数据库三权

① 怎么开启GBase 8c数据库的三权分立功能

将参数enableSeparationOfDuty设置为on。

② 华为服务器如何设置三权分立账户

华为服务器如何设置三权分立账户：
1.三权分立，系统管理员将不再具有CREATEROLE属性（安全管理员）和AUDITADMIN属性（审计管理员）能力。即不再拥有创建角色和用户的权限，并不再拥有查看和维护数据库审计日志的权限。关于CREATEROLE属性和AUDITADMIN属性的更多信息请参考CREATE ROLE。

三权分立后，系统管理员只会对自己作为所有者的对象有权限。

初始用户的权限不受三权分立设置影响。因此建议仅将此初始用户作为DBA管理用途，而非业务应用。

③ 数据库审计系统是什么，有什么作用

数据库审计是对数据库访问行为进行监管的系统，一般采用旁路部署的方式，通过镜像或探针的方式采集所有数据库的访问流量，并基于sql语法、语义的解析技术，记录下数据库的所有访问和操作行为，例如访问数据的用户（IP、账号、时间），操作（增、删、改、查）、对象（表、字段）等。数据库审计系统的主要价值有两点，一是：在发生数据库安全事件（例如数据篡改、泄露）后为事件的追责定责提供依据；二是，针对数据库操作的风险行为进行时时告警。

二、数据库审计怎么审？

1、数据库访问流量采集

流量采集是数据库审计系统的基础，只有做到数据库访问流量的全采集，才能保证数据库审计的可用性和价值，目前主要的流量采集方式主要有两种：

镜像方式：采用旁路部署通过镜像方式获取数据库的所有访问流量。一般适用于传统IT架构，通过镜像方式将所有访问数据库的流量转发到数据库审计系统，来实现数据库访问流量的获取。

探针方式：为了适应“云环境”“虚拟化”及“一体机”数据库审计需求，基于“探针”方式捕获数据库访问流量。适用于复杂的网络环境，在应用端或数据库服务器部署Rmagent组件（产品提供），通过虚拟环境分配的审计管理网口进行数据传输，完成数据库流量采集。

探针式数据采集，还可以进行数据库本地行为审计，包括数据库和应用系统同机审计和远程登录后的客户端行为。

2、语法、语义解析

SQL语法、语义的解析技术，是实现数据库审计系统可用、易用的必要条件。准确的数据库协议解析，能够保障数据库审计的全面性与易用性。全面的审计结果应该包括：访问数据库的应用层信息、客户端信息、数据库信息、对象信息、响应信息、登录时间、操作时间、SQL响应时长等；高易用性的数据库审计产品的审计结果和报告，应该能够使用业务化的语言呈现出对数据库的访问行为，例如将数据库中的要素客户端IP、数据库用户、SQL 操作类型、数据库表名称、列名称、过滤条件变成业务人员熟悉的要素：办公地点、工作人员名称、业务操作、业务对象、业务元素、某种类别的业务信息。这样的是审计结果呈现即便是非专业的DBA或运维人员的管理者或业务人员也能够看懂。

三、数据库审计的价值？

1、数据库相关安全事件的追溯与定责

数据库审计的核心价值是在发生数据库安全事件后，为追责、定责提供依据，与此同时也可以对数据库的攻击和非法操作等行为起到震慑的作用。数据库自身携带的审计功能，不仅会拖慢数据库的性能，同时也有其自身的弊端，比如高权限用户可以删除审计日志，日志查看需要专业知识，日志分析复杂度高等。独立的数据库审计产品，可以有效避免以上弊端。三权分立原则可以避免针对审计日志的删除和篡改，SQL语句解析技术，可以将审计结果翻译成通俗易懂的业务化语言，使得一般的业务人员和管理者也能看懂。

2、数据库风险行为发现与告警

数据库审计系统还可以对于针对数据库的攻击和风险操作等进行实时告警，以便管理人员及时作出应对措施，从而避免数据被破坏或者窃取。这一功能的实现主要基于sql的语句准确解析技术，利用对SQL语句的特征分析，快速实现对语句的策略判定，从而发现数据库入侵行为、数据库异常行为、数据库违规访问行为，并通过短信、邮件、Syslog等多种方式实时告警。

3、满足合规需求

满足国家《网络安全法》、等保规定以及各行业规定中对于数据库审计的合规性需求。并可根据需求形成不同的审计报表，例如：综合报表、合规性报表、专项报表、自定义报表等。

④ 三权发证数据库成果资料包括哪些

常见的数据库．如ACCESS，MSSQL，MYSQL，ORACLE，DB2.一般前三个用得多一点．ACC用于一般的企业网站．数据量小．访问量小．后两个，用于大点的网站．在效率上会比ACC要高．最后两个，一般都是大型的应用平台才会用到．当然，还会有其它的数据库．但一般用得少．

⑤ 有没有比较好的金融（或银行）数据库安全方案

互联网的急速发展和网上银行业务的开展使得银行数据库信息的价值及可访问性得到了提升，也使数据库面临来自互联网严峻的挑战。这些安全挑战不仅来自于银行外部，银行内部同样存在核心数据遭泄露的安全隐患。诸多银行核心数据泄露的事件，已经让银行管理人员意识到数据的重要性。

为解决传统运维模式面临的事前身份不明确，授权不清晰，事中操作不透明，过程不可控，事后操作无法审计，问责追究不明确等现实问题，银行建设数据库审计系统，形成事前授权，事中预警，事后取证的关联审计基础。

可实现例如以下数据库操作行为的审计：

• 针对具有下载权限的行员，通过应用系统前端导出业务数据的审计。

业务人员通过应用系统进行指标分析、营销统计、绩效考核等工作，或可出现多种风险：

①权限滥用：业务人员访问不该访问的数据;

②权限冒用：冒用他人权限进行数据操作。

以及其他风险

利用数据库审计对数据库使用过程中出现的风险问题进行及时的追踪，智能发现DBA等特权账号的违规操作。

• 运维人员、数据分析服务人员通过应用系统后台或直接操作数据库的方式接触业务数据，或可有以下风险：

运维人员进行维护时操作是否规范(具体如下)：

①在不需做导出操作时将数据导出

②在只需查看A时，查看B、C，或只需查看500比特的内容，却查看了2000比特

通过使用“六元组“技术的数据库审计系统，对应用系统客户端访问数据库进行安全审计。

部署数据库审计系统，能够在数据丢失或者被盗前，对可疑的活动进行识别，实现对数据库访问操作事前规划预防，事中实时监控、违规行为响应，事后合规报告、事故追踪溯源，有效减少核心信息资产的破坏和泄漏。

解决方案：引入数据库审计系统

银行的数据安全威胁，存在于传输与使用过程，如发送到行外，发送给不相关的人，在使用时大量拷贝数据、打印文档等，都将造成银行核心数据泄露风险。

从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。在三权分立的基础上实施内控与审计，有效地控制操作风险(包括业务操作风险与运维操作风险等)。数据库审计实现了独立的审计与三权分立，完善了IT内控机制。

昂楷数据库审计系统目前已拥有昆仑银行、慈溪农商行、江苏省农村信用社、成都农商银行等多家银行应用案例，为银行核心数据带来安全保障。

⑥ gaussdb的三权分立开启后哪个管理员可以查看审计日志

gaussdb三权分立开启后管理员不能查看审计日志。三权分立开启后，系统管理员将不再拥有查看和维护数据库审计日志的权限。

⑦ 如何掌握openGauss数据库核心技术秘诀五：拿捏数据库安全（4）

目录

Ⅰ.openGauss安全机制概览

Ⅱ.openGauss安全认证

Ⅲ.openGauss角色管理机制

Ⅳ.openGauss审计与追踪

1.审计记录机制

2.审计追踪机制

3.统一审计

Ⅴ.openGauss数据安全技术

Ⅵ.openGauss云安全技术

Ⅶ.openGauss智能安全机制

四.openGauss审计与追踪

openGauss在部署完成后，实际上会有多个用户参与数据管理。除了管理员用户外，更多的是创建的普通用户直接进行数据管理。用户的多样性会导致数据库存在一些不可预期的风险。如何快速发现和追溯到这些异常的行为，则需要依赖审计机制和审计追踪机制。

审计记录机制 01

审计记录的关键在于：

§ 定义何种数据库操作行为需要进行日志记录。

§ 记录的事件以何种形式展现和存储。

只有有效的记录了所关心的行为信息，才能依据这些行为进行问题审计和追溯，实现对系统的一个有效监督。

正如我们在“三权分立模型”章节描述的，进行权限分离后，就出现了审计管理员（当然也可以使用普通角色管理模型中的系统管理员来担当）。审计管理员最重要的作用在于对管理员以及普通用户所有关心的行为进行记录和审计追溯。审计首先要定义审计哪些数据库行为，其次需要定义审计内容记录在什么文件中以及何种目录下，最后需要定义清楚应提供何种接口供审计管理员进行审计查询。

openGauss针对用户所关心的行为提供了基础审计能力，包括事件的发起者、发生的时间和发生的内容。openGauss的审计功能受总体开关audit_enabled控制，默认开启。该开关不支持动态加载，需要重启数据库后才可以使功能的性质发生改变。在总体开关的基础上，openGauss增加了每一个对应审计项的开关。只有相应的开关开启，对应的审计功能项才能生效。

不同于总体开关，每一个对应的子审计项都支持动态加载，在数据库运行期间修改审计开关的值，不需要重启数据库即可支持。审计的子项目包括如下的部分：

§ audit_login_logout：用户登录、注销审计

§ audit_database_process：数据库启动、停止、恢复和切换审计

§ audit_user_locked：用户锁定和解锁审计

§ audit_user_violation：用户访问越权审计

§ audit_grant_revoke：授权和回收权限审计

§ audit_system_object：数据库对象的Create、Alter和Drop操作审计

§ audit_dml_state：具体表的INSERT、UDPDATE和DELETE操作审计

§ audit_dml_state_select：select查询操作审计

§ audit__exec：行为审计

§ audit_function_exec：审计执行function的操作

§ audit_set_parameter：审计设置参数的行为

定义完审计记录行为后，当数据库执行相关的操作，内核独立的审计线程就会记录审计日志。

传统的审计日志保存方法有两种，记录到数据库的表中以及记录到OS文件中。前种方法由于表是数据库的对象，在符合权限的情况下就可以访问到该审计表，当发生非法操作时，审计记录的准确性难以得到保证。而后种方法虽然需要用户维护审计日志，但是比较安全，即使一个账户可以访问数据库，但不一定有访问OS这个文件的权限。

与审计日志存储相关的配置参数及其含义定义如下：

§ audit_directory：字符串类型，定义审计日志在系统中的存储目录，一个相对于“/data”数据目录的路径，默认值为：/var/log/openGauss/perfadm/pg_audit，也可以由用户指定。

§ audit_resource_policy：布尔类型，控制审计日志的保存策略，即以空间还是时间限制为优先策略决定审计文件更新，默认值为on。

§ audit_space_limit：整型类型，定义允许审计日志占用的磁盘空间总量，默认值为1GB，在实际配置中需要结合环境进行总体考虑。

§ audit_file_remain_time：整型类型，定义保留审计日志的最短时间要求，默认值为90，单位为天。特别的，如果取值为0，则表示无时间限制。

§ audit_file_remian_threshold：整型类型，定义审计目录audit_directory下可以存储的审计文件个数。默认值为1048576。

§ audit_rotation_size：整型类型，定义单个审计日志文件的最大大小，当审计日志文件大小超过此参数值时，新创建一个审计文件。

§ audit_rotation_interval：整型类型，定义新创建一个审计日志文件的时间间隔。默认值为1天，单位为分钟。

通过上述的这些配置参数，系统管理员用户可以在查询任务发生后找到对应的审计日志，并进行有效归档。审计日志文件也会按照参数指定的规则来进行更新、轮换等。

审计追踪机制 02

openGauss将审计所产生的文件独立存放在审计文件中，并按照产生的先后顺序进行标记管理，并以特定的格式进行存储（默认为二进制格式文件）。当审计管理员需要进行审计查询时，通过执行函数pg_query_audit即可，其具体的语法如下所示：

其中，valid_start_time和valid_end_time定义了审计管理员将要审计的有效开始时间和有效结束时间；audit_log表示审计日志信息所在的归档路径，当不指定该参数时，默认查看链接当前实例的审计日志文件(不区分具体的审计文件)。

值得注意的是，valid_start_time和valid_end_time的有效值为从valid_start_time日期中的00:00:00开始到valid_end_time日期中23:59:59之间。由于审计日志中包含了众多的信息，如时间、地点、行为分类等等，审计管理在获得完整的信息后可以增加各种过滤条件来获得相对应的更明确的信息。

统一审计 03

传统审计依据开关定义了不同的审计组合行为。事实上，这种无区分对待的审计行为虽然记录了所有想要审计的行为，但是对于通过审计日志发现问题则显得不那么容易，且管理员无法为特定的用户定义特定的行为，反而造成了系统处理的负担。因此需要为审计添加更精细化管理的能力。

统一审计的目的在于通过一系列有效的规则在数据库内部有选择性执行有效的审计，从而简化管理，提高数据库生成的审计数据的安全性。本节所述的技术目前处于研发阶段，对应产品尚未向客户发布。

openGauss提供了一套完整的统一审计策略机制，依据不同任务的诉求对用户的行为进行定制化审计管理。更进一步，openGauss的统一审计不仅可以依据用户、依据表进行审计行为定义，同时还可以扩展至通过IP地址、APP的名称来过滤和限制需要审计的内容。实际的语法如下所示：

其中，privilege_audit_clause定义语法如下：

该语法定义了针对DDL类语句的审计策略，其中LABEL表示一组资产集合，即数据库对象的集合。access_audit_clause定义语法如下：

该语法定义了针对DML类语句的审计策略。filter_clause标记需要过滤的信息，常见的Filter types类型包括IP、APPS应用（访问的应用名）、ROLES（数据库系统用户）以及LABEL对象。

一个有效的统一审计策略可参见如下：

表示创建针对CREATE/ALTER/DROP操作的审计策略，审计策略只对dev用户在本地（local）执行CREATE/ALTER/DROP行为时生效。

未完待续......

⑧ 对网络数据库的安全认识

异构数据库的安全性包括：机密性、完整性和可用性，数据库在三个层次上的异构，客户机 /服务器通过开放的网络环境，跨不同硬件和软件平台通信，数据库安全问题在异构环境下变得更加复杂。而且异构环境的系统具有可扩展性，能管理分布或联邦数据库环境，每个结点服务器还能自治实行集中式安全管理和访问控制，对自己创建的用户、规则、客体进行安全管理。如由DBA或安全管理员执行本部门、本地区、或整体的安全策略，授权特定的管理员管理各组应用程序、用户、规则和数据库。因此访问控制和安全管理尤为重要。异构环境的数据库安全策略有：

全局范围的身份验证;
全局的访问控制，以支持各类局部访问控制（自主和强制访问控制）;
全局完整性控制;
网络安全管理，包括网络信息加密、网络入侵防护和检测等;
审计技术;
数据库及应用系统安全，如自动的应用系统集成、对象管理等。开发者能定义各个对象的安全性。根据定义的数据库安全性，DBA能迅速准确地通过应用系统给所有数据库对象授权和回收权限。
复杂的口令管理技术

----c复杂的口令管理技术。包括数据库中多个事务的口令同步；异构数据库间的口令同步，如Oracle 和Unix口令；用户初始的口令更新；强制口令更新；口令可用性、口令的时间限制、口令的历史管理、口令等级设置等。

----口令安全漏洞检查和系统终止。包括检查系统终止前登录失败的次数，系统终止前登录成功与登录失败间的时间间隔，跟踪企图登录的站点地址。

----口令加密、审计技术。包括发现口令漏洞,记录口令历史, 记录对表、行、列的访问,记录应用系统的访问等。

安全代理模型

----异构数据库是一个为用户提供服务的网络互联的服务器集合。因此应提供全局访问控制（GAC），并对原有安全策略重新进行异构描述。提供联邦访问表，为用户访问、更新存在于不同数据库的数据信息（包括安全信息）提供服务。此表为联邦中每个用户指定对某个实体对象允许的操作，它由存放在某个数据库中的安全信息创建。由于实体对象的集合可能被存放在许多数据库中，应提供特定规则和过程将安全信息转换集成为全局信息。

----使用多种代理，全局访问控制（GAC）的安全结构分为三层：协调层、任务层和数据库层，每层有特定的代理强制执行部分联邦安全策略。协调层的任务由系统管理员的代理完成，负责管理整个环境，分派权限给称作任务代理的其他代理，任务代理通过分派访问单个数据库的权限给数据库代理，来控制对整个联邦数据库的访问。比如，由系统管理员分派的完整性保证的任务由完整性管理员完成，数据库功能（如获得用户信息）由用户和数据代理完成。

----顶层（Top Level）代理称为委托代理。由它决定联邦中执行任务的类型。这一层的代理关心联邦中所有发生或正在发生的活动。为了获知“谁正在做什么”，不同代理的信息都存放在一特定的目录里。根据这些信息，顶层代理，向适当的代理委派任务。

----中间层（Middle Level）代理称为安全代理。特定的任务（如保持全局完整性）由安全代理完成，它在联邦中可见的范围比顶层代理要窄，完成的任务更具体。安全代理只能看到和它完成同一任务的其他代理。

----底层（Bottom Level）代理称为数据代理。由更高层代理指定完成访问、更新信息任务的代理组成。这些代理是共享数据库和顶层、中间层代理的接口。如用户代理记录某个用户的所有信息，如他/她的标识、对不同对象的不同访问权限等。

DM3的安全技术

----DM3的安全体系结构

----可信数据库管理系统的体系结构分为两类，第一类是 TCB子集DBMS结构，用DBMS以外的可信计算基(TCB)实现对数据库对象的强制访问控制，此时多级关系被分解成单级或系统级片断，多级安全DBMS将这些片断存在物理上分离的单级对象（如文件、段或物理上分离的硬件设备）中，再对这些分离的单级或系统级对象的访问实行强制访问控制。第二类是可信主体DBMS，由DBMS本身实现强制访问控制的一些或全部责任。

----DM3采用可信主体DBMS体系结构，由数据库管理系统实现强制访问控制的功能，它要求操作系统能提供控制，防止绕过DBMS直接对数据库的访问，将概念上的多级数据库存于一个或多个操作系统对象（如文件）中。由多级安全DBMS 给每个数据库对象进行标记，这些数据库对象对操作系统是不可见的，操作系统不能直接对数据库对象进行访问，多级安全DBMS有跨操作系统安全级范围操作的特权。

----三权分立的安全机制

----DM3在安全管理体制方面与其他数据库管理系统不同。绝大多数数据库管理系统采用的是由数据库管理员DBA负责系统的全部管理工作(包括安全管理)。显然，这种管理机制使得DBA的权力过于集中，存在安全隐患。DM3在安全管理方面采用了三权分立的安全管理体制，把系统管理员分为数据库管理员DBA，数据库安全管理员SSO，数据库审计员Auditor三类。DBA负责自主存取控制及系统维护与管理方面的工作，SSO负责强制存取控制，Auditor负责系统的审计。这种管理体制真正做到三权分立，各行其责，相互制约，可靠地保证了数据库的安全性。

----自主访问与强制访问控制

----自主访问控制就是对主体(用户)访问客体(数据库对象) 的操作权限实施控制，目的就是要保证用户只能存取他有权存取的数据，当用户拥有数据库对象上的某些操作权限及相应的转授权时，可以自由地把这些操作权限部分或全部转授给其他用户，从而使得其他用户也获得在这些数据库对象上的使用权限。DM3系统根据用户的权限执行自主访问控制。规定用户权限要考虑三个因素：用户、数据对象和操作。所有的用户权限都要记录在系统表(数据字典)中，对用户存取权限的定义称为授权，当用户提出操作请求时，DM3根据授权情况进行检查，以决定是执行操作还是拒绝执行，从而保证用户能够存取他有权存取的数据。

----所谓强制访问控制是通过给主体(用户)和客体(数据对象) 指定安全级，并根据安全级匹配规则来确定某主体是否被准许访问某客体。DM3系统根据用户的操作请求、安全级和客体的安全级执行强制访问控制，保证用户只能访问与其安全级相匹配的数据。强制访问控制必须事先定义主体和客体的安全级，所有主体和客体的安全级都要记录在系统中。当用户提出操作请求时，DM3首先检查用户对所操作的数据对象是否具有相应的操作权限，然后检查该用户的操作请求及安全级与所操作的数据对象的安全级是否匹配，当两个条件都满足时，DM3才执行用户的操作请求，否则拒绝执行。

----隐通道分析技术

----尽管自主和强制访问控制限制了系统中的信息只能由低安全级主体向高安全级主体流动，低安全级主体仍然可以通过其他方式向高安全级主体发送信息，隐通道就是其中的一种。

----隐通道是系统的一个用户以违反系统安全策略的方式传送信息给另一用户的机制。它往往通过系统原本不用于数据传送的系统资源来传送信息，并且这种通信方式往往不被系统的访问控制机制所检测和控制。隐通道包括存储隐通道与定时隐通道。隐通道的发送者和接收者之间事先约定好某种编码方式，并使用系统正常操作。如果隐通道的发送者直接或间接地修改资源属性，另一主体（接收者）直接或间接地读取这个属性的变化时，这个隐通道就是存储隐通道。如果一个隐通道是一个主体，通过调整系统资源(如CPU)的使用时间影响了另一个主体实际的响应时间，从而发送信息给另一主体时，这个隐通道是定时隐通道。尽管高安全级的用户有可能利用隐通道传送信息给低安全级的用户，但隐通道的主要潜在威胁是它有可能被特洛伊木马所利用。

----根据美国《可信计算机系统评估标准》（即TCSEC）的要求，对B2安全级及以上的系统必须进行隐通道分析，并估算隐通道的带宽，根据带宽决定对隐通道的处理（容忍存在、消除或审计）。根据这一要求，我们对DM3进行了隐通道分析，并设计出辅助识别工具，目前DM3中的存储隐通道包括客体属性通道、客体存在通道和共享资源通道（如资源耗尽通道）等。对一些定时隐通道，如利用并发控制上锁机制（在 Oracle等其他数据库管理系统中也存在）的隐通道，采取了消除措施。

⑨ 数据库透明加密是什么

数据库透明加密系统是一款基于透明加密技术的安全加密系统，该产品能够实现对数据库数据的加密存储、访问控制增强、应用访问安全、权限隔离以及三权分立等功能。数据库加密系统基于主动防御机制，有效防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击、来自于内部高权限用户的数据窃取、防止绕开合法应用系统直接访问数据库，从根本上解决数据库敏感数据泄漏问题，真正实现了数据高度安全、应用完全透明、密文高效访问等技术特点。

目前美创数据库加密系统支持Windows、AIX、Linux、HP等多个平台，提供软硬件一体化加密设备和纯软件加密的不同选择，满足用户的多种部署需求。该加密系统适用于大企业、政府、军队、军工、电信、电力、医疗、金融、互联网等各个领域，同时针对国家等级保护、分级保护、军队保密规定均具有很强的政策合规性。

⑩ 什么是数据库审计系统有哪些功能

数据库审计能够实时记录网络上的数据库活动，对数据库操作进行细粒度审计的合规性管理，对数据库遭受到的风险行为进行告警，对攻击行为进行阻断。它通过对用户访问数据库行为的记录、分析和汇报，用来帮助用户事后生成合规报告、事故追根溯源，同时加强内外部数据库网络行为记录，提高数据资产安全。数据库审计是数据库安全技术之一，数据库安全技术主要包括：数据库漏扫、数据库加密、数据库防火墙、数据脱敏、数据库安全审计系统。推荐你了解一下安华金和数据库安全审计系统，一家专业做数据安全的企业。还不明白自己网络下。