数据库审计系统（精选十篇）
数据库审计系统 篇1
一、业务数据审计
业务数据是指由被审计单位的业务信息系统所处理的, 在生产、经营、管理活动中产生的电子数据。在进行业务数据审计时, 主要从以下几个方面入手。
1. 对业务数据进行分析, 判断其反映经济活动的真实性, 可以通过数据验证、数据重算实现。
2. 对业务数据进行分析, 检查其反映经济活动的合法性, 可以通过数理统计、特征发现实现。
3. 对业务数据进行分析, 评价其反映经济活动的效益性, 可以运用比率分析、对比分析等分析方法, 计算主要的业务活动指标, 并进行纵向、横向的比较和分析。
4. 审计人员在分析业务数据时, 还应当通过会计核算数据与业务数据之间的相互核对, 验证会计核算数据是否真实、完整地反映了实际业务。
二、信息系统审计
信息系统是指被审计单位利用现代信息技术实现财政收支、财务收支及其相关经济业务活动的信息处理系统。信息系统审计是指国家审计机构依法对被审计单位信息系统的真实性、合法性、效益性和安全性进行检查监督的活动。
信息系统审计的主要目标是通过检查和评价被审计单位信息系统的安全性、可靠性和经济性, 揭示信息系统存在的问题, 提出完善信息系统控制的审计意见和建议, 促进被审计单位信息系统实现组织目标;同时, 通过检查和评价信息系统产生数据的真实性、完整性和正确性, 防范和控制审计风险。
信息系统审计内容, 包括对应用控制、一般控制和项目管理的审计。其中, 应用控制包括信息系统业务流程, 数据输入、处理和输出的控制, 信息共享和业务协同;一般控制包括信息系统总体控制, 信息安全技术控制, 信息安全管理控制;项目管理包括信息系统建设的经济性, 信息系统建设管理, 信息系统绩效。结合经济业务活动的审计项目开展的信息系统审计, 可以按照审计实施方案要求, 重点选择信息系统中容易产生数据风险的内容, 也可以根据需要选择其他内容组织实施。具体来说, 信息系统审计步骤如下。
1. 审计机关在开展初选审计项目可行性研究和编制审计实施方案时, 要调查了解被审计单位相关经济业务活动及其所依赖的信息系统。
2. 调查了解信息系统的需求与设计、研发与集成、使用与控制、运维与保障等, 以及相关的组织架构、责任机制和控制制度。
3. 调查了解系统承载业务的业务流、资金流和信息流, 重点分析系统结构和数据结构, 标示信息系统审计的关键控制环境和控制点。
4. 研究并确定信息系统应用控制、一般控制和项目管理的审计内容、审计事项和审计指标。
5. 开展应用控制、一般控制和项目管理的审计测试和评价, 获取审计证据, 激励相关指标的测评情况, 分析系统控制水平以及数据风险, 评价系统建设的经济性及信息化投资的有效性。
6. 编写信息系统审计报告。按照审计实施方案要求, 依据审计记录和审计证据, 评价信息系统的真实性、合法性、效益性和安全性, 分析信息系统的控制缺失程度、风险水平、成因和责任, 形成审计结论, 提出改进信息系统控制、防范系统控制缺失产生审计风险的审计意见和建议。
结合经济业务活动审计项目组织开展的信息系统审计, 可以先实施信息系统控制测评, 以便向数据审计提供系统控制缺失产生数据风险的测评结果和审计建议。
三、数据审计和信息系统审计的联系
新修订的国家审计准则第73条规定“评估对信息系统的依赖程度, 确定是否及如何检查相关信息系统的有效性、安全性”;第76条规定“审计人员认为存在下列情形之一的, 应当检查相关信息系统的有效性、安全性: (一) 仅审计电子数据不足以为发现重要问题提供适当、充分的审计证据; (二) 电子数据中频繁出现某类差异”。这些规定明确了数据审计和信息系统审计的关联性, 为计算机审计拓展内容、提升层次提供了有力支持。
四、通行费征收系统审计案例
该通行费征收系统涉及该单位中的3个业务部门:负责记录、收费并开具发票的收费站;负责接收并处理上一个工作日的通行费收入的票管室;负责监控、审核收费员工作, 并备份数据的运维分中心。
1. 关键点内控检查及相关审计结果和建议。
(1) 收费站。经过现场观察和询问, 笔者发现无法避免以下3种情况的发生:一是放行而不收费、不记录;二是放行、收费而不记录;三是无意或故意选错车辆类型。随后在数据审计的过程中向相关技术人员了解到, 系统设计时, 原本在车辆进入收费窗口前的起杆处有一个车型判别仪;当人工收费与判别仪不一致时, 监控室就拍下相应的照片;监控人员每日查看这些照片, 就能查出习惯性的作弊行为。但目前该仪器已经损坏, 不再使用。因此, 笔者建议该单位尽快重新使用该仪器, 以确保关键点存在内控措施。
(2) 票管室。经过现场观察和询问, 笔者认为该环节的内控措施是足够的。
(3) 运维分中心。了解到数据为手工备份后, 笔者仔细查看了备份数据, 包括修改时间和文件大小, 发现2011全年的日流量备份数据缺9个, 另有2个数据为空。缺少的数据是监控员忘了备份的, 空数据是操作不当产生的。同时, 出于运行速度的考虑, 数据库中的原始数据仅保留7日, 7日后被转移到数据库的备份表里, 30日后被删除, 以致该人工备份的数据是数据产生30日后唯一的原始数据。鉴于以上情况, 笔者建议在该系统中添加自动备份数据的功能。
(4) 基础表数据结构审查。分析日流量数据备份表的数据结构, 笔者发现, 只有“TNum票据号”字段可以作为主键, 而该字段存在重复和断号情况。鉴于此, 笔者认为, 该数据的完整性无法核实, 建议他们将实际的发票号作为字段“TNum票据号”的内容。
2. 关键环节的平行模拟及相关审计结果和建议。出于工作量、数据量及其他综合因素的考虑, 笔者从被审计单位提供的数10种报表中选择车辆动态月报表作为具体的平行模拟审核对象。经审计, 发现被审计单位提供的4月份月报数据跟审计结果有轻微差异。进一步询问并核对, 发现差异来自报表打印时间的选择上——该月报于2011年5月1日8:38分打印, 而后又发生的数笔业务没有被统计上。鉴于此, 建议软件设定为9:00之前不能打印涉及上一个工作日的任何报表, 以确保报表数据的准确性。
商用数据库审计系统调研 篇2
慧眼数据库审计系统
完整监控
记录数据库上发生的一切，时间、地点、操作、结果，即便是数据库管理员的操作也将如实记录，不仅记录数据库增、删、改、查等操作，同时全面记录数据库上的其它行为：如针对数据库数据的运维操作及数据库自身产生的日志；
全面审计
通过灵活的审计策略，发现信息泄露、权限滥用、恶意攻击、违规操作等各个级别的审计事件，丰富的审计查询条件，高速检索引擎，快速定位到事件源头；
审计策略
内置丰富的策略库，满足不同应用场景，服务器组功能可对多种数据库进行统一的管理，可以从各种角度给不同的数据库服务器设置策略；
实名审计
不仅记录IP地址、数据库用户名，而且可以实现与应用服务器关联，也可以与第三方认证系统进行关联，准确定位事件责任人；
异构审计
可同时对Oracle, SQL Server, DB2等不同类型的数据库实施审计，统一管理，统一分析；
事件告警
当高风险的事情发生时我可以在第一时间用邮件、短信等多种方式通知您；
合规报表
内置多种合规性审计报表模板，满足不同层次的审计分析需要；
长期保存
针对长期保存的日志，采用多种技术使数据占用空间小、储存安全、查询速度快；
性能分析
分析消耗数据库性能的因素，提升数据库性能优化空间；
独立部署
不需要使用你数据库服务器的资源（不需要在数据库服务器上安装任何代理软件），不会对你的数据库性能及网络造成影响。
北京安信通网络技术有限公司
数据库审计系统
1、不影响业务系统的可用性
系统采用旁路方式接入用户网络中，通过交换机镜像端口采集数据，不需要改变现有的网络体系结构，不占用数据库服务器的资源，不影响数据库性能。
2、全面的审计内容
系统可提供数据库多方面的审计内容，具有丰富的审计记录项，包括：内容审计、行为审计、流量审计和其它审计项
3、灵活的审计规则设置、多样的报警方式
安信通数据库审计系统能够很灵活地定义审计策略，更能通过个性化分析设定策略，实现更细粒度的审计，更容易满足不同数据库系统的不同审计需求。
系统提供三种报警方式，气泡报警、声音报警和电子邮件报警，用户也可根据自己的需要增加新的报警方式。
4、完整而全面的审计结果
审计结果完整而全面，并按报警、会话、审计记录分别展示，方便事后查询。审计结果中包括：告警级别、事件发生时间、客户端IP、目标数据库IP、操作类型、客户端MAC地址、目标数据库MAC地址、客户端端口号、信息大小、返回状态、结果信息、客户端执行命令等详细信息内容。
5、精确定位，多种查询方式、多种报告输出
审计产品的技术意义在于：一旦发生安全事件时，可取得确凿的“证据”，安信通数据库审计系统能够提供详细的记录内容以供溯源定位，包括：谁做了操作、在什么时候做的操作、做过哪些操作、做过多少次操作、是什么操作类型、以什么身份进行的操作、操作是否成功等。
6、卓越的审计性能
自主设计的审计日志存储和查询数据库管理系统在峰值处理能力、高峰抗压能力、平均处理能力以及大数量级下的查询能力具有卓越的性能。安信通数据库审计系统在数据的存储和查询方面，速度是传统数据库的10倍以上。
7、独特的分组管理功能
系统提供根据登录主机或客户端IP进行分组划分的功能，可分组同类项用户，并提供用户主机、用户登录名、IP绑定功能；提供白名单功能，用户查询更为方便。
8、独有的语句转换接口和业务数据回放功能
本系统提供一个语句转换接口，此接口可自动将原始的SQL语句转换成用户一目了然的业务操作流程，以中文方式显示审计内容，不仅方便数据库管理员，也方便非专业人员。转换为业务操作后，系统提供按实际流程回放的功能。
9、独有的数据库安全检查功能。
系统内置数据库安全检查系统的功能，可定期对被审计的数据库进行安全检查，自动扫描数据库系统管理方面、数据库软件本身、数据库用户使用方面的漏洞，并给出详细的安全检查报告和漏洞修复建议，用户可根据此报告修复数据库漏洞，更能提高安全性。
10、基于角色的、严格的用户授权与管理
系统提供分权的用户管理。系统自身的审计功能，保证了系统的安全运行并采用安全、可靠、高效的硬件运行平台，保证系统的安全性和抗毁性。与审计中心间的通信采用加密传输，避免了可能存在的嗅探行为，保证了数据传输的安全。
北京信诺瑞得软件系统有限公司
分析审计系统在大数据时代的运用 篇3
【关键词】分析系统；大数据；时代；运用
一、大数据时代背景
最早提出“大数据”时代到来的是全球知名咨询公司麦肯锡，麦肯锡称：“数据，已经渗透到当今每一个行业和业务职能领域，并成为至关重要的生产因素。人们对于海量数据的挖掘和运用，预示着新一波生产率增长和消费者盈余浪潮的到来”。进入2014年，“big data”一词越来越多地被提及，时代寡头用它来描述和定义信息爆炸产生的海量数据，命名与之相关的技术发展与创新。数据正在迅速膨胀并变大，它决定着一个企业、一个行业、一个领域甚至一个国家的发展和未来，虽然很多个体和部门并没有意识到数据爆炸性增长所带来挑战和机遇，但随着时间的推移，人们将越来越清晰的认识到海量数据的重要性，在商业、经济及其他领域中，决策将日益基于数据和分析而作出，而并非基于经验和直觉。
二、经验审计之弊端
本课题以具有大数据特征的人民银行国库核算业务为切入点，分别从审计抽样、线索发现、问题定性等多方面、深层次加以分析，显现经验审计之特点。为保证分析数据的科学性、连续性和逻辑性，课题组抽取了人民银行某地市中心支行2008至2013年期间，甲、乙、丙3名审计人员对国库核算业务审计资料，对比如下：甲审计员分别于2008年、2009年、2011年和2012年参加了对4家县支行国库核算业务审计，其中审计资料调阅重合度98.7%，线索追溯重合度95.4%，问题定性重合度98.4%，而审计方案覆盖率只有63.2%。乙审计员于2009年、2010年和2012年参加了对3家县支行国库核算业务审计，资料调阅重合度96.8%，线索追溯重合度95.3%，问题定性重合度97.9%，审计方案覆盖率为67.1%。丙审计员于2008年、2012年和2013年参加了对3家县支行国库核算业务审计，资料调阅重合度94.5%，线索追溯重合度96.4%，问题定性重合度97.2%，审计方案覆盖率为72.3%。
三、分析审计系统的优势
随着人民银行业务信息化进程的不断加快和数据大集中趋势的愈加明显，经验审计已无法满足基于风险控制的管理要求。为顺应内部审计工作发展，推动内审转型成果的有效运用，人行宝鸡中支积极探索应用计算机辅助审计系统（分析审计系统）开展大数据环境下的审计工作。2014年，宝鸡中支通过辅助审计系统对国库核算业务数据进行非现场查阅，重点运行“重要空白凭证领用情况”、“重要空白凭证跳号使用”、“预算执行情况分析”、“退库原因分析”、“支付方式退库原因明细查询”、“查复不及时”、“通过暂收款重拨”、“福利企业增值税退税”、“财政专户分析”、“大额贷记退汇支付业务”、“大额实拨资金业务分析”、“国库内部往来”、“会计主管授权日志分析”、“集中支付支出情况分析”等32个固化审计模型，完成了对3家县支行国库核算业务的全面覆盖，筛选提取重点关注数据1098条，现场审计核实风险隐患16类，共计37条，并实现了对审计方案的全面覆盖。
计算机辅助审计系统的有效运用一改传统盲目、经验的审计抽样方式，实现了审计范围的全面排查，最大限度的在海量数据中发现国库业务存在的薄弱环节，使审计工作方向明确、有备而来，审计疑点准确锁定、精确打击，大大节约了现场检查资源，降低了审计成本，提高了审计质量，改善了审计效果。
四、成果展示
2014年8月，宝鸡中支成立审计组进驻辖区某县支行，利用计算机辅助审计系统开展对县级国库核算系统专项审计，取得较好效果。
1.全面数据分析，筛选疑点线索
审前准备阶段，审计人员利用辅助审计系统非现场抽调了支行2013年至审计日的国库核算数据，根据数据分析组件对数据进行加工、筛选和比对。重点筛查了“重要空白凭证领用情况”、“重要空白凭证跳号使用”、“预算执行情况分析”、“退库原因分析”、“支付方式退库原因明细查询”、“查复不及时”等固化审计模型，初步筛选出需现场确认的可疑记录711条，按照风险类别整理导出文件32个。
2.强化疑点核实，核对凭证记录
现场审计阶段，针对审前提取的疑点信息，审计组有的放矢，调取疑点信息发生日及相邻日期的传票及账簿凭证，现场核对、深入挖掘、揭示风险。经核实后确认支行国库核算存在“福利企业退税监督不严”、“财政专户拨款审核不严”、“国库直接支付预算支出科目审核不严”、“预算单位国库集中支付覆盖率较低”、“对账制度执行不到位”等重要风险13个，涉及业务风险10类，迅速实现了对疑点问题的精确定性，起到了精确锁定，凸显风险，抓手明确，改善管理的审计目的。
3.提升审计效力，增加服务质量
便携式数据库审计系统设备 篇4
随着数据库的应用逐渐广泛,信息泄露和信息篡改事件也逐渐显现出来,数据库安全问题备受关注。有一项数据指出,仅2013年一年,CNVD就通报了将近136个数据库系统漏洞,占信息安全漏洞总数的1.8%。另外,在2012年,中国发生多起数据库安全事件,大约50多个网站的上千万条数据从数据库中泄露。数据库安全性问题通常会造成严重后果,因此,开展数据库信息安全技术研究,是实现数据库系统安全的迫切需求。
大部分企业或个人采取一定措施来保护数据库的安全,因而越来越多的数据库审计产品问世,成为必不可少的数据库安全工具。J.P.Anderson在1980年首次提出使用日志对数据库进行安全审计的想法。M.Bishop对J.P.Anderson的想法提出进一步的补充,他认为安全审计由日志和审计共同完成,日志侧重于对数据的记录,而审计则侧重于对数据的审查和分析。王渊提出将安全审计与安全检测的思想相结合,将入侵检测引入到安全审计工作中。IBM、Oracle等大型数据库公司也开发出自身适用的数据库安全审计系统,例如IBM的Info SphereGuardium和Oracle的Oracle Audit Vault等。国内也有许多类似的产品问世,例如绿盟科技的安全审计系统,思福迪的LOGBASE系统等。
但现阶段的数据库审计设备存在体积大、质量重、携带不便等缺点,为审计工作带来不便。精简的设备设计和齐全的审计功能成为审计产品的发展趋势。本文提出一种便携式数据库安全审计系统设备,该设备客服现阶段审计设备复杂、不便携带的缺点,能够在任何网络下接入,方便数据库安全审计工作的开展。
1 模型
本文提出的便携式数据库审计系统设备,其原理在于克服现阶段审计设备复杂、不便携带的缺点,提供一种新型便携式审计系统设备,在任何网络下都能接入,方便数据库的安全审计工作。
本便携式数据库审计系统设备采用Linux操作系统,并且内置预设定的数据库安全审计系统;所述硬件设备主要包括中央处理器、电源、主板、内存、硬盘、网络/无线网络接口。内存设置在主板上;硬盘与主板连接;网络/无线网络接口与主板连接,实现该设备能在任何网络接入,方便审计工作;中央处理器设置于主板上,与硬盘、内存、电源、网络/无线网络接口连接;电源为各元件提供电力。
如图1所示,该便携式数据库审计系统设备包括数据采集模块、规则生成模块、安全检测模块、报表生成模块、报警模块、日志管理模块、系统控制模块,系统控制模块控制其余各模块的运行和数据传输。模块介绍如下。
1.1 数据采集模块
该模块采用旁路监听方式,监听并采集传输给数据库服务器端的数据包,将采集到的数据包进行解包,剥离出目标信息。剥离出的目标信息包括源IP地址、目的IP地址、访问时间、用户名、数据库操作类型、数据库表名等,精细还原对数据库表、视图、包、函数、序列、库等的创建、更新、查询、删除和用户自定义操作等SQL操作命令,将目标信息保存至数据库中。
1.2 规则生成模块
该模块对用户不损害数据库的历史操作数据进行采集并且预处理,通过关联关系建立规则模型。其中,历史操作数据包括操作者、操作对象、操作类型、操作时间和操作者IP地址。
1.3 安全检测模块
将数据采集模块采集到的目标信息与规则生成模块建立的规则模型进行比较,若相似,则视为正常行为;若相异,则视为潜在安全威胁行为,并将该目标信息与系统内置的安全规则库匹配,分析操作是否有安全威胁。系统内置数百种安全规则库,安全规则库内容可由用户根据需要进行增添和删除。
1.4 报表生成模块
根据安全检测模块检测的结果,针对数据库现阶段是否具有安全威胁以及安全威胁类型做一个分析报告,报告的形式多样,可以是包含用户信息、时间、具体操作、安全威胁类型的列表,也可以是曲线图、饼状图、柱状图等统计图。最终将生成的报表存储并且发送给数据库管理员。
1.5 报警模块
当检测到违规操作,系统提供多种报警方式,将违规操作的具体定位信息通过邮件、短信等方式实时发送至数据库管理员。
1.6 日志管理模块
该模块记录数据库操作中的四大要素信息,分别为操作者、操作对象、操作时间、操作行为。其中,操作者包括操作行为的发出者、操作者IP地址;操作时间即操作发生的时间;操作对象包括操作对象的描述和操作对象的数据信息变化;操作行为即数据操作类型。该模块灵活设置查询条件,方便管理员根据要素信息为查询条件查看日志。
1.7 系统控制模块
该模块采用可编程控制器实现,与其余模块相连接,控制各个模块的运作和数据传输。
本实用新型的优势在于除了具备功能齐全、便于携带的优点外,在审计方面运用建立规则模型进行关联分析,方法简单易实现。
2 具体实施方法
以下结合附图进一步阐述具体实施方法,使其目的、功效、特征更加清晰明了。
该便携式数据库审计系统设备采用Linux操作系统,并且内置预设定的数据库安全审计系统。
图2示出了该便携式数据库审计系统设备结构图。其中,硬件设备主要包括中央处理器、电源、主板、内存、硬盘、网络/无线网络接口。内存设置在主板上;硬盘与主板连接;网络/无线网络接口与主板连接,实现该设备能在任何网络接入,方便审计工作;中央处理器设置于主板上,与硬盘、内存、网络/无线网络接口和电源连接;电源为各元件提供电力。
主板:主板固定于该便携式数据库审计系统设备壳体内,中央处理器、内存、硬盘、网络/无线网络接口插于主板上,充分协调各元件的正常工作,是该设备中最重要的部件之一。除此之外,主板配置多个USB接口,可同时接入鼠标、键盘、移动存储设备等。
内存:用于暂时存放中央处理器中的运算数据,以及与硬盘交换的数据。包括RAM(随机存取存储器)、ROM(只读存储器)、以及Cache(高速缓存)三部分。内存插于主板上,不限定其型号。
硬盘:用于存储操作系统、应用程序以及数据等,具有容量大、速度快等优势。硬盘与主板相连,通过减震支脚架空固定于设备箱底,保证其高速运转时能及时散热。
中央处理器:根据获取的数据和指令进行运算,产生相应控制信号,发给各个元件,从而控制各元件按要求执行。中央处理器设置于主板上,可将处理的信息发送至内存、网络/无线网络接口、硬盘。
网络/无线网络接口:设置于主板上,实现该设备能在任何网络接入,方便审计工作。
电源:为设备中的主板、内存、中央处理器、硬盘、网络/无线网络接口等元件供电。电源装置与散热装置固定于设备壳体上,电源装置包括外接电流端口和充电电池两种形式,方便任何场合使用。
如图3所示,数据库审计系统工作分为以下步骤:
步骤一:采集数据信息
采用旁路监听方式,监听并采集传输给数据库服务器端的数据包,将采集到的数据包进行解包,剥离出目标信息。剥离出的目标信息包括源IP地址、目的IP地址、访问时间、用户名、数据库操作类型、数据库表名等,精细还原对数据库表、视图、包、函数、序列、库等的创建、更新、查询、删除和用户自定义操作等SQL操作命令,将目标信息保存至数据库中。
步骤二:建立规则模型
对用户不损害数据库的历史操作数据进行采集并且预处理,通过关联关系建立规则模型。其中,历史操作数据包括操作者、操作对象、操作类型、操作时间和操作者IP地址。
步骤三:目标信息安全检测
将采集到的目标信息与建立的规则模型进行比较,若相似,则视为正常行为;若相异,则视为潜在安全威胁行为,并将该目标信息与系统内置的安全规则库匹配,分析操作是否有安全威胁。系统内置数百种安全规则库,安全规则库内容可由用户根据需要进行增添和删除。
步骤四:
1生成检测报表
根据安全检测的结果,针对数据库现阶段是否具有安全威胁以及安全威胁类型做一个分析报告,报告的形式多样,可以是包含用户信息、时间、具体操作、安全威胁类型的列表,也可以是曲线图、饼状图、柱状图等统计图。最终将生成的报表存储并且发送给数据库管理员。
2安全威胁报警
当检测到安全威胁操作,系统提供多种报警方式,将违规操作的具体定位信息通过邮件、短信等方式实时发送至数据库管理员。
3日志管理
记录每次数据库操作中的四大要素信息,分别为操作者、操作对象、操作时间、操作行为。其中,操作者包括操作行为的发出者、操作者IP地址;操作时间即操作发生的时间;操作对象包括操作对象的描述和操作对象的数据信息变化;操作行为即数据操作类型。灵活设置查询条件,方便管理员根据要素信息为查询条件查看日志。
3 结论
当前数据库安全现状及其安全审计 篇5
大学数据库原理教科书中，数据库是这样被解释的：数据库是计算机应用系统中的一种专门管理数据库资源的系统。数据具有多种形式，如文字/数码/符号/图形/图象以及声音。
数据库安全现状
数据库系统立足于数据本身的管理，将所有的数据保存于数据库中，进行科学地组织，借助于数据库管理系统，并以此为中介，与各种应用程序或应用系统接口，使之能方便地使用并管理数据库中的数据，如数据查询/添加/删除/修改等。
数据库无所不在。海量的数据信息因为数据库的产生而变得更加容易管理和使用。政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务及企业等行业，纷纷建立起各自的数据库应用系统，以便随时对数据库中海量的数据进行管理和使用，国家/社会的发展带入信息时代。同时，随着互联网的发展，数据库作为网络的重要应用，在网站建设和网络营销中发挥着重要的作用，包括信息收集/信息查询及搜索/产品或业务管理/新闻发布/BBS论坛等等。
然而，信息技术是一把双刃剑，为社会的进步和发展带来遍历的同时，也带来了许多的安全隐患。对数据库而言，其存在的安全隐患存在更加难以估计的风险值，数据库安全事件曾出不穷：
某系统开发工程师通过互联网入侵移动中心数据库，盗取冲值卡
某医院数据库系统遭到非法入侵，导致上万名患者私隐信息被盗取
某网游公司内部数据库管理人员通过违规修改数据库数据盗窃网游点卡
黑客利用SQL注入攻击，入侵某防病毒软件数据库中心，窃取大量机密信息，导致该防病毒软件公司严重损失
某证券交易所内部数据库造黑客股民入侵，盗窃证券交易内部报告
„„
数据库安全面临内部恶意操作以及外部恶意入侵两大夹击。如何有效保护数据库信息成为当前信息安全界最为关注的课题。
数据库安全分析
三大安全风险
数据库是任何商业和公共安全中最具有战略性的资产，通常都保存着重要的商业伙伴和客户信息，这些信息需要被保护起来，以防止竞争者和其他非法者获取。互联网的急速发展使得企业数据库信息的价值及可访问性得到了提升，同时，也致使数据库信息资产面临严峻的挑战，概括起来主要表现在以下三个层面：
管理层面：主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。
技术层面：现有的数据库内部操作不明，无法通过外部的任何安全工具(比如：防火墙、IDS、IPS等)来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。
审计层面：现有的依赖于数据库日志文件的审计方法，存在诸多的弊端,比如:数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。
伴随着数据库信息价值以及可访问性提升，使得数据库面对来自内部和外部的安全风险大大增加，如违规越权操作、恶意入侵导致机密信息窃取泄漏，但事后却无法有效追溯和审计。
传统数据库安全方案缺陷
传统的审计方案，或多或少存在一些缺陷，主要表现在以下两个方面。
传统网络安全方案：依靠传统的网络防火墙及入侵保护系统(IPS)，在网络中检查并实施数据库访问控制策略。但是网络防火墙只能实现对IP地址、端口及协议的访问控制，无法识别特定用户的具体数据库活动(比如：某个用户使用数据库客户端删除某张数据库表);
而 IPS虽然可以依赖特征库有限阻止数据库软件已知漏洞的攻击，但他同样无法判别具体的数据库用户活动，更谈不上细粒度的审计。因此，无论是防火墙，还是 IPS都不能解决数据库特权滥用等问题。
基于日志收集方案：需要数据库软件本身开启审计功能，通过采集数据库系统日志信息的方法形成审计报告，这样的审计方案受限于数据库的审计日志功能和访问控制功能，在审计深度、审计响应的实时性方面都难以获得很好的审计效果。
同时，开启数据库审计功能，一方面会增加数据库服务器的资源消耗，严重影响数据库性能;另一方面审计信息的真实性、完整性也无法保证。
其他诸如应用程序修改、数据源触发器、统一认证系统授权等等方式，均只能记录有限的信息，更加无法提供细料度的数据库操作审计。
数据库审计
数据库审计概念
审计，英文称之为“audit”，检查、验证目标的准确性和完整性，用以防止虚假数据和欺骗行为，以及是否符合既定的标准、标竿和其它审计原则。
审计概念最早用于财务系统，主要是获取金融体系和金融记录的公司或企业的财务报表的相关信息。随着科技信息技术的发展，大部份的企业、机构和组织的财务系统都运行在信息系统上面，所以信息手段成为财务审计的一种技术的同时，财务审计也带动了通用信息系统的审计。审计已开始包括信息技术审计。
信息技术审计，是一个信息技术(IT)基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。
数据库审计作为信息安全审计的重要组成部分，同时也是数据库管理系统安全性重要的一部分。通过审计功能，凡是与数据库安全性相关的操作均可被记录下来。只要检测审计记录，系统安全员便可掌握数据库被使用状况。
例如，检查库中实体的存取模式，监测指定用户的行为。审计系统可以跟踪用户的全部操作，这也使审计系统具有一种威慑力，提醒用户安全使用数据库。
数据库审计立法
《萨班斯-奥克斯利法案(2002 Sarbanes-Oxley Act)》的第302条款和第404条款中，强调通过内部控制加强公司治理，包括加强与财务报表相关的IT系统内部控制，其中，IT系统内部控制就是面向具体的业务，它是紧密围绕信息安全审计这一核心的。
《企业内部控制规范--基本规范的内部审计机制》，中国的萨班斯法案，提出健全内部审计机构、加强内部审计监督是营造守法、公平、正直的内部环境的重要保证。企业应当加强内部审计工作，在企业内部形成有权必有责、用权受监督的良好氛围。
ISO7498《信息处理系统开放系统互连——基本参考模型》第二部分安全体系结构在“安全服务与安全机制的一般描述”中指出安全审计跟踪提供了一种不可忽视的安全机制，它的潜在价值在于经事后的安全审计得以检测和调查安全的漏洞。
安全审计就是对系统的记录与行为进行独立的品评考查, 目的是测试系统的控制是否恰当, 保证与既定策略和操作堆积的协调一致, 有助于作出损害评估, 以及对在控制、策略与规程中指明的改变作出评价.安全审计要求在安全审计跟踪中记录有关安全的信息, 分析和报告从安全审计跟踪中得来的信息。这种日志记录或记录被认为是一种安全机制并在本条中予以描述, 而把分析和报告视为一种安全管理功能。
《计算机信息系统安全等级保护数据库管理技术要求》是计算机信息系统安全等级保护技术要求系列标准之一，详细说明了计算机信息系统为实现GB17859所提出的安全等级保护要求对数据库管理系统的安全技术要求，以及确保这些安全技术所实现的安全功能达到其应有的安全性而采取的保证措施。
其在 “数据库安全审计”中明确要求：数据库管理系统的安全审计应建立独立的安全审计系统;定义与数据库安全相关的审计事件;设置专门的安全审计员;设置专门用于存储数据库系统审计数据的安全审计库;提供适用于数据库系统的安全审计设置、分析和查阅的工具。
明御数据库审计与风险控制系统
明御数据库审计与风险控制系统是杭州安恒信息技术有限公司结合多年数据库安全的理论和实践经验积累的基础上，结合各类法令法规对数据库审计的要求，自主研发完成的业界首创细粒度审计、精准化行为回溯、全方位风险控制的数据库审计产品。
以独立硬件审计的工作模式，灵活的审计策略配置，解决企业核心数据库面临的“越权使用、权限滥用、权限盗用”等安全威胁，满足各类法令法规对数据库审计的要求，广泛适用于“政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务及企业”等所有使用数据库的各个行业。
支持Oracle、MS-SQL Server、DB2、Sybase、Informix等业界主流数据库，提升数据库运行监控的透明度，降低人工审计成本，真正实现数据库运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。
主要功能
明御数据库审计与风险控制系统主要的功能模块包括“静态审计、实时监控与风险控制、动态审计(全方位、细粒度)、审计报表、安全事件回放、综合管理”。
数据库静态审计代替繁琐的手工检查,预防安全事件的发生。明御TM数据库审计与风险控制系统依托其权威性的数据库安全规则库，自动完成对几百种不当的数据库不安全配置、潜在弱点、数据库用户弱口令、数据库软件补丁、数据库潜藏木马等等静态审计，通过静态审计，可以为后续的动态防护与审计的安全策略设置提供有力的依据。
实时监控与风险控制：明御数据库审计与风险控制系统可保护业界主流的数据库系统，防止受到特权滥用、已知漏洞攻击、人为失误等等的侵害。当用户与数据库进行交互时，可自动根据预设置的风险控制策略，结合对数据库活动的实时监控信息，进行特征检测及审计规则检测，任何尝试的攻击或违反审计规则的操作都会被检测到并实时阻断或告警。
数据库动态审计：明御数据库审计与风险控制系统基于“数据捕获→应用层数据分析→监控、审计和响应” 的模式提供各项安全功能，使得它的审计功能大大优于基于日志收集的审计系统，通过收集一系列极其丰富的审计数据，结合细粒度的审计规则、以满足对敏感信息的特殊保护需求。
数据库动态审计可以彻底摆脱数据库的黑匣子状态，提供4W(who/when/where/what)审计数据。通过实时监测并智能地分析、还原各种数据库操作，解析数据库的登录、注销、插入、删除、存储过程的执行等操作，还原SQL操作语句;跟踪数据库访问过程中的所有细节，包括用户名、数据库操作类型、所访问的数据库表名、字段名、操作执行结果、数据库操作的内容取值等。
审计报表：明御数据库审计与风险控制系统内嵌功能强大的报表模块，除了按安全经验、行业需求分类的预定义固定格式报表外，管理员还可以利用报表自定义功能生成定制化的报告。报告模块同时支持Word、Excel、PowerPoint、Pdf格式的数据导出。
安全事件回放允许安全管理员提取历史数据，对过去某一时段的事件进行回放，真实展现当时的完整操作过程，便于分析和追溯系统安全问题。
综合管理：明御数据库审计与风险控制系统提供WEB-base的管理页面，数据库安全管理员在不需要安装任何客户端软件的情况下，基于标准的浏览器即可完成对DAS-DBAuditor 的相关配置管理，主要包括“审计对象管理、系统管理、用户管理、功能配置、风险查询”等。
审计特点
独立审计模式：作为一个网络安全设备，明御数据库审计与风险控制系统审计数据通过网络完全独立地采集，这使得数据库维护或开发小组，安全审计小组的工作进行适当的分离。审计工作不影响数据库的性能、稳定性或日常管理流程。审计结果独立存储于DAS-DBAuditor自带的存储空间中，避免了数据库特权用户或恶意入侵数据库服务器用户，干扰审计信息的公正性。
灵活的动态审计规则：明御数据库审计与风险控制系统使用审计引擎对所有的数据库活动、数据库服务器远程操作进行实时的、动态的审计。
全方位、细粒度审计分析：实时监控来自各个层面的所有数据库活动，包括SQL操作、ftp操作、telnet操作;提供对潜在危险活动(如：DDL类操作、DML类操作)的重要审计优化视图;精细到表、字段、记录内容的细粒度审计策略，实现对敏感信息的精细监控。
零风险部署：明御数据库审计与风险控制系统可在不改变现有的网络体系结构(包括：路由器、防火墙、应用层负载均衡设备、应用服务器等)的情况下快速部署。
完备的自身安全：
物理保护:关键部件采用冗余配置(如：冗余电源、内置硬盘RAID等)。
掉电保护：设备掉电(如电源被不慎碰掉)时，网络流量将会直接贯通。
系统故障保护：内置监测模块准实时地监测设备自身的健康状况。
不间断的管理保护：在进行策略配置情况下，能保持网络的连接和保护。
不丢包：基于硬件加速的接口卡，在高速环境下实现100%数据包捕获。
数据库审计系统 篇6
关键词：审计记录； 客体对象值； 会话树
中图分类号：TP309.2； TP311.13
文献标志码：A
Improved database audit-log model based on session tree
LIU Jianbo1,2, CHEN Kaiming1, CHEN Xuejun2
(1. Dept. of Computer Sci. & Tech., Univ. of Sci. & Tech. of China, Hefei 230027, China;
2. Tranining Dept.， Urumchi Command Academy of Chinese Armed Police Force, Urumchi 830001, China)
Abstract： With the problem that is difficult to find and analyze the target objects due to no sufficient recorded information and loose relativity among records in traditional audit-log model of databases, the changed information of object value are added into the audit log, and a session-tree is used to indicate the relations between operations and sessions. The improved model can improve the efficiency and accuracy for ascertaining the liabilities, and efficiently detect the roles conflict latently or security events in large time-span.
Key words： audit log; object value; session tree
0 引 言
在数据库安全技术中，审计作为追查违反安全策略和确定责任个体的主要手段，在保护和评价系统的安全性方面起着十分重要的作用.目前，安全审计功能已经成为高安全等级数据库必备的功能之一.国际标准化组织和国际电联(ISO/IEC)的CC(通用)标准要求C2级以上的安全系统必须要有审计功能，我国的《计算机信息系统安全保护等级划分准则》中对此也有相应的要求.[1,2]
根据相关统计机构提供的数据，目前网络入侵和破坏有60％以上来自网络内部[3]，而针对数据库的入侵和破坏比例则更高，因此人们对数据库安全审计的功能提出更高的要求[4]：不仅要记录日志，还要对日志进行分析.数据库安全审计系统应具有如下作用：(1) 重构事件，即利用记录的日志信息能完全重现事件发生的时间、过程及原因；(2) 追查责任，系统可以通过日志记录调查安全问题产生的原因，并通过分析确定责任人和追究责任；(3) 报警响应，系统能针对用户的异常行为发出相应的报警信息并做出一定的响应.
针对传统审计记录模型中细节信息记录不充分、各条记录相关性不强而产生的定位和分析目标比较困难的现象，本文进行两方面的改进：在内容上，增加对客体对象值变化的记录，从而能够重现用户的操作细节并准确发现安全问题和事件责任人；在记录方式上，以树的形式记录用户每次会话的操作过程，便于数据库审计员或审计系统快速定位信息、分析问题并提取用户的访问特征模式，以及时更新安全策略.
1 传统数据库审计记录模型概述
目前国内外广泛使用的数据库产品主要有Oracle，DB2，SQL Server等.其审计日志记录模式一般按事件序列记录如下信息：日期和时间；主体的属性信息；对生成审计记录主机的识别；事件的种类；此类事件的识别符；事件的结果(成功或失败)等.如在Oracle的审计系统表中，日志的每条记录都包含日期和时间、用户名、会话标志符、终止标志符、存取对象的名称、执行或者尝试的操作、操作的完成代码等大量事件信息.国内由南京大学开发研制的原型数据库系统softbase(X)中，审计记录的内容有主体、主体标记、客体、客体标记、操作类型、发生的日期和时间、操作是否成功、主体登陆的地点等[5]，审计日志的记录和存储以时间为序，按照操作数据库的不同将审计日志分别存储在相应的文件中.
可以看出，在兼顾安全的基础上，为了获得更好的效率，传统数据库审计一方面舍弃一些信息的记录，如对客体对象值的历史记录；另一方面采用“流水账”记录方式，用户在不同时间对客体对象的相关操作都分散在不同的记录位置.这对于更强调安全性的场合，如银行、军事等敏感部门，由于审计标准和评价指标更加严格，则会产生两方面的问题：(1) 不容易定位责任人和发现问题.由于对客体对象值的变化没有连续跟踪记录，从传统的审计日志中只能知道哪些用户曾经对客体对象进行过操作，具体由谁对哪个状态负责则不易得出结论.如果用户对客体对象进行恶意操作后再将其恢复原样，则会导致被掩盖的问题不易被发现甚至不能被发现. (2) 深入分析问题和提取用户访问特征模式比较困难，这在一定程度上制约一些智能审计功能的实现；也使大时间跨度安全事件和隐式角色冲突问题不易被发现.传统的审计日志是按时间序列依次记录的，相关事件的内在联系十分不明显，而事件或会话过程的相关性特征在进行用户访问特征的提取、大时间跨度安全事件和隐式角色冲突问题的发现等深入分析时往往更有意义.
2 改进的审计记录模型
2.1 模型设计
在目前智能审计技术尚不成熟、审计日志深入分析的工作大部分还需要由人工完成的情况下，针对上述问题，为了满足一些特殊的需要，本文对审计记录模型进行两方面的改进.2.1.1 增加对客体对象历史值的记录
定义1 客体对象值集合：是一个按时间序排列的三元组的集合，表示为V(VOBJi)= {(vhi, uhi, thi)，…，(vqi, uqi, tqi)}，每个三元组分别表示对此客体对象值进行修改操作的结果、操作主体和时间戳.其中VOBJi为客体对象的标志，vi为客体对象在ti时刻的值，ui为操作客体对象的用户标志，ti为用户操作客体对象的时间戳.
审计记录中客体对象值的集合{(vhi, uhi, thi)，…，(vqi, uqi, tqi)}详细记录客体对象从时刻thi到tqi的历史.当一个用户操作要改变(更新、插入、删除、创建等)客体对象值时，系统就在该集合中按时间戳添加一个新的三元组记录(vq+1i, uq+1i, tq+1i)，即用户对客体值的每一次改变都有详细记录，所以很容易重现事件并快速定位事件的责任人.2.1.2 创建用户会话树
定义2 会话树就是将用户的每一次会话过程表示为一棵以用户当前的会话角色为根，被操作客体对象为节点的树，树的边代表用户施加的操作信息和操作成功与否的返回信息.
用户成功连接数据库后即开始一个会话过程.每个会话过程可以包括对一到多个客体对象进行操作的语句，每条语句先经过审计规则的检查，如需要进行审计则在审计日志中添加相应的记录.每条语句通过用户向客体对象发送施加的操作信息而启动，并返回成功与否的消息.所以每个会话过程可以构造一棵树：用户以某个角色开始一个会话过程，系统则添加此角色为树根，通过审计规则检查若会话中有需要审计的操作，就在树中添加被操作的客体对象为一个新节点，添加用户施加的操作信息和操作结果的信息为相应的边.若此次会话中没有需要审计的操作，则删除此次会话树的根.
在一棵会话树中，根中记录用户角色的标志和会话建立、结束的时间戳；每个节点中记录客体对象的标志和被操作的时间戳；分别记录用户施加的操作信息和操作成功与否的返回信息.这样，访问数据库的用户会话过程就是一棵以时间戳为线索建立的会话树.会话树根的上一层即为用户.当该用户在另一时间建立新的会话——可以与上一次相同或不同的角色，则在该用户下添加新的会话树.所以，用户在不同时间段的会话树就形成一个会话森林.
改进模型主要增加两部分审计记录内容：一是客体对象值变化的信息，二是会话树信息.当用户的请求通过数据库访问控制验证后，如果按照数据库的审计策略需要对其审计，则把本次会话的时间戳作为会话开始的时间戳，并记录相应信息，如消息信息、客体对象信息等，以此建立会话树.如果会话中有客体对象的当前值发生变化，则添加相应的客体对象新的值(vq+1i, uq+1i, tq+1i)到该客体对象值的集合中.会话结束，记录会话结束的时间戳.2．2 模型分析
为避免过多占用存储空间，保证数据库系统的整体效能，第一部分的信息中没有记录用户不改变客体对象时的操作(如读、查询等)信息；第二部分信息没有记录不需要审计的信息.但两部分信息相互补充，能够较好地重构事件，快速定位信息并进行进一步的分析.2．2．1 快速定位信息和分析信息
安全事件发生后，可以客体对象标志符为条件，通过在日志记录的第一部分信息中查询，即可很容易获得哪些用户在什么时间曾经对客体对象进行过修改操作(更新、插入、删除、创建等)的信息，对这些信息进行简单分析，就可以知道谁应当对这次事件负责.为了知道用户是通过何种方式实现自己的目的，再以第一次分析得到的结果即一个三元组(vxi, uxi, txi)作为线索对日志记录的第二部分信息进行查询分析.首先定位到用户uxi ，然后由txi所属的会话时间戳区间定位相应的会话树，因为每棵会话树的根中都记录有会话开始和结束的时间戳，即可得到用户的操作路线信息.通过分析，找到产生问题的真正原因，及时做出调整访问控制策略和审计策略以及用户(用户组或角色)的权限等应对措施.如果在第二部分信息中并未查询到用户的操作路线信息，则说明系统可能存在漏审等安全策略问题，数据库审计员可以及时调整和完善安全策略.2.2.2 发现大时间跨度的安全事件和隐式角色冲突问题
由于传统审计日志按时间序列依次记录的方式没有作进一步处理，所以具有较高的效率.但在实际应用中，按时间依次排列的、多个不同主体的会话过程之间一般没有内在的联系，因此不具有综合分析和使用意义.另一方面，一般情况下，孤立的各个记录事件合法时，数据库审计员是不会对相关事件集做综合分析的，即使要做综合分析，分析的起始时间点、结束时间点和时间跨度的选取也都无法把握.这些参数选取不好，综合分析就毫无意义.所以，用户在一个大时间跨度内的不同时刻分别进行多次合法的操作，而纵观其整个操作过程却非法的现象就可以“合理”存在而不被发现；同样，用户被分别分配了潜在冲突角色的隐式角色冲突问题也可以“合理”存在而不被发现.
在改进的模型中，每个用户构建各自的会话森林，森林中的各个会话树独立体现该会话过程的因果关系，而一个会话森林则综合体现该用户在由不同时间片构成的一段时期内的整体活动情况，每个会话树的根中也记录会话开始和结束的时间戳.因此，数据库审计员可以准确选取合适的分析起止时间点和时间跨度，对可疑的时间段进行深入分析.这就较好地解决对大时间跨度安全事件和隐式角色冲突进行准确分析的问题.2.2.3 提取用户的正常访问特征模式
通过会话树记录用户(角色)的操作线索，并对会话树的数理统计和数据挖掘可得到该用户(用户组)的正常行为模式.审计系统在运行一段时间后，数据库审计员可根据需要对所有用户或某些用户进行特别监控.审计系统根据数据库审计员设置的置信度阈值，使用FP-Tree技术挖掘用户的频繁访问模式集，建立用户(用户组)正常的访问模式.用户建立会话后，系统检查该会话过程与用户(用户组)正常模式下的行为过程的匹配程度.当会话过程不为正常模式的子集且其匹配度小于数据库审计员设定的阈值时，系统及时报警通知数据库审计员并停止该用户的继续操作，直到获得数据库审计员的响应或用户建立新的会话为止.系统根据数据库审计员的应答信息实时更新用户的正常访问模式.
3 结束语
针对传统数据库审计日志记录中由于客体对象细节记录不完备而产生的发现和分析问题比较困难的现象，提出基于会话树的、增加客体对象值变化信息记录的审计记录模型.该模型用空间和时效的代于对安全要求高的银行和部队等部门.通过理论和实验分析，该模型可以适应一些特殊的应用要求.
参考文献：
[1] National computer security center. NCSC-TG021, trusted database management system interpretation of the trusted computer system evaluation criteria[S]. 1991.
[2] GB 17859—1999, 计算机信息系统安全保护等级划分准则[S]. 1999.
[3] 张世永. 信息安全审计技术的发展和应用[J]. 电信科学, 2003, 19(12)： 29-32.
[4] BISHOP M. A model of security monitoring[C]// Proc 5th Annual Computer Security Applications Conference, 1989: 46-52.
[5] 陆晓华. 安全数据库管理系统Softbase(X)的研究和实现[D]. 南京: 南京大学, 2002.
(编辑 廖粤新)
数据库审计系统 篇7
随着医院信息化应用的日益普及和深入, 大部分医院都针对操作系统、应用系统和网络连接等安全性, 采用防火墙、入侵检测、内网监控、防病毒等权限控制和安全审计措施, 但作为信息系统核心的数据库的访问监测和安全审计却没引起足够的重视。
数据库安全不仅包括其自身的用户验证和访问控制, 还包括内部操作风险威胁和合法权限的合理使用。在数据库系统实际运行中, 有70%以上的安全威胁都源于内部人员攻击, 比如具有合法权限的角色对数据访问的逻辑合理性;非法获知他人的用户及密码造成合法权限的转移。入侵检测和访问控制等机制对这类攻击的防范能力非常有限, 不可能做出正确的响应。[1]医院信息系统数据库存储着患者的疾病诊断、治疗方案、检查检验结果、处方、医疗费用等敏感信息, 这些信息的非法访问和修改将会造成重大的医疗纠纷及经济损失。作为安全事件追踪分析和责任追究的数据库安全审计的运用是必要的, 通过对数据库操作的痕迹进行详细记录和审计, 使数据的所有者对数据库访问活动有据可查, 及时掌握数据库的使用情况, 并针对存在的安全隐患进行调整和优化。
2、四种数据库安全审计方案的比较
数据库审计包括对数据库的启动、关闭, 用户的连接信息及SQL语句的操作进行安全审计。本节将针对各种方案进行比较, 比较内容有:是否能解析出数据库的数据操作命令、SQL语句、存储过程等, 重点关注其操作的时间、地址、用户、事件、过程、返回结果等;是否可对审计数据从多角度进行统计分析, 识别风险所在和优化应用系统;是否可实现有针对性的设置审计规则进行事中监督, 及时发现各种异常、可疑事件并进行督察核验, 提高内控管理水平和应变能力。
2.1 基于数据库系统自身审计功能的方案
大型数据库系统都有提供对数据库操作的权限、对象、语句、网络进行监视和审计功能。审计内容包括用户、时间、终端标识号、sql语句等。Oracle甚至推出了针对select、insert、update、delete四种语句的细粒度审计 (FGA) , 当满足设置检查条件时, 可以细粒度到对指定时间段期间的操作、表中某列的值进行审计。
基于数据库系统自身审计功能开启时, 需要开销大量数据库系统资源 (包括CPU、内存、磁盘I/O等) 用于审计活动。随着审计细粒度的细化, 系统资源的开销成几何速度增长, 在业务繁忙的时间段矛盾更加突出, 但过粗的审计细粒度又无法满足要求。因为无法在数据库服务器的系统资源开销和审计细粒度之间取得平衡, 绝大部分应用系统为了不影响业务系统的运行, 选择了关闭数据库的审计功能。
2.2 基于数据库日志文件的方案
大型数据库的每个操作首先记录在日志文件中, 日志文件记录了数据库的更改的时间、类型、SCN号和用户信息等。通过分析各个时间段的日志文件内容, 可以查看数据库的各种操作信息。可以利用日志文件的格式化工具生成数据库的DML和DDL操作信息进行审计, 缺点是不能对select操作审计[2], 不能实时获得异常审计数据。
2.3 基于触发器的方案
数据库一般都会为DML、DDL、LOGON、LOGOFF、SHUT-DOWN、SERVERERROR等事件提供触发器, 当事件发生时会触发一条或一系列SQL语句。通过该SQL语句可以把审计需要的帐户信息、操作时间、操作语句、新旧值等审计信息存入指定的数据表, 审计系统根据需要设计程序对该数据表进行分析和审计。如果管理员对数据库的结构很熟悉, 触发器审计实现就很容易, 审计设计不必修改应用程序, 审计和应用没有必然的关联。
基于触发器的数据库安全审计, 需要开销一定的数据库服务器资源。不能对select操作审计, 对操作者地址的记录比较困难。
2.4 基于旁路监听的方案
基于旁路监听的数据库安全审计分为数据采集、数据解析、数据分析三部分。数据采集引擎通过旁路监听的方式接入核心交换机, 通过设置端口镜像模式或TAP分流监听模式, 使采集引擎能够监听到与数据库进行通讯的所有操作, 并根据数据库操作协议进行还原和整理, 发送到数据解析中心。数据解析中心根据事先设置的数据解析和事件关联规则, 通过接收数据采集引擎的数据库操作数据, 进行数据库操作的关联解析, 将结果发送给数据分析中心。数据分析中心根据数据库管理者对数据库需要监控的内容, 设置数据库审计规则, 当接收到的解析结果符合管理员设置的审计规则时, 数据分析将实时的给予报警。
基于旁路监听的数据库安全审计方法, 审计过程不需开销数据库服务器性能, 同时也不需改变原有的网络拓扑, 对网络资源的开销只局限于主交换的端口镜像。可以审计DML和DDL操作的用户、时间、终端标识号、SQL语句等信息, 并可以把不同类型的数据库 (ORACLE、MSSQL等) 的审计集中在一个管理平台, 简化管理和操作。对于三层结构 (C/C/S或C/C/B结构) 的系统, 数据库服务器只能获取中间层应用服务器的IP而无法获得用户名及用户IP, 因此前几种审计方法都无法实现对其用户名及用户IP的审计。基于旁路监听的数据库安全审计可以利用数据库的会话标识符的唯一性, 使得审计记录可以关联到用户名及用户IP。[3]
基于旁路监听的数据库安全审计方法存在的两个重要的缺点:当审计设备故障或人为断开网络时, 就无法采集审计记录;在数据库服务器上对数据库进行操作时, 其操作语句没有经过网路传输, 审计设备无法获取审计信息。
3、方案选择
通过对以上四种方案优缺点的分析, 结合我院信息系统是三层结构的特点, 采用了以基于旁路监听的数据库安全审计为主要审计方案。同时开启ORACLE的细粒度审计功能, 设置只有操作语句的终端标识号是本地的SQL语句给予记录, 并追加到基于旁路监听的数据库安全审计系统的审计结果数据库中, 由其数据分析系统综合分析产生用户设定规则的审计结果。
针对审计设备故障或人为断开网络问题, 设计了审计数据服务器实时侦测审计设备的状态, 发现用户预设的报警条件被触发, 就会通过网络或短信实时给管理人员发送信息。
4、医院信息系统中应用的探讨
根据医疗行业及其应用系统的特点, 以操作行为的正常规律和规则为依据, 对相关计算机系统进行的操作行为产生的动态或静态痕迹痕迹进行监测分析, 发现和防范内部人员借助信息技术实施的违规和犯罪。对信息系统运行有影响的各种角色的行为过程进行实时监测, 及时发现异常和可疑事件, 避免内部人员的威胁而发生严重的后果。
4.1 合法权限滥用的监控
系统对非夜班科室工作站在班外时间段由于业务操作引发的数据库访问, 应用模块在非设定的工作站上发生了相关操作引发的数据库访问, 出现业务系统之外的仿冒应用程序对业务数据库进行访问以及数据库管理人员在业务窗口进行远程数据库访问等进行实时监控。
4.2 存储过程的管理
存储过程调用在网络上传输的是参数, 没有具体的SQL语句, 审计系统很难根据SQL语句的特征进行监控, 对其监控主要是设置白名单, 并对名单设置审计规则。出现业务系统约定以外的存储过程调用、合法存储过程调用时出现参数异常或者调用场所异常等进行实时监控。
4.3 历史操作的重现
重点监控工作站 (收费处工作站、医生工作站、药房工作站等) 发生异常时, 可以根据审计系统中记录的数据重现错误发生过程的场景, 有利于异常原因的跟踪。
4.4 人为高危操作访问数据库的监控
删除数据库表、无条件批量删除或修改数据等数据库操作的监控审计。
4.5 敏感数据库表的操作访问的监控
对进行客户信息数据中的患者姓名、电话、余额等, 财务信息数据中的科目余额等, 药品使用情况等敏感数据的修改、删除、查询、统计等操作的监控。
4.6 应用系统级监控的定制
根据应用需求配合医院信息系统实现重复登记预交金表、重复记费、药品一次性耗材异常调价、某住院账户被大额退款或累计大额退款、住院未结帐病人被大量退款并结帐等系统经常发生又缺乏有效监控的异常操作进行应用级监控。
4.7 应用系统调优的应用
对数据库应用的来源、类型、流量、压力、性能、效率等方面的分析, 可对应用系统的数据操作层进行详细的诊断, 反作用于应用系统设计合理性的验证。
5、总结
基于旁路监听的数据库安全审计方案, 只要主交换满足端口镜像功能即可, 不需要开销其他网络和系统资源。在保证应用系统的正常运行的前提下, 监控操作员是否对合法权限的滥用、非授权访问和敏感数据的查询统计。根据审计记录所反映的SQL语句效率, 有针对性的对应用系统进行优化。
摘要：本文通过比较四种数据库安全审计的方案, 选择基于旁路监听的数据库安全审计方案作为基本的方案, 并应用了数据库细粒度审计的部分功能。探讨数据库安全审计系统监控操作员是否有合法权限的滥用、非授权访问和敏感数据的查询统计等功能, 及根据审计记录所反映的SQL语句运行效率, 有针对性的对医院信息系统进行优化。
关键词：数据库安全审计,医院信息系统,旁路监听
参考文献
[1].曹晖, 王青青, 马义忠, 罗平.一种新型的数据库安全审计系统[J].计算机工程与应用, 2007, 43 (5) :163-165
[2].梁昌明.Oracle数据库审计方法的探讨[J].中国医疗设备, 2008, 23 (4) :55-57
数据库审计系统 篇8
网络化时代的到来、互联网技术的普及,使得作为信息主要载体的数据库无所不在。人们对数据的依赖性比以往任何时候都高,各种数据信息,尤其是一些财务数据、客户数据等成为了关系企业生存的重要资产。数据库存在的安全隐患难以估计,数据库安全事件层出不穷。内部恶意操作和外部恶意入侵是目前数据库安全面临的两大重要威胁。如何有效保护数据安全成为当前信息安全界最为关注的课题。
对于数据库存在的安全风险,概括起来主要表现在三个层次:
管理层:人员职责和操作流程需进一步完善,增强对第三方维护人员的操作监控,有效追溯并及时确定恶意操作者。
技术层:内部操作需进一步明晰,难以使用通用外部安全工具(如:防火墙、IDS、IPS等)有效阻止内部用户的恶意操作、资源滥用和机密信息泄露等行为。
审计层:依赖于数据库日志的审计方法,存在诸多弊端(审计功能的开启影响数据库本身性能、日志文件本身存在被篡改的风险,难于体现审计信息的真实性)。
而防火墙、入侵检测等网络设备无法解决数据库特权滥用问题:
防火墙只能实现对IP地址、端口及协议的访问控制,无法识别特定用户对数据库的具体活动(只记录事件及结果,不可能细致分析高层应用协议并记录细节)。防火墙等安全设备关注解决的对象是以攻击、入侵、病毒等外部威胁,而对于属于正常访问范围的网络会话则无能为力。
入侵保护系统虽然可以依赖特征库有限阻止数据库软件已知漏洞的攻击,但无法判别具体的数据库用户活动,更谈不上细粒度的审计。
本文在分析数据库审计系统原理的基础上,基于对数据库审计模型的有效分析,将数据库审计系统实现为数据采集器和数据分析器;设计了包含7个部分的审计系统软件体系结构,最后重点对后台处理部分的功能实现进行了详细阐述。
1 审计系统设计原理
审计(Audit),最早出现于财务系统,主要指获取金融企业的财务相关信息。数据库审计是通过对审计和事务日志进行审查,跟踪数据和数据库结构的变化。审计功能可以将与数据库安全相关的操作记录下来,通过检测审计记录,对数据库使用状况有更加深入的了解。
1.1 审计系统的构成事件
完成审计至少需要做两个方面的工作:检测系统受到的威胁,采取安全措施处理威胁。审计方法是通过记录用户对数据库的所有操作,将这些记录放入审核日志中;出现问题时,可供调查、追踪责任人。审计负责对经过过滤后的信息进行审核。处理危及整个系统的事件,即时干预用户非法行为,确保整个系统的安全。从审计内容的角度来看,主要有三类事件:登录人员,访问对象,操作内容。具体描述见表1。
1.2 审计系统的事件关系
国内目前使用较多的安全数据库系统如Sybase的SQLSecure Servers,ORACLE的Trusted Oracle,Informix的Informix Secure等,在不同程度上均提供了基本的安全防护功能,大体可归为三类安全控制机制:身份识别、访问控制以及审计。然而,只有实现了第三级(安全标记保护级)及以上保护级别的数据库系统,才算得上是安全的数据库系统。
在文献[1]中对目前的主流数据库(Oracle、Mierosoft SQL Server、IBM DB2)的审计模块作了较为详细的分析,各自的数据库审计模块结构基本相似。将系统运行过程中记录的审计踪迹记录在一张系统表中,表中的每条记录包含可疑事件的大量信息。如图1所示,审计管理员根据审计控制开关来确定待审计的主体集、客体集、权限集、和语句集。与被审计对象相关的操作都会写入系统审计表中。在审计表中,系统创建了多张系统视图,供用户查看审计踪迹。存储在审计表中的审计信息都存在信息冗余和物理空间浪费等现象。
2 审计系统设计
数据库安全审计系统能通过对网络数据的实时采集分析、监控,及时识别其中的安全威胁和违规操作。审计分析结果能帮助管理员对数据库安全策略进行分析,提升数据库安全级别,并为管理员调整数据库安全策略、收集证据及事后追踪提供有利依据。设计数据库审计系统首先要深刻理解审计系统模型、审计流程和日志格式等相关信息,在此基础上进行审计系统软件体系结构等方面的相关设计。
2.1 数据库审计系统模型
数据库审计系统首先采集用户操作事件(例如数据库查询、更改数据记录值等),并存入数据库日志;当操作事件报警条件触发时,分析器负责报警并记录。通过审计日志形成审计报告。检查的内容主要包括:事件的用户、事件类型、事件安全级、报警、指定时间内的事件以及恶意用户表等。如果发现新的攻击行为没有在审计数据字典中时,可以在审计数据字典添加新记录。
基本的审计系统模型至少包括两个部分,一是用于采集审计数据的审计数据采集器;二是对采集数据进行分析的审计数据分析器。审计数据字典是以数据库的形式存在,采集器采集的数据存储为日志。如图2所示为数据库安全审计系统模型的框图。
2.2 审计流程及日志格式
数据库安全审计系统首先收集来自用户的事件(例如数据库查询操作、逻辑I/O操作等),根据预设的审计条件(审计数据字典),判断其是否为审计事件;对审计事件的内容按日志模式记录到审计日志中;当审计事件满足报警条件时,分析器向管理人员发送报警信息并记录其内容;当事件在一定时间内连续发生,满足逐出系统条件时,则将引起该事件的用户逐出系统并记录其内容。数据库管理员也可以通过手工分析的形式查询、检查审计日志以形成审计报告。当发现审计数据字典未记录的操作,可以在数据字典中更新该类型操作。
在审计模型中,审计日志的作用至关重要,它负责记录各类事件,为数据库管理人员提供事后审计的依据。审计日志的范围主要包括:事件发生时间(包括日期及时、分、秒)、主机名、进程ID号、用户名、事件名称、出错代号、附加信息等。
审计日志主要有以下两种标准:
Bishop标准:每条日志记录由域构成,域分割符“#”分割各域,起止由符号“S”和“E”标记。域的数目可变,以满足扩展性需求。数值部分由ASCII串构成(避免字节排序和浮点格式的问题);
归一化标准:审计数据值存放在一个独立的NADF记录中。每条记录包括以下3个域:识别符,审计数据值的类型;长度,审计数据值的长度;值,审计数据值。
3 审计系统软件体系结构
根据以上对审计系统模型的分析,从功能上可以将数据库审计系统划分为以下功能模块:系统配置、审计管理、策略管理、风险管理、报表管理、日志管理和用户管理七大部分,详见图3所示。
3.1 后台业务处理模块设计
后台主要分为审计引擎,动作引擎,数据维护引擎,守护进程,monitor监视器五大块。采集器将采集到的数据交给审计引擎处理;审计引擎将处理完的数据存入数据库;对于触发动作引擎的数据交给动作引擎处理;数据维护引擎负责处理数据库的自动或手动的备份,恢复和清理操作。客户端与数据中心的交互可以通过两种途径:一种是直接访问数据库;另一种是与monitor进行通信,由monitor再与各引擎进行通信。后台处理模块系统架构图详见图4所示。
monitor:负责与Web客户端的交互,将客户指令分发给其他系统进程。同时,处理一些较为简单的系统任务,如修改设备网络地址,恢复出厂设置等。
审计引擎:根据审计业务对象和审计规则,修改探测器配置中指定的业务对象数据,然后将审计数据发送到中心数据库,再根据邮件配置和通知(syslog)配置做出通知等动作。
动作引擎:在审计引擎对审计数据进行审计后,将某些被标记为风险动作的数据交给动作引擎,由动作引擎根据配置采取发警告邮件、syslog等动作。
数据维护:根据数据维护配置对审计数据及配置数据进行自动或手动的备份、恢复和数据清理。
守护进程:监控系统中monitor程序、审计引擎、动作引擎、数据维护引擎的运行状态,恢复在某些情况下异常终止的进程,同时担负着系统升级的功能(替换Web服务,升级后台系统文件等)。
根据需求,可以将数据中心功能模块功能划分为如图5所示功能模块。
3.2 后台模块的数据处理流程
数据审计程序在读取到采集器存储在内存文件系统中的数据信息之后,依据系统安全规则对数据信息进行分析审计,将满足条件的数据存入数据库;对于触发安全规则的数据信息发往动作引擎,由动作引擎执行相应动作(邮件告警,短信告警,syslog告警)。Web客户端修改数据库配置信息,同时通过网络告知监听进程处理程序,监听进程通过实时信号的方式通知各进程(守护进程除外)更新配置信息。
同时监听进程负担一些较为简单的系统任务,例如重启设备,关闭设备,恢复出厂设置,设置设备网络地址。向各进程转发信息,例如向数据维护引擎转发手动备份,手动恢复信息;向守护进程发送手动升级指令等。后台模块数据流程图如图6所示。
其中审计模块处理采集器audit_server采集到的数据,并依据安全规则分析审计事件,识别相应的风险,存入数据库并将高风险事件信息传递给动作引擎。审计模块的代码清单详见表2所示。
审计模块处理数据流图和处理流程图如图7和图8所示,图9和图10为系统部分运行结果。
4 结论与展望
本文针对数据库安全遇到的威胁,基于数据库审计系统构成事件,设计了数据库安全审计模型,基于该模型设计了适用于多类型数据库的数据库安全审计系统,对系统中的软件体系结构、后台业务处理框架、后台业务数据处理流程等进行了描述。最后通过部分系统实现结果证明了审计系统设计的有效性。
摘要：本书针对数据库安全面临的威胁,在分析数据库安全风险和审计系统构成事件的基础上,设计了数据库安全审计模型。根据该模型,采用审计规则构建和规则匹配方法构建了审计数据采集器,跟踪并获取审计数据,经审计数据分析器判断,实现对数据库的安全审计功能。最后,审计系统软件结构设计中,后台业务处理和后台数据处理流程设计进行了详细描述,并给出了部分设计结果。
关键词：多类型数据库,审计系统,用户,日志
参考文献
[1]黄芳.一种新的数据库系统的规约审计模型[J].计算机工程与应用.2004.
[2]黄志国.数据库安全审计的研究[D].中北大学.2006.
[3]罗星,汪卫,施伯乐.安全数据库访问控制模型.计算机应用与软件.2007.
[4]Auditing Issues In Secure Database Management Systems,NCSC Technical Report 005 Volume 4/5,Rainbow SeriesLibrary,1996.
[5]M.Bishop,A Standard Audit Log Format,In Proc.of the1995 National Information Systems Security Conference,Baltimore,Maryland,1995.
[6]N.Habra,B.Le Charlier,A.Mounji,Advanced SecurityAudit Trail Analysis on Unix Implementation Design of theNADF Evaluator,Research Report.1994.
数据库审计系统 篇9
关键词：数据挖掘,金融审计,应用,系统
一、数据挖掘技术应用于金融审计系统的背景分析
《审计署2008至2012年审计工作发展规划》提出, 金融审计“以维护安全、防范风险、促进发展为目标, 服务国家宏观政策, 推动金融改革, 维护金融稳定, 完善金融监管, 推动建立高效安全的现代金融体系”。金融审计作为金融监督的一种形式, 在金融监管中占据着重要地位。但面对金融机构海量的财务数据与金融信息, 且随着业务流程、金融产品及技术的不断更新, 审计人员的经验与技能进入“尾随”状态, 审计经验无法有效运用, 审计模型相对滞后, 仅仅依靠传统的数据检索机制及方法是远远不够的。而在金融审计系统中采用先进的数据挖掘技术, 则有利于帮助审计人员发现异常的交易或事项, 快速锁定审计重点, 提高审计效率。
二、数据挖掘概述及基本技术
(一) 数据挖掘概述。
数据挖掘技术是从数据库中提取隐含的、未知的和潜在的有用信息, 帮助审计人员进行数据分析, 发现异常事项, 进而对审计对象的总体风险进行评价。近年来, 数据库技术取得巨大的进展。目前, 在审计实践中已出现了一些数据挖掘应用的典型案例, 如基于孤立点挖掘的职工工资审计、基于聚类技术的交易记录审计等。
(二) 数据挖掘的基本技术。
数据挖掘的目的是发现有价值的信息。结合最新的研究成果, 目前数据挖掘的主要技术包括:
1.聚类分析。
数据挖掘的目标之一是进行聚类分析。聚类是把一组个体按照相似性归成若干类别, 使得同一类别的个体间的差别尽可能小, 而不同类别个体间的差别尽可能大, 即最大化类内的相似性、最小化类间的相似性。通过聚类可以在上述类标识下寻求新元素所属类别, 进而实现对数据的分析。
2.孤立点分析。
数据库中少数数据对象与一般数据的行为特征不一致, 这些数据对象被称为孤立点。在被审计单位的数据源中也经常含有一定的异常值, 它们与其他部分数据不同或不一致, 这些数据很可能就是一些可疑数据, 通过孤立点检测可以发现这些数据, 从而快速锁定审计重点, 提高审计效率。
3.关联分析。
关联分析的目的是找出数据库中隐藏的关联信息。数据库中的数据关联是现实世界中事物联系的表现, 通过关联分析发现关联规则, 为了寻找有意义的关联规则, 需要给定两个阈值:最小支持度和最小可信度。最小支持度表示一组项目关联在一起需要满足的最低联系程度, 最小可信度反映一个关联规则的最低可靠度。挖掘出的关联规则必须同时满足最小支持度和最小可信度。
4.分类分析。
在分类技术中, 每个样本的数据对象已经有类标识, 通过学习可以形成表示数据对象与类标识间对应关系的知识。数据挖掘的目标就是提取数据记录的特征属性, 生成分类模型, 根据样本数据形成的类标识对原始数据进行分类, 进而也可以预测未来数据的归类。用于分类的类标识可以用分类规则、概念树及分类网络等形式来表示。
三、建立基于数据挖掘技术的金融审计系统
基于数据挖掘技术的金融审计最关键的就是数据挖掘模型的建立以及在各模式库下的挖掘算法的选取。在模型中, 应根据对历史数据挖掘分析得到的各种规则、规律、模式等形成知识库。对于经采集、处理之后的数据, 首先, 选取相应的数据模型建立事务数据库。然后, 从构建的模式库中选取一种数据挖掘算法, 设置相应的挖掘条件, 进行模式匹配, 并将中间结果输出到可疑数据库中。这些疑问数据将作为审计的重点, 需要作进一步分析。最后, 通过对可疑数据进行审计分析得到新的知识, 并自动更新到知识库中, 作为今后审计分析的依据。
(一) 数据采集。
审计数据采集就是审计人员在进行计算机数据审计时, 按照审计需求对被审计单位信息系统中的数据文件进行的采集工作。在数据采集前, 审计人员应根据本次审计工作的范围、内容及重点, 结合审前调查所提出的数据需求来确定本次审计的数据采集范围及重点。
(二) 数据处理。
数据处理, 指从被审计单位数据库中选取适于数据挖掘的知识和信息, 对有关数据进行清理和转换, 控制数据质量。数据处理包括数据选择、数据预处理和数据转换。数据选择, 是根据挖掘任务从采集的数据库中选择性地提取与挖掘有关的信息。数据预处理是对数据进行加工, 以保证有关数据的一致性和有效性。数据转换的目的将数据转换成适用于一定挖掘算法的分析模型, 这是数据挖掘技术成功的基础。
(三) 数据挖掘方法的应用。
不同的审计目的和要求下所要准备的数据和选择的数据挖掘算法不一样, 因此其分析方法和分析模型也不一样。对于金融审计而言, 可采取如下数据挖掘方法。
1.聚类分析应用。
对一些属性不明的数据的研究通常会用到聚类分析, 如对应付账款、摊销和应收账款等科目进行实质性测试, 可以运用聚类技术进行相似会计数据进行分组, 从而可以发现明显不同于其他会计期间的账目, 这些异常数据便成为审计线索, 为进一步取得审计证据提供帮助。
2.孤立点分析应用。
发现孤立点是数据挖掘应用的一个重要方面。在内控测试中, 部分数据的孤立点很可能反映了内控制度的一些漏洞, 所以通过孤立点分析发现的不良贷款, 有可能揭露隐藏的违法违规行为和侵占银行贷款的行为。审计人员可以使用孤立点分析法来检查一些金融机构舞弊、违背规律和规定的行为, 因为这些行为产生的数据一般是隐藏在大量正常数据之下, 而且会以不同于一般数据的形式表现出来。
3.关联分析应用。
在金融审计中, 通过关联分析, 可确定各类风险诱因, 如财务比率, 企业信用等级, 内部控制制度等。然后, 以风险诱因为标准, 确定相应的风险水平。例如, 数据库中保存着应收利息及其债务人的记录, 根据债务人的信用等级、数据时间、账龄分析表来预测坏账损失, 当其与被审计金融企业提供的坏账损失实际值存在较大差异时, 审计人员应对其进行重点审查。
4.决策树分析应用。
决策树是一种简单的分类分析方法, 它将事例逐步分类成不同的类别。在审计中可以用决策树获取分类的知识, 然后将分类知识用于审计分析, 用于构建审计分析模型和审计预警模型。例如, 可以将商业银行的贷款分类, 进而加强银行的信贷管理。同时, 商业银行还可以根据各企业的经营状况、信用情况及发展前景等进行分类, 对经营业绩良好、无不良信用记录的企业可以放宽信贷额度。
(四) 运用模型, 评价结果。
模型建立并使用之后, 将挖掘模型得到的具体结果, 提供给审计人员作参考。对其结果的含义, 审计人员还需根据自己对审计项目的了解来分析解释相应的现象。该过程仍是一个反馈过程, 如对模型进行分析, 发现其结果并不令人满意, 就可以重新运用数据挖掘工具进行分析、建模, 直至结果令人满意为止。对于挖掘结果可能是审计问题线索的, 需要审计人员进一步追踪检查相关资料, 落实问题。
(五) 建立数据挖掘知识库。
根据对历史数据挖掘分析得到的各种规则、规律、模式等形成知识库, 从而作为判别的依据, 同时也能通过对新产生的数据进行审计分析得到新的知识, 并自动更新到知识库中, 使审计人员能在随后的审计工作中组织和运用这些审计知识, 以提高其数据分析能力和业务水平。从而, 基于数据挖掘的金融审计系统, 能够实现知识库的自动更新, 适合不断变化和不断发展的审计对象。
四、结语
虽然目前数据挖掘技术在金融审计中的应用尚处于起步阶段, 但已显示出传统审计方法无法比拟的巨大优势, 用数据挖掘技术解决审计人员原先没有涉及的问题, 在对数据集合全面而深刻认识的基础上, 是对数据内在和本质的高度抽象与概括, 也是对数据从理性认识到感性认识升华的过程。随着信息技术的迅猛发展和人们对数据挖掘的深入研究, 数据挖掘在金融审计中的应用将会不断发展和完善。
参考文献
[1].程广华.利用Benford定律在海量数据中筛选非法商户研究[J].新会计, 2010, 4
[2].刘巍.基于聚类的孤立点发现技术研究及其在审计中的应用[D].中国海洋大学, 2010
[3].张英俊, 谢斌红, 赵红燕.基于关联规则挖掘的数据质量提高方法研究[J].太原理工大学学报, 2008, 1
[4].袁野.维护国家金融安全, 发挥金融审计的“免疫系统”作用[J].中国审计, 2008, 8
数据库审计系统 篇10
关键词：ERP系统,数据式,审计
随着公司集团化扩张, 精细化管理已经成为公司管理迫切的要求, ERP系统的实施正是在此要求下进行的。随着ERP系统的全面展开, 进行数据式审计成为内部审计工作的重要任务。
一、ERP系统实施对公司内部审计工作的影响
ERP即企业资源计划系统, 是在先进的企业管理思想的基础上, 应用信息技术实现对整个企业资源的一体化管理。公司自建立ERP系统以来, 通过在实践中不断检验和改进, 已经形成了较为完善的管理体系。ERP系统实施后, 改变了企业的经营管理模式和业务流程, 因而必然带来审计工作的变化。
1. ERP系统的实施使内部审计取得数据变得更加便利
实施ERP系统以前, 内部审计人员要想取得数据只能通过被审单位提供原始数据, 如果遇到该岗位管理人员出差或休假, 会使审计工作因无法取得相关数据而停顿。而实施ERP系统以后, 内部审计人员可以很方便地在系统中提取所需要的数据。
2. ERP系统的实施使内部审计人员对于内部数据传递流程更加清楚
实施ERP系统以前, 内部审计人员在获取数据时要向被审单位人员询问详细的工作流程和相关责任人, 还要多方对照以确定其真实性。实施ERP系统后, 内部审计人员可以直接在系统平台上确认工作流程及相关责任人, 不会发生相互推诿, 拖延时间的现象。
3. ERP系统的实施使内部审计工作保密性增强
实施ERP系统以前, 由于需要收集审计数据, 必然要提前通知相关人员, 使审计工作尚未开展就已经尽人皆知, 沸沸扬扬。实施ERP系统后, 内部审计人员可以直接在系统平台中查询到所需要数据, 进行整理、分析, 还可以调阅其他部门的相关数据, 进行验证, 发现问题后再找相关人员进行查实确认, 使内部审计工作可以不受外部因素干扰, 保证审计工作的独立性。
4. ERP系统的实施使网络审计模式成为可能
网络审计模式也称为在线实时审计模式, 是指通过审计部门和被审计单位的网络互联, 即时审查被审计单位会计信息系统的审计模式。这种审计模式可以使审计人员足不出户就可以对被审计单位进行远程审计, 可以实时获取审计证据, 提高了审计效率, 增强了审计的监督职能。
从ERP系统对公司内部审计工作的影响可以看出, 针对ERP系统的数据式审计越来越重要。
二、实施ERP系统后进行数据式审计的重点
1. 数据式审计的必要性
数据式审计是由独立于审计对象的信息系统审计, 审计人员站在客观的立场上, 对以计算机为核心的信息系统进行综合的检查、评价, 向有关人员提出问题与建议, 追求系统的有效利用和故障排除, 使系统更加健全。
公司的ERP系统虽然经过较长时间的磨合, 适用性较强, 但不可否认还是存在一些问题。这些问题的产生, 一方面是由于系统本身数据的兼容性, 由于公司的ERP系统在实践中不断修改完善, 一部分数据的改动很有可能造成另外一部分数据的缺失或不可用等;另一方面则是操作人员应用产生的问题, 由于各岗位操作人员不是计算机技术人员, 对ERP系统的工作原理认识不足, 提出的设计思路不符合计算机管理模式, 造成工作流程的复杂和混乱。也使得数据的流向产生混乱。另外, 各部门之间对于数据流向、数据协同认识不足, 数据不能充分共享。因此, 对ERP系统实施数据式审计显得尤为重要。
2. 系统安全性审计
系统安全审计是对企业所使用的系统、程序及所实施的经营活动的安全性进行的一种常规检查和复核。系统安全包括:系统授权、网络设备权限、应用系统功能权限、数据访问权限、病毒的预防、非法入侵的监督、数据更改的追踪、数据的安全备份与存档、主机房的安全管理规章、系统管理员的监督等。
公司通过局域网络使计算机都接入了Internet, 操作人员除了按职责使用ERP系统外, 大多都会上网浏览, 但真正能够熟练掌握计算机技术的人员较少, 因此普遍存在着不重视系统安全的现象。多数用户不注意口令保密, 自己的密码随便告诉别人, 而且不会维护电脑系统, 上网时仅依靠杀毒软件来防范危险, 公司的专业人员又不能逐台维护, 也造成一些安全隐患。
进行系统安全内部审计时, 重点应放在系统授权、应用系统功能权限、数据访问权限、数据更改追踪等方面。
首先, 对部门领导的授权使用审计。基本上其审核权限都放在单位的某人那里, 没有真正履行领导审核的职责, 使其职能虚设。在内部审计中要确认其权限的实际使用情况, 根据调查结果确认其授权的合理性和必要性, 如果是必须的授权, 则要求其建立合理的委托授权制度, 防止因领导公出造成业务的延迟。也可以考虑远程操作的可能。
其次, 查询权限的授权是权限审计的重点。领导必须使用查询权限, 职能部门管理人员、内部审计人员等也需要查询授权, 因此对于因职责变动等造成的权限变动进行清理和权限重设是十分必要的。可以建议信息系统管理人员每月将部门权限设置情况报其主管领导审核, 审核通过后方可继续使用, 不被通过的就要及时取消授权, 以维护数据安全。
第三, 在ERP系统中, 由于业务事项由计算机按程序自动进行处理, 发生在原有手工系统中的计算错误的机会相应减少了。但如果ERP系统的应用程序出错或被人为纂改, 则计算机只会按给定的程序以同样错误的方式处理有关业务事项, 后果将十分严重。内部审计应督促建立严密的数据更改制度体系, 明确数据更改的审批流程, 保证数据安全。
3. 业务流程审计
ERP系统的主要作用表现为系统运行集成化。其最基本的要求是系统能够运行起来, 实现集成化应用, 建立完善的数据体系和信息共享机制。一般来说, 如果ERP系统仅在财务部门应用, 只能实现财务管理规范化, 改善应收账款和资金管理;仅在销售部门应用, 只能加强和改善营销管理;仅在库存管理部门应用, 只能帮助掌握存货信息;仅在生产部门应用只能辅助制订生产计划和物资需求计划。只有集成一体化运行起来, 才有可能达到降低库存, 提高资金利用率和控制经营风险;控制产品生产成本, 缩短产品生产周期;提高产品质量和合格率;减少坏账、呆账等管理目的。这些目标能否真正达到, 还要取决于企业业务流程重组的实施效果。
公司通过长时间的运行, 已经在手工状态下形成了一套较为完善的业务流程体系, 实施ERP系统后进行的业务流程重组是建立在手工流程基础上的, 不可避免地会产生问题。因此进行业务流程重组内部审计的重点, 一是要审计业务流程转换后原有控制是否缺失;二是要审计转换后的业务流程是否有冗余, 是否适应了ERP系统的管理要求。既要保证各项业务处于有效的控制之中, 避免企业遭受人为损失;又要兼顾控制和效率, 过多的控制环节和业务流程冗余势必降低工作效率。而内部审计力量投入的重点不再是各个管理环节的本身, 而是管理的接口部位这一权利与责任的传递点。开展这项审计可以促使各部门主动进行联合管理, 加强沟通和协调, 提高管理质量。
4. 加强对原始数据的审核
在ERP系统环境下, 企业各部门所依据的是同一数据库提供的信息, 如果信息录入的某一环节出现错误, 将会产生连锁反应。所以原始资料成为审计的重点。其内容包括经济业务本身的合法性和真实性、原始数据录入工作的准确性等。因此内部审计工作应由事后评价向事前防范转变, 由合规审计向风险审计转变。
5. 对内部审计人员提出了更高的要求。
ERP系统是针对物资资源管理 (物流) 、人力资源管理 (人流) 、财务资源管理 (财流) 、信息资源管理 (信息流) 集成一体化的企业管理软件, 同时也是开展数据式审计的基础。ERP系统的实施和数据式审计的开展, 要求内部审计人员成为复合型人才。内审人员除了要具有过硬的业务素质外, 还应能理清ERP各个子系统数据的来龙去脉, 掌握ERP系统的使用平台和网络环境, 熟悉数据库技术, 理解企业的经营管理活动与系统的各项功能设置;熟悉公司管理制度, 全面把握审计的总体情况并对内部控制进行有效的评价。审计人员必须在工作中不断学习新知识, 掌握新技能, 研究新问题, 创造新方法, 提高分析信息和利用信息的能力。
参考文献
[1]张洪波, 桑丽霞.基于ERP的企业审计研究[J].中国管理信息化, 2005 (7) .
[2][美]劳伦斯.索耶.索耶内部审计:现代内部审计实务[M].邰先宇, 等译.第5版.北京:中国财政经济出版社, 2005.
[3]陈枫.审计信息化问题浅析[J].中国高新技术企业, 2007 (9) .
[4]方健.数据式审计探析[J].中国管理信息化:会计版, 2007 (6) .
