iT邦幫忙

3

【好文分享】資料庫稽核,其實沒有那麼棘手!

稽核很討厭不解釋(哭泣)

不過資料庫稽核不一樣啦,這次的好文章是資料庫稽核喔。

各位大大平時在公司都是怎麼做這個啊(搔頭)?
資料庫稽核,其實沒有那麼棘手!

談到資料庫安全,最重要的兩件事,就是稽核與加密,然後者對應用效能影響較大,且需配合修正前端應用程式,可謂茲事體大,所以往往被擺到最後執行順位;因此「稽核」就成為IT管理者的優先任務,惟此事看似較易上手,但仍具相當執行難度,仍有不少人視此為畏途。

隨著新版個資法上路,面對嚴苛罰則,任憑神經再怎麼大條的企業,想必都不會視而不見,即使未必會立即為此斥資購進大把資訊安全配備,但最起碼,針對個人資料或機敏資料的集結處、也就是資料庫系統,進行必要的安全控制,即可謂事不宜遲。

一旦有效落實資料庫安控,IT管理者即可快速掌握並處理重大安全違規事件,不容竊賊任意搬走個資資產,並可保留完整跡證,以作為日後訟訴或求償之用;依此看來,稽核與加密等兩項攸關資料庫安控的舉措,顯然有其執行必要。

既然非做不可,多數企業也都願意展開相關評估,且評估的起點,經常都是資料庫加密,主因在於,一般從事IT、安控或稽核的人員都認為,只要做好帳號與權限控管,再針對個資進行加密處理,可謂終極保護措施。惟評估到最後,加密通常被順延至最末執行項目,只因它對於應用服務效能影響甚大,同時需要配合改寫應用程式的改寫、變更連線方式,具有較高複雜性。

那麼,相對不複雜的資料庫稽核,無疑成為企業務必優先執行的要務;但其實此事亦非輕而易舉,不僅如同加密,也會影響應用效能,只是程度較輕而已,甚至由於資料稽核功能需求經常被過度放大(例如判斷黑白名單等等),徒然加重管理負擔,使得部分IT管理者仍然敬謝不敏,百般不願採取稽核措施,就算形勢使然不得不做,也會降低稽核等級,僅記錄諸如系統開關機、特權使用者登入等基本資訊。。

做稽核拖垮效能? 因資料庫而異!
持平而論,稽核作業必定會影響資料庫性能,連帶拖累前端執行的應用程式,著實無可避免;但即使如此,不同廠牌資料庫系統所受的影響程度,其實並不一致,企業若能從中取其輕,即可把負面效應減至最低。

以微軟SQL Server為例,縱使執行稽核,對於應用效能的衝擊亦屬輕微,能夠有效化解管理者的疑慮。只因該資料庫奠基Windows平台,彼此系出同門、兄友弟恭,著眼於整體系統的最佳化運作,資料庫面對OS的資源定位,始終保持最理想的協調性,所以即便資料庫性能因稽核而稍受影響,OS仍可掌握足夠資源,撐住前端應用程式的運行效率,不致牽一髮而大動全身。

反觀其餘若干資料庫,與作業系統之間並無兄弟邦誼,對於資源定位,難免顧念自身需求而「狼吞虎嚥」,將大把資源據為己用,譬如從整個系統2GB記憶體中拿走多達1.9GB,按此比例原則,資料庫本身的效能良窳,就會對整體應用效能產生重大影響,若因執行稽核而拖慢資料庫腳步,便將產生骨牌效應,讓前端執行的應用程式效能下降得更厲害。

稽核尚且如此,論及衝擊更為劇烈的加密,其實也有相同問題。如果是SQL Server,運用內建加密功能,即可對機密資訊產生保護,亦可拜相對精準的OS資源定位所賜,不致對應用執行效率構成重大衝擊;至於其他資料庫,如前所述,礙於框限的資源比重頗大,其本身若因加密而拖累效能,與之配合的前端應用程式,在更無豐沛資源庇蔭下,所受衝擊自然更大。

稽核記錄化為報表 需加購額外工具?
多數情況下,只要談到資料庫稽核,都意指進出資料庫的存取記錄,這些記錄是以一條條Log呈現,為可視化程度不高的Raw Data,必須被轉化為報表,方能產生管理價值。

對於許多資料庫用戶,欲將Log轉成為符合安全規範要求的各式稽核報表,要嘛即需向資料庫廠商追加採購相關工具或應用程式,要嘛就得花更多錢,引進報表軟體或BI系統,以便產出更美觀的報表;但無論如何,兩者都涉及額外預算,企業老闆未免會花得心甘情願,即使咬牙放行,對於IT人員又不免徒增管理負擔,凡此種種,亦是導致資料庫稽核「不甚討喜」的因素之一。

然SQL Server本身內含SQL Server Audit元件,用戶無須額外採購,即可依據個資法等資安規範,輕鬆將資料庫的行為記錄轉製為稽核報表,舉凡有權限的使用者存取或登入失敗記錄、系統管理權限使用記錄、資料庫結構調整記錄…等等,都能化為清晰可見的管理資訊,便於推動後續審計作業;倘若管理者需要獲得更加美侖美奐的報表,亦可動用SQL Server內建的Reporting Services,一樣不需額外花費。

更有甚者,用戶可將SQL Server納為System Center集中管制的一環,據此發揮實更大範圍的個資管控效益;例如結合Sharepoint實現「資料不落地」妙效,結合Active Directory實施更精準的權責區分,亦可藉由資料庫稽核、伺服器、網路登入等多方記錄的交互比對,讓安全違規事件更加無所遁形。


1 則留言

0
海綿寶寶
iT邦超人 1 級 ‧ 2013-04-27 11:15:07

luckymei提到:
各位大大平時在公司都是怎麼做這個啊(搔頭)?

搔頭大概像這樣吧
臉紅

這個是Giyoumi
喜歡

我要留言

立即登入留言