基于“动态数据安全，数据全生命周期管控”的产品理念，在大数据、云计算等新技术应用背景下，明朝万达自主研发的Chinasec（安元）数据安全系列产品，围绕数据全生命周期进行防护，以数据安全为核心，整合安全技术，强调安全管理，构建感知、分析、管控的闭环动态数据安全管控体系，构成以“数据分析及展现”为中心的七大产品线，真正实现安全可信、安全可管、安全可控。
近日，基于对数据安全领域的深入研究和丰富项目实践，结合明朝万达在构建完整数据安全防护体系中的经验和思考，针对用户在数据库安全方面的实际诉求和业务应用场景，明朝万达正式发布了Chinasec（安元）数据库安全审计系统。该产品是明朝万达在数据安全治理实践中，紧紧围绕数据安全治理三个基本实现目标：满足合规要求、管理数据安全风险、促进数据开发利用，全力补强推出的新一代数据库审计系统。同时也是自Chinasec（安元）数据脱敏系统发布后，明朝万达在结构化数据安全领域的再次重磅出击。
Chinasec（安元）数据库安全审计系统是针对数据库操作行为进行细粒度审计的合规性管理系统。基于感知、分析、管控的闭环动态数据安全管控理念，通过对各类数据库访问行为进行解析、分析、记录、汇报，用来帮助用户事前规划预防，事中实时监视、违规行为响应，事后合规报告、事故追踪溯源；同时加强内外部数据行为监管、促进核心数据资产的正常运营。
一、满足合规要求
根据规定，系统安全等级保护建设在技术上分别涵盖于物理、网络、主机、应用、数据五大方面。以最常见的二、三级等保为例，二级等保需要审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）；三级等保需要审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）。数据库安全审计系统是等保二级和等保三级的刚性需求。
本系统提供合规审计依据，可以根据需求形成不同的审计报表，例如：综合报表、合规性报表、专项报表、自定义报表等。
★ 塞班斯（sox）报表
美国sox方案404条款有基于信息系统的相关要求内容，结合本系统的实际数据，描述如下：关注对象：数据主体（数据库自身)、用户（账号和客户端）符合性规范：按照pdca方式展开描述企业的相关措施
1、行为计划从数据库源、用户账号、客户端IP三个维度统计实际数据使用情况。
2、实施进程从数据库源、用户账号、客户端IP三个维度统计风险识别情况。
3、过程管控从数据库源、用户账号、客户端IP三个维度统计告警事件情况。
4、事件分析从数据库源、用户账号、客户端IP三个维度统计规则命中情况。
★ 等保合规报表
相关等保要求规范如下：
a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
d）应对审计进程进行保护，防止未经授权的中断。结合本系统实际情况，等保合规报表简述如下：
1、数据库审计情况统计数据库总体信息：客户端ip数，用户数，会话数，语句数，风险数 。
2、用户行为监控按照数据库和客户端及用户对应关系列举访问行为规则命中统计信息。
3、敏感数据访问监控按照数据库和客户端及用户对应关系列举敏感数据规则命中统计信息。
4、影响结果监控按照数据库和客户端及用户对应关系列举结果规则命中统计信息。
5、日志存储时间日志保存的天数，包括当前在线数据时间，备份归档数据时间。
★ 综合分析报表
综合分析报表主要综合了告警、风险、sql语句数、sql会话数、sql时长、sql频率、tcp会话数等方面统计信息，其中告警、风险、sql语句数、sql会话数、tcp会话数从数据库资源、客户端IP、数据库账号三个维度综合分析，sql时长、sql频率总体一个维度分析。
二、管理数据安全风险
关于数据安全治理体系的基础安全层要求，具体来说包括：
• 数据分类分级，以实现差异化的数据安全管理。
• 监控审计有效防范不正当的数据访问和操作行为，降低数据全生命周期未授权访问、数据滥用、数据泄露等安全风险。
• 安全风险分析将风险控制在可接受的水平，最大限度的保障数据安全。
• 安全事件应急确保在发生数据安全事件后能够及时止损，保障业务的安全和稳定运行，最大程度降低数据安全事件带来的影响。
数据库安全审计系统从如下三个维度体现了管理数据安全风险的要求：
1、分类分级敏感数据审计
系统遵循敏感数据分类分级管控理念，无缝衔接分类分级敏感数据探查和梳理流程，可检索分类分级敏感数据资产的访问情况，统计分类分级敏感数据资产不同数据源的动态访问情况，统计分类分级敏感数据资产访问客户端的情况；获取指定时间段内分类分级敏感数据资产的访问活动链路，配合分类分级敏感数据安全治理工具，绘制企业急需的分类分级敏感数据资产地图，包括静点数据分布和动态活动链路。
2、违规操作审计
系统通过预设的审计规则和审计策略，实时监测数据库访问和数据操作行为，对于违规的访问和违规的操作，及时报警，同时记录下所有的行为，可以还原整个违规过程，实现风险事件问题下钻，违规行为的关联操作回放。
3、风险分析和处理
系统针对数据库中敏感数据的风险访问，实时发现问题，发出风险告警，管理人员及时采取措施，防止敏感数据遭受破坏或者窃取。在开放业务数据的同时，实时监管敏感数据的访问操作，使得敏感数据健康、安全、有序地流动；在满足业务数据需求的同时，达到保护敏感数据安全的目的。
◆ 风险事件检索和统计
支持检索和统计风险事件的可视化界面，可以通过组合条件，检索和统计风险事件。可以设置时间段、数据库和客户端IP端口、数据库账户、客户端工具、SQL指令关键字、风险等级、风险规则、数据库访问结果等条件检索或者统计风险事件。检索和统计结果可以导出到excel文件保存。
◆ 风险事件问题下钻
对指定的风险事件下钻详细问题，查看风险事件的详细信息，包括SQL指令相关详情、命中的风险规则情况、命中的访问规则详情、命中的敏感数据规则详情、命中的返回结果规则详情。
◆ 风险事件关联
针对风险事件，可以关联前后历史操作行为，做到问题的快速溯源。可视化展现某一风险事件在发生时间点前后指定时间段内所有的相关联操作，每一个相关联操作的详细执行信息都能很便捷的查看，可以往前和往后滚动查看关联行为和关联风险事件。可以指定关联范围：会话级关联或者客户端级关联。
◆ 风险事件报表
针对审计风险事件，系统自动生成风险分析报表和风险详情报表，提供报表类型包括：日报、周报、月报、季报、半年报、年报。可以手动指定报表生成条件，按指定条件一次性生成报表。生成的报表可以下载导出成不同的文件格式：pdf文件、word文件、excel文件、html格式文件。
三、促进数据开发利用
数据库安全审计系统实现了细粒度的审计，包含所有的规则因子，包括IP地址、数据库账号、客户端工具、时间、SQL指令、数据对象、数据表、数据字段、访问结果行数、响应时长、错误代码等。审计数据全面完整，支持海量数据审计。
系统以“数据分析及展现”为中心，全面完整的结构化数据安全审计数据可以无缝对接公司的智能数据治理平台，结合公司强力的非结构化数据安全治理能力，真正完整的体现用户的全栈数据价值。