当前我国涉密部门(军队、军工、政府、金融行业、保险行业、电信行业等)中，80%以上应用系统使用国外数据库产品，特别是Oracle；如何保证系统在高性能、高可用的同时提升数据的安全性，确保关键信息不被泄露、国家利益不受损失已经迫在眉睫。

应用背景及存在问题

我国已有的安全建设重要围绕着网络防护、主机访问和应用层安全防护以及服务器层安全防护进行，但对真正核心的数据存储管理的核心数据库并没有采取有效的防护措施。网络层安全防护的主要产品有：防火墙、网路隔离设备、入侵检测、防病毒等；应用层安全防护的主要产品有：安全认证、统一授权等；服务器层安全防护的主要产品有：服务器防护、防病毒、入侵检测、主机审计等；数据层安全防护的主要产品有：数据库安全增强、数据库审计、文档防护等，数据层安全防护是存放于服务器内的数据本身的最后一道安全防护屏障，如果网络层、应用层和服务器层的安全防护被攻破，只要数据层安全防护有效，就不致予泄露敏感数据。可见数据层安全防护的重要性。

世界最大职业中介网站Monster遭到黑客大规模攻击，黑客窃取在网站注册的数百万求职者个人信息，并进行勒索；程序员程稚瀚四次侵入北京移动充值中心数据库，盗取充值卡密码，获利300 多万元。2003 年广东联通7 名人员，利用内部工号和密码，对欠费停机手机进行充值，使联通损失260 万元。2005 年12 月25 日,美国银行披露,2004 年12 月下旬,丢失了包括1200 万信用卡信息的磁带备份. ---Gartner Research；CSI/FBI 2005 年计算机犯罪和和安全会的相关报告中提到70%的信息系统数据丢失和遭受攻击，都来自于内部。

当前主流Oracle安全增强方案包括前置代理、应用加密和Oracle自带加密选件DTE等。前置代理需要应用大幅改造、大量Oracle核心特性无法使用；应用加密必须由应用实现数据加密，加密数据无法检索，已有系统无法透明移植；DTE不能集成国产加密算法，不符合国家密码政策。因此这几种方案一直未能得到有效推广。

国外的Oracle数据库加密产品相对较多，产品相对成熟。但面临着不能集成国产的加密算法、不符合国家安全政策，不能利用密文索引进行范围查询，造成性能严重下降等问题，因此以上产品在我国尚未得到有效应用。 　国内的数据库安全增强产品往往采用应用层加密存储或者前置代理的技术实现方式。应用层加密方式的缺点是应用必须对数据进行加解密，增加编程复杂度；加密后的数据不能作为条件进行检索；同时对于已有的系统无法透明实现应用改造。前置代理的重要缺陷是应用必须进行现有程序的改造，使用加密前置代理提供的API；另外大量的Oracle重要特性将无法使用，如存储过程、函数等。

一、SecGateway文档安全网关用于企业数据中心与办公网络有效隔离的嵌入式专用设备。采用链路加密的方式，实现客户端的准入，从文件在企业的使用流程入手，将数据泄露防护与企业现有 OA 系统、文件服务系统、ERP 系统、CRM 系统等企业应用系统结合，对通过网关的文档数据进行透明加解密工作，有效解决文档在脱离企业应用系统环境后的安全问题。为企业部署的所有应用系统提供有效的安全保障。

1.完成安全网关和企业现有应用系统无缝集成，自动完成对经过网关的数据进行强制加解密——上传解密，下载加密；

2.加密客户端通过 SecGateway，正常访问应用系统服务器；

3.非涉密客户端计算机，在通过安全网关时，会被安全网关筛选和拒绝，无法通过 SecGateway 访问 OA/PDM 服务器。

二、数据库保险箱系统 是一款Oracle数据库安全加固系统，该产品能够实现对Oracle数据的加密存储、增强权限控制、敏感数据访问的审计。DBCoffer可以防止绕过防火墙的外部数据攻击、来自于内部的高权限用户的数据窃取、以及由于磁盘、磁带失窃等引起的数据泄密。

数据库保险箱的核心价值是：

1、防止硬件存储设备引起的泄密，当数据以明文形式存储在硬件设备上时，无论是数据库运行的存储设备，还是用于数据备份的磁带，若发生丢失或者维修，都会存在相应的数据丢失风险。一旦使用了数据库保险箱，无论是运行环境的硬件存储设备，还是数据备份的磁带，敏感数据都是以加密的形态存储的，从而有效地防止了由于硬件丢失或硬件维修等无意识的泄密。

2、防止操作系统文件引起的数据泄密，通常Oracle 的数据是以明文的形式存储在操作系统的文件中；通过对文件系统的访问，就会访问到敏感数据。这样，该主机的操作系统管理员和高权限用户都可以接触到这些敏感数据。另外通过网络访问到这些文件的用户，也可以接触到这些敏感数据。一旦使用了数据库保险箱，敏感数据都是以密文的形式存储在操作系统上，从而有效防止了由操作系统文件引起的数据泄密。

3、防止数据库超级用户进行的数据窃取，在Oracle 中，以sys 和system 为代表的数据库管理员用户，具有至高无上的权利，可以访问到任何数据；在大型企业和政府机构中，除了系统管理员，以用户数据分析人员、程序员、开发方维护人员为代表的特权用户，也可以访问到敏感数据。这些都为数据的泄密，留下了极大的隐患。

数据库保险箱通过独立于Oracle 权限控制之外的安全权限体系，对数据的加解密进行了独立的控制。 由安全管理员负责决定哪些数据库用户有权访问敏感数据的明文信息；防止DBA 成为不受控制的超级用户的同时，又可以使DBA 和开发人员正常地工作。

4、防止外部入侵进行的数据破解，随着Internet、无线网络的普及，黑客有了更多办法绕过防火墙和入侵检测系统，到用户的业务系统中进行窥视；当数据以明文的形式暴露在文件系统和数据库中时，黑客很容易获得敏感数据。当我们对数据进行了有效加密保护，再厉害的黑客，在不掌握密钥的情况下，都无法获得敏感数据的明文信息。

三、secdocx数据安全保护系统是广东南方信息安全产业基地公司，依据国家重要信息系统安全等级保护标准和法规，以及企业数字知识产权保护需求，自主研发的产品。它以全面数据文件安全策略、加解密技术与强制访问控制有机结合为设计思想，对信息媒介上的各种数据资产，实施不同安全等级的控制，有效杜绝机密信息泄漏和窃取事件。

数据安全保护系统的保护对象主要是政府及企业的各种敏感数据文档，包括设计文档、设计图纸源代码、营销方案、财务报表及其他各种涉及国家机密和企业商业秘密的文档，可以广泛应用于政府研发、设计、制造等行业。

1. 透明加解密技术：提供对涉密或敏感文档的加密保护，达到机密数据资产防盗窃、防丢失的效果，同时不影响用户正常使用。

2. 泄密保护：通过对文档进行读写控制、打印控制、剪切板控制、拖拽、拷屏/截屏控制、和内存窃取控制等技术，防止泄漏机密数据。

3. 强制访问控制：根据用户的身份和权限以及文档的密级，可对机密文档实施多种访问权限控制，如共享交流、带出或解密等。

4. 双因子认证：系统中所有的用户都使用USB-KEY进行身份认证，保证了业务域内用户身份的安全性和可信性。

5. 文档审计：能够有效地审计出，用户对加密文档的常规操作事件。

6. 三权分立：系统借鉴了企业和机关的实际工作流程，采用了分权的管理策略，在管理方法上采用了职权分离模式，审批，执行和监督机制。

7. 安全协议：确保密钥操作和存储的安全，密钥存放和主机分离。

竞争优势

DBCoffer产品，相对于市场上的其它产品在政策符合性、性能和应用透明性上具有明显优势，下面重点就国外产品和国内产品进行对比分析。

与普通的数据库安全加固产品的竞争分析：

1、数据库漏洞扫描产品

这种产品针对数据库管理系统的漏洞及潜在的风险进行检测。它可以对数据库系统的各项设置、数据库系统软件本身已知漏洞、数据库系统完整性进行检查和对数据库系统的整体安全性做出评估，并给出提高数据库安全性的修复建议。这种产品重要的是对现有的数据库系统在认证、授权上配置漏洞、数据局库补丁漏洞进行扫描，并不能对现有的数据库进行安全增强，与数据库保险箱系统不是一类产品。

2、数据库安全审计产品

数据库审计作为信息安全审计的重要组成部分，同时也是数据库管理系统安全性重要的一部分。安全审计类产品的优势在于时候的追终与分析。数据库保险箱系统除了具有对敏感数据的访问审计能力，同时也具备了数据库的加密功能、独立于Oracle的授权控制体系，这是数据库保险箱系统的最大竞争优势。数据库保险箱系统比起数据库审计产品能多提供以下几个方面的数据库安全防范能力：防止DBA等高权限用户访问敏感数据、防止来自于文件层的数据窃取、防止硬件丢失的安全风险。

3、综合性的数据库安全增强产品

这一类的产品从数据库的认证、授权和审计均进行了有效增强，但是必须有几个限制：

（1）应用系统要经过改造，要使用该产品提供的应用接口

（2）DBA进行数据维护必须使用该产品提供的管理终端

总体上，数据库保险箱系统不存在以上限制，与相关其他产品相比具有几大优势：更符合国家安全政策、性能更好、服务更好、更为透明、Oracle功能更为无损。

dlp 数据防泄漏

Data loss prevention指以内容为核心的控制手段，对文件的内容生成指纹记录，通过终端，网关，存储，对文件进行控制，例如，密级文件外发时被网关拦截。

注：文件加密不是DLP

虚拟化数据防泄露是利用虚拟化技术的技术特点，将虚拟化技术应用于数据防泄露领域。相对于传统的操作系统来说，虚拟化技术的特点决定其更符合数据防泄露的一些要求。主要以下几个方面：

1.传统操作系统存在配置、管理、使用等各种权限和操作无法清晰的分开，使系统各类操作权力容易被盗用，系统存在各种漏洞，由此带来各种入侵、数据窃取等等问题。利用虚拟化技术可以将管理和使用的权限划分清楚，可以做到用户在虚拟系统里只能使用某些应用，绝无破坏系统、非法获得权限、盗取数据之的可能。

2.虚拟化帮助不同用户之间的操作环境相互隔离，而传统操作系统无法真正做到用户之间的隔离。每个虚拟环境之间无论从应用还是存储都是相互隔离的，效果相当于两台相互独立的计算机，可以分别连接不同安全等级的网络，起到一个逻辑隔离的作用，文件无法直接在不同安全等级的网络间传输，杜绝了数据泄露的风险

3.虚拟化环境可以被集中配置和管理，管理者对每个虚拟机的掌控力度远比对一个个零散的物理计算机要强。用户在虚拟机里可用的程序、空间大小、上网的行为都可以被集中管控，而要对每一台真实计算机的上述特征进行集中管理需要安装很多额外的软硬件，即便这样也无法达到对虚拟机的集中管控程度。这样用户的使用行为会更加安全有序，无法私自将机密数据带出机密环境

从上文可以看出，虚拟化在应用逻辑隔离和数据防泄露作用方面是有优势的，而且由于虚拟环境在使用地点和平台上有较大的灵活性，利用虚拟技术研发的安全产品往往具有安全和便利性兼顾的特点。因此虚拟化技术越来越多的被应用于数据防泄露领域。代表性的虚拟化数据防泄露产品厂家有达龙信息科技和深信服的上网安全桌面产品。

分为业务层面和技术层面

业务层面

1、 缺乏对安全角色的正确理解

人们对便利性的需求远胜于安全，为了加速盈利而轻视安全问题的例子不在少数。安全防护其实是一套自上而下的业务解决方案，各企业的CTO需要积极参与产品及服务的研发过程中，并将安全整合到企业的发展战略中，促进安全智能转化为商业价值。

2、 认为安全方案达标即万事大吉

在数据安全的监管压力下，所投入的预算及考量往往仅为满足项目的需求，而不是以保护数据安全为出发点。而实际上，达到监管部门的要求也只是让系统正常运作的基本而已，黑客们可以通过网络跳板或是窃取特权访问到企业的敏感数据。如常见的网络分段其实是不堪一击的，通过数字证书盗用，入侵者可以轻易的骗取更深层网段用户的信任，方便以周详的计划套取到更多的机密信息。

3、 安全体系基础设施

多数企业更习惯于在项目的基础设施和业务方案中投入精力与预算，如安装杀毒软件与防火墙等，但这没有真正考虑到当前高级安全威胁带来的挑战，这些手段虽然还能保持一定的作用，但却会因相对无效性从未来的安全体系中逐渐淡出。

4、 过于关注先进技术

诚然，关注先进的技术无可厚非，但单纯的技术往往治标不治本。要成功实现全面的IT安全，必须整合进成套的员工管理方法及业务安全操作流程，作为企业文化的一部分被长期贯彻。

5、 未能充分调用员工的能动性

仅仅提升员工对威胁的识别能力是永远不够的，许多员工并不了解他们正在使用的数据的价值所在，并错误地以为数据安全是由专人负责的，并未充分认识到自己也是在企业数据安全中的重要角色。企业需要对员工进行纵向及交叉的培训，让各部门对彼此在安全防护中职责和战略有相互的了解，并结合周期性的安全攻击演习，以检验培训的成果。

技术层面

1、 新旧技术之间的融合问题

企业所面临的最大挑战之一就是如何在现有的基础设施上融入新兴的技术，以提升安全体系的等级。为了与新兴技术相匹配，许多企业将基础设施作为发展的重点，却忽略了所要保护的数据本身，也没有意识到一些先进的技术很可能导致部署的不一致，白白耗费大量时间、人力与财力，反而留下了安全隐患。

2、 移动与云计算将弱化基础设施的作用

在移动互联及云计算高度发展，数据可能出现在任何位置。这也是企业必须将关注重心由基础设施转为数据的另一个重要原因，移动化及数据增值正弱化在基础设施中在多层架构中的安防效果，加大基础设施的建设力度并不能对云数据提供相匹配的安全保障。

3、 传统安全解决方案没有完全跟上各类威胁的快速演变

即便拥有充足的预算，新技术的落实与安全解决方案的开发都很难与威胁的演变同步，二者之间的差距使得多数的解决方案在用户覆盖上有所不足。如何覆盖移动用户、顾及https与私有VPN的盲点、以行为分析摆脱对签名技术的过度依赖，才是真正需要预算投入的地方。

4、 多数安全系统没有自主学习能力

在传统的安全技术下，攻击者可以通过改变代码的方式绕过安全监测，让防火墙和反病毒解决方案失效。若系统不能实时升级以应对新的乱码攻击，就会留下许多极易被利用的漏洞。

5、 缺乏整合是大多数企业的致命弱点

多少情况下，网络上附加的安全功能并不是越多越好，他们在功能性上的重叠不会让系统变得更为强大，相反会因为不能共享彼此的信息而浪费资源。企业需要一些新的途径部署统一的控制面板，在实现对安全项目高度统合管理的同时，将各自的安全智能相整合，实时收集相关数据，供安全团队作出明智的决策。