H3C SecPath D2000-G[AK][G510][V][C]系列数据库审计系统

Web配置指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

本文档中的信息可能变动，恕不另行通知。

目录

1 概述··· 1-1

1.1 系统背景·· 1-1

1.2 产品特点·· 1-1

1.3 系统功能·· 1-2

1.4 系统角色·· 1-2

1.5 登录界面说明·· 1-5

1.6 主界面说明·· 1-6

2 监控中心··· 2-1

2.1 概述·· 2-1

2.2 运行状态·· 2-1

2.3 安全态势·· 2-9

2.3.1 最近事件数·· 2-10

2.3.2 其它态势数据·· 2-19

2.4 流量钻取·· 2-25

2.4.1 在线会话信息·· 2-26

2.4.2 告警事件类型统计·· 2-27

2.4.3 告警事件级别统计·· 2-28

2.4.4 数据库用户名统计·· 2-28

2.4.5 应用程序名统计·· 2-29

2.4.6 客户端计算机名统计·· 2-29

2.4.7 操作方式统计·· 2-29

2.4.8 执行时长大于20秒·· 2-30

2.5 统方事件·· 2-31

2.5.1 统方事件查看·· 2-31

2.5.2 统方事件统计·· 2-38

2.6 事件查看·· 2-39

2.6.1 事件追踪·· 2-40

2.6.2 导出记录·· 2-47

2.6.3 设置锁定状态·· 2-48

2.6.4 设置处理状态·· 2-49

2.7 入侵事件·· 2-50

2.8 监察视图·· 2-56

2.9 流量探针·· 2-58

2.9.1 注册流量探针·· 2-58

2.9.2 流量探针查询·· 2-59

2.9.3 修改流量探针配置·· 2-60

2.9.4 查看流量探针详情·· 2-61

2.9.5 流量探针升级·· 2-62

2.9.6 删除流量探针·· 2-64

2.9.7 清空流量探针·· 2-64

3 审计中心··· 3-1

3.1 概述·· 3-1

3.2 语句查询·· 3-1

3.2.1 实时查询·· 3-2

3.2.2 历史查询·· 3-11

3.3 URL审计·· 3-20

3.4 行为审计·· 3-23

3.4.1 Telnet审计·· 3-24

3.4.2 FTP审计·· 3-25

3.4.3 VNC审计·· 3-26

3.4.4 RDP审计·· 3-27

3.4.5 SSH审计·· 3-27

3.5 SQL模板·· 3-27

3.6 因子监测·· 3-31

3.7 网络审计·· 3-32

3.8 对比分析·· 3-33

4 报表中心··· 4-1

4.1 概述·· 4-1

4.2 报表任务·· 4-1

4.2.1 查看报表·· 4-2

4.2.2 新增报表任务·· 4-4

4.2.3 修改报表任务·· 4-11

4.2.4 删除报表任务·· 4-12

4.2.5 导入导出报表配置·· 4-13

4.3 事件报表·· 4-15

4.3.1 报表配置·· 4-16

4.3.2 报表管理·· 4-17

4.4 统方报告·· 4-21

4.5 报表查看·· 4-24

4.5.1 周分析报告·· 4-25

4.5.2 内置日报表·· 4-27

4.5.3 查看报表·· 4-30

4.5.4 打印报表·· 4-33

4.5.5 导出报表·· 4-33

5 策略中心··· 5-1

5.1 概述·· 5-1

5.2 监听配置·· 5-1

5.2.1 业务系统配置·· 5-2

5.2.2 中间件服务器配置·· 5-13

5.2.3 应用审计配置·· 5-19

5.2.4 指定IP审计·· 5-22

5.3 事件定义·· 5-22

5.3.1 数据库应用规则·· 5-23

5.3.2 数据库默认规则·· 5-33

5.3.3 应用服务器规则·· 5-38

5.4 对象管理·· 5-39

5.4.1 地址池·· 5-40

5.4.2 时间范围·· 5-43

5.4.3 数据库名·· 5-46

5.4.4 数据库用户名·· 5-46

5.4.5 操作表名·· 5-47

5.4.6 应用程序名·· 5-48

5.4.7 操作内容·· 5-48

5.4.8 操作方式·· 5-49

5.4.9 计算机名·· 5-49

5.4.10 错误代码·· 5-49

5.5 客户端信息·· 5-50

5.6 敏感信息·· 5-54

5.6.1 业务系统·· 5-55

5.6.2 关键表·· 5-56

5.6.3 关键字段·· 5-60

5.6.4 医生ID对应表·· 5-61

5.6.5 药品ID对应表·· 5-62

5.6.6 应用程序对应表·· 5-63

5.7 事件响应·· 5-65

5.7.1 风险响应策略·· 5-65

5.7.2 响应策略配置·· 5-66

5.8 三层关联·· 5-68

5.8.1 URL关联·· 5-69

5.8.2 SQL关联·· 5-71

5.9 入侵检测规则·· 5-72

5.9.1 开启、关闭入侵检测规则库·· 5-73

5.9.2 规则查看·· 5-74

5.9.3 规则升级·· 5-74

5.9.4 恢复默认·· 5-75

5.9.5 系统默认规则·· 5-75

5.10 交换机信息·· 5-78

5.10.1 添加交换机·· 5-78

5.10.2 修改交换机信息·· 5-79

5.10.3 删除交换机·· 5-79

5.10.4 清空交换机·· 5-80

5.10.5 交换机扫描·· 5-80

6 系统管理··· 6-1

6.1 概述·· 6-1

6.2 网络配置·· 6-1

6.2.1 网卡设置·· 6-1

6.2.2 静态路由·· 6-5

6.3 用户管理·· 6-7

6.3.1 GB/T 18336.2-2001中管理员角色规定·· 6-7

6.3.2 用户权限划分·· 6-7

6.3.3 用户管理·· 6-8

6.4 系统服务·· 6-12

6.4.1 重启设备·· 6-12

6.4.2 关闭设备·· 6-12

6.4.3 监听服务·· 6-12

6.4.4 SNMP服务·· 6-13

6.4.5 SSH服务·· 6-13

6.4.6 HTTPS服务·· 6-13

6.5 运行日志·· 6-14

6.6 日志响应·· 6-19

6.7 调试工具·· 6-19

6.8 配置管理·· 6-21

6.9 系统信息·· 6-25

6.10 管理主机·· 6-32

6.11 操作日志·· 6-36

6.12 数据归档·· 6-40

6.12.1 归档文件管理·· 6-41

6.12.2 归档参数设置·· 6-44

6.12.3 回档数据挂载配置·· 6-45

6.12.4 日志保存周期设置·· 6-46

7 高级功能··· 7-1

7.1 概述·· 7-1

7.2 数据支撑·· 7-1

7.2.1 SYSLOG数据支撑·· 7-1

7.2.2 API数据支撑·· 7-2

 

 

1 概述

1.1  系统背景

企业机构的信息化程度越高，企业对信息系统的依赖就越强烈，而后台的数据库是信息化系统的心脏，数据库中存放着大量企业的重要信息，例如：财务信息、客户信息、合同等。数据库是企业的核心资产，是最有价值的部分，因此也引起了不少黑客的觊觎。

对信息资产的威胁主要分为两类：一类是破坏，将数据篡改、删除、损坏；另一类是数据泄漏，对机密信息的窃取。

1.2  产品特点

H3C SecPath数据库审计系统利用更合理的网络和信息安全技术手段，实现对数据库操作行为审计、深入分析，监测并识别风险事件，及时告警并对其取证保留现场，是多功能为一体的全方位的数据库安全审计系统。

系统支持同时审计多种不同的数据库，具有灵活性和广泛的适用性。

该系统采用网络旁路实时侦听方式，全线速采集网络上所有会话流，对网络中业务系统数据库进行全面的风险分析与安全监控审计、告警。关注核心数据和业务的完全审计，不参与被监控网络的数据传输活动，因此不对网络结构和性能产生任何影响，具有很好的透明性和安全性。

图1-1 典型部署图

 

1.3  系统功能

系统分为五大模块分别是：监控中心、审计中心、策略中心、报表中心及系统管理。五大模块功能各有侧重点，相互作用，使系统具备了以下功能，帮助系统管理员解决实际问题。

(1)     系统实时监控

不仅对自身性能（CPU使用率、内存使用率和硬盘使用率）进行状态监控，还对信息系统数据库产生的安全事件进行24小时监控，并以统计图表的形式展示，让管理员一目了然。

(2)     事前预防

准确的定位各种风险事件行为，检测到威胁时可根据用户需求进行告警，将业务系统的风险事件防范工作，由被动式的事后分析，提升到主动式全面预防的水平。

(3)     有效、准确的识别规则

任何违反审计规则的操作都会被检测，做到准确、有效地识别具有风险的行为。

(4)     事中现场取证

通过实时监测并智能地分析、还原各种数据库操作，解析数据库操作，还原SQL操作语句；跟踪数据库访问过程中的所有细节。提供数据库操作行为、应用服务器行为、终端录像实现事后审计，为追踪、惩罚犯罪份子提供强有力的证据。

(5)     报表管理

除了根据安全经验和行业需求提供了预定义的报表模板外，管理员还可利用自定义报表功能根据需要定制报表。此外还可将生成的报表发送到指定邮箱，方便查阅。同时支持导出报表。

(6)     审计日志管理

保存大量数据库审计日志的同时，还支持对早期的数据进行归档。当需要时可以通过数据回档的形式调阅早期的数据。解决了海量数据的有效存取的问题，为用户提供更全、更有效的数据。

1.4  系统角色

系统将系统角色划分为四类：系统管理员、系统审计员、系统安全员、系统监察员。每类角色对系统拥有不同的访问、控制权限。具体如下：

(1)     系统管理员（admin）

系统默认用户名及密码为：admin/admin。对系统的主要操作包括：

·     个人信息管理。

·     查看系统运行状态。

·     系统运行参数配置。

·     此外无权操作其它角色功能。

(2)     系统审计员（audit）

系统默认用户名及密码为：audit/audit。对系统的主要操作包括：

·     个人信息管理。

·     查看系统运行状态。

·     查看其他角色的操作日志信息。

·     无权操作其它角色功能。

(3)     系统安全员（sec）

系统默认用户名及密码为：sec/sec。对系统的主要操作包括：

·     个人信息管理。

·     查看系统运行状态。

·     与业务有关的操作及信息查看。

·     无权操作其它角色功能。

(4)     系统监察员（mon）

系统默认用户名及密码为：mon/mon。对系统的主要操作包括：

·     个人信息管理。

·     与业务有关的操作及信息查看。

·     无权操作其它角色功能。

四类角色对系统的操作权限不同，分别被赋予了不同的权限，参见表1-1。

表1-1 各类角色权限分配

一级菜单	二级菜单	admin	audit	sec	mon
监控中心	运行状态	√	√	√	-
	安全态势	-	-	√	-
	流量钻取	-	-	√	-
	统方事件	-	-	√	√
	事件查看	-	-	√	-
	入侵事件	-	-	√	-
	流量探针	√	-	-	-
	监察视图	-	-	-	√
审计中心	语句查询	-	-	√	-
	URL审计	-	-	√	-
	行为审计	-	-	√	-
	SQL模板	-	-	√	-
	因子监测	-	-	√	-
	网络审计	-	-	√	-
	对比分析	-	-	√	-
报表中心	报表任务	-	-	√	√
	事件报表	-	-	√	-
	统方报告	-	-	√	√
	报表查看	-	-	√	√
策略中心	监听配置	√	-	√	-
	事件定义	√	-	√	-
	对象管理	√	-	√	-
	客户端信息	√	-	√	-
	敏感信息	√	-	√	-
	事件响应	√	-	√	-
	三层关联	√	-	√	-
	入侵检测规则	√	-	√	-
	交换机信息	√	-	√	-
系统管理	网络配置	√	-	-	-
	用户管理	√	√	√	√
	系统服务	√	-	-	-
	日志响应	√	-	-	-
	数据归档	-	-	√	-
	调试工具	√	-	-	-
	配置管理	√	-	-	-
	系统信息	√	-	-	-
	管理主机	√	-	-	-
	运行日志	√	-	-	-
	操作日志	-	√	√	-
高级功能	数据支撑	√	-	-	-

 

 

1.5  登录界面说明

系统登录界面为各个系统角色的登录入口，同时，在登录界面右上角还提供系统配套工具的下载，包含火狐浏览器安装包、历史数据回档客户端、录屏客户端与工具以及流量探针客户端。注意，若默认账户第一次登录系统，系统将强制要求修改用户密码。

图1-2 登录界面

 

 

图1-3 工具下载

 

1.6  主界面说明

图1-4 H3C数据库审计系统主界面

 

 

上图是系统界面的分布图，每个区分别是：

1、产品名称；2、系统提示栏；3、账户信息；4、左栏菜单；5、功能操作区。

下面逐个介绍各个区的主要功能。

1. 产品版本信息

此处放置的是产品名称。

2. 系统提示栏

本系统中放置了三个图标，分别显示了最近7天内管理员未查看的高可疑、中可疑、低可疑事件的统计。单击对应的图标会跳转到“事件查看”界面，相关的内容可以参考“事件查看”部分的介绍。如下图所示从左到右依次是高、中、低可疑事件的状态提示。

图1-5 系统提示栏

 

当统计数量超过99条时，系统将显示“99+”，鼠标移动到在数值上可以看到7天内事件的等级和发生统计结果。如下图所示

图1-6 悬浮提示

 

3. 账户信息

点击当前登录用户旁的下拉按钮可以更改当前用户密码和个人设置及锁定，如下图所示：

图1-7 账户信息

 

 

(1)     修改密码

点击<修改密码>后在弹出的[修改密码]对话框中输入旧密码重设密码，注意，新密码不能与旧密码相同，如下图所示：

图1-8 修改密码

 

(2)     个人设置

点击<个人设置>修改个人基本信息，具体内容如下图所示：

图1-9 修改个人信息

 

(3)     锁定

点击<锁定>后，系统将锁定在当前界面，无法操作，用户需要重新输入登录密码后才能正常操作，如下图所示：

图1-10 锁定状态

 

4. 左栏菜单

左栏是系统的菜单栏，点击后可以逐级查看菜单，点击二级菜单后在右栏功能操作区进行相关操作。默认为收缩，可点击展开。

左侧导航栏新增时间提示，将硬盘存储的使用情况、预计可用时间、系统健康状态等常用信息移至左侧栏展示。

图1-11 左栏菜单

 

 

5. 功能操作区

是系统主要工作区域，展示系统各种信息，及各项参数配置。

 

2 监控中心

2.1  概述

监控中心主要是监控系统状态。对系统运行状态，最近发生的可疑的事件进行监控。帮助管理员及时掌握系统的状态。如下图所示：

图2-1 监控中心

 

2.2  运行状态

在左栏菜单中[监控中心/运行状态]，功能操作区界面包含的内容：业务系统监听正常情况、今日审计数据量、今日告警事件数、设备运行健康度、无故障运行时间等设备状态，系统状态，系统资源使用情况，网络设备连接状态、监听网卡流量、登录日志等信息。通过查看可以观测系统的运行状态及健康状态。如下图所示：

图2-2 运行状态

 

 

下面逐个介绍各个部分：

1. 重要消息弹窗

点击右下角按钮，即可展开重要系统通知。当侦测到硬盘错误、试用license过期、无配置备份、系统掉电、监听网卡断开重连等17类系统异常时，弹窗提示用户阅览，并为部分消息类型提供及时处理操作的跳转功能。如下图所示：

图2-3 重要消息弹窗

 

注意

 

2. 时间条

为运行状态页的展示提供30分钟、1小时、2小时、8小时、12小时、1天、7天、30天、90天等丰富的时间范围选项，如下图所示：

图2-4 时间条

 

当选择不同长度的时间范围项时，运行状态页中有关分析项的统计时间间隔也不同，如下图所示：

图2-5 时间选项

 

·     30分钟、1小时：统计时间间隔有1分钟、10分钟。

·     2小时、8小时：统计时间间隔有1分钟、10分钟、1小时。

·     12小时：统计时间间隔有10分钟、1小时。

·     1天：统计时间间隔有10分钟、1小时、8小时。

·     7天：统计时间间隔有8小时、1天。

·     30天、90天：统计时间间隔有1天、1周。

3. 设备状态

监测业务系统监听正常情况、设备运行健康度、今日数据库审计数据、今日WEB审计数据、今日告警数据库事件数、今日告警WEB事件数、数据库会话统计、系统连续运行时间等设备状态，如下图所示：

图2-6 设备状态

 

·     监听服务：显示业务系统监听服务是否正常。

·     健康度：显示系统运行情况、健康程度。

·     今日数据库审计数据：按小时统计每日零点开始的数据库审计数，鼠标停留可显示该小时的数据库审计数和昨日同时段的数据库审计数。

·     今日WEB审计数据：按小时统计每日零点开始的WEB审计数，鼠标停留可显示该小时的WEB审计数和昨日同时段的WEB审计数。

·     今日告警数据库事件：显示系统每日产生的高可疑、中可疑、低可疑数据库事件的统计，鼠标停留可显示具体明细数。

·     今日告警WEB事件：显示系统每日产生的高可疑、中可疑、低可疑WEB事件的统计，鼠标停留可显示具体明细数。

·     数据库会话统计：按小时统计每日零点开始的数据库会话数，鼠标停留可显示该小时的数据库新建会话数和该小时的数据库活跃会话数。

·     系统连续运行时间：自系统开机伊始，计算系统持续运行时间，系统重启后将重新开始计时。

4. 系统状态

以曲线图的方式形象地展示处理及保存到WEB明细/数据库的业务、会话、事件、CPU、内存、系统负载等状态。当系统负载过高时需要引起管理员的注意，并采取相应的控制措施。统计时间间隔有1分钟、10分钟、1小时、8小时、1天、1周，具体时间间隔情况详见[时间条]说明，如下图所示：

图2-7 系统状态

 

将鼠标放在统计图上可以查看具体时间段该记录项的名称与数量，如下图所示：

图2-8 具体数值

 

5. 网卡信息

 

展示与物理设备面板一一对应的网卡模拟展示图，根据实际连线情况实时展示网卡当前接线状态，并以水量方式展示网卡当前负载。如图如下图所示：

图2-9 网卡信息

 

6. 硬盘及固态盘I/O

展示硬盘及固态盘的I/O利用率。如下图所示：

图2-10 硬盘及固态盘I/O

 

 

设备型号为D2035-G和D2055-G，设备支持RAID1模式，RAID 1通过磁盘数据镜像实现数据冗余，在成对的独立磁盘上产生互为备份的数据。如下图所示

图2-11 RAID模式

 

7. 存储状态

为硬盘提供数据库文件、交换文件、备份文件、数据库缓存、索引文件等丰富的文件存储状态展示，显示空间使用情况、健康状态，并智能的预计剩余硬盘空间可用的天数供管理员参考。如下图所示：

图2-12 存储状态

 

点击右侧图例按钮可设置该类文件存储状态进行隐藏或显示，如下图所示：

图2-13 隐藏选项

 

将鼠标放置在条形图上可以查看已用和剩余空间量，如下图所示：

图2-14 查看容量情况

 

·     预计可用天数：根据系统运行情况，分析平均每天审计数据占用硬盘空间的百分比，通过与剩余空间比较，预算出系统硬盘空间的可用天数。

·     健康状态：当硬盘状态正常时，健康状态显示为正常，当硬盘状态为异常时，健康状况显示为异常。

8. 监听网卡流量

通过曲线图实时展示监听网卡的网络流量，统计时间间隔包括1分钟、10分钟、8小时、1天、1周，具体时间间隔情况详见[时间条]说明，如下图所示：

图2-15 监听网卡流量

 

9. 登录日志

展示系统用户登录、动作的记录情况，具体参数如下图所示：

图2-16 登录日志

 

2.3  安全态势

在左栏点击[监控中心/安全态势]，在右栏的功能操作区中打开界面，根据业务系统及时间的不同，将最近发生的事件多元化地展现给用户。包含的内容有：告警事件列表、新增因子、威胁事件统计、审计数据统计、在线用户数统计、当前会话数、流量统计等信息。如下图所示：

图2-17 安全态势界面

 

可根据业务系统和统计时间范围的不同，选择需要查看的业务系统某个时间范围内的分析情况，如下图所示：

图2-18 选择业务系统和时间范围

 

2.3.1  最近事件数

点击高、中、低可疑事件数，即可展开告警事件列表，从告警事件列表中可以看到事件发生的时间、地点、源IP，更多详尽的数据，协助管理员对事件进行核查、分析。如下图所示：

图2-19 最近事件数

 

在列表中点击某个记录后面的按钮查看事件的详细信息。主要有：发生的时间、事件描述、事件相关的客户端信息、服务端信息及其它关联的信息。如下图所示：

图2-20 事件追踪

 

1. 事件追踪

以表格的形式概要展示事件的相关信息，包括事件时间、描述、客户端信息、服务端信息、语句及语句翻译。各项信息描述如下：

·     事件时间：包括事件发生、结束时间，时间精确到时、分、秒。

·     事件描述：用通俗易懂的语言概括该事件的时间、地点、人物、事件，让用户快速了解该事件。

·     客户端信息：该事件相关的客户端信息，包括该终端的使用者IP（或业务账号）、源端口、客户端MAC计算机名等协助管理员定位事件的主体，除此之外还有事件发生的地点，鼠标停留在事发地点旁的查看详细，可以查看事发的物理位置。如下图所示：

图2-21 客户端信息

 

 

·     服务端信息：服务端信息包括：服务器IP地址，目标端口号，事件涉及的敏感信息，以及登录数据库的用户名。如下图所示：

图2-22 服务端信息

 

·     语句翻译：对触发规则的语句进行人性化的智能翻译，用户不必精通数据库也可以很容易看懂该事件的操作内容。如下图所示：

图2-23 语句翻译

  

 

 

2. 其它操作

·     查看更多相关信息：点击<查看更多相关信息>可以查看完整的数据库访问行为，如下图所示：

图2-24 更多相关信息

 

 

·     查看返回值：点击<查看返回值>，可以查看操作后系统返回的详细信息。设备可自动将敏感信息进行掩码，用“*”替换其内容。

 

图2-25 查看返回值

 

·     设置为统方：将该事件设置为统方。该项设置只对本事件生效，未来发生的同类事件不会被识别为统方事件。如下图所示：

图2-26 确认

 

·     设置为安全：将该事件设置为安全。该项设置只对本事件生效，未来发生同样的事件并不会被识别为安全事件。如下图所示：

图2-27 确认

 

·     添加到规则：将本事件设置为规则，并对未来发生的事件生效，设置成功后可在[策略中心/事件定义]的数据库应用规则，进行修改、删除等相关操作。如下图所示：

图2-28 添加到规则

 

·     设置此类语句为统方：在“事件追踪”页面中，点击<设置此类语句为统方>在弹出[确认]的对话框中点击<确定>，系统将会把与同类事件（相同SQL模板）设置为统方事件。

图2-29 确认

 

·     设置此类语句为安全：在“事件追踪”页面中，点击<设置此类语句为安全>在弹出[确认]的对话框中点击<确定>，将会新增一条规则——把与该事件语句结构相同的语句设置为安全事件。

图2-30 确认

 

·     在点击<设置此类事件为安全>后，可以选择“是否将当前事件日期的最近90天内,同类事件的处理状态标记为安全状态”：选择<确定>后，在“事件查看”页面，会将最近前90天内的同类事件（相同SQL模板）的处理状态设置为“安全”。

图2-31 确认

 

3. 关联信息

在此页面可以查看到与该事件关联的其它信息。如该会话中的其它数据库操作，终端录屏，Telnet外连事件，FTP事件，URL关联。

 

·     操作信息：展示与该事件关联的数据库操作信息，如下图所示：

图2-32 操作信息

 

·     终端录像：当发生风险事件时，系统向用户提供了事发前后5分钟，即共10分钟的终端录像。点击<下载>，可以将视频下载到本地进行播放。

图2-33 终端录像

 

·     Telnet操作：系统审计到了与事件关联的Telnet操作，用户可以直接在界面中回放。

图2-34 Telnet 操作

 

单击某记录，即可查看：

图2-35 Telnet 会话播放

 

·     FTP事件

图2-36  FTP事件

 

单击记录可以查看播放：

图2-37 FTP 会话播放

 

2.3.2  其它态势数据

1. 最近审计数据统计

对最近时间范围内审计到的会话数、明细条数以及触发告警的事件数进行统计，如下图所示：

图2-38 最近审计数据统计

 

图中纵坐标的单位是k（条）即千（条），M（条）即百万（条）

将鼠标放在统计图上可以查看具体的数量，如下图所示：

图2-39 具体数据

 

通过单击图表右侧的图例可以显示或隐藏该项数据的统计图；

当某项统计结果与其它两项有很大的差距导致在图上无法识别，除了将鼠标放置在图标上查看外，还可以通过将另外两项数据都隐藏掉来查看，如下图所示：

图2-40 隐藏选项

 

 

2. 最近威胁事件数

为管理员展示最近时间范围内系统发生的高、中可疑风险事件趋势统计图，可快速掌握最近时间范围内事件发生的“高峰期”，如下图所示：

图2-41 最近威胁事件数

 

 

3. 最近新增因子

监测最近统计时间范围内，各类因子对象的创建、更新情况，提供发现新增因子的提醒，以因子名称表项页显示红点的方式展示，方便查看。如下图所示：

图2-42 最近新增因子

 

4. 在线用户数

实时监控系统当前在线用户数量、并发会话数量，如下图所示：

图2-43 在线用户数

 

 

5. 当前会话数

以点-线的形式描述当前服务器与客户端的连接关系，由客户端指向服务端，如下图所示：

图2-44 当前会话数

 

图表左侧是服务端和客户端的图例，右侧是它们之间的连接关系，图中的节点表示不同的客户端或服务器，节点之间的连线表示会话连接。

·     隐藏或显示某节点

点击图例中的各点可以使该点在右侧连接关系图中隐藏或显示，如下图所示是隐藏了服务端192.168.100.38后，其它服务端与所有客户端的连接关系。

图2-45 隐藏数据

 

·     查看节点信息

鼠标停留在连接关系图某节点上会显示该节点的IP地址。

图2-46 具体数据

 

·     会话信息

鼠标停留在某连线上，系统会展示该会话连接的双方。如下图所示：

图2-47 会话信息

 

 

6. 最近流量

图2-48 最近流量

 

右侧图例及各项的含义：

·     PQ：最近已处理的业务条数。

·     SQ：最近已保存到数据库的业务条数。

·     PS：最近已处理的会话业务条数。

·     SS：最近已保存到数据库的会话业务条数。

·     PA：最近触发的事件条数。

·     SA：最近已保存到数据库的事件条数。

 

2.4  流量钻取

默认向用户提供了系统的八个数据统计表，让用户展示系统相关数据统计，便于用户快速了解业务系统运行情况。流量钻取默认包括以下统计信息：

·     在线会话信息。

·     告警事件类型统计。

·     告警事件级别统计。

·     数据库用户名统计。

·     应用程序名统计。

·     客户端计算机名统计。

·     操作方式统计。

·     执行时长大于20秒。

除“在线会话信息”外，报表若不希望统计信息在此页面展示，用户可以到[报表中心/报表任务]中修改报表任务，并将发送到流量钻取项前的钩去掉。

此外用户也可以将流量周期性统计报表发送到[监控中心/流量钻取]中展示，但要求报表对象列表中的统计对象最多只能添加两个同类型对象。具体操作可以到[报表任务]“新建流量周期性统计报表”中查阅。

点击[监控中心/流量钻取]，进入界面：

图2-49 流量钻取

 

左侧是统计表类型，右侧是统计表的内容，每个统计表都分两个模块：统计图表和详细信息表。在统计表中会有以下操作：

：力导向布局图切换按钮，点击后以力导图的形式展示图表信息。

：和弦图切换按钮，点击后以和弦图的形式展示图表信息。

：还原按钮，图表中的信息可以拖拽，可以按此按钮恢复到原样。

：保存为图片按钮，将统计图表保存为图片形式。点击该按钮后，右击弹出的图片将图片另存到自定义的目录下。

2.4.1  在线会话信息

在线会话信息统计的是当天凌晨点开始的24小时内会话信息，以点-线的形式描述当前服务器与客户端的连接关系。并增加了详细的会话列表。如下图所示：

图2-50 在线会话信息

 

 

(1)     在线会话信息统计

图表的操作方式与2.3安全态势中的[当前会话数]一致，在此不再赘述。

(2)     会话列表

点击某个节点（客户端或服务端），将会以该节点为中心展示与它相关的会话信息。例如，上图中展示的是当天与服务端172.16.11.23相关的所有会话信息。

点击<显示更多>可以查看更多信息。

2.4.2  告警事件类型统计

对触发告警的事件类型分类统计，统计范围包括今天、最近一周、最近一月三种。如下图所示：

图2-51 告警事件类型统计

 

(1)     统计图表

·     今天：今天凌晨至24点统计情况。

·     最近一周：最近七天的统计情况。

·     最近一月：最近30天的统计情况。

(2)     详细信息

统计表中点击某个统计项，下图将会展示该项的详细信息，如上图中：展示的是“今天”告警事件的类型统计，点击直方图“delete”，下方展示今天该类事件在“今天”某时发生的具体事件。

图2-52 告警事件类型详细信息

 

2.4.3  告警事件级别统计

对已发生的事件按告警级别进行统计。界面如下图所示：

图2-53 告警事件级别统计

 

具体操作方式与告警事件类型统计相似。这里不再赘述。

2.4.4  数据库用户名统计

统计各数据库用户及其访问数据库的次数。

图2-54 数据库用户名统计

 

 

2.4.5  应用程序名统计

统计访问数据库的所有应用程序名。点击某个应用程序可以查阅该程序访问的时间趋势。界面如下图所示：

图2-55 应用程序名统计

 

2.4.6  客户端计算机名统计

统计连接到数据库的客户端计算机名称，点击某个计算机名可查阅它访问数据库的时间趋势。界面如下图所示：

图2-56 客户端计算机名统计

 

2.4.7  操作方式统计

对数据库操作方式进行统计，用户可通过查看统计结果初步判断是否有异常操作。

图2-57 操作方式统计

 

2.4.8  执行时长大于20秒

日常工作中对数据库的操作都比较简单，执行时间都比较短。对于大于20秒的操作是异常的，很可能是风险事件，用户借助统计结果初步判定哪些是风险事件。

图2-58 执行时长大于20秒

 

 

2.5  统方事件

满足医疗行业对防统方的业务安全需求，向用户展示发生可疑的统方事件，并对事件的时间、地点、人物、内容进行追踪、回溯。

统方事件默认基于中、高可疑事件的基础上要满足至少两个不同的敏感信息的配置，即可触发统方事件。

2.5.1  统方事件查看

左栏点击[监控中心/统方事件]，右栏的操作功能区打开统方事件查看界面。用户可以根据关键字进行检索，查询条件主要有：处理状态、发生的时间范围、行为者（帐号）、操作内容、操作表名、计算机名、目标IP、应用程序名、数据库用户名、源IP、规则名称、事件ID、锁定状态、风险级别等。统方事件提供查看返回值功能，可通过点击<查看返回值>按钮，查看返回值信息。界面如下图所示：

图2-59 统方事件查看

 

1. 事件追踪

点击某个记录后面的按钮查看事件的详细信息。功能与本文档中“安全态势”中的事件追踪功能基本一致，唯一不同的是事件的处理的动作，如下图所示：

图2-60 事件查看/事件追踪页面

 

 

图2-61 统方事件页面

 

如上图所示，在统方事件模块中管理员“事件追踪”页面中除了可以查看更多相关信息、查看返回值，还可以人工对事件进行分类处理。

通过在事件追踪页面对事件发生的时间、地点、人物、内容，以及如该会话中的其它数据库操作、终端录屏、Telnet外连事件、FTP事件、URL关联等信息进行综合分析后，可以人工对事件进行进一步的判断、处理。人工处理即可将该事件“设置为统方”、“设置为疑似统方”、“设置为非统方”、“设置为合规统方”等。若都没有进行分类，在统方事件模块中事件的状态被标识为未处理。

·     设置为统方：通过综合分析，认为证据充足，将该事件人工判断为统方事件。

·     设置为疑似统方：通过综合分析，认为该事件可能是统方事件。

·     设置为非统方：经分析，认为该事件不是统方事件。

·     设置为合规统方：经分析，认为该事件是合规统方事件。

·     设置此类语句为安全：经分析，认为该类事件是安全事件。

2. 查看返回值

通过配置[监听配置]页面中业务系统的返回值配置，可在统方事件中展示语句的返回值信息

图2-62 查看返回值

 

(1)     导出选中

将查询的结果按照用户的要求导出。点击按钮弹出导出设置对话框如下图所示：

图2-63 导出记录设置

 

·     导出项设置：通过勾选展示列表中的字段来设置导出记录的各项内容，默认是导出处理状态、事发地点、发生时间、源IP、行为者（账号）、事件描述这六个关键信息。

·     导出文件格式设置：设置导出文件的格式

·     选择导出时，如果没有弹出框可能是浏览器阻止了弹出框。

提供可选加密功能，用户可根据需要自行选择是否加密，点击确定按钮后，在弹出框中可以选择直接打开或下载，如下图所示：

图2-64 下载加密选择

 

 

图2-65 未设置压缩密码

 

图2-66 已设置压缩密码

 

 

(2)     导出全部

用户可将查询结果全部导出，点击<导出全部>按钮，选择导出项与导出文件格式后<确定>，即可导出全部。

(3)     生成统方报告

统方报告中展示了某个事件的相关信息，并对其进行分析、总结。报告包含了这些内容：报告基本信息，事件基本信息，事件描述以及系统对该事件的分析总结。

勾选统方事件后点击按钮，系统自动生成事件统方报告并在新的页面打开。如下图所示：

图2-67 统方报告

 

 

·     报告基本信息：用户填写报告编制人、编制单位、创建时间后，可以点击报告标题旁的“保存”按钮保存该报告。已保存的报告可以在[统方事件/统方报告]中检索、查阅。

·     事件基本信息：事件基本信息中概述了统方事件及其危害，并提供了该统方事件的基本信息，主要包括：发生时间、涉及的HIS数据库地址、中间件服务器地址、发起该事件的用户（IP地址），以及该用户所使用的工具，以及该事件的触发条件。

·     事件描述：使用通俗易懂的语言文字对事件进行概述。

·     分析总结：系统综合报告中的与事件相关的所有信息，对该事件进行总结，为管理员提供处理该事件的建议。

·     原始数据：记录该事件原始操作语句数据。

(4)     锁定

统方事件提供永久保存功能。如某事件需长期保存，勾选该事件，点击“锁定”按钮，提示是否锁定，确认后，该事件被锁定，系统不会自动删除该事件。

图2-68 锁定

 

(5)     解锁

如若锁定的某事件无需长期保存，勾选该事件，点击“解锁”按钮，提示是否解锁，确认后，该事件被解锁，系统到期会自动删除该事件。

图2-69 解锁

 

2.5.2  统方事件统计

左栏点击[监控中心/统方事件]，右栏的操作功能区打开统方事件统计界面。用户可根据事件状态、时间范围进行检索，结果统计汇总到下方列表，如下图所示：

图2-70 统方事件统计

 

如需打印此表可点击按钮，即可打印。如下图所示：

图2-71 打印统方汇总表

 

2.6  事件查看

用户可以在事件查看中查询包含风险事件在内的所有数据库操作风险事件。管理员可以在此查看事件ID、风险级别、发生时间、源IP、事件描述、事发地点、处理状态、锁定状态、操作等相关信息。此外通过<事件追踪>，查看更加详细的信息，对事件进行追踪核查后调整优化事件的识别规则。

点击左栏菜单中的[监控中心/事件查看]，打开的事件查看界面如下图所示：

图2-72 事件查看

 

可以根据时间范围、风险级别、源IP、锁定状态、规则名称、事件ID、事件类型、处理状态、SQL模板编号和业务系统等关键字进行检索。

2.6.1  事件追踪

在检索列表右侧点击事件追踪，可以在新窗口中查看事件更详细的信息及调整识别规则。如下图所示：

图2-73 事件追踪

 

 

(1)     查看详细的操作

点击<查看更多相关信息>可以查看完整的数据库访问行为，如下图所示：

图2-74 更多相关信息

 

(2)     调整识别规则

在查看、分析事件的具体操作，终端录像等相关信息后，用户可以调整、优化系统现有的识别规则。

 

图2-75 展示

 

·     查看返回值

[事件查看/事件追踪]提供查看返回值功能，可通过点击<查看返回值>按钮，查看返回值信息。

图2-76 查看返回值

 

·     设置为统方

将该事件设置为统方。该项设置只对本事件生效，未来发生同类的事件不会被识别为统方事件。如下图所示：

图2-77 确认

 

·     设为安全

认为系统识别不准确，该事件是安全的，点击<设置为安全>后，在弹出[确认]框中点击<确定>将该事件设置为安全事件。

图2-78 设为安全

 

 

·     添加到规则

点击<添加到规则>后，用户在弹出[添加到规则]框中根据该事件的内容，设置规则（设置成功后可在[策略中心/事件定义]的[数据库应用规则]中查看、修改此规则）。如下图所示：

图2-79 添加到规则

 

·     规则状态：设置规则的是否启用，停用即此规则不生效。

·     风险级别：设置事件的风险等级。

·     规则动作：设置为记录才会产生事件，若设为丢弃，则是过滤该事件，即过滤规则。

·     设置此类语句为统方

通过人为分析认为该事件为统方事件，可在“事件追踪”页面中，将其同类事件（相同SQL模板）设置为统方事件。点击<设置此类语句为统方>在弹出[确认]的对话框中点击<确定>。如下图所示：

图2-80 确认

 

·     设置此类语句为安全

将此类语句为安全：在“事件追踪”页面中，点击<设置此类语句为安全>在弹出[确认]的对话框中点击<确定>，将会新增一条规则，把同类事件（SQL模板相同）设置为安全事件。

图2-81 确认

 

·     在选择<此类语句设置为安全>后，可以选择“是否将当前事件日期的最近90天内,同类事件的处理状态标记为安全状态”，选择<确定>后，系统会将最近前90天内，同类事件（相同的SQL模版）的处理状态设置为“安全”。

 

2.6.2  导出记录

勾选需要导出的记录后，点击 ，在弹出[导出记录设置]的对话框中，进行导出设置后，点击<确定>，并在弹出密码设置框中，选择是否加密后即可。若是需要导出当前全部的记录可以点击 ，导出项设置包含数据库事件、WEB事件。导出文件格式包括，XML格式、CSV格式、EXCEL格式，默认为CSV格式。如下图所示：

图2-82 导出记录设置

 

图2-83 下载加密选择

 

图2-84 未设置压缩密码

 

图2-85 已设置压缩密码

 

导出的数据库事件文件里包含事件明细的具体内容：事件ID、风险级别、发生时间、源IP、事件描述、事发地点、锁定状态、服务器IP、触发告警的语句（不包含完整会话信息）、数据库用户名、使用工具、计算机名。

导出WEB事件的文件里包含事件明细的具体内容：事件ID、风险级别、发生时间、源IP、事件描述、事发地点、锁定状态、服务器IP、请求方式、返回编码、引用页、用户代理、请求数据、响应数据。

2.6.3  设置锁定状态

如某事件需长期保存，勾选该事件，点击<锁定>按钮，提示是否锁定，确认后，该事件被锁定，系统不会自动删除该事件。

图2-86 锁定

 

 

如若锁定的某事件无需长期保存，勾选该事件，点击<解锁>按钮，提示是否解锁，确认后，该事件被解锁，系统到期会自动删除该事件。

图2-87 解锁

 

2.6.4  设置处理状态

选择一条或多条事件，点击<设置为已读>后确定，将把选中的事件状态设置为已读。

图2-88 设置为已读

 

点击<全部设置为已读>后确定，将把所查询的所有的事件状态设置为已读。

图2-89 全部设置为已读

 

2.7  入侵事件

用户可以在入侵事件中查询所有触发数据库入侵检测规则的事件，管理员可以在此查看事件发生的时间、规则名称、风险级别、规则类别、发起IP、目标IP、源端口、目标端口、编号、协议等相关信息。此外通过查看按钮，可以查看证据详细的信息。

点击左栏菜单中的[监控中心/入侵事件]，进入入侵事件界面，如下图所示：

图2-90 入侵事件

 

根据时间范围、发起IP、源端口、目标端口、目标IP、处理结果、规则类别、风险级别、协议、规则ID、规则名称等关键字进行检索。在检索列表左侧点击按钮，可以在新窗口中查看事件证据更详细的信息。如下图所示：

图2-91 关联证据

 

1. 证据详情

以表格形式展示证据的相关信息，包括证据信息、报文特征等：

·     证据信息：该事件相关的证据信息，包括触发规则、触发时间、规则ID、风险级别、端口、IP等。

·     查看规则详情：点击<查看规则详情>可以展开规则的相关信息，点击<隐藏规则详情>将信息隐藏。如下图所示：

图2-92 规则详情

 

·     此证据设置为非安全：在展开的规则详情页面中，点击<此证据设置为非安全>在弹出[确定]的对话框中点击<确定>，将会把该证据设置为非安全事件。

图2-93 此证据设置为非安全

 

 

·     此证据设置为安全：在展开的规则详情页面中，点击<此证据设置为安全>在弹出[确定]的对话框中点击<确定>，将会把该证据设置为安全事件。

图2-94 此证据设置为安全

 

·     停用此规则：将触发的规则设置停用（状态可在入侵检测规则页面查看），未来不会触发该规则，如下图所示：

图2-95 停用此规则

 

2. 关联证据

在此页面可以查看到与该证据关联的其它信息，如相同发起IP、相同目标IP、相同规则、同类证据，点击关联证据列表中的某条证据的<查看>按钮，即可跳转到该证据详情页面，以便用户审核分析。如下图所示：

图2-96 关联证据其它信息

 

 

3. 导出记录

勾选需要导出的记录后，点击 ，若是需要导出当前全部的记录可以点击 ，在弹出[导出记录设置]的对话框中，进行导出设置后，点击<确定>，并在弹出密码设置框中，选择是否加密后即可。导出项设置包含时间、规则名称、风险级别、类别、发起IP、目标IP、源端口、目标端口、协议。导出文件格式包括，XML格式、CSV格式、PDF格式以及HTML格式，默认为CSV格式。如下图所示：

图2-97 导出记录

 

图2-98 下载加密选择

 

图2-99 未设置压缩密码

 

图2-100 已设置压缩密码

 

导出全部按钮同导出选中按钮。

2.8  监察视图

左栏点击[监控中心/监察视图]，右栏的操作功能区打开监察视图界面。监察人员可通过监察视图，查看统方事件的统计情况，同时可根据账号为对象进行二次钻取，展示统方事件分布。

以日历为主线，向用户以日、周、月的形式向用户展示统方事件的统计情况。通过点击日历来查询某日的统方事件数量统计，同时在左侧栏下方展示当日、当周、当月的触发事件统计情况，以及当日涉及疑似统方账号前10的账号统计，如下图所示：

图2-101 监察视图

 

监察视图的[数据查看]别分以日、周、月时间段进行分类统计，让数据直观地展现于用户面前。

·     日

统计当日事件数和涉及疑似统方账号数，建立账号-统方事件数据统计图。点击直方图，下方将展示当日自凌晨起24小时里具体发生事件的数量，鼠标移动至某个节点，便可查看该账号在某时刻的统方事件详细统计。如下图所示：

图2-102 日数据统计

 

如需查看此账号的统方事件，可点击该节点即可跳转至[统方事件]，查看该账号统方事件的详细信息。

·     周

将查询日当周的发生事件数据进行统计，统计当周统方事件数和涉及疑似统方账号数，建立账号-统方事件数据统计图。点击直方图，下方将展示自查询日当周里具体发生统方事件的情况，鼠标移动至某个节点，便可查看该账号某时的统方事件详细统计。如下图所示：

图2-103 周数据统计

 

·     月

将查询日当月的发生事件数据进行统计，统计当月统方事件数和涉及疑似统方账号数，建立账号-统方事件数据统计图。点击直方图，下方将展示自查询日当月里具体发生统方事件的数量，鼠标移动至某个节点，便可查看某时该账号的统方事件详细统计。如下图所示：

图2-104 月数据统计

 

2.9  流量探针

管理员可在流量探针页面统一管理流量探针，查看所有流量探针信息，并管理流量探针基本信息配置、指定端口/IP审计配置、版本升级、删除等。

点击左栏菜单栏[监控中心/流量探针]，打开界面如下图所示：

图2-105 流量探针

 

2.9.1  注册流量探针

在WINDOWS或LINUX服务器上正确安装且配置流量探针后，需在系统的流量探针页面对该服务器的流量探针进行注册，系统才能正常接收并审计流量探针转发的流量。

在流量探针页面中，点击“未注册探针”的<全部>按钮，下方展示未注册流量探针列表。点击需注册流量探针前的按钮，打开修改探针配置窗口。管理员可按实际业务配置流量探针相关信息，可配置内容包括：探针基本信息、指定端口审计、指定IP审计等。配置完成后，点击<确定>按钮，即可注册该流量探针，并移入已注册探针列表，流量探针开始转发流量。如下图所示：

图2-106 注册流量探针

 

2.9.2  流量探针查询

流量探针注册状态划分为：已注册探针、未注册探针。

1. 已注册探针

已注册探针可分类为三种状态：正常、异常、离线。点击页面“已注册探针”的状态分类按钮，可在页面下方展示该类流量探针列表，如点击“全部”即可在下方以列表方式展示全部已注册流量探针信息。流量探针列表展示信息包括：探针名称、探针IP、探针版本、探针状态、流量、探针CPU占用、探针内存占用、监听网卡、服务器操作系统、备注等。同时，可根据探针名称、探针IP、服务器操作系统、关联业务系统等条件对流量探针进行查询。如下图所示：

图2-107 已注册流量探针

 

探针状态说明：

·     正常流量探针正常运行，未出现异常状况。

·     离线：流量探针与数据库安全审计系统失去通讯超过两分钟，则系统判断为离线状态。若离线超过10分钟，将触发系统弹窗告警。

·     异常：

a.     系统超过1分钟未收到流量探针转发的流量，则认定为异常状态，连续10分钟无流量则会触发弹窗告警。

b.     流量探针CPU使用率超过10%，则认定为异常状态，并触发弹窗告警。

c.     流量探针内存使用率超过5%，则认定为异常状态，并触发弹窗告警。

2. 未注册探针

点击页面“未注册探针”的<全部>按钮，可在下方以列表方式展示所有未注册流量探针信息。流量探针列表展示信息包括：探针名称、探针IP、探针版本、探针状态、流量、探针CPU占用、探针内存占用、监听网卡、服务器操作系统、备注等。同时，可根据探针IP对流量探针进行查询。

如下图所示：

图2-108 未注册流量探针

 

2.9.3  修改流量探针配置

在已注册探针列表，点击需修改流量探针前的按钮，打开修改探针配置窗口。按实际业务修改探针配置，可配置探针名称、监听网卡、关联业务系统、指定端口、指定IP审计及是否支持vlan数据等，最后点击<确定>按钮。具体配置参数如下图所示：

图2-109 修改探针配置

 

·     探针名称

用于标识探针名称，为必填项。

·     备注

用于备注流量探针相关信息，便于用户查阅和管理，为选填项。

·     监听网卡

用于配置流量探针客户端需要转发流量的网卡，为必填项。

·     关联业务系统

用于标识流量探针转发的数据源，关联业务系统，为选填项。

·     指定端口/IP审计配置

流量探针支持转发流量过滤，可转发对指定端口/IP的流量。支持过滤内容包括端口、IP及IP网段信息，数据范围支持包含与不包含。设置包含后，仅在包含范围内的数据才会被转发。设置不包含后，在不包含范围内的数据不会被转发。如包含与不包含的配置范围重叠，不包含的优先级更高。

2.9.4  查看流量探针详情

在已注册流量探针列表，点击某行流量探针行的任意位置，以图表方式展开流量探针的详细信息，展示信息包括操作系统/版本、探针注册时间、最后更新时间、探针运行时间、探针CPU占用统计、探针内存占用统计、关联业务系统、指定端口/IP审计等。如下图所示：

图2-110 流量探针详情

 

2.9.5  流量探针升级

需对某个流量探针进行版本升级操作时，点击流量探针前的按钮，在弹出的[确认]对话框中，点击<确定>按钮，系统开始升级流量探针。

图2-111 升级确认框

 

需对全部流量探针进行升级操作时，点击流量探针页面的按钮，在弹出的[确认]对话框中，点击<确定>按钮，系统开始批量升级已注册列表下的全部流量探针。如下图所示：

图2-112 全部升级确认框

 

依据现场网络情况，升级过程可能会持续一段时间。此时，刷新流量探针页面，会发现探针可能处于升级准备或者升级中状态。

若流量探针升级成功，系统更新该流量探针的版本信息。若升级失败，系统提示相关的失败信息。

 

2.9.6  删除流量探针

需删除某个流量探针时，点击流量探针前的按钮，在弹出的[确认]对话框框中，点击<确定>按钮，系统在页面移除该流量探针。如下图所示：

图2-113 删除确认框

 

2.9.7  清空流量探针

需清空所有已注册流量探针时，点击页面的按钮，在弹出的[确定]对话框框中，点击<确定>按钮，系统在页面移除全部流量探针。

图2-114 清空流量探针列表

 

 

3 审计中心

3.1  概述

展示系统审计到的SQL操作数据，URL信息，行为审计、SQL模板、因子监测等各类审计数据，供用户查询、深度分析的功能。主要包含以下功能模块：

图3-1 审计中心

 

3.2  语句查询

单击左栏菜单中[审计中心/语句查询]，进入审计数据语句查看分析界面。

语句查询中分实时查询和历史查询。实时查询是对当天系统内审计数据进行查询分析，历史查询为对当天之前的审计数据进行查询分析。

输入查询条件即可对历史数据和实时数据进行详细的查询，可以用手动输入子网掩码的方式进行IP地址组查询。设备可自动将敏感信息进行掩码，用“*”替换其内容。如下图所示：

图3-2 语句查询

 

3.2.1  实时查询

对当天系统中任意一小时内的审计数据进行查询分析。如下图所示：

图3-3 实时查询

 

 

 

当鼠标停留在操作历史和时间范围右侧的“？”号时，系统将会出现如下提示：

图3-4 提示语

 

 

1. 自定义查询设置

点击<查询>按钮旁的按钮，可自定义设置查询条件，在弹出的查询设置窗口中，勾选需要的查询条件选项，再点击确定，即可保存查询条件，回到查询界面。自定义查询设置根据当前登录的用户自动保存，再次打开语句查询页面自动加载保存的查询条件。如下图所示查询设置窗口：

图3-5 自定义查询设置

 

2. 查询结果处理

在查询结果中右击某条记录，可以进行查看语句详细、查看SQL模板、URL关联、过滤类似语句、查看类似语句、设置SQL模板名、丢弃此类语句等操作，界面如下图所示：

图3-6 查询结果处理

 

 

·     查看语句详细

在查询结果列表中选择某条记录，右击选择按钮，可以查看该记录的详细信息，如下图所示：

图3-7 详细信息

 

 

·     查看SQL模板

点击<查看SQL模板>后，页面会跳转到SQL模板页面，显示对应的SQL模板。

·     URL关联

在查询结果列表中选择某条记录，右击选择按钮，打开的[URL审计]界面展示与之关联的URL审计信息。

·     过滤类似语句

在查询结果中过滤掉与该语句类似的语句。此类语句将不会在本次查询结果中出现。

·     查看类似语句

点击后查询结果中只会剩下与该语句类似的语句，在某条记录上右击，并选择查看类似语句，如下图所示：

图3-8 查看类似语句

 

系统将在查询结果中筛选，并只展示与该语句结构相似的记录，如下图所示：

图3-9 查询结果

 

·     设置SQL模板名

右击某条语句并点击<设置SQL模板名>，将会为该类语句设置SQL模板名，未来可用于检索等其它功能的扩展。

图3-10 设置SQL模板名

 

·     丢弃此类语句

点击<丢弃此类语句>将会生成规则，在之后的审计数据中发现结构相同的语句，则自动丢弃该类语句。

 

3. 导出

选中一条或多条记录后点击<导出选中>，进行导出设置后，在弹出密码设置框中，选择是否加密即可将查询结果导出。

点击<导出全部>，进行导出设置后，在弹出密码设置框中，选择是否加密，即可将所有查询结果导出。可通过勾选“导出项设置”的选项，选择要导出的信息，最多600条记录。导出文件格式包括，XML格式、CSV格式、PDF格式、HTML格式、EXCEL格式，默认为CSV格式。如下图所示：

图3-11 实时查询记录导出设置

 

图3-12 下载加密选择

 

图3-13 未设置压缩密码

 

图3-14 已设置压缩密码

 

4. 自定义字段展示

点击,系统提供自由选择语句字段展示内容选项。默认包含且不可取消字段有：语句流水、时间、源IP、目标IP、语句摘要、业务系统、协议类型。可选字段有：源端口、目标端口、SQL模板编号、规则名称、事件ID、执行时长、执行结果、影响行数、错误代码、风险级别、操作方式、操作表名、数据库名、数据库实例名、数据库用户名、计算机名、应用程序名、明细流水号、数据来源、中间件服务名称。系统安全员可通过需要勾选所需展示的字段信息，快速、明了地捕捉想要查询的某字段信息。

图3-15 自定义字段展示

 

 

3.2.2  历史查询

默认提供最近有语句数据的、七天范围内的查询分析，若选择的查询时间范围内的数据量较大，系统会进行提示，需缩小时间范围后，再重新查询。查询的时间范围不能超过31天。查询结果展示可分为查询结果列表、查询结果分析两种视图，界面如下图所示：

图3-16 历史查询

 

1. 自定义查询设置

点击<查询>按钮旁的按钮，可自定义设置查询条件，在弹出的查询设置窗口中，勾选需要的查询条件选项，再点击确定，即可保存查询条件，回到查询界面。自定义查询设置根据当前登录的用户自动保存，再次打开语句查询页面自动加载保存的查询条件。如下图所示查询设置窗口：

图3-17 自定义查询设置

 

·     排序方法

可以设置查询结果是按时间升序或降序展示。

·     查询方式

表示对操作内容的多关键词进行查询。

¡     普通查询，在整个SQL会话中匹配出所有SQL关键词，只要关键词全部出现即可被检索，无论前后顺序或中间是否夹杂字符。

¡     模糊查询，在整个SQL会话中匹配出所有SQL关键词个数的一半以上，即可被检索，关键词的先后顺序不影响结果。

¡     明细查询，在单条SQL语句中匹配出所有SQL关键词，即可被检索，关键词的先后顺序不影响结果。

¡     词组查询，在单条SQL语句中匹配出整个SQL关键词组，严格按照关键词的先后顺序，中间不带其它关键词。

¡     流水号查询，根据语句明细流水号或会话流水号进行查询。当流水号作为查询条件时，其它查询条件无效。

例如，输入查询关键字“select user”，普通查询：查询结果中只需包含“select”和“user”即可，无论前后顺序或中间是否有夹杂字符；模糊查询：查询结果中只需包含“select”或“user”即可，可仅出现关键词的任意一个；明细查询：查询结果中，会话的单条SQL语句中包含“select”和“user”即可；词组查询：查询结果中必须包含“select user”，单词中间仅能出现空格，不能有其它字符。

·     最大单条语句耗时：单条会话中语句的最大耗时时长。

·     长耗时平均语句耗时：单条会话中长耗时平均语句耗时时长。

·     长耗时语句总耗时：单条会话中长耗时语句总耗时时长。

·     会话语句种类数：单条会话中SQL语句模板种类数量。

·     会话重复程度：单条会话中语句总数除以语句类型数得到重复程度。

·     会话语句数量：单条会话中SQL语句总数量。

·     会话开始时段：查询选中时段内的语句。

2. 自定义字段展示

点击,系统提供自由选择语句字段展示内容选项。自定义字段展示设置根据当前登录的用户自动保存，再次打开语句查询页面自动加载保存的字段。默认包含且不可取消字段有：会话流水、时间、源IP、目标IP、会话摘要、业务系统、协议类型。可选字段有：源端口、目标端口、会话标签、语句数量、SQL模版种类数、单语句最大耗时、长耗时语句数量、长耗时语句平均耗时、会话重复率、数据库名、数据库实例名、数据库用户名、计算机名、应用程序名、数据来源、中间件服务名称。系统安全员可通过自行勾选所需展示的字段信息，快速、明了地捕捉想要查询的某字段信息。

图3-18 自定义字段展示

 

3. 查询结果列表

·     查看会话详细

查询结果列表中选择某条记录，右击选择按钮，可以查看记录的详细信息，如下图所示：

图3-19 查看会话详细

 

在会话中可能有很多条数据，用户可以点击按钮查看前100条语句。

勾选某条语句，右击选择按钮可以查看该语句的详细内容，包含对oracle、SQL server、mySQL、pgSQL影响行数解析与返回时长的计算。系统将记录某一数据库请求而影响的行数，和每个请求使用的时长，时长精确到秒级别。如下图所示：

 

图3-20 语句详细信息

 

 

 

 

·     导出记录

在历史会话查询结果中，选择一条或多条记录后点击<导出选中>按钮，可通过勾选“导出项设置”的选项选择要导出的字段信息后可将查询结果导出。点击<导出全部>可将所有查询结果导出，最多可导出600条记录。导出文件格式包含XML格式、CSV格式、PDF格式、HTML格式、EXCEL格式，默认为CSV格式。如下图所示：

图3-21 历史查询记录导出设置

 

图3-22 下载加密选择

 

图3-23 未设置压缩密码

 

图3-24 已设置压缩密码

 

·     会话回放

查询结果列表中选择某条记录，右击选择按钮，可以查看记录的会话过程，将原有的会话文本记录展示方式，增加以shell执行动画的展示方式，如下图所示：

 

图3-25 会话回放

 

4. 查询结果分析

点击，可根据上述条件查询的结果进行二次分析，返回前N条信息升序或降序展示，如下图所示：

图3-26 查询结果分析

 

 

·     分类统计

查询结果分析中点击<分类统计>按钮，可以查看不同条件类型统计的详细信息，如下图所示：

图3-27 分类统计

 

·     日期统计

查询结果分析中点击<日期统计>按钮，可以查看按时间类型统计的详细信息，如下图所示：

图3-28 日期统计

 

·     性能统计

查询结果分析中点击<性能统计>按钮，可以查看分类统计的详细信息，如下图所示：

图3-29 性能统计

 

3.3  URL审计

在左栏菜单中点击[审计中心/URL审计]，即可在右栏功能区打开URL审计查询界面。输入时间范围、源IP、URL地址、URL状态、请求方式、中间件地址、响应码、用户代理、referer参数、版本号、请求数据、响应数据、请求参数、明细流水号等查询条件后点击<查询>按钮即可，如下图所示：

图3-30 URL审计

 

1. 高级查询

点击“查询”按钮旁的按钮可设置更多查询条件，再点击一次可以回到简单查询界面。如下图所示红色框的内容是增加的高级查询条件：

图3-31 高级查询条件

  

 

2. 查看详细

选择某条记录后，右击选择按钮，在弹出[详细信息]框中可以查看审计结果明细，对web审计中request请求与response响应数据的保存，如下图所示：

图3-32 详细信息

 

·     SQL关联

选择某记录后，右击选择按钮，打开的“语句查询”界面展示与之关联的SQL语句。如下图所示：

图3-33 SQL关联

 

 

图3-34 WEB协议服务器配置

 

3.4  行为审计

可以通过该功能，对TELNET、FTP、VNC、RDP、SSH等远程登录会话行为进行审计，同时可以对会话进行回放。点击左栏菜单[审计中心/行为审计]即可进入行为审计界面，如下图所示：

图3-35 行为审计

 

3.4.1  Telnet审计

图3-36 Telnet审计

 

右击某记录任意字段，系统会出现观看会话播放提示，点击可回放该会话，如下图所示：

图3-37 观看会话播放

 

点击后自动播放会话内容，可点击窗口下方的按钮对播放进行控制，如下图所示：

图3-38 Telnet会话播放

 

3.4.2  FTP审计

在行为审计界面中点击<FTP审计>标签，进入FTP审计界面，然后设置查询条件对审计结果进行查询。

图3-39 FTP审计

 

右击某记录任意字段，系统提示观看会话播放，点击可对该会话进行回放。

图3-40 观看会话播放

 

点击后自动播放会话内容，可点击窗口下方的按钮对播放进行控制，如下图所示：

图3-41 FTP会话播放

 

 

 

3.4.3  VNC审计

图3-42 VNC审计

 

可以根据时间范围，操作源IP，目标IP，协议类型等关键信息对VNC审计数据进行查询。

 

3.4.4  RDP审计

系统对RDP协议（远程桌面协议）进行审计，并提供了查询界面，协助管理员进行分析工作。查询界面如下图所示：

图3-43 RDP审计

 

3.4.5  SSH审计

可以根据时间范围，操作源IP，目标IP，会话ID等关键信息对SSH审计数据进行查询。查询界面如下图所示：

图3-44 SSH审计

 

3.5  SQL模板

对系统审计到的SQL语句进行分析，将句式相同、参数不同的数据库语句视为相同的语句类型，得到SQL模板。SQL模板中使用通配符“？”问号代表具体的语句参数。

SQL模板主要用于协助管理员对审计数据进行处理，将大量的、常见的语句设置为安全规则或过滤规则，大大增加了规则的准确度，优化系统识别事件规则库。

点击[审计中心/SQL模板]，进入如下图所示界面：

图3-45 SQL模板

 

界面中的列表默认显示发现的所有SQL模板，并默认根据该模板触发的总告警数进行降序排序——最多触发的显示在最上面。在列表上方检索栏中，用户可以根据规则名、排序字段、语句状态、关键字、排序方式、模板编号、数据来源等条件进行检索。在列表右上方，显示数据更新时间，即当前页面可查询数据的截止时间。

下面介绍一些关于SQL模板的管理：

1. 模板分析

系统将模板分为以下几种数据分析：

·     规则名称：该模板触发的规则名，及对应的触发次数。

·     状态：分为安全、丢弃、确认、未确认、统方。

·     总记录数：该模板在设备上线后发生的所有记录总数。

·     总告警数：该模板在设备上线后发生的所有告警总数。

·     上次告警记录数：该模板在上个工作日发生时触发的告警记录数。

·     创建时间：该模板创建的时间。

·     上次出现时间：该模板上次发生时的时间记录。

·     最后出现时间：该模板最后一次发生时的时间记录。

·     别名：可对该SQL模板设置别名，方便记录查找。

2. 模板的状态

系统将模板状态主要分为以下几种：

·     设置为安全：表示此类语句以后被定义为安全的，将不会被触发规则报警。

·     确认、改为未确认：是SQL模板的一种状态标签，表示管理员是否已经看过、知道了该类语句。

·     设置为统方：是SQL模板的一种状态标签，表示此类语句以后可被触发为统方事件。

·     修改别名：为了便于管理、沟通，管理员可以为SQL模板设置别名。

·     丢弃此类语句：表示此类语句以后将被直接过滤，不被保存。

·     具体查询语句：查询与SQL模板相关联的具体语句。

3. 状态设置

将鼠标放在列表中某SQL模板上，右击鼠标可修改该类模板的状态，如下图所示：

图3-46 状态设置

 

右击并选择某个状态，在弹出[确定]的对话框中选择<确定>即可。

4. 查询具体语句

选中语句，右击选择<查询具体语句>，可跳转到具体语句查询界面。

图3-47 查询具体语句

 

 

5. 批量设置模板状态

点击界面上的<设置状态>按钮，可以批量设置SQL模板的状态。如下图所示：

图3-48 设置状态

 

如上图所示，用户可以将列表中所有语句或选中的语句设置为安全、丢弃、统方、确认、未确认状态。

3.6  因子监测

对系统审计到的对象进行分析，实时展示突然出现的对象，监控内容包括：IP地址、应用程序名、计算机名、存储过程、数据库用户名、数据库名和数据库服务器。每一个被监测的因子，都会记录首次出现时间、上次更新时间、最新更新时间。

点击[审计中心/因子监测]，进入如下图所示界面：

图3-49 因子监测

 

 

下面介绍一些关于因子监测的管理：

1. 最新数据

界面中的列表默认显示每类对象20条最近更新数据，根据时间降序排列。

2. 全部数据

可根据首次出现时间范围、上次出现时间范围、最新出现时间范围、因子名等条件进行查询。界面中的列表提供各类别对象因子的出现和更新等数据信息。根据最新出现时间降序排列。

 

3.7  网络审计

可定期获知数据库服务器是否存在非数据库的访问通讯，以协助判断潜在风险。通过镜像流量可发现数据库服务器访问外部主机上开放的服务端口和数据库服务器上开放的端口；支持按时间范围、目标IP/源IP、目标端口、协议(TCP&UDP)为条件，查询非数据库通讯的结果；查询结果以表格形式展示，列出条件范围内的所有服务端口，端口以升序方式排列。支持实时查询当前通讯情况。

点击[审计中心/网络审计]，进入如下图所示界面：

图3-50 网络审计

 

点击端口可展开详细信息，如下图所示：

图3-51 详细信息

 

3.8  对比分析

通过对比不同时期（按月、按周、按天）的审计数据，分析审计数据量、源IP、帐号数、客户端工具数等的差异情况，协助用户对业务系统的运维。

点击[审计中心/对比分析]，右栏的操作功能区打开对比分析界面。根据数据来源：业务系统、数据库IP，以及时间范围，进行对比分析。可选择对比类型：单一数据库IP不同时段、单一业务系统不同时段、不同数据库IP相同时段、不同业务系统相同时段。结果显示如下图所示：

图3-52 对比分析

 

对比分析结果以列表和图表的形式展示。比较项包括：源IP，帐号数，客户端工具数，客户端主机数，表对象数，操作类型数，明细语句数，会话数，告警数，SQL模板数。

1. 对比列表

选择基础对象和比较对象，以基础对象为标准，对比结果显示为比较对象与基础对象的差值，差值为零，则显示无变化；差值为正数，则对比结果数据显示蓝色字体；差值为负数，则对比结果数据显示红色字体。

图3-53 对比分析结果

 

2. 对比图表

(1)      源IP对比

按小时统计每日零点开始的源IP数，鼠标停留时显示该小时基础对象和比较对象的源IP数。

图3-54 源IP对比

 

(2)      账号数对比

按小时统计每日零点开始的账号数，鼠标停留时显示该小时基础对象和比较对象的账号数。

图3-55 账号数对比

 

(3)      客户端工具数对比

按小时统计每日零点开始的客户端工具数，鼠标停留时显示该小时基础对象和比较对象的客户端工具数。

图3-56 客户端工具数对比

 

(4)      客户端主机数对比

按小时统计每日零点开始的客户端主机数，鼠标停留时显示该小时基础对象和比较对象的客户端主机数。

图3-57 客户端主机数对比

 

(5)      表对象数对比

按小时统计每日零点开始的表对象数，鼠标停留时显示该小时基础对象和比较对象的表对象数。

图3-58 表对象数对比

 

(6)      操作类型数对比

按小时统计每日零点开始的操作类型数，鼠标停留时显示该小时基础对象和比较对象的操作类型数。

图3-59 操作类型数对比

 

(7)      明细语句数对比

按小时统计每日零点开始的明细语句数，鼠标停留时显示该小时基础对象和比较对象的明细语句数。

图3-60 明细语句数对比

 

(8)      会话数对比

按小时统计每日零点开始的会话数，鼠标停留时显示该小时基础对象和比较对象的会话数。

图3-61 会话数对比

 

(9)      告警数对比

按小时统计每日零点开始的告警数，鼠标停留时显示该小时基础对象和比较对象的告警数。

图3-62 告警数对比

 

(10)   SQL模板数对比

按小时统计每日零点开始的SQL模板数，鼠标停留时显示该小时基础对象和比较对象的SQL模板数。

图3-63 SQL模板数对比