标准应用 | 数据库防火墙安全技术解析与实践

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

部署模式

6.1.1.1 a)、c)

a)透明传输模式;c)反向代理模式

6.1.1.1 a)、c)

a)透明传输模式;c)反向代理模式

解读

数据库防火墙产品基本级和增强级都要求支持透明传输模式和反向代理模式

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

高可用性

冗余部署

——

6.1.1.3.1

冗杂部署：产品应支持“主-备”、“主-主”或“集群”中的一种或多种冗余部署模式。

解读

数据库防火墙产品基本级对于冗余部署没有要求；增强级要求产品应支持“主-备”、“主-主”或“集群”中的一种或多种冗余部署模式。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

虚拟化部署

6.1.1.4.2 有则适用

虚拟化部署：若产品为虚拟化形态，应支持部署于虚拟化平台，并接受平台统一管理，包括但不限于：a）支持不属于一种虚拟化平台，如VMware ESXi、Citrix Xenserver和Hyper-V等；b）结合虚拟化平台实现产品资源弹性伸缩，根据虚拟化产品的负载情况动态调整资源；c）结合虚拟化平台实现故障迁移，当虚拟化产品出现故障时能实现自动更新替换。

6.1.1.4.2 有则适用

虚拟化部署：若产品为虚拟化形态，应支持部署于虚拟化平台，并接受平台统一管理，包括但不限于：a）支持不属于一种虚拟化平台，如VMware ESXi、Citrix Xenserver和Hyper-V等；b）结合虚拟化平台实现产品资源弹性伸缩，根据虚拟化产品的负载情况动态调整资源；c）结合虚拟化平台实现故障迁移，当虚拟化产品出现故障时能实现自动更新替换。

解读

数据库防火墙产品基本级和增强级都要求可支持部署于VMware、云平台和容器化平台等虚拟化环境，支持对虚拟化环境资源的安全保护。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

支持纯IPv6网络环境

6.1.1.5.1 有则适用

支持IPv6网络环境：若产品支持IPv6应支持在IPv6的网络环境下正常工作，能有效运行其安全功能和自身安全功能。

6.1.1.5.1 有则适用

支持IPv6网络环境：若产品支持IPv6应支持在IPv6的网络环境下正常工作，能有效运行其安全功能和自身安全功能。

解读

数据库防火墙产品基本级和增强级都要求产品可支持部署于IPv6网络环境下正常工作，并支持不同部署下运行其安全功能和自身安全功能。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

协议一致性

6.1.1.5.2 有则适用

协议一致性：若产品支持IPv6应满足IPv6协议一致性的要求，至少包括IPv6核心协议、IPv6 NDP协议、IPv6 Autoconfig协议和IPv6协议。

6.1.1.5.2 有则适用

协议一致性：若产品支持IPv6应满足IPv6协议一致性的要求，至少包括IPv6核心协议、IPv6 NDP协议、IPv6 Autoconfig协议和IPv6协议。

解读

数据库防火墙产品基本级和增强级都要求产品支持IPv6应满足IPv6协议一致性的要求，包括 IPv6核心协议、IPv6 NDP协议、IPv6 Autoconfig协议和IPv6协议的一致性。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

协议健壮性

6.1.1.5.3 有则适用

协议健壮性：若产品支持IPv6应满足IPv6协议健壮性的要求，抵御IPv6网络环境下畸形协议报文攻击。

6.1.1.5.3 有则适用

协议健壮性：若产品支持IPv6应满足IPv6协议健壮性的要求，抵御IPv6网络环境下畸形协议报文攻击。

解读

数据库防火墙产品基本级和增强级都要求产品支持IPv6应满足IPv6协议健壮性的要求，抵御IPv6网络环境下畸形协议报文攻击。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

支持IPv6过渡网络环境

6.1.1.5.4 有则适用

支持IPv6过渡网络环境：若产品支持IPv6应支持在以下一种或多种IPv6过渡网络环境下工作：a)协议转换，将IPv4和IPv6两种协议相互转换；b）隧道，将IPv6封装在IPv4中穿越IPv4网络，如IPv6 over IPv4、IPv6 to IPv4、ISATAP等。

6.1.1.5.4 有则适用

支持IPv6过渡网络环境：若产品支持IPv6应支持在以下一种或多种IPv6过渡网络环境下工作：a)协议转换，将IPv4和IPv6两种协议相互转换；b）隧道，将IPv6封装在IPv4中穿越IPv4网络，如IPv6 over IPv4、IPv6 to IPv4、ISATAP等。

解读

数据库防火墙产品基本级和增强级都要求支持IPv6过渡网络环境的要求

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

访问控制-包过滤

——

6.1.2.1.1 b)~c)

b)安全策略应包含基于源IP地址、目的IP地址的访问控制；

c）安全策略应包含基于源端口、目的端口的访问控制

解读

数据库防火墙产品基本级对访问控制-包过滤没有要求；增强级要求产品应支持包括但不限于基于网络4元组，即源IP地址、源端口以及目的IP地址、目的端口等因子配置访问控制安全策略。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

应用类型控制

6.1.3.2 b)

数据库协议

6.1.3.2 b)

数据库协议

解读

数据库防火墙产品基本级和增强级都要求支持对数据库协议进行解析

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

数据库应用

6.1.3.3.2 a)~c)

产品应支持基于以下内容对数据库的访问进行控制，包括但不限于：a)访问数据库的应用程序、运维工具；b)数据库用户名、数据库名、数据表名和数据字段名；c）SQL语句关键字、数据库返回内容关键字。

6.1.3.3.2

产品应支持基于以下内容对数据库的访问进行控制，包括但不限于：a)访问数据库的应用程序、运维工具；b)数据库用户名、数据库名、数据表名和数据字段名；c）SQL语句关键字、数据库返回内容关键字；d)影响行数、返回行数。

解读

数据库防火墙产品基本级和增强级都要求支持基本的访问控制功能

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

数据库攻击防护

6.1.4.3 a)~b)

产品具备特征库，应支持数据库攻击防护功能，包括但不限于：a)数据库漏洞攻击防护；b）异常SQL语句阻断；

6.1.4.3

产品具备特征库，应支持数据库攻击防护功能，包括但不限于：a)数据库漏洞攻击防护；b）异常SQL语句阻断；c)数据库拖库攻击防护；d)数据库撞库攻击防护。

解读

数据库防火墙产品基本级要求产品应支持数据库攻击防护能力，包括但不限于数据库漏洞攻击防护和异常SQL语句阻断等能力

数据库防火墙产品基本级要求产品应支持数据库攻击防护能力，包括但不限于数据库漏洞攻击防护、异常SQL语句阻断、数据库拖库攻击防护、数据库撞库攻击防护等能力

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

外部系统协同防护

——

6.1.4.8

产品应提供联动接口，能通过接口与其他网络安全产品进行联动，如执行其他网络安全产品下发的安全策略等。

解读

数据库防火墙产品基本级对基本的安全防护能力有所要求

数据库防火墙产品增强级要求产品支持提供标准API接口对接的能力，能通过API接口与其他网络安全产品进行联动，如执行其他网络安全产品下发的安全策略等

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

安全审计

6.1.5.1

安全审计：产品应支持安全审计功能,包括但不限于:

a)记录事件类型:

1)被产品安全策略匹配的访问请求;2)检测到的攻击行为。

b)日志内容:

1)事件发生的日期和时间;

2)事件发生的主体、客体和描述,其中数据包日志包括协议类型、源地址、目标地址、源端口和目标端口等;

3)攻击事件的描述。

c)日志管理:

1)仅允许授权管理员访间日志,并提供日志查阅、导出等功能;

2)能对审计事件按日期、时间、主体、客体等条件查询;

3)日志存储于掉电非易失性存储介质中;

4)日志存储周期设定不小于六个月;

5)存储空间达到阈值时,能通知授权管理员,并确保审计功能的正常运行;

6)日志支持自动化备份至其他存储设备。

6.1.5.1

安全审计：产品应支持安全审计功能,包括但不限于:

a)记录事件类型:

1)被产品安全策略匹配的访问请求;2)检测到的攻击行为。

b)日志内容:

1)事件发生的日期和时间;

2)事件发生的主体、客体和描述,其中数据包日志包括协议类型、源地址、目标地址、源端口和目标端口等;

3)攻击事件的描述。

c)日志管理:

1)仅允许授权管理员访间日志,并提供日志查阅、导出等功能;

2)能对审计事件按日期、时间、主体、客体等条件查询;

3)日志存储于掉电非易失性存储介质中;

4)日志存储周期设定不小于六个月;

5)存储空间达到阈值时,能通知授权管理员,并确保审计功能的正常运行;

6)日志支持自动化备份至其他存储设备。

解读

数据库防火墙产品基本级和增强级对安全事件的全面审计和精确审计都有要求，同时对于日志管理规范均有要求。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

安全告警

6.1.5.2

产品应支持对攻击行为进行告诫，并能对高频发生的相同告警事件进行合并告警，避免出现告警风暴。告警信息至少包含以下内容：a)事件主体；b）事件客体；c）事件描述；d）危害级别；e）事件发生的日期和时间。

6.1.5.2

产品应支持对攻击行为进行告诫，并能对高频发生的相同告警事件进行合并告警，避免出现告警风暴。告警信息至少包含以下内容：a)事件主体；b）事件客体；c）事件描述；d）危害级别；e）事件发生的日期和时间。

解读

数据库防火墙产品基本级和增强级都要求支持对攻击行为进行告警，并能对高频发生的相同告警事件进行合并告警，避免出现告警风暴。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

应用流量统计

6.1.5.3.2 a)~b)

产品应支持以图形化界面展示=应用流量情况，包括但不限于：a)按照IP、时间段和应用类型等条件或以上条件组合对应用流量进行统计；b）以报表形式输出统计结果；

6.1.5.3.2 

产品应支持以图形化界面展示应用流量情况，包括但不限于：a)按照IP、时间段和应用类型等条件或以上条件组合对应用流量进行统计；b）以报表形式输出统计结果；c)对不同时间段的统计结果进行比对。

解读

数据库防火墙产品基本级和增强级都要求支持应用流量统计功能，通过图形化界面展示应用流量情况。

安全技术要求

数据库防火墙基本级

数据库防火墙增强级

攻击事件统计

6.1.5.3.3

产品应支持以图形化界面展示共计事件情况，包括但不限于：a)按照攻击事件类型、IP和时间段等条件或以上条件组合对攻击事件进行统计；b)以报表形式输出统计结果。

6.1.5.3.3

产品应支持以图形化界面展示共计事件情况，包括但不限于：a)按照攻击事件类型、IP和时间段等条件或以上条件组合对攻击事件进行统计；b)以报表形式输出统计结果。

解读

数据库防火墙产品基本级和增强级都要求支持攻击事件的统计，并以图形化界面清晰展示攻击事件类型及事件类型数目等，并支持以报表的形式进行统计结果的输出。

性能要求

数据库防火墙基本级

数据库防火墙增强级

SQL请求速率

6.3.3.3

SQL请求速率

硬件产品的SQL请求速率视不同速率的产品有所不同,具体指标要求如下:

a)百兆产品的SQL请求速率应不小于2 000个/s;

b)千兆产品的SQL请求速率应不小10000个/s;

c)万兆产品的 SQL请求速率应不小于50000个/s。

6.3.3.3

SQL请求速率

硬件产品的SQL请求速率视不同速率的产品有所不同,具体指标要求如下:

a)百兆产品的SQL请求速率应不小于2 000个/s;

b)千兆产品的SQL请求速率应不小10000个/s;

c)万兆产品的 SQL请求速率应不小于50000个/s。

解读

数据库防火墙产品基本级和增强级都对不同型号的SQL请求速率有明确的标准，产品对应型号的SQL请求速率不得低于标准中的要求。

性能要求

数据库防火墙基本级

数据库防火墙增强级

SQL并发连接数

6.3.4.3

SQL并发连接数

硬件产品的SQL并发连接数视不同速率的产品有所不同,具体指标要求如下：

a)百兆产品的SQL并发连接数应不小于800个;

6)千兆产品的SQL并发连接数应不小于2000个;

c)万兆产品的SQL并发连接数成不小于4000个

6.3.4.3

SQL并发连接数

硬件产品的SQL并发连接数视不同速率的产品有所不同,具体指标要求如下：

a)百兆产品的SQL并发连接数应不小于800个;

6)千兆产品的SQL并发连接数应不小于2000个;

c)万兆产品的SQL并发连接数成不小于4000个

解读

数据库防火墙产品基本级和增强级都对不同型号的SQL并发连接数有明确的标准，产品对应型号的SQL并发连接数不得低于标准中的要求。

CCIA数据安全工作委员会单位介绍