，為信息管理工作帶來麻煩。

您可能需要了解：數(shù)據(jù)庫審計系統(tǒng)