和邻居寡妇做爰免费观看_日本特黄特色大片免费视频电影_国产视频h,百合宿舍肉h文,av不卡免费看,一级片一区二区三区

在醫(yī)院數(shù)據(jù)庫系統(tǒng)運行期間，需要對現(xiàn)有的數(shù)據(jù)庫進行審計，確保對現(xiàn)有數(shù)據(jù)庫系統(tǒng)的敏感操作都有記錄。為了保證審計系統(tǒng)的正常高效運行，數(shù)據(jù)庫審計系統(tǒng)的日常運維工作是必不可少的。

因為所有的數(shù)據(jù)操作都是在數(shù)據(jù)庫中進行的，所以要想審計業(yè)務(wù)操作的具體情況，必須做數(shù)據(jù)庫層面的操作審計。常用的數(shù)據(jù)庫審計系統(tǒng)有兩類：

（一）數(shù)據(jù)庫內(nèi)置的審計功能

這種審計系統(tǒng)利用數(shù)據(jù)庫本身內(nèi)置的審計功能，能夠?qū)徲嫿^大多數(shù)數(shù)據(jù)庫操作。但是審計的細粒度很低，而且也很難還原SQL操作本身。比如：對于一個數(shù)據(jù)刪除操作：ｄｅｌｅｔｅ FROM EMP ｗｈｅｒｅ DEPTNO=10；假設(shè)表EMP滿足條件DEPTNO=10的記錄數(shù)有100條，那么在數(shù)據(jù)庫審計系統(tǒng)中會有100條ｄｅｌｅｔｅ操作，而不是真正的SQL語句：ｄｅｌｅｔｅ FROM EMP ｗｈｅｒｅ DEPTNO=10。并且大多數(shù)現(xiàn)有的數(shù)據(jù)庫無法準確審計DDL語句，如：ALTER TABLE XXX ADD （col...），個別數(shù)據(jù)庫產(chǎn)品可以審計DDL語句，但是那都是靠創(chuàng)建數(shù)據(jù)庫級別的觸發(fā)器實現(xiàn)的。

總之，這類基于數(shù)據(jù)庫產(chǎn)品本身的審計功能的審計系統(tǒng)的審計顆粒度和準確性都有限。而且由于數(shù)據(jù)庫產(chǎn)品本身的審計功能是基于數(shù)據(jù)庫引擎之上的，所以會消耗生產(chǎn)數(shù)據(jù)庫系統(tǒng)本身的資源。如果全部打開所有會話的所有數(shù)據(jù)庫操作審計，其生產(chǎn)數(shù)據(jù)庫系統(tǒng)的CPU資源會有15% ~ 30%的額外消耗。所以，如果是使用這類數(shù)據(jù)庫審計系統(tǒng)，通常只是有目的地針對個別數(shù)據(jù)或操作進行審計，不會審計整個業(yè)務(wù)數(shù)據(jù)庫中所有的操作。

（二）外置旁路模式的數(shù)據(jù)庫審計系統(tǒng)

外置旁聽模式的數(shù)據(jù)庫審計系統(tǒng)是一個獨立于生產(chǎn)數(shù)據(jù)庫的系統(tǒng)，其工作原理是通過網(wǎng)絡(luò)旁聽模式監(jiān)聽并收集所有客戶端發(fā)送到生產(chǎn)數(shù)據(jù)庫中的網(wǎng)絡(luò)包，然后在審計系統(tǒng)內(nèi)部將這些網(wǎng)絡(luò)包進行解包還原里面的操作命令（即SQL語句）。將SQL語句捕獲下來后，存入到數(shù)據(jù)庫審計系統(tǒng)中，然后再根據(jù)用戶設(shè)置條件進行告警或生成報告。相對于基于數(shù)據(jù)庫產(chǎn)品自帶的審計功能，外置旁聽模式的數(shù)據(jù)庫審計系統(tǒng)有以下幾點優(yōu)勢：不占用生產(chǎn)系統(tǒng)的任何系統(tǒng)資源，由于是基于網(wǎng)絡(luò)旁聽的模式，所有的審計操作均是在審計系統(tǒng)上進行的，所以不會占用生產(chǎn)數(shù)據(jù)庫系統(tǒng)的系統(tǒng)資源；能夠準確還原SQL語句，因為所有的從客戶端發(fā)往數(shù)據(jù)庫服務(wù)器的SQL語句都是通過TCP/IP網(wǎng)絡(luò)發(fā)出的，如果把這些TCP/IP網(wǎng)絡(luò)包捕獲下來，按照相應(yīng)的數(shù)據(jù)庫產(chǎn)品網(wǎng)絡(luò)包格式進行解析，原則上可以得到所有的SQL語句代碼。所以，網(wǎng)絡(luò)旁聽模式的數(shù)據(jù)庫審計產(chǎn)品不僅能夠?qū)徲婦ML操作，還能夠很好地審計數(shù)據(jù)查詢操作以及DDL操作；有良好的用戶界面，能夠根據(jù)用戶需求定制告警條件，并且可以通過黑白名單方式減少日常告警數(shù)量。

目前，在醫(yī)院信息系統(tǒng)中，多數(shù)使用的是這類網(wǎng)絡(luò)旁聽模式的數(shù)據(jù)庫審計產(chǎn)品。不過，需要注意的是，如果用戶直接登錄上數(shù)據(jù)庫系統(tǒng)所在的操作系統(tǒng)，或者直接在數(shù)據(jù)庫系統(tǒng)主機的控制臺上進行數(shù)據(jù)庫操作的話，是不會產(chǎn)生數(shù)據(jù)庫網(wǎng)絡(luò)包的，此類網(wǎng)絡(luò)旁聽模式的數(shù)據(jù)庫審計系統(tǒng)是無法審計這些數(shù)據(jù)庫操作的。因此，如果要很好地針對生產(chǎn)數(shù)據(jù)庫做全面的審計，不僅要部署網(wǎng)絡(luò)旁聽模式的審計系統(tǒng)，還要結(jié)合堡壘機系統(tǒng)、桌面管理系統(tǒng)等。

雖然內(nèi)置式的數(shù)據(jù)庫審計系統(tǒng)存在諸多不足，但是對于一些特定場景，比如：僅僅監(jiān)控數(shù)據(jù)庫超級管理員的操作，或只想審計某個數(shù)據(jù)庫對象（表、序列號等）的使用情況時，還是可以開啟數(shù)據(jù)庫產(chǎn)品內(nèi)置的審計功能的。對于內(nèi)置式數(shù)據(jù)庫審計系統(tǒng)，要做好審計策略、審計對象、審計操作、審計范圍的取舍，確保在不影響系統(tǒng)性能的前提下實現(xiàn)審計目標。在日常運維時需要定期查詢審計結(jié)果，及時發(fā)現(xiàn)敏感操作。

對于內(nèi)置式數(shù)據(jù)庫審計系統(tǒng)，由于審計結(jié)果是存放在數(shù)據(jù)庫主機中的，故需要定時清理審計結(jié)果所占用的存儲空間。這個過程容易被數(shù)據(jù)庫管理員忽視，無論是把審計記錄存放在數(shù)據(jù)庫中，還是存放在文件系統(tǒng)中，審計記錄占用的空間往往會比數(shù)據(jù)庫管理員預(yù)想的要大。如果把審計記錄放在文件系統(tǒng)中，當審計的范圍大、顆粒度小，會產(chǎn)生大量的審計記錄小文件。這些數(shù)以萬計的小文件會極大地影響文件系統(tǒng)的性能。如果對這些空間不加以清理，不僅會因為空間爆滿而不再記錄新的審計記錄，而且可能會影響生產(chǎn)系統(tǒng)的文件系統(tǒng)性能。所以必須定期清理存放審計記錄的空間。

1. 監(jiān)控系統(tǒng)運行狀態(tài)  旁路數(shù)據(jù)庫審計系統(tǒng)是獨立于生產(chǎn)數(shù)據(jù)庫之外的系統(tǒng)，如果該審計系統(tǒng)出現(xiàn)故障，不會影響生產(chǎn)數(shù)據(jù)庫的正常運行，但是不會再記錄客戶端發(fā)往生產(chǎn)數(shù)據(jù)庫的SQL指令了。如果在此期間發(fā)生了數(shù)據(jù)庫安全事件，將無法查詢相應(yīng)時間段的審計記錄。因此，要確保旁路審計系統(tǒng)處于正常工作狀態(tài)。按以下過程確認審計系統(tǒng)是正常的：

首先，登錄審計系統(tǒng)，檢查系統(tǒng)的運行情況。然后從自己的客戶端發(fā)出一條SQL指令給生產(chǎn)數(shù)據(jù)庫。最后檢查審計系統(tǒng)是否檢查并記錄下剛剛發(fā)出的測試SQL指令。如果最終能夠在審計系統(tǒng)上看到剛剛發(fā)出的測試用的SQL指令，說明審計系統(tǒng)是運行正常的。

2. 設(shè)定審計告警策略  網(wǎng)絡(luò)旁聽模式的審計系統(tǒng)會記錄所有的客戶端發(fā)往生產(chǎn)數(shù)據(jù)庫系統(tǒng)的SQL代碼，并且不會對生產(chǎn)數(shù)據(jù)庫產(chǎn)生任何影響，所以不必設(shè)定審計范圍。但是需要設(shè)定審計告警策略，即：針對哪些數(shù)據(jù)庫對象的哪些操作，審計系統(tǒng)會主動發(fā)出告警信息。主動發(fā)送告警信息是網(wǎng)絡(luò)旁聽模式數(shù)據(jù)庫審計系統(tǒng)的一個重要功能，這個功能使得數(shù)據(jù)庫管理員能夠在安全事件發(fā)生后較短時間內(nèi)被通知。數(shù)據(jù)庫管理員需要在審計系統(tǒng)中設(shè)置需要對什么數(shù)據(jù)庫對象/表的何種操作（查詢、修改、刪除）進行主動告警。

另外，還需要設(shè)置主動告警的方式。一般地，審計系統(tǒng)提供郵件和短信告警。如果要設(shè)置郵件告警，需要在郵件系統(tǒng)中專門開通一個用以發(fā)送告警郵件的信箱，然后設(shè)定SMTP的各種設(shè)置：SMTP 服務(wù)器、端口以及接收方的郵件地址等。短信告警設(shè)置比較簡單，只需要把接收方的手機號碼設(shè)好即可。

3. 調(diào)整黑白名單  僅僅是設(shè)置審計告警策略還是不夠的，因為在實際運維過程中，滿足告警條件的審計記錄是非常多的。對于一個普通的三甲醫(yī)院，每天對于關(guān)鍵表的查詢操作可能有幾千條之多。這些告警信息中絕大多數(shù)都是業(yè)務(wù)程序產(chǎn)生的。因此，審計系統(tǒng)都會提供黑白名單機制以進一步縮小告警范圍。數(shù)據(jù)庫管理員需要人工鑒別哪些告警信息是屬于正常業(yè)務(wù)程序產(chǎn)生的，然后將其加入到白名單中。由于正常業(yè)務(wù)程序產(chǎn)生的數(shù)據(jù)庫操作指令雖多，但是基本上都會是重復(fù)的SQL指令。經(jīng)驗表明，經(jīng)過一個業(yè)務(wù)周期后，就基本上可以把正常業(yè)務(wù)程序產(chǎn)生的告警信息加入到白名單了。經(jīng)過這樣的白名單設(shè)置后，再次出現(xiàn)的告警信息不僅很少了，而且都是值得關(guān)注的審計信息。如果數(shù)據(jù)庫安全管理做得完善的話，每天的告警信息應(yīng)該可以被控制在10~50條之間。對于一個熟悉業(yè)務(wù)的數(shù)據(jù)庫管理員來講，每天甄別10~50條SQL語句只需要10多分鐘時間。如果確信某條SQL語句是屬于絕對違反信息安全管理規(guī)定的，可以把這類SQL語句設(shè)置到黑名單中。一旦在審計記錄中發(fā)現(xiàn)符合黑名單條件的，就立即告警。

4. 分析審計結(jié)果  如果發(fā)現(xiàn)了告警信息，應(yīng)立即登錄審計系統(tǒng)檢查詳細的告警信息內(nèi)容。經(jīng)驗表明，根據(jù)告警信息里面的客戶端IP地址等信息可以很快定位到具體的終端，然后在半小時內(nèi)可以找到具體的責任人。在分析審計結(jié)果的過程中，不僅要使用到審計系統(tǒng)本身，還需要借助終端管理工具定位到具體的物理終端。